Datenschutzerklärung

1. Verantwortlicher

E-Mail: mail@bestitgmbh.de
Datenschutzkontakt: mail@bestitgmbh.de

2. Zwecke und Rechtsgrundlagen im Überblick

Wir verarbeiten personenbezogene Daten zur Bereitstellung von HomeCrafter und vorvertraglicher Testzugänge (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung handels-, steuer- und verbraucherrechtlicher Pflichten (lit. c) sowie zur Sicherung, Fehleranalyse, Missbrauchsabwehr und nachvollziehbaren Administration (lit. f). Unser berechtigtes Interesse liegt dabei im sicheren und revisionsfähigen Betrieb des Dienstes. Soweit ausnahmsweise eine Einwilligung erforderlich ist, gilt Art. 6 Abs. 1 lit. a DSGVO; sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

3. Hosting und Serverprotokolle

Das Angebot wird auf Infrastruktur der Hetzner Online GmbH in Deutschland betrieben. Beim Aufruf können technisch erforderliche Protokolldaten verarbeitet werden: IP-Adresse, Zeitpunkt, angeforderte Adresse, Referrer, Browser-/Betriebssystemangaben, übertragene Datenmenge und HTTP-Status. Die Verarbeitung dient der sicheren, stabilen Auslieferung und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Ein verbindlicher regulärer Löschzeitraum für Webserver- und Sicherheitsprotokolle ist in der derzeitigen Betriebskonfiguration noch nicht dokumentiert und muss vor der Produktivfreigabe festgelegt werden. Bei einem konkreten Sicherheitsvorfall können betroffene Protokolle bis zur abschließenden Klärung und Rechtsverfolgung gesichert bleiben.

4. Benutzerkonto, Anmeldung, Passkeys und Sicherheit

Bei Registrierung und Anmeldung verarbeiten wir Name, E-Mail-Adresse, einen kryptografischen Passwort-Hash, Konto- und Rollenstatus sowie Sitzungs- und Sicherheitsdaten. Eine Sitzung wird serverseitig nur als Hash geführt; das technisch notwendige Sitzungscookie läuft standardmäßig nach 14 Tagen ab. Beim Zurücksetzen des Passworts wird nur der Hash eines einmal nutzbaren, 30 Minuten gültigen Tokens gespeichert. Verwendete oder abgelaufene Reset-Datensätze werden bei der vorgesehenen Bereinigung entfernt.

Für Passkeys speichern wir Credential-ID, öffentlichen Schlüssel, Zähler und unterstützte Transportarten. Biometrische Merkmale verbleiben auf dem Endgerät und werden von HomeCrafter nicht gespeichert. Ein kurzlebiges Zuordnungscookie für den Passkey-Vorgang endet nach fünf Minuten. Zustandsändernde sensible Anfragen werden zusätzlich durch Origin- und Same-Origin-Prüfungen gegen websiteübergreifende Anfragen geschützt; ein separates CSRF-Cookie wird nicht gesetzt. Administrative Änderungen werden mit handelndem Konto, Zeitpunkt, Aktion, Ziel, Begründung, Request-ID, gehashter IP-Adresse und User-Agent protokolliert (Art. 6 Abs. 1 lit. f DSGVO).

5. Bezahlte Pakete, KI-Einmalleistung, 14-Tage-Testphase und kostenlose Freischaltungen

Zur Steuerung des Funktionszugangs speichern wir Paketumfang, Zugangsart, Beginn und Ende, Status sowie bei bezahlten Zugängen Abrechnungs- und Anbieterreferenzen. Eine vom Kontoinhaber ausdrücklich gestartete Testphase schaltet einmal pro Konto ab dem serverseitig protokollierten Startzeitpunkt den Komplettzugang für exakt 14 Tage frei. Sie endet automatisch und wird ohne eine gesonderte zahlungspflichtige Bestellung nicht verlängert oder in ein Abo umgewandelt.

