Datenschutzerklärung

1. Verantwortlicher und Geltungsbereich

Verantwortlicher für die Website MONZURA – Exklusive Immobilienbetreuung ist Tugay Gündüz als natürliche Person.

E-Mail: info@monzura.de

Diese Datenschutzerklärung informiert Sie über die Verarbeitung personenbezogener Daten beim Besuch unserer Website, bei der Nutzung des Angebotskonfigurators und im Rahmen von Kontaktanfragen.

2. Abruf der Website, Hosting und Protokolle

Die Website wird über Replit bereitgestellt. Beim Abruf und für die Absicherung verarbeitet die Hostinginfrastruktur technische Verbindungsdaten. Dazu können insbesondere IP-Adresse, Zeitpunkt, aufgerufene URL, Statuscode, Datenmenge und Browser-/Geräteinformationen gehören. Unser berechtigtes Interesse ist die zuverlässige Bereitstellung, Fehleranalyse und Abwehr von Missbrauch; Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Die eigenen API-Anwendungsprotokolle enthalten Zeitpunkt, technische Anfragekennungen, HTTP-Methode, begrenzte Routenangaben, Status und Verarbeitungsdauer. Formulartexte, rohe IP-Adressen, HTTP-Header und SMTP-Zugangsdaten werden durch die implementierte Anwendungsprotokollierung nicht ausgegeben. Die vorgelagerte Plattformprotokollierung ist davon zu unterscheiden.

Der veröffentlichte Replit-Auftragsverarbeitungsvertrag nennt Replit, Inc., 1001 E Hillsdale Blvd, Foster City, CA 94404, USA. Der DPA vom 1. April 2026 beschreibt seine Einbeziehung in ein Replit Commercial Agreement, die Verarbeitung im Auftrag und Standardvertragsklauseln für einschlägige internationale Übermittlungen. Damit wird nicht behauptet, dass dieser Vertrag für das konkrete Betreiberkonto bereits wirksam einbezogen wurde.

Empfänger können neben dem Hostinganbieter dessen für den tatsächlichen Betrieb eingesetzte Infrastruktur- und Unterauftragsverarbeiter sein. Eine ausschließliche Verarbeitung in Deutschland oder der EU wird nicht zugesagt. Für etwaige Drittlandübermittlungen sind die im konkreten Vertragsverhältnis geltenden Voraussetzungen und Garantien nach Art. 44 ff. DSGVO maßgeblich. Die konkrete Hostingregion und Vertragsgrundlage sind in Abschnitt 8 als ausstehende Betreiberangaben benannt.

Anbieterinformationen: Replit-DPA und Replit-Unterauftragsverarbeiter. Die Liste belegt nicht, dass sämtliche dort genannten Dienste in MONZURA eingesetzt werden. Externe Informationsseiten werden erst beim Anklicken kontaktiert.

Für Deployment-Protokolle nennt die Replit-Dokumentation eine Aufbewahrung von 30 Tagen. Das ist keine bestätigte Frist für alle Infrastruktur-, Sicherheits- oder Backupdaten des konkreten Kontos. Soweit keine konkrete Frist feststeht, ist die Erforderlichkeit für den jeweiligen Bereitstellungs-, Sicherheits- oder Fehleranalysezweck maßgeblich; die tatsächlichen Anbieterfristen sind noch zu bestätigen.

3. Angebotskonfigurator, Anfrageformular und E-Mail-Kontakt

Über die freiwillige Option „Ich wünsche einen telefonischen Rückruf“ können Sie um eine telefonische Rückmeldung bitten. Nur in diesem Fall ist eine Telefonnummer erforderlich und wird zusätzlich mit Ihrer Anfrage übermittelt. Wir verarbeiten sie zur Bearbeitung Ihres Rückrufwunsches; ohne gewählte Rückrufoption wird keine Telefonnummer benötigt.

Das Formular enthält Name, E-Mail-Adresse, Objekt-PLZ und Ort, gewünschte Kontrollfrequenz, Kontrollumfang und Objektgröße sowie ein optionales Nachrichtenfeld. Diese Angaben dienen der Bearbeitung Ihrer unverbindlichen Angebotsanfrage und der Prüfung der regionalen Verfügbarkeit. Die Verwendung des Formulars ist freiwillig. Ohne die erforderlichen Angaben kann eine Formularanfrage nicht übermittelt werden; alternativ ist eine direkte E-Mail möglich.

