Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung Ihrer Daten auf dieser Website ist die RED Real Estates Development Bauträger und Immobilien GmbH (im Folgenden „RED“, „wir“), Sterngasse 3/2/6, 1010 Wien, Österreich.

Bei Fragen zum Datenschutz erreichen Sie uns über das Formular, per E-Mail (Adresse im Impressum) oder telefonisch:

2. Worum es geht

Wir möchten Ihnen erläutern, warum und wie wir Ihre personenbezogenen Daten verarbeiten und welche Rechte Sie dabei haben. Wir verarbeiten nur die Daten, die wir für den jeweiligen Zweck brauchen, und geben sie nur weiter, wenn es dafür einen Grund gibt, den wir hier nennen.

Wir versenden keinen Newsletter.

3. Zwecke und Rechtsgrundlagen

• Anfragen, Exposé, Suchauftrag, Bewertung, Termin, Rückruf, Nachricht, Karriere: Vertragsanbahnung und Vertragserfüllung (Art 6 Abs 1 lit b DSGVO). Wir verarbeiten die Angaben, die Sie im Formular machen, um Ihre Anfrage zu beantworten.
• Gesetzliche Pflichten (Art 6 Abs 1 lit c DSGVO): Aufbewahrungspflichten nach Unternehmens- und Steuerrecht sowie die Sorgfaltspflichten zur Verhinderung von Geldwäsche und Terrorismusfinanzierung (§§ 365m ff GewO). Bei einem Mandat gehören dazu die Identifizierung, die Feststellung des wirtschaftlichen Eigentümers und die Klärung der Mittelherkunft.
• Berechtigtes Interesse (Art 6 Abs 1 lit f DSGVO): sicherer Betrieb der Website, Abwehr von Missbrauch und Spam, interne Verwaltung im Anfragen-Verzeichnis, Dokumentation (etwa Ihrer Zustimmung zu den AGB und Ihres Verlangens auf vorzeitigen Leistungsbeginn) sowie Geltendmachung und Abwehr von Rechtsansprüchen.
• Einwilligung (Art 6 Abs 1 lit a DSGVO und § 165 Abs 3 TKG 2021): Statistik und Analyse. Ohne Ihre Zustimmung laden wir diese Dienste nicht. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, siehe Abschnitt 10.

4. Besuch der Website

Beim Aufruf der Website verarbeitet unser Hosting-Anbieter technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem. Das ist für die Auslieferung und die Sicherheit der Seite erforderlich (Art 6 Abs 1 lit f DSGVO).

Zusätzlich zählt Vercel Web Analytics Seitenaufrufe und Ereignisse ohne Cookie. Besucher werden nur über einen Hash der Anfrage unterschieden, der nach einem Tag zurückgesetzt wird. Eine Einwilligung ist dafür nicht erforderlich.

5. Formulare und Kontakt

Wenn Sie ein Formular absenden, verarbeiten wir die Angaben, die Sie eintragen: je nach Formular Name, E-Mail-Adresse, Telefonnummer, Wunschtermin, Objektbezug, Angaben zu Ihrer Immobilie oder Ihrem Suchprofil und Ihre Nachricht. Zusätzlich speichern wir Seite, Sprache, Zeitpunkt und die Versionen der Datenschutzerklärung und der AGB, denen Sie zugestimmt haben. Bei Bewertung, diskreter Vermarktung und Suchauftrag speichern wir außerdem, dass und wann Sie den vorzeitigen Leistungsbeginn verlangt haben (§ 10 FAGG).

Wir senden die Anfrage per E-Mail an unser Büro und bestätigen Ihnen den Eingang per E-Mail, wenn Sie uns eine Adresse genannt haben. Bei Bewertung, diskreter Vermarktung und Suchauftrag enthält die Bestätigung eine Zusammenfassung Ihrer Angaben, die Rücktrittsbelehrung und das Muster-Rücktrittsformular. Spamschutz übernehmen ein verstecktes Feld, eine Mindestzeit, eine Mengenbegrenzung je Adresse und, sofern aktiviert, Cloudflare Turnstile (Abschnitt 8).

