Datenschutzhinweise

1. Verantwortlicher

Restless UG (haftungsbeschränkt), Finkenau 1, 22081 Hamburg, vertreten durch den Geschäftsführer Gian-Luca von Oesen. E-Mail: support@reesinsy.com.

Für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter dieser Adresse. Einen Datenschutzbeauftragten haben wir nicht benannt, weil bei uns weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und deshalb keine Pflicht nach § 38 BDSG besteht.

2. Überblick

reesinsy ist ein Werkzeug, das zu einer Adresse Daten aus amtlichen und weiteren Quellen zusammenstellt. Wir verarbeiten personenbezogene Daten nur, soweit das für die Website, dein Konto, deine Käufe und die Funktionen nötig ist, die du nutzt, oder soweit du eingewilligt hast. Wir verkaufen keine Daten. An Partner geben wir nur weiter, wenn du im Einzelfall eingewilligt hast.

3. Aufruf der Website

Beim Aufruf verarbeiten unsere Server und unser Netzdienstleister Cloudflare technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer, Browser- und Gerätetyp. Zweck ist die Auslieferung der Seiten, die Abwehr von Angriffen und Überlastung sowie die Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb. Protokolle löschen wir nach höchstens 7 Tagen.

4. Technisch notwendige Speicherungen im Browser

• Anmeldung und Sicherheit: Sitzungsschlüssel für den ausdrücklich gewünschten Kontozugang.
• Vorschau-Zugang: signiertes, nur vom Server lesbares Zugriffscookie; Laufzeit 12 Stunden.
• Datenschutzeinstellung: lokale Speicherung deiner Auswahl; höchstens 180 Tage.
• Zwischenspeicherung: vorübergehende Angaben für einen von dir begonnenen Speichervorgang.

Diese Speicherungen sind für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b und f DSGVO.

5. Konto und Anmeldung

Für Konto, Dossier und Käufe verarbeiten wir deine E-Mail-Adresse, eine Nutzerkennung, Anmeldezeitpunkte und deine Einstellungen (zum Beispiel Sprache und Mail-Wahl). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über das Konto).

Du meldest dich entweder mit deinem Google-Konto an oder mit einem Anmeldelink per E-Mail. Bei der Anmeldung mit Google erhalten wir von Google deinen Namen, deine E-Mail-Adresse und eine Google-Kennung; Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Den Anmeldelink versenden wir über den E-Mail-Dienst von Cloudflare, ersatzweise über Resend (Datenregion EU, Irland).

6. Adresssuche und Objektanalyse

Gibst du eine Adresse ein, verarbeiten wir sie, um das Objekt zu finden und Daten dazu abzurufen. Die Adresssuche nutzt amtliche Adressdaten und ergänzend den öffentlichen Photon-Dienst von komoot (photon.komoot.io) auf Grundlage von OpenStreetMap-Daten. An Photon übermittelt unser Server den Suchtext und die Suchparameter; deine IP-Adresse, Kontodaten und Cookies werden dabei nicht weitergereicht. Der Dienst sieht die Netzwerkadresse unseres Servers. Die Grundkarte mit OpenStreetMap-Daten sowie ihre Schrift- und Symboldateien liefern wir über unsere eigene Domain mit Cloudflare Workers und R2 aus. MapLibre stellt die Karte im Browser dar; die Bibliothek ist selbst kein externer Kartendienst.

Zur Analyse fragen wir über unseren Server öffentliche Datendienste ab, insbesondere die Geodaten- und Bodenrichtwertdienste der Länder und des Bundes, das PVGIS der Gemeinsamen Forschungsstelle der Europäischen Kommission und die Solar API von Google. Übermittelt werden dabei Koordinaten oder Flurstücksangaben des Objekts, keine Namen oder Kontaktdaten. Direkt in deinem Browser laden, je nach Kartenansicht, Kartenkacheln von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich) sowie Kartenebenen der Länderdienste (Hamburg, Niedersachsen, Nordrhein-Westfalen, Hessen, Berlin, Bayern). Bei Ausfall der eigenen Grundkarte laden wir als Ausweichkarte basemap.de über den Dienst des Bundesamts für Kartographie und Geodäsie. Diese Anbieter erhalten deine IP-Adresse und den angefragten Kartenausschnitt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit du angemeldet bist, sonst Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der angefragten Analyse).

Hinweis für Personen, die selbst nicht Nutzer sind (Art. 14 DSGVO), etwa Eigentümer: Angaben zu einem Objekt können sich auf dich beziehen. Kategorien: Lage- und Objektangaben (zum Beispiel Flurstück, Gebäude, Bodenrichtwert), soweit sie in den genannten öffentlichen Quellen veröffentlicht sind; Namen von Eigentümern erheben wir nicht gezielt. Quelle: die in diesem Abschnitt genannten Datendienste. Empfänger: der Nutzer, der das Objekt prüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Bereitstellung öffentlich zugänglicher Objektinformationen für Nutzer, die das Objekt prüfen. Eine einzelne Benachrichtigung unterbleibt, weil sie einen unverhältnismäßigen Aufwand erfordern würde (Art. 14 Abs. 5 lit. b DSGVO). Widersprechen kannst du jederzeit unter support@reesinsy.com.

