Datenschutzerklärung
1. Geltungsbereich und Rollen
Diese Erklärung gilt für expona.immo, app.expona.immo und von Expona bereitgestellte öffentliche Exposé-Seiten. Sie erläutert die Verarbeitung personenbezogener Daten durch die TheGroupMovement GmbH.
Bei Marketing, Registrierung, Vertragsverwaltung, Systemsicherheit und eigener Reichweitenmessung entscheidet die TheGroupMovement GmbH selbst über Zwecke und Mittel und ist datenschutzrechtlich Verantwortliche. Verarbeitet ein Unternehmenskunde über Expona Daten von Eigentümern, Mietern, Interessenten, Beschäftigten oder sonstigen Personen, ist grundsätzlich der Kunde Verantwortlicher und die TheGroupMovement GmbH Auftragsverarbeiterin. Hierfür gilt der Auftragsverarbeitungsvertrag.
Bei einer Anfrage über eine öffentliche Objektseite verarbeitet Expona die eingegebenen Inhalte im Auftrag des dort bezeichneten Immobilienunternehmens. Für die sichere technische Bereitstellung und Missbrauchsabwehr verarbeitet Expona erforderliche technische Daten in eigener Verantwortung.
2. Verantwortliche Stelle
TheGroupMovement GmbH
Pestalozzistraße 21
90429 Nürnberg
Telefon: 017630374371
E-Mail: media@thegroupmovement.com
3. Technische Bereitstellung und Server-Protokolle
Beim Aufruf unserer Dienste verarbeiten unsere Systeme insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, HTTP-Status, Referrer-URL, Browsertyp, Betriebssystem und Geräteinformationen. Die Daten sind erforderlich, um Inhalte auszuliefern, Angriffe und Fehlfunktionen zu erkennen und die Stabilität zu gewährleisten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen liegen in sicherem Betrieb, Verfügbarkeit, Fehleranalyse und Missbrauchsabwehr. Sicherheitsrelevante Server-Protokolle werden regelmäßig innerhalb von 30 Tagen gelöscht oder anonymisiert. Bei einem konkreten Sicherheitsvorfall können die betroffenen Daten bis zu dessen abschließender Klärung aufbewahrt werden.
Für Server-, Datenbank-, Sicherungs- und Warteschlangenbetrieb setzen wir technische Hosting-Dienstleister in der Europäischen Union ein. Der konkrete Hostinganbieter der Expona-Produktivinstanz wird Unternehmenskunden in der Auftragsbestätigung und im jeweils gültigen AVV benannt.
4. Cookies und lokaler Browser-Speicher
Technisch notwendige Speicherungen beruhen auf § 25 Abs. 2 TDDDG. Soweit die gespeicherten Informationen personenbezogen sind, erfolgt die weitere Verarbeitung zur Vertragserfüllung oder aufgrund unseres berechtigten Interesses an einer sicheren und nutzbaren Anwendung nach Art. 6 Abs. 1 lit. b beziehungsweise lit. f DSGVO.
| Name | Zweck | Dauer |
|---|---|---|
| expona_consent | Strukturierte Consent-Auswahl | 180 Tage |
| expona_expose_analytics_consent | Technisches Signal ausschließlich für die interne App-Analyse | 180 Tage |
| refresh_token | Sichere Anmeldung und Erneuerung einer Sitzung; HttpOnly | 7 Tage oder bis zur Abmeldung |
| sidebar_state | Darstellungszustand der Seitennavigation | 7 Tage |
| expona-theme | Gewähltes Farbschema | Bis zur Änderung oder Löschung |
| expona-auth | Lokaler Anmeldestatus und Basisdaten des angemeldeten Benutzers; kein Zugriffstoken | Bis zur Abmeldung oder Löschung |
| umami.disabled | Unterdrückt Analyseaufrufe nach Ablehnung oder Widerruf | Bis zu einer erneuten Einwilligung |
Die Consent-Auswahl gilt auf Expona-Domains auch für zugehörige Subdomains. Auf fremden Objekt-Domains wird sie ausschließlich für den jeweiligen Host gespeichert. Die Einstellungen können jederzeit über „Cookie-Einstellungen“ geändert werden.
