Datenschutzerklärung

Stand: 15. August 2026

1. Zwei Rollen – bitte zuerst lesen

BaufiDesk verarbeitet personenbezogene Daten in zwei klar getrennten Rollen. Welche Regeln gelten, hängt davon ab, um wessen Daten es geht:

• Daten der Vermittlerin oder des Vermittlers (Name, E-Mail-Adresse, Firma, Zugangs- und Abrechnungsdaten): Hier ist die Coding Brothers UG Verantwortliche. Dafür gelten die Abschnitte 3 bis 9.
• Daten der Endkunden, die eine Vermittlerin oder ein Vermittler in BaufiDesk einstellt (Gehaltsabrechnungen, Ausweise, Kontoauszüge, Objektunterlagen): Hier ist die Vermittlerin oder der Vermittler Verantwortlicher, die Coding Brothers UG handelt nur als Auftragsverarbeiter nach Art. 28 DSGVO. Dafür gilt Abschnitt 10.

Sind Sie Kundin oder Kunde einer Baufinanzierungsvermittlung und möchten wissen, was mit Ihren Unterlagen geschieht, wenden Sie sich bitte an Ihre Vermittlerin oder Ihren Vermittler. Sie oder er entscheidet über die Verarbeitung und ist Ihre Ansprechperson für Auskunft und Löschung.

2. Verantwortlicher

Coding Brothers UG (haftungsbeschränkt), Ottstr. 9, 76744 Wörth am Rhein, info@codingbrothers.de — vollständige Anbieterangaben im Impressum.

3. Registrierung und Nutzerkonto

Bei der Registrierung erheben wir Namen, Firmenname, E-Mail-Adresse, freiwillig eine Telefonnummer, einen unverbindlichen Wunschtarif sowie das von Ihnen gewählte Passwort. Das Passwort speichern wir ausschließlich als kryptografischen Hash (scrypt), niemals im Klartext.

Zusätzlich halten wir fest, welche Fassung der AGB und der Datenschutzerklärung Sie wann und von welcher IP-Adresse aus akzeptiert haben. Das dient dem Nachweis der Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung), für den Einwilligungsnachweis Art. 6 Abs. 1 lit. c und f DSGVO.

Wird ein Antrag abgelehnt oder nicht innerhalb der Gültigkeitsdauer des Bestätigungslinks bestätigt, löschen wir ihn spätestens nach zwölf Monaten.

4. Hosting und Server-Protokolle (Vercel)

Die Anwendung läuft bei der Vercel Inc. Beim Aufruf fallen technisch notwendige Protokolldaten an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser- und Betriebssystemkennung). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Sicherheit). Mit Vercel besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist über die EU-Standardvertragsklauseln abgesichert.

5. Datenbank und Dateiablage (Supabase)

Sämtliche Anwendungsdaten und hochgeladenen Dateien liegen bei der Supabase Inc. in einem Rechenzentrum in der Europäischen Union (Frankfurt am Main). Es besteht ein Auftragsverarbeitungsvertrag.

6. Automatisierte Auswertung von Unterlagen (Mistral AI)

Zur Texterkennung und zur Auswertung hochgeladener Unterlagen setzen wir Dienste der Mistral AI SAS, Paris, Frankreich ein. Die Verarbeitung findet auf Servern in der Europäischen Union statt. Übermittelt werden die jeweiligen Dokumente und die daraus gewonnenen Textinhalte.

Nach Zusicherung des Anbieters werden über die Programmierschnittstelle übermittelte Inhalte nicht zum Training von Modellen verwendet. Es besteht ein Auftragsverarbeitungsvertrag.

Keine automatisierte Entscheidung im Einzelfall. Die Auswertung erzeugt ausschließlich Vorschläge. Jede Übernahme in einen Fall und jede Weitergabe an eine Bank erfordert eine ausdrückliche Freigabe durch einen Menschen. Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO findet nicht statt.

7. E-Mail-Versand (Resend)

System-E-Mails – Bestätigung der Registrierung, Freischaltung, Passwort zurücksetzen, Einladungen, Benachrichtigungen über neue Unterlagen – versenden wir über die Resend, Inc. Übermittelt werden Empfängeradresse, Betreff und Inhalt. Es besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA ist über die EU-Standardvertragsklauseln abgesichert.

