Datenschutz

NessyCloud – Die B2B-SaaS-Plattform für Immobilienprofis | Stand: 14. Oktober 2026

1. Einleitung und verantwortliche Stelle

Wir freuen uns über Ihr Interesse an unserer B2B-SaaS-Plattform NessyCloud (erreichbar unter nessycloud.de und portal.nessycloud.de). Der Schutz Ihrer personenbezogenen Daten ist uns ein besonderes Anliegen. In dieser Datenschutzerklärung informieren wir Sie umfassend darüber, welche personenbezogenen Daten wir im Zusammenhang mit der Nutzung unserer Plattform und Webseite erheben, zu welchen Zwecken wir sie verarbeiten und welche Rechte Ihnen als betroffener Person zustehen.

Die Angaben gelten für die Webseite nessycloud.de, die SaaS-Plattform (Portal), alle zugehörigen Subdomains sowie die mobile Nutzung.

Verantwortlicher (Art. 4 Nr. 7 DSGVO)

DFK Invest AG
Gottlieb-Daimler-Straße 9
24568 Kaltenkirchen, Deutschland

Telefon: +49 4191 9100-00
E-Mail: info@dfkgroup.de
USt-IdNr.: DE326383914

Datenschutzbeauftragter

Dimitri Engel
DFK Invest AG
Gottlieb-Daimler-Straße 9, 24568 Kaltenkirchen

E-Mail: datenschutz@dfkgroup.de
Telefon: +49 4191 9100-00

2. Datenarten, Zwecke und Verarbeitungstätigkeiten

Im Rahmen der Nutzung unserer Plattform und Webseite verarbeiten wir folgende Kategorien personenbezogener Daten:

Stamm- und Kontaktdaten

(z. B. Name, Firmenname, Adresse, E-Mail, Telefon) – verarbeitet zum Zweck der Vertragsanbahnung, Kundenbetreuung und Kommunikation.

Unternehmensdaten

(z. B. Firma, Handelsregisternummer, USt-ID, Steuer-ID) – verarbeitet zum Zweck der Vertragsdurchführung, Rechnungsstellung und Erfüllung gesetzlicher Pflichten.

Vertragsdaten

(z. B. Lizenzmodell, Laufzeit, Zahlungsinformationen) – verarbeitet zum Zweck der Vertragsabwicklung und Abrechnung.

Nutzungsdaten der Plattform

(z. B. Login-Zeiten, genutzte Funktionen, CRM-Einträge, hochgeladene Dokumente) – verarbeitet zum Zweck der Bereitstellung der SaaS-Dienste (CRM, Dokumentenverwaltung, Finanzplan, digitale Signatur).

Beratungsdaten

(z. B. Gesprächsnotizen, Gesprächsprotokolle, Beratungsdokumente) – verarbeitet zum Zweck der Durchführung der Beratung.

Technische Daten

(z. B. IP-Adresse, Browser-Typ, Betriebssystem, Referrer, Zeitstempel) – verarbeitet zum Zweck der Bereitstellung und Sicherheit der Webseite sowie Fehlerbehebung.

Kommunikationsdaten

(z. B. E-Mails, Supportanfragen) – verarbeitet zum Zweck der Bearbeitung von Anfragen und Kundensupport.

3. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung Ihrer personenbezogenen Daten erfolgt stets auf Basis einer gültigen Rechtsgrundlage:

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG)

Gilt, soweit wir Sie im Einzelfall um eine Einwilligung bitten. Analyse-, Tracking- und Marketing-Werkzeuge setzen wir auf der Website nicht ein. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, auf nessycloud.de über „Cookie-Einstellungen“ unten auf jeder Seite.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Gilt für die Bereitstellung der SaaS-Plattform, CRM, Dokumentenverwaltung, digitale Signatur und Abrechnung. Die Verarbeitung ist zur Erfüllung des Nutzungsvertrags oder vorvertraglicher Maßnahmen erforderlich.