Zusätzlich kann für ein aktives Planerprojekt genau eine KI-Grundrissanalyse zum Gesamtpreis von 0,99 EUR einschließlich der gesetzlich geschuldeten Steuer gekauft werden. Dies ist eine Einmalzahlung über PayPal, kein Abonnement und keine automatische Verlängerung. Gespeichert werden das serverseitige Angebot, die Bestell-, PayPal- und Projektreferenz, Zahlungsstatus, Guthabenbuchungen, Analyse-Auftragskennung und die separate Kleinbetragsrechnung und die per E-Mail versandte Vertragsbestätigung. Ein Credit wird für den Auftrag reserviert und nur bei einem erfolgreich technisch und geometrisch validierten Ergebnis verbraucht; bei Providerfehlern, abgebrochenen oder nicht validierbaren Läufen wird er wieder freigegeben.

Administratoren können einem Konto aus dokumentiertem Anlass einen zeitlich befristeten oder dauerhaften kostenlosen Zugang zu Budget, Planer oder Komplett gewähren und wieder entziehen. Gespeichert werden Umfang, Gültigkeit, interner Grund und die zugehörige Auditspur. Freischaltungen können administrativ geändert oder widerrufen werden. Rechtsgrundlage ist die Durchführung der zugesagten Leistung (Art. 6 Abs. 1 lit. b DSGVO) und die nachvollziehbare, sichere Administration (lit. f). Ein solcher Zugang begründet keine automatische Zahlung und keine automatische Verlängerung.

6. Nutzungsaggregate und freiwilliges Feedback zur Testphase

Um den Testzugang bereitzustellen, seine tatsächliche Nutzung zu verstehen und HomeCrafter zu verbessern, bilden wir pro Konto und Kalendertag ausschließlich begrenzte Nutzungsaggregate: Anzahl der Anmeldungen, aktive Tage, Zeitpunkt der letzten Aktivität sowie Anzahl und letzter Zeitpunkt von Projektspeicherungen. Wir speichern dabei für diese Auswertung keine Klickpfade, aufgerufenen Einzelansichten, Projektinhalte, Tasten- oder Mausbewegungen. Die Tagesaggregate werden nach 90 Tagen gelöscht. Rechtsgrundlagen sind die Durchführung der Testphase (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Bedienbarkeit, Stabilität und Akzeptanz des Dienstes anhand sparsamer Kennzahlen zu beurteilen (Art. 6 Abs. 1 lit. f DSGVO). Gegen die Verarbeitung auf Grundlage berechtigter Interessen kann aus Gründen, die sich aus der besonderen Situation der betroffenen Person ergeben, Widerspruch eingelegt werden.

Das Admin-Portal fasst diese Angaben in einer transparenten Aktivitätsstufe zusammen und zeigt die dafür verwendeten Gründe an. Diese Orientierung behauptet weder eine Kaufwahrscheinlichkeit noch, ob HomeCrafter einer Person gefällt. Sie löst keine automatische Entscheidung oder unterschiedliche Behandlung aus; eine etwaige geschäftliche Einschätzung trifft stets ein Mensch unter Berücksichtigung weiterer Informationen.

Beim Start der Testphase bestätigt der Nutzer in einem nicht vorausgewählten Kontrollkästchen die AGB; der Text dieses Kontrollkästchens weist ausdrücklich darauf hin, dass dazu genau eine Feedback-E-Mail nach dem Ende der Testphase gehört (Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 UWG). Wer der Feedback-E-Mail zuvor in den Kontoeinstellungen widersprochen hat, erhält sie nicht. Die Einwilligung kann bis zum Versand in den Kontoeinstellungen sowie über den Link in der Nachricht widerrufen werden; die Testphase bleibt davon unberührt. Der Feedback-Link enthält einen zufälligen Token; serverseitig wird nur dessen Hash gespeichert. Der Link ist höchstens 30 Tage nach Versand gültig und wird nicht in der Adresszeile an den Server übertragen, sondern erst im verschlüsselten Anfrageinhalt. Ohne Antwort werden Einladung und Token nach Ablauf entfernt.

