Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenbearbeitung auf dieser Plattform ist die Heimster AG, Zug, Schweiz, handelnd unter der Marke Heimster.

Diese Erklärung gilt für die Plattform Heimster unter heimster.ch sowie für damit verbundene Dienste, Kommunikationskanäle und Bewerbungsprozesse.

Nutzen gewerbliche Kunden (etwa Makler oder Verwaltungen) die Agentur- und CRM-Funktionen, um eigene Kontakt-, Interessenten- oder Bewerberdaten zu verwalten, handelt Heimster insoweit als Auftragsbearbeiterin im Auftrag des jeweiligen Unternehmens, das datenschutzrechtlich verantwortlich bleibt; die Bearbeitung erfolgt auf Grundlage eines Auftragsbearbeitungsvertrags.

2. Welche Daten wir verarbeiten

2.1 Kontodaten

Bei der Registrierung verarbeiten wir insbesondere Name, E-Mail-Adresse und Authentifizierungsdaten. Falls du Magic-Link oder Passkey verwendest, bearbeiten wir die dafür nötigen technischen Daten.

2.2 Profil-, Bewerbungs- und Dokumentdaten

Je nach Nutzung bearbeiten wir Profildaten, Angaben zur Wohnsituation, Bewerbungsunterlagen, Referenzen, Nachrichten, Besichtigungstermine und freigegebene Dokumente. Bestimmte Inhalte können besonders schützenswerte Personendaten enthalten, etwa Ausweiskopien, Einkommensnachweise oder Angaben zur familiären Situation.

2.3 Inserats- und Objektdaten

Anbieter erfassen Adress-, Objekt- und Mediendaten ihrer Immobilien. Dazu gehören Beschreibungen, Merkmale, Preise, Bilder sowie verfahrensbezogene Informationen zum Vermietungs- oder Verkaufsprozess.

2.4 Technische Nutzungsdaten

Für Sicherheit, Stabilität und Betrieb der Plattform verarbeiten wir technische Zugriffsdaten wie IP-Adresse, Zeitpunkt, aufgerufene URL, Browser-Typ, Referrer und Systemereignisse. Server-Logs dienen insbesondere der Fehleranalyse, Missbrauchserkennung und Systemsicherheit.

2.5 Personalisierungsdaten

Wenn du eine personalisierte Stufe auswählst, speichern wir Suchverläufe, angesehene Inserate und daraus abgeleitete Präferenzen lokal auf deinem Gerät und nutzen sie, um dein Erlebnis zu verbessern. Wenn du eingeloggt bist, können daraus abgeleitete Signale mit deinem Profil zusammengeführt werden.

2.6 Rechtsgrundlagen

Wir bearbeiten Personendaten in Übereinstimmung mit dem Schweizer Datenschutzrecht und, soweit anwendbar, mit der DSGVO. Die Bearbeitung erfolgt je nach Fall zur Vertragserfüllung, aufgrund berechtigter Interessen, aufgrund gesetzlicher Pflichten oder gestützt auf deine Einwilligung.

Zu unseren berechtigten Interessen zählen insbesondere die sichere Bereitstellung der Plattform, die Betrugs- und Missbrauchsprävention, die Qualitätssicherung, die Durchsetzung von Ansprüchen, die Stabilität und Weiterentwicklung des Produkts sowie die Auswertung der Nutzung zur Verbesserung unserer Dienstleistungen.

3. KI-gestützte Funktionen

Heimster nutzt KI-Funktionen für Inseratstexte, Suchunterstützung, Bewerbungsschreiben, Zusammenfassungen, den Support-Assistenten und Bildbearbeitung. Dabei können Eingaben an externe Dienstleister übermittelt werden, insbesondere an OpenAI, LLC (USA), Anthropic, PBC (USA) und Replicate Inc. (USA).

• KI-generierte Inhalte sind Vorschläge und müssen vor Verwendung geprüft werden.
• Bei AI Staging werden hochgeladene Bilder temporär zur Verarbeitung übermittelt.

Soweit KI-gestützte Prozesse in Zukunft zur Vorbereitung von Einschätzungen, Priorisierungen oder Empfehlungen beitragen, bleiben wesentliche Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung menschlich überprüfbar und werden nicht ausschliesslich automatisiert getroffen, soweit anwendbares Recht dies verlangt.

4. Verbundene Postfächer und Kalender (Microsoft 365 / Google Workspace)

Anbieter (Makler, Verwaltungen) können optional ihr eigenes E-Mail- und Kalenderkonto bei Microsoft 365 (Outlook) oder Google Workspace (Gmail) mit Heimster verbinden. Die Verbindung erfolgt ausschliesslich über das offizielle OAuth-Verfahren des jeweiligen Anbieters; Heimster erhält zu keinem Zeitpunkt das Passwort. Die Freigabe wird vom Anbieter selbst erteilt und kann jederzeit widerrufen werden – in Heimster über „Postfach trennen“ oder direkt in den Sicherheitseinstellungen des jeweiligen Microsoft- bzw. Google-Kontos.