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)

Gilt für steuerliche Aufbewahrungspflichten (HGB, AO) und handelsrechtliche Dokumentation. Wir sind gesetzlich verpflichtet, bestimmte Daten aufzubewahren.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Gilt für IT-Sicherheit, Betrugsprävention, Optimierung der Plattform und Server-Logfiles. Sie können jederzeit Widerspruch einlegen (Art. 21 DSGVO).

4. Empfänger und Auftragsverarbeiter

Zur Bereitstellung unserer Plattform und Dienste setzen wir sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter gem. Art. 28 DSGVO ein. Mit jedem dieser Dienstleister haben wir einen Auftragsverarbeitungsvertrag (AVV) geschlossen.

Hosting & Infrastruktur

Amazon Web Services EMEA SARL – Frankfurt a. M., DE
Zweck: Server-Hosting, Datenbank, Backup
✓ Ausschließlich EU (eu-central-1)

Website-Hosting (nessycloud.de)

united-domains GmbH – Starnberg, DE; Unterauftragnehmer: IONOS SE – Montabaur, DE
Zweck: Hosting der Website nessycloud.de einschließlich Server-Logfiles
✓ Server in Deutschland

Zahlungsabwicklung

Stripe Payments Europe, Ltd. – Dublin, IE
Zweck: Rechnungsstellung, Zahlungsabwicklung
✓ EU; SCC für US-Transfers

Plattformbetrieb

Evelan GmbH – Hamburg, DE
Zweck: Technische Entwicklung, Hosting und Betrieb der SaaS-Plattform
✓ Ausschließlich EU/DE

Hinweis: Eine aktuelle, vollständige Liste unserer Subprozessoren kann jederzeit bei datenschutz@dfkgroup.de angefordert werden. Wir informieren unsere Vertragskunden über Änderungen vorab gem. Art. 28 Abs. 2 DSGVO.

Kommunikation / E-Mail-Versand (Lifecycle)

Microsoft Ireland Operations Ltd. – Dublin, IE
Zweck: M365 Exchange Online — Versand Customer-Lifecycle-Mails (no-reply@nessycloud.de)
⚠ EU-Tochter mit US-Konzernmutter – DPF + SCC

Workflow-Automation

Zapier, Inc. – San Francisco, USA
Zweck: Webhook-Routing Stripe → monday.com (Customer-Daten: Name, E-Mail, Firma, Sub-Status)
⚠ USA – DPF + SCC

Customer-Tracking / CRM

monday.com Ltd. – Tel Aviv, Israel (EU-Hosting Frankfurt)
Zweck: Lifecycle-Tracking Customer-Items (Name, E-Mail, Firma, Status)
✓ EU-Hosting / Israel: EU-Angemessenheitsbeschluss

Frontend-Hosting

Vercel, Inc. – San Francisco, USA
Zweck: Hosting Webanwendung / Portal-Frontend
⚠ USA – DPF + SCC + TIA

5. Datenübermittlung in Drittländer

Soweit wir Dienste einsetzen, deren Anbieter ihren Sitz außerhalb des EWR haben – insbesondere in den USA –, stellen wir durch geeignete Garantien sicher, dass Ihre Daten auch dort angemessen geschützt werden:

EU-US Data Privacy Framework (DPF)

Für US-Anbieter, die unter dem DPF zertifiziert sind (z. B. Zapier, Inc., Vercel, Inc.), besteht ein Angemessenheitsbeschluss der Europäischen Kommission gem. Art. 45 DSGVO.

EU-Standardvertragsklauseln (SCC)

Ergänzend haben wir mit allen relevanten US-Dienstleistern Standardvertragsklauseln gem. Art. 46 Abs. 2 lit. c DSGVO geschlossen, einschließlich Transfer Impact Assessment (TIA).

Technische Schutzmaßnahmen

Wo möglich nutzen wir EU-Server (z. B. AWS Frankfurt), IP-Anonymisierung und Verschlüsselung, um Datenübermittlungen in Drittstaaten zu minimieren.

Wichtiger Hinweis: Die USA gelten trotz DPF datenschutzrechtlich als Drittland. US-Behörden können unter bestimmten Voraussetzungen auf Daten zugreifen. Durch die genannten Schutzmaßnahmen minimieren wir dieses Risiko bestmöglich.

