1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO für heyFranz, einem Service der immovio FlexCo:

immovio FlexCo
Wöhrlehenstraße 9
5324 Faistenau, Österreich

E-Mail: office@hey-franz.com

2. Grundsätzliche Informationen

Wir verarbeiten personenbezogene Daten ausschließlich auf Grundlage der:

Datenschutz-Grundverordnung (DSGVO)
Datenschutzgesetz (DSG)
Telekommunikationsgesetz (TKG 2021)

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen.

3. Rollenverteilung nach DSGVO

3.1 heyFranz als Verantwortlicher

Wir sind Verantwortlicher für:

Account-Daten von Vermietern
Registrierungsdaten
Abrechnungsdaten
Newsletter-Daten
Website-Tracking
Support-Kommunikation

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. lit. f DSGVO.

3.2 heyFranz als Auftragsverarbeiter

Für Daten, die Vermieter innerhalb der Plattform speichern (z.B. Mieter-Daten, Dokumente, Kontaktdaten), handeln wir als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Die datenschutzrechtliche Verantwortung für diese Inhalte liegt beim jeweiligen Vermieter.

Ein separater Auftragsverarbeitungsvertrag (AVV) wird bereitgestellt.

4. Hosting und Infrastruktur

4.1 Hosting

Unsere Plattform wird bei:

Hetzner Online GmbH, Deutschland (EU)

gehostet.

Die Verarbeitung erfolgt ausschließlich innerhalb der EU. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

4.2 Arbeitsplatz von Franz

Für Aufgaben, bei denen Franz mit Dateien arbeitet, etwa einen Vertrag auswerten, eine Tabelle berechnen oder einen Bericht erstellen, hat Franz einen eigenen Arbeitsplatz. Das ist ein abgeschotteter Bereich auf einem Server, den nur wir verwalten. Jeder Chat bekommt seinen eigenen Bereich, getrennt von anderen Kunden. Dort liegen nur die Dateien, die Franz für deinen Auftrag braucht. Wir löschen sie spätestens einen Tag, nachdem Franz dort zuletzt gearbeitet hat, und sofort, wenn du den Chat löschst. Ergebnisse, die du behältst, speichern wir wie deine übrigen Daten (siehe 4.1).

Die Arbeitsplätze laufen auf eigenen, von uns verwalteten Servern bei:

menkiSys Networks e. U., Marchtrenk, Österreich (EU)
SCPX (MTXcloud), Paderborn, Deutschland (EU)

Die Verarbeitung erfolgt ausschließlich innerhalb der EU. Mit beiden Anbietern besteht ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Mieterdaten in diesen Dateien verarbeiten wir im Auftrag des Vermieters (Art. 28 DSGVO).

4.3 Cloudflare (CDN & Sicherheit)

Wir nutzen Cloudflare zur:

Absicherung gegen Angriffe
Verbesserung der Ladezeiten
DDoS-Schutz

Cloudflare kann IP-Adressen verarbeiten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an IT-Sicherheit)

Es bestehen Standardvertragsklauseln (SCC) für etwaige Drittstaatentransfers.

5. Registrierung & Account

Bei Erstellung eines Accounts verarbeiten wir:

Name
E-Mail-Adresse
Passwort (verschlüsselt)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.1 Vermieter-Check

Wenn du im Vermieter-Check deine E-Mail-Adresse eingibst, verarbeiten wir:

E-Mail-Adresse
deine drei Antworten (Anzahl der Einheiten, womit du heute verwaltest, dein wichtigstes Thema)
die Kennung des Anzeigenklicks, wenn du über eine Meta-Anzeige gekommen bist

Damit schicken wir dir einmalig eine E-Mail mit deiner Auswertung und dem Link zu heyFranz. Weitere E-Mails zum Check bekommst du nicht. Für den Versand nutzen wir Amazon Web Services (Amazon SES). Bist du über eine Meta-Anzeige gekommen, melden wir Meta, dass du den Check abgeschlossen hast, damit wir sehen, welche Anzeigen funktionieren. Deine E-Mail-Adresse geht dabei nur in unkenntlich gemachter Form an Meta.

