Datenschutzhinweise

1. Verantwortlicher

Restless UG (haftungsbeschränkt), Finkenau 1, 22081 Hamburg, vertreten durch den Geschäftsführer Gian-Luca von Oesen. E-Mail: support@reesinsy.com.

Für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte erreichst du uns unter dieser Adresse. Einen Datenschutzbeauftragten haben wir nicht benannt, weil bei uns weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und deshalb keine Pflicht nach § 38 BDSG besteht.

2. Überblick

reesinsy ist ein Werkzeug, das zu einer Adresse Daten aus amtlichen und weiteren Quellen zusammenstellt. Wir verarbeiten personenbezogene Daten nur, soweit das für die Website, dein Konto, deine Käufe und die Funktionen nötig ist, die du nutzt, oder soweit du eingewilligt hast. Wir verkaufen keine Daten. An Partner geben wir nur weiter, wenn du im Einzelfall eingewilligt hast.

3. Aufruf der Website

Beim Aufruf verarbeiten unsere Server und unser Netzdienstleister Cloudflare technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer, Browser- und Gerätetyp. Zweck ist die Auslieferung der Seiten, die Abwehr von Angriffen und Überlastung sowie die Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb. Protokolle löschen wir nach höchstens 7 Tagen.

4. Technisch notwendige Speicherungen im Browser

• Anmeldung und Sicherheit: Sitzungsschlüssel für den ausdrücklich gewünschten Kontozugang.
• Vorschau-Zugang: signiertes, nur vom Server lesbares Zugriffscookie; Laufzeit 12 Stunden.
• Datenschutzeinstellung: lokale Speicherung deiner Auswahl; höchstens 180 Tage.
• Zwischenspeicherung: vorübergehende Angaben für einen von dir begonnenen Speichervorgang.

Diese Speicherungen sind für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b und f DSGVO.

5. Konto und Anmeldung

Für Konto, Dossier und Käufe verarbeiten wir deine E-Mail-Adresse, eine Nutzerkennung, Anmeldezeitpunkte und deine Einstellungen (zum Beispiel Sprache und Mail-Wahl). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über das Konto).

Du meldest dich entweder mit deinem Google-Konto an oder mit einem Anmeldelink per E-Mail. Bei der Anmeldung mit Google erhalten wir von Google deinen Namen, deine E-Mail-Adresse und eine Google-Kennung; Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Den Anmeldelink versenden wir über den E-Mail-Dienst von Cloudflare, ersatzweise über Resend (Datenregion EU, Irland).

6. Adresssuche und Objektanalyse

Gibst du eine Adresse ein, verarbeiten wir sie, um das Objekt zu finden und Daten dazu abzurufen. Die Adresssuche (über unseren Server) und die Kartendarstellung im Browser nutzen den Dienst Mapbox (Mapbox, Inc., USA). Mapbox erhält bei der Suche den Suchtext, bei Karten und Satellitenbildern deine IP-Adresse und den angezeigten Kartenausschnitt und kann technische Nutzungsdaten (Telemetrie) erheben.

Zur Analyse fragen wir über unseren Server öffentliche Datendienste ab, insbesondere die Geodaten- und Bodenrichtwertdienste der Länder und des Bundes, das PVGIS der Gemeinsamen Forschungsstelle der Europäischen Kommission und die Solar API von Google. Übermittelt werden dabei Koordinaten oder Flurstücksangaben des Objekts, keine Namen oder Kontaktdaten. Direkt in deinem Browser laden Kartenkacheln von Mapbox und von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich) sowie, je nach Bundesland, Kartenebenen der Länderdienste (Hamburg, Niedersachsen, Nordrhein-Westfalen, Hessen, Berlin, Bayern) und des Bundesamts für Kartographie und Geodäsie. Diese Anbieter erhalten deine IP-Adresse und den angefragten Kartenausschnitt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit du angemeldet bist, sonst Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der angefragten Analyse).

Hinweis für Personen, die selbst nicht Nutzer sind (Art. 14 DSGVO), etwa Eigentümer: Angaben zu einem Objekt können sich auf dich beziehen. Kategorien: Lage- und Objektangaben (zum Beispiel Flurstück, Gebäude, Bodenrichtwert), soweit sie in den genannten öffentlichen Quellen veröffentlicht sind; Namen von Eigentümern erheben wir nicht gezielt. Quelle: die in diesem Abschnitt genannten Datendienste. Empfänger: der Nutzer, der das Objekt prüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Bereitstellung öffentlich zugänglicher Objektinformationen für Nutzer, die das Objekt prüfen. Eine einzelne Benachrichtigung unterbleibt, weil sie einen unverhältnismäßigen Aufwand erfordern würde (Art. 14 Abs. 5 lit. b DSGVO). Widersprechen kannst du jederzeit unter support@reesinsy.com.

