Datenschutz.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist: CYPRUS EXPATS LTD, Filias 9, Acropaphos, Flat/Office 163, Chlorakas, 8220 Paphos, Zypern / Cyprus. E-Mail: hello (at) cyprus-expats.com

Wir haben keinen Datenschutzbeauftragten benannt; eine gesetzliche Pflicht hierzu (Art. 37 DSGVO) besteht für uns nicht. Datenschutzanfragen bearbeiten wir direkt über die oben genannte Adresse.

2. Hosting

Unsere Plattform wird bei DigitalOcean in einem Rechenzentrum in Frankfurt am Main (EU) betrieben. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO). Beim Aufruf der Seiten werden serverseitig technische Zugriffsdaten (IP-Adresse, Datum/Uhrzeit, abgerufene Ressource, User-Agent) zur Auslieferung und Absicherung verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Server-Logs werden in der Regel nach 30 Tagen gelöscht.

Zur Absicherung des Betriebs protokollieren wir Fehler serverseitig an Sentry (Functional Software, Inc., USA); Anfrage-Inhalte (Request-Bodies) werden dabei nie übertragen. Rechtsgrundlage: berechtigtes Interesse an einem stabilen, sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Das zusätzliche Fehler-Monitoring in deinem Browser bleibt einwilligungspflichtig (siehe Punkt 14).

3. Konto & Authentifizierung

Wenn du ein Konto anlegst, verarbeiten wir deine E-Mail-Adresse, deinen Namen und ein verschlüsselt gespeichertes Passwort. Die Anmeldung erfolgt über ein sicheres, technisch notwendiges Session-Cookie. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

4. Immobilien-Anfragen & Makler-Leads

Wenn du eine Immobilien-Anfrage, einen Suchauftrag oder eine Inserats-Anfrage absendest, verarbeiten wir Vorname, Nachname, E-Mail, Telefonnummer und deine Nachricht, um deine Anfrage an den oder die zuständigen Makler weiterzuleiten. Deine Kontaktdaten werden erst nach deiner ausdrücklichen Einwilligung übermittelt. Die Einwilligung holen wir mit folgendem Wortlaut ein:

„Ich bin damit einverstanden, dass meine Kontaktdaten (Name, E-Mail, Telefon) zur Bearbeitung dieser Anfrage an den oder die zuständigen Makler übermittelt werden. Eine Nutzung für Werbung erfolgt nicht. Ich kann diese Einwilligung jederzeit widerrufen.“

Wir dokumentieren diese Einwilligung revisionssicher mit Zeitpunkt, IP-Adresse, Browser-Kennung und der akzeptierten Textversion (Consent-Record, Art. 7 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. a und b DSGVO. Nach der Übermittlung verarbeitet der jeweilige Makler deine Daten in eigener Verantwortung und nach seiner eigenen Datenschutzerklärung.

5. Events & Anmeldungen

Bei der Anmeldung zu einem Event verarbeiten wir Namen und Kontaktdaten der Teilnehmer. Gäste ohne Konto können sich über einen Bestätigungslink (Magic Link) anmelden, den sie per E-Mail erhalten; der Link enthält einen zeitlich begrenzten, einmalig verwendbaren Token und setzt kein dauerhaftes Login-Cookie. Im öffentlichen Bereich werden Teilnehmende nur mit Initialen angezeigt.

Begleitpersonen (Plus-Ones) gibst du eigenverantwortlich an. Mit der Eingabe bestätigst du, dass du deren Einverständnis zur Verarbeitung ihrer Namen für die Event-Organisation eingeholt hast. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Für bezahlte Events stellen wir ein Ticket mit QR-Code und einem 6-stelligen Code bereit (im Konto und per E-Mail). Beim Einlass scannt der Veranstalter den QR-Code bzw. gibt den Code ein; wir speichern dabei den Zeitpunkt des Check-ins (Anwesenheit). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Zur Zahlungsabwicklung bei kostenpflichtigen Events siehe Punkt 6.

Legst du nach einer Gast-Anmeldung ein Konto mit derselben E-Mail-Adresse an, ordnen wir die bestehende Anmeldung diesem Konto zu, sobald die Adresse bestätigt ist. Es handelt sich um deine eigenen Daten, der Zweck bleibt derselbe, und du musst dich dadurch nicht ein zweites Mal anmelden. Wir speichern dabei nur die Zuordnung und ihren Zeitpunkt; deine Buchung, dein Ticket und dein Storno-Link bleiben unverändert gültig. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), ergänzend berechtigtes Interesse an der Vermeidung von Doppelbuchungen (lit. f). Einzelheiten: docs/gdpr/guest-registration-claim.md.