Übermittlung Ihrer Anfrage: Nach Auswahl von „Individuelles Angebot anfordern“ werden die Angaben über HTTPS an den MONZURA-API-Server übermittelt, dort validiert und über eine verschlüsselte SMTP-Verbindung an info@monzura.de weitergeleitet. Hierfür wird das vorhandene INWX-Postfach verwendet, nicht Resend. Die eingegebene E-Mail-Adresse wird als Antwortadresse gesetzt; Absender und Empfänger bleiben MONZURA. Eine SMTP-Annahmebestätigung ist kein Nachweis des Postfacheingangs.

Die Anwendung legt Nachrichteninhalte nicht in einer eigenen Anfragedatenbank, in Cookies oder in localStorage/sessionStorage ab. Für die Verarbeitung und den Versand befinden sie sich vorübergehend im Browser- und Server-Arbeitsspeicher; die E-Mail selbst wird im Mail-System verarbeitet und gespeichert. Browser-Autovervollständigung, Tab-Wiederherstellung sowie Plattformfunktionen sind davon zu unterscheiden.

Zur Begrenzung von Missbrauch und doppeltem Versand führt der API-Server pseudonymisierte Schutzdaten im Arbeitsspeicher: einen mit zufälligem Schlüssel je Serverlauf gebildeten Hash der Verbindungs-IP, Zähler, eine zufällige Anfragekennung, einen Hash der Anfrage und den Annahmestatus. Die Verbindungs-IP kann die eines vorgeschalteten Proxys sein. Die Schutzdaten haben ein Zehn-Minuten-Zeitfenster; ein minütlicher Bereinigungslauf entfernt abgelaufene Einträge. Bei Prozessende geht dieser flüchtige Zustand verloren. Dies ist keine Löschfrist für E-Mails oder Plattformlogs und keine Zusicherung vollständiger Anonymität. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO mit dem berechtigten Interesse am sicheren Formularbetrieb.

Über „Angaben als TXT sichern“ erzeugt Ihr Browser auf Ihren ausdrücklichen Wunsch eine lokale Textdatei mit Ihren Angaben. Dieser Download versendet nichts und ist kein Zustellnachweis. Sie bestimmen deren Aufbewahrung und Weitergabe selbst; die Website löscht diese heruntergeladene Datei nicht. Der Browser kann Formularzustände wiederherstellen. Ohne eigene Sicherung bleiben die Eingaben nicht dauerhaft in der Anwendung erhalten.

„Formulareingaben zurücksetzen“ leert die angezeigten Felder und den zugehörigen Zustand der Anwendung. Es löscht keine E-Mails, Downloads, Browser-Autovervollständigung oder Plattformprotokolle und ist keine Garantie einer vollständigen Löschung aller Browser-/Systemspuren.

Ein Klick auf einen E-Mail-Link öffnet gegebenenfalls Ihr E-Mail-Programm; eine direkte Nachricht wird erst durch Ihren Versand aus diesem Programm übermittelt. Bei direkten E-Mails verarbeiten wir Ihre E-Mail-Adresse, gegebenenfalls Ihren Namen, Nachrichteninhalte, beigefügte Dateien und technische Nachrichteninformationen zur Bearbeitung Ihres Anliegens. Empfänger sind der Betreiber und die für Hosting beziehungsweise Mailbetrieb eingesetzten Dienstleister, insbesondere INWX für das bestehende Postfach.

Der Mailversand verwendet das bestehende INWX-Postfach. Die INWX-Anbieterinformation nennt INWX GmbH, Prinzessinnenstr. 30, 10969 Berlin. Auf das MONZURA-Postfach hat ausschließlich der Betreiber Tugay Gündüz Zugriff. Davon zu unterscheiden ist die technische Verarbeitung durch die für den Mailbetrieb eingesetzten Dienstleister. Die genaue vertragliche Rolle, etwaige Unterauftragnehmer, Verarbeitungsorte, Drittlandübermittlungen und Fristen des konkreten Postfachs müssen anhand der Kontounterlagen bestätigt werden; die Datenschutzangaben der INWX-eigenen Website werden nicht pauschal auf MONZURA übertragen.

