Datenschutzerklärung

Zestio („wir", „uns") betreibt die Website zestio.de sowie die dazugehörige KI-gestützte Immobilienplattform. Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten erheben, verarbeiten, speichern und schützen, wenn Sie unseren Dienst nutzen.

Wir sind dem Schutz Ihrer Privatsphäre verpflichtet und handeln im Einklang mit der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG).

Verantwortlicher: Christian Karber, erreichbar unter kontakt@zestio.de

Kontodaten: Bei der Registrierung erheben wir Ihre E-Mail-Adresse, Ihren Namen und Anmeldedaten (verwaltet durch Supabase Auth).

Inhalte, die Sie hochladen: Bilder, Immobiliendaten und Skripte, die Sie zur Verarbeitung einreichen. Diese werden vorübergehend in Supabase Storage und auf unserer Verarbeitungsinfrastruktur gespeichert.

Nutzungsdaten: Informationen darüber, wie Sie den Dienst nutzen, einschließlich verwendeter Funktionen, verbrauchter Credits und Verarbeitungsergebnisse. Diese werden in unserer PostgreSQL-Datenbank gespeichert.

Zahlungsdaten: Abonnement- und Abrechnungsinformationen, die von Dodo Payments (unserem Zahlungsdienstleister) verarbeitet werden. Wir speichern keine Kreditkartendaten — Dodo verarbeitet alle Zahlungsdaten gemäß PCI-DSS (Level 1 zertifiziert).

Technische Daten: Notwendige Cookies für die Authentifizierung (Supabase Session-Tokens). Mit Ihrer Einwilligung können wir auch Google Analytics Cookies für anonymisierte Nutzungsanalysen verwenden. Wir setzen keine Werbe-Cookies oder Tracking-Pixel von Drittanbietern ein.

Scraping-Daten: Apify wird für Web-Scraping in der Video-Pipeline verwendet, um Immobilienbilder von Immobilienportalen zur Verarbeitung abzurufen.

Wir verarbeiten Ihre Daten zu folgenden Zwecken:

• Leistungserbringung: Um Ihre Bilder zu verarbeiten, Videos zu erstellen, Beschreibungen zu generieren und alle Funktionen der Plattform bereitzustellen
• Kontoverwaltung: Um Sie zu authentifizieren, Ihr Abonnement zu verwalten und Credits zu verfolgen
• Kommunikation: Um Ihnen dienstbezogene Benachrichtigungen zu senden (Abrechnung, Kontoaktualisierungen)
• Sicherheit: Zum Schutz vor Betrug und unbefugtem Zugriff
• Rechtliche Verpflichtungen: Zur Erfüllung unserer gesetzlichen Pflichten

Wir verarbeiten Ihre Daten auf Grundlage folgender Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Verarbeitung zur Erbringung des Dienstes, für den Sie sich registriert haben
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Sicherheit, Betrugsprävention und Dienstverbesserung
• Einwilligung (Art. 6 Abs. 1 lit. a): Soweit Sie eine ausdrückliche Einwilligung für bestimmte Verarbeitungen erteilt haben
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Soweit eine Verarbeitung gesetzlich vorgeschrieben ist

Ihre hochgeladenen Bilder und Daten werden von folgenden KI-Dienstleistern verarbeitet:

