Datenschutzerklärung

1. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Hamza Iqbal
handelnd unter der Bezeichnung „ZUWAB“
Heidbreede 2
49504 Lotte
E-Mail: info@zuwab.de
Telefon: +49 162 9417103

Für Datenschutzanfragen erreichen Sie uns unter: info@zuwab.de

2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Zuwab ist eine Plattform für Hausmeisterdienste und Hausverwaltungen ("Kunden") und deren Mieter. Datenschutzrechtlich gilt:

Für Besucher dieser Website und für die Daten unserer Kunden (Registrierung, Vertrags- und Abrechnungsdaten) sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
Für die Daten, die Kunden über die Plattform verarbeiten (insbesondere Mieterdaten, Schadensmeldungen, Fotos, Objekt- und Einsatzdaten), ist der jeweilige Kunde Verantwortlicher. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage unseres Auftragsverarbeitungsvertrags. Mieter wenden sich für Auskunfts- und Löschanfragen zu diesen Daten in erster Linie an ihre Hausverwaltung; wir unterstützen die Bearbeitung.

3. Datenerfassung auf dieser Website

3.1 Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:

Browsertyp und Browserversion
Verwendetes Betriebssystem
Referrer URL
Hostname des zugreifenden Rechners
Uhrzeit der Serveranfrage
IP-Adresse

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und nach spätestens 14 Tagen gelöscht. Grundlage für die Datenverarbeitung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren Bereitstellung des Dienstes).

3.2 Cookies

Unsere Website verwendet ausschließlich technisch notwendige Cookies. Diese sind erforderlich, um die Funktionsfähigkeit der Website zu gewährleisten (z.B. Session-Cookies für die Anmeldung). Es werden keine Tracking-Cookies, Werbe-Cookies oder Cookies von Drittanbietern gesetzt. Eine Einwilligung ist daher nicht erforderlich; der angezeigte Cookie-Hinweis dient lediglich Ihrer Information.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) sowie § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendige Cookies).

Folgende Cookies werden verwendet:

zuwab_admin_at, zuwab_admin_at_p, zuwab_admin_rt, zuwab_admin_rt_p – Authentifizierung Verwaltungsbereich (7 Tage, mit „Angemeldet bleiben“ 14 Tage; beim Abmelden gelöscht)
zuwab_mieter_at, zuwab_mieter_at_p, zuwab_mieter_rt, zuwab_mieter_rt_p – Authentifizierung Mieter-Portal (7 Tage, mit „Angemeldet bleiben“ 14 Tage; beim Abmelden gelöscht)
zuwab_session – Merker, ob ein Verwaltungs- oder Mieterkonto angemeldet ist (enthält nur „hausmeister“ bzw. „mieter“; Laufzeit wie Anmeldung)
zuwab_cookie_ack – speichert, dass der Cookie-Hinweis geschlossen wurde (12 Monate)
zuwab_impersonation, zuwab_imp_return – nur bei einem vom Plattformbetreiber durchgeführten Support-Zugriff (max. 7 Tage bzw. bis zum Beenden)
zuwab_db_freigabe – nur für den Plattformbetreiber: Freigabe des internen Datenbank-Werkzeugs nach erneuter Passwort-Bestätigung (15 Minuten)

Zusätzlich legt die App im Sitzungsspeicher Ihres Browsers (sessionStorage) rein technische Merker ab (z. B. für die Anzeige des Verwaltungsmenüs oder nach einem automatischen Neuladen). Diese enthalten keine personenbezogenen Daten und werden beim Schließen des Tabs gelöscht.

3.3 SSL/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt.

3.4 Anonyme Reichweitenmessung

Zur Verbesserung unseres Angebots messen wir die Reichweite unserer öffentlichen Seiten in eigener Verantwortung – cookielos und ohne Personenbezug. Pro Seitenaufruf speichern wir ausschließlich den aufgerufenen Pfad, das vom Hoster ermittelte Herkunftsland (z. B. "DE") sowie den Host der verweisenden Seite (Referrer). Es werden keine IP-Adressen gespeichert(die IP-Adresse wird nur kurzzeitig im Arbeitsspeicher zur Begrenzung von Missbrauch genutzt), keine Cookies gesetzt und keine Daten an Dritte übermittelt. Der eingeloggte Bereich wird nicht erfasst. Eine Identifikation einzelner Personen ist damit nicht möglich.

