Datenschutz­erklärung

Stand: 29. Oktober 2026

1. Verantwortlicher

2. Welche Daten verarbeitet werden

• Konto und Kontakt: Name, E-Mail-Adresse, Nutzer-ID, Rollen, Initialen und Anmeldestatus.
• Projekt und Zusammenarbeit: Projektname, Aufgaben, Termine, Notizen, Kategorien, Links, Teammitglieder, Einladungen, Chatnachrichten, Reaktionen und Änderungen. Chatnachrichten werden im Projekt gespeichert und berechtigten Teammitgliedern angezeigt.
• Budget und Planung: Budgets, Käufe, Ausgaben, Zahlungsstände sowie freiwillig eingegebene Finanzierungs-, Einkommens- und Kostendaten.
• Medien: freiwillig hochgeladene Projekt-, Artikel- und Profilbilder.
• Dokumente: freiwillig hochgeladene Finanzierungsangebote als PDF und die daraus ausgelesenen Konditionen.
• Sicherheit und Betrieb: Sitzungs-, Änderungs- und Löschinformationen, soweit sie für Kontoschutz, Synchronisierung und Fehlerbehebung erforderlich sind.
• Mitteilungen und technische Kennungen: Die Android-App fordert beim Start eine Firebase-Installationskennung und einen Push-Registrierungstoken für die technische Zustellung an. Das erfolgt unabhängig von der Erlaubnis, Benachrichtigungen anzuzeigen. Wenn du ein Konto mit einem Cloud-Projekt verwendest, wird der Push-Token zusammen mit der App-Version deinem Konto zugeordnet. Er dient Erinnerungen, Teamnachrichten und Hinweisen auf App-Updates, nicht Werbung oder Nutzungsanalyse. Die Anzeige von Benachrichtigungen kannst du in den Systemeinstellungen abschalten; die technische Kennung wird dadurch nicht automatisch gelöscht.

Die Heimstart-App erhebt keine Standortdaten, Werbe-ID, Telefonbuchdaten oder Analyse- und Werbetrackingdaten. Für die optionale Nutzungsanalyse dieser Website gilt Abschnitt 9. Es werden keine Bank- oder Kartenzugangsdaten verarbeitet.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung des Kontos, der Projektfunktionen, Synchronisierung und Teamarbeit zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Schutz vor unberechtigtem Zugriff, sichere Einladungen und zuverlässige Löschung aufgrund berechtigter Sicherheitsinteressen (Art. 6 Abs. 1 lit. f DSGVO).
• Versand von Bestätigungs-, Einladungs- und Wiederherstellungs-E-Mails zur Bereitstellung und Absicherung des Dienstes.
• Auslesen eines Finanzierungsangebots, wenn du es als PDF hochlädst, damit du die Konditionen vergleichen kannst (Art. 6 Abs. 1 lit. b DSGVO).
• Optionale Angaben und Bilder werden verarbeitet, wenn du sie bewusst in der App hinterlegst (Art. 6 Abs. 1 lit. a DSGVO). Die Anzeige von Push-Mitteilungen setzt die entsprechende Berechtigung des Betriebssystems voraus; die oben beschriebene technische Registrierung ist davon getrennt.

4. Anmeldung mit Google oder Apple

Du kannst dich mit E-Mail und Passwort oder über dein Google-Konto anmelden; auf dem iPhone ist zusätzlich die Anmeldung mit Apple möglich. Bei der Anmeldung über einen Drittanbieter erhält Heimstart nur die zur Kontoerstellung nötigen Angaben (E-Mail-Adresse und eine Kennung). Für die Verarbeitung beim jeweiligen Anbieter gelten dessen Datenschutzbestimmungen.

5. Dienstleister und Weitergabe

Für Authentifizierung, Datenbank, Synchronisierung und private Dateispeicherung nutzt Heimstart Supabase als technischen Auftragsverarbeiter. Für Transaktions-E-Mails wird Brevo eingesetzt. Push-Mitteilungen werden über die Dienste der Plattformbetreiber zugestellt (Firebase Cloud Messaging bei Android, Apple Push Notification Service bei iOS). Diese Anbieter verarbeiten Daten nur zur Bereitstellung der genannten Funktionen. Heimstart verkauft keine personenbezogenen Daten und nutzt sie nicht für Werbung.

KI-Auswertung von Finanzierungsangeboten: Wenn du ein Finanzierungsangebot als PDF hochlädst, sendet Heimstart die vollständige Datei an OpenAI (OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland), um die Konditionen auszulesen. OpenAI ist dabei Auftragsverarbeiter und verwendet die Inhalte nicht zum Training seiner Modelle. Heimstart lässt die Antwort bei OpenAI nicht speichern; OpenAI bewahrt Anfragen zur Erkennung von Missbrauch in der Regel höchstens 30 Tage auf. Die PDF und die ausgelesenen Konditionen speichert Heimstart in deinem Projekt.