7. Dossier, Uploads und Teilen von Mappen

Speicherst du Objekte, Angaben, Fotos oder Dokumente im Dossier, verarbeiten wir sie, um sie dir anzuzeigen, auszuwerten und in deine Mappen zu übernehmen. Dateien liegen in einem privaten Speicher; nur du hast Zugriff. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Lade bitte keine Daten Dritter hoch, die du nicht weitergeben darfst.

Mappe teilen: Du kannst eine Mappe über einen geschützten Link mit Zugangscode freigeben. Dafür speichern wir die E-Mail-Adresse der Person, an die du die Mappe weitergibst (Daten eines Dritten), den von dir genannten Zweck, die Gültigkeit, die Zahl der Abrufe und die Zugriffe auf den Link (Zeitpunkt und Art, zum Beispiel geöffnet oder heruntergeladen). Link und Zugangscode zeigen wir dir an; du gibst sie selbst weiter, wir schreiben der Empfängerin oder dem Empfänger nicht. Zweck ist, dass nur die gewählte Person die Mappe in der gewählten Zeit abrufen kann und du die Zugriffe nachvollziehen kannst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (deine Freigabe) und Art. 6 Abs. 1 lit. f DSGVO (Schutz der Mappe). Die Empfängerin oder der Empfänger kann sich jederzeit unter support@reesinsy.com melden, um Auskunft zu erhalten oder zu widersprechen. Die Daten zum Link löschen wir mit dem Link oder mit deinem Konto.

8. Käufe und Zahlung

Für Käufe verarbeiten wir Produkt, Objekt, Betrag, Zahlungsstatus, Rechnungsdaten und den Nachweis deiner Zustimmung zur sofortigen Bereitstellung (Fassung des gezeigten Texts, Prüfsumme und Zeitpunkt). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrung) und Art. 6 Abs. 1 lit. f DSGVO (Nachweis der Zustimmung).

Die Zahlung wickelt die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, ab. Du gibst deine Zahlungsdaten direkt bei Stripe ein; wir erhalten sie nicht vollständig, sondern nur Zahlungsstatus, Zahlart und eine Kundenkennung. Stripe verarbeitet die Zahlungsdaten auch in eigener Verantwortung, etwa zur Betrugsabwehr und zur Erfüllung gesetzlicher Pflichten; dafür gilt die Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

9. E-Mails und Kontakt

Schreibst du uns, etwa an support@reesinsy.com, verarbeiten wir deine Nachricht und Kontaktdaten, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto oder einen Kauf geht, sonst Art. 6 Abs. 1 lit. f DSGVO.

Wir senden dir E-Mails, die zu deinem Konto oder deinen Käufen gehören: Anmeldelinks, Bestellbestätigungen, Rechnungen und Hinweise zum Stand. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere E-Mails erhältst du nur, wenn du sie im Konto auswählst (Art. 6 Abs. 1 lit. a DSGVO); die Auswahl kannst du dort jederzeit ändern.

10. Weitergabe an Partner

An Partner wie Handwerker, Finanzierungs- oder Versicherungsfachleute geben wir deine Angaben nur weiter, wenn du im Einzelfall einwilligst. Vor der Einwilligung siehst du Kategorie, Zweck und die Daten, die weitergehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kannst du im Konto mit Wirkung für die Zukunft widerrufen. Der Partner verarbeitet die Daten danach in eigener Verantwortung.

11. Optionale Reichweitenmessung

Google Analytics 4 wird erst aktiviert, wenn du „Reichweitenmessung“ ausdrücklich erlaubt hast. Die gemeinsame Google-Tag-Bibliothek kann auch ausschließlich für das getrennt erlaubte Google-Marketing geladen werden; dadurch wird Analytics nicht aktiviert. Anbieter ist Google Ireland Limited. Verarbeitet werden können Seitenaufrufe freigegebener öffentlicher Seiten mit bereinigter Seitenadresse, Zeitpunkt, Geräte- und Browserklasse sowie die ungefähre Herkunft eines Aufrufs. Nach derselben Zustimmung senden wir außerdem feste Ereignisse: Eingabe begonnen, Suche bewusst bestätigt, Anmeldefenster angezeigt oder vom Nutzer geschlossen, Anmeldelink vom Anbieter angenommen, Objektprüfung begonnen, Ergebnis angezeigt, neue Speicherung bestätigt, Objekt wiederhergestellt oder bereits vorhanden und eine Suche oder Speicherung abgelehnt. Eine angenommene Anmeldelink-Anfrage belegt weder die E-Mail-Zustellung noch eine abgeschlossene Anmeldung oder Kontoerstellung. Ereignisparameter enthalten nur festgelegte Kategorien, etwa Einstieg, Methode, Kontostatus und Fehlergrund. Zusätzlich erfassen wir die Sprache der Oberfläche, das gewählte Suchland sowie – nur aus strukturiert bestätigten Ortsdaten – die grobe Suchregion und Suchstadt als Stadtschlüssel. Neutrale Nutzungsauswahlen wie Kaufen, Verkaufen, Besitzen, Beobachten und Weitersuchen werden als Kategorien gezählt. Die Auswahl „geerbt“ wird nicht an Google übertragen. Vollständige Immobilienadressen, Hausnummern, Postleitzahlen und Koordinaten werden nicht als Messparameter übermittelt. Diese erweiterte Messung beginnt erst nach einer erneuten ausdrücklichen Auswahl. Bei Kampagnenlinks verwenden wir nur geprüfte Kampagnenkürzel aus utm_source, utm_medium, utm_campaign, utm_id und utm_content. Suchbegriffe und beliebige URL-Werte werden nicht übertragen. Die vollständige URL wird nicht übermittelt. Feste Schritte der neuen Aufnahme einschließlich Validierungsfehler und Abschluss werden ohne Formularinhalte gezählt. Auf den genauen Dossier- und Aufnahme-Pfaden /de/dossier, /en/dossier, /de/aufnahme und /en/aufnahme sind die festen Ereignisse auch bei vorhandenen Suchparametern erlaubt; an Google gehen dabei ausschließlich der bereinigte Ursprung und Seitenpfad, ein fester Seitentitel und eine leere Verweisadresse. Übertragen werden keine vollständige Adresse, keine Suchtexte oder Werte aus URL-Suchparametern, keine E-Mail-Adresse, keine Objektangaben und keine Kennung deines reesinsy-Kontos. Kontoseiten, Anmelderückkehr, Vorschau-Zugang und Dokumente bleiben ausgeschlossen. Google Signals und erweiterte Conversions bleiben für Analytics deaktiviert. Ohne die zusätzliche Google-Marketing-Einwilligung bleiben auch Werbespeicherung, Werbenutzerdaten und Anzeigenpersonalisierung gesperrt. Nur mit dieser separaten Einwilligung können gültige Google-Anzeigen-Klickkennungen (gclid, gbraid, wbraid) zur Werbezuordnung in die ansonsten bereinigte Analytics-Seitenadresse aufgenommen werden. Google Analytics setzt nach der Zustimmung Cookies mit Namen wie _ga.