Legst du über den Link ein Konto an, übernehmen wir deine Antworten in die Einrichtung deines Kontos. Legst du kein Konto an, löschen wir die Angaben nach 90 Tagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (deine Anfrage).

6. Zahlungsabwicklung

6.1 Stripe

Zahlungen erfolgen über Stripe Payments Europe Ltd.

Stripe verarbeitet:

Zahlungsdaten
IBAN
Kreditkartendaten
Rechnungsinformationen

heyFranz speichert selbst keine vollständigen Zahlungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

6.2 finAPI (Bankanbindung)

Bei Nutzung der Bankkonto-Verknüpfung werden über finAPI verarbeitet:

Kontostand
Transaktionsdaten
IBAN
Umsatzinformationen

Der Zugriff erfolgt ausschließlich im Rahmen eines Lesezugriffs. heyFranz speichert keine Online-Banking-Zugangsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO

7. KI-Funktionen

heyFranz bietet optionale KI-gestützte Funktionen an. Sie laufen nur, wenn du sie bewusst nutzt: Du startest einen Scan, stellst Franz eine Frage oder schaltest eine Funktion ausdrücklich ein. Ohne dein Zutun werden keine Daten an KI-Dienste übermittelt.

Die KI-Anfragen laufen über OpenRouter, Inc. (USA) als technischen Vermittler an den jeweiligen Modellanbieter. Für alle KI-Funktionen gilt: Deine Anfragen werden beim Modellanbieter nicht gespeichert und nicht für das Training von Modellen verwendet (Zero Data Retention). Mit OpenRouter bestehen Standardvertragsklauseln (SCC).

7.1 Übersicht

Funktion	Dienstleister	Verarbeitung in der EU	Aktivierung
Dokumentenanalyse: Rechnungen und Belege, Betriebskostenabrechnungen, Mietverträge (Smart Import)	OpenRouter, Mistral AI	Ja, mit einer Ausnahme bei der Texterkennung (siehe 7.2)	Du startest jeden Scan selbst
Franz, dein Assistent: Chat, Chat-Titel, Vorschläge für Erinnerungen	OpenRouter, Sprachmodell von OpenAI	Ja, In-Region-Routing EU (siehe 7.3)	Du stellst Franz eine Frage. Änderungen an deinen Daten führt Franz standardmäßig erst nach deiner Bestätigung aus
Prüfung für Arbeiten ohne Bestätigung	OpenRouter, Perplexity	Nein, Verarbeitung auch außerhalb der EU möglich (siehe 7.4)	Standardmäßig aus. Nur wenn du „Ohne Bestätigung“ ausdrücklich einschaltest, jederzeit abschaltbar
Websuche und Webseiten-Abruf durch Franz	OpenRouter, Exa	Nein, Verarbeitung in den USA (siehe 7.5)	Standardmäßig aus. Nur nach deiner ausdrücklichen Bestätigung, jederzeit abschaltbar
Diktieren im Eingabefeld von Franz	OpenRouter, ElevenLabs	Nein, Verarbeitung in den USA (siehe 7.6)	Standardmäßig aus. Nur nach deiner ausdrücklichen Bestätigung, jederzeit abschaltbar

7.2 Dokumentenanalyse

Wenn du eine Rechnung, einen Beleg, eine Betriebskostenabrechnung oder einen Mietvertrag scannst, werden der Dokumenteninhalt und der daraus erkannte Text an den KI-Dienst übermittelt. Je nach Dokument können das sein:

Rechnungs- und Abrechnungsinhalte wie Beträge, Positionen, Zeiträume, IBAN
Namen und Anschriften von Ausstellern, Vermietern und Mietern
Vertragstexte und Vertragsdaten

Die Auswertung übernimmt Mistral AI in der EU. Die vorgelagerte Texterkennung ist nicht auf die EU beschränkt; auch sie führt Mistral AI aus, ohne Speicherung der Inhalte. Das Ergebnis siehst du vor der Übernahme und kannst es korrigieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Enthaltene Mieter- und Vertragsdaten verarbeiten wir im Auftrag des Vermieters (Art. 28 DSGVO).