Der Versand erfolgt über authentifiziertes SMTP mit verpflichtender Transportverschlüsselung und Prüfung des Serverzertifikats. Transportverschlüsselung ist keine Ende-zu-Ende-Verschlüsselung.

Soweit Ihre Anfrage vorvertragliche Maßnahmen für einen Vertrag mit Ihnen betrifft, ist Art. 6 Abs. 1 Buchst. b DSGVO die Rechtsgrundlage. Andere Anliegen und geschäftliche Ansprechpartner bearbeiten wir auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse ist die zweckbezogene Beantwortung und Abstimmung. Bei bestehenden gesetzlichen Pflichten kann Art. 6 Abs. 1 Buchst. c DSGVO einschlägig sein. Werbung oder Newsletter werden nicht mit einer Anfrage verbunden.

Bitte keine Schlüssel- oder Zugangscodes, Ausweiskopien, besonderen Kategorien personenbezogener Daten oder Angaben unbeteiligter Dritter in das Formular eintragen.

4. Cookies, Endgerätespeicherung und Tracking

In den tatsächlich eingebundenen MONZURA-Seiten sind keine Marketing-Pixel, Werbenetzwerke, Reichweitenmessungs-Skripte oder Nutzeranalyse-Ereignisse implementiert. Es werden keine anwendungseigenen Tracking-Cookies gesetzt. Nicht notwendige Analyse- und Werbedienste bleiben deaktiviert. Die Navigation und Formulare verwenden flüchtigen Anwendungszustand; den echten Formularversand, den lokalen Download und den serverseitigen Missbrauchsschutz beschreibt Abschnitt 3.

Die Hostingplattform kann zusätzliche plattformeigene Sicherheits- und Sitzungsfunktionen bereitstellen. Eine pauschale Zusage über Cookie- oder Trackingfreiheit der gesamten Infrastruktur wird nicht getroffen. Tatsächlich gesetzte Plattformcookies müssen für die konkrete Veröffentlichungsumgebung gesondert zugeordnet werden; Beobachtungen an einer Entwicklungsadresse belegen nicht den Cookie-Einsatz der Live-Domain.

Für unbedingt erforderliche Endgerätezugriffe gilt die Ausnahme nach § 25 Abs. 2 TDDDG, soweit ihre Voraussetzungen vorliegen. Nicht notwendige Zugriffe und eine hierauf gestützte personenbezogene Verarbeitung erfordern grundsätzlich eine vorherige Einwilligung nach § 25 Abs. 1 TDDDG beziehungsweise Art. 6 Abs. 1 Buchst. a DSGVO. Solche Analyse- oder Werbedienste sind nicht aktiviert; ein vorsorglicher Banner ohne entsprechenden Dienst wird nicht eingesetzt.

5. Schriftarten, Bilder und sonstige Dienste

Die Schriften Cormorant Garamond und Manrope werden als lokale Dateien über dieselbe Website ausgeliefert. Für die Schriftanzeige sind weder ein Aufruf von Google Fonts/Google-Servern noch ein externer Schrift-CDN vorgesehen. Die bloße frühere Herkunft der Schriftdateien führt beim Seitenaufruf nicht zu einer Verbindung zu Google.

Logo und illustrative Bilder sind ebenfalls lokal eingebunden. Karten, Videoplayer, Social-Media-Einbettungen, Zahlungsdienste, Konten-Anmeldung, Newsletter-Dienste und externe CAPTCHA-Dienste sind derzeit nicht eingebunden. Beim Anklicken externer Informationslinks findet ein Abruf beim jeweiligen Anbieter statt.

Für die Auslieferung lokaler Dateien gilt die Verarbeitung technischer Verbindungsdaten gemäß Abschnitt 2. Plattformseitige Infrastrukturverarbeitung ist davon nicht ausgeschlossen.

6. Sicherheit und Speicherdauer

Die Website und das Anfrageformular verwenden HTTPS. Zugriffsberechtigungen und technische Schutzmaßnahmen dienen dem Schutz personenbezogener Daten; eine lückenlose Sicherheit wird nicht zugesichert.

