← Zurück

BZI Intern

Datenschutzerklärung

Diese Plattform ist ein internes, nicht-öffentliches Verwaltungsportal. Der Zugang ist auf autorisierte Mitarbeiter und registrierte Kunden beschränkt. Die folgenden Informationen erläutern, welche Daten erhoben werden, zu welchem Zweck und wie sie geschützt werden.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist:

Bestand und Zukunft Immobilien GmbH
Rheinpromenade 11
40789 Monheim am Rhein

E-Mail: info@bz-i.de
Telefon: 02173 - 26 50 315

2. Welche Daten werden erhoben?

2.1 Registrierungs- und Kontodaten (Kunden)

Bei der Registrierung eines Kundenkontos erheben wir folgende Daten:

  • Benutzername
  • E-Mail-Adresse
  • Anzeigename (Vor- und Nachname oder Alias)
  • Passwort (ausschließlich als bcrypt-Hash gespeichert, niemals im Klartext)
  • Registrierungszeitpunkt
  • Aktivierungsstatus des Kontos

2.2 Mitarbeiterkonten

Mitarbeiterkonten werden ausschließlich durch Administratoren angelegt. Dabei werden Benutzername, E-Mail-Adresse, Name sowie Rolle gespeichert. Passwörter werden ebenfalls nur als bcrypt-Hash gespeichert.

2.3 Nutzungsdaten

Bei der Nutzung der Plattform entstehen folgende Daten:

  • Nachrichten im Chat: Inhalt, Zeitstempel, Absender-ID
  • Gruppenankündigungen: Text, Anhänge, Zeitstempel, Autor-ID
  • Hochgeladene Dokumente: Dateiname, Dateigröße, MIME-Typ, Zeitstempel, hochladende Person
  • Profilbild (Avatar): sofern freiwillig hochgeladen

2.4 Technische Protokolldaten

Der Server protokolliert technische Ereignisse (z. B. Fehler, Zugriffsaktionen) in temporären Logdateien. Diese enthalten Zeitstempel, betroffene Endpunkte und ggf. Benutzer-IDs. Personenbezogene Inhaltsdaten werden nicht in Logdateien geschrieben.

2.5 Sitzungsdaten (Browser-Speicher)

Für die Authentifizierung verwenden wir JSON Web Tokens (JWT):

  • Access Token (kurzlebig): wird im sessionStorage des Browsers gespeichert und automatisch gelöscht, wenn der Tab geschlossen wird.
  • Refresh Token (langlebig): wird im localStorage gespeichert, um eine erneute Anmeldung ohne Passwort zu ermöglichen. Es enthält keine personenbezogenen Daten, sondern nur einen signierten Bezeichner.

Es werden keine Cookies für die Authentifizierung eingesetzt.

2.6 Nutzungsstatistik

Wir zählen, wie viele Personen in einer bestimmten Stunde aktiv waren. Gespeichert wird dabei ausschließlich eine Zählerzeile aus vier Angaben:

  • Tag und Stunde der Nutzung
  • Geräteart: mobil, tablet oder desktop. Sendet der Browser keine Gerätekennung mit, wird unbekannt gezählt.
  • Rolle: Kunde oder Mitarbeiter. Administratorkonten zählen als Mitarbeiter.
  • Anzahl der in dieser Stunde aktiven Personen

In der Zählerzeile werden weder Benutzername noch Benutzer-ID, IP-Adresse, Sitzungs-ID oder User-Agent gespeichert, auch nicht gekürzt oder als Hashwert. Es wird auch nicht festgehalten, welche Seite oder Funktion aufgerufen wurde.

Die Geräteart leitet der Server aus dem User-Agent ab, den Ihr Browser bei jeder Anfrage ohnehin mitsendet, und reduziert sie sofort auf die genannten Werte. Auf Ihrem Endgerät wird dafür nichts gespeichert und nichts ausgelesen. Es wird kein Cookie gesetzt, kein Eintrag im Browser-Speicher angelegt und keine Bildschirm- oder Browsereigenschaft per JavaScript abgefragt. Ein Zugriff auf Informationen in Ihrer Endeinrichtung im Sinne des § 25 TDDDG findet damit nicht statt. Für die Zählung wird keine Einwilligung eingeholt und kein Einwilligungsbanner eingesetzt. Sie beruht auf unserem berechtigten Interesse (Ziffer 4).

Gezählt wird höchstens einmal je Person und Stunde. Ob in der laufenden Stunde schon gezählt wurde, ergibt sich aus dem Zeitstempel „zuletzt gesehen“, der ohnehin laufend überschrieben wird. Dieser bereits vorhandene Zeitstempel dient damit zusätzlich der Statistik. Ein neues personenbezogenes Feld und eine Historie entstehen dadurch nicht. Im Moment der Zählung werden personenbezogene Daten verarbeitet, denn Rolle und Zeitstempel stammen aus Ihrem Konto und die Geräteart aus Ihrer laufenden Anfrage. In die gespeicherte Zählerzeile fließt davon nichts ein. Nach dieser Zusammenfassung ist die Statistik keiner Person mehr zuzuordnen.

Die Auswertung steht nur Administratoren offen. Sie erfolgt ausschließlich summiert über Zeiträume von mindestens sieben Tagen. Einzelne Kalendertage und einzelne Konten werden nicht ausgewiesen. Werte unter fünf Ereignissen erscheinen als < 5 statt als Zahl. Die Statistik ist nicht dazu bestimmt, einzelne Personen sichtbar zu machen, und dafür praktisch nicht geeignet. Zur Verhaltens- oder Leistungskontrolle wird sie nicht verwendet (Ziffer 4).

Widerspruch: Da die Zählung auf einem berechtigten Interesse beruht, können Sie ihr nach Art. 21 Abs. 1 DSGVO jederzeit widersprechen, formlos an info@bz-i.de. Ihr Konto wird dann dauerhaft von der Zählung ausgenommen. Ein Nachteil entsteht Ihnen dadurch nicht, die Nutzung der Plattform bleibt unverändert möglich. Der Widerspruch wirkt für die Zukunft. Bereits gebildete Zählerzeilen enthalten keine Angaben zu Ihrer Person und lassen sich deshalb nicht nachträglich bereinigen.

Die Zählerzeilen enthalten keine personenbezogenen Daten und werden unbefristet aufbewahrt. Der Zeitstempel „zuletzt gesehen“ wird laufend überschrieben und mit dem Konto gelöscht.

3. Zweck der Datenverarbeitung

Die Daten werden ausschließlich für folgende Zwecke verarbeitet:

  • Bereitstellung und Betrieb des internen Verwaltungsportals
  • Authentifizierung und Zugriffskontrolle
  • Kommunikation zwischen Kunden und Mitarbeitern (Chat, Ankündigungen)
  • Verwaltung und Bereitstellung von Gruppenunterlagen und Dokumenten
  • Betriebssicherheit und Fehleranalyse (technische Logs)
  • Anonyme Nutzungsstatistik zur bedarfsgerechten Wartung, Erreichbarkeit und Gestaltung (insbesondere Handyansicht)

Es erfolgt keine Weitergabe personenbezogener Daten an Dritte zu Werbe- oder Analysezwecken. Es wird kein Tracking-Dienst (z. B. Google Analytics) eingesetzt.

4. Rechtsgrundlage

Die Datenverarbeitung erfolgt auf Grundlage von:

  • Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung: die Verarbeitung ist notwendig, um den Zugang zum Kundenportal bereitzustellen.
  • Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen: für technische Protokollierung zum Schutz vor Angriffen und zur Fehlerbehebung sowie für die Nutzungsstatistik (Ziffer 2.6). Unser Interesse besteht darin, Wartungsfenster in nutzungsschwache Zeiten zu legen, die Erreichbarkeit an den tatsächlichen Nutzungszeiten auszurichten und die Oberfläche, vor allem die Handyansicht, an den tatsächlich verwendeten Gerätearten zu orientieren. Der Eingriff ist gering: Je Person und Stunde entsteht höchstens ein Ereignis aus Zeitpunkt in Stundenauflösung, Geräteart und Rolle, das sofort in eine anonyme Summe eingeht. Profile werden nicht gebildet.
  • Art. 6 Abs. 1 lit. a DSGVO – Einwilligung: sofern Sie freiwillig zusätzliche Daten angeben (z. B. Profilbild).
  • Beschäftigtendaten (§ 26 BDSG) – Für Mitarbeiterkonten stützen wir die Zählung ebenfalls auf Art. 6 Abs. 1 lit. f DSGVO. § 26 Abs. 1 BDSG tritt ergänzend hinzu, soweit er neben der DSGVO anwendbar ist. Eine Verhaltens- oder Leistungskontrolle findet nicht statt. Es werden keine personenbezogenen Einzeldatensätze gespeichert, ausgewertet werden nur Summen über längere Zeiträume, und Werte unter fünf Ereignissen werden nicht als Zahl ausgewiesen. Auswertungen zu einzelnen Beschäftigten nehmen wir nicht vor.

5. Speicherung und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Verwendungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

  • Konten und zugehörige Daten werden auf Anfrage oder nach Beendigung der Geschäftsbeziehung gelöscht.
  • Technische Logdateien werden spätestens nach 30 Tagen automatisch überschrieben.
  • Hochgeladene Dateien und Dokumente werden bei Löschung durch einen Administrator oder nach Auflösung der zugehörigen Gruppe entfernt.

6. Hosting und Server

Die Plattform wird auf Servern eines externen Hosting-Anbieters betrieben:

IONOS SE
Elgendorfer Str. 57, 56410 Montabaur, Deutschland

Mit diesem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Die Server befinden sich innerhalb der Europäischen Union. Es findet keine Übermittlung von Daten in Drittländer außerhalb der EU/EEA statt.

7. Google Fonts

Diese Plattform lädt Schriftarten über Google Fonts (Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA). Dabei wird Ihre IP-Adresse beim Seitenaufruf an Google übermittelt. Die Einbindung erfolgt im berechtigten Interesse an einer einheitlichen Darstellung (Art. 6 Abs. 1 lit. f DSGVO).

Weitere Informationen: policies.google.com/privacy.

8. Ihre Rechte

Sie haben gegenüber uns folgende Rechte bezüglich Ihrer personenbezogenen Daten:

  • Auskunft (Art. 15 DSGVO): Sie können Auskunft über die von uns gespeicherten Daten verlangen.
  • Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
  • Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch (Art. 21 DSGVO): gegen die Verarbeitung auf Basis berechtigter Interessen.
  • Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): jederzeit mit Wirkung für die Zukunft.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@bz-i.de

Sie haben außerdem das Recht, sich bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestr. 2–4, 40213 Düsseldorf
www.ldi.nrw.de

9. Datensicherheit

Alle Verbindungen zur Plattform werden über HTTPS verschlüsselt übertragen. Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Zugriffsrechte sind nach Rollen getrennt (Admin, Mitarbeiter, Kunden). Authentifizierungs-Tokens werden im Browser-Sitzungsspeicher abgelegt und nicht in dauerhaften Cookies gesichert.


Stand: September 2026