Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

HypoTech GmbH, Josef-Anton-Gall-Straße 35, 71263 Weil der Stadt, Deutschland. Vertreten durch Armin Satzger. E-Mail: armin@hypo.tech.

Unser externer Datenschutzbeauftragter ist Nils Oehmichen, frag.hugo Informationssicherheit GmbH, Spaldingstraße 64-68, 20097 Hamburg, Deutschland. Telefon: 040 57308220-0. E-Mail: info@fraghugo.de. Sie können sich mit allen Fragen zur Verarbeitung Ihrer personenbezogenen Daten und zur Ausübung Ihrer Rechte unmittelbar an ihn wenden.

Weitere Informationen:Datenschutzbeauftragten per E-Mail kontaktieren

2. Websitebetrieb, AWS-Hosting und Sicherheit

Die Anwendung, Datenbank, Dokumentenspeicher, Betriebsprotokolle und das getrennte Archiv werden auf Amazon Web Services (AWS) in der Region eu-central-1 (Frankfurt) betrieben. AWS handelt für diese Leistungen als Auftragsverarbeiter.

Bei Aufrufen verarbeiten wir insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, Antwortstatus sowie Browser- und Geräteangaben. Dies ist für Auslieferung, Fehleranalyse, Abwehr von Angriffen und Nachweis des sicheren Betriebs erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und zuverlässige Betrieb.

Betriebs- und Sicherheitsprotokolle werden grundsätzlich nach 30 Tagen gelöscht, soweit ein konkreter Sicherheitsvorfall keine erforderliche, gesondert dokumentierte Aufbewahrung begründet.

Datenübertragungen erfolgen mit TLS. Daten werden im Ruhezustand verschlüsselt; Zugriffe sind rollenbasiert beschränkt und werden protokolliert. Diese Maßnahmen mindern Risiken, können absolute Sicherheit jedoch nicht garantieren.

Weitere Informationen:Datenschutzhinweis von AWS

3. Konto, Kontakt und Finanzierungsantrag

Wir verarbeiten personenbezogene Daten, soweit dies zur Einrichtung und Nutzung des Kontos sowie zur Vorbereitung und Durchführung der angefragten Vermittlungsleistung erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Gesetzlich erforderliche Nachweise verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO.

Wenn Sie uns mit einer Frage kontaktieren, verarbeiten wir Ihre Kontaktdaten und den Inhalt der Anfrage, um sie zu beantworten. Bezieht sich die Anfrage auf eine Vermittlungsleistung oder deren Vorbereitung, ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage; im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses an der Bearbeitung eingehender Anliegen. Wir löschen diese Daten nach abschließender Bearbeitung, sofern keine Aufbewahrungspflicht oder erforderliche befristete Dokumentation entgegensteht.

Die Datenschutzerklärung wird am Erhebungsort verlinkt. Ihre Kenntnisnahme ist keine Einwilligung. Einwilligungen, etwa für freiwilliges Marketing oder eine Partnerfreigabe, werden getrennt abgefragt und können mit Wirkung für die Zukunft widerrufen werden.

Pflichtangaben sind als solche gekennzeichnet. Ohne die für den jeweiligen Schritt erforderlichen Konto-, Kontakt- oder Antragsdaten können wir das Konto, die gewünschte Antwort oder die Vermittlungsleistung ganz oder teilweise nicht bereitstellen. Freiwillige Angaben sind als solche erkennbar und haben keine Auswirkung auf die Nutzung anderer, davon unabhängiger Funktionen.

Bevor wir als Darlehensvermittlerin tätig werden, senden wir Ihnen unsere Erstinformation (vorvertragliche Information nach § 655a Abs. 2 BGB) als PDF per E-Mail. Den Vermittlungsauftrag unterschreiben Sie bis einschließlich 19.11.2026 mit Ihrer qualifizierten elektronischen Signatur über Skribble; ab dem 20.11.2026 erteilen Sie ihn in Ihrer Finanzierungsanfrage in Textform. Den Auftrag erhalten Sie ebenfalls als PDF per E-Mail. Beide Dokumente legen wir in Ihrer Finanzierungsanfrage ab und speichern als Nachweis den Stand des Textes, eine Prüfsumme sowie die Zeitpunkte von Erstellung, Versand und Erteilung. Ebenso speichern wir je antragstellender Person, wann die Hinweise zur Kreditprüfung zur Kenntnis genommen und die Entbindung vom Bankgeheimnis erklärt wurden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO.