Mit derselben Zustimmung zählen wir auf eigenen Servern, welche Schritte genutzt werden (zum Beispiel Adresse gesucht, Analyse angezeigt, Immobilie gespeichert). Dafür wird eine zufällige Kennung im Browser gespeichert (reesinsy.anonId im lokalen Speicher, reesinsy.sessionId für die Sitzung). Übertragen werden keine Adresse, keine E-Mail-Adresse und keine Objektangaben.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß oder das Schildsymbol unten links ändern oder widerrufen. Dann wird die weitere Übertragung gesperrt, erreichbare Analytics-Cookies und die Kennungen werden entfernt. Die bis zum Widerruf erfolgte Verarbeitung bleibt rechtmäßig.

11a. Optionales Meta-Marketing auf Facebook und Instagram

Nur wenn du die eigene Auswahl „Meta-Marketing“ ausdrücklich aktivierst, übermittelt unser Server festgelegte Ereignisse an Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland: Aufruf des Such-Einstiegs, bewusst abgeschickte Suche, Beginn und feste Schritte der Aufnahme, Abschluss der Aufnahme, Validierungs- und Speicherfehler, bestätigtes Suchergebnis, neue Objektspeicherung, Suchfehler, erreichtes Objektlimit und bewusstes Schließen beziehungsweise Verlassen einer noch offenen Suche. Eine abgesendete Suche ist kein bestätigter Erfolg, ein Suchfehler kein Kauf. Die Übermittlung dient der Messung unserer Werbung und der Wiederansprache auf Facebook und Instagram. Wir aktivieren dadurch weder Werbung noch einen Newsletter.

Meta erhält Ereignisart, Zeitpunkt, eine zufällige Ereigniskennung gegen Doppelzählungen, deine IP-Adresse, Browserangaben und eine zufällige Browserkennung (_fbp, höchstens 90 Tage). Nur nach der erneuerten ausdrücklichen Meta-Auswahl (Fassung 2) übernehmen wir außerdem eine einzelne gültig formatierte Meta-Anzeigen-Klickkennung (fbclid) aus dem aktuellen Link und speichern sie als _fbc. Damit kann Meta ein freigegebenes Ereignis einem Anzeigenklick zuordnen. Ohne eine solche Kennung im Link wird keine Anzeigen-Klickkennung erzeugt. Wiederholte Aufrufe desselben Links verändern den ursprünglichen Kennungszeitpunkt nicht. Ein neuer Anzeigenlink kann die bisherige Kennung ersetzen; dadurch verlängert sich der ursprüngliche serverseitige Zustimmungszeitraum nicht. _fbc wird nur für diesen Zweck, höchstens 90 Tage und längstens bis zum Ende des serverseitigen Zustimmungsstands gespeichert. Die Kennung wird als eigenes Zuordnungsfeld übermittelt, nicht als vollständiger Link. Frühere Meta-Zustimmungen gelten nicht für diesen erweiterten Umfang und werden nicht automatisch übernommen. Meta kann die Signale mit einem bestehenden Meta-Konto verbinden und für die Messung und Personalisierung von Werbung verwenden. Wir erhalten daraus nicht dein Instagram- oder Facebook-Profil. An Meta gehen in diesem Einbau nur die feste Domain-Adresse https://reesinsy.com/, keine besuchte Unterseite oder URL-Suchparameter, keine gesuchte Immobilienadresse, Suchtexte, Stadt-/Absichtsdaten, E-Mail-Adressen, Konto-/Objektkennungen, Dokumente oder Finanzierungs- und Erbschaftsangaben. Ein Browser-Pixel und automatisches Auslesen von Formularen sind nicht eingebaut. Die Google-Reichweitenmessung und deren Zustimmung bleiben davon unabhängig; eine frühere Analytics-Zustimmung aktiviert Meta nicht.

