Jetzt anfragen

Datenschutz

Stand: 30. September 2026

1. Wer für deine Daten verantwortlich ist

Verantwortlich für die Verarbeitung deiner personenbezogenen Daten auf dieser Website ist:

One Haven GmbH
Widenmayerstrasse 34
80538 München
E-Mail: kontakt@onehaven.de
Telefon: +49 173 3129106

Wir haben keinen Datenschutzbeauftragten benannt. Die Voraussetzungen des Artikels 37 DSGVO und des Paragrafen 38 BDSG liegen bei uns nicht vor. Bei allen Fragen zum Datenschutz erreichst du uns unter der oben genannten Adresse.

2. Überblick: was wir womit verarbeiten

Damit du nicht den ganzen Text lesen musst, hier zuerst die Kurzfassung. Jeder Punkt wird unten ausführlich erklärt.

  • Beim Aufruf der Website entstehen Serverlogs auf unserem Server in Deutschland.
  • Wenn du eine Anfrage stellst, verarbeiten wir deine Kontaktdaten und deine Wohnwünsche.
  • Wenn du dich auf ein Apartment bewirbst, verarbeiten wir deine Unterlagen inklusive Einkommensnachweisen.
  • Vor einer Zusage prüfen wir deine Bonität über die Creditreform.
  • Wenn du eine Besichtigung buchst, verarbeiten wir deinen Termin.
  • Wenn es zum Vertrag kommt, unterschreibst du über unser eigenes Signaturserver.
  • Unsere E-Mails an dich laufen über Google Workspace.
  • Wenn du uns über WhatsApp schreibst, verarbeitet Meta diese Nachricht mit.
  • Reichweitenmessung und Werbetracking sind derzeit abgeschaltet. Sie starten erst, wenn du einwilligst.

3. Auslieferung der Website und Serverlogs

Zweck. Wir müssen die Website technisch ausliefern und ihren Betrieb absichern. Dazu gehört die Abwehr von Angriffen und die Fehlersuche.

Datenarten. Bei jedem Aufruf speichert unser Webserver automatisch: deine IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Adresse, den Übertragungsstatus, die übertragene Datenmenge, die zuvor besuchte Seite sowie Browser- und Betriebssystemkennung.

Rechtsgrundlage. Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse ist der technisch fehlerfreie und sichere Betrieb dieser Website.

Empfänger. Unser Hosting-Dienstleister betreibt den Server in Deutschland und ist unser Auftragsverarbeiter. Die Website selbst ist statisch aufgebaut. Beim Seitenaufruf werden keine fremden Skripte, Schriftarten oder Kartendienste von Servern Dritter nachgeladen. Alle Schriften liegen lokal auf unserem Server. Die einzige Ausnahme ist die Karte auf den Hausseiten, und nur, wenn du sie selbst lädst (siehe unten, Karten nur nach Klick).

Speicherdauer. Die Logdateien unseres Webservers werden täglich gewechselt und nach 52 Tagen gelöscht. Darüber hinaus werten wir nur Daten aus, die dir nicht mehr zugeordnet werden können.

Drittlandübermittlung. Findet nicht statt.

Karten nur nach Klick. Auf den Seiten unserer Häuser steht zunächst nur ein Platzhalter. Erst wenn du auf „Karte laden“ klickst, lädt dein Browser eine Karte von OpenStreetMap nach, betrieben von der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Dabei erhält die Foundation deine IP-Adresse und die üblichen technischen Angaben deines Browsers. Rechtsgrundlage ist deine Einwilligung durch den Klick (Artikel 6 Absatz 1 Buchstabe a DSGVO). Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission. Ohne Klick fließen keine Daten dorthin; über den Link „In Google Maps öffnen“ verlässt du unsere Website.

4. Deine Anfrage über das Anfrageformular

Zweck. Du sagst uns, in welchem Haus du wohnen möchtest. Wir prüfen die Verfügbarkeit, melden uns bei dir und bereiten ein mögliches Mietverhältnis vor.

Datenarten. Pflichtangaben sind dein Name, deine E-Mail-Adresse und das Apartment, das du anfragst. Freiwillig sind deine Telefonnummer, dein Einzugswunsch, die geplante Mietdauer, deine Nachricht an uns und ein Firmencode, falls dein Arbeitgeber mit uns zusammenarbeitet.

Technisch führen wir außerdem mit: aus welcher Kampagne oder Verlinkung dein Klick stammt (sogenannte UTM-Parameter), ein für dich unsichtbares Zusatzfeld sowie die Zeitspanne zwischen dem Öffnen und dem Absenden des Formulars. Die letzten beiden Angaben nutzen wir ausschließlich, um automatisierten Spam zu erkennen.

Rechtsgrundlage. Artikel 6 Absatz 1 Buchstabe b DSGVO, weil die Verarbeitung auf deine Anfrage hin zur Vorbereitung eines Vertrags erfolgt. Für die Spam-Abwehr stützen wir uns auf Artikel 6 Absatz 1 Buchstabe f DSGVO, unser berechtigtes Interesse ist der Schutz vor missbräuchlichen Einsendungen.

Empfänger. Deine Anfrage wird in unserem eigenen Anwendungsserver verarbeitet, der auf demselben Server in Deutschland läuft. Außer unserem Hosting-Dienstleister erhält niemand Zugriff.

Speicherdauer. Kommt kein Mietverhältnis zustande, löschen wir deine Anfrage sechs Monate nach dem letzten Kontakt. Die Frist ergibt sich aus der zweimonatigen Geltendmachungsfrist nach Paragraf 21 Absatz 5 AGG zuzüglich eines Zeitraums für die Zustellung und Prüfung möglicher Ansprüche. Kommt ein Mietverhältnis zustande, gelten die Fristen aus Abschnitt 8.

Drittlandübermittlung. Findet nicht statt. Unsere Antwort an dich versenden wir allerdings per E-Mail, dazu Abschnitt 9.

5. Deine Bewerbungsunterlagen

Zweck. Wenn deine Anfrage in die engere Wahl kommt, schicken wir dir einen persönlichen Link, über den du deine Unterlagen hochlädst. Wir prüfen damit, ob wir dir das Apartment anbieten können.

Datenarten. Je nach Haus und Vorgang sind das deine Selbstauskunft und Einkommensnachweise, etwa Gehaltsabrechnungen, Arbeitsvertrag oder Steuerbescheid. Es handelt sich um sensible wirtschaftliche Angaben über dich. Besondere Kategorien personenbezogener Daten im Sinne des Artikels 9 DSGVO fordern wir nicht an. Bitte schwärze Angaben, die für die Prüfung nicht nötig sind, etwa Konfession oder Gesundheitsdaten auf einer Gehaltsabrechnung.

Wie wir die Unterlagen schützen. Der Upload-Link gilt nur für deinen Vorgang und ist nicht erratbar. Wir schalten ihn je Haus gezielt frei. Deine Dateien liegen außerhalb des öffentlich erreichbaren Bereichs unseres Servers, sie sind also nicht über eine Webadresse abrufbar.

Rechtsgrundlage. Artikel 6 Absatz 1 Buchstabe b DSGVO, vorvertragliche Maßnahme auf deine Anfrage hin.

Empfänger. Die Unterlagen sehen die zuständigen Mitarbeitenden von OneHaven und die Hausverwaltung des jeweiligen Hauses. Die Hausverwaltung handelt für den Eigentümer, der als Vermieter den Mietvertrag mit dir schließt. Sie erhält nur die Unterlagen, die sie für den Abschluss und die Verwaltung des Mietverhältnisses braucht, und verarbeitet sie in eigener Verantwortung.

Speicherdauer. Sagen wir dir ab, löschen wir deine Unterlagen drei Monate nach der Absage. Die Frist deckt die Geltendmachungsfrist nach Paragraf 21 Absatz 5 AGG ab. Auf deinen Wunsch löschen wir früher. Kommt ein Mietvertrag zustande, gelten die Fristen aus Abschnitt 8.

Drittlandübermittlung. Findet nicht statt.

6. Bonitätsprüfung über die Creditreform

Zweck. Bevor wir dir ein Apartment zusagen, holen wir eine Auskunft über deine Zahlungsfähigkeit ein. Wir wollen wissen, ob die Miete dauerhaft getragen werden kann.

Datenarten. Wir übermitteln Anrede, Vor- und Nachname und deine vollständige Anschrift. Zurück erhalten wir eine Einschätzung deiner Zahlungsfähigkeit.

Empfänger. Verband der Vereine Creditreform e. V. beziehungsweise die für uns zuständige Creditreform-Gesellschaft. Wie Creditreform selbst mit deinen Daten umgeht, beschreibt Creditreform in den eigenen Datenschutzinformationen nach Artikel 14 DSGVO auf creditreform.de.

Rechtsgrundlage. Artikel 6 Absatz 1 Buchstabe b DSGVO. Die Auskunft gehört zur Anbahnung des Mietvertrags, um die du dich mit deiner Bewerbung bewirbst. Wir holen sie erst ein, wenn du deine Bewerbung abgeschickt hast, und nur für das Apartment, für das du dich bewirbst.

Keine automatische Entscheidung. Über deine Bewerbung entscheidet immer ein Mensch. Das Ergebnis der Bonitätsprüfung ist ein Baustein, nicht das Urteil. Die Freigabe erteilt die Hausverwaltung. Eine ausschließlich automatisierte Entscheidung im Sinne des Artikels 22 DSGVO findet nicht statt.

Speicherdauer. Sagen wir dir ab, löschen wir die Auskunft drei Monate nach der Absage. Kommt ein Mietvertrag zustande, behalten wir nur das Prüfergebnis in der Mietakte, nicht den vollständigen Auskunftsdatensatz.

Drittlandübermittlung. Findet nicht statt.

7. Besichtigungstermine

Zweck. Du buchst deinen Besichtigungstermin selbst über einen Link und kannst ihn über einen eigenen Link wieder absagen.

Datenarten. Dein Name, deine Kontaktdaten, das ausgewählte Haus und der gewählte Termin.

Rechtsgrundlage. Artikel 6 Absatz 1 Buchstabe b DSGVO.

Empfänger. Die Terminverwaltung läuft in unserem eigenen Anwendungsserver. Den Termin erfährt zusätzlich die Person, die die Besichtigung durchführt.

Speicherdauer. Sechs Monate nach dem Termin, sofern kein Mietverhältnis entsteht. Damit gilt dieselbe Frist wie für deine Anfrage.

Drittlandübermittlung. Findet nicht statt.

8. Mietvertrag und elektronische Unterschrift

Zweck. Wenn es zum Vertrag kommt, unterschreibst du elektronisch.

Wo das läuft. Wir betreiben die Signatursoftware selbst auf unserem eigenen Server in Deutschland. Deine Vertragsdaten verlassen diesen Server nicht. Es ist kein externer Signaturdienstleister eingebunden.

Datenarten. Alle Angaben des Mietvertrags, darunter Name, Anschrift, Geburtsdatum, Beruf, Miethöhe und Kaution, bei mehreren Mietparteien für bis zu vier Personen. Dazu kommen die Protokolldaten der Unterschrift, also Zeitpunkt und technischer Nachweis.

Rechtsgrundlage. Artikel 6 Absatz 1 Buchstabe b DSGVO für die Durchführung des Mietvertrags. Für die Aufbewahrung nach Ablauf zusätzlich Artikel 6 Absatz 1 Buchstabe c DSGVO, weil uns steuer- und handelsrechtliche Aufbewahrungspflichten treffen.

Speicherdauer. Mietvertragsunterlagen bewahren wir bis drei Jahre nach Ende des Mietverhältnisses auf, gerechnet ab dem Ende des Jahres, in dem das Mietverhältnis endet. Das entspricht der regelmäßigen Verjährungsfrist nach den Paragrafen 195 und 199 BGB. Unterlagen, die steuer- oder handelsrechtlich aufbewahrungspflichtig sind, halten wir zehn Jahre vor, nach Paragraf 147 AO und Paragraf 257 HGB. Die Signaturprotokolle folgen der Frist des jeweiligen Vertrags.

Drittlandübermittlung. Findet nicht statt.

9. E-Mails von uns an dich

Zweck. Wir antworten auf deine Anfrage, schicken dir Terminbestätigungen, Unterlagen und Vertragsdokumente per E-Mail.

Empfänger. Unser E-Mail-Versand läuft über Google Workspace, betrieben von der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet die Inhalte und Metadaten unserer E-Mails in unserem Auftrag.

Rechtsgrundlage. Artikel 6 Absatz 1 Buchstabe b DSGVO, soweit die E-Mail der Anbahnung oder Durchführung deines Mietvertrags dient. Im Übrigen Artikel 6 Absatz 1 Buchstabe f DSGVO, unser berechtigtes Interesse ist eine funktionierende und gesicherte geschäftliche Kommunikation.

Drittlandübermittlung. Google kann Daten auch in den Vereinigten Staaten verarbeiten. Die Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, außerdem setzt Google die Standardvertragsklauseln der EU-Kommission ein. Trotz dieser Garantien besteht bei einer Verarbeitung in den USA das Risiko, dass dortige Behörden auf Daten zugreifen, ohne dass dir dagegen ein wirksamer Rechtsbehelf offensteht.

Auftragsverarbeitung. Mit Google besteht ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO (Google Workspace Data Processing Addendum). Google verarbeitet die E-Mails nur in unserem Auftrag und nach unseren Weisungen.