• Replicate Inc. (USA) — Primäre KI-Infrastruktur. Bildoptimierung (Flux Kontext Pro, Ideogram v2, SDXL), virtuelle Einrichtung (adirik/interior-design, MIT-Lizenz), Tiefenschätzung (Marigold, MIT-Lizenz; Flux Depth Pro), Videogenerierung (Kling v2.1), Sprachsynthese (MiniMax Speech 2.8 HD) und Upscaling (Real-ESRGAN) laufen auf Replicates Infrastruktur. Replicate verarbeitet Daten ausschließlich in unserem Auftrag als Auftragsverarbeiter. Auftragsverarbeitungsvertrag (AVV): angefordert, Bestätigung ausstehend. Trainingsrichtlinie: Replicate trainiert NICHT mit Kundendaten.
• Anthropic PBC (USA) — Claude Sonnet 4-6 für KI-Chat und Immobilienbeschreibungen. Der AVV mit Standardvertragsklauseln (SCC) ist automatisch in den Commercial Terms of Service von Anthropic enthalten. Trainingsrichtlinie: Anthropic trainiert NICHT mit API-Kundendaten.
• KIRI Innovation (Hongkong) Ltd. (Hongkong) — 3D Gaussian Splatting für virtuelle Immobilienbesichtigungen (Tour Scans). Nutzer laden 20–300 Raumfotos hoch; KIRI erstellt ein fotorealistisches 3D-Modell. Auftragsverarbeitungsvertrag (AVV): ausstehend. Trainingsrichtlinie: Bestätigung ausstehend. Hinweis: Für Hongkong besteht kein Angemessenheitsbeschluss der EU (Art. 45 DSGVO). Standardvertragsklauseln (SCC) sind für Datenübermittlungen erforderlich.
• Apify (Tschechische Republik, EU-basiert) — Web-Scraping für die Video-Pipeline zum Abrufen von Immobilienbildern von Immobilienportalen. EU-basiert (Art. 45 DSGVO-konform). Auftragsverarbeitungsvertrag (AVV): automatisch in General Terms und Privacy Policy enthalten (Art. 28 DSGVO). Trainingsrichtlinie: Entfällt (nur Scraping, kein ML-Training).

Alle Bilder und Daten werden sicher per HTTPS/TLS-Verschlüsselung übertragen. KI-Anbieter verarbeiten Daten ausschließlich in unserem Auftrag als Auftragsverarbeiter. Der AVV von Anthropic ist automatisch in deren Commercial Terms of Service enthalten; der AVV mit Replicate wurde angefordert und steht zur Bestätigung aus. Für KIRI bemühen wir uns aktiv um einen formellen Auftragsverarbeitungsvertrag. Eine vollständige Liste der KI-Modelle und ihrer Anbieter finden Sie in unserer KI-Verarbeitungsdokumentation.

• Kontodaten: Für die Dauer Ihres Kontos plus 30 Tage nach Löschung
• Hochgeladene Bilder: In Supabase Storage gespeichert, bis Sie sie löschen oder Ihr Konto schließen
• Generierte Inhalte: In Ihrem Konto gespeichert, bis Sie sie löschen
• KI-Verarbeitungsdaten: Werden von KI-Anbietern nach Abschluss der Verarbeitung nicht gespeichert
• Zahlungsbelege: Aufbewahrt gemäß steuer- und handelsrechtlicher Vorschriften (in der Regel 10 Jahre)

Alle Daten werden auf Supabase Cloud-Infrastruktur (in der EU gehostet) und Vercel (das Anfragen standardmäßig in der EU-Region verarbeitet) gespeichert.

Zestio verwendet folgende Cookies:

• Notwendige Cookies: Supabase Session-Tokens (HTTP-only, secure) — erforderlich, um Sie eingeloggt zu halten und Ihr Konto zu sichern. Diese benötigen keine Einwilligung gemäß § 25 Abs. 1 TTDSG.
• Analyse (optional, nur mit Einwilligung): Skripte von Google und Microsoft werden ausschließlich geladen, nachdem Sie im Cookie-Banner „Alle akzeptieren" gewählt haben. Vorher geht keine Anfrage an einen der beiden Anbieter.
  • Google Analytics 4 — Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Cookies: _ga, _ga_<ID>; Speicherdauer 14 Monate; Zweck: aggregierte Reichweitenmessung (Seiten, Quellen, Verweis-Pfade). IP-Adressen werden nicht gespeichert. Widerspruch: Browser-Add-on zur Deaktivierung von Google Analytics oder die Cookie-Einstellungen im Fußbereich.
  • Microsoft Clarity — Anbieter: Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Cookies: _clck, _clsk, CLID, MUID; Speicherdauer bis 12 Monate; Zweck: Heatmaps und anonymisierte Sitzungsaufzeichnungen, um zu erkennen, wo die Bedienung hakt. Formularfelder werden maskiert, Tastatureingaben und eingegebene Werte nicht aufgezeichnet. Mehr: Microsoft-Datenschutzerklärung.