Rechtsgrundlage ist deine separate Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Du kannst Meta-Marketing jederzeit über „Cookie-Einstellungen“ oder das Schildsymbol ausschalten. Dann sperren Browser und Server weitere Ereignisse dieses Einwilligungsstands und entfernen die dafür gesetzten Cookies. Eine vor dem Widerruf bereits übermittelte oder begonnene Anfrage kann nicht zurückgerufen werden. Ohne diese Zustimmung bleibt die Website nutzbar. Bei Netzwerkproblemen oder hart beendetem Browser kann ein Abbruch ungemessen bleiben.

Die Auswahl wird höchstens 180 Tage lokal gespeichert. Ein signiertes, nur für unseren Server lesbares Cookie (__Host-reesinsy_meta, höchstens 90 Tage und längstens bis zum Ende der Auswahl) verknüpft sie mit dem serverseitigen Zustimmungsstand. Im Cloudflare Durable Object speichern wir dafür nur eine zufällige Kennung, Zeitpunkt, Fassung, Ablauf und Widerrufsstatus sowie die Browserkennung und gegebenenfalls die Anzeigen-Klickkennung; nach Widerruf werden beide Kennungen dort entfernt. Zustellkennungen und Status gegen Doppelzählungen löschen wir nach 48 Stunden aus der aktiven Ablage. Cloudflares technische Wiederherstellungssicherungen können frühere Datenstände noch bis zu 30 Tage enthalten; sie werden nicht für Messung oder Werbung verwendet. Ein alter Zustimmungsstand darf daraus nicht wieder aktiviert werden. IP-Adresse und Browserangaben werden nicht in dieser Zustimmungs-/Zustellablage gespeichert. Der Zustimmungsstand wird spätestens mit dem Ablauf gelöscht. Die Speicherung bei Meta richtet sich nach dessen [Datenschutzrichtlinie](https://www.facebook.com/privacy/policy/).

Für die in Metas Business-Tools-Bedingungen beschriebene gemeinsame Erhebung und Übermittlung sind wir mit Meta Ireland nach Art. 26 DSGVO gemeinsam verantwortlich. Die anschließende Verarbeitung bei Meta liegt in dessen Verantwortung. Die [Vereinbarung über gemeinsame Verantwortlichkeit](https://www.facebook.com/legal/controller_addendum) verteilt die Pflichten: Wir informieren über unseren Einbau und holen die nötige Zustimmung ein; Meta stellt insbesondere Informationen zu seiner Verarbeitung, Sicherheit und zur Ausübung der Betroffenenrechte bereit. Du kannst deine Rechte gegenüber beiden Verantwortlichen geltend machen. Einzelheiten zu Metas Verarbeitung, internationalen Übermittlungen und Kontaktmöglichkeiten stehen in der verlinkten Datenschutzrichtlinie. Diese Einbindung unterliegt weiterhin einer rechtlichen Prüfung; eine anwaltliche Freigabe wird nicht behauptet.

11b. Optionales Google-Marketing über Google Ads und YouTube

Nur nach der gesonderten Auswahl „Google-Marketing“ aktivieren wir das bestehende Google-Ads-Tag. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Zweck sind Werbeerfolgsmessung und die Wiederansprache interessierter Besucher über Google Ads und YouTube. Diese Auswahl ist unabhängig von Reichweitenmessung und Meta-Marketing; eine frühere Zustimmung aktiviert sie nicht.

Übertragen werden IP-/Browserinformationen, Zeitpunkte, Google-Anzeigen-Klickkennungen (gclid, gbraid, wbraid, nur gültige einzelne Werte), die besuchte freigegebene öffentliche Seite, ein fester Seitentitel, ein geprüfter Verweis und die Oberflächensprache und feste Kategorien für Suche abgesendet, Suchergebnis, Suchfehler, Aufnahme begonnen, Schritt abgeschlossen, Aufnahme abgeschlossen, bewusst verlassen, neue Speicherung bestätigt und Speicherfehler. Suchadressen, Suchtexte, Stadt-/Absichtsdaten, Preise, E-Mail-Adressen, Konto-/Objektkennungen, Erb-Angaben, Dokumente und Formularinhalte werden nicht an das Ads-Tag übermittelt. Auf Erbschafts-, Finanzierungs- und privaten Kontoseiten wird der Ads-Versand gesperrt. Googles zusätzlicher CCM-Transport verwendet trotz unserer festen Domain-Parameter den tatsächlichen öffentlichen Seitenpfad und den ursprünglichen Verweis. Deshalb aktivieren wir Google-Marketing nicht bei unbekannten URL-Parametern, unzulässigen Kampagnenwerten, privaten oder mit Suchparametern versehenen Verweisen sowie externen Verweisen mit Unterseiten. Das kann die Werbemessung bei solchen Einstiegen einschränken; die notwendige Website-Nutzung bleibt möglich. Automatisches Auslesen persönlicher Formularangaben, erweiterte Conversions und Google Signals in Analytics werden nicht aktiviert. Ein Aufnahmeabschluss ist weder ein Kauf noch ein neu registriertes Konto.