Speicherdauer. E-Mails zum Mietverhältnis folgen den Fristen aus Abschnitt 8. E-Mails zu Anfragen ohne Vertragsabschluss löschen wir nach sechs Monaten.

10. WhatsApp

Zweck. Für jedes Haus gibt es eine eigene WhatsApp-Nummer. Du kannst uns darüber schreiben, statt anzurufen oder eine E-Mail zu schicken.

Wichtig vorab. WhatsApp ist ein Dienst der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Wenn du uns über WhatsApp schreibst, erfährt Meta, dass und wann du mit uns Kontakt hast, mit welcher Rufnummer und über welches Gerät. Die Inhalte deiner Nachrichten sind Ende zu Ende verschlüsselt, die Verbindungsdaten darüber sind es nicht. Wir haben auf diese Verarbeitung durch Meta nur begrenzten Einfluss.

Wir nutzen sowohl die WhatsApp Business App als auch die WhatsApp Business Cloud API. Bei der Cloud API werden deine Nachrichten zusätzlich auf Servern von Meta verarbeitet, bevor sie bei uns ankommen. Bei der Business App kann außerdem das Adressbuch des jeweiligen Diensttelefons betroffen sein.

Wenn du das nicht möchtest. Schreib uns stattdessen eine E-Mail an kontakt@onehaven.de oder ruf uns an. Über beide Wege erreichst du uns genauso, und Meta ist dann nicht beteiligt.

Datenarten. Deine Rufnummer, dein Profilname, der Inhalt deiner Nachrichten sowie Zeitpunkt und Status der Zustellung.

Rechtsgrundlage. Artikel 6 Absatz 1 Buchstabe b DSGVO, soweit der Austausch der Anbahnung oder Durchführung deines Vertrags dient. Im Übrigen Artikel 6 Absatz 1 Buchstabe f DSGVO, unser berechtigtes Interesse ist ein schneller und für dich bequemer Kommunikationsweg. Indem du uns über WhatsApp anschreibst, entscheidest du dich bewusst für diesen Kanal.

Drittlandübermittlung. Meta kann Daten in den Vereinigten Staaten verarbeiten. Die Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. Es bleibt das in Abschnitt 9 beschriebene Restrisiko eines behördlichen Zugriffs.

Rolle von Meta. Für die WhatsApp Business Cloud API verarbeitet Meta deine Nachrichten als Auftragsverarbeiter nach Artikel 28 DSGVO auf Grundlage der Datenverarbeitungsbedingungen für WhatsApp Business. Schreibst du uns über die WhatsApp Business App, verarbeitet Meta die Verbindungs- und Nutzungsdaten deines Kontos in eigener Verantwortung nach den Nutzungsbedingungen und der Datenschutzrichtlinie von WhatsApp, die du mit WhatsApp vereinbart hast.

Speicherdauer. Chatverläufe zu Anfragen ohne Vertragsabschluss löschen wir nach sechs Monaten. Verläufe zu einem bestehenden Mietverhältnis folgen den Fristen aus Abschnitt 8.

11. Reichweitenmessung und Werbetracking

Heutiger Zustand. Auf dieser Website läuft derzeit kein Tracking. Wir setzen keine Marketing-Cookies, messen keine Reichweite und binden keine Werbedienste ein. Es gibt auch keine Social-Media-Plugins und keine Schriftarten von fremden Servern. Kartendienste laden nur, wenn du selbst auf „Karte laden“ klickst (Abschnitt 3).

Was passiert, wenn wir das einschalten. Wir bereiten eine Reichweitenmessung über den Google Tag Manager vor. Der Google Tag Manager selbst ist ein Werkzeug zur Verwaltung, er wertet für sich genommen nichts aus, sondern startet die unten aufgeführten Dienste. Nichts davon startet ohne deine Einwilligung. Wir werden dich vorher über ein Einwilligungsbanner fragen. Wenn du ablehnst, bleibt alles aus.

Rechtsgrundlage nach der Aktivierung. Für das Speichern von Informationen auf deinem Endgerät und den Zugriff darauf Paragraf 25 Absatz 1 TDDDG, für die anschließende Verarbeitung deiner Daten Artikel 6 Absatz 1 Buchstabe a DSGVO. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass dir daraus Nachteile entstehen.

Dienste, die dann zum Einsatz kommen können.