Je nach Stand und Inhalt Ihrer Anfrage verarbeiten wir insbesondere folgende Datenkategorien:

• Identitäts- und Kontaktdaten, etwa Name, Geburtsdatum, Anschrift, E-Mail-Adresse und Telefonnummer
• Konto- und Zugangsdaten sowie Angaben zur Anmeldung und Kontosicherheit
• Familien-, Haushalts- und Beschäftigungsangaben
• Einkommens-, Steuer-, Vermögens-, Verbindlichkeits- und Bankangaben
• Angaben zu SCHUFA oder anderen Auskunfteien, soweit Sie entsprechende Unterlagen bereitstellen
• Finanzierungswünsche sowie Objekt-, Kaufpreis- und Darlehensangaben
• hochgeladene Nachweise und Objektunterlagen, Kommunikation und Bearbeitungsstatus

4. Dokumente und automatische Prüfung

Hochgeladene Dokumente werden verschlüsselt in AWS Frankfurt gespeichert. Für Texterkennung, Zuordnung, Lesbarkeits- und Vollständigkeitsprüfung übermitteln wir erforderliche Dokumentinhalte an Microsoft Azure OpenAI in der Azure-EU-Datenzone. Microsoft handelt als Auftragsverarbeiter. Eingabeteile können technisch bis zu 24 Stunden in der EU-Datenzone zwischengespeichert werden; die Inhalte werden nicht zum Training der Basismodelle verwendet.

Die Prüfung unterstützt die Bearbeitung, trifft aber keine Kreditwürdigkeits- oder Kreditentscheidung, führt nicht zu einer automatischen Ablehnung und reicht keinen Antrag automatisch bei einer Bank ein. Hinweise werden vor nachteiligen oder rechtlich erheblichen Folgen von einem Menschen geprüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wir stellen selbst keine SCHUFA-Anfrage; die digitale Vorbereitung und ein unverbindlicher Konditionsvergleich lösen daher keine SCHUFA-Anfrage aus. Wenn Sie eine vorhandene SCHUFA-Auskunft hochladen, können wir den darin ausgewiesenen Score und die enthaltenen Angaben für die Vollständigkeits- und Plausibilitätsprüfung erfassen. Wir berechnen keinen eigenen SCHUFA- oder KI-Score.

Finanzierungspartner, bei denen Ihre Finanzierung mit Ihren Personalien angefragt wird – bei einer Voranfrage oder mit dem Antrag –, können in eigener Verantwortung eine Auskunft bei der SCHUFA einholen und der SCHUFA Daten über die Beantragung, Durchführung und Beendigung des Kreditvertrags übermitteln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; eine Einwilligung holen wir dafür nicht ein. Eine Voranfrage ohne Ihren Namen erlaubt keine Auskunft zu Ihrer Person. Haben Sie die Finanzierungspartner in der Selbstauskunft vom Bankgeheimnis entbunden, dürfen sie uns das Ergebnis ihrer Kreditprüfung einschließlich des Ergebnisses einer SCHUFA-Auskunft mitteilen; wir verwenden es nur für die Vermittlung Ihrer Finanzierung.

Weitere Informationen:Datenschutzinformationen von Microsoft

5. KI-Fragehilfe und digitale Bedarfsermittlung

Bei der Fragehilfe und der digitalen Bedarfsermittlung interagieren Sie mit einem KI-System. Erforderliche Eingaben, Gesprächsteile, strukturierte Antragsangaben und ausgewählte, bereinigte Dokumenttatsachen werden durch Microsoft Azure OpenAI in der Azure-EU-Datenzone verarbeitet. Eine weltweite Bereitstellung wird nicht verwendet.

Vor der Antragsanlage bleibt der Verlauf der Fragehilfe grundsätzlich in Ihrer Browsersitzung. Erst wenn Sie ihn ausdrücklich einem Antrag zuordnen oder die Fragehilfe im Fallbereich nutzen, speichern wir ihn beim Antrag. Wir erstellen keine zusätzliche Kopie zum Training eigener oder fremder Basismodelle.

Die KI erläutert Abläufe, sammelt Angaben und kennzeichnet Prüfbedarf. Sie erstellt kein KI-Kreditscoring, entscheidet nicht über eine Finanzierung, lehnt niemanden automatisch ab und übermittelt keinen Fall automatisch an eine Bank. Fachliche und rechtlich oder finanziell erhebliche Entscheidungen trifft ein Mensch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; bei rein allgemeinen freiwilligen Fragen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses an einer verständlichen Fragehilfe.