Anfragen-Verzeichnis

Jede Anfrage speichern wir zusätzlich in unserem Anfragen-Verzeichnis. Das ist eine Datenbank, die nur das Büro über einen passwortgeschützten Zugang einsehen kann. Dort halten wir den Bearbeitungsstand und interne Notizen fest; einmal täglich erhält das Büro per E-Mail eine Übersicht der neuen Anfragen. Zur Erkennung von Missbrauch speichern wir zur Anfrage die Browserkennung (User-Agent) und die IP-Adresse nur als verschlüsselten Prüfwert (HMAC), nie im Klartext. Die Datenbank betreibt Supabase für uns als Auftragsverarbeiter, sie liegt in der EU (Abschnitt 8). Einträge löschen wir, sobald die Anfrage abgeschlossen ist und seit ihrem Eingang 180 Tage vergangen sind, sofern daraus kein Geschäft entsteht, für das längere Fristen gelten (Abschnitt 11). Rechtsgrundlage ist Art 6 Abs 1 lit b und f DSGVO.

Wenn Sie den Verkäufer-Leitfaden anfordern, senden wir Ihnen per E-Mail einen persönlichen Download-Link, der sieben Tage gültig ist. Die Abrufe des Links protokollieren wir nur mit Prüfwerten (ohne Klartext-Adresse) und löschen das Protokoll nach 400 Tagen.

6. Objektanfragen und Maklersoftware

Objektdaten und Exposé-Anfragen laufen über die Maklersoftware JustImmo. Der Anbieter hat seinen Sitz in Österreich und verarbeitet Ihre Anfrage als unser Auftragsverarbeiter nach Art 28 DSGVO. Bei einer Objektanfrage übermitteln wir Ihre Angaben an JustImmo, damit das Exposé samt Angaben zur Provision und Rücktrittsbelehrung an Sie gesendet und die Anfrage dem Objekt zugeordnet werden kann. Eine Kopie der Anfrage speichern wir im Anfragen-Verzeichnis (Abschnitt 5).

Merken Sie Objekte, speichern wir die Auswahl nur in Ihrem Browser (localStorage, Schlüssel „red-favoriten“). Sie wird nicht an uns übertragen.

7. Chat

Im Chat beantwortet ein KI-Assistent erste Fragen zu RED und zu unseren Objekten. Ihre Nachrichten verarbeiten wir mit dem Dienst der Anthropic PBC (USA) über deren Programmierschnittstelle. Nach den Geschäftsbedingungen von Anthropic darf Anthropic keine Modelle mit Kundeninhalten aus diesem Dienst trainieren. Anthropic löscht Ein- und Ausgaben der Schnittstelle nach eigenen Angaben standardmäßig innerhalb von 30 Tagen, Ausnahmen gelten etwa bei Verstößen gegen die Nutzungsrichtlinie und bei gesetzlichen Pflichten. Die Auftragsverarbeitung regelt der Datenverarbeitungszusatz von Anthropic (Art 28 DSGVO).

Vor Ihrer ersten Nachricht weisen wir Sie im Chat darauf hin, dass Antworten von einer KI erstellt werden und das Gespräch gespeichert wird. Wir speichern Ihre Nachrichten und die Antworten in unserer Datenbank (Supabase) und löschen sie nach 90 Tagen. Dazu speichern wir einen Hash Ihrer IP-Adresse, den Browser-Typ, die Sprache und den Zeitpunkt. Für das Gespräch setzen wir ein technisch notwendiges Cookie („red-chat“, 24 Stunden), das nur eine zufällige Kennung enthält. Rechtsgrundlage ist unser berechtigtes Interesse an der Beantwortung Ihrer Fragen und am Schutz vor Missbrauch (Art 6 Abs 1 lit f DSGVO). Zur Missbrauchsabwehr prüft Cloudflare Turnstile beim ersten Senden, außerdem begrenzen wir die Zahl der Nachrichten.

Wenn Sie im Chat um Kontakt bitten, übergibt der Assistent das Gespräch an unser Büro: Die letzten Nachrichten des Gesprächs und, falls Sie sie genannt haben, Name, E-Mail-Adresse und Telefonnummer werden als Anfrage in unserem Anfragen-Verzeichnis gespeichert und per E-Mail an das Büro geschickt (Aufbewahrung wie bei Formular-Anfragen, Abschnitt 11). Sensible Daten gehören nicht in den Chat. Der Chat trifft keine Entscheidungen über Sie und ersetzt keine Beratung.

8. Empfänger und Dienstleister

Wir geben Daten nur an Empfänger weiter, die sie für den genannten Zweck brauchen. Diese sind durch Vertrag, Gesetz oder Standesrecht zur Vertraulichkeit verpflichtet.

• Vercel Inc. (USA): Hosting und Auslieferung der Website, Vercel Web Analytics. Die Serverfunktionen, die Ihre Formulareingaben verarbeiten, laufen in der Region Frankfurt am Main (Deutschland). Seiten, Bilder und Skripte liefert Vercel über ein weltweites Netz von Standorten aus, in der Regel vom nächstgelegenen. Vercel ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten Standardvertragsklauseln (Vercel DPA).
• Supabase Inc. (USA): Datenbank für das Anfragen-Verzeichnis, Auftragsverarbeiter. Die Datenbank liegt in der EU (Region Irland). Weil der Anbieter seinen Sitz in den USA hat, ist ein Zugriff aus den USA, etwa für Betrieb und Support, nicht ausgeschlossen. Dafür gelten die Standardvertragsklauseln der Europäischen Kommission, die Teil des Auftragsverarbeitungsvertrags von Supabase sind (Supabase DPA).
• 1&1 IONOS SE (Deutschland): Versand und Empfang von E-Mails über das Postfach des Büros. Wir übermitteln die Inhalte Ihrer Anfrage per E-Mail an dieses Postfach; IONOS ist Auftragsverarbeiter (E-Mail-Dienst) und verarbeitet die Daten in Deutschland.
• JustImmo (Österreich): Maklersoftware, siehe Abschnitt 6.
• Cloudflare, Inc. (USA): Spamschutz Turnstile in Formularen. Das Skript wird erst geladen, wenn ein Formular sichtbar wird. Turnstile wertet technische Signale Ihres Browsers aus, etwa IP-Adresse, TLS-Fingerabdruck, Browserkennung (User-Agent) und die aufrufende Website, um automatisierte Zugriffe zu erkennen (Art 6 Abs 1 lit f DSGVO). Für den Spamschutz ist Cloudflare unser Auftragsverarbeiter, für die Verbesserung der Bot-Erkennung eigener Verantwortlicher. Einzelheiten nennt das Turnstile Privacy Addendum. Cloudflare ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert.
• Google Ireland Limited (Irland) und Google LLC (USA): Google Tag Manager und Google Analytics 4, nur mit Ihrer Einwilligung in Statistik und Analyse.
• Microsoft Ireland Operations Limited (Irland) und Microsoft Corporation (USA): Microsoft Clarity, nur mit Ihrer Einwilligung in Statistik und Analyse.
• Steuerberater, Wirtschaftstreuhänder, Rechtsanwälte, Notare, Banken und Hausverwaltungen, soweit es für ein konkretes Geschäft oder zur Erfüllung rechtlicher Pflichten nötig ist.

9. Übermittlung in Drittländer

Einige Dienstleister sitzen in den USA oder können Daten dort verarbeiten (Vercel, Supabase, Cloudflare, Google, Microsoft). Wir stützen die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist (nach eigenen Angaben Vercel, Cloudflare, Google und Microsoft), sonst auf Standardvertragsklauseln der Europäischen Kommission (Supabase). Bei Google und Microsoft kommt Ihre Einwilligung hinzu.

10. Statistik und Analyse (nur mit Einwilligung)

Beim ersten Besuch fragen wir mit einem Banner, welche Kategorien Sie erlauben. Bis zu Ihrer Entscheidung wird nichts von Google oder Microsoft geladen und es erfolgt keine Anfrage an deren Server. Die Einwilligung ist als Cookie „red-consent“ zwölf Monate gespeichert. Unter Cookies oder über „Cookie-Einstellungen“ im Menü und in der Fußzeile können Sie Ihre Wahl jederzeit ändern oder widerrufen. Nach einem Widerruf löschen wir die Cookies dieser Dienste und laden die Seite neu.

Statistik: Google Tag Manager und Google Analytics 4

Mit Ihrer Einwilligung laden wir den Google Tag Manager, der Google Analytics 4 steuert. Gemessen werden Seitenaufrufe, Verweildauer, Herkunft, Gerät, ungefährer Standort und Ereignisse wie das Öffnen eines Bereichs, das Absenden eines Formulars oder ein Klick auf „Anrufen“. Die Ereignisse enthalten keine Namen, Adressen oder Nachrichteninhalte. Die Daten werden von Google Ireland Limited und Google LLC verarbeitet. Ereignisdaten auf Nutzerebene speichert Analytics nach unserer Einstellung höchstens 14 Monate, danach werden sie gelöscht. Wir nutzen den Google Consent Mode: Bis zu Ihrer Zustimmung bleiben alle Speicher-Signale auf „verweigert“, Werbe-Signale bleiben auch danach verweigert. Eine Verknüpfung mit Google Ads dient nur der Auswertung unserer Anzeigen.

