Wimmer Wealthmanagement
Auftragsverarbeitung (AVV)
Vereinbarung nach Art. 28 DSGVO, Verzeichnis der Unterauftragsverarbeiter und Sicherheitsmaßnahmen · Stand 2026-08-22
1. Gegenstand und Rollen
Nutzt du Wimmer Wealthmanagement, um personenbezogene Daten Dritter (z. B. Mieter:innen, Mitgesellschafter:innen) zu verarbeiten, bist du dafür Verantwortlicher im Sinne der DSGVO. Wir verarbeiten diese Daten ausschließlich weisungsgebunden zur Bereitstellung der Anwendung und sind insoweit Auftragsverarbeiter.
Diese Seite gilt zusammen mit den AGB und der Datenschutzerklärung als Auftragsverarbeitungsvertrag. Eine gesonderte, unterzeichnete Fassung stellen wir auf Anfrage über die Kontaktseite bereit.
2. Umfang der Verarbeitung
Dauer: für die Laufzeit des Vertrags; Löschung oder Rückgabe nach Beendigung, sofern keine gesetzliche Aufbewahrungspflicht (z. B. § 147 AO, § 257 HGB für Rechnungen) entgegensteht.
Art und Zweck: Speicherung, Auswertung und Darstellung von Immobilien-, Finanz- und Steuerdaten, Versand von Benachrichtigungen, Abrechnung des Abos.
Datenkategorien: Stamm- und Kontaktdaten, Objekt- und Vertragsdaten, Finanzierungs- und Einkommensdaten, Dokumente, Nutzungs- und Protokolldaten.
Betroffene: Nutzer:innen des Kontos, Haushaltsmitglieder sowie von dir erfasste Dritte.
3. Unterauftragsverarbeiter
Mit Abschluss des Vertrags stimmst du dem Einsatz der folgenden Dienstleister zu. Änderungen kündigen wir vorab an; du kannst ihnen aus wichtigem Grund widersprechen.
| Dienstleister | Zweck | Datenkategorien | Ort / Transfer |
|---|---|---|---|
| Lovable / Supabase (Hosting & Datenbank) | Betrieb der Anwendung, Datenbank, Authentifizierung, Dateiablage | Konto- und Stammdaten, Objekt-, Finanz- und Steuerdaten, Dokumente, Logs | EU (Rechenzentren in der Europäischen Union) |
| Stripe Payments Europe, Ltd. | Abo-Abrechnung, Zahlungsabwicklung, Rechnungsstellung, Umsatzsteuer | Name, E-Mail, Rechnungsanschrift, USt-IdNr., Zahlungs- und Abo-Daten | Irland / USAEU-Standardvertragsklauseln, EU-US Data Privacy Framework |
| Resend, Inc. | Versand transaktionaler E-Mails (Bestätigungen, Rechnungen, Alarme) | E-Mail-Adresse, Name, Inhalt der Benachrichtigung, Zustellstatus | USAEU-Standardvertragsklauseln |
| Google (Gemini via Lovable AI Gateway) | Auswertung von Inseraten und Dokumenten (Extraktion, Zusammenfassung) | Inhalte hochgeladener Dokumente und Inseratstexte (keine Kontodaten) | EU/USAEU-Standardvertragsklauseln; keine Nutzung als KI-Trainingsdaten |
| Firecrawl | Abruf öffentlich zugänglicher Immobilieninserate (Marktradar) | Suchparameter (Ort, Preisrahmen) — keine personenbezogenen Kundendaten | USAEU-Standardvertragsklauseln |
| Twelve Data / Yahoo Finance | Kursdaten für die Aktienanalyse | Abgefragte Ticker-Symbole — keine personenbezogenen Kundendaten | USAEU-Standardvertragsklauseln |
| logo.dev | Firmenlogos in Depot- und Portfolio-Ansichten | Abgefragte Domain/Ticker — keine personenbezogenen Kundendaten | USAEU-Standardvertragsklauseln |
| hCaptcha (Intuition Machines, Inc.) | Spam- und Missbrauchsschutz im Kontaktformular | IP-Adresse, Browser-/Geräteinformationen, Interaktionsdaten | USAEU-Standardvertragsklauseln |
4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
- Zugangskontrolle über individuelle Konten, Passwortrichtlinie und optionale Sitzungsverlängerung
- Zeilenbasierte Zugriffsregeln (RLS) in der Datenbank: Daten sind strikt auf den eigenen Haushalt beschränkt
- Rollen in einer separaten Rollentabelle mit serverseitiger Prüfung — keine Rechtevergabe im Browser
- Administrative Zugriffe ausschließlich über serverseitige Funktionen, nie aus dem Client
Integrität
- Transportverschlüsselung (TLS) für alle Verbindungen, Verschlüsselung ruhender Daten beim Hoster
- Signierte und validierte Eingaben für fortsetzbare Aktionen (HMAC)
- Signaturprüfung und Idempotenz für Zahlungs- und E-Mail-Webhooks
- Protokollierung sicherheitsrelevanter Ereignisse und Datenänderungen (Audit-Log)
Verfügbarkeit & Belastbarkeit
- Automatische Backups durch den Hoster, regelmäßige nicht-destruktive Wiederherstellungstests
- Überwachung der Datenquellen inkl. Doppelausfall-Alarm für Kursanbieter
- Drosselung und Duplikatserkennung bei automatisierten Abrufen
Betroffenenrechte & Verfahren
- Datenexport im maschinenlesbaren Format (Art. 20 DSGVO) direkt im Konto
- Widerruf erteilter Einwilligungen jederzeit, versioniert dokumentiert
- Löschung des Kontos samt zugehöriger Daten auf Anforderung
- Datenschutzfreundliche Voreinstellungen: kein Tracking ohne Einwilligung
5. Pflichten, Kontrolle und Meldewege
Wir verarbeiten Daten nur nach deinen dokumentierten Weisungen, verpflichten alle eingesetzten Personen zur Vertraulichkeit und unterstützen dich bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 33/34 DSGVO.
Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, informieren wir dich unverzüglich, spätestens innerhalb von 48 Stunden, über Art, Umfang und ergriffene Gegenmaßnahmen.
Nachweise zu den Maßnahmen und Auskünfte zur Einhaltung dieses Vertrags erhältst du auf Anfrage; Vor-Ort-Kontrollen sind nach vorheriger Abstimmung möglich.