Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Liegora EinzelunternehmenInhaber Leonard SchoonGanghoferstr. 1830177 HannoverDeutschlandE-Mail: datenschutz@liegora.de

Weitere Kontaktdaten finden Sie im Impressum.

Wir erheben und verarbeiten folgende personenbezogene Daten:

• Kontodaten: E-Mail-Adresse, Name, optional Firmenname.
• Beta-Zugangsanfragen: E-Mail-Adresse, Anfragezeitpunkt und Bearbeitungsstatus.
• Objektdaten: Adressen und Details Ihrer Immobilien.
• Mieterdaten: Namen, Kontaktdaten, Bankverbindungen der Mieter.
• Finanzdaten: Mietbeträge, Zahlungseingänge, Belege.
• Technische Daten: IP-Adresse, Browser-Typ, Zeitstempel — nur für Sicherheits- und Betriebszwecke.

Mieter-, Vertrags-, Zahlungs- und Dokumentdaten erhalten wir regelmäßig nicht von der betroffenen Person selbst, sondern von dem Liegora-Kunden beziehungsweise Vermieter, aus den von ihm bereitgestellten Dokumenten und Importen oder aus den von ihm angebundenen Zahlungs- und Kommunikationsvorgängen. Betroffen sein können Mieter, Mitmieter, Bürgen, Dienstleister, Ansprechpartner und sonstige Vertragsparteien.

Verarbeitet Liegora diese Daten ausschließlich nach Weisung des Kunden, ist der Kunde Verantwortlicher und Liegora Auftragsverarbeiter. Der Kunde muss die betroffenen Personen nach Art. 14 DSGVO insbesondere über Quelle, Kategorien, Zwecke, Rechtsgrundlage, Empfänger, Drittlandtransfers, Fristen und Rechte informieren — grundsätzlich innerhalb eines Monats, spätestens bei der ersten Kommunikation oder Offenlegung, soweit keine gesetzliche Ausnahme greift. Liegora unterstützt diese Pflicht über den AVV und die hier veröffentlichten Empfängerinformationen.

Soweit Liegora einzelne technische Daten für eigene Sicherheits-, Missbrauchsabwehr- oder Rechtsverteidigungszwecke verarbeitet, gelten ergänzend die nachstehenden Angaben dieser Datenschutzerklärung.

Die Verarbeitung wird den folgenden Zwecken zugeordnet:

• Account, Beta-Anfrage, Vertrag und Support: Art. 6 Abs. 1 lit. b DSGVO für Vertragserfüllung und vorvertragliche Maßnahmen.
• Optionale Produktanalyse: Art. 6 Abs. 1 lit. a DSGVO; die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar.
• Sicherheit, Verfügbarkeit und Missbrauchsabwehr: Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind der sichere, stabile und nachvollziehbare Betrieb, die Abwehr unbefugter Zugriffe und die Durchsetzung beziehungsweise Verteidigung von Ansprüchen.
• Rechnungs- und Nachweispflichten: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den jeweils einschlägigen handels- und steuerrechtlichen Vorschriften.
• Vom Kunden verwaltete Mieter- und Immobiliendaten: Verarbeitung durch Liegora nach dokumentierter Weisung und Art. 28 DSGVO. Die konkrete Rechtsgrundlage nach Art. 6 DSGVO bestimmt und dokumentiert der verantwortliche Kunde.

Liegora setzt KI-Technologie für die Zahlungszuordnung, die Belegerkennung (OCR), den optionalen Steuerdatencheck und den KI-Assistenten ein.

• Zahlungszuordnung: Erkennung und Zuordnung von Bankbuchungen zu Mietern.
• Belegerkennung: Auslesen von Mietverträgen, Nebenkostenabrechnungen und Belegen zur Datenextraktion. Diese Funktion ist zunächst deaktiviert. Vor der ersten Übermittlung wird die Aktivierung direkt im Scan-/Uploadvorgang abgefragt; eine spätere Deaktivierung bleibt möglich.
• KI-Assistent: Fragen-Antworten-Dialog auf Basis von Sprachmodellen.
• Anbieter: Der Code nutzt OpenAI für KI-Agent, Matching, Dokumentparser und OCR sowie Anthropic beim optionalen Steuerdatencheck. Nicht maschinenlesbare PDFs/Bilder werden für Vision-OCR an OpenAI übermittelt. Nutzerbezug, Anbieter, Modell, Vorgang, Status und Zeitpunkte eines OCR-Aufrufs werden inhaltsfrei protokolliert; Dokument, Prompt und Antwort werden nicht in diesem Provider-Nachweis gespeichert.
• Datensparsamkeit: In maschinenlesbar extrahiertem OCR-Text werden erkannte IBANs, E-Mail-Adressen und Telefonnummern vor dem Modellaufruf maskiert. Bei Vision-OCR muss der für die Erkennung erforderliche sichtbare Dokumentinhalt an den ausgewählten Vision-Anbieter übertragen werden.
• Training: Produktive KI-Nutzung setzt voraus, dass ein Ausschluss der Nutzung von Kundendaten zum Modelltraining über Anbieterbedingungen oder vertragliche Nachweise belegbar ist.

Die Aktivierung einer KI-Funktion durch einen Kunden ist eine technische Weisung des Kunden und ersetzt weder dessen Rechtsgrundlage für die betroffenen Daten noch eine gegebenenfalls erforderliche Information oder Einwilligung der betroffenen Person.

Liegora ist nicht für ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO bestimmt. KI-Ausgaben sind Vorschläge; insbesondere rechtliche, steuerliche, finanzielle und mieterbezogene Ergebnisse müssen von einem Menschen geprüft werden. Sensible Aktionen bleiben freigabepflichtig. Eine abweichende Nutzung setzt eine gesonderte rechtliche Prüfung, geeignete Schutzmaßnahmen und gegebenenfalls eine Datenschutz-Folgenabschätzung voraus.

Wir setzen PostHog für Nutzungsanalyse und Produktmessung ein. Der Dienst wird nur geladen, wenn Sie diesem Zweck zugestimmt haben. Dabei können technische Nutzungsdaten, pseudonyme Nutzerkennungen, Eventnamen, Zeitstempel und Browser-/Gerätekontext verarbeitet werden. Produktanalyse-Ereignisse werden auf Status-, Kategorie- und grobe Mengenwerte begrenzt; direkte Inhalte wie Namen, E-Mail-Adressen, IBANs, Vertragsnummern, Dateinamen und URL-Suchparameter werden vor der Übermittlung an PostHog nicht bewusst erfasst beziehungsweise technisch herausgefiltert. Die GeoIP-Anreicherung wird für jedes Ereignis deaktiviert; Autocapture und Session Recording sind im Runtime-Code nicht aktiviert.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Ohne Einwilligung wird der Dienst nicht aktiviert. Auch eine Einwilligung allein genügt nicht: Die Anwendung lädt PostHog nur, wenn zusätzlich eine technische Compliance-Freigabe gesetzt ist.

Zum Stand dieser Erklärung meldet das PostHog-Projekt für Event- und Property-Daten eine Aufbewahrung von 84 Monaten; die providerseitige Durchsetzung der Aufbewahrung ist nicht aktiviert. Deshalb bleibt die Produktanalyse technisch gesperrt, bis eine kürzere erforderliche Frist, die dauerhafte Löschung, der Betroffenenrechte-Prozess sowie Vertrags- und Transfernachweise dokumentiert und freigegeben sind.

Je nach aktivierter Funktion können folgende Dienstleister Daten empfangen. Anbieter, Hauptsitz, technische Region und Drittlandgarantie sind voneinander zu unterscheiden:

• Supabase Inc. (USA) — Datenbank, Authentifizierung, Edge Functions und privater Dateispeicher; die Projektregion ist Frankfurt am Main. Mögliche US-Zugriffe und Weiterübermittlungen werden durch das Anbieter-DPA einschließlich EU-Standardvertragsklauseln abgesichert.
• Vercel Inc. (USA) — Auslieferung, CDN und technische Request-/Sicherheitslogs; die konfigurierte Functions-Region ist Frankfurt am Main (fra1). CDN, Kontroll-, Support- und Unterauftragsverarbeiterpfade können die USA und weitere Länder einbeziehen. Der produktive Einsatz für personenbezogene Kundendaten setzt eine für den tatsächlich gebuchten Tarif wirksame DPA-/SCC-Abdeckung voraus.
• IONOS SE (Deutschland) — Domain, DNS und gegebenenfalls der gesondert konfigurierte Auth-E-Mail-Versand.
• Stripe Payments Europe, Ltd. (Irland) — Checkout, Abonnement, Rechnung, Kundenportal und Zahlungs-Webhooks. Stripe verarbeitet bestimmte Zahlungs- und Betrugspräventionsdaten auch in eigener Verantwortlichkeit; konzerninterne Drittlandtransfers stützen sich nach Anbieter-DPA auf anwendbare Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere zulässige Mechanismen.
• Resend / Plus Five Five, Inc. (USA) — Versand transaktionaler Anwendungs-E-Mails, sofern produktiv konfiguriert; Anbieter-DPA mit Standardvertragsklauseln und EU-US Data Privacy Framework.
• OpenAI Ireland Ltd. (Irland) — optionale KI-Agent-, Matching-, Parser- und OCR-Funktionen. Weiterübermittlungen an verbundene Unternehmen oder Unterauftragsverarbeiter außerhalb des EWR erfolgen nach Anbieter-DPA über Standardvertragsklauseln oder einen Angemessenheitsbeschluss.
• Google — Maps, Geocoding und Calendar nur bei Konfiguration und konkreter Nutzung; je Dienst können Google Ireland und weitere Konzerngesellschaften beziehungsweise Unterauftragsverarbeiter, insbesondere in den USA, beteiligt sein.
• Anthropic, PBC (USA) — optionaler, separat aktivierter KI-Steuerdatencheck; das kommerzielle Anbieter-DPA bezieht EU-Standardvertragsklauseln ein.
• PostHog Inc. (USA), Cloud EU — optionale Produktanalyse nach Einwilligung. Die Runtime bleibt zusätzlich technisch gesperrt, bis Aufbewahrung, Löschung, Vertrag und Transferdokumentation freigegeben sind.

Der jeweils dokumentierte Einsatz-, Vertrags- und Transferstatus wird im versionierten Auftragsverarbeiterverzeichnis gepflegt. Bekannte Drittlandziele sind insbesondere die USA; weitere Länder können sich aus den jeweils aktuellen Unterauftragsverarbeiterlisten ergeben. Ein Dienst wird nicht für personenbezogene Produktivdaten freigegeben, solange Vertrag, konkretes Zielland, Transfermechanismus und erforderliche Zusatzmaßnahmen nicht dokumentiert sind. Eine Kopie der einschlägigen Garantien erhalten Sie, soweit verfügbar, über die oben genannte Datenschutz-E-Mail-Adresse.

Soweit Sie personenbezogene Daten Dritter — insbesondere Ihrer Mieterinnen und Mieter — in Liegora einstellen und Liegora diese Daten weisungsgebunden für Sie verarbeitet, sind Sie Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und Liegora Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. In diesem Fall ist vor erstmaliger Verarbeitung ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO abzuschließen — unabhängig davon, ob Sie privat oder gewerblich vermieten. AVV, technische und organisatorische Maßnahmen sowie Unterauftragsverarbeiter sind unter liegora.de/avv abrufbar. Der elektronische Abschluss wird versioniert dokumentiert und ist vor der erstmaligen Einstellung von Mieterdaten erforderlich.

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten in den Account-Einstellungen.
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO).
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen Manipulation, Verlust, Zerstörung und unbefugten Zugriff zu schützen. Die Datenübertragung zwischen Browser und Plattform erfolgt verschlüsselt über HTTPS/TLS. Die konkrete TLS-Version und Cipher Suite werden vom Browser und der eingesetzten Infrastruktur ausgehandelt. Datenbank, Authentifizierung und Storage der Plattform werden im Supabase-Projekt in Frankfurt am Main betrieben; Vercel Functions sind für Frankfurt (fra1) konfiguriert. Regionen externer Dienste können je nach Funktion Übermittlungen in Drittländer einbeziehen. Wir empfehlen die Aktivierung der Zwei-Faktor-Bestätigung im Account.

Die Anwendung bindet keine externe Google-Fonts- oder vergleichbare Font-CDN-URL aus dem HTML-Einstiegspunkt oder dem Theme-System ein; Schriften werden lokal beziehungsweise über System-Fallbacks geladen.

Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt, sofern keine gesetzlichen Aufbewahrungspflichten oder Rechtsansprüche entgegenstehen. Nach Vertragsende steht für den Export der Inhalte regelmäßig ein Zeitraum von 30 Tagen zur Verfügung.

Für handels- und steuerrechtlich relevante Unterlagen gelten je nach Unterlagenart Aufbewahrungsfristen von sechs, acht oder zehn Jahren (insbesondere § 257 HGB und § 147 AO). KI-Nachrichten, KI-Nutzungsdaten und inhaltsfreie KI-Provider-Nachweise werden nach zwei Jahren gelöscht; Bugreports nach einem Jahr. Beta-Zugangsanfragen werden spätestens zwölf Monate nach Eingang gelöscht; bei einem anschließenden Vertragsverhältnis werden die dafür erforderlichen Daten in den jeweiligen Vertrags- und Accountsystemen gesondert verarbeitet. Für die optionale Produktanalyse gilt der in Abschnitt 6 beschriebene Freigabestopp.

Wir verwenden technisch notwendige Cookies und vergleichbare lokale Speichermechanismen für Authentifizierung und sicheren Betrieb der Anwendung. Diese werden nach Beendigung der Sitzung gelöscht oder lokal im Browser verwaltet.

Optionale Analyse-Dienste werden erst nach Ihrer Einwilligung aktiviert. Sie können die Einwilligung jederzeit über die Datenschutz-Einstellungen widerrufen.

Für diese Entscheidung speichern wir lokal im Browser den Schlüssel liegora_privacy_consent_v2 bis zur Änderung Ihrer Auswahl oder bis Sie die Browserdaten löschen. Die Authentifizierungssitzung wird lokal bis zur Abmeldung, zum Ablauf oder zur serverseitigen Sperrung gehalten. Weitere lokale Speicherungen für Theme, Schriftgröße und Entwürfe verbleiben bis zur Änderung beziehungsweise Löschung im Browser; Portal-Sitzungen sind serverseitig befristet.

Bei Fragen zum Datenschutz erreichen Sie uns unter datenschutz@liegora.de.