7.3 Franz (KI-Assistent)

Franz beantwortet Fragen zu deinen Daten in heyFranz und erledigt Aufgaben, die du ihm gibst. Dafür verarbeitet Franz:

deine Nachrichten im Chat
die Daten, die Franz zur Beantwortung aus deinem Mandanten liest, zum Beispiel Objekte, Einheiten, Mietverhältnisse, Kontakte, Zahlungen und Dokumente
deine Anweisungen und bestätigten Erinnerungen für Franz
den Verlauf der Schritte, die Franz für dich ausgeführt hat

Standardmäßig fragt Franz vor Änderungen nach. Wenn du „Ohne Bestätigung“ ausdrücklich einschaltest, führt Franz klare Aufträge ohne zusätzlichen Bestätigungsklick aus. Das kann auch Löschungen und Änderungen an erfassten Zahlungen umfassen. Bei Unklarheiten fragt Franz weiterhin nach (siehe 7.4).

Bittest du Franz, eine öffentliche Datei aus dem Internet oder ein Python-Paket zu laden, ruft unser Server sie ab, nicht dein Gerät. Der Server, von dem sie kommt, erfährt dabei die Adresse oder die Paketnamen, bei Paketen auch die Namen der weiteren Pakete, die dafür nötig sind. Das bestätigst du vorher; bei „Ohne Bestätigung“ prüft der Dienst aus 7.4 dafür die Adresse oder die Paketnamen, den Zweck, deinen Auftrag und die letzte Antwort von Franz.

Das Sprachmodell stammt von OpenAI und wird über OpenRouter mit In-Region-Routing für die EU angesprochen: Anfragen und Antworten des Chats und der Chat-Titel werden ausschließlich in der EU verarbeitet und verlassen sie zu keinem Zeitpunkt. Ist das einmal nicht möglich, wird die Anfrage abgebrochen, statt sie außerhalb der EU zu verarbeiten. Dazu kommt Zero Data Retention: Der Modellanbieter speichert deine Anfragen nicht und verwendet sie nicht für das Training. Details: In-Region Routing bei OpenRouter.

Chatverläufe, Anweisungen und Erinnerungen speichern wir in der EU (siehe 4.1). Du kannst sie unter Einstellungen → Franz einsehen, ändern und löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Mieterdaten, die Franz dabei liest, verarbeiten wir im Auftrag des Vermieters (Art. 28 DSGVO).

7.4 Arbeiten ohne Bestätigung (optional, auch außerhalb der EU)

Standardmäßig arbeitet Franz „Mit Bestätigung“. Du kannst unter Einstellungen → Franz → Allgemein oder direkt im Chat „Ohne Bestätigung“ einschalten und bestätigst dabei ausdrücklich den dazugehörigen Hinweis. Wir speichern, wann und welche Fassung du bestätigt hast. Du kannst jederzeit zu „Mit Bestätigung“ wechseln. Dann starten keine weiteren automatischen Änderungen; bereits ausgeführte Änderungen und bereits erfolgte Übermittlungen werden dadurch nicht rückgängig. Bei einer wesentlichen Änderung des Hinweises gilt wieder „Mit Bestätigung“, bis du erneut bestätigst.

Für diese Arbeitsweise prüft ein zusätzlicher KI-Dienst, ob die geplanten Änderungen, Downloads und Paketinstallationen zu deinem Auftrag passen. Dafür übermitteln wir über OpenRouter deinen Auftrag, nötige Klarstellungen, die letzte Antwort von Franz vor deinem Auftrag (damit klar ist, worauf du dich beziehst) und die betroffenen Daten an Perplexity. Dazu können etwa Namen, Adressen, Daten zu Mietverhältnissen, Zahlungsbeträge, Links und Paketnamen gehören, in der Antwort von Franz auch zu anderen Personen. Den restlichen Chatverlauf, deine Anweisungen und Erinnerungen erhält dieser Dienst nicht.