6. Übermittlung und Schutz

Die Übertragung erfolgt verschlüsselt über TLS. Kontositzungen werden auf dem Gerät geschützt gespeichert; private Projektmedien sind projektbezogen zugriffsbeschränkt. Soweit ein Dienstleister Daten außerhalb der EU oder des EWR verarbeitet, erfolgt dies nur auf Grundlage einer zulässigen Übermittlungsgrundlage und geeigneter Schutzmaßnahmen. OpenAI kann Daten auch in den USA verarbeiten; Grundlage sind die EU-Standardvertragsklauseln (Art. 46 DSGVO) oder ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), wie im Auftragsverarbeitungsvertrag von OpenAI vorgesehen.

7. Speicherdauer und Löschung

• Konto- und Projektdaten bleiben gespeichert, solange das Konto beziehungsweise das Projekt besteht oder eine gesetzliche Pflicht die Aufbewahrung verlangt.
• Hochgeladene Finanzierungsangebote und die daraus ausgelesenen Konditionen bleiben gespeichert, solange das Projekt besteht oder bis das Angebot gelöscht wird.
• Bei Kontolöschung werden persönliche Kontodaten und private Kontomedien entfernt. Du kannst außerdem die Löschung einzelner Daten anfordern, ohne dein Konto zu löschen; den Ablauf erklärt die Seite zur Datenlöschung. Technische Löschbestätigungen dürfen zur sicheren Wiederholbarkeit höchstens 90 Tage bestehen bleiben.
• In gemeinsam genutzten Projekten können sachliche Projektinhalte erhalten bleiben, wenn andere Mitglieder sie weiterhin benötigen; der Bezug zum gelöschten Konto wird entfernt oder anonymisiert.
• Sicherungskopien werden innerhalb der regulären, technisch festgelegten Sicherungszyklen überschrieben und nicht für den laufenden Betrieb wiederhergestellt.

8. Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch verlangen. Eine Einwilligung kann jederzeit für die Zukunft widerrufen werden. Du hast außerdem das Recht, dich bei einer zuständigen Datenschutzaufsichtsbehörde zu beschweren; für den Verantwortlichen zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Anfragen sendest du an support@heimstart.de oder über die Supportseite. Dein Konto kannst du außerdem direkt in der App oder über die Seite Konto löschen entfernen lassen.

9. Diese Webseite

Diese Seiten werden als statische Dateien über GitHub Pages (GitHub, Inc.) bereitgestellt. Dabei verarbeitet GitHub technisch notwendige Verbindungsdaten in Server-Protokollen. DNS, vorgelagerte Auslieferung und Schutz der Website übernimmt Cloudflare, Inc. Bei Website-Anfragen kann Cloudflare technische Verbindungsdaten wie IP-Adresse, Zeitpunkt, angeforderte URL und Browserinformationen verarbeiten. Weitere Informationen stehen in der Datenschutzerklärung von Cloudflare.

Schriftarten werden von unserer eigenen Website geladen. Der Finanzierungsrechner verarbeitet Kaufpreis, Einkommen, Eigenkapital und weitere Eingaben ausschließlich in deinem Browser. Eingaben und Berechnungsergebnisse werden nicht an GitHub, Cloudflare oder Google Analytics übermittelt.

Optionale Website-Analyse mit Google Analytics 4

Nur wenn du „Analyse erlauben“ wählst, laden wir Google Analytics 4 (kostenlose Standardversion). Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Damit messen wir Seitenaufrufe, allgemeine Nutzungsdauer, die erste Bedienung des Finanzierungsrechners pro Seitenaufruf, Klicks auf „PDF laden“ beim Leitfaden „Vorher wissen“ mit der Nummer des Teils und Klicks auf Store-Schaltflächen. Bei Store-Klicks unterscheiden wir Apple und Google sowie „bald erhältlich“ und tatsächlich freigeschaltete Store-Ziele. Ein Klick ist kein Nachweis eines Downloads oder einer Anmeldung.

Dabei werden technische Geräte- und Browserinformationen, Seitenadresse ohne URL-Parameter und Sprungmarken, gekürzte Herkunftsadresse sowie pseudonyme Cookie-Kennungen und Interaktionen an Google übermittelt. Google verarbeitet die IP-Adresse zur technischen Kommunikation und zur Ableitung ungefähren Ortsinformationen; Google Analytics 4 speichert laut Google keine individuellen IP-Adressen von Nutzern aus EU, Schweiz oder Vereinigtem Königreich. Wir senden keine Rechner-Eingaben, Berechnungsergebnisse, Namen, E-Mail-Adressen oder Kontodaten an Analytics. Automatische Formularmessung, Google Signals und Werbepersonalisierung sind deaktiviert; es wird kein Google-Werbekonto verknüpft.