7. Dossier, Uploads und Teilen von Mappen

Speicherst du Objekte, Angaben, Fotos oder Dokumente im Dossier, verarbeiten wir sie, um sie dir anzuzeigen, auszuwerten und in deine Mappen zu übernehmen. Dateien liegen in einem privaten Speicher; nur du hast Zugriff. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Lade bitte keine Daten Dritter hoch, die du nicht weitergeben darfst.

Mappe teilen: Du kannst eine Mappe über einen geschützten Link mit Zugangscode freigeben. Dafür speichern wir die E-Mail-Adresse der Person, an die du die Mappe weitergibst (Daten eines Dritten), den von dir genannten Zweck, die Gültigkeit, die Zahl der Abrufe und die Zugriffe auf den Link (Zeitpunkt und Art, zum Beispiel geöffnet oder heruntergeladen). Link und Zugangscode zeigen wir dir an; du gibst sie selbst weiter, wir schreiben der Empfängerin oder dem Empfänger nicht. Zweck ist, dass nur die gewählte Person die Mappe in der gewählten Zeit abrufen kann und du die Zugriffe nachvollziehen kannst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (deine Freigabe) und Art. 6 Abs. 1 lit. f DSGVO (Schutz der Mappe). Die Empfängerin oder der Empfänger kann sich jederzeit unter support@reesinsy.com melden, um Auskunft zu erhalten oder zu widersprechen. Die Daten zum Link löschen wir mit dem Link oder mit deinem Konto.

8. Käufe und Zahlung

Für Käufe verarbeiten wir Produkt, Objekt, Betrag, Zahlungsstatus, Rechnungsdaten und den Nachweis deiner Zustimmung zur sofortigen Bereitstellung (Fassung des gezeigten Texts, Prüfsumme und Zeitpunkt). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrung) und Art. 6 Abs. 1 lit. f DSGVO (Nachweis der Zustimmung).

Die Zahlung wickelt die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, ab. Du gibst deine Zahlungsdaten direkt bei Stripe ein; wir erhalten sie nicht vollständig, sondern nur Zahlungsstatus, Zahlart und eine Kundenkennung. Stripe verarbeitet die Zahlungsdaten auch in eigener Verantwortung, etwa zur Betrugsabwehr und zur Erfüllung gesetzlicher Pflichten; dafür gilt die Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

9. E-Mails und Kontakt

Schreibst du uns, etwa an support@reesinsy.com, verarbeiten wir deine Nachricht und Kontaktdaten, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um dein Konto oder einen Kauf geht, sonst Art. 6 Abs. 1 lit. f DSGVO.

Wir senden dir E-Mails, die zu deinem Konto oder deinen Käufen gehören: Anmeldelinks, Bestellbestätigungen, Rechnungen und Hinweise zum Stand. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere E-Mails erhältst du nur, wenn du sie im Konto auswählst (Art. 6 Abs. 1 lit. a DSGVO); die Auswahl kannst du dort jederzeit ändern.

10. Weitergabe an Partner

An Partner wie Handwerker, Finanzierungs- oder Versicherungsfachleute geben wir deine Angaben nur weiter, wenn du im Einzelfall einwilligst. Vor der Einwilligung siehst du Kategorie, Zweck und die Daten, die weitergehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kannst du im Konto mit Wirkung für die Zukunft widerrufen. Der Partner verarbeitet die Daten danach in eigener Verantwortung.

11. Optionale Reichweitenmessung

Google Tag Manager und Google Analytics 4 werden erst geladen, wenn du „Reichweitenmessung“ ausdrücklich erlaubt hast. Anbieter ist Google Ireland Limited. Verarbeitet werden können Seitenaufrufe, Zeitpunkt, Geräte- und Browserklasse sowie die ungefähre Herkunft eines Aufrufs. Seiten mit Such- oder Adressparametern, Kontoseiten, Vorschau- und Anmeldeseiten, Dokumente und Nutzerkennungen werden nicht gemessen. Beim Dossier wird nur der Seitenpfad „/de/dossier“ gezählt, nie Adressen, Objekte oder Angaben daraus. Werbespeicherung, Werbenutzerdaten, Anzeigenpersonalisierung, Google Signals und erweiterte Conversions bleiben deaktiviert. Google Analytics setzt nach der Zustimmung Cookies mit Namen wie _ga.

