Datenschutzerklärung

GK Consulting GmbH · Industriestraße 20, 66740 Saarlouis
Geschäftsführer: Etienne Gersing · [email protected] · 06831/4880387

Das Portal wird im Auftrag des Verantwortlichen von der m8werk digital solutions UG (haftungsbeschränkt) technisch betrieben. Gehostet wird es bei der Hetzner Online GmbH in Deutschland. Welche weiteren Dienstleister dabei eingesetzt werden, steht in Abschnitt 7.

Beim Aufruf der Seite werden durch den Hosting-Dienstleister technisch notwendige Server-Logdaten (IP-Adresse in gekürzter/temporärer Form, Datum/Uhrzeit, abgerufene Ressource, Browsertyp) verarbeitet, um Auslieferung und Sicherheit zu gewährleisten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb).

Alle Anfragen an dieses Portal laufen über das Netz der Cloudflare, Inc. (San Francisco, USA). Die Verbindung wird dort entschlüsselt und an unsere Server weitergeleitet; Cloudflare verarbeitet dabei Ihre IP-Adresse und den Inhalt der Anfrage, einschließlich Ihrer Formulareingaben. Zur Abwehr automatisierter Anfragen setzen wir außerdem Cloudflare Turnstile ein; dabei werden technische Merkmale der Anfrage verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb und Sicherheit der Formulare).

Verarbeitet wird dabei möglicherweise außerhalb der EU, auch in den USA. Übermittlung in ein Land außerhalb der EU (USA). Auf welche Garantie sich diese Übermittlung stützt, wird derzeit geprüft; das Ergebnis tragen wir hier nach.

Wenn Sie eine Finanzierungsanfrage stellen oder ein Käuferzertifikat anfordern, verarbeiten wir die von Ihnen angegebenen Bestands-, Kontakt- und Finanzierungsdaten (z. B. Vorhaben, Kaufpreis, Eigenkapital, Einkommen) zur Anbahnung und Durchführung der Vermittlung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen und des Vermittlungsvertrags).

Sofern Sie im Kundenkonto/Cockpit Unterlagen hochladen und speichern, verarbeiten wir diese ausschließlich zur Bearbeitung Ihres Vorgangs.

Unterlagen wie Gehaltsabrechnungen und Kontoauszüge können besondere Kategorien personenbezogener Daten enthalten, etwa das Kirchensteuermerkmal (Religionszugehörigkeit), einen über die Abrechnung geführten Gewerkschaftsbeitrag oder einen Freibetrag für Schwerbehinderte. Die E-Mail-Adresse Ihrer Akte, über die Sie selbst oder etwa Arbeitgeber oder Steuerberater Unterlagen direkt zu Ihrem Vorgang schicken können, erhalten Sie deshalb erst nach Ihrer ausdrücklichen Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und für die besonderen Kategorien Art. 9 Abs. 2 lit. a DSGVO.

Schicken Sie selbst Unterlagen an diese Adresse, können sie ohne Prüfung durch Ihren Vermittler direkt in Ihre Akte kommen — aber nur, wenn dieser direkte Weg freigeschaltet ist und die E-Mail nachweislich von Ihnen kommt: Sie stammt von einer E-Mail-Adresse, die in Ihrer Akte hinterlegt ist, und die technische Absenderprüfung ist bestanden (DMARC, oder DKIM, wobei jede DKIM-Signatur der E-Mail zur Domain Ihrer Absenderadresse gehören muss). Diese Prüfung belegt die Domain Ihrer Absenderadresse, nicht Ihr einzelnes Postfach. Außerdem muss Ihre Einwilligung noch bestehen. Ob der direkte Weg freigeschaltet ist, steht in Ihrem Kundenkonto bei der Adresse Ihrer Akte; solange er es nicht ist, prüft Ihr Vermittler jede E-Mail an diese Adresse, auch Ihre eigenen. E-Mails anderer Absender, E-Mails, bei denen die Absenderprüfung nicht gelingt, und Unterlagen, deren Art nicht sicher erkannt wird, prüft Ihr Vermittler immer, bevor sie in Ihre Akte kommen.

Sollen Ihre Unterlagen (z. B. Ausweis, Lohnabrechnung, Kontoauszüge) an die finanzierende Bank gehen, holen wir dafür Ihre Einwilligung ein — einmal für Ihren Vorgang: nach dem Absenden, im Kundenkonto oder über den Link, den Ihnen Ihr Vermittler schickt. Sie gilt für die Unterlagen, die Sie im Formular, im Kundenkonto, über einen Upload-Link oder per E-Mail an die Adresse Ihrer Akte einreichen; einzelne Dokumente können Sie im Kundenkonto ausnehmen. Solange sie besteht, bewahren wir neu eingehende Unterlagen zusätzlich ungeschwärzt auf, damit die Bank sie lesen kann; widerrufen Sie sie, löschen wir diese nur dafür aufbewahrten ungeschwärzten Fassungen. An die Bank übergibt Ihr Vermittler, nicht Sie selbst — ohne Ihre Einwilligung übergibt er nichts. Ist Ihre Anfrage bereits an Europace übermittelt und haben Sie auch dafür eingewilligt, gehen neu eingehende Unterlagen automatisch dorthin nach. Beim Hochladen im Formular fragen wir außerdem nach Ihrer Einwilligung, die Unterlagen für die Vorlage bei der Bank zu speichern. Eine falsch hochgeladene Unterlage können Sie im Kundenkonto selbst löschen, solange Ihr Vermittler sie noch nicht an eine Bank oder an Europace übergeben hat. Rechtsgrundlage: Ihre Einwilligung.

Jede Einwilligung können Sie mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), formlos beim Verantwortlichen (Abschnitt 1) oder bei Ihrem Vermittler, etwa per E-Mail; er trägt Ihren Widerruf ein. Die Einwilligung in die Weitergabe an die Bank und die in die Übermittlung an Europace widerrufen Sie außerdem selbst im Kundenkonto oder — ohne Kundenkonto — über den Link Ihres Vermittlers, solange er gilt (30 Tage; eine neue Nachricht Ihres Vermittlers ersetzt ihn). Nach dem Widerruf der Weitergabe an die Bank schickt Ihr Vermittler nichts mehr per E-Mail an eine Bank und keine Unterlagen mehr an Europace. Ihre Selbstauskunft übermittelt er an Europace nur, solange Ihre Einwilligung dafür besteht — sie widerrufen Sie gesondert. Was bereits an eine Bank oder an Europace übermittelt wurde, holt der Widerruf nicht zurück. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Rückruf anfordern

Wenn Sie über das Formular „Rückruf anfordern“ eine Anfrage schicken, speichern wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Telefonnummer, falls angegeben, und Ihr Vorhaben, damit Ihr Vermittler sich bei Ihnen melden kann. Ihre IP-Adresse speichern wir mit der Anfrage nicht im Klartext, sondern nur als Prüfwert. Zum Schutz vor Missbrauch zählen wir außerdem, wie viele Anfragen von Ihrer IP-Adresse kommen; dafür bleibt sie bis zu zwei Stunden nach Ihrer letzten Anfrage gespeichert. Kommen zu viele Anfragen, halten wir das mit der IP-Adresse im Sicherheitsprotokoll fest. Über die Anfrage benachrichtigen wir per E-Mail; das Postfach dafür liegt bei IONOS (Abschnitt 7). Zugleich richten wir für Ihre E-Mail-Adresse automatisch ein Kundenkonto ohne Passwort ein und schicken Ihnen einen Anmeldelink, damit Sie Ihre Anfrage dort fortsetzen können; besteht für die Adresse schon ein Kundenkonto, nutzen wir dieses. Das Konto führt der Anmeldedienst des Portals. Rechtsgrundlage ist Ihre Einwilligung im Formular. Wie lange wir Anfragen speichern, steht in Abschnitt 10.

Kundenkonto und Übernahme früherer Vorgänge

Mit einem Kundenkonto können Sie Vorgänge in Ihr Konto übernehmen, die Sie auf demselben Gerät ohne Kundenkonto begonnen haben oder die Ihr Vermittler für Sie angelegt und Ihnen übergeben hat. Vorgänge Ihres Vermittlers übernehmen wir nur, wenn die E-Mail-Adresse Ihres Kundenkontos bestätigt ist und sein Link an genau diese Adresse ging. Die Übernahme geschieht nur mit Ihrer Einwilligung und wirkt sofort: Die Vorgänge gehören dann zu Ihrem Kundenkonto. Ihre Einwilligung können Sie jederzeit ohne Angabe von Gründen widerrufen: im Kundenkonto über „Verknüpfung lösen“ oder über den Link „Übernahme widerrufen“ in der E-Mail, mit der wir Ihnen die Übernahme bestätigen. Der Link gilt ohne Anmeldung und ist nicht befristet. Die Verknüpfung wird dann gelöst, und die Vorgänge werden wieder so aufbewahrt und gelöscht wie vor der Verknüpfung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Prüfseite des Käuferzertifikats

Ihr Käuferzertifikat trägt eine Nummer und einen QR-Code. Wer die Nummer kennt, etwa ein Makler oder Verkäufer, dem Sie das Zertifikat vorlegen, kann auf unserer Prüfseite ohne Anmeldung nachsehen, ob es gültig ist. Für ein gültiges Zertifikat zeigt die Seite Status und Einstufung, Ausstellungs- und Ablaufdatum, den maximalen Kaufpreis, worauf das Zertifikat beruht, und wer es ausgestellt hat. Diese Angaben übermitteln wir damit an jeden, der die Nummer kennt. Ihren Namen und Ihre Kontaktdaten zeigt die Seite nicht: Wer einen Namen eingibt, erfährt nur, ob er mit dem Inhaber des Zertifikats übereinstimmt oder nicht, und die Zahl der Versuche ist begrenzt. Ist ein Zertifikat noch in Prüfung, abgelaufen oder nicht mehr gültig, nennt die Seite nur diesen Stand und wer es ausgestellt hat.

Nachrichten zu Ihrer Anfrage

Zu Ihrer Anfrage können Sie Ihrem Vermittler Nachrichten schreiben und seine Antworten lesen — im Kundenkonto oder, ohne Konto, über einen persönlichen Link, den Sie mit der Bestätigung Ihrer Anfrage und mit Antworten Ihres Vermittlers per E-Mail bekommen. Der Link gilt 30 Tage; kommt ein neuer, gilt der alte nicht mehr. Über eine neue Nachricht informieren wir Sie per E-Mail, ohne den Text der Nachricht.

Die Nachrichten speichern wir auf einem Server in Deutschland. Dieser Speicher kennt nur Ihre Anfrage, nicht Ihren Namen und nicht Ihre E-Mail-Adresse — es sei denn, Sie schreiben sie selbst in eine Nachricht. Lesen können die Nachrichten die Mitarbeiter Ihres Vermittlers, die Ihre Anfrage bearbeiten. Sie können dort auch interne Vermerke schreiben, die Sie im Chat nicht sehen; diese stehen in Ihrer Datenauskunft.

Auf den meisten Wegen, auf denen Unterlagen zu Ihrem Vorgang gelangen — Scan zum automatischen Ausfüllen (Ausweis, Lohnabrechnung, Kontoauszug), Upload im Formular oder im Kundenkonto, E-Mail an die Akten-Adresse Ihres Vorgangs —, werden der Dokumenttyp erkannt und Angaben automatisch ausgelesen. Dazu erkennt Amazon Web Services in Frankfurt am Main bei Bedarf zunächst den Text. Anschließend gehen das Dokumentbild oder der erkannte Text an ein KI-Modell von Anthropic. Wenn Sie die Plausibilitätsprüfung nutzen, gehen außerdem Ihre Finanzierungszahlen ohne Namen an das Modell.

Anthropic verarbeitet diese Daten in den USA. Übermittlung in ein Land außerhalb der EU (USA). Auf welche Garantie sich diese Übermittlung stützt, wird derzeit geprüft; das Ergebnis tragen wir hier nach.

Lässt sich ein Mitarbeiter Ihres Vermittlers eine Antwort auf Ihre Nachricht vorschlagen, gehen der bisherige Nachrichtenverlauf und der Stand Ihrer Anfrage (Status und noch fehlende Unterlagen, ohne Namen und Beträge) an dasselbe Modell. Den Vorschlag prüft der Mitarbeiter und sendet ihn selbst.

Hat Ihr Vermittler die automatische Antwort eingeschaltet, beantwortet dasselbe Modell einfache Fragen im Chat sofort — nur aus dem Stand Ihrer Anfrage und den Antworten Ihres Vermittlers auf häufige Fragen. Dazu gehen Ihre Nachricht, der bisherige Verlauf und der Stand Ihrer Anfrage an das Modell. Solche Antworten sind als „Automatische Antwort“ gekennzeichnet und beraten nicht. Kann das Modell nicht sicher antworten, meldet sich Ihr Vermittler persönlich.