Weitere Informationen:Datenschutzinformationen von Microsoft

6. Europace und Finanzierungspartner

Für einen unverbindlichen Konditionsvergleich oder die technische Vorbereitung einer Finanzierungsanfrage kann Europace AG als Betreiberin der Vermittlungsplattform die hierfür erforderlichen Haushalts-, Objekt-, Finanzierungs- und Kontaktdaten erhalten. Vor der ersten vollständigen Fallübermittlung nennen wir Europace und den Zweck unmittelbar im Ablauf und protokollieren die Fassung dieses Hinweises. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

An Banken, Versicherer, Bausparkassen oder andere Finanzierungspartner übermitteln wir einen vollständigen Fall erst, wenn dies für die von Ihnen gewünschte Anfrage erforderlich und mit Ihnen abgestimmt ist. Der konkrete Empfänger wird benannt. Diese Empfänger prüfen den Antrag in eigener datenschutzrechtlicher Verantwortung und treffen die Kreditentscheidung. Eine angezeigte Kondition ist weder Kreditzusage noch automatische Bankeinreichung.

Weitere Informationen:Datenschutzerklärung von Europace

7. Projekt- und Partnerfreigaben

Bauträger, Projektvertriebe oder Vermittlungspartner erhalten persönliche Finanzierungs- oder Dokumentdaten nur, wenn Sie einer konkret bezeichneten Freigabe ausdrücklich zustimmen oder eine andere Rechtsgrundlage dies im Einzelfall erlaubt. Die Einwilligung nennt Empfänger, Datenkategorien und Zweck. Sie können sie jederzeit für die Zukunft widerrufen. Ohne Freigabe bleiben insbesondere Einkommen, Vermögen, Dokumente, Bankkonditionen und Gesprächsinhalte verborgen.

8. Terminvereinbarung und Videogespräche

Wenn Sie einen Termin buchen, verarbeiten wir Name, E-Mail-Adresse, Terminzeit, Terminart und erforderliche Mitteilungen über Google Calendar; für Videotermine wird ein Google-Meet-Link erstellt. Google handelt im Rahmen der eingesetzten Workspace-Leistungen als Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Angaben kann der gewünschte Termin nicht eingerichtet werden.

Weitere Informationen:Datenschutzerklärung von Google

9. Elektronische Signatur und Archiv

Für elektronische Unterschriften übermitteln wir das zu unterzeichnende Dokument, Namen, E-Mail-Adressen, Rollen und Signaturstatus an Skribble Deutschland GmbH über den deutschen Skribble-Mandanten. Skribble handelt als Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; gesetzliche Dokumentations- und Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

Unterzeichnete Beratungs- und Vermittlungsnachweise werden getrennt und unveränderbar im AWS-Archiv in Frankfurt bis zum 31. Dezember des fünften Folgejahres aufbewahrt, soweit die gesetzliche Pflicht gilt.

Weitere Informationen:Datenschutzbestimmungen von Skribble

10. E-Mail-Versand über Amazon SES in Frankfurt

Transaktions-E-Mails wie Bestätigungen, Einladungen und Statushinweise versenden wir über Amazon Simple Email Service (SES) in der AWS-Region eu-central-1 (Frankfurt). Amazon Web Services EMEA SARL handelt als Auftragsverarbeiter. Verarbeitet werden Empfängeradresse, Absender, Betreff, Nachrichteninhalt sowie technisch notwendige Zustellereignisse. Öffnungs- und Klickmessung sind deaktiviert.

In unserer Datenbank speichern wir keine Empfänger- oder Nachrichtenhistorie, sondern nur ein auf 90 Tage begrenztes technisches Versandledger zur Vermeidung von Doppelversand. Zustellereignisse werden ohne Empfänger oder Inhalte zu aggregierten Betriebsmetriken verarbeitet. Rechtsgrundlage für den Versand ist Art. 6 Abs. 1 lit. b DSGVO, bei gesetzlich erforderlichen Mitteilungen Art. 6 Abs. 1 lit. c DSGVO.

Weitere Informationen:AWS-Datenschutzhinweise

11. Cookies, Statistik und Marketing

Technisch notwendige Speicherungen sichern Anmeldung, Schutzfunktionen und Ihre Datenschutzauswahl. Statistik und Marketing-Technologien sind standardmäßig ausgeschaltet und werden erst nach Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 TDDDG aktiviert. Vor dieser Einwilligung sendet der Browser keine Anfrage an PostHog.

Für zugestimmte Statistik verwenden wir PostHog mit Verarbeitung in der EU. Wir erstellen keine Personenprofile, rufen keine Identifizierungsfunktion auf und übermitteln keine Kontaktangaben, Antragskennungen, freien Texte oder genauen Finanzbeträge. Statistikereignisse werden für 12 Monate gespeichert.

Automatische Erfassung, Sitzungsaufzeichnung, Fehlererfassung, Heatmaps und Personenprofile sind deaktiviert. Wir erfassen ausschließlich fest definierte, grobe Prozessereignisse. Sie können Ihre Auswahl jederzeit über „Datenschutz-Einstellungen“ im Seitenfuß ändern; der Widerruf wirkt für die Zukunft.