Mit derselben Zustimmung zählen wir auf eigenen Servern, welche Schritte genutzt werden (zum Beispiel Adresse gesucht, Analyse angezeigt, Immobilie gespeichert). Dafür wird eine zufällige Kennung im Browser gespeichert (reesinsy.anonId im lokalen Speicher, reesinsy.sessionId für die Sitzung). Übertragen werden keine Adresse, keine E-Mail-Adresse und keine Objektangaben.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß oder das Schildsymbol unten links ändern oder widerrufen. Dann wird die weitere Übertragung gesperrt, erreichbare Analytics-Cookies und die Kennungen werden entfernt. Die bis zum Widerruf erfolgte Verarbeitung bleibt rechtmäßig.

12. Optionale Fehlerdiagnose

Diagnosedaten senden wir nur nach deiner Zustimmung, sobald die Fehlerdiagnose mit Sentry (Functional Software, Inc., USA) für die Website aktiviert ist. Sie können technische Fehler, App-Version, Seite und Geräteklasse umfassen, nie Immobilieninhalte oder Dokumente. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit über das Schildsymbol widerrufen kannst.

13. Empfänger und Auftragsverarbeiter

Wir setzen Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO):

• Supabase, Inc. (USA): Anmeldung, Datenbank und privater Dateispeicher. Datenregion: EU Nord (Stockholm, Schweden).
• Cloudflare, Inc. (USA): Hoster der Anwendung (Cloudflare Workers; die Ausführung erfolgt weltweit nahe am Nutzer), Zwischenspeicher (R2, Standorthinweis Osteuropa), DNS, Auslieferung, Schutz vor Angriffen, Bot-Schutz (Turnstile) und E-Mail-Versand.
• Resend, Inc. (USA): ersatzweiser E-Mail-Versand, Datenregion EU (Irland).
• Google Ireland Limited (Irland): Anmeldung mit Google (Google handelt dabei in eigener Verantwortung), Solar API, Reichweitenmessung nach Einwilligung.
• Mapbox, Inc. (USA): Adresssuche (Server) sowie Kartenkacheln und Satellitenbilder (Browser).
• Functional Software, Inc. (Sentry, USA): Fehlerdiagnose nach Einwilligung, sobald aktiviert.

Eigenständig verantwortlich sind Stripe (Zahlung, Abschnitt 8), Partner, an die du Daten freigibst (Abschnitt 10), die OpenStreetMap Foundation und die amtlichen Kartendienste (Abschnitt 6). Das PVGIS der Europäischen Kommission und die amtlichen Datendienste erhalten bei der Analyse nur Koordinaten oder Flurstücksangaben.

14. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA. Die Übermittlung dorthin stützen wir auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF, Art. 45 DSGVO), soweit der Anbieter danach zertifiziert ist, und im Übrigen auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Die Angaben beruhen auf den öffentlichen Auftragsverarbeitungsverträgen und Datenschutzseiten der Anbieter, abgerufen am 19.10.2026:

• Cloudflare: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anbieter-DPA, Version 6.4, Stand 03.04.2026). Übermittlung in die USA auf Grundlage des DPF (Cloudflare nennt seine DPF-Zertifizierung), ergänzend Standardvertragsklauseln.
• Supabase: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anbieter-DPA, Version 1, Stand 01.08.2026). Übermittlung auf Grundlage von Standardvertragsklauseln.
• Resend: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anbieter-DPA, Stand 31.12.2025). Übermittlung in die USA auf Grundlage des DPF (Resend nennt seine DPF-Zertifizierung), ergänzend Standardvertragsklauseln.
• Mapbox: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anbieter-DPA, Fassung 01.04.2025). Übermittlung in die USA auf Grundlage des DPF (Mapbox nennt seine DPF-Zertifizierung in der Datenschutzerklärung), ergänzend Standardvertragsklauseln.
• Sentry (Functional Software): Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anbieter-DPA). Übermittlung in die USA auf Grundlage des DPF (Sentry nennt seine DPF-Zertifizierung), ergänzend Standardvertragsklauseln.
• Google: Für Dienste, bei denen Google als Auftragsverarbeiter handelt, gilt der Datenverarbeitungszusatz von Google (Stand beim Abruf 19.10.2026) mit Standardvertragsklauseln. Beim Login mit Google handelt Google in eigener Verantwortung.
• Stripe: Stripe verarbeitet Zahlungsdaten in eigener Verantwortung (Abschnitt 8); Stripe nennt seine DPF-Zertifizierung und hat einen Datenverarbeitungszusatz (Stand 28.09.2026), ergänzend Standardvertragsklauseln.