Ein automatischer Rückfall auf einen anderen KI-Anbieter (OpenAI Ireland Ltd. bzw. OpenAI in den USA) ist für Ihre Unterlagen gesperrt: Fällt Anthropic aus, schlägt die Auswertung fehl, statt die Daten an einen anderen Anbieter zu schicken.

Wenn Sie Ihr Bankkonto verbinden, ruft der Kontoinformationsdienst der finAPI GmbH (München) Ihre Kontoumsätze ab. Wir werten sie zur Prüfung Ihrer Angaben und zur Aufbereitung der Kreditanfrage aus. Kontoumsätze können Rückschlüsse auf besondere Kategorien personenbezogener Daten zulassen, etwa über Lastschriften an Kirche, Gewerkschaft, Partei oder Ärzte. Rechtsgrundlage ist deshalb Ihre ausdrückliche Einwilligung: Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO.

Der Abruf läuft über einen Nutzer, den finAPI für Ihre Anfrage anlegt. Er bleibt nach dem Abruf bis zu 180 Tage bestehen; spätestens dann löschen wir ihn bei finAPI automatisch, und der Zugang zu Ihrem Konto endet.

Die Kontoanalyse ist freiwillig; Sie können stattdessen Kontoauszüge hochladen. Ihre Einwilligung können Sie mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO): im Formular über „Einwilligung widerrufen & Bankverbindung trennen", im Kundenkonto bei Ihrer Anfrage über „Kontoanbindung widerrufen" oder formlos beim Verantwortlichen (Abschnitt 1). Danach rufen wir keine weiteren Umsätze ab, Ihr Nutzer bei finAPI wird dort gelöscht, und die aus den Umsätzen berechnete Auswertung wird aus Ihrer Anfrage entfernt. Nicht betroffen sind Angaben im Formular, auch solche, die Sie aus der Kontoanalyse übernommen und bestätigt haben; sie bleiben stehen, bis Sie sie ändern. Anfragen, die bereits an eine Bank oder an Europace übermittelt wurden, holt der Widerruf nicht zurück. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Für die Vermittlung werden Ihre Daten im erforderlichen Umfang an Darlehensgeber (Banken) übermittelt — durch Ihren Vermittler und nur mit Ihrer Einwilligung (Abschnitt 4): über die Vermittlungsplattform der Europace AG (Berlin) oder per E-Mail an eine Bank, die der Verantwortliche als Empfänger hinterlegt hat. Mit dieser E-Mail gehen Ihre Finanzierungs-Selbstauskunft als PDF und die Unterlagen Ihres Vorgangs, soweit Sie sie nicht ausgenommen haben, als Anhang mit; versendet wird über Amazon Web Services in Frankfurt am Main. Rechtsgrundlage: für die Selbstauskunft und die Vermittlung Art. 6 Abs. 1 lit. b DSGVO, für die mitgesandten Unterlagen Ihre Einwilligung (Abschnitt 4).

Auskunfteien (SCHUFA): In der Finanzierungs-Selbstauskunft können Sie einwilligen, dass die finanzierende Bank eine Auskunft bei der SCHUFA Holding AG oder einer vergleichbaren Auskunftei einholt. Diese Auskunft holt die Bank selbst ein, nicht wir und nicht Ihr Vermittler; dabei übermittelt die Bank der Auskunftei Daten über die Beantragung und Durchführung des Darlehens. Empfänger ist dann die Auskunftei, die die Bank anfragt; Einzelheiten nennen die Datenschutzhinweise der Bank. Wir selbst fragen keine Auskunftei ab und erhalten von dort keine Daten. Ihre Angabe zur Einwilligung steht in der Selbstauskunft, die an die Bank geht. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Weil die Bank die Auskunft einholt, richten Sie den Widerruf an die Bank, der Ihre Selbstauskunft vorliegt. Solange Sie die Selbstauskunft noch nicht abgesendet haben, nehmen Sie das Häkchen im Formular einfach heraus.

Für den technischen Betrieb des Portals werden die folgenden Dienstleister eingesetzt:

Hetzner — Hetzner Online GmbH (Gunzenhausen). Hosting des Portals: Anwendung, Datenbank und Ablage Ihrer Dokumente. Ort der Verarbeitung: Deutschland.