Rechtsgrundlage ist unser berechtigtes Interesse an einer statistischen Auswertung der Reichweite gemäß Art. 6 Abs. 1 lit. f DSGVO. Da kein Zugriff auf Ihr Endgerät erfolgt und keine personenbezogenen Daten verarbeitet werden, ist hierfür keine Einwilligung erforderlich.

4. Registrierung und Nutzerkonto

4.1 Admin-/Verwaltungskonto

Bei der Registrierung als Verwaltung/Hausmeisterdienst erheben wir:

Firmenname, Branche
Name des Ansprechpartners
E-Mail-Adresse
Passwort (gespeichert als bcrypt-Hash, nie im Klartext)
Zeitpunkt der Zustimmung zu AGB und AV-Vertrag (Vertragsnachweis)

Freiwillig können Sie später weitere Firmenangaben hinterlegen (z. B. Anschrift, Telefon, Steuernummer/USt-IdNr., Bankverbindung, Logo), die für Ihre Rechnungen und Berichte verwendet werden. Die Angaben bei der Registrierung sind für den Vertragsschluss erforderlich; ohne sie können wir kein Konto anlegen.

Zur Bestätigung der E-Mail-Adresse senden wir nach der Registrierung einen Bestätigungslink; das Konto wird erst nach Klick auf diesen Link nutzbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4.1a Zwei-Faktor-Authentifizierung (optional)

Verwaltungs- und Mieterkonten können freiwillig eine Zwei-Faktor-Anmeldung mit einer Authenticator-App (TOTP) aktivieren. Dabei speichern wir ein geheimes Schlüsselmaterial für die Code-Erzeugung sowie Einmal-Backup-Codes (nur als Hash). Die Authenticator-App selbst wählen Sie; wir erhalten von ihr keine Daten. Beim Deaktivieren werden diese Daten gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Kontosicherheit).

4.1b Mitarbeiter-Konten

Kunden können Mitarbeiter per E-Mail-Einladung hinzufügen. Dabei werden Name, E-Mail-Adresse, Rolle und ein Passwort-Hash gespeichert; im Rahmen der Nutzung außerdem z. B. Beginn, Pausen und Ende von Einsätzen sowie Unterschriften. Verantwortlicher für diese Daten ist der Kunde als Arbeitgeber (siehe Abschnitt 2).

4.2 Mieter-Konto

Bei der Registrierung als Mieter (via QR-Code oder Einladung) erheben wir:

Name
E-Mail-Adresse
Telefonnummer (optional)
Passwort (gespeichert als bcrypt-Hash)
Bevorzugte Sprache

Die Zuordnung zu einer Einheit/Wohnung erfolgt über den Einladungslink des Hausmeisterdienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Mieter können ihr Konto jederzeit selbst unter Profil → Daten & Datenschutz löschen; Meldungen, die die Hausverwaltung zur Dokumentation benötigt, bleiben dort ohne Ihre Kontodaten erhalten.

4.3 Kontaktanfragen

Wenn Sie uns per E-Mail oder Telefon kontaktieren, werden Ihre Angaben (Name, E-Mail-Adresse, Inhalt der Anfrage) zur Bearbeitung der Anfrage und für Anschlussfragen bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung/Erfüllung eines Vertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen).

5. Nutzerdaten und Plattform-Nutzung

5.1 Schadensmeldungen

Mieter können Schadensmeldungen mit folgenden Daten erstellen:

Kategorie und Dringlichkeit des Schadens
Textbeschreibung
Terminwünsche
Fotos (siehe Abschnitt 6)

Diese Daten werden dem zuständigen Hausmeisterdienst zur Bearbeitung bereitgestellt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.2 Einsätze und Dokumentation

Der Verwaltungsbereich speichert Einsatzdaten inklusive Zeiten, Checklisten, Unterschriften und Fotos. Diese Daten dienen der Leistungsdokumentation und Rechnungsstellung.

6. Fotos und Bilder

Hochgeladene Fotos (Schadensmeldungen, Einsatzdokumentation) werden wie folgt verarbeitet:

Automatische Komprimierung und Thumbnail-Erstellung
Aus den Bild-Metadaten (EXIF) wird nur der Aufnahmezeitpunkt zur Dokumentation übernommen; alle übrigen Metadaten – insbesondere GPS-Standortdaten und Gerätekennungen – werden beim Hochladen aus dem Bild entfernt und nicht gespeichert
SHA-256-Prüfwert zur Integritätssicherung (Nachweis, dass ein Foto nicht nachträglich verändert wurde)
Speicherung auf Servern in Deutschland

Eine Standortverfolgung (GPS) von Mitarbeitern oder Mietern findet nicht statt.

7. Zahlungsabwicklung (Stripe)

Für die Abwicklung kostenpflichtiger Abonnements nutzen wir den Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland ("Stripe"). Bei Abschluss eines Abos werden die für die Zahlung erforderlichen Daten (Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsdaten wie Kartennummer oder IBAN) direkt an Stripe übermittelt und dort verarbeitet. Wir selbst speichern keine vollständigen Zahlungsdaten.

Stripe verarbeitet die Zahlungsdaten als eigenständiger Verantwortlicher (u. a. zur Betrugsprävention und Erfüllung eigener gesetzlicher Pflichten). Wir erhalten von Stripe nur Informationen zum Zahlungsstatus, zur Zahlungsart (z. B. die letzten Ziffern) und die Rechnungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe kann Daten auch an die Muttergesellschaft Stripe, Inc. in den USA übermitteln. Stripe ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen EU-Standardvertragsklauseln. Weitere Informationen: https://stripe.com/de/privacy

Während der kostenlosen Testphase werden keine Zahlungsdaten erhoben.

8. Benachrichtigungen

8.1 E-Mail-Benachrichtigungen

Wir versenden transaktionale E-Mails (z.B. Registrierungsbestätigung, Statusänderungen zu Schadensmeldungen, Zahlungs- und Vertragsinformationen). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Werbe-E-Mails versenden wir nur mit ausdrücklicher Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

8.2 Push-Benachrichtigungen (Web Push)

Auf Wunsch können Sie Push-Benachrichtigungen aktivieren (z.B. bei neuen Schadensmeldungen oder Statusänderungen). Dies erfordert Ihre ausdrückliche Zustimmung im Browser. Dabei wird eine pseudonyme Push-Subscription (Endpunkt-URL Ihres Browser-Herstellers, Schlüsselmaterial) gespeichert.

Die Zustellung erfolgt technisch über den Push-Dienst Ihres Browser- bzw. Betriebssystem-Herstellers (z. B. Google, Apple, Mozilla, Microsoft), der sich auch außerhalb der EU befinden kann. Der Inhalt der Benachrichtigungen wird Ende-zu-Ende-verschlüsselt übertragen und ist für diesen Dienst nicht lesbar; er erhält nur technische Zustelldaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG (Einwilligung). Sie können die Einwilligung jederzeit über die Browser-Einstellungen oder in den Benachrichtigungseinstellungen der App widerrufen; die Subscription wird dann gelöscht.

9. Hosting und Auftragsverarbeitung

Wir setzen folgende Dienstleister ein (Auftragsverarbeiter mit Verträgen nach Art. 28 DSGVO, Stripe als eigenständiger Verantwortlicher):

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Hosting; Server-Standort Deutschland)
Stripe Payments Europe, Ltd., Dublin, Irland (Zahlungsabwicklung, siehe Abschnitt 7)

Anwendungs- und Foto-Daten werden auf Servern in Deutschland gespeichert. Eine Übermittlung in Drittländer kann nur im Rahmen der Zahlungsabwicklung über Stripe (siehe Abschnitt 7) sowie bei aktivierten Push-Benachrichtigungen über den Push-Dienst Ihres Browser-Herstellers (siehe Abschnitt 8.2) erfolgen.

Zur Absicherung gegen Datenverlust erstellen wir regelmäßig Sicherungskopien auf Servern in Deutschland. Gelöschte Daten können darin noch bis zu 30 Tage enthalten sein, bis die Sicherung turnusmäßig überschrieben wird.

Richtet ein Kunde in seinem Konto eigene Webhooks ein, übermittelt die Plattform auf dessen Weisung Ereignisdaten an die vom Kunden angegebene Adresse.

10. Externe Schriften und Dienste

Diese Seite lädt keine Schriftarten oder Skripte von externen Servern (kein Google Fonts, keine CDNs, keine Analyse- oder Tracking-Dienste). Alle Ressourcen werden lokal von unseren Servern ausgeliefert.

11. Audit-Trail und Protokollierung

Zur Sicherstellung der Nachvollziehbarkeit und für den Fall von Missbrauch werden folgende Aktionen protokolliert:

Login-Versuche (erfolgreich und fehlgeschlagen)
Erstellung, Änderung und Löschung von Datensätzen
Datenexporte
Browserkennung (User-Agent) bei sicherheitsrelevanten Aktionen
IP-Adresse (nur sofern die IP-Protokollierung von der Firma aktiviert ist)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit). Führt der Plattformbetreiber zur Fehlerbehebung einen Support-Zugriff auf ein Kundenkonto durch oder nutzt er das interne Datenbank-Werkzeug, wird dies ebenfalls protokolliert (beim Datenbank-Werkzeug ohne die geänderten Werte, bei Änderungsbefehlen über die SQL-Konsole mit dem Befehl selbst; Aufbewahrung 12 Monate). Die Aufbewahrungsdauer der Protokolle richtet sich nach dem gebuchten Tarif (Solo: 14 Tage, Team: 30 Tage, Business: für die Dauer des Vertrags); ältere Einträge werden automatisch gelöscht. Abgewiesene Anmeldeversuche, die keinem Konto zugeordnet sind, löschen wir nach 30 Tagen.

Ausgenommen sind Nachweise zu Vertrags- und Kontoereignissen (z. B. Registrierung mit Zustimmung zu den AGB, Kündigung oder Widerruf mit Zeitpunkt und IP-Adresse, Support-Zugriffe, erteilte Datenauskünfte). Diese bewahren wir zum Nachweis unserer Vertragspflichten und zur Verteidigung gegen Ansprüche auf (Art. 6 Abs. 1 lit. c und f DSGVO), längstens bis zum Ablauf der gesetzlichen Verjährungs- bzw. Aufbewahrungsfristen.

12. Datensicherheit

Passwort-Speicherung ausschließlich als bcrypt-Hash
Strikte Mandantentrennung (Multi-Tenancy mit Firma-ID-Filter)
Getrennte Authentifizierung für Admin und Mieter
Rate-Limiting auf Login-Endpunkten
Optionale Zwei-Faktor-Authentifizierung (TOTP)
Bestätigung der E-Mail-Adresse bei der Registrierung
Pfad-beschränkte, HttpOnly-Cookies
Verschlüsselte Übertragung (TLS)

13. Ihre Rechte

Sie haben jederzeit das Recht auf:

Auskunft (Art. 15 DSGVO) – Welche Daten wir über Sie speichern
Berichtigung (Art. 16 DSGVO) – Korrektur unrichtiger Daten
Löschung (Art. 17 DSGVO) – Löschung Ihrer Daten, soweit keine Aufbewahrungspflichten entgegenstehen
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO) – Export Ihrer Daten in maschinenlesbarem Format
Widerspruch (Art. 21 DSGVO) – Gegen die Verarbeitung auf Basis berechtigter Interessen
Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) – mit Wirkung für die Zukunft, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@zuwab.de. Betrifft Ihre Anfrage Daten, die Ihre Hausverwaltung über die Plattform verarbeitet (z.B. als Mieter), leiten wir sie an die verantwortliche Hausverwaltung weiter bzw. unterstützen deren Bearbeitung.

Auskunft direkt im Konto: Eingeloggte Nutzerinnen und Nutzer können ihre gespeicherten Daten jederzeit selbst anfordern – Mieter unter Profil → Daten & Datenschutz, Verwaltungen unter Profil → Daten & Datenschutz. Die Auskunft nach Art. 15 DSGVO wird automatisch als PDF (lesbar) und JSON (maschinenlesbar, Art. 20 DSGVO) an die im Konto hinterlegte E-Mail-Adresse gesendet.

14. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
https://www.ldi.nrw.de

15. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt. Im Einzelnen:

Vertrags- und Abrechnungsdaten: gesetzliche Aufbewahrungsfristen nach HGB/AO (Rechnungen und Buchungsbelege 8 Jahre, Geschäftsbriefe 6 Jahre, Bücher und Abschlüsse 10 Jahre)
Nach Vertragsende bzw. nach Ablauf einer Testphase ohne Buchung: 90 Tage Export-Frist für den Kunden, danach Löschung bzw. Anonymisierung der Plattformdaten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
Audit-Logs: tarifabhängig (siehe Abschnitt 11)
Server-Logs: max. 14 Tage
Sicherungskopien: max. 30 Tage

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

16. Änderung der Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht. Die jeweils aktuelle Version gilt für Ihren erneuten Besuch.

Stand: Oktober 2026