Google kann die Daten mit seinem bestehenden Konto-/Werbenetzwerk verbinden; wir erhalten dadurch nicht dein Google-Profil. Anzeigenklicks können mit Google-Cookies wie _gcl_* für höchstens 90 Tage zugeordnet werden. Die lokale Auswahl gilt höchstens 180 Tage. Bei Widerruf sperren wir weitere Marketing-Ereignisse und entfernen erreichbare _gcl_*-Cookies. Bereits verarbeitete Daten werden dadurch nicht rückwirkend gelöscht. Googles Speicherung und Verwendung richten sich ergänzend nach den [Google-Datenschutzhinweisen](https://policies.google.com/privacy). Es werden keine Anzeigen oder Newsletter allein durch die Zustimmung gestartet.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst diese Auswahl jederzeit über die Cookie-Einstellungen widerrufen. Die technische Einrichtung der Einwilligung ersetzt keine abschließende rechtliche Prüfung.

11c. Zusätzliche freiwillige Kaufanalyse mit Google

Nur wenn du zusätzlich zur Reichweitenmessung die eigene Auswahl „Kaufanalyse mit Google“ aktivierst, ordnen wir bestätigte Käufe unserer Berichte und deren Rückzahlungen deiner vorhandenen Google-Analytics-Browser- und Sitzungskennung zu. Eine frühere Zustimmung zur Reichweitenmessung, Google-Marketing oder Meta-Marketing aktiviert diesen Zweck nicht. Der Kauf bleibt ohne diese Auswahl möglich. Anbieter ist Google Ireland Limited.

Übermittelt werden ein generischer Berichtsposten ohne Immobilienbezug, eine zufällige Bestellkennung gegen Doppelzählungen, der tatsächliche Zahlungszeitpunkt, der Nettobetrag und getrennte Steuer-/Versandbeträge sowie die Währung. Rückzahlungen werden als zusätzlicher tatsächlich bestätigter Nettobetrag zur gleichen Bestellung gezählt. Keine E-Mail-Adresse, Namen, Kennung deines reesinsy-Kontos, Immobilienadresse, Immobilienpreis, Erb-Angaben, Dokumente oder Karten-/Bankdaten gehen über diesen Weg an Google. Unsere Server verwenden dafür den verifizierten Zahlungsstatus und die tatsächliche Aufschlüsselung aus Stripe. Ein Klick, eine offene Zahlungsseite oder die Rückkehr zur Website gelten nicht als bezahlter Kauf. Die Übermittlung kann auch erfolgen, wenn du nach der Zahlung nicht zur Website zurückkehrst; die Zweckfreigabe wird dann erneut serverseitig geprüft. Es werden keine Käufe vor dieser eigenen Zustimmung nachträglich zugeordnet.

Die vorhandenen Browser- und Sitzungskennungen fragen wir beim Google-Tag ab, ohne zusätzliche Identitäten zu erfinden oder die Formulardaten auszulesen. Das getrennte, signierte Cookie __Host-reesinsy_purchase enthält eine zufällige Zweckkennung und den Ablauf, keine dieser Google-Kennungen. Es ist nur vom Server lesbar und gilt höchstens 90 Tage. Im vorhandenen Cloudflare-Worker speichern wir getrennt die Zweckfreigabe mit Zeitpunkt und Widerrufsstatus sowie die zur Bestellung gehörenden Kennungen und Zustellbelege gegen Doppelzählungen. Die Zweckfreigabe endet spätestens nach 90 Tagen; gebundene Bestellbelege werden spätestens drei Tage nach diesem Ablauf gelöscht. Bei Widerruf entfernen wir die Kennungen aus der Freigabe und sperren die weitere Übermittlung auch für zuvor gebundene Bestellungen. Schon angelegte, danach gesperrte Bestellbelege unterliegen weiterhin der genannten Löschfrist. Cloudflares technische Wiederherstellungssicherungen können ältere Datenstände noch bis zu 30 Tage enthalten; daraus wird keine alte Zustimmung erneut aktiviert. Die Analytics-Aufbewahrung von Ereignisdaten richtet sich nach dem oben beschriebenen Analytics-Zweck.

Diese Auswahl erteilt keine zusätzliche Werbefreigabe. Beim serverseitigen Kaufversand bleiben Anzeigen-Nutzerdaten und Anzeigenpersonalisierung ausdrücklich gesperrt. Sie aktiviert weder erweiterte Conversions noch Meta-Kaufmessung oder einen Newsletter. Die Verarbeitung stützen wir auf deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit über die Cookie-Einstellungen mit Wirkung für die Zukunft widerrufen. Bereits rechtmäßig verarbeitete Daten werden dadurch nicht automatisch rückwirkend gelöscht; deine Betroffenenrechte bleiben bestehen. Die technische Ergänzung ersetzt keine abschließende rechtliche Prüfung.

11d. Zusätzliche freiwillige Kaufmessung mit Meta

Nur wenn du zusätzlich zu „Meta-Marketing“ ausdrücklich „Kaufmessung mit Meta“ aktivierst, übermitteln wir bestätigte Käufe unserer kostenpflichtigen Berichte an Meta Platforms Ireland Limited. Zweck ist die Messung des Erfolgs unserer Werbung und die Wiederansprache auf Facebook und Instagram. Meta kann die Signale mit deinem Meta-Konto verbinden. Deine frühere Meta-Marketing-Auswahl, eine Google-Kaufzustimmung oder der Abschluss des Kaufvertrags aktivieren diesen zusätzlichen Zweck nicht. Kaufen bleibt ohne diese Auswahl möglich.

