Datenschutzerklärung

Stand: 29.09.2026 · Gilt für wohnalert.com, die WohnAlert-App (Web, iOS, Android) und alle E-Mails und Benachrichtigungen von WohnAlert

Kurz gesagt

• Die Website lässt sich ohne Konto lesen. Für Wohnungsalarme per Push ist auf allen Seiten und Geräten zuerst eine Registrierung oder Anmeldung erforderlich. Auch App, E-Mail-Alarm und Premium benötigen ein Konto mit E-Mail-Adresse und Passwort.
• Es gibt keine Werbe-Netzwerke, keine Google-Analytics-artigen Dienste und keine Cookies zu Werbezwecken. Unsere eigene, pseudonyme Besucherstatistik läuft nur mit Ihrer Einwilligung und lässt sich jederzeit abschalten.
• Ihre Daten liegen auf einem Server in Frankfurt am Main. Der Betreiber ist ein Unternehmen in den USA; für E-Mail-Versand und Push-Zustellung setzen wir Dienstleister ein, die unten einzeln genannt sind.
• Ihr Konto löschen Sie selbst in der App – mit allen Suchprofilen, Haushaltsangaben und Mail-Abos.

1. Verantwortlicher

Die Appstria LLC hat keine Niederlassung in der EU. Die DSGVO gilt für uns, weil wir unseren Dienst Personen in der EU und im EWR anbieten (Art. 3 Abs. 2 DSGVO). Für alle Anliegen zum Datenschutz erreichen Sie uns direkt unter der oben genannten E-Mail-Adresse. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich und nicht benannt.

2. Wo Ihre Daten liegen (Hosting)

Website, Schnittstelle und Datenbank laufen auf einem virtuellen Server der DigitalOcean, LLC (101 Avenue of the Americas, New York, NY 10013, USA) im Rechenzentrum Frankfurt am Main, Deutschland. Verschlüsselte Sicherungskopien der Datenbank liegen im Objektspeicher desselben Anbieters, ebenfalls in Frankfurt, und werden nach 90 Tagen gelöscht; lokale Sicherungen auf dem Server werden gestaffelt bis zu einem Jahr aufbewahrt. DigitalOcean ist Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage seines Datenverarbeitungsvertrags mit Standardvertragsklauseln. Schriften, Bilder, Kartenbibliothek und Skripte liefern wir von unserem eigenen Server aus – beim bloßen Lesen der Website wird Ihre IP-Adresse an niemanden außer uns übermittelt.

3. Aufruf der Website und der App (Server-Protokolle)

Bei jedem Aufruf protokolliert der Webserver: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Statuscode, verweisende Seite, Browserkennung und Browsersprache. Die IP-Adresse wird vor dem Speichern gekürzt (IPv4 ohne das letzte Oktett, IPv6 auf das /32-Präfix), sodass sie keinem Anschluss mehr zuzuordnen ist. Zweck sind der technische Betrieb und die Abwehr von Angriffen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden nach 14 Tagen automatisch gelöscht. Das Fehlerprotokoll des Webservers kann bei technischen Störungen im Einzelfall eine vollständige IP-Adresse enthalten; auch es wird nach 14 Tagen gelöscht. Zur Abwehr von Anfragefluten hält der Server die IP-Adresse außerdem für wenige Minuten im Arbeitsspeicher.

Unsere Anwendung hält zum selben Zweck die IP-Adresse eines Absenders nur im Arbeitsspeicher – für Alarm-Anmeldungen, Fahrzeit-Abfragen, die Besucherstatistik und das Kündigungsformular bis zu einer Stunde, die Zieladresse einer Alarm-Anmeldung bis zu 24 Stunden; gespeichert wird davon nichts. Sie schreibt außerdem ein technisches Protokoll (Journal) ohne IP-Adressen und ohne Suchprofile, Adressen oder Arbeitsort-Koordinaten; bei Fehlern beim Einschalten der Benachrichtigungen enthält es die Browserkennung. Es ist auf eine feste Größe begrenzt und überschreibt sich fortlaufend, in der Regel innerhalb weniger Wochen. Anmeldeversuche am Admin-Panel des Betreibers – auch fehlgeschlagene – speichern wir mit vollständiger IP-Adresse, Zeitpunkt, eingegebener E-Mail-Adresse und gekürzter Browserkennung für 180 Tage, um Angriffe auf den Betreiberzugang zu erkennen (Art. 6 Abs. 1 lit. f DSGVO).

4. Cookies, lokaler Speicher und Einwilligung

Website und App setzen keine Cookies. Sie nutzen den lokalen Speicher Ihres Browsers (localStorage) für Einstellungen und für Ihre Sitzung. Das ist für den Dienst erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, § 165 Abs. 3 TKG 2021) und braucht keine Einwilligung:

Eine Ausnahme sind die Kennung wa-besucher für unsere Besucherstatistik (Abschnitt 5) und die beiden Sitzungsmarker wa-sitzung und wa-spur-letzte im Sitzungsspeicher (sessionStorage, weg mit dem Schließen des Browsers): Sie werden nur nach Ihrer Einwilligung angelegt. Das Admin-Panel des Betreibers nutzt ein eigenes Sitzungs-Cookie, das nur den Betreiber betrifft.

5. Besucherstatistik (nur mit Einwilligung)

Wir möchten wissen, woher Besucher kommen, welche Seiten sie ansehen und an welcher Stelle sie die App öffnen, ein Konto anlegen oder Premium wählen. Dafür fragen wir beim ersten Besuch um Ihre Einwilligung. Sagen Sie ja, legt Ihr Browser eine zufällige Kennung an (wa-besucher) und meldet uns je Seitenaufruf: Kennung, Seite bzw. App-Ansicht, verweisende Seite beim ersten Aufruf, Sprache, ein grobes Gerätekürzel (etwa „Chrome · iPhone“) und Ereignisse wie „Wohnung angesehen“ (mit Titel und Anbieter), „Alarm eingeschaltet“, „Premium-Seite geöffnet“. Keine IP-Adresse wird dabei gespeichert, kein Fingerprint gebildet, kein Fremdanbieter beteiligt.

Legen Sie ein Konto oder ein Benachrichtigungs-Abo an, verknüpfen wir die Kennung damit; so sehen wir, welcher Weg zur Anmeldung geführt hat. Die Ereignisse werden nach 90 Tagen gelöscht, mit der Löschung Ihres Kontos sofort. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG bzw. § 165 Abs. 3 TKG 2021, Art. 6 Abs. 1 lit. a DSGVO). Sagen Sie nein oder gar nichts, wird nichts angelegt und nichts gemeldet – der Dienst funktioniert genauso.

Entscheidung zur Besucherstatistik ändern

6. Konto

Für die App, Wohnungsalarme per Push auf allen Seiten und Geräten, den Alarm per E-Mail und Premium ist ein Konto erforderlich. Wir speichern:

• E-Mail-Adresse und ein Passwort – das Passwort nur als salziger scrypt-Hash, den auch wir nicht zurückrechnen können; ein optionaler Vorname; Ihre Sprachwahl; Zeitpunkt der Registrierung und der letzten Nutzung; ein Fehlversuchszähler mit vorübergehender Sperre (10 Fehlversuche, 15 Minuten) zum Schutz vor Passwort-Raten.
• Sitzungen: je Gerät ein zufälliges Anmelde-Token (bei uns nur als SHA-256-Hash) mit gekürzter Browserkennung und Zeitpunkt. Sitzungen enden mit dem Abmelden, einem Passwortwechsel, der Kontolöschung oder nach zwölf Monaten ohne Nutzung.
• Ihr Suchprofil (Abschnitt 7) und Ihre Merkliste mit Bewerbungsstatus und Notizen, damit sie auf allen Geräten gleich sind.
• Haushaltsangaben, wenn Sie sie freiwillig eintragen: Vor- und Nachname, Telefon, Personenzahl, Kinder, WBS-Status und -Stufe, Einkommensstufe, Einzugsdatum, Haustiere, besonderer Wohnbedarf und Barrierefreiheit, freie Notizen. Sie dienen allein dazu, Bewerbungstexte vorzubereiten und passende Angebote zu erkennen. Angaben zu Barrierefreiheit oder besonderem Wohnbedarf können auf Ihre Gesundheit schließen lassen; sie sind ausdrücklich freiwillig, und mit dem Eintragen willigen Sie in ihre Speicherung ein (Art. 9 Abs. 2 lit. a DSGVO). Sie können jedes Feld jederzeit leeren.
• Ihren Premium-Status (bis wann, ob geschenkt) und den Zeitpunkt der letzten Profil-Mail.

Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO); für die freiwilligen Haushaltsangaben Ihre Einwilligung. Passwort vergessen: Auf Wunsch schicken wir einen Link mit einem einmaligen Token an Ihre Adresse; wir speichern nur seinen Hash; der Link gilt 60 Minuten.

7. Suchprofil, Umkreis und Fahrzeit

Ihr Suchprofil (Stadt, Bezirke oder Ortsteile, Höchstmiete, Zimmer, Fläche, WBS, Wohnart, Anbieter, Freiflächen) speichern wir am Konto und am Benachrichtigungs-Abo, damit wir nur passende Wohnungen melden. Zwei Funktionen brauchen einen Ort:

• Umkreis: Sie tippen eine Adresse; unser Server fragt dafür den Geocodierdienst Photon der komoot GmbH (Potsdam, Deutschland) und übermittelt ihm den eingegebenen Suchtext – nicht Ihre IP-Adresse. Den Suchtext und die Antwort halten wir ohne Bezug zu Ihnen in einem Zwischenspeicher auf unserem Server, damit dieselbe Adresse nicht erneut angefragt wird. Die ermittelte Koordinate speichern wir im Suchprofil; der Ortsname als Ihre Einstellung bleibt nur auf Ihrem Gerät.
• Fahrzeit zur Arbeit: Die Koordinate Ihres Arbeitsorts (auf etwa zehn Meter gerundet) sendet unser Server an den offenen Routingdienst Transitous (transitous.org, betrieben von der Transitous-Community auf MOTIS-Basis), um Fahrzeiten mit Bus und Bahn zu allen Wohnungen zu berechnen. Übermittelt werden nur Koordinate und Zeitpunkt; das Ergebnis speichern wir 7 Tage in einem Zwischenspeicher, der nicht Ihrem Konto zugeordnet ist, und löschen es danach.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) – Sie lösen beide Abfragen selbst aus, indem Sie einen Ort eingeben.

8. Benachrichtigungen

Push-Meldungen (Browser und App)

Ein Push-Abo für Wohnungsalarme braucht ein Konto: Auf der Website und in der App müssen Sie sich zuerst registrieren oder anmelden. Jedes aktive Wohnungs-Abo wird Ihrem Konto zugeordnet. Ältere Abos ohne Kontozuordnung erhalten bis zur Anmeldung keine Wohnungsalarme. Wenn Sie Benachrichtigungen einschalten, erzeugt Ihr Browser oder Ihr Telefon ein Abo und übergibt es uns. Wir speichern: die Adresse beim Push-Dienst Ihres Geräts und zwei Schlüssel, mit denen die Meldung für genau dieses Gerät verschlüsselt wird (bei der iOS-/Android-App das Geräte-Token), Ihr Suchprofil, Sprache, Tarif, Zeitpunkt der Anmeldung, der letzten Zustellung und des letzten Lebenszeichens, einen Fehlerzähler, einen zufälligen Abo-Schlüssel für Ihre Links, Beginn und Ende einer Testphase, die Herkunft des Abos (Website oder App), einen Empfehlungscode und – mit Ihrer Einwilligung – die Kennung der Besucherstatistik. Ein Abo, dem wir Meldungen schicken und das 14 Tage lang nicht antwortet, löschen wir; ein vom Push-Dienst als ungültig gemeldetes Abo sofort. Ein Abo ohne Kontozuordnung bekommt keine Meldungen und bleibt deshalb gespeichert, bis Sie es ausschalten oder uns um Löschung bitten. Der Schalter „Benachrichtigungen ausschalten“ löscht das Abo vollständig. Im Sammelmodus erhalten Sie statt Einzelmeldungen einmal täglich eine Zusammenfassung.

Die Zustellung läuft technisch zwingend über den Push-Dienst des Herstellers Ihres Browsers oder Betriebssystems: Google (Chrome, Android; Firebase Cloud Messaging), Apple (Safari, iOS; Apple Push Notification service), Mozilla (Firefox) oder Microsoft (Edge). Diese Dienste erfahren, dass und wann eine Meldung an Ihr Gerät geht; den Inhalt können sie bei Web-Push nicht lesen, er ist für Ihr Gerät verschlüsselt. Bei der iOS-/Android-App sehen Apple bzw. Google den Meldungstext (Bezirk, Miete, Zimmer, Fläche, Link). Dabei findet eine Übermittlung in die USA statt, gestützt auf das EU-US Data Privacy Framework, unter dem Google, Apple und Microsoft zertifiziert sind, bzw. auf Standardvertragsklauseln. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie mit dem Ausschalten widerrufen.

Alarm per E-Mail und Wochen-Mail

Premium-Nutzer können den Alarm zusätzlich an eine E-Mail-Adresse bestellen. Wir speichern dazu Adresse, Suchprofil, Sprache, Zeitpunkt von Anmeldung, Bestätigung und letzter Meldung, die Zahl der heute verschickten Meldungen, einen Fehlerzähler, einen zufälligen Abmelde-Schlüssel, die Verknüpfung mit Ihrem Konto und – mit Ihrer Einwilligung – die Kennung der Besucherstatistik. Ohne Bestätigung geht nichts raus (Double Opt-in); eine Adresse, die 14 Tage nicht bestätigt wird, löschen wir. Jede Alarm-Mail enthält einen Abmeldelink, der die Adresse samt Suchprofil sofort löscht.

Kontoinhaber erhalten außerdem Mails, die zum Vertrag gehören: die Bestätigung der Registrierung, den Passwort-Link, eine Willkommens-Mail mit Beispielen zu Ihrem Suchprofil und Hinweise zum Ablauf einer Testphase (Art. 6 Abs. 1 lit. b DSGVO). Die Wochen-Mail mit neuen Angeboten zu Ihrem Suchprofil gibt es nur auf Wunsch: Bei Konten, die seit dem 20.09.2026 angelegt werden, ist sie ausgeschaltet, bis Sie sie in der App unter Alarm einschalten (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Ältere Konten erhalten sie, solange sie sie nicht abschalten (berechtigtes Interesse an der Information über neue Angebote zu Ihrer eigenen Suche, Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG); Sie können ihr jederzeit widersprechen. Abschalten geht in der App unter Alarm oder mit einem Klick in jeder Wochen-Mail.

Empfänger: Den Versand übernimmt in unserem Auftrag die Resend, Inc. (2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiterin auf Grundlage von Standardvertragsklauseln. Resend erfährt Ihre Adresse, Betreff und Inhalt der Mail. Unsere Mails enthalten keine Zählpixel und laden keine Schriften von fremden Servern. Fotos der Wohnungen liegen auf unserem Server; öffnet Ihr Mailprogramm Bilder, werden sie von wohnalert.com geladen.

9. Karte

Die Wohnungskarte zeigt Kacheln von OpenFreeMap (openfreemap.org, ein gemeinnütziges Projekt; Kartendaten © OpenStreetMap-Mitwirkende). Die Karte wird auf der Website und in der App erst auf Ihren Klick geladen; dann erhält der Kachelserver Ihre IP-Adresse und Browserkennung, wie bei jedem Bildabruf. Die Kartenbibliothek selbst liefern wir von unserem Server. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Interesse an einer Kartendarstellung, die Sie angefordert haben).

10. Weitere Funktionen

• Empfehlen: Ein Einladungslink enthält einen zufälligen Code Ihres Abos; meldet sich jemand darüber an, zählen wir die Empfehlung. Wer Sie eingeladen hat, erfahren wir nur über diesen Code, nicht über Namen oder Adressen.
• Stimmen: Wenn Sie eine Bewertung mit Vornamen und Bezirk abgeben und der Veröffentlichung zustimmen, zeigen wir sie in der App und auf wohnalert.com. Dazu merken wir uns das Push-Abo Ihres Geräts, damit je Gerät höchstens eine Stimme am Tag abgegeben wird. Stimmen bleiben, bis Sie ihre Entfernung verlangen – schreiben Sie uns dafür.
• Inserat melden: Ihre Meldung (Grund, Wohnung, Ihr freier Text, Zeitpunkt und das Push-Abo Ihres Geräts, damit je Gerät höchstens zehn Meldungen am Tag möglich sind) speichern wir, um die Quelle zu prüfen; erledigte Meldungen löschen wir nach 90 Tagen.
• Fehlermeldungen: Klappt das Einschalten der Benachrichtigungen nicht, meldet die App den fehlgeschlagenen Schritt, die Fehlermeldung des Browsers und die Browserkennung an uns; das landet nur im technischen Protokoll (Abschnitt 3) und dient allein der Fehlerbehebung (Art. 6 Abs. 1 lit. f DSGVO).
• Kündigung: Die Angaben aus dem Kündigungsformular (Adresse, Zeitpunkt, optional Kennung und Grund) verwenden wir, um die Kündigung auszuführen und zu bestätigen (Art. 6 Abs. 1 lit. b und c DSGVO); in der Datenbank speichern wir dazu nichts, die Bestätigung geht per E-Mail an Sie und an uns.
• Kontakt per E-Mail: Was Sie uns schreiben, speichern wir, solange die Bearbeitung dauert, und bis zu drei Jahre, wenn es eine vertragliche Frage betrifft.