Empfänger sind OpenRouter, Inc. und Perplexity AI, Inc., beide mit Sitz in den USA. Für diese Prüfung gibt es keine auf die EU beschränkte Verarbeitung; sie kann außerhalb der EU stattfinden. Auch hier werden deine Anfragen nicht gespeichert und nicht für das Training verwendet. Abgesehen davon werden der Chat und die Chat-Titel weiterhin in der EU verarbeitet (siehe 7.3). Die Websuche hat einen eigenen, unabhängigen Schalter (siehe 7.5).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; du nutzt diese Arbeitsweise freiwillig. Mieterdaten, die dabei übermittelt werden, verarbeiten wir im Auftrag des Vermieters (Art. 28 DSGVO). Mit OpenRouter bestehen Standardvertragsklauseln (SCC).

7.5 Websuche durch Franz (optional, außerhalb der EU)

Franz kann auf Wunsch im Internet nachsehen, zum Beispiel bei einer Frist oder einem neuen Gesetz. Diese Funktion ist standardmäßig ausgeschaltet. Du schaltest sie unter Einstellungen → Franz → Allgemein ein und bestätigst dabei ausdrücklich einen Hinweis zu Empfängern und Datenübermittlung. Ändert sich dieser Hinweis, gilt die Websuche als ausgeschaltet, bis du erneut bestätigst.

Übermittelt werden ausschließlich die Suchwörter, etwa „Betriebskostenabrechnung Frist“, und die Adressen der Webseiten, die Franz abruft. Deine Chats, Mieter, Objekte und Zahlen werden nicht übermittelt.

Empfänger sind OpenRouter, Inc. und die Suchmaschine Exa (Exa Labs, Inc.), beide in den USA. Für die Websuche gibt es keine Verarbeitung in der EU. Auch hier werden deine Anfragen nicht gespeichert. Der Chat mit Franz selbst bleibt auch bei eingeschalteter Websuche in der EU (siehe 7.3).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Übermittlung in die USA stützt sich auf deine ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO. Du kannst die Einwilligung jederzeit widerrufen, indem du die Websuche wieder ausschaltest.

7.6 Diktieren (optional, außerhalb der EU)

Im Eingabefeld von Franz kannst du sprechen statt tippen. Franz wandelt deine Aufnahme in Text um, der Text landet im Eingabefeld und du schickst ihn selbst ab. Diese Funktion ist standardmäßig ausgeschaltet. Du schaltest sie beim ersten Klick auf das Mikrofon oder unter Einstellungen → Franz → Allgemein ein und bestätigst dabei ausdrücklich einen Hinweis zu Empfängern und Datenübermittlung. Ändert sich dieser Hinweis, gilt das Diktieren als ausgeschaltet, bis du erneut bestätigst.

Übermittelt wird ausschließlich deine Sprachaufnahme, und zwar erst, wenn du die Aufnahme beendest. Verwirfst du sie, wird nichts übermittelt. Wir speichern weder die Aufnahme noch den erkannten Text; der Text wird erst Teil deines Chats, wenn du ihn abschickst.

Empfänger sind OpenRouter, Inc. und ElevenLabs (Eleven Labs, Inc.), beide in den USA. Für das Diktieren gibt es keine Verarbeitung in der EU. Auch hier werden deine Aufnahmen nicht gespeichert und nicht für das Training verwendet. Der Chat mit Franz selbst bleibt in der EU (siehe 7.3).

8. Newsletter

Bei Anmeldung zum Newsletter verarbeiten wir:

E-Mail-Adresse
Zeitstempel der Anmeldung
IP-Adresse
Einwilligungsnachweis

Anmeldung erfolgt via Double-Opt-In oder aktivem Opt-In im Account. Widerruf ist jederzeit möglich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO

9. Tracking & Cookies

9.1 Google Analytics

Anbieter: Google Ireland Limited

Verarbeitet werden u.a.:

IP-Adresse (gekürzt)
Nutzungsverhalten
Gerätedaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO

Drittstaatentransfer kann erfolgen (USA). Standardvertragsklauseln kommen zur Anwendung.