Nachgesehen am 18.09.2026 im Container GTM-PNMCZ4LP („onehaven.de relaunch 2026"): eingerichtet sind genau zwei Dienste, beide von Google. Kein Meta-Pixel, kein LinkedIn, kein Microsoft Advertising, kein Hotjar und kein Clarity. Die Liste unten ist deshalb kurz, und sie ist vollständig.

  • Google Analytics 4 (Mess-ID G-S8S4TFFP5S). Reichweitenmessung. Anbieter Google Ireland Limited. Verarbeitet werden gekürzte IP-Adresse, Geräte- und Browserangaben, besuchte Seiten, Verweildauer und ausgelöste Ereignisse. Speicherdauer der Cookies bis zu 24 Monate, Speicherdauer der Auswertungen 14 Monate. Drittlandübermittlung in die USA möglich, siehe Abschnitt 9.
  • Google Ads Conversion Tracking (Conversion-ID AW-17040232852). Misst, ob eine Anfrage auf eine Anzeige zurückgeht. Anbieter Google Ireland Limited. Verarbeitet werden Klick-Kennung, Zeitpunkt und die Tatsache eines Abschlusses. Erfasst werden im Moment: Klick auf eine E-Mail-Adresse, Klick auf eine Telefonnummer, Klick auf WhatsApp sowie abgeschlossene Formulare. Drittlandübermittlung in die USA möglich.
  • Google Consent Mode v2. Übermittelt deine Einwilligungsentscheidung an die beiden oben genannten Dienste, damit diese sich danach richten. Selbst kein eigenständiger Auswertungsdienst.

Der Google Tag Manager selbst verwaltet nur, er wertet nichts aus. Er startet ausschließlich die drei oben genannten Bausteine, und keinen davon ohne deine Einwilligung.

Einwilligungsverwaltung. Das Einwilligungsbanner ist unsere eigene Entwicklung und läuft vollständig in deinem Browser. Es ist kein Dienst eines Drittanbieters eingebunden, es werden dafür keine Daten an uns oder an Dritte übertragen. Deine Entscheidung wird als Eintrag im lokalen Speicher deines Browsers abgelegt und nach 180 Tagen erneut abgefragt. Du kannst sie jederzeit über den Punkt „Cookie-Einstellungen" im Seitenfuß ändern oder widerrufen.

12. Was wir nicht tun

Wir betreiben keinen Newsletter. Wir setzen keine Cookies zu Werbezwecken, solange du nicht eingewilligt hast. Wir verkaufen deine Daten nicht und geben sie nicht an Dritte weiter, außer an die in dieser Erklärung genannten Stellen oder wenn wir gesetzlich dazu verpflichtet sind.

13. Deine Rechte

Du hast uns gegenüber die folgenden Rechte. Eine kurze Nachricht an kontakt@onehaven.de genügt, ein Formular brauchst du nicht.

  • Auskunft, Artikel 15 DSGVO. Du kannst erfahren, welche Daten wir über dich verarbeiten, zu welchem Zweck, wie lange und wer sie erhält. Auf Wunsch bekommst du eine Kopie.
  • Berichtigung, Artikel 16 DSGVO. Ist etwas falsch oder unvollständig, korrigieren wir es.
  • Löschung, Artikel 17 DSGVO. Wir löschen deine Daten, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht.
  • Einschränkung, Artikel 18 DSGVO. Statt zu löschen, können wir die Verarbeitung auch nur einfrieren, etwa solange die Richtigkeit einer Angabe geklärt wird.
  • Datenübertragbarkeit, Artikel 20 DSGVO. Daten, die du uns auf Grundlage einer Einwilligung oder eines Vertrags gegeben hast, erhältst du in einem gängigen maschinenlesbaren Format oder wir übermitteln sie direkt an eine andere Stelle.
  • Widerspruch, Artikel 21 DSGVO. Gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen, kannst du aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Wir stellen die Verarbeitung dann ein, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen.
  • Widerruf einer Einwilligung, Artikel 7 Absatz 3 DSGVO. Hast du eingewilligt, kannst du das jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

14. Beschwerde bei der Aufsichtsbehörde

Du kannst dich jederzeit bei einer Datenschutz-Aufsichtsbehörde beschweren, ohne dich vorher an uns zu wenden. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 27
91522 Ansbach

Du kannst dich auch an die Aufsichtsbehörde deines Wohnorts oder deines Arbeitsplatzes wenden.

15. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern, etwa wenn wir die Reichweitenmessung einschalten oder neue Funktionen einführen. Es gilt immer die Fassung, die du hier abrufen kannst. Das Datum der aktuellen Fassung steht am Anfang der Seite.