Die OpenStreetMap Foundation sitzt im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der EU-Kommission gilt (Art. 45 DSGVO). Eine Kopie der Garantien erhältst du unter support@reesinsy.com.

15. Speicherdauer

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist:

• Kontodaten, Dossier und Uploads bis zur Löschung des Kontos; die Löschung kannst du im Konto auslösen.
• Rechnungen und Buchungsbelege bis zu acht Jahre, Handels- und Geschäftsbriefe sechs Jahre, Bücher und Abschlüsse zehn Jahre (§ 147 AO, § 257 HGB).
• Nachweise zur Zustimmung bei Käufen so lange, wie Ansprüche aus dem Kauf geltend gemacht werden können.
• Einwilligungsabhängige Daten bis zum Widerruf, längstens: Google-Analytics-Daten 2 Monate, Kennungen im Browser (reesinsy.anonId) bis zum Ablauf der Einwilligung nach 180 Tagen und danach gelöscht beim nächsten Besuch, eigene Schrittzählung 13 Monate nach der Erfassung.
• Anfragen an support@reesinsy.com löschen wir spätestens 12 Monate nach Abschluss der Anfrage; steuer- oder handelsrechtlich aufbewahrungspflichtige Korrespondenz bleibt nach den Fristen in diesem Abschnitt erhalten.

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Schreib uns dazu an support@reesinsy.com.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen Behörde: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

17. Widerspruchsrecht nach Art. 21 DSGVO

Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, es bestehen zwingende schutzwürdige Gründe oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Einwilligungen kannst du ohnehin jederzeit widerrufen.

18. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Für Konto und Käufe brauchen wir deine E-Mail-Adresse; ohne sie können wir den Vertrag nicht schließen. Alle weiteren Angaben sind freiwillig. Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet nicht statt: Werte und Einschätzungen sind Rechenergebnisse, die wir dir anzeigen, keine Entscheidungen über dich.

19. Änderungen

Wir passen diese Hinweise an, wenn sich Dienste oder Rechtslage ändern. Es gilt die hier veröffentlichte Fassung.

English: Protecting sign-in from automated requests (Cloudflare Turnstile)

Requesting a sign-in link by e-mail runs a check with Cloudflare Turnstile. The provider is Cloudflare, Inc. (USA). The purpose is to tell people apart from automated programs and so protect sign-in and the e-mail service from bulk requests and abuse. The check only loads once the e-mail sign-in form is opened or used, not on a plain page visit.

According to Cloudflare, Turnstile processes signals from the browser for this: the IP address, a TLS fingerprint, the User-Agent header, and this website’s sitekey together with the requesting origin. Cloudflare states that it cannot directly identify individuals from these signals. For bot detection Cloudflare acts on our behalf; to improve Turnstile, Cloudflare states that it uses the signals as an independent controller. The result of the check is a single-use token that is sent with the sign-in request to our sign-in service. Cloudflare’s Turnstile privacy addendum does not state a retention period.

The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest is protecting account access and the e-mail service from automated abuse. Access to information in the browser is strictly necessary for the sign-in path the user asked for (Section 25(2) no. 2 TDDDG). Anyone who prefers not to use the check can sign in with Google in the sign-in dialog.

Cloudflare, Inc. is based in the USA. The transfer relies on the European Commission’s adequacy decision for the EU-U.S. Data Privacy Framework (Art. 45 GDPR); Cloudflare states that it is certified under it. Should the certification lapse, and for other transfers, Cloudflare names Standard Contractual Clauses.

Sources: Cloudflare: Turnstile Privacy Addendum, last updated 2025-06-18, retrieved 2026-10-13; Cloudflare: Privacy Policy, effective 2025-11-04, retrieved 2026-10-13