5. Einwilligungsbasierte Analyse
In den Cookie-Einstellungen werden Umami auf der Marketingseite, die interne App-Analyse und Umami auf öffentlichen Exposés als einzelne Dienste aufgeführt. Jeder Dienst kann unabhängig erlaubt oder abgelehnt werden. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Eine Ablehnung hat keine Auswirkungen auf die Nutzbarkeit der Website, PDF-Downloads oder Kontaktanfragen.
Auf der Marketing-Website verwenden wir eine von der TheGroupMovement GmbH in Deutschland betriebene Umami-Instanz unter tracking.thegroupmovement.com. Verarbeitet werden können aufgerufene Seiten, Zeitpunkte, Referrer, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache, ungefähres Herkunftsland, Kampagnenparameter und ausgewählte Interaktionen. Umami dient nicht der Erstellung websiteübergreifender Werbeprofile und setzt für die Analyse keine eigenen Cookies. Die Analysedaten werden höchstens 365 Tage gespeichert.
Auf öffentlichen Exposé-Seiten können nach Einwilligung Aufrufe, PDF-Downloads, Referrer sowie Freigabe- und Kampagnenzuordnungen erfasst werden. Zur Erkennung wiederkehrender Aufrufe wird eine gekürzte, tagesbezogene und pseudonyme Sitzungskennung aus IP-Adresse und technischen Anfrageinformationen abgeleitet. Die zugrunde liegende IP-Adresse wird nicht im Analyseereignis gespeichert. Rohereignisse werden standardmäßig höchstens 365 Tage gespeichert; verdichtete Tageswerte können für die Dauer des Kundenvertrags erhalten bleiben.
Zusätzlich kann ein Expona-Kunde für seine Objektseite eine Auswertung über unsere selbst gehostete Umami-Instanz konfigurieren. Verantwortlich ist der auf der Exposé-Seite bezeichnete Anbieter; die TheGroupMovement GmbH verarbeitet die Analysedaten in dessen Auftrag auf Servern in Deutschland. Umami setzt keine Analyse-Cookies. Die Aufbewahrungsdauer wird in den Datenschutzhinweisen des Exposé-Anbieters konkretisiert. Expona lädt das Skript von tracking.thegroupmovement.com erst nach der gesonderten Einwilligung in diesen Dienst. Es werden dabei keine Analysedaten an Umami Software, Inc. übermittelt.
6. Technische Fehlerdiagnose mit Sentry
Soweit konfiguriert, verwenden wir Sentry von Functional Software, Inc. zur serverseitigen Erkennung von Fehlern und Leistungsproblemen. Sentry wird nicht zur Reichweitenmessung eingesetzt und speichert durch diese Einbindung keine eigenen Cookies im Browser. Abfrage- und Formulardaten sowie Authentifizierungs- und Cookie-Header werden vor der Übermittlung entfernt; vollständige URL-Abfragen werden nicht übertragen.
Verarbeitet werden können Fehlerart, Zeitpunkt, betroffene Serverfunktion, technische Laufzeitinformationen und eine gekürzte URL ohne Abfrageparameter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in Sicherheit, Verfügbarkeit und Fehlerfreiheit. Fehlerereignisse werden entsprechend der im Sentry-Konto konfigurierten Aufbewahrung gelöscht, spätestens wenn sie für Fehlerbehebung und Sicherheitsnachweis nicht mehr erforderlich sind.
7. Registrierung, Vertrag und Support
Bei Registrierung und Vertragsdurchführung verarbeiten wir Firmenname, geschäftliche E-Mail-Adresse, das ausschließlich als kryptografischer Hash gespeicherte Passwort, Rollen, Nutzungs- und Abrechnungsdaten sowie Zeitpunkt und Version der bestätigten B2B-Eigenschaft, AGB und des AVV.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartei ist. Bei Beschäftigten und Beauftragten eines Unternehmenskunden ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Durchführung der Geschäftsbeziehung und Zugriffskontrolle. Handels- und steuerrechtlich relevante Vertragsunterlagen werden für die jeweils gesetzlich vorgeschriebene Frist aufbewahrt.