Cookielose Reichweitenmessung: Unabhängig von der Einwilligung nutzt Zestio Vercel Web Analytics und eigene Zähler auf dem eigenen Server. Beide arbeiten ohne Cookies, ohne website-übergreifende Kennungen und ohne vollständige IP-Speicherung (nur gesalzener Hash zur Zählung eindeutiger Aufrufe). Sie erfassen, welche Seiten aufgerufen werden und woher Besucher kommen — nicht, wer sie sind. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, personenunabhängigen Reichweitenmessung).

Rechtsgrundlage für Google und Microsoft: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TTDSG (Einwilligung). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Fußbereich widerrufen — das ist genauso einfach wie die Zustimmung. Die Analyse-Cookies werden dabei gelöscht.

Übermittlung in Drittländer: Beide Anbieter verarbeiten Daten in den Vereinigten Staaten. Google LLC und die Microsoft Corporation sind unter dem EU-US Data Privacy Framework zertifiziert; die Auftragsverarbeitungsverträge enthalten zusätzlich die EU-Standardvertragsklauseln.

Wir setzen keine Werbe-Cookies, kein website-übergreifendes Tracking und keine Social-Media-Pixel ein. Seiten, die über einen persönlichen Token aufgerufen werden (Terminabstimmung, geteilte Reports, geteilte Rundgänge), sind vollständig von der Analyse ausgenommen.

Sie können Cookies auch jederzeit auf Browserebene blockieren oder löschen.

Wir verkaufen, vermieten oder teilen Ihre personenbezogenen Daten nicht mit Dritten zu Marketingzwecken. Wir geben Daten nur weiter an:

• Dienstleister: Unternehmen, die uns beim Betrieb der Plattform unterstützen (Supabase, Vercel, Dodo Payments, Apify, KI-Modellanbieter, Google Ireland Ltd. für Google Analytics, Microsoft Ireland Operations Ltd. für Microsoft Clarity) — gebunden durch Auftragsverarbeitungsverträge
• Rechtliche Anforderungen: Wenn gesetzlich, regulatorisch oder durch ein Gerichtsverfahren vorgeschrieben

Gemäß der EU-KI-Verordnung (Verordnung (EU) 2024/1689) sind die KI-gestützten Bildverarbeitungsfunktionen von Zestio keine Hochrisiko-KI-Systeme im Sinne von Artikel 6 Absatz 2 und Anhang III. Für Anwendungen mit minimalem Risiko sieht die Verordnung keine zusätzlichen Pflichten vor; es gelten die Transparenzpflichten nach Artikel 50.

Transparenz (Art. 50): KI-generierte oder KI-modifizierte Bilder werden sichtbar gekennzeichnet und zusätzlich maschinenlesbar markiert (JPEG-XMP mit IPTC DigitalSourceType). Nutzer können stets zwischen Original- und KI-verarbeiteten Inhalten unterscheiden.

Risikobewertung: Bildoptimierung, virtuelle Einrichtung und Himmelsaustausch sind kreative Werkzeuge für die Immobilienvermarktung. Sie treffen keine folgenreichen Entscheidungen über Einzelpersonen und erfordern eine menschliche Überprüfung vor der Veröffentlichung. Eine dokumentierte Risikobewertung ist auf Anfrage verfügbar.

Menschliche Aufsicht: Die menschliche Aufsicht bleibt durchgehend gewährleistet — alle KI-Ergebnisse werden vom Nutzer vor der Veröffentlichung oder Weitergabe geprüft.