Übermittelt werden die feste Ereignisart Purchase, der ursprüngliche bestätigte Zahlungszeitpunkt, eine zufällige Bestellreferenz gegen Doppelzählung, die neutrale Bezeichnung „Reesinsy report“, der tatsächlich bezahlte Nettobetrag unserer Berichtsgebühr ohne Steuer und Versand sowie EUR. Dazu kommen die zuvor erlaubte Meta-Browserkennung und gegebenenfalls Anzeigen-Klickkennung sowie IP-Adresse und Browserangaben aus deinem Checkout. Es gehen keine Immobilienadresse, Immobilienpreise, Finanzierungs- oder Erbschaftsangaben, Kontaktdaten, Dokumente oder Bank-/Kartendaten an Meta. Ein geöffnetes Zahlungsfenster, ein Klick oder eine offene beziehungsweise Testzahlung ist kein bestätigter Kauf. Rückzahlungen senden wir nicht als negative Meta-Käufe; Meta-Kaufberichte sind deshalb kein vollständiger Nettoerlösnachweis nach Erstattungen.

Vor der Weiterleitung an Stripe binden wir nur deine gerade neu angelegte Bestellung an diese eigene Zustimmung. Die dabei vorhandene Anzeigenkennung bleibt für diese Bestellung fest; ein späterer Anzeigenlink ändert ihre Zuordnung nicht. Der tatsächliche Zahlungsstatus, die Beträge und der Originalzeitpunkt werden später anhand verifizierter Stripe-Daten geprüft. Frühere Käufe ohne diese Bindung werden nicht nachträglich deinem Werbeprofil zugeordnet. Es gibt keinen zusätzlichen Browser-Pixel oder automatisches Auslesen von Formularen. Die feste Domain-Adresse https://reesinsy.com/ enthält keine privaten Unterseiten oder Suchparameter.

Ein eigenes signiertes, nur für unseren Server lesbares Cookie (__Host-reesinsy_meta_purchase) verweist auf den zusätzlichen Zustimmungsstand. Es gilt höchstens 90 Tage, längstens bis zum Ablauf deiner gespeicherten Auswahl und des zugehörigen Meta-Marketing-Zustands. Serverintern speichern wir eine zufällige Zweckkennung, Zeitpunkt, Ablauf und Widerrufsstatus sowie die Bindung an den bestehenden Meta-Zustimmungsstand. Für eine noch offene gebundene Bestellung werden Browser-/Anzeigenkennung, IP-Adresse und Browserangaben aus dem Checkout vorübergehend benötigt. Nach abgeschlossenem Kauf-Zustellversuch entfernen wir diese Angaben aus ihrer Bestellbindung; dasselbe gilt beim Wiedererkennen eines verlorenen Kauf-Zustellversuchs und nach dem Zustellversuch eines bestätigten Checkout-Ablaufs. Die zufällige Bestellzuordnung, der Originalzeitpunkt und der Zustellstatus bleiben zur Verhinderung von Doppelzählungen bis zum ursprünglichen Zweckablauf gespeichert, höchstens 90 Tage. Der Zweck wird nicht durch erneute Aufrufe verlängert. Technische Cloudflare-Wiederherstellungssicherungen können frühere Datenstände bis zu 30 Tage enthalten; daraus wird keine widerrufene Zustimmung wieder aktiviert.

Rechtsgrundlage ist deine zusätzliche Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Du kannst die Kaufmessung oder Meta-Marketing jederzeit in den Cookie-Einstellungen ausschalten. Ein Widerruf von Meta-Marketing sperrt auch die zusätzliche Kaufmessung. Weitere Übertragungen dieses Zustimmungsstands werden dann gesperrt und das eigene Zustimmungs-Cookie bei Widerruf entfernt. Bereits begonnene oder rechtmäßig abgeschlossene Übertragungen lassen sich nicht zurückrufen; deine Betroffenenrechte bleiben bestehen. Für Meta-Verantwortlichkeit und internationale Übermittlungen gelten die Hinweise in Abschnitt 11a. Die Speicherung bei Meta richtet sich nach dessen Datenschutzrichtlinie. Diese technische Ergänzung ersetzt keine abschließende rechtliche Prüfung.

11e. Zusätzliche freiwillige Checkoutmessung mit Meta

Nur wenn du zusätzlich zu Meta-Marketing und Kaufmessung ausdrücklich „Checkoutmessung mit Meta“ auswählst, erhält Meta auch feste Ereignisse zur Zahlungsstrecke unserer Berichte: erfolgreiche Bereitstellung einer Live-Zahlungssitzung (InitiateCheckout), tatsächlicher Ablauf dieser Sitzung (CheckoutExpired) sowie das Scheitern einer verzögerten Zahlung (CheckoutFailed). Zweck ist Werbeerfolgsmessung und Wiederansprache auf Facebook und Instagram. Eine bereitgestellte Sitzung beweist nicht, dass die Zahlungsseite im Browser geladen wurde. Ablauf ist kein Nachweis eines bestimmten Abbruchgrundes; der Fehler betrifft verzögerte Zahlungsmethoden, nicht jeden Kartenfehler. Keine dieser Phasen wird als Kauf oder Umsatz gezählt.