6. Speicherdauer und Löschkonzept

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die Erfüllung der jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorschreiben:

Vertragsdaten (SaaS-Nutzung)

Dauer der Vertragsbeziehung + 3 Jahre (Art. 6 Abs. 1 lit. b DSGVO; § 195 BGB)

Rechnungs- und Buchhaltungsdaten

10 Jahre nach Ende des Geschäftsjahres (§ 147 AO, § 257 HGB)

Steuerlich relevante Unterlagen

6 bzw. 10 Jahre (§ 147 AO)

E-Mail- und Supportanfragen

Bis Erledigung + 6 Monate (Art. 6 Abs. 1 lit. b/f DSGVO)

Server-Logfiles

8 Wochen, IP-Adresse anonymisiert, automatische Löschung durch den Hosting-Dienstleister (Art. 6 Abs. 1 lit. f DSGVO)

7. Ihre Rechte als betroffene Person

Ihnen stehen folgende Rechte zu. Zur Ausübung genügt eine formlose Mitteilung an datenschutz@dfkgroup.de.

Auskunftsrecht

Art. 15 DSGVO

Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu verlangen.

Recht auf Löschung

Art. 17 DSGVO

Sie können die Löschung Ihrer Daten verlangen, soweit keine Aufbewahrungspflichten entgegenstehen.

Datenübertragbarkeit

Art. 20 DSGVO

Sie können Ihre Daten in einem maschinenlesbaren Format erhalten oder übertragen lassen.

Recht auf Widerruf

Art. 7 Abs. 3 DSGVO

Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Recht auf Berichtigung

Art. 16 DSGVO

Sie können die Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten verlangen.

Recht auf Einschränkung

Art. 18 DSGVO

Sie können die Einschränkung der Verarbeitung verlangen, z. B. bei Richtigkeitsprüfung.

Widerspruchsrecht

Art. 21 DSGVO

Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen – jederzeit möglich.

Beschwerderecht

Art. 77 DSGVO

Beschwerde bei der Aufsichtsbehörde: ULD Schleswig-Holstein, Kiel.

8. Auftragsverarbeitung (AVV) und Vertragsdokumente

Soweit wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten, geschieht dies auf Grundlage eines AVV gem. Art. 28 Abs. 3 DSGVO. Der AVV regelt Weisungsgebundenheit, TOM, Subprozessoren und Pflichten bei Datenschutzvorfällen.

Unsere Vertragskunden können den AVV im Portal per Klick akzeptieren. Folgende Dokumente stehen zum Download bereit:

Auftragsverarbeitungsvertrag (AVV)Allgemeine Geschäftsbedingungen (AGB)

Für Endnutzer unserer Kunden: Wenn Sie als Endkunde eines Unternehmens, das NessyCloud nutzt, Fragen zur Verarbeitung Ihrer Daten haben, wenden Sie sich bitte zuerst an das jeweilige Unternehmen (Ihren Vertragspartner). Die DFK Invest AG handelt als Auftragsverarbeiter.

9. Datenportabilität und Data Act

Seit dem 12. September 2025 findet der EU Data Act (Verordnung (EU) 2023/2854) Anwendung. Als SaaS-Anbieter stellen wir sicher, dass Sie Ihre Daten unkompliziert exportieren und übertragen können.

Datenzugang (Art. 4 Data Act)

Sie haben das Recht, auf alle von Ihnen erzeugten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zuzugreifen.

Datenportabilität (Art. 5 Data Act)

Auf Ihr Verlangen stellen wir Ihre Daten Dritten bereit – ohne unangemessene Verzögerung, in offenem Format (CSV, JSON, XML).

Wechsel des Anbieters (Art. 23–25 Data Act)

Wir unterstützen den Wechsel aktiv: vollständiger Datenexport, Übergangsphase, Löschung nach Transfer, keine technischen Barrieren.

Keine Wechselgebühren (Art. 29 Data Act)

Ab dem 12. September 2027 erheben wir für den Datenexport bei Anbieterwechsel keine gesonderten Gebühren.