Analyse: Microsoft Clarity

Mit derselben Einwilligung laden wir Microsoft Clarity. Clarity zeichnet auf, wie Besucher eine Seite bedienen (Mausbewegungen, Klicks, Scrollen), und fasst das in Sitzungsaufzeichnungen und Heatmaps zusammen. Formulare sind maskiert, ihre Inhalte gelangen nicht in die Aufzeichnung. Vertragspartner ist die Microsoft Ireland Operations Limited, die Daten auf Grundlage von Standardvertragsklauseln auch an die Microsoft Corporation (USA) übermittelt; Microsoft ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert. Laut Microsoft bleiben Aufzeichnungen 30 Tage gespeichert, als Favoriten markierte Aufzeichnungen und eine zufällige Stichprobe bis zu neun Monate; Heatmaps sind bis zu neun Monate abrufbar (Clarity FAQ).

Cookies und Speicher

Welche Cookies und Speicher wir im Einzelnen nutzen, steht mit Name, Zweck, Dauer und Anbieter auf der Seite Cookies.

11. Wie lange wir Daten speichern

• Einträge im Anfragen-Verzeichnis: Löschung, sobald die Anfrage abgeschlossen ist und seit ihrem Eingang 180 Tage vergangen sind.
• E-Mails zu Anfragen ohne Geschäftsabschluss im Postfach des Büros: 12 Monate nach der letzten Kommunikation, danach Löschung.
• Chat-Gespräche: 90 Tage.
• Leitfaden-Link: 7 Tage gültig, die Anfrage selbst wie jede andere Anfrage.
• Verträge, Rechnungen und Buchhaltungsunterlagen: Aus steuerrechtlichen Gründen in der Regel sieben Jahre (§ 132 BAO). Bei Unterlagen zu Grundstücken kann die Frist zwölf Jahre betragen, für bestimmte Grundstücke bis zu 22 Jahre (§ 18 Abs 10 UStG). Bei laufenden Abgaben- oder Gerichtsverfahren bewahren wir Unterlagen über die Frist hinaus auf.
• Unterlagen nach den Geldwäschebestimmungen: für die gesetzlich vorgeschriebene Frist nach Ende der Geschäftsbeziehung.
• Rechtsansprüche: Soweit wir Daten zur Geltendmachung oder Abwehr von Rechtsansprüchen brauchen, bis die Ansprüche verjährt sind. Die Fristen ergeben sich aus verschiedenen Gesetzen und können bis zu 30 Jahre betragen.
• Einwilligung zu Cookies: 12 Monate.

12. Müssen Sie Daten bereitstellen?

Für eine Antwort auf Ihre Anfrage brauchen wir die Angaben, die im Formular als Pflichtfeld gekennzeichnet sind. Ohne sie können wir Ihre Anfrage nicht bearbeiten und kein Vertragsverhältnis eingehen. Die Nutzung der Website ohne Formular ist ohne Angaben von Ihnen möglich.

13. Automatisierte Entscheidungen

Wir nutzen keine automatisierte Entscheidungsfindung nach Art 22 DSGVO, weder für die Begründung noch für die Durchführung einer Geschäftsbeziehung.

14. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über Ihre bei uns verarbeiteten Daten (Art 15 DSGVO),
• Berichtigung und Löschung (Art 16 und 17 DSGVO),
• Einschränkung der Verarbeitung (Art 18 DSGVO),
• Datenübertragbarkeit (Art 20 DSGVO),
• Widerspruch gegen Verarbeitungen aufgrund berechtigten Interesses (Art 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art 7 Abs 3 DSGVO).

Wenn Sie der Meinung sind, dass wir Ihre Rechte verletzen, sprechen Sie uns bitte zuerst an, damit wir Ihr Anliegen rasch klären. Sie können sich außerdem bei der Datenschutzbehörde beschweren: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

15. Sicherheit

Die Übertragung zwischen Ihrem Browser und dieser Website ist per HTTPS verschlüsselt. Das Anfragen-Verzeichnis ist nur für das Büro über einen passwortgeschützten Zugang erreichbar.

16. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung ändert. Bei Formularen speichern wir, welche Fassung Sie bestätigt haben. Die aktuelle Fassung trägt das Datum oben auf der Seite.