Im Formular verarbeiten wir die Gesamtbewertung, die freiwillig ausgewählten Entscheidungsgründe und Freitextantworten. Die gesonderte Bitte um einmalige Kontaktaufnahme ist nicht vorausgewählt. Antworten werden spätestens nach zwölf Monaten gelöscht; bei einem vorherigen Widerruf oder einer berechtigten Löschanfrage früher, soweit keine gesetzlichen Gründe entgegenstehen. Das Feedback wird nicht für verdeckte Profile oder ausschließlich automatisierte Entscheidungen verwendet.

7. Projekte, Dokumente und Exporte

Je nach freigeschaltetem Zugang speichern wir Projektstammdaten, Budgets, Angebote, Rechnungen, Fristen, hochgeladene Dokumente sowie technische Planungsdaten – etwa Räume, Maße, Heizkreise, Elektrokomponenten und Hintergrundbilder – kontogebunden in PostgreSQL auf dem HomeCrafter-Server. Die Verarbeitung erfolgt zur Bereitstellung des bezahlten, getesteten oder kostenlos freigeschalteten Zugangs (Art. 6 Abs. 1 lit. b DSGVO). Projektinhalte werden nicht als dauerhafter Projektdatensatz im Browser gespeichert. Nutzer sollten keine nicht benötigten personenbezogenen Angaben in Projektbezeichnungen oder Plänen hinterlegen. Exporte werden nur auf ausdrücklichen Befehl im Browser erzeugt beziehungsweise bereitgestellt.

Die optionale Dokumentanalyse wird ausschließlich nach einem ausdrücklichen Klick auf „Dokumente analysieren“ gestartet. Dabei sendet der HomeCrafter-Server die ausgewählten Dokumentinhalte an die Google-Gemini-API, um beispielsweise Anbieter, Dokumentnummer, Beträge, Datumsangaben und Positionen vorzuschlagen. Die Vorschläge werden nicht automatisch gespeichert und müssen vom Nutzer geprüft werden. Alternativ können sämtliche Angaben ohne Übermittlung an Google manuell erfasst werden. Die konkrete Google-Vertragseinheit, Verarbeitungsregion, Löschfristen, Auftragsverarbeitung und etwaige Drittlandgarantien sind entsprechend der produktiv eingesetzten Google-Konfiguration vor Freigabe rechtlich zu dokumentieren.

Die optionale KI-Grundrissanalyse startet erst nach einer gesonderten, nicht vorausgewählten Bestätigung. Die lokale Grundrisserkennung bleibt ohne diese Übermittlung nutzbar. Bei der KI-Analyse sendet der HomeCrafter-Server das im Browser auf höchstens 1.600 Pixel verkleinerte und dadurch von Dateimetadaten befreite Planbild zusammen mit dem technischen Analyseauftrag und den für die Anfrage erforderlichen Requestmetadaten an die OpenAI-API. Zum Missbrauchsschutz wird außerdem ein stabiler pseudonymer Sicherheitsbezeichner (safety_identifier) übermittelt. HomeCrafter bildet diesen als Hashwert aus der internen User-ID. Der Bezeichner enthält weder die E-Mail-Adresse noch die Klar-ID, ermöglicht OpenAI aber, Anfragen desselben Kontos pseudonym wiederzuerkennen und zu verknüpfen. OpenAI liefert daraus einen unverbindlichen Vorschlag zu Wandzügen, geschlossenen Räumen, Beschriftungen und Öffnungen. HomeCrafter fordert mit store: falsekeine dauerhafte Antwortspeicherung an; nach den Standardbedingungen können Anfrageinhalte dennoch bis zu 30 Tage in Missbrauchsüberwachungsprotokollen verarbeitet werden, sofern für das eingesetzte API-Projekt keine strengeren Aufbewahrungskontrollen vereinbart sind. API-Inhalte werden nach den Standardbedingungen nicht zum Modelltraining verwendet, sofern der Betreiber nicht ausdrücklich in eine Datenfreigabe einwilligt. Der Vorschlag wird serverseitig geometrisch gefiltert, nie automatisch übernommen und muss vollständig geprüft werden. Vertragseinheit, Auftragsverarbeitung, Verarbeitungsregion, Aufbewahrungskontrollen und mögliche Drittlandgarantien des produktiv eingesetzten OpenAI-Projekts sind vor Aktivierung rechtlich zu dokumentieren.