Cloudflare — Cloudflare, Inc. (San Francisco, USA). Vorgeschaltetes Netz (Tunnel/Proxy): Jede Anfrage an dieses Portal, einschließlich Ihrer Formulareingaben, läuft verschlüsselt zu Cloudflare, wird dort entschlüsselt und an unsere Server weitergeleitet. Außerdem Schutz vor automatisierten Einsendungen (Cloudflare Turnstile). Ort der Verarbeitung: außerhalb der EU möglich, auch in den USA. Übermittlung in ein Land außerhalb der EU (USA). Auf welche Garantie sich diese Übermittlung stützt, wird derzeit geprüft; das Ergebnis tragen wir hier nach.

Amazon Web Services — Amazon Web Services EMEA SARL (Luxemburg). Versand der E-Mails an Sie und an Banken; Empfang von E-Mails an die Akten-Adresse Ihres Vorgangs; Speicherung hochgeladener Dateien; Texterkennung und Schwärzung von Unterlagen (Amazon Textract); Schlüsselverwaltung für verschlüsselt gespeicherte Kontodaten; verschlüsselte Sicherungskopien. Ort der Verarbeitung: Frankfurt am Main (Region eu-central-1); Sicherungskopien zusätzlich in Irland (Region eu-west-1).

Anthropic — Anthropic Ireland, Limited (Dublin, Irland) als Vertragspartner · Anthropic PBC (San Francisco, USA) als verarbeitende Gesellschaft. Automatische Auswertung Ihrer Unterlagen: Erkennen des Dokumenttyps und Auslesen von Angaben, etwa aus Ausweis, Lohnabrechnung oder Kontoauszug. Dafür gehen das Dokumentbild oder der erkannte Text an das Modell. Außerdem Plausibilitätshinweise zu Ihren Finanzierungsangaben; dabei werden nur Zahlen ohne Namen übermittelt. Ort der Verarbeitung: USA (direkte Schnittstelle von Anthropic PBC). Übermittlung in ein Land außerhalb der EU (USA). Auf welche Garantie sich diese Übermittlung stützt, wird derzeit geprüft; das Ergebnis tragen wir hier nach.

finAPI — finAPI GmbH (München). Kontoinformationsdienst: Abruf Ihrer Kontoumsätze, wenn Sie ein Bankkonto verbinden. Ort der Verarbeitung: Deutschland.

Europace — Europace AG (Berlin). Vermittlungsplattform: Übergabe Ihrer Finanzierungsanfrage und Unterlagen an Darlehensgeber. Ort der Verarbeitung: Deutschland.

IONOS — IONOS SE (Montabaur). Ausweich-Rechenzentrum für den Notfall (im Normalbetrieb laufen dort keine Dienste) sowie das E-Mail-Postfach, an das Benachrichtigungen über Kontaktanfragen und Widerrufe gehen. Ort der Verarbeitung: Deutschland.

Soweit wir gesetzlich zur Aufbewahrung oder Prüfung verpflichtet sind, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Nur wenn Sie im Hinweis zur Speicherung im Browser „Statistik“ erlauben, messen wir die Nutzung des Portals mit zwei Programmen, die auf den Servern des Portals bei der Hetzner Online GmbH in Deutschland laufen: Umami und shared-analytics. Ohne Ihre Einwilligung werden beide nicht geladen.

shared-analytics legt dafür im lokalen Speicher Ihres Browsers (localStorage) Kennungen ab: m8_anon_id (eine Kennung Ihres Browsers aus Erstellungszeitpunkt und Zufallszahl; sie bleibt, bis Sie widerrufen oder den Speicher Ihres Browsers löschen), m8_session_id und m8_session_ts (Kennung und Zeitpunkt der laufenden Sitzung; nach 30 Minuten ohne Seitenaufruf beginnt eine neue). Bei jedem Seitenaufruf übermittelt es diese Kennungen zusammen mit der vollständigen Adresse der aufgerufenen Seite, der vorherigen Seite, Browser- und Gerätetyp, Bildschirmgröße und Kampagnenangaben aus der Adresse; dazu Fehlermeldungen Ihres Browsers und Klicks auf Links zu anderen Websites. Umami setzt keine Cookies und legt nichts in Ihrem Browser ab; es erfasst aufgerufene Seiten, ungefähre Herkunft und Gerätetyp. Beide beachten die „Do Not Track“-Einstellung Ihres Browsers.