Für diese Phasen senden wir nur den festen Phasennamen, den ursprünglichen Zeitpunkt, eine zufällige Bestellreferenz gegen Doppelzählung und die zuvor erlaubten Meta-Browser-/Anzeigenkennungen, IP-Adresse und Browserangaben aus dem Checkout. Es werden weder Betrag noch Stripe-Sitzungskennung, Immobilienadresse, Kontaktdaten, Nutzungsabsicht, Dokumente oder Bank-/Kartendaten übertragen. Der vollständige Stripe-Datensatz wird nicht an Meta weitergegeben. Übermittlung erst nach erfolgreicher eigener Bestellspeicherung beziehungsweise verifiziertem Stripe-Ablauf-/Fehlersignal; ein Klick oder Browserzurück genügt nicht.

Frühere Kaufzustimmungen aktivieren diese Erweiterung nicht. Die zusätzliche Auswahl erhält einen neuen Zustimmungsstand der Revision 2 im bestehenden signierten Meta-Kaufcookie und keine neue allgemeine Kundendatenbank. Die Bindung gilt nur für eine danach neu angelegte Bestellung, nicht rückwirkend für ältere Sitzungen. Die neue kombinierte Freigabe ersetzt den vorherigen Zustimmungsstand für künftigen Versand; bereits gebundene ältere Bestellungen werden nicht auf den erweiterten Umfang umgestellt. Beim Abwählen nur der Checkoutmessung wird der bestehende Stand wieder auf Kaufmessung begrenzt, ohne Zeit oder Ablauf zu verlängern; weiterhin erlaubte bestätigte Käufe bleiben möglich. Kaufmessung oder Meta-Marketing ausschalten sperrt auch die Checkoutphasen. Kaufen bleibt ohne diese Auswahl möglich.

Für dieselbe Phase derselben Bestellung wird ein dauerhafter Versandbeleg geführt. Bei unklarem Versand erfolgt keine blinde Wiederholung. Für eine noch offene Sitzung werden die gebundenen technischen Kennungen bis zum bestätigten Kauf-/Ablauf-Zustellversuch oder ursprünglichen Zweckablauf benötigt, längstens 90 Tage; danach wird die Bestellbindung gelöscht. Die zufällige Bestellzuordnung, interne Stripe-Sitzungsbindung, Originalzeit und Zustellstatus werden nur bis zum ursprünglichen Zweckablauf gegen Doppelzählung aufbewahrt. Kein erneuter Aufruf verlängert diese Frist. Die Hinweise zu Cloudflare-Wiederherstellungssicherungen und zu Meta-Verantwortlichkeit/Übermittlungen aus 11a und 11d gelten ebenfalls. Rechtsgrundlage ist deine zusätzliche Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO; du kannst sie über die Cookie-Einstellungen für die Zukunft widerrufen. Bereits begonnene Übertragungen lassen sich nicht zurückrufen. Anwaltliche Prüfung offen.

12. Optionale Fehlerdiagnose

Diagnosedaten senden wir nur nach deiner Zustimmung, sobald die Fehlerdiagnose mit Sentry (Functional Software, Inc., USA) für die Website aktiviert ist. Sie können technische Fehler, App-Version, Seite und Geräteklasse umfassen, nie Immobilieninhalte oder Dokumente. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit über das Schildsymbol widerrufen kannst.

13. Empfänger und Auftragsverarbeiter

Wir setzen Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO):

• Supabase, Inc. (USA): Anmeldung, Datenbank und privater Dateispeicher. Datenregion: EU Nord (Stockholm, Schweden).
• Cloudflare, Inc. (USA): Hoster der Anwendung (Cloudflare Workers; die Ausführung erfolgt weltweit nahe am Nutzer), Zwischenspeicher (R2, Standorthinweis Osteuropa), DNS, Auslieferung, Schutz vor Angriffen, Bot-Schutz (Turnstile) und E-Mail-Versand.
• Resend, Inc. (USA): ersatzweiser E-Mail-Versand, Datenregion EU (Irland).
• Google Ireland Limited (Irland): Anmeldung mit Google (Google handelt dabei in eigener Verantwortung), Solar API, Reichweitenmessung und getrenntes Google-Marketing nach jeweiliger Einwilligung.
• Functional Software, Inc. (Sentry, USA): Fehlerdiagnose nach Einwilligung, sobald aktiviert.

Als weiterer Empfänger erhält komoot über den öffentlichen Photon-Dienst den Suchtext und die Suchparameter unserer serverseitigen Adresssuche (Abschnitt 6).

Eigenständig verantwortlich sind Stripe (Zahlung, Abschnitt 8), Partner, an die du Daten freigibst (Abschnitt 10), die OpenStreetMap Foundation und die amtlichen Kartendienste (Abschnitt 6). Das PVGIS der Europäischen Kommission und die amtlichen Datendienste erhalten bei der Analyse nur Koordinaten oder Flurstücksangaben.

14. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA. Die Übermittlung dorthin stützen wir auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF, Art. 45 DSGVO), soweit der Anbieter danach zertifiziert ist, und im Übrigen auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Die Angaben beruhen auf den öffentlichen Auftragsverarbeitungsverträgen und Datenschutzseiten der Anbieter, abgerufen am 19.10.2026:

• Cloudflare: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anbieter-DPA, Version 6.4, Stand 03.04.2026). Übermittlung in die USA auf Grundlage des DPF (Cloudflare nennt seine DPF-Zertifizierung), ergänzend Standardvertragsklauseln.
• Supabase: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anbieter-DPA, Version 1, Stand 01.08.2026). Übermittlung auf Grundlage von Standardvertragsklauseln.
• Resend: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anbieter-DPA, Stand 31.12.2025). Übermittlung in die USA auf Grundlage des DPF (Resend nennt seine DPF-Zertifizierung), ergänzend Standardvertragsklauseln.
• Sentry (Functional Software): Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anbieter-DPA). Übermittlung in die USA auf Grundlage des DPF (Sentry nennt seine DPF-Zertifizierung), ergänzend Standardvertragsklauseln.
• Google: Für Dienste, bei denen Google als Auftragsverarbeiter handelt, gilt der Datenverarbeitungszusatz von Google (Stand beim Abruf 19.10.2026) mit Standardvertragsklauseln. Beim Login mit Google handelt Google in eigener Verantwortung.
• Stripe: Stripe verarbeitet Zahlungsdaten in eigener Verantwortung (Abschnitt 8); Stripe nennt seine DPF-Zertifizierung und hat einen Datenverarbeitungszusatz (Stand 28.09.2026), ergänzend Standardvertragsklauseln.

Die OpenStreetMap Foundation sitzt im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der EU-Kommission gilt (Art. 45 DSGVO). Eine Kopie der Garantien erhältst du unter support@reesinsy.com.

15. Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist:

• Kontodaten, Dossier und Uploads bis zur Löschung des Kontos; die Löschung kannst du im Konto auslösen.
• Rechnungen und Buchungsbelege bis zu acht Jahre, Handels- und Geschäftsbriefe sechs Jahre, Bücher und Abschlüsse zehn Jahre (§ 147 AO, § 257 HGB).
• Nachweise zur Zustimmung bei Käufen so lange, wie Ansprüche aus dem Kauf geltend gemacht werden können.
• Einwilligungsabhängige Daten bis zum Widerruf, längstens: Google-Analytics-Daten 2 Monate, Kennungen im Browser (reesinsy.anonId) bis zum Ablauf der Einwilligung nach 180 Tagen und danach gelöscht beim nächsten Besuch, eigene Schrittzählung 13 Monate nach der Erfassung.
• Anfragen an support@reesinsy.com löschen wir spätestens 12 Monate nach Abschluss der Anfrage; steuer- oder handelsrechtlich aufbewahrungspflichtige Korrespondenz bleibt nach den Fristen in diesem Abschnitt erhalten.

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Schreib uns dazu an support@reesinsy.com.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen Behörde: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

17. Widerspruchsrecht nach Art. 21 DSGVO

Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, es bestehen zwingende schutzwürdige Gründe oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Einwilligungen kannst du ohnehin jederzeit widerrufen.

18. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Für Konto und Käufe brauchen wir deine E-Mail-Adresse; ohne sie können wir den Vertrag nicht schließen. Alle weiteren Angaben sind freiwillig. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet nicht statt: Werte und Einschätzungen sind Rechenergebnisse, die wir dir anzeigen, keine Entscheidungen über dich.

19. Änderungen

Wir passen diese Hinweise an, wenn sich Dienste oder Rechtslage ändern. Es gilt die hier veröffentlichte Fassung.

English: Protecting sign-in from automated requests (Cloudflare Turnstile)

Requesting a sign-in link by e-mail runs a check with Cloudflare Turnstile. The provider is Cloudflare, Inc. (USA). The purpose is to tell people apart from automated programs and so protect sign-in and the e-mail service from bulk requests and abuse. The check only loads once the e-mail sign-in form is opened or used, not on a plain page visit.

According to Cloudflare, Turnstile processes signals from the browser for this: the IP address, a TLS fingerprint, the User-Agent header, and this website’s sitekey together with the requesting origin. Cloudflare states that it cannot directly identify individuals from these signals. For bot detection Cloudflare acts on our behalf; to improve Turnstile, Cloudflare states that it uses the signals as an independent controller. The result of the check is a single-use token that is sent with the sign-in request to our sign-in service. Cloudflare’s Turnstile privacy addendum does not state a retention period.

The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest is protecting account access and the e-mail service from automated abuse. Access to information in the browser is strictly necessary for the sign-in path the user asked for (Section 25(2) no. 2 TDDDG). Anyone who prefers not to use the check can sign in with Google in the sign-in dialog.

Cloudflare, Inc. is based in the USA. The transfer relies on the European Commission’s adequacy decision for the EU-U.S. Data Privacy Framework (Art. 45 GDPR); Cloudflare states that it is certified under it. Should the certification lapse, and for other transfers, Cloudflare names Standard Contractual Clauses.

Sources: Cloudflare: Turnstile Privacy Addendum, last updated 2025-06-18, retrieved 2026-10-13; Cloudflare: Privacy Policy, effective 2025-11-04, retrieved 2026-10-13