Auf der Seite Immobilienbewertung bieten wir Ihnen die Möglichkeit, über ein Formular eine unverbindliche Ersteinschätzung Ihrer Immobilie anzufragen. Hierbei werden folgende Daten verarbeitet:
- Pflichtangaben (im Formular mit * gekennzeichnet): Objekttyp, Vermietungsstand (vermietet ja oder nein), PLZ und Ort der Immobilie, Ihr Name sowie eine Telefonnummer oder eine E-Mail-Adresse – eines von beiden genügt
- Freiwillige Angaben: Straße der Immobilie, Baujahr, Wohnfläche, Anzahl Einheiten, Anmerkungen sowie, falls Sie beides angeben, der zweite Kontaktweg
- Technische Begleitdaten: zwei Zeitstempel mit der Uhrzeit Ihres Geräts beim Laden der Formularseite und beim Absenden (nur zur Bot-Abwehr, siehe unten), Ihre IP-Adresse, Datum und Uhrzeit des Eingangs, die Adresse der Formularseite sowie gegebenenfalls Kampagnen-Parameter (siehe unten)
Ihre Angaben schickt unser Webserver per E-Mail an unser Postfach bei Microsoft 365 (siehe VIII.). In dieser E-Mail stehen neben Ihren Angaben Ihre vollständige IP-Adresse, Datum und Uhrzeit des Eingangs und die Adresse der Formularseite. Diese Adresse übernehmen wir ohne angehängte Parameter und ohne Sprungmarke; Kampagnen-Parameter stehen gegebenenfalls gesondert in der E-Mail (siehe unten). Wurde das Formular ohne JavaScript abgesendet oder war die Formularseite länger als einen Tag geöffnet, vermerkt die E-Mail auch das. Diese Begleitdaten dienen der Nachvollziehbarkeit und der Abwehr von Missbrauch. Die beiden Zeitstempel nutzt der Webserver nur für die Prüfung beim Absenden; er speichert sie nicht und übernimmt sie nicht in die E-Mail.
Bis zur Übergabe an den Empfänger liegt eine E-Mail kurz in der Warteschlange des Webservers; bei Zustellstörungen kann das einige Tage dauern. Damit wir Störungen erkennen, schreibt der Webserver in einigen Fällen einen technischen Vermerk in sein Fehlerprotokoll. Das geschieht, wenn der Versand einer E-Mail fehlschlägt, eine Empfangsbestätigung entfällt, die Datenablage für den Bot-Schutz nicht verfügbar ist oder eine Absendung wegen ihrer Herkunft abgewiesen wird; dann vermerkt er den Hostnamen der fremden Website. Ihre Formularangaben und Ihre E-Mail-Adresse stehen darin nicht. Wie bei jedem Zugriff kann der Webserver zu einem solchen Vermerk Ihre IP-Adresse, den Zeitpunkt und die Adresse der Formularseite mitprotokollieren; dafür gilt die Speicherdauer der Server-Logfiles (siehe § 03).
- Zweck
- Bearbeitung Ihrer Anfrage, Vorbereitung einer ersten Werteinschätzung Ihrer Immobilie sowie ggf. die Anbahnung eines Kaufvertrags.
- Rechtsgrundlage
- Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage hin) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen, am Schutz vor Missbrauch und automatisierten Eingaben sowie am Erkennen von Störungen).
- Speicherdauer
- Daten aus Anfragen, die nicht zu einem Vertragsabschluss führen, löschen wir spätestens 24 Monate nach dem letzten relevanten Kontakt. Das gilt auch für die Begleitdaten in der Anfrage-E-Mail; für den Bot-Schutz gelten die kürzeren Fristen unten. Bei Vertragsabschluss gelten die handels- und steuerrechtlichen Aufbewahrungsfristen (je nach Unterlage sechs, acht oder zehn Jahre nach § 257 HGB und § 147 AO).
- Empfänger
- Bei uns nur die Personen, die Ihre Anfrage bearbeiten. Kommt ein Ankauf in Betracht, erhält die erwerbende Gesellschaft unserer Unternehmensgruppe die dafür nötigen Daten (siehe VII.). Als Auftragsverarbeiter sind unser Hosting-Anbieter (siehe § 03) und Microsoft (siehe VIII.) beteiligt. An sonstige Dritte geben wir Ihre Daten nur weiter, wenn Sie eingewilligt haben oder eine gesetzliche Pflicht oder Erlaubnis besteht.