Rechtsgrundlage ist Ihre Einwilligung. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen: Einstellungen zur Speicherung im Browser öffnen und „Statistik“ abwählen. Beim Widerruf entfernen wir die Kennungen von shared-analytics aus Ihrem Browser und laden die Seite neu.

Unabhängig davon speichert das Portal in Ihrem Browser, was es für Anmeldung, Formularfortschritt und Darstellung braucht, und Ihre Auswahl in diesem Hinweis. Als Nachweis Ihrer Auswahl speichern wir sie außerdem zusammen mit einer zufälligen Kennung (Cookie fp_visitor, ein Jahr gültig), Ihrer IP-Adresse und Ihrer Browserkennung.

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist bzw. gesetzliche Aufbewahrungsfristen bestehen. Danach werden die Daten gelöscht.

Entwürfe in Ihrem Kundenkonto können Sie im Cockpit selbst löschen. Ändern Sie 24 Monate lang nichts an einem Entwurf, löschen wir ihn automatisch.

Anfragen über „Rückruf anfordern“ löschen wir 12 Monate nach Eingang, wenn für sie kein Kundenkonto eingerichtet wurde. Wurde mit Ihrer Anfrage ein Kundenkonto für Ihre E-Mail-Adresse eingerichtet, speichern wir sie, bis Sie Ihr Kundenkonto löschen: Die Kontolöschung nimmt die Anfragen mit, die unter der bestätigten E-Mail-Adresse Ihres Kundenkontos gestellt wurden. Unabhängig davon löschen wir eine solche Anfrage automatisch nach 24 Monaten ohne Änderung.

Nachrichten zu Ihrer Anfrage speichern wir so lange wie die Anfrage. Wird die Anfrage gelöscht oder bei der Löschung Ihres Kundenkontos ohne Namen aufbewahrt, löschen wir ihre Nachrichten mit dem nächsten täglichen Löschlauf.

Beantragen Sie im Cockpit die Löschung Ihres Kundenkontos, löschen wir nach Ablauf der Widerrufsfrist Ihre Vorgänge und Unterlagen. Signierte Unterlagen, ausgestellte Zertifikate und Zahlungen bewahren wir ohne Namen und Kontaktdaten auf, solange gesetzliche Aufbewahrungsfristen bestehen. Ein ausgestelltes Zertifikat widerrufen wir dabei: Wer seine Nummer prüft, erfährt danach nur noch, dass es nicht mehr gültig ist.

Zuletzt sperren wir Ihren Anmeldezugang beim Anmeldedienst und machen Ihre Anmeldedaten unkenntlich: E-Mail-Adresse, Name, Passwort, Passkeys, Daten der Zwei-Faktor-Anmeldung und verknüpfte Konten anderer Anbieter werden entfernt, alle Sitzungen beim Anmeldedienst beendet; eine noch offene Anmeldung bei FinPhase endet in Kürze. Übrig bleibt ein gesperrter Eintrag ohne diese Angaben. Die Sicherheitsprotokolle des Anmeldedienstes (etwa IP-Adresse, Browserkennung und die bei Anmeldeversuchen eingegebene E-Mail-Adresse) bewahren wir 90 Tage auf und löschen sie dann.

Nutzen Sie dieselbe Anmeldung auch als Mitarbeiter, etwa eines Beratungsbüros, das mit FinPhase arbeitet, bleibt Ihr Anmeldezugang bestehen — Sie brauchen ihn für Ihre Arbeit. Gelöscht werden dann nur Ihre Daten als Kunde.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Ihre Rechte bei der automatisierten Entscheidung über ein Käuferzertifikat (Art. 22) stehen in Abschnitt 12. Zudem können Sie sich bei einer Aufsichtsbehörde beschweren:

Auskunft über Ihre Daten

Ihre Auskunft (Art. 15 DSGVO) und Ihre Daten zum Mitnehmen (Art. 20 DSGVO) erhalten Sie als Datei. Mit Kundenkonto laden Sie sie im Cockpit über „Meine Daten herunterladen“ herunter. Ohne Kundenkonto fordern Sie sie auf der Seite Datenauskunft an, mit der Vorgangsnummer aus Ihrer Bestätigungs-E-Mail und der E-Mail-Adresse, die Sie im Formular angegeben haben. Passt beides zusammen, schicken wir einen Link an genau diese Adresse; er gilt einmal und 30 Minuten lang. Was die Datei enthält, zählen Cockpit und Seite vor dem Herunterladen auf.