Kauf und Bildübermittlung sind getrennte Vorgänge: Die Zahlung für einen Credit bewirkt noch keine Bildübertragung. Erst unmittelbar vor jeder einzelnen Analyse wird erneut und ohne Vorauswahl in die Übermittlung des konkret aufbereiteten Planbilds an OpenAI eingewilligt. Ohne diese gesonderte Bildfreigabe bleibt der Credit erhalten; die im Planer enthaltene lokale Erkennung kann ohne OpenAI genutzt werden.

8. Zahlungen über PayPal

Produktiv ist derzeit ausschließlich PayPal als Zahlungsanbieter aktiviert. Erst wenn ein Nutzer den PayPal-Checkout auswählt, werden Bestellkennung, Paket beziehungsweise KI-Einmalleistung, Laufzeit, Betrag, Währung, interne Nutzer- und Projektreferenz und später Zahlungs-/Abo-Status an PayPal übermittelt beziehungsweise von dort empfangen. Karten-, Konto- oder PayPal-Zugangsdaten erhält HomeCrafter nicht. Rechtsgrundlagen sind Vertragserfüllung und gesetzliche Abrechnungs- und Nachweispflichten (Art. 6 Abs. 1 lit. b und c DSGVO). Einzelheiten zur eigenständigen Verarbeitung enthält die Datenschutzerklärung von PayPal.

Eine Stripe-Integration ist im Programmcode vorbereitet, aber derzeit deaktiviert. Solange sie nicht konfiguriert und sichtbar angeboten wird, werden keine HomeCrafter-Daten an Stripe übermittelt. Vor einer Aktivierung sind diese Hinweise, Empfängerangaben und der Checkout erneut zu prüfen.

9. E-Mail-Versand

Passwort-Reset-, Eingangs-, Vertragsbestätigungen und separate Kleinbetragsrechnungen sowie die freiwillig bestellte einmalige Feedback-E-Mail nach der Testphase werden derzeit über einen lokalen SMTP-/Postfix-Dienst auf der HomeCrafter-Serverumgebung versendet. Dabei verarbeiten wir Empfängeradresse, Name, Nachricht, Vorgangs- oder Zahlungsreferenz, Zustellstatus und Versandzeitpunkt (Art. 6 Abs. 1 lit. b, c und f DSGVO). Für die Zustellung werden E-Mail und technische Versanddaten zwangsläufig an den Mailserver des Empfängers übertragen. Ein externer Newsletter-, Analyse- oder Mailjet-Dienst ist derzeit nicht eingebunden.

10. Cookies und lokale Speichertechniken

Wenn ein Nutzer auf einem unterstützten Gerät ein PDF oder Bild über das Betriebssystem an die installierte HomeCrafter-App teilt, wird die Datei technisch notwendig in einer getrennten lokalen IndexedDB-Eingangsablage zwischengespeichert. Sie ist höchstens eine Stunde nutzbar. Nach bestätigter serverseitiger Speicherung oder bewusstem Verwerfen wird sie unmittelbar gelöscht; abgelaufene Kopien werden beim nächsten Start oder Zugriff von App beziehungsweise Service Worker physisch bereinigt. Ohne eine ausdrückliche Auswahl und Speicherung wird daraus kein dauerhafter Projektdatensatz.

Wir verwenden technisch notwendige Cookies für Anmeldung, Sitzung und Passkey-Vorgänge. Projektdaten, Dokumente und Tarifberechtigungen werden serverseitig verarbeitet und nicht in LocalStorage, SessionStorage oder IndexedDB als dauerhafter Projektdatensatz abgelegt. Die Rechtsgrundlage für den technisch notwendigen Zugriff auf das Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; die nachfolgende Verarbeitung erfolgt je nach Funktion auf Grundlage von Art. 6 Abs. 1 lit. b oder f DSGVO. Meta Pixel und Conversions API werden ausschließlich nach einer freiwilligen Marketing-Einwilligung eingesetzt. Einzelheiten und die jederzeit erreichbare Widerrufsmöglichkeit stehen unter Cookies & Speichertechniken.