Bei Supportanfragen verarbeiten wir Kontaktdaten, Inhalt, Zeitpunkt und zur Bearbeitung erforderliche technische Informationen. Grundlage ist je nach Inhalt Art. 6 Abs. 1 lit. b oder lit. f DSGVO.
8. Öffentliche Exposé-Seiten und Anfragen
Öffentliche Objektseiten enthalten Inhalte und Kontaktdaten, die der jeweilige Expona-Kunde veröffentlicht. Sendet eine Person eine Anfrage, werden die bewusst eingegebenen Kontaktdaten und die Nachricht gespeichert und an den vom Kunden festgelegten Empfänger übermittelt. Für den E-Mail-Versand verwenden wir Brevo SAS als Auftragsverarbeiter.
Die Anfrage funktioniert ohne Analyse-Einwilligung; dann entsteht kein zusätzlicher Analysedatensatz. Rechtsgrundlage und Speicherdauer der inhaltlichen Anfrage bestimmt das auf der Objektseite bezeichnete Immobilienunternehmen. Expona löscht diese Auftragsdaten nach dessen Weisung oder nach Ende des Auftrags, soweit keine gesetzliche Pflicht entgegensteht.
9. Empfänger und Auftragsverarbeiter
Daten erhalten intern nur Personen, die sie für Betrieb, Support, Vertragsdurchführung oder Sicherheit benötigen. Je nach Verarbeitungszweck setzen wir folgende Empfänger ein:
- Hosting-, Datenbank-, Sicherungs- und Warteschlangendienstleister in der Europäischen Union,
- Cloudflare, Inc. für Objektspeicher und Auslieferung von Medien,
- Brevo SAS für Transaktions-E-Mails,
- Functional Software, Inc. für Sentry-Fehlerdiagnose,
- das vom Expona-Kunden bestimmte Immobilienunternehmen und dessen autorisierte Benutzer sowie
- Behörden, Gerichte und Berater, soweit eine gesetzliche Pflicht oder die Geltendmachung von Rechtsansprüchen dies erfordert.
Dienstleister werden vertraglich nach Art. 28 DSGVO gebunden, soweit sie als Auftragsverarbeiter tätig sind.
10. Drittlandübermittlungen
Bei Cloudflare und Sentry kann eine Verarbeitung in den USA nicht vollständig ausgeschlossen werden. Soweit Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss, insbesondere das EU-U.S. Data Privacy Framework bei zertifizierten Empfängern, oder auf EU-Standardvertragsklauseln und erforderliche ergänzende Maßnahmen. Weitere Informationen zu den konkret verwendeten Garantien stellen wir auf Anfrage bereit.
11. Pflicht zur Bereitstellung und automatisierte Entscheidungen
Für eine Registrierung müssen Firmenname, geschäftliche E-Mail-Adresse, Passwort und die erforderlichen vertraglichen Bestätigungen angegeben werden. Ohne diese Angaben kann kein Konto angelegt werden. In Kontaktformularen als erforderlich markierte Angaben werden benötigt, um die Anfrage zu übermitteln. Analyseangaben sind freiwillig.
Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung und führen kein Profiling im Sinne des Art. 22 DSGVO durch.
12. Rechte betroffener Personen
Im Rahmen der gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Für Auftragsdaten kann eine Anfrage zur schnelleren Zuordnung auch direkt an das auf der Objektseite bezeichnete Immobilienunternehmen gerichtet werden.
Datenschutzanfragen können an media@thegroupmovement.com gerichtet werden. Daneben besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für private Unternehmen in Bayern ist grundsätzlich zuständig:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Website: www.lda.bayern.de
13. Aktualisierung
Wir aktualisieren diese Erklärung, wenn sich Verarbeitungen, Dienstleister oder rechtliche Anforderungen ändern. Wesentliche Änderungen, die registrierte Nutzer betreffen, werden in geeigneter Form mitgeteilt.
Stand: 20. Juli 2026