Rechtliches

Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch dieser Website, in der interaktiven Demo und in der Kundenanwendung verarbeitet werden, auf welcher Grundlage und durch wen. Sie benennt die tatsächlich eingesetzten Dienstleister und ist bewusst konkret statt pauschal gehalten.

1. Verantwortliche Stelle

Verantwortliche Stelle im Sinne der DSGVO für den Betrieb der öffentlichen Website sakhly.com und der Demo demo.sakhly.com ist:

Verantwortlicher

mezzoNET SL, Camì de sa Serreta 416, 07340 Alaró (Illes Balears), España

Kontakt

[email protected]

Datenschutzkontakt

[email protected]. Ein Datenschutzbeauftragter ist gesetzlich nicht verpflichtend (kein Fall des Art. 37 DSGVO / § 38 BDSG) und daher nicht benannt.

2. Zwei Rollen — getrennt dargestellt

SAKHLY tritt datenschutzrechtlich in zwei unterschiedlichen Rollen auf. Diese Unterscheidung ist wichtig, weil sie bestimmt, an wen sich Betroffene mit ihren Rechten wenden.

3. Besuch dieser Website

Die öffentliche Website ist statisch aufgebaut. Sie setzt keine Cookies, bindet keine Analyse-, Tracking- oder Werbedienste Dritter ein und lädt keine externen Schriftarten; die gesamte Darstellung erfolgt mit systemeigenen Schriften und lokalen Dateien.

Beim Abruf fallen technisch bedingt Zugriffsprotokolle beim Hosting und beim Reverse-Proxy an (Datum/Uhrzeit, angefragter Pfad, HTTP-Status, übertragene Datenmenge, grobe technische Herkunft). Zweck ist der sichere, stabile Betrieb und die Abwehr von Angriffen; Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle werden nicht mit anderen Daten zusammengeführt und nicht zeitlich unbegrenzt gespeichert: Container-Protokolle rotieren größenbasiert (je Dienst maximal rund 50 MB in fünf Dateien) und werden dabei automatisch überschrieben.

4. Kontaktaufnahme

Wenn Sie uns per E-Mail ([email protected]) schreiben, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Inhalt der Anfrage) ausschließlich zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. lit. f (berechtigtes Interesse an der Beantwortung). Wir löschen Interessenten-Anfragen, sobald sie erledigt sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

5. Registrierung, Anmeldung und Sitzungen (Kundenanwendung)

Für die Kundenanwendung wird ein Benutzerkonto benötigt. Wir verarbeiten dabei E-Mail-Adresse, Name und ein Passwort, das ausschließlich als kryptografischer Hash gespeichert wird — niemals im Klartext. Die Anmeldung wird über ein signiertes, auf den jeweiligen Host beschränktes Sitzungscookie gehalten; es ist technisch notwendig und dient nicht der Analyse oder Werbung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Sicherheitsrelevante Ereignisse (z. B. Anmeldungen) werden protokolliert, jedoch ohne Dokumentinhalte, ohne Passwörter und ohne unnötige personenbezogene Inhalte.

6. Kunden- und Interessentendaten in der Kundenanwendung

In der Kundenanwendung werden die zur Immobilienverwaltung erforderlichen Daten gespeichert: Objekte und Einheiten, Mieter und Mietverhältnisse, Zahlungen sowie zugehörige Dokumente. Diese Daten verarbeiten wir als Auftragsverarbeiterin im Auftrag des jeweiligen Kunden (siehe Abschnitt 2). Es erfolgt eine strikte Mandantentrennung: jeder Datensatz gehört genau einem Mandanten, ein Zugang sieht ausschließlich den eigenen Bestand.

7. Dokumentenimport und Speicherung

Hochgeladene Dokumente (z. B. Mietverträge, Nebenkostenabrechnungen) werden auf der EU-Infrastruktur unseres Hosters gespeichert. Die Zuordnung (Dokumentart, Objekt, Mietverhältnis) erfolgt zunächst durch eine lokale, geräteinterne Erkennung ohne Übermittlung an Dritte. Rohdateien mit personenbezogenem Inhalt werden nach einer kontrollierten Übernahme nicht unnötig vorgehalten. Es gilt das Prinzip der Datensparsamkeit.

8. KI-gestützte Dokument-Interpretation (Anthropic) — derzeit deaktiviert

SAKHLY kann Dokumente zusätzlich KI-gestützt auslesen und Zuordnungen vorschlagen (stets mit Quellbeleg; nichts wird automatisch verbucht). Diese Funktion ist für echte Kundendaten standardmäßig deaktiviert und wird erst nach einer ausdrücklichen datenschutzrechtlichen Freigabe des jeweiligen Kunden (Nachtrag zum Auftragsverarbeitungsvertrag) aktiviert.

Erst nach dieser Freigabe wird der Text des betreffenden Dokuments an unseren Unterauftragsverarbeiter Anthropic (USA) übermittelt; dies kann personenbezogene Daten von Mietern und Beteiligten enthalten. Besondere Kategorien nach Art. 9 DSGVO werden nicht absichtlich verarbeitet. Schutzmaßnahmen: kein Training auf Kundeninhalten, Übertragung ausschließlich verschlüsselt (TLS), Verschlüsselung at rest, kurze bzw. abschaltbare Vorhaltedauer der API-Daten (rund 30 Tage, „Zero Data Retention" auf Anfrage), Löschung bei Vertragsende. Die KI trifft keine automatisierte Einzelentscheidung mit rechtlicher Wirkung (Art. 22 DSGVO); eine menschliche Freigabe bleibt stets erforderlich.

9. Demo mit synthetischen Daten

Die interaktive Demo unter demo.sakhly.com enthält ausschließlich frei erfundene, synthetische Beispieldaten — keine echten Personen. Sie läuft in einer eigenen, von den Kundendaten vollständig getrennten Datenbank. In der Demo ist der E-Mail-Versand deaktiviert, es werden keine KI-Aufrufe ausgelöst (die KI-Wohnungsakte wird mit vorbereiteten synthetischen Beispieldokumenten gezeigt), und die Demo ist schreibgeschützt. Für die Demo wird ein technisch notwendiges Sitzungscookie gesetzt; ein Login oder eine Registrierung ist nicht erforderlich.

10. Eingesetzte Dienstleister (Unterauftragsverarbeiter)

Für SAKHLY wird ein eigener, von anderen Projekten getrennter Anthropic-Zugang mit Ausgabenlimit verwendet; der E-Mail-Versand ist projektweit deaktiviert.

11. Übermittlung in Drittländer

Das Hosting (Hetzner) findet in Deutschland/der EU statt und ist keine Drittlandübermittlung. Für die US-Dienstleister Cloudflare und — nur bei freigeschalteter KI — Anthropic erfolgt eine Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln (Module 2 bzw. 3, ggf. nebst UK-Addendum/Schweizer Anhang). Ergänzend greifen Verschlüsselung in Transit und at rest, strikte Zweckbindung, Datenminimierung (KI nur auf ausdrücklich hochgeladene Dokumente, nicht auf den Gesamtbestand), kein KI-Training auf Kundeninhalten und eine kurze bzw. abschaltbare Vorhaltedauer. Eine Transfer-Risikobewertung liegt vor und wird bei Änderungen der Anbieterlage aktualisiert.

12. Speicherdauer und Löschung

• Konto- und Vertragsdaten: für die Dauer des Vertragsverhältnisses und anschließend im Rahmen gesetzlicher Aufbewahrungsfristen (handels- und steuerrechtlich).
• Dokumente und Bestandsdaten der Kundenanwendung: bis zur Löschung durch den verantwortlichen Kunden bzw. bis Vertragsende. Gelöschte Datensätze werden zunächst in einen Papierkorb verschoben (Wiederherstellung möglich) und über einen vorbereiteten, protokollierten Lösch-Lauf endgültig entfernt (Papierkorb 30 Tage; Interessenten-Anfragen 180 Tage, Termine 365 Tage, sensible Dokumente 90 Tage). Dieser automatische Lauf wird mit der Datenschutz-Freigabe aktiviert; bis dahin löscht eine berechtigte Person endgültig.
• Technische Zugriffsprotokolle: kurzfristig (siehe Abschnitt 3).
• Anthropic-API-Daten (nur bei freigeschalteter KI): ~30 Tage, „Zero Data Retention" auf Anfrage.

13. Ihre Rechte

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Betrifft Ihr Anliegen Daten aus der Kundenanwendung, wenden Sie sich bitte vorrangig an den jeweiligen Kunden als Verantwortlichen (siehe Abschnitt 2).

Zudem haben Sie das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Zuständige Aufsichtsbehörde des Verantwortlichen ist die spanische Datenschutzbehörde Agencia Española de Protección de Datos (AEPD), Madrid (aepd.es). Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthalts wenden.

14. Datensicherheit

Wir verwenden durchgängig TLS-Verschlüsselung für die Übertragung, Verschlüsselung at rest beim Hoster, strikte Mandantentrennung und restriktive Zugriffskontrollen. Unsere Maßnahmen werden fortlaufend an den Stand der Technik angepasst.

15. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert — etwa wenn die KI-Funktion für echte Daten freigegeben wird. Es gilt jeweils die hier veröffentlichte Fassung.

Stand: November 2026