Die optionale Hintergrundmusik wird aus eigenen statischen Dateien von HomeCrafter abgespielt. Beim Abspielen wird keine Verbindung zu einer Musikplattform oder einem anderen Drittanbieter hergestellt. Die Einstellungen „Musik an/aus“, „Verhalten beim nächsten Seitenaufruf“, „Lautstärke“ und „Genre“ werden ausschließlich lokal im Browser gespeichert, damit die gewählte Einstellung beim nächsten Besuch erhalten bleibt. Diese Einstellungen werden nicht an uns übermittelt und nicht zur Profilbildung verwendet. Angaben zu den Musikstücken und ihren Lizenzen finden sich ebenfalls unter Cookies & Speichertechniken.

11. Aboverwaltung, Kündigung und Support

Angaben aus der Aboverwaltung und der Online-Kündigungsfunktion werden zur Bearbeitung der Erklärung, zur Vertragszuordnung und als Zugangs-/Rechtsnachweis verarbeitet (Art. 6 Abs. 1 lit. b und c DSGVO). Dazu gehören Name, E-Mail, Vertragsreferenz, Erklärungsinhalt, Datum und Uhrzeit. Die Daten werden entsprechend der gesetzlichen zivil-, handels- und steuerrechtlichen Nachweisfristen gespeichert.

12. Speicherdauer, Löschung und Sicherungskopien

Angemeldete Nutzer können die vollständige Kontolöschung direkt unter Konto & Löschungauslösen. Der Vorgang verlangt das aktuelle Passwort und eine eindeutige Bestätigung. Ein automatisch verlängerndes Abonnement wird zuerst beim Zahlungsanbieter beendet; gelingt dies nicht sicher, wird auch das Konto nicht gelöscht. Nach erfolgreicher Löschung entfernt HomeCrafter die dem Konto zugeordneten Projekte, Dokumente, Passkeys und Sitzungen sowie die lokalen Dokumenteingänge und Materialimporte auf diesem Gerät.

• Mobil geteilter Dokumenteingang: nutzbar bis zur Übernahme oder zum Verwerfen, höchstens eine Stunde; physische Bereinigung abgelaufener Kopien beim nächsten App-/Service-Worker-Zugriff;
• Kontodaten und Zugangsberechtigungen: bis zur Kontolöschung beziehungsweise zum Abschluss offener Vertrags-, Sicherheits- und Rechtsvorgänge;
• Projekte und Dokumente: bis zur Löschung durch den Nutzer oder Kontolöschung, vorbehaltlich einer befristeten Wiederherstellung aus Sicherungskopien;
• Sitzungen: regulär höchstens 14 Tage, bei Abmeldung, Passwortwechsel oder administrativem Widerruf früher;
• Passkey-Vorgangscookie: fünf Minuten; Passkey-Credentials: bis zur Entfernung des Passkeys oder Kontolöschung;
• Passwort-Reset: Rohlink nur in der E-Mail, gehashter Token 30 Minuten gültig; abgelaufene Datensätze werden bereinigt;
• Nutzungsaggregate: rollierend höchstens 90 Tage;
• Feedback-Einladung: gehashter Token höchstens 30 Tage nach Versand; Feedbackantworten höchstens zwölf Monate;
• Vertrags-, Zahlungs- und Bestätigungsdaten: nach den jeweils anwendbaren handels-, steuer- und zivilrechtlichen Aufbewahrungs- und Verjährungsfristen;
• KI-Grundrissaufträge: Das Planbild wird von HomeCrafter nicht dauerhaft gespeichert. Das validierte Analyseergebnis und der ausschließlich zur Idempotenz verwendete Bild-Hash erhalten ab Auftragsbeginn eine feste technische Aufbewahrungsfrist von 30 Tagen und werden nach deren Ablauf durch regelmäßige Löschläufe entfernt; ein späterer Analyseabschluss verlängert diese Frist nicht. Bei Konto- oder Projektlöschung geschieht dies sofort. Getrennte technische Kosten-, Einwilligungs- und Abrechnungsnachweise sowie gesetzlich erforderliche Rechnungen bleiben nur im jeweils erforderlichen Umfang erhalten;
• Marketing-Attribution: regulär 90 Tage; aktuelle Marketing-Einwilligung regulär 180 Tage; getrennte Einwilligungsnachweise regulär 1.095 Tage, jeweils vorbehaltlich der vor Produktivstart rechtlich freizugebenden Konfiguration;
• Reguläre Datenbanksicherungen: derzeit rollierend die letzten zehn Vor-Deployment-Sicherungen.