Weitere Informationen:Datenschutzerklärung von PostHog

12. Aufbewahrung und Löschung

Aktive Antrags- und Dokumentdaten speichern wir für die Bearbeitung. Nach Abschluss der Bankeinreichung werden sie grundsätzlich nach 12 Monaten aus dem aktiven System gelöscht, soweit keine offene Bearbeitung, Rechtsverteidigung oder gesetzliche Pflicht entgegensteht. Bei nicht fortgeführten Anfragen erinnern wir nach 60 Tagen Inaktivität; nach 90 Tagen Inaktivität löschen wir die Anfrage, soweit keine Pflicht oder dokumentierte Ausnahme entgegensteht.

Gesetzlich aufzubewahrende unterzeichnete Nachweise bleiben bis zum 31. Dezember des fünften Folgejahres im gesperrten Archiv. Sicherheits- und Fehlerprotokolle werden nach dem freigegebenen Löschkonzept nur so lange gehalten, wie sie für Betrieb, Angriffserkennung und Nachweis erforderlich sind. Anbieterbezogene Fristen stehen in den jeweiligen Abschnitten.

Wenn keine feste Frist genannt werden kann, bestimmen Zweckfortbestand, Verjährungsfristen, gesetzliche Nachweis- und Aufbewahrungspflichten sowie die Erforderlichkeit für Rechtsansprüche die Dauer. Nach Wegfall werden Daten gelöscht oder anonymisiert.

13. Datenquellen nach Art. 14 DSGVO

Die meisten Daten erhalten wir direkt von Ihnen. Soweit Sie Angaben zu im Haushalt lebenden oder vertretungsberechtigten Personen machen, stammen deren Daten von Ihnen; informieren Sie diese Personen bitte über diese Erklärung. Weitere Daten können von einem von Ihnen benannten Bauträger, Projektvertrieb oder Vermittlungspartner, aus eingereichten Unterlagen, aus Europace-Ergebnissen sowie von angefragten Finanzierungspartnern stammen. Dabei handelt es sich insbesondere um Kontakt-, Projekt-, Objekt-, Haushalts-, Finanzierungs-, Dokument- und Bearbeitungsstatusdaten.

Bei einer gemeinsamen Finanzierung gibt die Hauptperson die zweite antragstellende Person an und verwaltet die Anfrage für beide. Von der Hauptperson erhalten wir dabei Name, Anrede und Titel, E-Mail-Adresse und Beschäftigung der zweiten Person sowie die Erklärung, dass die zweite Person von der Anfrage weiß und einverstanden ist; im weiteren Verlauf kommen die Angaben der Selbstauskunft und die für sie hochgeladenen Unterlagen hinzu. Die zweite Person informieren wir unmittelbar nach der Anlage selbst per E-Mail nach Art. 14 DSGVO. Sie kann sich jederzeit an uns oder unseren Datenschutzbeauftragten wenden und ihre Rechte nach Abschnitt 15 ausüben. Ist sie mit der Anfrage nicht einverstanden, verarbeiten wir ihre Daten für diese Anfrage nicht weiter, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

14. Empfänger und internationale Übermittlungen

Zugriff erhalten nur Beschäftigte und Dienstleister, die ihn für die genannten Zwecke benötigen. Empfängerkategorien sind IT- und Hostingdienstleister, KI-Dienstleister, Kommunikations- und Signaturdienste, Europace sowie die konkret angefragten Finanzierungspartner. Behörden erhalten Daten nur bei gesetzlicher Pflicht.

AWS Frankfurt, Azure-EU-Datenzone, PostHog EU und der deutsche Skribble-Mandant begrenzen die primäre Verarbeitung auf die beschriebenen europäischen Standorte. Wo dennoch ein Drittlandzugriff möglich ist, setzen wir einen Angemessenheitsbeschluss oder Standardvertragsklauseln und ergänzende Maßnahmen ein.

15. Ihre Rechte und Beschwerde

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Bei einer Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen; gegen Direktwerbung besteht ein jederzeitiges Widerspruchsrecht.

Sie können eine menschliche Überprüfung KI-unterstützter Ergebnisse verlangen und Ihren Standpunkt darlegen. hypotech trifft keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.

Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (www.baden-wuerttemberg.datenschutz.de). Datenschutzanfragen richten Sie bitte an unseren externen Datenschutzbeauftragten unter info@fraghugo.de.

Weitere Informationen:Landesbeauftragter für Datenschutz Baden-WürttembergDatenschutzbeauftragten per E-Mail kontaktieren