Datenexport anfordern: Über das NessyCloud-Portal unter Einstellungen → Daten → Export oder per Anfrage an hello@nessycloud.de. Export innerhalb von 30 Tagen.

10. Technische und organisatorische Maßnahmen (TOM)

Wir treffen gem. Art. 32 DSGVO angemessene Maßnahmen für ein dem Risiko angemessenes Schutzniveau:

Verschlüsselung

TLS 1.2/1.3 für alle Übertragungen; AES-256 für gespeicherte Daten (at rest).

Zugangskontrollen

Rollenbasiertes Berechtigungskonzept, 2FA für Admin-Zugänge, Least Privilege.

Verfügbarkeit

Redundante Infrastruktur bei AWS Frankfurt, automatisierte Backups, Disaster Recovery.

Auftragskontrolle

AVV mit allen Subprozessoren, regelmäßige Dienstleister-Überprüfung.

Organisatorische Maßnahmen

Mitarbeiterschulungen, Vertraulichkeitsverpflichtung, Datenschutz-Managementsystem.

Incident Response

Meldung von Datenschutzverletzungen gem. Art. 33/34 DSGVO innerhalb von 72 Stunden.

TOM-Dokumentation: Unsere vollständige TOM-Liste gem. Art. 32 DSGVO ist als Anlage zum AVV dokumentiert und wird unseren Vertragskunden im Rahmen des Auftragsverarbeitungsvertrags bereitgestellt. Wenn Sie als Vertragskunde eine Kopie benötigen, wenden Sie sich bitte an hello@nessycloud.de.

11. Automatisierte Entscheidungsfindung und Profiling

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling gem. Art. 22 DSGVO ein, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie erheblich beeinträchtigt.

Pseudonymisierte Nutzungsprofile zu Analyse- oder Werbezwecken erstellen wir nicht. Es erfolgt kein Scoring, keine Kreditwürdigkeitsprüfung und keine automatisierte Ablehnung von Verträgen. Sollte sich dies ändern, informieren wir Sie vorab.

12. Einwilligungsverwaltung, Cookies und ähnliche Technologien

Einwilligungsverwaltung auf nessycloud.de

Beim ersten Besuch fragen wir Sie, ob wir optionale Dienste laden dürfen. Die Dienste sind in drei Gruppen eingeteilt: Statistik, externe Medien (zum Beispiel eingebettete Videos, Karten, Terminbuchung oder Chat) und Marketing. Sie können alle akzeptieren, alle ablehnen oder einzeln wählen. Ablehnen hat für Sie keine Nachteile; die Website funktioniert vollständig. Derzeit setzen wir auf nessycloud.de keinen optionalen Dienst ein. Führen wir einen ein, nennen wir ihn hier mit Anbieter, Zweck, Speicherdauer und einer etwaigen Übermittlung in Drittländer und fragen Sie vorher erneut.

Damit wir Ihre Entscheidung beachten können, speichern wir sie im lokalen Speicher Ihres Browsers (localStorage, Eintrag „nc-consent“): Ihre Wahl je Gruppe, die Version der Abfrage und den Zeitpunkt. Der Eintrag enthält keine Kennung und keine IP-Adresse, bleibt in Ihrem Browser und wird nicht an uns übermittelt. Er gilt 12 Monate; danach fragen wir erneut. Sie können ihn jederzeit löschen, indem Sie die Website-Daten in Ihrem Browser entfernen.

Auf der Seite „Erste Schritte“ speichern wir die Schritte, die Sie selbst abhaken, ebenfalls nur im lokalen Speicher Ihres Browsers (Eintrag „nc-erste-schritte“). Der Eintrag enthält keine Kennung, wird nicht an uns übermittelt und bleibt, bis Sie die Website-Daten in Ihrem Browser löschen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, weil die Speicherung für die von Ihnen genutzte Merkfunktion unbedingt erforderlich ist.