- Bereitstellungspflicht
- Die Bereitstellung der Pflichtangaben ist freiwillig, jedoch zur Bearbeitung Ihrer Anfrage erforderlich. Ohne diese Daten können wir Ihnen keine Einschätzung übermitteln.
Kampagnen-Parameter. Rufen Sie die Formularseite über einen Link mit Kampagnen-Parametern auf (utm_source, utm_medium, utm_campaign, utm_content, etwa aus einem Beitrag in sozialen Netzwerken), stehen diese Werte in der Adresse der Formularseite. Beim Absenden übermittelt Ihr Browser diese Adresse an unseren Webserver (sogenannter Referer). Von den angehängten Parametern übernimmt der Webserver nur diese vier Werte, jeweils auf 200 Zeichen gekürzt, und nur dann, wenn die Formularseite auf unserer Domain liegt. Die Werte stehen anschließend in der Anfrage-E-Mail. Im Browser liest kein Skript diese Werte aus, und es wird dafür nichts in Ihrem Browser gespeichert. Von welcher Website aus Sie die Formularseite aufgerufen haben, übernehmen wir nicht in die Anfrage (zu den Server-Logfiles siehe § 03). Wir nutzen die Werte, um zu erkennen, über welchen Kanal Anfragen zu uns finden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung unserer Werbe- und Kommunikationskanäle). Speicherdauer wie bei Ihrer Anfrage.
Bot-Schutz. Zur Abwehr automatisierter Eingaben (Spam-Bots) prüft unser Webserver jede Absendung:
- Herkunft: Beim Absenden teilt Ihr Browser mit, von welcher Website das Formular kommt (Origin- bzw. Referer-Header). Fehlt diese Angabe, ist sie ungültig oder gehört sie zu einer fremden Website, weist der Webserver die Absendung mit einer Fehlermeldung ab und nennt Ihnen unsere Telefonnummer. Ihre Angaben werden dann weder gespeichert noch per E-Mail versandt. Im Fehlerprotokoll vermerkt das Formular nur den Hostnamen der fremden Website oder dass die Angabe fehlt.
- Unsichtbares Feld und Ausfüllzeit: Ein für Menschen unsichtbares Feld muss leer bleiben, und zwischen dem Laden der Formularseite und dem Absenden müssen mindestens zwei Sekunden liegen. Ist das Feld gefüllt, die Zeit kürzer oder sind die Zeitstempel unstimmig, verwirft der Webserver die Absendung, ohne sie zu speichern oder weiterzuleiten; angezeigt wird trotzdem eine Erfolgsmeldung. Ohne JavaScript fehlen die Zeitstempel. Die Anfrage wird dann dennoch angenommen und in der E-Mail an uns als „ohne JavaScript“ gekennzeichnet. War die Formularseite länger als einen Tag geöffnet, wird die Anfrage ebenfalls angenommen und entsprechend gekennzeichnet.
- Begrenzung: Je IP-Adresse nimmt der Webserver höchstens fünf Anfragen pro Stunde an, bei IPv6-Adressen je Anschlussnetz (/64). Gezählt werden nur Anfragen, die alle übrigen Prüfungen bestanden haben.
Speicherung für die Begrenzung: Der Webserver speichert statt Ihrer IP-Adresse einen gekürzten, pseudonymen Prüfwert (HMAC-SHA256) zusammen mit den Zeitpunkten Ihrer Absendungen. Den Prüfwert bildet er mit einem geheimen Zufallsschlüssel, den er jeden Tag neu erzeugt. Der Prüfwert ist nicht anonym: Solange der Schlüssel besteht, lässt er sich einer bekannten IP-Adresse zuordnen. Die Datei liegt auf dem Webserver unseres Hosting-Anbieters (siehe § 03) und ist nicht über das Internet abrufbar. Zeitpunkte, die älter als eine Stunde sind, löscht der Webserver bei jeder Absendung eines Formulars und zusätzlich stündlich in einem automatischen Aufräumlauf, mit dem letzten Zeitpunkt auch den Prüfwert. Spätestens rund zwei Stunden nach Ihrer letzten Absendung ist beides gelöscht. Den Schlüssel des Vortags löscht der Webserver spätestens rund eine Stunde nach Mitternacht; danach lässt sich aus einer IP-Adresse kein passender Prüfwert mehr berechnen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz des Formulars vor Missbrauch).