Der Veranstalter kann für sein Event einen Kommentarbereich für Angemeldete freischalten. Deine Beiträge sind dort für die übrigen bestätigten Teilnehmer sichtbar, angezeigt mit Vornamen und dem ersten Buchstaben deines Nachnamens. Schreib dort nichts, was nicht alle Angemeldeten lesen sollen.

6. Zahlungen, Auszahlungen & DAC7 (Stripe Connect)

Kostenpflichtige Event-Buchungen verarbeiten wir als Verkäufer im eigenen Namen (Merchant of Record) technisch über Stripe (Stripe Payments Europe Ltd. / Stripe, Inc., USA) im Connect-Modell. Die Kartenzahlung findet auf einer von Stripe gehosteten Seite statt; wir speichern keine vollständigen Kartendaten, sondern nur Referenzen (Checkout-Session-ID, Payment-Intent-ID), den Betrag sowie steuerlich erforderliche Angaben (Käufer-Land, Umsatzsteuersatz und -betrag über Stripe Tax). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b) und Erfüllung steuerrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Veranstalter bezahlter Events richten zur Auszahlung ihres Ticketerlöses ein Stripe-Connect-Express-Konto ein. Stripe prüft dabei die Identität (KYC) und erhebt dafür eigene Daten (u. a. Name, Anschrift, Bankverbindung); wir verarbeiten das Ergebnis dieser Prüfung sowie Auszahlungs- und Umsatzdaten. Bestimmte Meldedaten erheben wir zusätzlich selbst und speichern sie in unserer eigenen Datenbank, weil Stripe sie uns nicht oder nicht vollständig übermittelt: dein Geburtsdatum (bei natürlichen Personen), dein Land der steuerlichen Ansässigkeit und deine Steueridentifikationsnummer. Die Steueridentifikationsnummer gibt Stripe grundsätzlich nicht an uns weiter; wir erheben sie deshalb als Selbstauskunft direkt bei dir, bevor wir eine Meldung abgeben. Ohne diese Angaben können wir dein Guthaben nicht auszahlen. Als Plattformbetreiberin können wir gesetzlich verpflichtet sein, Stamm- und Umsatzdaten der Veranstalter an die Steuerbehörden zu melden (DAC7, Richtlinie (EU) 2021/514). Rechtsgrundlage: Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO); die hierfür erforderlichen Daten bewahren wir bis zu 7 Jahre auf. Bei kostenlosen Events wird Stripe nicht eingesetzt.

7. Nachrichten / Anfrage-Chat

Für die Kommunikation zwischen dir und unserem Team bzw. Maklern speichern wir die ausgetauschten Nachrichten, um deine Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO).

8. Newsletter

Für den Newsletter nutzen wir das Double-Opt-In-Verfahren: Nach deiner Anmeldung erhältst du eine Bestätigungs-E-Mail. Erst nach Bestätigung versenden wir Newsletter. Du kannst dich jederzeit über den Abmeldelink austragen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

9. Bilder & Metadaten

Event-, Immobilien- und Kleinanzeigen-Bilder werden auf einem S3-kompatiblen Objektspeicher (DigitalOcean Spaces, EU-Region) abgelegt. Beim Upload entfernen wir automatisch die in der Bilddatei enthaltenen Metadaten (EXIF, einschließlich etwaiger GPS-Koordinaten) und erzeugen mehrere komprimierte WebP-Varianten für die Darstellung. Immobilienbilder werden zusätzlich mit einem Wasserzeichen versehen.

10. Automatische Übersetzungen

Für zweisprachige Inhalte kann Text zur Übersetzung an DeepL (DeepL SE, Köln, EU) übermittelt werden. Bitte gib in Übersetzungsfeldern keine sensiblen personenbezogenen Daten ein.

11. Karten & Geocoding (OpenStreetMap)

Für Karten auf Immobilien- und Event-Seiten sowie für die Standortauswahl binden wir Kartenkacheln von OpenStreetMap ein (tile.openstreetmap.org, OpenStreetMap Foundation, Vereinigtes Königreich). Für die Adresssuche und die Umwandlung von Koordinaten in Adressen nutzen wir den Geocoding-Dienst Nominatim derselben Stiftung. Beim Laden einer Karte bzw. bei einer Adresssuche werden deine IP-Adresse und die angefragten Karten- bzw. Adressdaten an die OpenStreetMap Foundation übermittelt. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Rechtsgrundlage: Vertragserfüllung bzw. berechtigtes Interesse an der Kartendarstellung (Art. 6 Abs. 1 lit. b/f DSGVO).