Wenn Sie über den Schalter oben auf der Seite zwischen hellem und dunklem Design wechseln, speichern wir Ihre Wahl ebenfalls nur im lokalen Speicher Ihres Browsers (Eintrag „nc-theme“, Wert „light“ oder „dark“). Der Eintrag enthält keine Kennung, wird nicht an uns übermittelt und bleibt, bis Sie die Website-Daten in Ihrem Browser löschen. Ohne diesen Eintrag richtet sich die Darstellung nach der Einstellung Ihres Geräts. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, weil die Speicherung für die von Ihnen gewählte Darstellung unbedingt erforderlich ist.

Rechtsgrundlage für das Speichern und Auslesen dieses Eintrags ist § 25 Abs. 2 Nr. 2 TDDDG, weil er unbedingt erforderlich ist, um die von Ihnen genutzte Einwilligungsverwaltung bereitzustellen. Soweit dabei personenbezogene Daten verarbeitet werden, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Ihre Entscheidung zu beachten und nicht bei jedem Seitenaufruf neu zu fragen.

Optionale Dienste

Optionale Dienste laden wir erst, nachdem Sie eingewilligt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Eingebettete Inhalte wie Videos zeigen wir zunächst als Platzhalter; erst wenn Sie den Inhalt laden oder der Gruppe „Externe Medien“ zugestimmt haben, stellt Ihr Browser eine Verbindung zum Anbieter her. Dabei erhält der Anbieter mindestens Ihre IP-Adresse. Sitzt ein Anbieter außerhalb der EU oder des EWR, nennen wir das Land und die Garantie (etwa den Angemessenheitsbeschluss zum EU-US Data Privacy Framework nach Art. 45 DSGVO).

Derzeit eingesetzte optionale Dienste: keine.

Widerruf

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), genauso einfach, wie Sie sie erteilt haben: über „Cookie-Einstellungen“ unten auf jeder Seite. Nach einem Widerruf lädt die Seite neu, damit kein bereits geladener Dienst weiterläuft, und wir löschen die Cookies des Dienstes, soweit unsere Website darauf zugreifen kann. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Kundenportal (portal.nessycloud.de)

Im Kundenportal kommen folgende Cookies zum Einsatz:

Essentielle Cookies

Session / max. 24 h

Session-Cookie, CSRF-Token, Sprach-Cookie
Technisch notwendig für die Grundfunktion der Webseite.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO

Funktionale Cookies

max. 1 Jahr

Login-Status, Benutzerpräferenzen
Speicherung von Einstellungen und Präferenzen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO

Server-Logfiles, E-Mail und Verschlüsselung

Server-Logfiles: Beim Aufruf der Website verarbeitet unser Hosting-Dienstleister (united-domains GmbH, Unterauftragnehmer IONOS SE, Server in Deutschland) Referrer, aufgerufene Datei, Browser-Typ, Betriebssystem, Gerätetyp, Uhrzeit und die IP-Adresse in anonymisierter Form. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Stabilität des Betriebs). Löschung nach 8 Wochen. Keine Zusammenführung mit anderen Datenquellen.

E-Mail: Übermittelte Daten werden zur Bearbeitung Ihrer Anfrage gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO. Löschung nach Erledigung und Ablauf der Aufbewahrungsfristen.

SSL-/TLS-Verschlüsselung: Alle Datenübertragungen sind verschlüsselt (https://).

13. Kontakt und Widerruf

Für alle Fragen zum Datenschutz, zur Ausübung Ihrer Betroffenenrechte oder zum Widerruf einer erteilten Einwilligung erreichen Sie uns unter:

Einwilligungen auf nessycloud.de widerrufen Sie am einfachsten über „Cookie-Einstellungen“ unten auf jeder Seite.

DFK Invest AG – Datenschutz

Datenschutzbeauftragter: Dimitri Engel
Gottlieb-Daimler-Straße 9, 24568 Kaltenkirchen
E-Mail: datenschutz@dfkgroup.de
Telefon: +49 4191 9100-00

Zuständige Aufsichtsbehörde:

Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98, 24103 Kiel
Webseite: https://www.datenschutzzentrum.de

Stand: 13. Oktober 2026 | Änderungen vorbehalten
© DFK Invest AG, Kaltenkirchen