11. Öffentliche Wohnungsdaten

Die angezeigten Inserate stammen von den öffentlichen Angebotsseiten der Wohnungsunternehmen. Sie enthalten keine Daten über Sie. Kontaktangaben von Ansprechpartnern der Anbieter übernehmen wir nur, wie die Anbieter sie selbst veröffentlichen (Art. 6 Abs. 1 lit. f DSGVO).

12. Empfänger und Übermittlung in Drittländer

Ihre Daten erhalten nur die genannten Dienstleister für den genannten Zweck: DigitalOcean (Hosting, Frankfurt), Resend (E-Mail, USA), die Push-Dienste von Google, Apple, Mozilla und Microsoft (USA), komoot (Geocodierung, Deutschland), Transitous (Fahrzeiten), OpenFreeMap (Kartenkacheln). Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

Der Verantwortliche selbst sitzt in den USA und greift von dort auf die in Frankfurt gespeicherten Daten zu, soweit es der Betrieb erfordert. Die USA gelten für nicht zertifizierte Unternehmen nicht als Land mit angemessenem Datenschutzniveau. Wir schützen Ihre Daten durch Verschlüsselung der Übertragung und der Sicherungen, Zugriff nur für den Betreiber und Speicherung ausschließlich in Deutschland; bei Übermittlungen an US-Dienstleister stützen wir uns auf Standardvertragsklauseln der EU-Kommission oder, wo der Anbieter zertifiziert ist, auf das EU-US Data Privacy Framework. Eine Kopie der Klauseln erhalten Sie auf Anfrage.

13. Speicherdauer

14. Konto und Daten löschen

In der App unter Profil → Sicherheit → Konto löschen (Passwort bestätigen). Damit löschen wir sofort: Konto, Passwort-Hash, Sitzungen, Suchprofil, Haushaltsangaben, Merkliste, Mail-Abos samt Zustellprotokoll, das Versandprotokoll Ihrer Konto-Mails und die Ereignisse der Besucherstatistik. Push-Abos auf Ihren Geräten bleiben ohne Kontozuordnung bestehen; Wohnungsalarme werden beendet. Sie entfernen das Abo mit „Benachrichtigungen ausschalten“ in der App oder in den Einstellungen Ihres Geräts. Ohne Zugriff auf die App schreiben Sie an info@appstria.com – Anleitung unter Konto löschen.

15. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21), sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Schreiben Sie dafür an info@appstria.com, am besten von der Adresse Ihres Kontos. Ältere, pausierte Push-Abos ohne Konto sind uns gegenüber anonym; eine Auskunft dazu können wir nur erteilen, wenn Sie die Abo-Adresse mitschicken.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat, in dem Sie wohnen. In Österreich ist das die Datenschutzbehörde (Barichgasse 40–42, 1030 Wien); in Deutschland die Landesbeauftragte oder der Landesbeauftragte für den Datenschutz Ihres Bundeslands – eine Liste führt die Bundesbeauftragte für den Datenschutz.

16. Keine automatisierte Entscheidung, keine Kinder

Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt; das Suchprofil dient allein dazu, Ihnen weniger unpassende Meldungen zu schicken. Der Dienst richtet sich an Erwachsene, die eine Wohnung suchen; Personen unter 16 Jahren dürfen kein Konto anlegen.

17. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst ändert. Die jeweils gültige Fassung steht unter wohnalert.com/datenschutz.html; das Datum oben zeigt den Stand. Bei wesentlichen Änderungen informieren wir Kontoinhaber per E-Mail.