Gelöschte Daten können daher bis zur Rotation noch in einer Sicherungskopie enthalten sein und werden dort nur im Wiederherstellungsfall erneut aktiv verarbeitet. Gesonderte initiale Migrationssicherungen, reguläre Serverprotokolle und Admin-Auditdaten besitzen aktuell noch keine abschließend dokumentierte Löschfrist. Hierfür muss vor Produktivfreigabe ein verbindliches Lösch- und Wiederherstellungskonzept beschlossen werden.

13. Empfänger, Auftragsverarbeitung und Drittlandbezüge

Empfänger sind, soweit für den jeweiligen Vorgang erforderlich, Hetzner als Hostingdienstleister, PayPal beim ausdrücklich gestarteten Checkout, der empfangende E-Mail-Anbieter sowie Behörden, Gerichte oder Berater bei gesetzlicher Verpflichtung oder Rechtsverteidigung. Soweit Dienstleister weisungsgebunden verarbeiten, werden sie nach Art. 28 DSGVO eingebunden. PayPal oder E-Mail-Anbieter können Daten außerhalb des EWR verarbeiten; hierfür gelten die vom jeweiligen Anbieter ausgewiesenen Garantien und Datenschutzhinweise. Meta Platforms Ireland Limited kann nach Einwilligung Empfänger der in Abschnitt 10 beschriebenen Marketingdaten sein. Dabei kann eine Verarbeitung in Drittländern stattfinden; maßgeblich sind die von Meta ausgewiesenen Garantien. Bei der ausdrücklich gestarteten Dokumentanalyse ist außerdem die für die produktive Konfiguration zuständige Google-Vertragseinheit Empfänger der ausgewählten Dokumentinhalte. Verarbeitungsregion, Auftragsverarbeitung, Löschfristen und etwaige Drittlandgarantien müssen vor Aktivierung anhand des tatsächlich eingesetzten Google-Gemini-Kontos dokumentiert und rechtlich freigegeben werden. Bei einer ausdrücklich bestätigten KI-Grundrissanalyse ist außerdem die für das produktiv konfigurierte API-Projekt zuständige OpenAI-Vertragseinheit Empfänger des verkleinerten Planbilds, des technischen Analyseauftrags, der erforderlichen Requestmetadaten und des pseudonymen Sicherheitsbezeichners zum Missbrauchsschutz. Die konkreten Vertrags-, Regions-, Aufbewahrungs- und Drittlandbedingungen müssen ebenfalls vor Aktivierung dokumentiert und rechtlich freigegeben werden. Externe Musikdienste werden nicht eingebunden.

14. Betroffenenrechte und Beschwerde

Betroffene haben – bei Vorliegen der gesetzlichen Voraussetzungen – Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie das Recht, erteilte Einwilligungen für die Zukunft zu widerrufen. Anfragen können an den oben genannten Datenschutzkontakt gerichtet werden. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für private Unternehmen mit Sitz in Hessen ist grundsätzlich der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden, E-Mail: poststelle@datenschutz.hessen.de, zuständig.

15. Pflichtangaben und automatisierte Entscheidungen

Die Übertragung erfolgt verschlüsselt per TLS. Zugangsdaten werden gehasht bzw. durch Passkeys abgesichert. Pflichtangaben sind in Formularen als solche gekennzeichnet; ohne sie kann die jeweilige Funktion nicht bereitgestellt werden. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

16. Aktualisierung

Diese Erklärung wird angepasst, wenn Funktionen, Dienstleister oder Rechtslage dies erfordern. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung.