Datenschutz- und Sicher­heits­doku­men­ta­tion

Dokumentation der technisch-organisatorischen Maßnahmen gemäß Datenschutz-Grundverordnung (DSGVO)

Inhalts­verzeichnis

1. Über dieses Dokument
2. Verantwortliche Stelle und Datenschutzkontakt
3. Technisch-organisatorische Maßnahmen (TOMs) und IT-Sicherheitskonzept
   • 3.1 Hosting und Serverstandort
   • 3.2 Zugriffskontrollen und Berechtigungen
   • 3.3 Verschlüsselung
   • 3.4 Backup und Verfügbarkeit
   • 3.5 Datenschutzfreundliche Technikgestaltung
4. Datenschutzkonzept
   • 4.1 Verarbeitete Datenkategorien
   • 4.2 Auftragsverarbeiter und Drittanbieter
   • 4.3 Drittstaatentransfers
5. Ihre Rechte als Betroffener
6. Lösch- und Sperrkonzept
7. Meldeverfahren bei Datenschutzvorfällen
8. Zertifikate und Nachweise
9. Kontakt

1. Über dieses Dokument

Die CENTARIA GmbH betreibt die Software CENTARIA (app.centaria.net), eine KI-gestützte Immobilien­verwaltungs­software (SaaS). Dieses Dokument informiert Sie als Nutzerin oder Nutzer darüber, wie wir Ihre personenbezogenen Daten schützen und welche technisch-organisatorischen Maßnahmen wir gemäß der Datenschutz-Grundverordnung (DSGVO) umsetzen.

Es ergänzt unsere Datenschutzerklärung auf centaria.net und steht Ihnen jederzeit innerhalb der Software zum Abruf zur Verfügung.

2. Verant­wort­liche Stelle und Daten­schutz­kontakt

3. Technisch-orga­nisa­torische Maß­nahmen (TOMs) und IT-Sicher­heits­konzept

Gemäß Art. 32 DSGVO setzen wir folgende Maßnahmen um, um Ihre Daten angemessen zu schützen.

3.1 Hosting und Server­standort

• Alle Server werden bei Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in zertifizierten deutschen Rechenzentren betrieben
• Serverstandorte: ausschließlich Deutschland
• Hetzner ist ISO 27001 zertifiziert
• Ein Auftragsverarbeitungsvertrag (AVV) mit Hetzner liegt vor
• Zutrittskontrolle zu den Rechenzentren durch biometrische Authentifizierung und Videoüberwachung

3.2 Zugriffs­kontrollen und Berech­tigungen

Der Zugang zu CENTARIA und den darin gespeicherten Daten wird durch mehrstufige Zugriffskontrollen geschützt:

• Authentifizierung über E-Mail und Passwort
• Rollenbasiertes Berechtigungskonzept (RBAC) – jeder Nutzer sieht nur die Daten, für die er berechtigt ist (Prinzip der minimalen Rechtevergabe)
• Audit-Trails: sicherheitsrelevante Aktionen werden protokolliert
• Trennung von Produktions- und Entwicklungsumgebungen

3.3 Ver­schlüs­selung

Transport­ver­schlüs­selung

• Alle Verbindungen zu app.centaria.net sind über SSL/TLS (HTTPS) verschlüsselt
• Daten, die Sie an uns übermitteln, können nicht von Dritten mitgelesen werden
• API-Kommunikation erfolgt ausschließlich über HTTPS

Speicher­ver­schlüs­selung

• Passwörter werden ausschließlich als kryptographische Hashes gespeichert (nicht im Klartext)

3.4 Backup und Verfüg­barkeit

• Regelmäßige Datensicherungen (Backups) zum Schutz vor Datenverlust
• Speicherung der Backups in Deutschland
• Monitoring-Systeme zur Überwachung der Verfügbarkeit
• Firewall-Konfiguration und regelmäßige Sicherheitsupdates
• Schutzmaßnahmen gegen gängige Angriffsvektoren (z.B. SQL-Injection)
• Im Falle eines Systemausfalls können Daten zeitnah aus den Backups wiederhergestellt werden

3.5 Datenschutz­freundliche Technik­gestaltung (Privacy by Design)

CENTARIA wurde nach dem Grundsatz "Privacy by Design" entwickelt:

• Datenschutz by Design mit Audit-Trails und klarem Berechtigungsmanagement
• Kein Einsatz von Third-Party-Tracking-Cookies oder Drittanbieter-Tracker
• Für die Authentifizierung wird ein funktionaler Cookie (HttpOnly, Secure, SameSite) verwendet
• Datenexport: Nutzer können ihre Daten auf Anfrage in maschinenlesbaren Formaten erhalten
• KI-Funktionen: Bei der Nutzung von KI-Funktionen (z.B. Dokumentenanalyse) werden Daten an OpenAI übertragen — bei Dokumenten auch vollständig. Dies geschieht nur, wenn Sie die Funktion aktiv nutzen. OpenAI speichert keine Daten und nutzt sie nicht für das Modelltraining (siehe Abschnitt 4.3).

4. Daten­schutz­konzept

4.1 Verarbeitete Daten­kategorien

Im Rahmen der Nutzung von CENTARIA werden folgende Kategorien personenbezogener Daten verarbeitet:

Hinweis: Nutzer können eigenständig Dokumente und Dateien in CENTARIA hochladen. Wenn Sie die KI-Funktionen zur automatischen Dokumentenanalyse nutzen, werden die hochgeladenen Dokumente vollständig an OpenAI übertragen (siehe Abschnitt 4.3). CENTARIA hat keinen Einfluss darauf, welche Inhalte hochgeladen werden. Wir empfehlen, keine besonders sensiblen Dokumente wie Ausweiskopien oder Gesundheitsdaten hochzuladen, sofern dies nicht zwingend erforderlich ist. Alle hochgeladenen Daten werden mit den gleichen Sicherheitsmaßnahmen geschützt wie die übrigen in dieser Dokumentation beschriebenen Daten.

Eine detaillierte Aufstellung finden Sie in unserer Datenschutzerklärung.

4.2 Auftrags­verarbeiter und Dritt­anbieter

Wir setzen folgende Dienstleister ein, mit denen entsprechende Datenschutzvereinbarungen bestehen:

4.3 Dritt­staaten­transfers

Bei der Nutzung bestimmter Dienste werden Daten in die USA übertragen. Diese Transfers werden durch Standardvertragsklauseln der EU-Kommission und das bestehende Data Processing Addendum (DPA) mit dem jeweiligen Anbieter abgesichert.

OpenAI (KI-Funktionen): CENTARIA nutzt die OpenAI API für verschiedene KI-gestützte Funktionen. Die Übertragung von Daten an OpenAI erfolgt ausschließlich durch eine aktive Nutzeraktion und nie automatisch im Hintergrund. Im Einzelnen:

• Dokumenten-Scan: Beim Klick auf die Scan-Funktion wird das hochgeladene Dokument vollständig an OpenAI übertragen. Dabei können Mieterdaten, Vertragsdaten und Wohnungsdaten enthalten sein.
• Exposé-Erstellung: Beim Erstellen eines Exposés werden Immobiliendaten und Mieterdaten an OpenAI übermittelt.
• Maklertext: Beim Generieren eines Maklertextes werden die vom Nutzer ausgewählten Daten übertragen.
• Marktdaten-Analyse: Bei der Abfrage von Marktdaten werden Adressdaten übermittelt.

Die übertragenen Daten können personenbezogene Daten enthalten, z.B. Namen, Adressen, Kontaktdaten und Mietkonditionen.

Wichtig für Sie:

• OpenAI speichert die übermittelten Daten nicht dauerhaft und verwendet sie nicht zum Training von KI-Modellen (gemäß OpenAI API Data Usage Policy und DPA)
• Die Daten werden ausschließlich für die Verarbeitung Ihrer Anfrage verwendet und anschließend gelöscht
• Die Übertragung erfolgt verschlüsselt über HTTPS
• Es werden nur die Dokumente übermittelt, die Sie aktiv zur KI-Analyse freigeben

Google Maps Platform: Zur Darstellung von Immobilien auf der Karte werden Adressen an die Google Maps API übermittelt. Google hat seinen Sitz in den USA. Der Transfer wird durch die Google Data Processing Terms und Standardvertragsklauseln abgesichert.

5. Ihre Rechte als Betrof­fener

Sie haben gemäß DSGVO umfassende Rechte bezüglich Ihrer personenbezogenen Daten:

So machen Sie Ihre Rechte geltend: Schreiben Sie uns an pericles@centaria.net oder hello@centaria.net. Wir bearbeiten Ihre Anfrage innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

6. Lösch- und Sperr­konzept

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Wenn gesetzliche Aufbewahrungspflichten einer sofortigen Löschung entgegenstehen, werden Ihre Daten gesperrt. Gesperrte Daten sind im Regelbetrieb nicht mehr zugänglich und werden nach Ablauf der Frist endgültig gelöscht.

7. Melde­verfahren bei Daten­schutz­vorfällen

Im Falle einer Verletzung des Schutzes personenbezogener Daten handeln wir gemäß Art. 33 und 34 DSGVO:

• Sofortige interne Erkennung und Dokumentation des Vorfalls
• Bewertung des Risikos für betroffene Personen
• Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden (sofern ein Risiko für Ihre Rechte besteht)
• Unverzügliche Benachrichtigung betroffener Personen bei hohem Risiko
• Ursachenanalyse und Umsetzung von Abhilfemaßnahmen

Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach

Datenschutzkontakt: pericles@centaria.net / +49 (0) 176 6433 4630

8. Zertifikate und Nachweise

Folgende Nachweise zur Sicherheit und DSGVO-Konformität liegen vor:

Die CENTARIA GmbH verfügt derzeit über keine eigenen Zertifizierungen (z.B. ISO 27001). Die Sicherheit der Plattform wird durch die in dieser Dokumentation beschriebenen technisch-organisatorischen Maßnahmen sowie die Zertifizierungen unserer Hosting- und Infrastrukturpartner gewährleistet.

9. Kontakt

Bei Fragen zum Datenschutz, zu Ihren Rechten oder zu dieser Dokumentation wenden Sie sich bitte an:

Die vollständige Datenschutzerklärung finden Sie unter centaria.net/datenschutz.

CENTARIA GmbH – Auf der Eierwiese 3A – 82031 Grünwald – Amtsgericht München HRB 300574 – USt-IdNr. DE453649078