8. Fehler-Monitoring (Sentry)

Zur Erkennung technischer Fehler nutzen wir Sentry (Functional Software, Inc.) über die EU-Instanz. Erfasst werden Fehlermeldungen, technische Zustandsdaten und die aufgerufene Adresse. Die Erfassung personenbezogener Daten (Nutzerkennungen, Formularinhalte, Sitzungsaufzeichnungen) ist in der Konfiguration abgeschaltet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

9. Lead-Übernahme (FinLink)

Nutzt eine Vermittlerin oder ein Vermittler die Anbindung an FinLink, rufen wir mit den von ihr oder ihm hinterlegten Zugangsdaten Anfragen aus dem dortigen Konto ab. Verantwortlich für diese Verarbeitung ist die Vermittlerin oder der Vermittler; wir handeln auf ihre oder seine Weisung (siehe Abschnitt 10).

10. Verarbeitung im Auftrag – Kundendaten der Vermittler

Stellt eine Vermittlerin oder ein Vermittler Unterlagen ihrer oder seiner Kunden in BaufiDesk ein, verarbeiten wir diese ausschließlich weisungsgebunden als Auftragsverarbeiter nach Art. 28 DSGVO. Wir nutzen diese Daten nicht für eigene Zwecke, geben sie nicht an Dritte weiter und verwenden sie nicht zum Training von Modellen.

Der Abschluss eines Auftragsverarbeitungsvertrags einschließlich der technischen und organisatorischen Maßnahmen ist Voraussetzung für die Nutzung mit echten Kundendaten. Folgende Unterauftragsverarbeiter kommen dabei zum Einsatz:

Änderungen an dieser Liste teilen wir den Nutzern rechtzeitig mit; ein Widerspruchsrecht nach dem AVV bleibt unberührt.

11. Upload-Links und Selbstauskunft für Endkunden

Vermittler können ihren Kunden Links senden, über die diese ohne eigenes Konto Unterlagen hochladen oder einen Fragebogen ausfüllen. Diese Links enthalten ein zufälliges, zeitlich begrenztes Geheimnis und geben ausschließlich Zugriff auf den jeweiligen Vorgang. In der Datenbank wird nur ein Hash des Geheimnisses gespeichert. Verantwortlich für den Versand und den Inhalt ist die jeweilige Vermittlerin oder der jeweilige Vermittler.

Zusätzlich kann eine Vermittlerin oder ein Vermittler ein öffentliches Anfrageformular unter einer festen Adresse (/anfrage/…) betreiben. Anders als bei einem versendeten Link besteht hier noch keine Geschäftsbeziehung: Wer das Formular öffnet, gibt seine Angaben – etwa Geburtsdatum, Einkommen und Verpflichtungen – von sich aus ein, bevor die Vermittlerin oder der Vermittler davon weiß. Rechtsgrundlage ist deshalb ausschließlich die ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die beim Absenden des vollständigen Bogens mit Zeitpunkt und Fassung des Einwilligungstextes festgehalten wird. Erst mit dieser Einwilligung entsteht aus den Angaben ein Vorgang bei der Vermittlerin oder dem Vermittler, die oder der ab dann Verantwortliche ist. Wird ein begonnener Bogen nicht zu Ende ausgefüllt, entsteht kein Vorgang; die bis dahin eingegebenen Angaben werden gelöscht, sobald der zugehörige Link abläuft – spätestens 31 Tage nach Beginn (der tägliche Aufräumlauf prüft einmal pro Tag, daher bis zu einen Tag nach Ablauf).

12. Cookies und lokaler Speicher

Wir setzen ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie für die Anmeldung und – solange der Zugang während der Aufbauphase durch ein gemeinsames Passwort geschützt ist – ein Cookie für diesen Zugangsschutz. Analyse- oder Werbe-Cookies setzen wir nicht ein. Eine Einwilligungsabfrage ist deshalb nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

13. Speicherdauer

• Konto- und Organisationsdaten: für die Dauer des Vertrags, danach bis zum Ablauf gesetzlicher Aufbewahrungsfristen.
• Kundendaten der Vermittler: nach Weisung des Verantwortlichen, spätestens 30 Tage nach Vertragsende (siehe § 9 der AGB).
• Nicht bestätigte oder abgelehnte Registrierungsanträge: längstens zwölf Monate.
• Zugangs-Token (Bestätigung, Passwort zurücksetzen, Einladung): werden mit der Nutzung entwertet und nach Ablauf gelöscht.
• Server-Protokolle und Fehlermeldungen: in der Regel 30 bis 90 Tage.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Wenden Sie sich dafür an info@codingbrothers.de.

Betrifft Ihre Anfrage Unterlagen, die eine Vermittlerin oder ein Vermittler eingestellt hat, leiten wir sie unverzüglich an die dort verantwortliche Stelle weiter und unterstützen sie bei der Beantwortung; entscheiden dürfen wir darüber nicht.

15. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

16. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert – etwa weil ein Dienst hinzukommt oder ersetzt wird. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite.