Datenschutzerklärung

1. Verantwortlicher

Heinze Finanzinvest, Andreas Heinze, Gartenstraße 34, 82049 Pullach im Isartal.
E-Mail: ah@heinze-finanzinvest.de · Telefon: +49 151 10 70 30 48

Ein Datenschutzbeauftragter ist nicht bestellt; nach derzeitiger Einschätzung besteht hierzu keine gesetzliche Pflicht (Einzelberatung ohne umfangreiche Verarbeitung besonderer Datenkategorien i. S. v. § 38 BDSG / Art. 37 DSGVO).

2. Welche Daten wir verarbeiten

Je nachdem, wie weit die Zusammenarbeit fortschreitet, verarbeiten wir:

• Kontaktdaten: Anrede, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Anschrift, bevorzugter Kontaktweg.
• Angaben zur Person: Geburtsdatum und -ort, Staatsangehörigkeit, Steuer-Identifikationsnummer, Familien- und Lebenssituation (z. B. Kinder, Beschäftigung), Art der Krankenversicherung (gesetzlich/privat), Angaben zur Vorsorge/Rente.
• Finanzielle Angaben: Einkommen und zu versteuerndes Einkommen, Vermögen und Liquidität, bestehende Immobilien/Kapitalanlagen, Konten und Depots, Verbindlichkeiten, Versicherungsverträge, erwartete Zuflüsse, Anlageziele und Anlagehorizont sowie Angaben zu Erbe/Vermögensnachfolge (ggf. einschließlich begünstigter Personen).
• Besondere Kategorien (Art. 9 DSGVO): die Angabe, ob Sie kirchensteuerpflichtig sind (nur „ja/nein", zur korrekten Steuerberechnung). Diese Angabe kann einen Rückschluss auf eine Religionszugehörigkeit zulassen; wir verarbeiten sie daher nur mit Ihrer ausdrücklichen Einwilligung (siehe Ziffer 4) und bewusst datensparsam — ohne Erhebung der konkreten Konfession.
• Beratungs- und Vorgangsdaten: Ihre Ziele und Wünsche, Gesprächsprotokolle und Notizen, die für Sie erstellten Konzepte und Angebote einschließlich der zugrunde gelegten Annahmen, der Bearbeitungsstand Ihres Vorgangs sowie die dazu geführte Korrespondenz.
• Dokumente: von Ihnen hochgeladene Unterlagen (z. B. Einkommens-/Steuernachweis, Grundbuchauszug, Ausweiskopie) sowie Beratungs- und Vertragsunterlagen.
• Vertrags- und Abrechnungsdaten: die von Ihnen unterzeichneten Vereinbarungen nebst Zeitpunkt und technischem Nachweis der Unterschrift, Reservierungen und Abschlüsse, Zahlungseingänge sowie die abgerechnete Provision. Stellen wir Ihnen eine Rechnung, gehören dazu auch Rechnungsnummer und -datum, Ihre Rechnungsanschrift, die abgerechneten Positionen und die Beträge; die Anschrift wird beim Festschreiben der Rechnung in den Beleg übernommen und bleibt darin unverändert, auch wenn Sie später umziehen.
• Nutzungs-/Server-Logdaten: beim Besuch der Website technisch erforderliche Daten zum sicheren Betrieb — i. d. R. IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Seite/Datei, HTTP-Statuscode, übertragene Datenmenge sowie Browser-/Betriebssystemkennung (User-Agent). Bei der elektronischen Unterschrift speichern wir zusätzlich Ihre IP-Adresse als Nachweis.

Sensible Angaben (u. a. Finanz-, Ausweis- und Erbdaten) werden in unserem System mit dem Verfahren AES-256-GCM verschlüsselt gespeichert. Dokumente laden Sie über einen persönlichen, zufällig erzeugten Upload-Link hoch, den wir Ihnen per E-Mail und SMS zusenden und der zeitlich befristet ist (derzeit 72 Stunden).

3. Herkunft der Daten

Wir erheben Daten überwiegend direkt bei Ihnen. Wurden Sie uns über eine Empfehlung (Tippgeber) vermittelt, erhalten wir Ihre Kontaktdaten von der empfehlenden Person, um Sie erstmals zu kontaktieren und Ihre Bestätigung einzuholen (Art. 14 DSGVO). Quelle ist in diesem Fall die jeweilige empfehlende Person; eine Verarbeitung erfolgt erst, nachdem Sie Ihre Anfrage bestätigt haben.

Ein weiterer Teil der Daten entsteht erst bei der Bearbeitung: Ergebnisse, die aus Ihren Angaben berechnet werden, der dokumentierte Verlauf Ihres Vorgangs sowie die unter den Ziffern 7, 8 und 10 beschriebenen Auswertungen.

4. Zwecke und Rechtsgrundlagen

• Kontaktaufnahme, Erstgespräch und Vorbereitung/Durchführung einer Beratung und Vermittlung: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche bzw. vertragliche Maßnahmen).
• Kontaktaufnahme über das Interessentenformular und nachgelagerte Erinnerungen: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit mit Wirkung für die Zukunft widerruflich.
• Verarbeitung der Angabe zur Kirchensteuerpflicht: Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) — ausschließlich zur korrekten steuerlichen Einschätzung.
• Aufzeichnung oder Mitschrift eines Beratungsgesprächs: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — siehe Ziffer 6.
• Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten, insbesondere der Beratungsdokumentation nach § 34c GewO i. V. m. §§ 10, 14 MaBV sowie handels- und steuerrechtlicher Pflichten (§ 147 AO, § 257 HGB): Art. 6 Abs. 1 lit. c DSGVO.
• Sicherer und stabiler Betrieb der Website/Anwendung, Protokollierung sicherheitsrelevanter Vorgänge sowie eine interne Sperrliste, mit der wir verhindern, dass Kontaktdaten nach einem Widerspruch oder in Missbrauchsfällen erneut erfasst werden: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und missbrauchsfreiem Betrieb).
• Geltendmachung und Verteidigung von Ansprüchen: Art. 6 Abs. 1 lit. f DSGVO.

5. Pflichtangaben und Freiwilligkeit

Für die Kontaktaufnahme benötigen wir mindestens Anrede, Name, E-Mail und Telefonnummer; ohne diese können wir Ihre Anfrage nicht bearbeiten. Alle weiteren Angaben (insbesondere zu Finanzen, Familie, Krankenversicherung und Kirchensteuerpflicht) sind freiwillig — je vollständiger sie sind, desto genauer fällt die Einschätzung aus. Eine fehlende Einwilligung in die Angabe zur Kirchensteuerpflicht hat für Sie keine Nachteile außer einer ggf. ungenaueren steuerlichen Beispielrechnung.

6. Beratungsgespräche, Protokolle und Mitschriften

Über Beratungsgespräche fertigen wir ein Protokoll an. Dazu sind wir nach § 34c GewO i. V. m. der MaBV verpflichtet; es dient zugleich Ihrer eigenen Nachvollziehbarkeit. Das Protokoll wird Ihnen zur Bestätigung vorgelegt.

Eine Aufzeichnung oder wörtliche Mitschrift erfolgt ausschließlich mit Ihrer vorherigen ausdrücklichen Einwilligung. Das vertraulich gesprochene Wort ist nach § 201 StGB geschützt; ohne Ihre Zustimmung wird nicht aufgezeichnet. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Liegt sie vor, speichern wir die Mitschrift als Teil der Beratungsdokumentation; sie wird zusätzlich wie unter Ziffer 7 beschrieben ausgewertet.

7. Einsatz künstlicher Intelligenz

Um Schreibarbeit zu verringern und Übertragungsfehler zu vermeiden, setzen wir ein KI-System ein. Ausgewertet werden:

• Mitschriften und Notizen aus Beratungsgesprächen, um daraus Angaben zu Ihrer Situation vorzuschlagen;
• von Ihnen eingereichte Unterlagen, insbesondere Steuerbescheide, um die darin enthaltenen Werte auszulesen;
• der dokumentierte Verlauf Ihres Vorgangs, um für Ihren Ansprechpartner den aktuellen Stand zusammenzufassen.

Jeder erkannte Wert wird Ihrem Ansprechpartner zusammen mit der Textstelle vorgelegt, aus der er stammt, und erst nach dessen Prüfung übernommen. Kein Wert fließt ungeprüft in Ihr Profil oder in eine Berechnung ein. Über Ihr Anliegen entscheidet ausschließlich Ihr Ansprechpartner (siehe Ziffer 16).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Auswertung unmittelbar der Vorbereitung und Durchführung der Beratung dient.

Anbieter und Ort der Verarbeitung: Die Auswertung erfolgt über Amazon Bedrock, einen Dienst der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt; eingesetzt wird ein auf die EU beschränktes Verarbeitungsprofil. Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet. Eine Übermittlung in ein Drittland findet dabei nicht statt.

Sie können dieser Auswertung widersprechen. Teilen Sie uns dies formlos mit; wir führen Ihre Beratung dann ohne sie durch. Ihnen entsteht dadurch kein Nachteil.

8. E-Mail-Korrespondenz zu Ihrem Vorgang

Damit Ihr Ansprechpartner den vollständigen Schriftwechsel an einer Stelle vorliegen hat und nichts übersieht, werden die zu Ihrem Vorgang gehörenden ein- und ausgehenden E-Mails aus seinem geschäftlichen Postfach in unser System übernommen — einschließlich der Anhänge, die Sie uns per E-Mail senden.

Übernommen wird ausschließlich Korrespondenz, die Ihrem Vorgang zugeordnet werden kann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Dokumentation zusätzlich Art. 6 Abs. 1 lit. c DSGVO.

9. Ihr persönlicher Bereich

Nach dem Erstgespräch stellen wir Ihnen einen persönlichen Bereich bereit. Dort sehen Sie den Stand Ihres Vorgangs, erhalten Unterlagen und können Dokumente einreichen und unterzeichnen.

Der Zugang erfolgt ohne Passwort. Sie erhalten einen persönlichen Link, der zeitlich begrenzt gültig ist und nach der Nutzung verfällt. Wir speichern dazu keinen Zugangscode im Klartext, sondern ausschließlich dessen Prüfwert. Bitte geben Sie diesen Link nicht weiter — wer ihn besitzt, kann Ihren Bereich öffnen.

Wird Ihnen ein Link zum Hochladen eines Ausweisdokuments per SMS zugesandt, dient die SMS allein der Übermittlung dieses Links; eine zusätzliche Bestätigung ist damit nicht verbunden.

10. Automatisch erzeugte Auswertungen

Aus dem dokumentierten Verlauf Ihres Vorgangs — Gesprächen, Nachrichten, eingereichten Unterlagen und Statuswechseln — erzeugt das System eine Arbeitsübersicht für Ihren Ansprechpartner: was der Stand ist, wer als Nächstes am Zug ist und welche Unterlagen noch fehlen. Ferner hält das System fest, welche Erinnerung Ihnen bereits zugegangen ist, damit Sie dieselbe Nachricht nicht mehrfach erhalten.

Diese Auswertungen sind ein internes Arbeitsmittel und führen zu keiner Entscheidung über Ihr Anliegen (siehe Ziffer 16).

11. Empfänger und Auftragsverarbeiter

Wir übermitteln Ihre Daten nicht automatisch an Dritte und geben sie weder zu Werbezwecken weiter noch verkaufen wir sie. Eine Weitergabe erfolgt nur in den folgenden Fällen und nur, soweit erforderlich:

• Ein von Ihnen einbezogener Steuerberater, soweit Sie dies wünschen.
• Auf Ihre Veranlassung beteiligte Banken, Notare oder Anbieter eines von Ihnen gewählten Objekts, soweit für die Abwicklung erforderlich.
• Technische Auftragsverarbeiter (Art. 28 DSGVO): Versand von E-Mail und SMS (Brevo / Sendinblue GmbH), der Hosting-/Server-Dienstleister Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, ein IT-Dienstleister für Bereitstellung, Wartung und Weiterentwicklung unseres Beratungssystems sowie der Anbieter des geschäftlichen E-Mail-Postfachs nach Ziffer 8. Die Verarbeitung erfolgt auf Servern innerhalb der EU.
• Anbieter der KI-Auswertung nach Ziffer 7 — Amazon Web Services EMEA SARL, Luxemburg, als Auftragsverarbeiter nach Art. 28 DSGVO. Die Verarbeitung erfolgt innerhalb der Europäischen Union.
• Die Person, die Sie empfohlen hat (Tippgeberin oder Tippgeber): Sind Sie über eine Empfehlung zu uns gekommen, kann diese Person in ihrem persönlichen Zugang Ihren Namen und den Bearbeitungsstand Ihres Vorgangs einsehen — also ob ein Erstgespräch stattgefunden hat, ob ein Konzept vorliegt und ob es zu einem Abschluss gekommen ist. Das ist erforderlich, damit sie ihre Empfehlung nachvollziehen und ihre Vergütung prüfen kann. Inhalte Ihrer Beratung erhält sie nicht — weder Ihre Einkommens-, Vermögens- oder Steuerdaten noch das gewählte Objekt, Ihre Unterlagen oder Ihr Konzept. Die Person ist vertraglich verpflichtet, diese Angaben ausschließlich hierfür zu verwenden, nicht weiterzugeben und nach Ende ihrer Zusammenarbeit mit uns nicht weiter zu nutzen.
• Spezialisierte Partner für einzelne Fachbereiche (Finanzierung, Wertpapiere, Vermögensverwaltung, Versicherungen): Betrifft Ihr Anliegen einen Bereich, den wir nicht selbst betreuen — und auch nicht diejenige Person, die Sie an uns vermittelt hat —, übermitteln wir Ihren Namen, Ihre Telefonnummer und Ihre E-Mail-Adresse an den zuständigen Partner, damit dieser Sie zur Beratung kontaktieren kann. Betreut einer von beiden den Bereich selbst, bleibt Ihr Anliegen dort und es wird nichts weitergegeben. Das geschieht ausschließlich mit Ihrer vorherigen ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie in Ihrem persönlichen Bereich erteilen und dort jederzeit mit Wirkung für die Zukunft widerrufen können (Art. 7 Abs. 3 DSGVO). Weitere Daten werden nicht übermittelt — insbesondere keine Einkommens-, Vermögens- oder Steuerdaten, keine Unterlagen und kein Konzept. Wir nennen Ihnen den Partner vor Ihrer Entscheidung; er ist für seine eigene Beratung eigenständig Verantwortlicher und informiert Sie gesondert über seine Datenverarbeitung. Ohne Ihre Einwilligung erfolgt keine Weitergabe und entsteht Ihnen kein Nachteil.

Entscheiden Sie sich für eine Investition bei einem Produkt- oder Projektpartner, treten Sie mit diesem in eine eigene Vertragsbeziehung mit eigenem Onboarding; der Partner ist insoweit eigenständig Verantwortlicher und informiert Sie gesondert über seine Datenverarbeitung. Wir begleiten Sie bei diesem Schritt, übermitteln Ihre Daten jedoch nicht automatisch an den Partner.

An unser Buchhaltungssystem werden ausschließlich Daten von Vermittlern und Beratern zur Abrechnung übermittelt — keine Kundendaten. Gegenüber Behörden und Gerichten erfüllen wir gesetzliche Auskunftspflichten.

12. Übermittlung in Drittländer

Mit Ausnahme der unten genannten Sicherungskopien findet die Verarbeitung innerhalb der EU bzw. des EWR statt. Das gilt seit dem 10. August 2026 ausdrücklich auch für die KI-Auswertung nach Ziffer 7: Sie läuft über einen Anbieter mit Sitz in der Europäischen Union und in Rechenzentren innerhalb der EU.

Sicherungskopien: Eine zusätzliche Kopie der Datensicherung liegt bei einem Anbieter mit Sitz in den Vereinigten Staaten. Diese Kopien sind vor der Übertragung vollständig verschlüsselt; der Schlüssel verbleibt ausschließlich bei uns, der Anbieter kann die Inhalte zu keinem Zeitpunkt einsehen.

KI-Auswertung: Für die Auswertung nach Ziffer 7 findet keine Übermittlung in ein Drittland mehr statt. Sie läuft über Amazon Bedrock der Amazon Web Services EMEA SARL (Luxemburg) in Rechenzentren innerhalb der Europäischen Union; Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Sie können der Auswertung weiterhin jederzeit widersprechen (Ziffer 7).

13. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen:

• Rechnungen und sonstige Buchungsbelege (auch die zu Ihrem Vorgang gestellten Rechnungen): acht Jahre ab Ende des Kalenderjahres (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB — durch das Vierte Bürokratieentlastungsgesetz zum 01.01.2025 von zehn auf acht Jahre verkürzt). Bücher, Inventare und Jahresabschlüsse bewahren wir weiterhin zehn Jahre auf. Ist die steuerliche Festsetzungsfrist noch offen, verlängert sich die Frist entsprechend.
• Beratungs- und Vertragsunterlagen: für die Dauer der gesetzlichen Nachweis-/Aufbewahrungspflichten, insbesondere fünf Jahre ab Ende des Kalenderjahres nach § 14 MaBV.
• Hochgeladene Ausweiskopien und sonstige sensible Dokumente werden automatisch gelöscht, sobald der Vorgang abgeschlossen oder beendet ist und eine Nachfrist (derzeit 30 Tage) verstrichen ist.
• Zugangslinks und Einmal-Codes verfallen nach Ablauf oder Nutzung.
• Einträge in der Sperrliste bleiben, bis der Sperrgrund entfällt.
• Interessentendaten ohne Zustandekommen einer Geschäftsbeziehung werden gelöscht, sobald sie für die Kontaktaufnahme nicht mehr erforderlich sind. Unabhängig davon können Sie jederzeit deren Löschung verlangen (siehe Ziffer 17).