Rechtsgrundlage für die optionale Analyse ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Vor Zustimmung und nach Ablehnung wird Google Analytics nicht geladen. Die Website bleibt vollständig nutzbar. Deine Entscheidung wird mit dem Cookie heimstart_analytics_v1 für höchstens sechs Monate gespeichert. Diese notwendige Speicherung dient ausschließlich dazu, deine Datenschutzwahl zu beachten (§ 25 Abs. 2 TDDDG). Nach Zustimmung verwendet Analytics Cookies mit Namen _ga und _ga_*; ihre Laufzeit ist auf 60 Tage eingestellt. Die Aufbewahrung nutzerbezogener Ereignisdaten in Analytics beträgt zwei Monate; zusammengefasste Berichte können länger verfügbar bleiben.

Über „Datenschutzeinstellungen“ im Seitenfuß kannst du die Entscheidung jederzeit ändern und mit „Ohne Analyse weiter“ für die Zukunft widerrufen. Die weitere Übermittlung wird gestoppt und vorhandene Analytics-Cookies dieser Website werden gelöscht. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Google kann Daten auch durch verbundene Unternehmen in den USA verarbeiten. Es gelten die mit Google vereinbarten Datenverarbeitungsbedingungen mit Regelungen für internationale Übermittlungen. Weitere Informationen: Google-Datenschutzerklärung und Datenschutz bei Google Analytics 4.

10. Finanzierungsbereich

Der Finanzierungsbereich ist eine unverbindliche Planungshilfe. Berechnungen sind keine Finanzberatung, Kreditzusage oder verbindliches Angebot einer Bank. Die automatische Auswertung hochgeladener Angebote ist eine Orientierung; maßgeblich sind immer die Vertragsunterlagen der Bank.

11. Leitfaden und automatische Antworten

Den Leitfaden „Vorher wissen“ kannst du auf heimstart.de/leitfaden ohne Anmeldung und ohne Formular als PDF laden. Für diese Seiten gilt Abschnitt 9.

Du kannst einen Teil auch über unsere Profile anfordern: Wenn du unter einem Beitrag von Heimstart ein Stichwort kommentierst oder es uns als Nachricht schickst, antworten wir automatisch. Bei Instagram und Facebook bekommst du eine öffentliche Antwort auf deinen Kommentar und eine Direktnachricht mit einem Knopf; tippst du ihn an, schicken wir dir den Link zum angeforderten Teil. Bei TikTok und YouTube antworten wir öffentlich auf deinen Kommentar.

Für diese automatischen Antworten nutzen wir Zernio (ZERNIO SOFTWARE SL, Carrer de Mallorca 2A, 17230 Palamós, Girona, Spanien) als Auftragsverarbeiter nach Art. 28 DSGVO. Verarbeitet werden dein Benutzername und deine Kennung bei der jeweiligen Plattform, der Text deines Kommentars oder deiner Nachricht, unsere Antworten und das Antippen von Knöpfen in der Nachricht. Zweck ist allein, dir den angeforderten Leitfaden zu schicken. Wir prüfen dabei nicht, ob du unserem Konto folgst, messen keine Klicks auf den Link und nutzen diese Angaben nicht für Werbung.

Rechtsgrundlage ist unser berechtigtes Interesse, deine Anfrage zu beantworten und dir den angeforderten Leitfaden zu schicken (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung jederzeit widersprechen, zum Beispiel über support@heimstart.de.

Kommentare und Nachrichten bleiben bei der jeweiligen Plattform gespeichert, bis du oder wir sie löschen. In Zernio bleiben sie gespeichert, solange wir den Dienst nutzen; auf Anfrage löschen wir sie dort früher. Zernio setzt Unterauftragsverarbeiter ein, die Daten teilweise außerhalb der EU und des EWR verarbeiten. Grundlage sind laut Auftragsverarbeitungsvertrag von Zernio EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss der EU-Kommission. Nach Vertragsende löscht Zernio die Daten binnen zehn Geschäftstagen, Sicherungskopien binnen 30 Tagen und Protokolle binnen 90 Tagen.

Die Plattformen verarbeiten deine Kommentare und Nachrichten außerdem selbst. Dafür gelten die Datenschutzrichtlinie von Meta (Instagram, Facebook), die Datenschutzrichtlinie von TikTok und die Datenschutzerklärung von Google (YouTube).

12. Änderungen

Diese Erklärung wird angepasst, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Das Datum oben zeigt den jeweils veröffentlichten Stand.