Zestio kennzeichnet KI-generierte und KI-manipulierte Inhalte entsprechend den Transparenzpflichten nach Artikel 50 der EU-KI-Verordnung — sichtbar (Artikel 50 Absatz 4, Betreiberebene) und zusätzlich maschinenlesbar (Artikel 50 Absatz 2, Anbieterebene). Verwendet wird der offizielle EU-Symbolsatz. Gekennzeichnet werden:

• Himmelsaustausch, Dämmerungs- und Jahreszeitenwechsel
• Virtuell eingerichtete Bilder (Virtual Staging)
• Entfernte Objekte und Störfaktoren
• KI-generierte Renovierungen und Visualisierungen
• KI-Videos und KI-gestützte Grundrisse

Rein unterstützende Standardbearbeitung — Helligkeit, Farbe, Entrauschen, Schärfen und Upscaling — wird nicht gekennzeichnet: Artikel 50 Absatz 2 Satz 3 nimmt Bearbeitungen aus, die eine unterstützende Funktion für die Standardbearbeitung ausüben oder die Eingabedaten nicht wesentlich verändern. KI-generierte Textvorschläge werden vom Nutzer geprüft; die redaktionelle Verantwortung liegt beim Nutzer, weshalb die Offenlegungspflicht für Texte nach Artikel 50 Absatz 4 nicht greift.

Wir setzen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

• Alle Daten werden per HTTPS/TLS-Verschlüsselung übertragen
• Datenbank geschützt durch Supabase Row Level Security (RLS)
• Authentifizierung durch Supabase Auth mit sicherer Session-Verwaltung
• Zahlungsdaten verarbeitet durch Dodo Payments (PCI-DSS Level 1 zertifiziert)
• Regelmäßige Sicherheitsüberprüfungen und Abhängigkeitsaktualisierungen

Nach der DSGVO haben Sie folgende Rechte:

• Auskunft (Art. 15): Eine Kopie Ihrer personenbezogenen Daten anfordern
• Berichtigung (Art. 16): Unrichtige oder unvollständige Daten korrigieren lassen
• Löschung (Art. 17): Die Löschung Ihrer personenbezogenen Daten verlangen („Recht auf Vergessenwerden")
• Einschränkung (Art. 18): Die Verarbeitung Ihrer Daten einschränken lassen
• Datenübertragbarkeit (Art. 20): Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten
• Widerspruch (Art. 21): Der Verarbeitung aufgrund berechtigten Interesses widersprechen
• Einwilligung widerrufen (Art. 7): Eine erteilte Einwilligung jederzeit widerrufen
• Beschwerde: Beschwerde bei einer Aufsichtsbehörde einreichen (z. B. Bayerisches Landesamt für Datenschutzaufsicht)

Zur Ausübung dieser Rechte kontaktieren Sie uns unter kontakt@zestio.de. Wir antworten innerhalb von 30 Tagen.

Um die Löschung Ihrer Daten einschließlich aller bei Drittanbietern gespeicherten KI-verarbeiteten Bilder zu beantragen, nutzen Sie die Kontolöschfunktion in Ihren Dashboard-Einstellungen oder kontaktieren Sie uns unter kontakt@zestio.de. Wir bestätigen die Löschung innerhalb von 30 Tagen und legen eine Bestätigung aller Auftragsverarbeiter vor.

Einige unserer KI-Verarbeitungspartner befinden sich außerhalb der EU/des EWR (Vereinigte Staaten). Datenübermittlungen an diese Partner sind durch Standardvertragsklauseln (SCC) und das EU-US Data Privacy Framework, soweit anwendbar, abgedeckt. Wir stellen sicher, dass alle Übermittlungen angemessene Garantien gemäß Kapitel V der DSGVO enthalten.

Der Dienst ist nicht für die Nutzung durch Personen unter 18 Jahren bestimmt. Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen. Sollten wir feststellen, dass wir Daten einer Person unter 18 Jahren erhoben haben, werden wir diese unverzüglich löschen.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Über wesentliche Änderungen informieren wir Sie per E-Mail oder durch einen deutlichen Hinweis im Dienst. Wir empfehlen Ihnen, diese Seite regelmäßig zu überprüfen.

Bei Fragen zum Datenschutz, zu Datenanfragen oder zur Ausübung Ihrer Rechte kontaktieren Sie uns unter:

kontakt@zestio.de

Wenn Sie mit unserer Antwort nicht zufrieden sind, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde in Ihrem EU-Mitgliedstaat einzulegen.