9.2 Meta Pixel

Zur Messung von Werbekampagnen nutzen wir Meta Pixel.

Verarbeitete Daten können umfassen:

IP-Adresse
Geräteinformationen
Nutzerinteraktionen

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO

9.3 Rybbit (Nutzungsanalyse)

Zur Analyse der Nutzung unserer Website und der Anwendung setzen wir Rybbit ein. Rybbit betreiben wir selbst auf eigener Infrastruktur innerhalb der EU. Es findet keine Übermittlung an einen externen Analyse-Anbieter und kein Drittstaatentransfer statt.

Verarbeitet werden:

Seitenaufrufe und Verweildauer
Interaktionen wie Klicks auf Bedienelemente und das Absenden von Formularen
Namen von Formularfeldern, nicht deren Inhalte; Passwortfelder und versteckte Felder werden ausgenommen
Browser, Betriebssystem, Gerätetyp und Bildschirmgröße
Ungefähre Standortdaten (Land, Region, Stadt), abgeleitet aus der IP-Adresse
Herkunftsseite und Kampagnenparameter (z.B. UTM-Parameter)
Technische Fehler, die in deinem Browser auftreten
Auf unseren öffentlichen Informationsseiten (nicht in der Anwendung und nicht auf den Anmelde- und Registrierungsseiten): die ungefähre Position von Klicks innerhalb eines Seitenabschnitts, auf ein Raster von 8 Pixeln gerundet, und welche Abschnitte einer Seite sichtbar waren. Daraus erstellen wir zusammengefasste Klick- und Scroll-Heatmaps. Bildschirmaufzeichnungen einzelner Besuche erstellen wir nicht.

Bei angemeldeten Nutzern ordnen wir diese Daten deiner pseudonymen Benutzer-ID (public_user_id) zu. Nicht übermittelt werden deine E-Mail-Adresse, dein Name und Inhalte, die du in der Anwendung speicherst — also keine Objekt- und Mieterdaten, keine Dokumente und keine Beträge. Kennungen einzelner Objekte und Einheiten werden aus den übertragenen Seitenadressen entfernt, bevor diese gespeichert werden.

Zweck: erkennen, welche Funktionen dir weiterhelfen und an welchen Stellen Nutzer abbrechen, um das Produkt zu verbessern und dich bei der Einrichtung gezielt unterstützen zu können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden, verständlichen Produkt).

Widerspruch: Du kannst der Nutzungsanalyse jederzeit widersprechen — in der Anwendung unter Einstellungen → Datenschutz → Nutzungsanalyse. Die Erhebung wird damit unterbunden, nicht nur ausgeblendet.

10. Featurebase (Support-Chat & Feedback)

Zur Bereitstellung unseres Support-Chats (Messenger) und zur Sammlung von Nutzerfeedback verwenden wir Featurebase.

Verarbeitet werden:

Account-Daten (E-Mail, Name, interne ID)
Chat- und Feedback-Inhalte
Nutzungsdaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO

11. Speicherdauer

Während aktiver Nutzung: Speicherung für die Dauer des Vertrags
Nach Kündigung: Speicherung für 12 Monate (Reaktivierungsmöglichkeit)
Danach: Löschung oder Anonymisierung

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

12. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein:

TLS/SSL-Verschlüsselung
Zugriffsbeschränkungen
Backup-Strategien

13. Rechte der betroffenen Personen

Nutzer haben das Recht auf:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch (Art. 21 DSGVO)
Widerruf einer Einwilligung

Anfragen an: office@hey-franz.com oder über die Einstellungen in deinem Nutzerprofil.

14. Beschwerderecht

Beschwerden können bei der zuständigen Aufsichtsbehörde eingebracht werden:

Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien

www.dsb.gv.at

15. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen.