Hyloft

Datenschutzerklärung

1. Überblick

Mit dieser Datenschutzerklärung informieren wir Sie darüber, welche personenbezogenen Daten wir beim Betrieb der Plattform „Hyloft Partnernetz“ (partner.hyloft.de) verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Ihnen zustehen. Die Plattform ermöglicht es Bauherren, geprüfte Fachbetriebe aus Nordrhein-Westfalen – etwa Innenarchitekten, Architekten, Tischler und Schreiner, Innenausbauer, Trockenbauer, Maler und Bodenleger – zu finden und anzufragen. Fachbetriebe können sich kostenlos eintragen und ihr Profil pflegen.

Wir setzen keine Analyse- oder Tracking-Tools ein, verwenden keine Werbe-Cookies und binden keine Schriften von externen Servern (z. B. Google Fonts) ein; alle Schriften werden lokal von unserem Server ausgeliefert.

2. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

3. Ansprechpartner für Datenschutz

Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter info@hyloft.de oder unter der oben genannten Postanschrift.

4. Hosting und Datenbank

4.1 Hosting durch Vercel

Die Plattform wird bei der Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Vercel verarbeitet in unserem Auftrag die Daten, die beim Aufruf der Plattform anfallen (insbesondere IP-Adresse und technische Verbindungsdaten), um die Website auszuliefern. Mit Vercel besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss nach Art. 45 DSGVO) bzw. auf Grundlage von EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, zuverlässigen und effizienten Bereitstellung der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

4.2 Datenbank durch Neon

Für die Speicherung von Profilen, Registrierungen, Anfragen und Zugangsdaten nutzen wir den Datenbankdienst der Neon Inc., den wir über Vercel beziehen. Die Daten werden auf Servern in Frankfurt am Main (Deutschland) gespeichert. Mit Neon besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Da es sich um ein Unternehmen mit Sitz in den USA handelt, kann ein Zugriff aus den USA, etwa im Rahmen von Support oder Wartung, nicht vollständig ausgeschlossen werden; insoweit gelten die Ausführungen unter Ziffer 17.

Rechtsgrundlage ist die jeweils zugrunde liegende Verarbeitung (siehe die folgenden Abschnitte) in Verbindung mit unserem berechtigten Interesse an einer sicheren Datenhaltung (Art. 6 Abs. 1 lit. f DSGVO).

5. Server-Logfiles

Beim Aufruf der Plattform werden durch unseren Hosting-Dienstleister automatisch Informationen erfasst, die Ihr Browser übermittelt. Dazu gehören insbesondere:

Diese Daten werden zur Auslieferung der Website, zur Gewährleistung der Systemsicherheit und zur Fehleranalyse verarbeitet. Eine Zusammenführung mit anderen Datenquellen erfolgt nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb der Plattform. Die Logfiles werden vom Hosting-Dienstleister nach Ablauf der vom Dienstleister vorgesehenen Speicherfrist automatisch gelöscht.

6. Cookies

Wir verwenden ausschließlich ein technisch notwendiges Session-Cookie. Dieses wird nur gesetzt, wenn sich ein Partner oder ein Administrator in den geschützten Bereich der Plattform einloggt. Es dient dazu, Sie nach dem Login als angemeldet wiederzuerkennen, damit Sie Ihr Profil bearbeiten oder Anfragen einsehen können. Ohne dieses Cookie ist der Login-Bereich nicht nutzbar.

Die Speicherung des Cookies auf Ihrem Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, da sie unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst (Partner- bzw. Admin-Login) bereitzustellen. Die anschließende Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Login). Das Cookie wird beim Abmelden bzw. nach Ablauf von 30 Tage gelöscht.

Besucher, die sich nicht einloggen – insbesondere Bauherren – erhalten keine Cookies.

7. Registrierung von Fachbetrieben und öffentliche Profile

7.1 Registrierung und Prüfung

Fachbetriebe können sich über ein Formular kostenlos für das Partnernetz registrieren. Dabei verarbeiten wir die im Formular angegebenen Daten, insbesondere Firmenname, Name des Ansprechpartners, Anschrift bzw. Ort, Gewerk und Leistungen, Telefonnummer, E-Mail-Adresse und Website sowie etwaige freiwillige Angaben. Die Registrierungsdaten werden gespeichert. Zur Prüfung und Freischaltung rufen wir den Betrieb unter der angegebenen Telefonnummer an.

In einzelnen Fällen legen wir Profile von Fachbetrieben selbst an, etwa nach einem persönlichen Gespräch. In diesem Fall stimmen wir die Veröffentlichung vorab mit dem Betrieb ab.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen und des Nutzungsverhältnisses nach den Partnerbedingungen). Soweit personenbezogene Daten von Mitarbeitenden des Betriebs (z. B. Ansprechpartner) betroffen sind, stützen wir die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in der Darstellung und Kontaktierbarkeit der Betriebe.

7.2 Öffentliche Profile

Nach der Freischaltung ist das Profil eines Fachbetriebs öffentlich auf der Plattform abrufbar. Öffentlich sichtbar sind insbesondere: Firmenname, Ansprechpartner, Ort, Leistungen bzw. Gewerke, Telefonnummer, E-Mail-Adresse, Website, Logo und Fotos (z. B. Referenzprojekte). Diese Angaben sind für jeden Besucher sichtbar und können von Suchmaschinen erfasst werden. Zweck ist, dass Bauherren den Betrieb finden und direkt kontaktieren können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wir bitten Partner, auf Fotos keine erkennbaren Personen ohne deren Einwilligung zu zeigen und keine Fotos zu verwenden, die Rückschlüsse auf private Wohnräume Dritter mit Personenbezug zulassen, sofern keine Zustimmung der Betroffenen vorliegt.

8. Partner-Login

Freigeschaltete Partner erhalten einen Zugang zum Partnerbereich. Die Anmeldung erfolgt wahlweise mit E-Mail-Adresse und Passwort oder über einen Login-Link, den wir an die hinterlegte E-Mail-Adresse senden. Passwörter werden ausschließlich in verschlüsselter (gehashter) Form gespeichert (mit dem Verfahren scrypt). Im Partnerbereich können Partner ihr Profil, ihr Logo und ihre Fotos pflegen sowie die an sie gerichteten Anfragen einsehen.

Wir verarbeiten hierfür die E-Mail-Adresse, das Passwort (als Hash), Zeitpunkte von Logins und die im Partnerbereich hochgeladenen Inhalte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Absicherung des Zugangs erfolgt zudem auf Grundlage unseres berechtigten Interesses an der Sicherheit der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

9. Anfragen von Bauherren

9.1 Erhobene Daten

Bauherren können über ein Anfrageformular einen oder mehrere Fachbetriebe anfragen. Dabei verarbeiten wir:

Bitte geben Sie in der Projektbeschreibung nur die Informationen an, die für die Anfrage erforderlich sind, und keine besonderen Kategorien personenbezogener Daten (z. B. Gesundheitsdaten).

9.2 Weitergabe an die ausgewählten Fachbetriebe

Zweck der Anfrage ist die Kontaktaufnahme mit den von Ihnen ausgewählten Fachbetrieben. Ihre Anfrage wird daher wie folgt übermittelt bzw. bereitgestellt:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Weitergabe zur Erfüllung Ihres Anliegens – der Anfrage bei den gewählten Betrieben – erforderlich ist. Die Verarbeitung der Anfrage durch Hyloft zur Qualitätssicherung und Missbrauchsabwehr erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Mit dem Erhalt der Anfrage wird der jeweilige Fachbetrieb für die weitere Verarbeitung Ihrer Daten (z. B. Kontaktaufnahme, Angebotserstellung, Auftragsabwicklung) eigenständiger Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Für diese Verarbeitung gelten die Datenschutzhinweise des jeweiligen Betriebs. Hyloft hat auf die weitere Verarbeitung durch den Betrieb keinen Einfluss. Die Partner sind nach unseren Partnerbedingungen verpflichtet, Anfragen datenschutzkonform zu behandeln und nicht an Dritte weiterzugeben.

9.3 Kontaktaufnahme durch Hyloft wegen einer Lofttür

Hyloft bietet Lofttüren an. Wenn Sie im Formular angeben, dass eine Lofttür geplant ist, und zusätzlich die gesonderte, freiwillige Einwilligung erteilen, kontaktiert Hyloft Sie per E-Mail oder – sofern angegeben – telefonisch, um Sie zu Lofttüren zu beraten. Ohne diese gesonderte Einwilligung nimmt Hyloft wegen einer Lofttür keinen Kontakt zu Ihnen auf; die Angabe „Lofttür geplant“ wird dann nur an die ausgewählten Betriebe weitergegeben.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für Telefonanrufe zusätzlich § 7 Abs. 2 Nr. 1 UWG). Die Einwilligung ist freiwillig und keine Voraussetzung für das Absenden der Anfrage. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, z. B. per E-Mail an info@hyloft.de.

10. E-Mail-Versand

Für den Versand von System-E-Mails (Anfragen an Fachbetriebe, Bestätigungen an Bauherren, Benachrichtigungen an Hyloft, Login-Links und Hinweise zur Registrierung) nutzen wir den Dienst der Resend Inc., USA. Dabei werden die E-Mail-Adressen der Empfänger, der Inhalt der E-Mail sowie technische Versanddaten (z. B. Zeitpunkt, Zustellstatus) verarbeitet. Mit Resend besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Zur Übermittlung in die USA siehe Ziffer 17 Öffnungs- und Klick-Tracking ist deaktiviert..