Nach der Verbindung verarbeitet Heimster im Auftrag des Anbieters folgende Daten aus dem verbundenen Konto:

• E-Mail (lesen): Posteingang und gesendete Nachrichten, um eingehende Mails zu erkennen, zu klassifizieren (z. B. echte Anfrage vs. Automatik/Newsletter) und den passenden Objekten und Kontakten im CRM zuzuordnen.
• E-Mail (senden): Versand von Antworten und geschäftlichen Nachrichten aus der eigenen Adresse des Anbieters, wenn dies in Heimster ausgelöst wird.
• Kalender: Lesen des verbundenen Kalenders für die Termin-Übersicht sowie Erstellen, Ändern und Löschen der von Heimster verwalteten Termine (Besichtigungen, Übergaben, manuell erfasste Termine) inkl. Einladungen an Teilnehmende.
• Profil: die verbundene E-Mail-Adresse und der Anzeigename zur Identifikation des Postfachs.

Die für den Zugriff nötigen OAuth-Token werden verschlüsselt in einem Schlüsseltresor (Key Vault) gespeichert; das eigentliche Token verlässt diesen Tresor nicht. Der Zugriff ist streng pro Nutzer:in – Heimster führt keine fremden Postfächer zusammen, und das Heimster-Team hat keinen Zugriff auf die E-Mails der verbundenen Postfächer.

Eingeschränkte Nutzung (Google API Services User Data Policy / Limited Use): Die Nutzung von Informationen, die über Google-APIs (Gmail, Google Calendar) empfangen werden, erfüllt die Google API Services User Data Policy, einschliesslich der Anforderungen zur eingeschränkten Nutzung („Limited Use“). Insbesondere:

• Wir verwenden diese Daten ausschliesslich, um die für den Anbieter sichtbaren Postfach- und Kalenderfunktionen bereitzustellen und zu verbessern.
• Wir verkaufen diese Daten nicht und geben sie nicht für Werbezwecke weiter.
• Wir übertragen oder nutzen diese Daten nicht für andere Zwecke, ausser sofern dies zur Bereitstellung der Funktion, aus Sicherheitsgründen, zur Einhaltung geltender Gesetze oder als Teil einer Fusion/Übernahme mit Zustimmung erforderlich ist.
• Kein Mensch liest diese Daten, ausser (a) mit ausdrücklicher Einwilligung des Anbieters, (b) zu Sicherheitszwecken (z. B. Missbrauchsuntersuchung), (c) zur Einhaltung geltender Gesetze oder (d) wenn die Daten aggregiert und anonymisiert für interne Betriebszwecke verwendet werden.
• Kein KI-Training: Wir verwenden Daten aus dem verbundenen Postfach oder Kalender nicht, um generalisierte bzw. nicht personalisierte KI-/ML-Modelle zu entwickeln, zu trainieren oder zu verbessern. KI-Funktionen wirken ausschliesslich innerhalb der eigenen, vom Anbieter ausgelösten Bearbeitung.

Für Microsoft 365 (Microsoft Graph) gelten dieselben Grundsätze sinngemäss: Zugriff nur im freigegebenen Umfang, ausschliesslich zur Bereitstellung der Funktionen, kein Verkauf, keine Werbenutzung und kein Training generalisierter KI-Modelle.

5. Weitergabe und internationale Datenübermittlungen

Wir geben deine Daten nur weiter, soweit dies für den Betrieb der Plattform notwendig, gesetzlich zulässig oder von dir veranlasst ist. Dazu gehören insbesondere:

• Ein S3-kompatibler technischer Speicher- und Dateidienst für Medien und Dokumente
• Microsoft Azure für den Versand transaktionaler E-Mails
• Postmark (ActiveCampaign, LLC, USA) für die zuverlässige Zustellung transaktionaler E-Mails
• OpenAI, Anthropic und Replicate als externe Dienstleister für freiwillig genutzte KI-Funktionen
• Geoapify für Adress- und Standortfunktionen
• Photon/komoot für Ortssuche und Adressvorschläge
• OpenStreetMap/Nominatim für Adress- und PLZ-Suche
• Swisstopo (geo.admin.ch) für Karten- und Geodaten
• transport.opendata.ch für ÖV-Verbindungen und Reisezeiten
• Umami Analytics für Reichweiten- und Produktanalysen

Einzelne Empfänger befinden sich ausserhalb der Schweiz oder des EWR, insbesondere in den USA. In diesen Fällen stützen wir uns auf geeignete Garantien wie Standardvertragsklauseln und ergänzende technische Schutzmassnahmen.

Je nach Funktion handeln Empfänger als Auftragsbearbeiter bzw. Auftragsverarbeiter in unserem Auftrag oder als eigenständig Verantwortliche, wenn sie die erhaltenen Daten für eigene gesetzlich zulässige Zwecke bearbeiten. Wenn Daten im Rahmen einer Bewerbung oder Kontaktaufnahme an einen Anbieter weitergegeben werden, bearbeitet dieser die erhaltenen Informationen in eigener datenschutzrechtlicher Verantwortung.

6. Aufbewahrung

Wir speichern Personendaten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten bestehen. Typische Fristen in der aktuellen Produktlogik sind:

• Kontodaten bis zur Löschung des Kontos, danach mit kurzem Sicherheitspuffer
• Bewerbungen für eine begrenzte Zeit nach Verfahrensabschluss
• Nachrichten und Kommunikationsverläufe grundsätzlich bis zur Kontolöschung oder bis zur Löschung im Rahmen unserer Produktlogik
• Inserats- und Objektdaten grundsätzlich bis zur Deaktivierung oder Löschung, vorbehaltlich gesetzlicher oder dokumentationsbezogener Aufbewahrung
• Server-Logs in der Regel 30 Tage
• Lokal gespeicherte Präferenzen bis zum Widerruf oder Zurücksetzen deiner Auswahl

7. Cookies, lokale Speicherung und Einwilligungen

Beim ersten Besuch kannst du auswählen, ob wir Personalisierung und weitergehende Produktanalyse aktivieren dürfen. Deine Auswahl speichern wir im Cookie heimster_consent für zwölf Monate. Dieses Cookie dient nur der Verwaltung deiner Auswahl.

Unabhängig von dieser Auswahl setzt Heimster derzeit eine grundlegende, cookielose Reichweitenmessung mit Umami Analytics ein. Dabei erfassen wir anonyme Seitenaufrufe und technische Reichweitendaten für Sicherheit, Betrieb und Produktsteuerung. Bei der Stufe Personalisiert + Analyse können zusätzlich weitergehende Produktanalysen sowie eine pseudonyme Zuordnung zu deinem Nutzerkonto erfolgen, etwa um Produktfunktionen besser auszuwerten.

• Nur das Nötigste: keine Personalisierung aus deinem Verhalten und keine weitergehende Produktanalyse
• Nur personalisiert: wir speichern Präferenzen und Suchverläufe, um dein Erlebnis zu verbessern
• Personalisiert + Analyse: zusätzlich zur Personalisierung erlaubst du uns weitergehende Produktanalyse zur Verbesserung von Heimster

Technisch notwendige Cookies für Session, Authentifizierung, Missbrauchsschutz und Sicherheit bleiben von dieser Auswahl unberührt.

8. Betrugsprävention, Sicherheit und Behörden

Wir bearbeiten Personendaten auch, um Missbrauch, betrügerische Inserate, Phishing, unberechtigte Zugriffe, Verstösse gegen unsere Nutzungsbedingungen und sonstige Sicherheitsvorfälle zu erkennen, zu untersuchen und zu verhindern.

Soweit erforderlich, können relevante Informationen intern ausgewertet, mit technischen Sicherheitsdaten verknüpft und an externe Fachstellen, Berater, Strafverfolgungsbehörden, Gerichte oder andere zuständige Stellen weitergegeben werden, wenn hierfür eine gesetzliche Grundlage besteht oder dies zur Wahrung unserer berechtigten Interessen erforderlich ist.

9. Servicekommunikation und Marketing

Wir senden dir produkt- und vertragsbezogene Mitteilungen, soweit dies für die Nutzung von Heimster erforderlich ist. Dazu gehören insbesondere Konto- und Sicherheitsmitteilungen, Bewerbungs- und Besichtigungsupdates, Nachrichtenhinweise, Dokumentenanforderungen sowie transaktionale E-Mails.

Wenn du Suchabos, Benachrichtigungen oder andere optionale Kommunikationsfunktionen aktivierst, nutzen wir deine Kontaktdaten, um dir diese Inhalte zuzustellen. Allgemeine Marketing- oder Werbekommunikation erfolgt nur im Rahmen des anwendbaren Rechts und kann, soweit vorgesehen, jederzeit abbestellt werden.

Kontaktiert dich ein Anbieter über Heimster – etwa weil dein Such- oder Kontaktprofil zu einem Inserat passt –, ist der jeweilige Anbieter für diese Kommunikation datenschutz- und wettbewerbsrechtlich selbst verantwortlich; Heimster stellt hierfür nur die technische Infrastruktur bereit.

10. Deine Rechte

Dir stehen im Rahmen des anwendbaren Datenschutzrechts insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenherausgabe, Widerspruch und Widerruf deiner Einwilligung zu. Wenn du im EWR ansässig bist, kannst du dich zudem an die zuständige Datenschutzaufsicht wenden.

Wir beantworten Anfragen in der Regel innerhalb von 30 Tagen. In komplexen Fällen kann sich diese Frist verlängern, worüber wir dich informieren.

11. Kontakt

Fragen zum Datenschutz richtest du bitte an privacy@heimster.ch.