Server-Protokolle löschen wir, sobald sie für den technischen Betrieb und die Sicherheitsanalyse nicht mehr erforderlich sind, es sei denn, ein konkreter Vorfall macht eine längere Aufbewahrung zur Beweissicherung notwendig.

14. Cookies

Wir setzen ausschließlich technisch notwendige Cookies ein, die für die Anmeldung und den sicheren Betrieb erforderlich sind (z. B. Session-/Login-Cookie). Es werden keine Analyse-, Tracking- oder Marketing-Cookies und keine Drittanbieter-Tracker verwendet. Schriften und Gestaltungselemente liefern wir von unserem eigenen Server aus; eine Verbindung zu externen Anbietern findet dabei nicht statt. Für technisch notwendige Cookies ist nach § 25 Abs. 2 TDDDG keine Einwilligung erforderlich; ein Einwilligungs-Banner ist daher nicht nötig.

15. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO — u. a. Transportverschlüsselung (TLS/HTTPS), Verschlüsselung sensibler Daten und Dokumente im Bestand (AES-256-GCM), rollenbasierte Zugriffsbeschränkungen, Protokollierung der Zugriffe sowie zufällig erzeugte, zeitlich befristete Zugangslinks für den Dokumenten-Upload, die zusätzlich gegen automatisierte Zugriffsversuche abgesichert sind. Für unterzeichnete Dokumente bilden wir einen Prüfwert, mit dem sich nachträgliche Veränderungen erkennen lassen. Von den Daten werden regelmäßig verschlüsselte Sicherungskopien erstellt.

16. Keine automatisierte Entscheidung im Einzelfall

Zur Vorbereitung der Beratung nutzen wir rechnerische Auswertungen (z. B. steuerliche Beispielrechnungen) sowie die unter den Ziffern 7 und 10 beschriebenen Verfahren. Diese dienen nur der Vorbereitung; die Bewertung und jede Empfehlung trifft Ihr persönlicher Ansprechpartner. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Ein Profiling zu Werbezwecken findet ebenfalls nicht statt.

17. Ihre Rechte — insbesondere das Recht auf Löschung

Hinsichtlich Ihrer personenbezogenen Daten stehen Ihnen folgende Rechte zu:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung Ihrer Daten (Art. 17 DSGVO) — Sie können jederzeit verlangen, dass wir Ihre Daten löschen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht;
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Eine erteilte Einwilligung — etwa zur Kontaktaufnahme, zur Angabe der Kirchensteuerpflicht oder zur Mitschrift eines Gesprächs — können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.

Ausübung Ihrer Rechte: Für die Ausübung dieser Rechte — insbesondere für die Löschung Ihrer Daten — genügt eine formlose Mitteilung an ah@heinze-finanzinvest.de. Wir bearbeiten Ihr Anliegen unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Stehen einer sofortigen Löschung gesetzliche Aufbewahrungspflichten entgegen, schränken wir die Verarbeitung der betroffenen Daten bis zum Ablauf der Frist ein und löschen sie anschließend. Auf Wunsch nehmen wir Ihre Kontaktdaten in eine Sperrliste auf, damit Sie von uns nicht erneut angeschrieben werden.

18. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns (Sitz in Bayern, nicht-öffentliche Stelle) zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 27, 91522 Ansbach. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden.

19. Kontakt in Datenschutzfragen und Änderungen

Für Auskünfte und zur Ausübung Ihrer Rechte wenden Sie sich an: ah@heinze-finanzinvest.de.

Entwickeln wir unsere Beratung oder unser System weiter, passen wir diese Erklärung an. Es gilt jeweils die hier veröffentlichte Fassung. Welche Fassung Ihrer Einwilligung zugrunde lag, halten wir fest und teilen es Ihnen auf Anfrage mit.

Stand: 4. August 2026.