Einige Angaben stehen nur in der Auskunft über ein Kundenkonto mit bestätigter E-Mail-Adresse: die interne Begründung, mit der Ihr Käuferzertifikat freigegeben oder abgelehnt wurde, die Protokolleinträge, die Mitarbeiter zu Ihrer Akte ausgelöst haben, und eine Kopie Ihrer Unterlagen. Ohne bestätigte Adresse können wir nicht sicher sein, dass die Auskunft nur Sie erreicht; statt der Namen von Mitarbeitern nennt sie dann deren Rolle („Ihr Vermittler“ oder „ein Mitarbeiter“). Die einzelnen Buchungen Ihrer Kontoumsätze stehen nur in der Auskunft über ein Kundenkonto. Von Unterlagen, die andere Absender für Ihre Akte geschickt haben, nennt die Auskunft nur die Anzahl, ohne Absender und Dateinamen. Auskunft können Sie außerdem formlos beim Verantwortlichen (Abschnitt 1) verlangen.

Wenn Sie ein Käuferzertifikat anfordern, rechnet ein festes Regelwerk aus Ihren Angaben aus, welche monatliche Rate Sie voraussichtlich tragen können und welchen Kaufpreis Sie damit finanzieren könnten. Es berücksichtigt Einnahmen und Ausgaben Ihres Haushalts, bestehende Kreditraten, Ihr Eigenkapital und, wenn Sie Ihr Bankkonto verbunden haben, die Auswertung Ihrer Kontoumsätze. Dafür setzt es Pauschalen an, etwa für Lebenshaltung und Kaufnebenkosten, die Ihr Vermittler festlegt, und einen Zinssatz. Danach stuft es das Ergebnis ein: entweder „Vorqualifiziert“ oder persönlich zu prüfen, etwa weil nach den Ausgaben zu wenig übrig bleibt, die Raten im Verhältnis zum Einkommen hoch sind, das Eigenkapital knapp ist oder ein genannter Kaufpreis über dem Rahmen liegt.

Das Zertifikat ist keine Finanzierungszusage. Es soll Verkäufern oder Maklern glaubhaft machen, in welchem Rahmen Sie kaufen können; ohne Zertifikat können Sie ihnen diesen Nachweis nicht vorlegen. Deshalb behandeln wir die Einstufung als automatisierte Entscheidung im Sinne von Art. 22 DSGVO.

Ohne persönliche Prüfung stellen wir ein Zertifikat nur aus, wenn das Ergebnis „Vorqualifiziert“ lautet und Sie vor dem Absenden ausdrücklich darin eingewilligt haben (Art. 22 Abs. 2 lit. c DSGVO). Die Einwilligung ist freiwillig: Ohne sie prüft ein Mitarbeiter Ihres Vermittlers jedes Ergebnis persönlich, bevor Sie ein Zertifikat erhalten. Jedes andere Ergebnis prüft immer ein Mitarbeiter persönlich; eine Ablehnung spricht nie das Regelwerk allein aus. Das gilt auch, wenn Sie ein Zertifikat später mit Ihren Kontoumsätzen aufwerten. Ihre Einwilligung gilt 180 Tage. Sie können sie jederzeit mit Wirkung für die Zukunft gegenüber Ihrem Vermittler widerrufen (Art. 7 Abs. 3 DSGVO), etwa per E-Mail. Ist sie abgelaufen oder widerrufen, prüft ein Mitarbeiter jede weitere Einstufung persönlich.

Gegen eine automatisierte Entscheidung haben Sie das Recht, das Eingreifen einer Person zu verlangen, Ihren eigenen Standpunkt darzulegen und die Entscheidung anzufechten (Art. 22 Abs. 3 DSGVO). Wenden Sie sich dafür an Ihren Vermittler oder formlos an den Verantwortlichen (Abschnitt 1); ein Mitarbeiter prüft Ihr Ergebnis dann persönlich und bezieht Ihre Angaben ein.