Die API begrenzt JSON-Nutzlasten auf 16 KiB und prüft Eingaben, die konfigurierte HTTPS-Herkunft sowie ein Spam-Schutzfeld. Absender und Empfänger können nicht vom Besucher geändert werden. Die Mengen- und Wiederholungsbegrenzung arbeitet nur je Serverprozess; sie ersetzt keinen serverübergreifenden Missbrauchsschutz. Anwendungsprotokolle enthalten technische Kennungen, fest begrenzte Routen und Statuswerte, nicht die Formulartexte oder SMTP-Zugangsdaten. Plattformseitige Protokollierung ist hiervon zu unterscheiden.

Referrer-Weitergabe und Kamera-, Mikrofon- und Standortzugriffe sind durch Antwortheader eingeschränkt; zusätzliche Sicherheitsheader verhindern eingebettete Plugin-Objekte und begrenzen Formularziele.

Anfragebezogene Daten werden nur aufbewahrt, solange dies zur Bearbeitung, für eine fortbestehende Vertragsanbahnung, zur Erfüllung tatsächlich anwendbarer Aufbewahrungspflichten oder zur erforderlichen Rechtsverteidigung notwendig ist. Nach Wegfall der Zwecke sind sie zu löschen. Gesetzliche Pflichten und begründete Ausnahmen müssen für den jeweiligen Vorgang bestimmt werden; es gilt keine pauschale Aufbewahrungsfrist für sämtliche Kontaktangaben.

Anfragen ohne Auftrag prüfen wir regelmäßig und löschen sie grundsätzlich spätestens sechs Monate nach dem letzten inhaltlichen Kontakt, soweit keine gesetzlichen Aufbewahrungspflichten, die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder sonstige dokumentierte berechtigte Gründe entgegenstehen. Verantwortlich für diesen manuellen Prozess ist der Betreiber Tugay Gündüz. Eine automatische Postfachlöschung durch die Website findet nicht statt.

Die Website löscht keine Postfachinhalte, Papierkörbe, lokalen Mailkopien, Weiterleitungen oder Anbieter-Backups automatisch. Diese Speicherorte sind in die manuelle Pflege und die jeweiligen Anbieterfristen einzubeziehen. Lokale Anfrage-Downloads verwalten die Nutzer selbst. Die Anwendung hat keine eigene dauerhafte Formulardatenbank; kurzlebige Schutzdaten, Plattformlogs und E-Mails haben unterschiedliche Zwecke und Fristen.

7. Ihre Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Soweit eine Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Widerspruch: Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 Buchst. e oder f DSGVO können Sie aus Gründen Ihrer besonderen Situation nach Art. 21 DSGVO Widerspruch einlegen. Gegen eine Verarbeitung für Direktwerbung besteht das Widerspruchsrecht ohne Begründung; die Website verwendet keine Direktwerbungsfunktionen.

Zur Ausübung Ihrer Rechte wenden Sie sich an Tugay Gündüz unter der oben angegebenen Anschrift oder per E-Mail an info@monzura.de.

Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für nichtöffentliche Stellen mit Hauptniederlassung in Bayern ist grundsätzlich das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) zuständig. Aktuelle Kontaktdaten und Beschwerdemöglichkeiten finden Sie unter www.lda.bayern.de.

Die Anwendung trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung und erstellt keine Kundenprofile. Die Paketauswahl dient der Vorbereitung einer unverbindlichen Anfrage; ihre Übermittlung begründet keinen automatischen Vertragsabschluss.

8. Noch zu bestätigende kontobezogene Anbieterangaben

Die beschriebenen Funktionen sowie der vom Betreiber übernommene manuelle Löschprozess sind von den folgenden noch zu verifizierenden Kontovertrags- und Anbieterangaben zu unterscheiden. Diese lassen sich nicht aus dem Anwendungscode ableiten und werden nicht als bereits geklärt ausgegeben:

• Noch vom Betreiber zu bestätigen: für das Replit-Konto geltender Vertragspartner, wirksame DPA-/AVV-Einbeziehung, Hostingregion, tatsächliche Unterauftragnehmer, Transfergrundlagen sowie Infrastruktur-/Sicherheitslogfristen.
• Noch vom Betreiber zu bestätigen: für das INWX-Postfach geltender Vertragspartner und Datenschutzrollen, AVV soweit einschlägig, Verarbeitungsorte, Weiterleitungen/Archivierung sowie Mail-, Papierkorb- und Backupfristen.