12. YouTube-Videos (Click-to-Load)

Auf der Startseite betten wir Videos unseres YouTube-Kanals im datensparsamen Click-to-Load-Verfahren ein: Bis du auf ein Video klickst, lädt dein Browser keine Inhalte von Google; die Vorschaubilder liefern wir über unseren eigenen Server aus. Erst mit deinem Klick wird der Player über youtube-nocookie.com (erweiterter Datenschutzmodus) von YouTube (Google Ireland Ltd. / Google LLC, USA) geladen; dabei werden deine IP-Adresse und Gerätedaten an Google übermittelt und Google kann eigene Cookies bzw. lokale Speicherung einsetzen. Dein Klick gilt als Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); zur Drittlandübermittlung siehe Punkt 16.

13. E-Mail-Versand

Transaktionale E-Mails (Bestätigungen, Benachrichtigungen) versenden wir über Resend (Resend, Inc., USA). Dabei werden E-Mail-Adresse und Inhalt der jeweiligen Nachricht verarbeitet. Es besteht ein Auftragsverarbeitungsvertrag.

14. Cookies & Einwilligung

Wir setzen nur wenige, überwiegend technisch notwendige Cookies ein: • sessionid: Anmelde-Sitzung, technisch notwendig, bis zu 2 Wochen (Django). • csrftoken: Schutz vor Cross-Site-Request-Forgery, technisch notwendig, bis zu 1 Jahr (Django). • NEXT_LOCALE: speichert deine Sprachwahl (DE/EN), technisch notwendig, Sitzungs-Cookie (next-intl). • ce_consent: speichert deine Cookie-Einwilligung, technisch notwendig, bis zu 180 Tage (Klaro).

Für die Reichweitenmessung nutzen wir Plausible Analytics. Plausible arbeitet cookielos und ohne personenbezogene Profile und wird daher ohne gesonderte Einwilligung geladen. Zusätzlich nutzen wir Google Analytics (Google Ireland Ltd. / Google LLC, USA) im Google-Consent-Mode. Ohne deine Einwilligung werden keine Analyse-Cookies (_ga, _ga_*, _gid) gesetzt und keine personenbezogenen Daten erhoben; in diesem Zustand erhält Google nur anonyme Signale ohne Kennungen. Erst wenn du im Datenschutz-Banner zustimmst, setzt Google Analytics Cookies (bis zu 2 Jahre) und überträgt Nutzungsdaten an Google in die USA. Widerrufst du die Einwilligung, werden die Google-Analytics-Cookies gelöscht und die Erhebung gestoppt. Optionales Fehler-Monitoring (Sentry), einschließlich einer maskierten Session-Replay-Aufzeichnung ohne Texte und Medien, wird ausschließlich mit deiner Einwilligung aktiviert. Zum Schutz vor automatisierter Spam-Registrierung ist der Einsatz von hCaptcha vorgesehen (derzeit noch nicht aktiv). Deine Auswahl steuerst du über das Datenschutz-Banner und kannst sie jederzeit ändern.

15. Empfänger / Auftragsverarbeiter

Wir geben Daten an sorgfältig ausgewählte Dienstleister weiter, die uns beim Betrieb unterstützen: DigitalOcean (Hosting & Objektspeicher, EU), Resend (E-Mail-Versand, USA), DeepL (Übersetzung, EU), Plausible Analytics (cookielose Statistik, EU), Google Analytics (Reichweitenmessung, USA, nur mit deiner Einwilligung), Sentry (Fehler-Monitoring serverseitig; im Browser nur mit deiner Einwilligung, USA), Stripe (Zahlungsabwicklung bei bezahlten Events, USA), die OpenStreetMap Foundation (Karten & Geocoding, Vereinigtes Königreich), YouTube/Google (Video-Einbettung, erst nach deinem Klick, USA) sowie — nach dem Start des geplanten Chatbots — unser KI-Dienstleister. Mit allen bestehen, soweit erforderlich, Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Daneben können selbständige Makler und Veranstalter Empfänger deiner Daten sein (siehe Punkt 4 und 5); diese sind für ihre Verarbeitung eigenständig verantwortlich.

16. Drittlandübermittlung

Resend, Sentry, Stripe, YouTube/Google (erst nach deinem Klick auf ein Video) sowie, nur nach deiner Einwilligung, Google Analytics verarbeiten Daten (auch) in den USA. Diese Übermittlungen stützen wir auf die EU-Standardvertragsklauseln (Art. 46 DSGVO) bzw., soweit der jeweilige Anbieter zertifiziert ist, auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission). DigitalOcean (EU), DeepL (EU) und Plausible (EU) verarbeiten innerhalb des EWR; die OpenStreetMap Foundation verarbeitet im Vereinigten Königreich (Angemessenheitsbeschluss der EU-Kommission).

17. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen: • Konto: Du kannst es jederzeit löschen; wir anonymisieren es nach einer Karenzfrist von 30 Tagen automatisch. • Anfragen von Gästen (ohne Konto): Werden nach 180 Tagen anonymisiert, sofern sie nicht aktiv bearbeitet werden. • Zahlungs- und Buchungsbelege bezahlter Events (künftig auch Affiliate-Auszahlungen): bis zu 7 Jahre (gesetzliche steuerliche Aufbewahrungspflicht, Art. 17 Abs. 3 lit. e DSGVO). • Server-Logs: in der Regel 30 Tage.

18. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Konto-Löschung: Du kannst dein Konto jederzeit in den Kontoeinstellungen löschen. Unmittelbar danach wirst du abgemeldet und dein Konto ist nicht mehr sichtbar (Soft-Delete). Deine personenbezogenen Daten (Name, E-Mail, Telefon) werden nach 30 Tagen automatisch anonymisiert. Geschäfts- und Buchungsdaten bleiben ohne Personenbezug für gesetzliche Nachweiszwecke erhalten.

Hinweis: Freitexte, die du in Anfragen oder Inseraten eingegeben hast, können in Geschäftsunterlagen verbleiben und werden nicht automatisch entfernt. Kontaktiere uns über die im Impressum genannten Kontaktdaten, wenn du eine manuelle Schwärzung wünschst.

Datenübertragbarkeit (Art. 20 DSGVO): Auf Anfrage stellen wir dir eine Kopie deiner Daten in einem strukturierten, gängigen Format bereit. Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

19. Beschwerderecht

Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren, in Zypern beim Office of the Commissioner for Personal Data Protection (www.dataprotection.gov.cy).

20. Kontakt in Datenschutzfragen

Bei Fragen zum Datenschutz oder zur Ausübung deiner Rechte erreichst du uns per E-Mail: hello (at) cyprus-expats.com

21. KI-Chatbot (geplant)

Dieses Feature ist derzeit noch nicht verfügbar. Der folgende Abschnitt gilt erst ab seiner Freischaltung. Sobald du unseren KI-gestützten Chatbot nutzen kannst, werden deine Eingaben (deine Frage sowie der relevante Gesprächskontext) zur Beantwortung an unseren KI-Dienstleister übermittelt und dort verarbeitet. Bitte gib im Chat keine sensiblen personenbezogenen Daten ein. Die Antworten des Chatbots dienen nur der unverbindlichen Information und stellen keine Rechts-, Steuer- oder Anlageberatung dar. Rechtsgrundlage: dein Nutzungswunsch bzw. unser berechtigtes Interesse an einer hilfreichen Auskunft (Art. 6 Abs. 1 lit. b/f DSGVO). Anbieter und Datenstandort benennen wir hier vor der Freischaltung.

22. Affiliate-Programm & Auszahlungen (geplant)

Dieses Feature ist derzeit noch nicht verfügbar. Der folgende Abschnitt gilt erst ab seiner Freischaltung. Wenn du künftig an unserem Affiliate-/Empfehlungsprogramm teilnimmst, verarbeiten wir die zur Provisionsabrechnung erforderlichen Daten (z. B. Name, Kontaktdaten, vermittelte Empfehlungen) sowie für die Auszahlung deine Bankverbindung (IBAN). Auszahlungen erfolgen per SEPA-Überweisung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b) sowie Erfüllung steuer- und handelsrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

23. Kontaktformular

Wenn du uns über das Kontaktformular schreibst, verarbeiten wir die von dir angegebenen Daten (Name, E-Mail-Adresse, Betreff, Nachricht) ausschließlich, um deine Anfrage zu beantworten. Wir leiten die Nachricht an unser Postfach weiter und speichern sie zusätzlich in unserem System, damit keine Anfrage verloren geht, falls der Mailversand ausfällt. Rechtsgrundlage: Durchführung vorvertraglicher Maßnahmen bzw. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Zugestellte Nachrichten löschen wir spätestens 180 Tage nach Eingang; Nachrichten, deren Versand fehlgeschlagen ist, bewahren wir bis zur Bearbeitung auf. Das Formular enthält ein für dich unsichtbares Feld zur Spam-Abwehr; Einträge darin verwerfen wir, ohne sie zu speichern.