Rechtsgrundlage ist die jeweils zugrunde liegende Verarbeitung (insbesondere Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer zuverlässigen Zustellung (Art. 6 Abs. 1 lit. f DSGVO).

11. Kartenansicht (OpenStreetMap)

Auf der Plattform können Fachbetriebe in einer Kartenansicht angezeigt werden. Die Kartenkacheln werden beim Aufruf der Kartenansicht direkt von Servern der OpenStreetMap Foundation (OSMF), St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich, geladen. Dabei wird Ihre IP-Adresse sowie die üblichen technischen Verbindungsdaten (z. B. Browsertyp, aufgerufene Kartenkacheln, Referrer) an die OSMF übertragen. Auf die weitere Verarbeitung durch die OSMF haben wir keinen Einfluss; nähere Informationen finden Sie in der Datenschutzerklärung der OSMF unter https://osmfoundation.org/wiki/Privacy_Policy.

Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO.

Rechtsgrundlage ist unser berechtigtes Interesse an einer anschaulichen Darstellung der Standorte der Fachbetriebe (Art. 6 Abs. 1 lit. f DSGVO).

12. Statistik der Profilaufrufe

Damit wir und die Partner einschätzen können, wie häufig Profile aufgerufen werden, zählen wir die Aufrufe der Profilseiten. Gespeichert wird ausschließlich ein Zähler pro Tag und Profil. IP-Adressen, Cookies, Gerätekennungen oder sonstige Informationen mit Bezug zu einzelnen Besuchern werden hierfür nicht gespeichert. Es handelt sich daher nicht um eine Verarbeitung personenbezogener Daten der Besucher. Für die Zählung wird lediglich die Kennung des aufgerufenen Profils an unseren Server übermittelt; ob ein Profil in der aktuellen Browsersitzung bereits gezählt wurde, wird ausschließlich im Sitzungsspeicher Ihres Browsers vermerkt.

13. Spamschutz in Formularen

Zum Schutz vor Missbrauch (z. B. automatisierten Massenanfragen) verarbeiten wir beim Absenden des Anfrage- bzw. Registrierungsformulars Ihre IP-Adresse. Die IP-Adresse wird dabei ausschließlich in gehashter Form, also als nicht ohne Weiteres rückrechenbarer Prüfwert, gespeichert und nach 24 Stunden gelöscht. Eine Klar-Speicherung der IP-Adresse erfolgt nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Abwehr von Spam und Missbrauch sowie im Schutz der Fachbetriebe vor unerwünschten Massenanfragen. Der Hash wird mit einem geheimen Schlüssel gebildet (gesalzen).

14. Kontakt per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder telefonisch kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern Ihr Anliegen mit einem Vertrag oder vorvertraglichen Maßnahmen zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

15. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Die folgenden Fristen sind Vorschläge und vor Veröffentlichung festzulegen:

Daten, die bereits an Fachbetriebe übermittelt wurden, unterliegen den Löschfristen des jeweiligen Betriebs.

16. Empfänger

Empfänger bzw. Kategorien von Empfängern Ihrer personenbezogenen Daten sind:

Eine Weitergabe zu Werbezwecken an Dritte findet nicht statt.

17. Übermittlung in Drittländer

Einige unserer Dienstleister haben ihren Sitz in den USA (Vercel, Neon, Resend). Eine Übermittlung personenbezogener Daten in die USA erfolgt nur, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Für Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Soweit eine solche Zertifizierung nicht besteht, stützen wir die Übermittlung auf die von der EU-Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Beim Laden der Kartenkacheln werden Daten an die OpenStreetMap Foundation im Vereinigten Königreich übermittelt; hierfür besteht ein Angemessenheitsbeschluss (siehe Ziffer 11).

18. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu:

Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@hyloft.de oder an die oben genannte Postanschrift. Bitte beachten Sie, dass wir für Verarbeitungen durch Fachbetriebe, die Ihre Anfrage erhalten haben, nicht verantwortlich sind; insoweit wenden Sie sich bitte direkt an den jeweiligen Betrieb.

Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

19. Widerruf von Einwilligungen

Sofern eine Verarbeitung auf Ihrer Einwilligung beruht – insbesondere die Kontaktaufnahme durch Hyloft wegen einer Lofttür –, können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Eine formlose Mitteilung an info@hyloft.de genügt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

20. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

21. Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne die als Pflichtfeld gekennzeichneten Angaben können wir eine Anfrage oder Registrierung jedoch nicht bearbeiten. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt; über die Freischaltung von Fachbetrieben entscheidet Hyloft nach einem persönlichen Telefonat.

22. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils auf der Plattform veröffentlichte Fassung.

Stand: November 2026