Datenschutzerklärung

GROW HvH Software GmbH i. G.

Rachelweg 14

85748 Garching bei München

Vertreten durch die Geschäftsführer:

Madeleine Hoff

Andreas von Hochmeister

E-⁠Mail: hello@growworkspace.io

Handelsregister: Eintragung beim Amtsgericht München beantragt

Diese Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Vercel verarbeitet dabei technisch notwendige Zugriffsdaten (IP-Adresse, Zeitstempel, angeforderte Seite) in Serverprotokollen, auch in den USA. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung in die USA stützt sich deshalb auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Mit Vercel besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und effizienten Bereitstellung der Website).

Wir verwenden Supabase als Datenbank- und Authentifizierungsdienst. Die Datenbank läuft in der Region eu-central-1 (Frankfurt). Die dort gespeicherten Daten verbleiben in der EU.

Wir setzen ausschließlich funktionale Cookies, die für den Betrieb der Anwendung erforderlich sind:

• Supabase Auth Cookies — Sitzungsverwaltung nach dem Login (Magic Link). Enthalten keine personenbezogenen Daten im Klartext.

Kampagnen-Parameter (utm_source, utm_medium, utm_campaign, Referral-Code) werden nicht in Cookies, sondern sitzungsbasiert im Browser gespeichert (sessionStorage). Die Daten existieren nur für die Dauer des Browser-Tabs und werden nicht an Dritte übermittelt.

Es werden keine Tracking-Cookies und keine Cookies von Drittanbietern gesetzt. Unsere Analyse-Tools (Plausible, PostHog) arbeiten cookiefrei. Eine Cookie-Einwilligung ist daher nicht erforderlich (Art. 5 Abs. 3 ePrivacy-Richtlinie / § 25 TDDDG).

a) Plausible Analytics

Wir verwenden Plausible Analytics der Plausible Insights OÜ (Estland), ein cookiefreies Analyse-Tool. Plausible läuft auf unserer öffentlichen Website und im eingeloggten Bereich der Anwendung. Die Datenverarbeitung erfolgt auf Servern in der EU. Plausible setzt keine Cookies, speichert nichts auf deinem Endgerät und erstellt keine Nutzerprofile.

Erfasst werden die Adresse der aufgerufenen Seite, die Verweisquelle, Browser, Betriebssystem, Gerätekategorie und Land. Deine IP-Adresse speichert Plausible nicht. Um Besucher zählen zu können, bildet Plausible aus IP-Adresse und Browser-Kennung einen Hashwert mit einem Schlüssel, der täglich wechselt und danach gelöscht wird. Ein Rückschluss auf deine Person ist damit nicht möglich.

Im eingeloggten Bereich erfasst Plausible zusätzlich einzelne Ereignisse ohne Personenbezug, zum Beispiel einen gescheiterten Dokumenten-Upload mit Fehlerart, Dateityp und Dateigröße. Plausible erhält dabei weder deinen Namen noch deine E-⁠Mail-Adresse noch Inhalte aus dem Konto deiner Firma. Diese Auswertung führen wir für eigene Zwecke als Verantwortlicher durch und nicht im Auftrag deiner Firma. Sie dient dazu, Fehler zu erkennen und die Anwendung zu verbessern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der anonymen Analyse der Nutzung von Website und Anwendung). Eine Einwilligung nach § 25 TDDDG ist nicht erforderlich, weil Plausible keine Informationen auf deinem Endgerät speichert oder dort ausliest.

b) PostHog (Produkt-Analytics)

Für die Analyse der Produktnutzung setzen wir PostHog (EU-Cloud, gehostet unter eu.i.posthog.com) ein. PostHog ist so konfiguriert, dass es keine Cookies setzt und keine automatische Erfassung von Nutzerinteraktionen stattfindet. Es werden ausschließlich gezielt ausgelöste Ereignisse erfasst (z. B. Dokumenten-Upload, Anmeldung, Feedback-Abgabe). Für eingeloggte Nutzer wird die Nutzer-ID mit PostHog verknüpft, um die Produktnutzung je Mandant nachvollziehen zu können. Session-Aufzeichnungen sind deaktiviert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Produkts).

GROW nutzt Künstliche Intelligenz zur Analyse hochgeladener Dokumente und für den KI-Chat. Dabei werden Inhalte deiner hochgeladenen Dateien (z. B. Gebäudedaten, Wartungsverträge, Prüfprotokolle) sowie Chat-Nachrichten an folgende Dienste übermittelt:

a) Google Vertex AI (Gemini)

Standardmäßig werden deine Daten über Google Vertex AI (Modell: Gemini) verarbeitet. Die Verarbeitung erfolgt ausschließlich in Rechenzentren innerhalb der Europäischen Union — vorrangig über den EU-Mehrregionen-Verbund von Google Cloud, zu dem unter anderem europe-west3 (Frankfurt) und europe-west4 (Niederlande) gehören. Eine Verarbeitung außerhalb der EU findet nicht statt. Google Vertex AI verwendet die übermittelten Daten nicht zum Training eigener Modelle. Verarbeitet werden: Inhalte hochgeladener Dokumente zur Datenextraktion, Chat-Nachrichten und zugehörige Kontext-Daten (Gebäudenamen, Anlagentypen) zur Beantwortung deiner Fragen, sowie Texte zur Erzeugung von Such-Embeddings.

Spracheingabe im KI-Chat: Wenn du eine Frage per Mikrofon diktierst, wird die Sprachaufnahme (höchstens 60 Sekunden) an Google Vertex AI in der EU übermittelt und dort in Text umgewandelt. GROW speichert die Aufnahme nicht; erhalten bleibt nur der erkannte Text in deinem Eingabefeld. Das Mikrofon wird nur benutzt, solange du die Aufnahme selbst gestartet hast.

b) Anthropic (Claude)

Für besonders komplexe Anfragen im KI-Chat (z. B. Vergleiche, Analysen, Compliance-Fragen) kann optional das Modell Claude von Anthropic eingesetzt werden. Anthropic ist ein US-amerikanischer Anbieter. Die Verarbeitung erfolgt über den europäischen API-Endpunkt von Anthropic, sodass die Daten in der EU verarbeitet werden. Anthropic verwendet die übermittelten Daten nicht zum Training eigener Modelle.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die KI-Analyse ist Kernbestandteil des Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung intelligenter Analysefunktionen).

Für den Versand von E-⁠Mails nutzen wir Brevo (ehemals Sendinblue), ein französisches Unternehmen mit Sitz in Paris. Die Datenverarbeitung erfolgt ausschließlich in der EU. Brevo erhält dabei die Empfänger-E-⁠Mail-Adresse und den Nachrichteninhalt. Alle E-⁠Mail-Daten verbleiben in der EU.

Folgende E-⁠Mail-Kategorien werden versendet:

• Ergebnis-E-⁠Mails — Zusammenfassung deines Check-Ergebnisses direkt nach Abschluss eines Leadmagnets.
• Nurturing-E-⁠Mails — Weiterführende Informationen zum genutzten Thema (max. 3 E-⁠Mails über 7 Tage nach Nutzung eines Tools).
• Onboarding-E-⁠Mails — Hilfestellungen für neue registrierte Nutzer (4 E-⁠Mails über die ersten 14 Tage).
• NPS-Umfrage — Monatliche Zufriedenheitsumfrage für aktive Nutzer (abmeldbar).
• Re-Engagement — Erinnerung bei längerer Inaktivität (abmeldbar).

Du kannst dich jederzeit über den Abmelde-Link in jeder E-⁠Mail oder in den Kontoeinstellungen von einzelnen E-⁠Mail-Kategorien abmelden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse bei produktbezogenen Benachrichtigungen).

a) Warteliste

Bei der Anmeldung zur Warteliste erheben wir deine E-⁠Mail-Adresse. Zweck: Benachrichtigung über den Start von GROW. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Daten werden gelöscht, sobald die Warteliste nicht mehr benötigt wird oder du deine Einwilligung widerrufst.

b) Kostenlose Analyse-Tools (Leadmagnets)

GROW bietet verschiedene kostenlose Analyse-Tools an: Gebäude-Zustandscheck, Betreiberverantwortungs-Check, Hybrid-Work-Flächenrechner, Instandhaltungsrückstau-Rechner, Wissensverlust-Check, Nebenkosten-Transparenz-Check, ESG-Datenlücken-Audit, Dienstleister-Transparenz-Check und Fristenwächter.

Bei der Nutzung dieser Tools gibst du fachliche Daten ein (z. B. Gebäudedaten per Excel-Upload, Antworten auf Fragebögen oder PDF-Dokumente). Die Eingaben werden serverseitig analysiert — bei datenintensiven Checks unter Einsatz von KI (siehe Abschnitt 6) — und das Ergebnis in unserer Datenbank gespeichert.

Um das vollständige Ergebnis freizuschalten, gibst du optional deine E-⁠Mail-Adresse sowie bei einigen Tools freiwillig Firmenname und Telefonnummer an. Diese Daten werden als Lead gespeichert, um dich kontaktieren zu können, und zwölf Monate nach deiner Angabe gelöscht, sofern du kein Nutzerkonto angelegt hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Anonyme Sessions ohne E-⁠Mail-Angabe werden nach 24 Stunden gelöscht.

c) Registrierung und Nutzerkonto

Bei der Registrierung erheben wir deine E-⁠Mail-Adresse. Die Anmeldung erfolgt ausschließlich per Magic Link (kein Passwort). Im Rahmen der Kontonutzung werden ferner dein Name (optional), deine Rolle im Unternehmen sowie die Zugehörigkeit zu einem Mandanten (Tenant) gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

d) KI-Chat

Im KI-Chat stellst du Fragen zu deinen Gebäude- und FM-Daten. Deine Nachrichten und die KI-Antworten werden in unserer Datenbank gespeichert (mandantengetrennt). Pro Anfrage werden deine Frage sowie relevante Kontext-Daten aus deinen hochgeladenen Dokumenten an den KI-Dienst übermittelt (siehe Abschnitt 6). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

e) NPS-Umfrage

Einmal monatlich laden wir aktive Nutzer (Konto älter als 30 Tage) per E-⁠Mail zur Teilnahme an einer Zufriedenheitsumfrage ein. Erfasst werden dein Zufriedenheitswert (0–10) und ein optionaler Freitext-Kommentar. Die Teilnahme ist freiwillig und die E-⁠Mail abmeldbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Produktverbesserung).

f) Feedback und Mikro-Umfragen

Nach bestimmten Aktionen (z. B. Dokumenten-Upload, Chat-Nutzung, Ergebnis-Ansicht) kannst du freiwillig eine kurze Bewertung abgeben (Daumen hoch/runter oder Smileys) und optional einen Freitext-Kommentar hinterlassen. Die Bewertung wird mit deiner Nutzer-ID und dem Kontext der Aktion gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Produktverbesserung).

g) Exit-Umfrage bei Kontolöschung

Wenn du dein Konto löschst, wirst du optional nach dem Grund gefragt. Gespeichert werden der gewählte Kündigungsgrund und ein optionaler Kommentar. Die Daten werden ohne Bezug zu deinem Nutzerkonto (anonymisiert) gespeichert und dienen ausschließlich der Produktverbesserung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

h) UTM-Parameter und Referral-Codes

Wenn du über einen Kampagnen-Link oder Partner-Link auf unsere Website gelangst, werden die UTM-Parameter (Quelle, Medium, Kampagne) sowie ggf. der Referral-Code sitzungsbasiert im Browser gespeichert (sessionStorage — kein Cookie). Bei einer späteren Lead-Erfassung (E-⁠Mail-Gate) werden diese Daten dem Eintrag zugeordnet. Bei Referral-Links wird zusätzlich die Konversion (E-⁠Mail, genutztes Tool) dem Partner zugeordnet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Optimierung unserer Marketingkanäle und Partner-Programme).

i) Kontaktformular „Sprich mit uns“

Über den Knopf „Sprich mit uns“ öffnest du ein Formular. Wir erheben darin deinen Namen, deine E-⁠Mail-Adresse, freiwillig dein Unternehmen, dein Anliegen (Rundgang, Frage oder Kennenlernen) und deinen Kommentar. Zweck: Beantwortung deiner Anfrage und Vorbereitung eines Termins.

Empfänger: Deine Angaben werden in unserer Kontaktverwaltung gespeichert (Datenbank bei Supabase in Frankfurt sowie Notion als CRM, siehe Abschnitt 10). Bei einer Frage oder einem Kennenlernen gehen sie zusätzlich per E-⁠Mail an unser Postfach hello@growworkspace.io. Wählst du einen Rundgang, öffnet sich danach der Terminkalender von Google in einem neuen Tab; was du dort einträgst, verarbeitet Google. Beim Öffnen des Formulars werden keine Inhalte von Dritten geladen. Erst wenn du ins Formular klickst, lädt der Spam-Schutz Cloudflare Turnstile (siehe Abschnitt 10).

Rechtsgrundlage: Wenn du einen Rundgang oder ein Kennenlernen anfragst, Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags). Wenn du eine Frage stellst, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, deine Frage zu beantworten).

Speicherdauer: Wir löschen deine Angaben spätestens zwölf Monate nach unserem letzten Kontakt mit dir. Wenn daraus ein Vertrag entsteht, gelten stattdessen die gesetzlichen Aufbewahrungsfristen. Wenn du uns sagst, dass wir dich nicht mehr kontaktieren sollen, bewahren wir diesen Widerspruch mit deinem Namen und deiner E-⁠Mail-Adresse auf, damit wir uns daran halten können.

j) Benachrichtigungen im Browser (Push)

In den Einstellungen der Anwendung kannst du Benachrichtigungen im Browser einschalten. Erst dann fragt dein Browser nach deiner Erlaubnis. Erteilst du sie, erzeugt dein Browser beim Push-Dienst seines Herstellers eine Empfangsadresse. Je nach Browser betreibt diesen Dienst Google (Chrome), Mozilla (Firefox), Apple (Safari) oder Microsoft (Edge). Wir speichern die Empfangsadresse, die zugehörigen Schlüssel und die Kennung deines Browsers zu deinem Nutzerkonto in unserer Datenbank in Frankfurt.

Jede Benachrichtigung schicken wir verschlüsselt an diese Empfangsadresse. Der Push-Dienst des Browserherstellers stellt sie deinem Browser zu. Er kann den Inhalt nicht lesen. Er sieht aber die Empfangsadresse, den Zeitpunkt und die Größe der Nachricht. Erreicht eine Nachricht deinen Browser nicht, verwirft der Push-Dienst sie nach spätestens 24 Stunden. Die Push-Dienste können Server außerhalb der EU nutzen, insbesondere in den USA. Jeder Browser stellt Benachrichtigungen ausschließlich über den Dienst seines Herstellers zu, und mit diesen Diensten lässt sich kein Vertrag über eine Auftragsverarbeitung schließen. Deshalb stehen sie nicht in der Liste in Abschnitt 10.

Schaltest du die Benachrichtigungen in der Anwendung ab, löschen wir die gespeicherte Empfangsadresse sofort. Entziehst du die Erlaubnis nur in deinem Browser, löschen wir sie, sobald der Push-Dienst sie beim nächsten Versand als ungültig meldet. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

Du kannst dein Nutzerkonto jederzeit in den Kontoeinstellungen selbstständig löschen. Wir vollziehen die Löschung 14 Tage nach deinem Auftrag, bis dahin kannst du sie zurücknehmen. Bei der Löschung werden alle mit deinem Konto verknüpften Daten (Profil, hochgeladene Dokumente, Chat-Verlauf, Gebäudedaten) unwiderruflich entfernt. Die anonymisierte Exit-Umfrage (falls ausgefüllt) bleibt erhalten. Rechtsgrundlage: Art. 17 DSGVO (Recht auf Löschung).

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein:

Mit allen Auftragsverarbeitern bestehen Verträge gemäß Art. 28 DSGVO. Für US-amerikanische Dienstleister sind Standardvertragsklauseln (SCCs) oder ein Data Processing Agreement (DPA) vereinbart.

Du hast folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO) — Welche Daten haben wir von dir gespeichert?
• Berichtigungsrecht (Art. 16 DSGVO) — Korrektur unrichtiger Daten.
• Löschungsrecht (Art. 17 DSGVO) — Löschung deiner Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenportabilität (Art. 20 DSGVO) — Herausgabe deiner Daten in einem maschinenlesbaren Format.
• Widerspruchsrecht (Art. 21 DSGVO) — Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen.

Du hast zudem das Recht, dich bei einer Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt.

Bei Fragen zum Datenschutz oder zur Ausübung deiner Betroffenenrechte wende dich bitte an:

E-⁠Mail: hello@growworkspace.io