Datenschutzerklärung

B · Datenschutzerklärung der App Kennwert

Stand: 27.09.2026 · Fassung 3 · Fassungs-ID 2026-09-27 · gleichlautend mit der Datenschutzerklärung in der App (Konto → Rechtliches)

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Hier erfahren Sie, welche Daten die App Kennwert verarbeitet, wozu, auf welcher Rechtsgrundlage, an wen sie gehen, wie lange wir sie speichern und welche Rechte Sie haben.

1. Verantwortlicher

Nexbit GmbH
Bahnhofstraße 40
63500 Seligenstadt
Deutschland

Geschäftsführer: Yasha Zeymaran, Daniel Ulmer
Telefon: 06182 8499966
E-Mail: info@nxbt.de
Website: www.nxbt.de

Für alle Fragen zum Datenschutz erreichen Sie uns unter info@nxbt.de.

2. Das Wichtigste in Kürze

• Kennwert zeigt keine Werbung, verkauft keine Daten und nutzt keine Analyse- oder Tracking-Werkzeuge.
• Ihre Objekte, Unterlagen und Fotos liegen verschlüsselt in Rechenzentren in Frankfurt am Main (Google Cloud, Region europe-west3).
• Die Anmeldung (Firebase Authentication) verarbeitet Google in den USA.
• KI-Funktionen laufen über OpenAI; Dokumente, Fotos und Grundrisse werden nur nach Ihrer Zustimmung je Dokument ausgewertet.
• Sie können Ihre Daten jederzeit in der App exportieren und Ihr Konto löschen (Konto → „Meine Daten exportieren“, „Konto löschen“).

3. Nutzung ohne Konto

Ohne Anmeldung können Sie das Beispielportfolio ansehen („Beispielportfolio ansehen“); dabei wird nichts gespeichert und nichts übertragen. Objekte, die Sie mit einer früheren Version ohne Konto angelegt haben, bleiben verschlüsselt auf Ihrem Gerät, bis Sie sie nach der Anmeldung in Ihr Konto übernehmen oder löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App).

4. Konto und Anmeldung

Für die Nutzung mit Konto und die Synchronisation zwischen Ihren Geräten melden Sie sich mit Apple („Mit Apple anmelden“), mit Google („Mit Google anmelden“) oder mit E-Mail-Adresse und Passwort an. Unter „Konto“ → „Anmeldemethoden“ verbinden Sie mehrere Wege mit demselben Konto. Wir verarbeiten dabei:

• E-Mail-Adresse (bei Apple auf Wunsch eine Weiterleitungsadresse von Apple) und ob sie bestätigt ist,
• bei „Mit Google anmelden“ Ihre E-Mail-Adresse und eine Kennung Ihres Google-Kontos (Google-ID); Name und Profilbild, die Google mitsendet, entfernen wir aus unserem Anmeldedatensatz und verwenden sie nicht – Ihr Google-Profilbild nur, wenn Sie es selbst mit „Google-Profilbild übernehmen“ als Profilbild festlegen,
• eine technische Kennung (uid), die Anmeldeart und die Zeitpunkte von Anlage und letzter Anmeldung,
• Ihr Passwort nur als nicht umkehrbaren Hashwert beim Anmeldedienst – wir sehen es nie,
• den Namen aus dem Apple-Dialog nur auf Ihrem Gerät; einen Anzeigenamen nur, wenn Sie ihn selbst im Profil eintragen,
• ein Profilbild nur, wenn Sie selbst eines festlegen (Konto → „Profil“ → „Profilbild“): aufgenommen, aus Ihren Fotos gewählt oder von Ihrem Google-Konto übernommen. Vor dem Hochladen entfernt die App alle Metadaten des Fotos (z. B. Standort, Kamera, Aufnahmezeit) und speichert nur einen quadratischen Ausschnitt mit 512 × 512 Pixeln in Cloud Storage in Frankfurt; unser Server lehnt ein Bild mit solchen Daten ab. Das Bild sehen Sie und die Mitglieder der Organisationen, denen Sie angehören. „Foto entfernen“ löscht es sofort, ebenso das Löschen Ihres Kontos; im Datenexport ist es enthalten.

Anmeldedienst ist Firebase Authentication der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Anmeldedaten verarbeitet Google ausschließlich auf Servern der Google LLC in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem Google zertifiziert ist, und auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit Google. Bei „Mit Apple anmelden“ ist zusätzlich die Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, beteiligt (eigene Verantwortung von Apple).

Bei „Mit Google anmelden“ ist zusätzlich die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als Anbieterin Ihres Google-Kontos beteiligt (eigene Verantwortung von Google für die Anmeldung bei Google). Kennwert erhält nur die Grundfreigaben (E-Mail-Adresse, Google-ID, Name und Profilbild) und keinen Zugriff auf andere Google-Dienste; eine Google-Sitzung speichert die App nicht. Löschen Sie Ihr Konto und bestätigen Sie das mit Google, widerrufen wir die Freigabe bei Google; Sie können sie jederzeit in Ihrem Google-Konto unter „Sicherheit“ → „Drittanbieter-Apps und -Dienste“ selbst widerrufen.

Eine Person, ein Konto: Nutzen Sie dieselbe E-Mail-Adresse mit mehreren Anmeldewegen, führen wir diese über die bestätigte Adresse zu einem Konto zusammen. Jede Änderung Ihrer Anmeldemethoden vermerken wir in Ihrer Kontoaktivität und teilen sie Ihnen per E-Mail mit. Versucht jemand, mit Ihrer Adresse ein neues Konto anzulegen, zeigt die App keinen Hinweis darauf, ob es ein Konto gibt; nur Ihr Postfach erhält eine Nachricht. Dafür speichern wir 24 Stunden lang einen nicht umkehrbaren Hashwert der Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für den Schutz Ihres Kontos Art. 6 Abs. 1 lit. f DSGVO.

E-Mails zu Ihrem Konto: Die Mails zum Bestätigen Ihrer Adresse, zum Festlegen eines neuen Passworts („Passwort vergessen?“, „Passwort festlegen“) und den Hinweis, dass es für Ihre Adresse schon ein Konto gibt, versenden wir selbst über unseren Versanddienst Resend (siehe Abschnitt 9) vom Absender konto@kennwert.ai. Der Link darin ist einmalig und führt auf unsere Kontoseite (kennwert-1bb2b.web.app, Firebase Hosting); ist die App installiert, öffnet er direkt Kennwert. Nach Ihrer ersten Anmeldung (bei E-Mail und Passwort nach der Bestätigung) schicken wir Ihnen einmal eine Willkommens-Mail von hallo@kennwert.ai mit Hinweisen zur App – keine Werbung, kein Newsletter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Ein Passwort braucht mindestens 12 Zeichen mit Groß- und Kleinbuchstabe, Ziffer und Sonderzeichen und darf weder Ihre E-Mail-Adresse noch Ihren Namen enthalten. Beim Wählen eines Passworts prüfen die App und unsere Kontoseite, ob es in bekannten Datenlecks vorkommt. Dazu verlassen nur die ersten fünf Zeichen eines SHA-1-Hashwerts Ihr Gerät (Dienst „Pwned Passwords“, api.pwnedpasswords.com, k-Anonymität); das Passwort selbst wird nie übertragen. Legen Sie ein neues Passwort über den Link aus der E-Mail fest, prüft unser Server es genauso (ebenfalls nur mit fünf Zeichen des Hashwerts) und gibt es an den Anmeldedienst weiter, ohne es zu speichern oder zu protokollieren; danach beenden wir alle Sitzungen Ihres Kontos.

Ihre Zustimmung zu Nutzungsbedingungen und Datenschutzerklärung speichern wir mit Zeitpunkt (Serverzeit), Fassung der Texte und Anmeldeart als Nachweis. Ändern sich die Texte, bitten wir Sie in der App erneut um Zustimmung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung der App); für den Nachweis der Zustimmung Art. 6 Abs. 1 lit. c und f DSGVO.

5. Ihre Objekte, Analysen und Dateien in der Cloud

Mit Konto speichern wir Ihre Objekte (Kaufpreis, Finanzierung, Kosten, Adresse, Notizen, Analysen, Aufgaben, Verlauf, Belege), den Papierkorb sowie Unterlagen, Fotos und Grundrisse in Cloud Firestore und Cloud Storage for Firebase der Google Ireland Limited in der Region Frankfurt am Main (europe-west3); unsere Serverfunktionen (Cloud Functions) laufen ebenfalls dort. Jede Änderung trägt die uid und den Gerätetyp („iPhone“, „iPad“), damit Konflikte zwischen Geräten gelöst werden können. Jede Änderung an einem Objekt steht im Verlauf des Objekts.

Auf Ihrem Gerät hält die App eine verschlüsselte Offline-Kopie, damit sie ohne Netz funktioniert; beim Abmelden wird sie gelöscht.

Übertragungen sind per TLS verschlüsselt, gespeicherte Daten verschlüsselt der Anbieter. Sicherheitsregeln verhindern, dass Konten außerhalb Ihrer Organisation sie lesen oder ändern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Mit Google besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

6. Organisationen und Mitglieder

Ihre Daten gehören zu einer Organisation – zunächst Ihrer persönlichen. Laden Sie andere Personen ein, sehen diese die Objekte der Organisation sowie Anzeigename, Profilbild (falls festgelegt) und Rolle der Mitglieder. Einladungscodes speichern wir nur als Hashwert. Änderungen an der Organisation (Einladungen, Rollen, Mitglieder, Umbenennen, erschöpfte Tageskontingente) sieht deren Inhaber im Änderungsprotokoll; Personen stehen dort nur als gekürzter Hashwert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für das Änderungsprotokoll Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Sicherheit).

7. KI-Funktionen (OpenAI)

Einige Funktionen nutzen ein Sprachmodell von OpenAI: der Berater, die Auswertung eines Exposés, Hinweise zu Fotos und die Auswertung eines Grundrisses. Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist die OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland; verarbeitet wird auch durch die OpenAI, L.L.C. in den USA. Die Anfrage läuft über unsere Server in Frankfurt; an OpenAI gehen nur die Inhalte, die für die gewünschte Auswertung nötig sind:

• Berater: die Kennzahlen und Eingaben der Analyse (z. B. Bundesland, Objektart, Beträge) – nie Objektname, Adresse oder Kontodaten; Objekte Ihres Bestands nur anonymisiert („Objekt A, B, C“),
• Exposé, Foto, Grundriss: der Inhalt des jeweiligen Dokuments bzw. Bildes – nur nach Ihrer ausdrücklichen Zustimmung für genau dieses Dokument.

Dabei werden Daten in die USA übermittelt. OpenAI ist nicht unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag mit OpenAI. Nach Angaben von OpenAI werden über die Schnittstelle übermittelte Inhalte nicht zum Training der Modelle verwendet und höchstens 30 Tage zur Missbrauchserkennung aufbewahrt.

Rechtsgrundlage: für den Berater Art. 6 Abs. 1 lit. b DSGVO (Sie starten die Analyse, übertragen werden nur anonymisierte Zahlen); für Exposé, Foto und Grundriss Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können, indem Sie die Zustimmung am Dokument entfernen. KI-Antworten sind Informationen, keine Beratung; prüfen Sie sie vor jeder Entscheidung.

8. Adresssuche und Marktdaten

Wenn Sie eine Adresse suchen, geht Ihre Eingabe an Apple Karten (Apple Distribution International Ltd.), um Vorschläge und das Bundesland zu ermitteln. Kennwert speichert die Adresse nur an Ihrem Objekt.

Die Marktdaten-Abfrage ist vorbereitet, aber noch nicht aktiv; es werden keine Daten übertragen. Vorgesehener Dienstleister ist die Sprengnetter GmbH, Sprengnetter-Campus 1, 53474 Bad Neuenahr-Ahrweiler. Nach der Aktivierung gingen auf Ihren Abruf Adresse und Merkmale des Objekts (z. B. Wohnfläche, Baujahr) an Sprengnetter; Antworten ohne Adresse speichern wir 24 Stunden zwischen. Rechtsgrundlage wäre Art. 6 Abs. 1 lit. b DSGVO.

9. Sicherheit Ihres Kontos

Damit Sie unbefugte Zugriffe erkennen und abwehren können, verarbeiten wir:

• Geräte & Sitzungen: je Gerät Typ und Modell (z. B. „iPhone 17 Pro“), Systemversion und Zeitpunkte der ersten und letzten Nutzung; zum Wiedererkennen einen Hashwert aus Ihrer Nutzerkennung und einer zufälligen Kennung der App-Installation – keine Geräte-ID, kein Standort, keine IP-Adresse. Höchstens 50 Geräte.
• Kontoaktivität: Anmeldung auf einem neuen Gerät, Passwortänderung, Datenexport, beantragte und widerrufene Kontolöschung, Organisationen, Rollen, „Überall abmelden“, Änderungen der Zwei-Faktor-Anmeldung, der Anmeldemethoden und des Profilbilds. Sie sehen sie unter Konto → „Kontoaktivität“; niemand kann sie ändern.
• Zwei-Faktor-Anmeldung: das Geheimnis Ihrer Authenticator-App speichert der Anmeldedienst (Firebase Authentication); Ihre Wiederherstellungscodes speichern wir nur als nicht umkehrbare Hashwerte (scrypt).
• Anmeldeschutz: nach mehreren Fehlversuchen sperren wir die Anmeldung vorübergehend (fünf Fehlversuche in 15 Minuten: 15 Minuten für diese Adresse aus diesem Netz; 30 Fehlversuche in einer Stunde: eine Stunde für dieses Netz). Dafür zählen wir die Fehlversuche und speichern nur gesalzene Hashwerte von E-Mail-Adresse und Netz (IP-Adresse, bei IPv6 das /64-Netz), nie die Werte selbst; die Zähler werden nach 24 Stunden gelöscht. Genauso begrenzen wir „Passwort vergessen?“ (eine E-Mail je Minute und höchstens fünf am Tag je Adresse) und das Einlösen der Links aus unseren E-Mails (je Netz).
• Sicherheits-E-Mails: Wir schreiben Ihnen vom Absender sicherheit@kennwert.ai bei einer Anmeldung auf einem weiteren Gerät, bei einer Änderung Ihres Passworts oder Ihrer Anmeldemethoden, beim Ausschalten der Zwei-Faktor-Anmeldung und nach der Anmeldung mit einem Wiederherstellungscode – mit Gerätetyp und Zeitpunkt, ohne Links.
• Versanddienst für alle E-Mails: Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) über die EU-Region (Irland). Resend erhält Ihre E-Mail-Adresse, den Inhalt der Mail (bei Sicherheits-E-Mails Gerätetyp und Zeitpunkt, bei der Willkommens-Mail Ihren Anzeigenamen, falls Sie einen eingetragen haben) sowie Versanddaten (Zeitpunkt, Zustellstatus) und speichert sie für die Zustellung und den Nachweis. Resend verarbeitet die Daten auch in den USA und ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die EU-Standardvertragsklauseln im Auftragsverarbeitungsvertrag. Unsere E-Mails enthalten keine Zählpixel und keine Tracking-Links; das Logo ist in die Mail eingebettet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser und Ihr berechtigtes Interesse an einem sicheren Konto) und Art. 32 DSGVO.

10. Schutz vor Missbrauch und Betrieb

Damit nur die echte App unsere Server nutzt, prüfen wir jede Anfrage mit Firebase App Check und Apples App Attest (ein Gerätenachweis ohne Personenbezug).

Beim Aufruf unserer Server verarbeitet Google Cloud technisch Ihre IP-Adresse. Unsere Server protokollieren technische Ereignisse (Zeitpunkt, Funktion, Fehlercode, Organisation, einen gekürzten Hashwert der uid und in den Anfrage-Protokollen die IP-Adresse) – nie Inhalte Ihrer Objekte oder Dokumente. Die Protokolle (Google Cloud Logging) werden nach 30 Tagen gelöscht.

Für KI- und Marktdaten-Funktionen gilt ein Tageskontingent je Organisation. Dazu zählen wir Aufrufe je Tag, ohne Inhalte; die Zähler werden nach 90 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren, missbrauchsfreien und bezahlbaren Betrieb).

11. Empfänger und Auftragsverarbeiter

Ihre Daten erhalten nur die Dienstleister, die wir für den Betrieb brauchen, auf Grundlage von Verträgen zur Auftragsverarbeitung (Art. 28 DSGVO):

• Google Ireland Limited / Google LLC (Firebase: Anmeldung in den USA; Datenbank, Dateien, Serverfunktionen, Protokolle, App Check),
• OpenAI Ireland Ltd. / OpenAI, L.L.C. (KI-Funktionen, USA, EU-Standardvertragsklauseln),
• Plus Five Five, Inc. „Resend“ (E-Mails zu Ihrem Konto, Sicherheits- und Willkommens-E-Mails; Versand-Region EU, auch USA, Data Privacy Framework und Standardvertragsklauseln),
• Sprengnetter GmbH (Marktdaten, sobald aktiv; Deutschland).

Apple (Anmeldung mit Apple, App Attest, Karten) und Google als Anbieterin von „Mit Google anmelden“ handeln in eigener Verantwortung. Eine Weitergabe an andere Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet.

12. Speicherdauer

• Konto, Profil (mit Profilbild), Objekte und Dateien: bis Sie sie löschen bzw. Ihr Konto löschen.
• Papierkorb: gelöschte Objekte 30 Tage, danach endgültig.
• Kontolöschung: auf Wunsch sofort, sonst nach 30 Tagen Bedenkzeit; Reste, die ein noch angemeldetes Gerät nachträglich schreibt, entfernt ein zweiter Durchlauf. Es bleibt nur ein Beleg ohne Personenbezug (Zeitpunkt und Anzahl der gelöschten Einträge).
• Datenexport: 7 Tage in Ihrem Konto abrufbar, danach automatisch gelöscht.
• Nachweis Ihrer Zustimmung: für die Dauer des Kontos.
• Kontoaktivität und Änderungsprotokoll einer Organisation: 12 Monate.
• Verlauf eines Objekts: so lange wie das Objekt (Nachweis für Ihre Steuerunterlagen).
• Einladungscodes: bis zur Annahme oder zum Ablauf (7 Tage).
• Anmeldeschutz: 24 Stunden.
• Tageskontingente: 90 Tage.
• Zwischengespeicherte Marktdaten: 24 Stunden.
• Server-Protokolle: 30 Tage.
• Sicherungskopien der Datenbank (täglich, in Frankfurt): jede 98 Tage – gelöschte Daten verschwinden spätestens dann auch aus den Sicherungen. Zusätzlich legen wir monatlich (und vor jeder Änderung der Sicherheitsregeln) einen Vollexport von Datenbank und Dateien in einem eigenen Speicher in Frankfurt an (Google Cloud Storage, europe-west3, nicht öffentlich), um Ihre Daten unabhängig vom Anbieter wiederherstellen zu können; jeder Export wird nach 90 Tagen gelöscht, Reste spätestens nach 97 Tagen.
• Zähler für „Passwort vergessen“ und Konto-Hinweise: 24 Stunden.
• Nachweis der versendeten Willkommens-Mail (nur der Zeitpunkt): für die Dauer des Kontos.
• Bei OpenAI: höchstens 30 Tage (Missbrauchserkennung, nach Angaben von OpenAI).

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3).

Auskunft und Löschung erledigen Sie direkt in der App: Konto → „Meine Daten exportieren“ (eine ZIP-Datei mit allen Daten, maschinenlesbar) und „Konto löschen“. Für alles Weitere schreiben Sie an info@nxbt.de.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

14. Datensicherheit

Alle Verbindungen sind verschlüsselt (TLS). Auf dem Gerät sind Ihre Dateien nur bei entsperrtem Gerät lesbar. In der Cloud trennen Sicherheitsregeln die Daten verschiedener Organisationen; „Überall abmelden“ beendet alle Sitzungen, und das Löschen eines Kontos verlangt eine frische Anmeldung. Wir verbessern diese Maßnahmen laufend.

15. Keine automatisierte Entscheidung

Kennwert trifft keine Entscheidungen über Sie. Bewertungen, Kennzahlen und KI-Hinweise sind Berechnungen und Informationen für Ihre eigene Entscheidung (Art. 22 DSGVO findet keine Anwendung).

16. Änderungen

Ändert sich die Verarbeitung, passen wir diese Erklärung an und geben ihr eine neue Fassung. Angemeldete Personen sehen die Änderungen in der App und stimmen der neuen Fassung erneut zu.