Datenschutzerklärung

Stand: Oktober 2026 · nach DSGVO, BDSG und § 25 TDDDG

Mit dieser Datenschutzerklärung informieren wir Sie darüber, welche personenbezogenen Daten wir im Zusammenhang mit dem Betrieb von My Cortex, einer KI-gestützten Lösung zur Aufnahme und Vollständigkeitsprüfung von Unterlagen bei Verwaltungsübernahmen für Hausverwaltungen, verarbeiten, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht und welche Rechte Ihnen zustehen. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Diese Erklärung gilt für die Website my-cortex.de sowie für die damit verbundenen Funktionen.

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Ben Ferenc Burian
My Cortex (Einzelunternehmen)
Solquellstraße 13, 13467 Berlin, Deutschland

E-Mail: ferenc@my-cortex.de
Telefon: +49 176 43610124
Website: my-cortex.de

Für Anliegen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter ferenc@my-cortex.de.

Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt. Eine gesetzliche Pflicht zur Benennung besteht nach unserer Einschätzung derzeit nicht.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

My Cortex verarbeitet Daten in zwei unterschiedlichen Rollen:

• Als Verantwortlicher für die Daten, die beim Besuch der Website und bei der Nutzung des Kontos anfallen (z. B. Zugangsdaten, Protokolldaten, Kommunikation). Diese Verarbeitungen beschreibt die vorliegende Datenschutzerklärung. Dasselbe gilt für das Dienstleisterverzeichnis, einen eigenen Bestand mit Kontaktdaten von Betrieben (Ziffer 11).
• Als Auftragsverarbeiter für die Inhalte der Unterlagen, die eine Hausverwaltung zur Prüfung hochlädt und die personenbezogene Daten Dritter (z. B. Eigentümer, Mieter, Vertragspartner) enthalten können. Insoweit ist die Hausverwaltung Verantwortliche; wir verarbeiten diese Daten ausschließlich weisungsgebunden auf Grundlage des Auftragsverarbeitungsvertrags (AVV).

3. Grundlagen der Verarbeitung

Verarbeitete Datenkategorien im Überblick

Rechtsgrundlagen nach Art. 6 DSGVO

Soweit wir eine Verarbeitung auf ein berechtigtes Interesse stützen, ist unser Interesse der sichere, stabile und wirtschaftliche Betrieb unseres Angebots. Die Vorschriften des Bundesdatenschutzgesetzes (BDSG) und, soweit einschlägig, des § 25 TDDDG bleiben unberührt.

4. Hosting und Datenbank

Wir hosten die Website, die Anwendung und die zugehörige Datenbank bei der Clever Cloud SAS (PaaS-Hosting). Der Serverstandort liegt in der Europäischen Union (Frankreich). Clever Cloud verarbeitet die bei der Nutzung anfallenden Daten in unserem Auftrag; ein Drittlandbezug findet nicht statt. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer, effizienter Betrieb) sowie, soweit die Verarbeitung der Vertragserfüllung dient, Art. 6 Abs. 1 lit. b DSGVO.

5. Zugriffsdaten und Server-Logfiles

Bei jedem Aufruf werden durch Ihren Browser automatisch Informationen an den Server übermittelt und über unseren Hosting-Anbieter (Clever Cloud) vorübergehend in Server-Logfiles gespeichert. Erfasst werden insbesondere:

• die IP-Adresse des anfragenden Endgeräts,
• Datum und Uhrzeit des Zugriffs,
• die aufgerufene URL bzw. Datei,
• der verwendete Browsertyp nebst Version (User-Agent).

Zweck ist die Auslieferung der Inhalte, die Systemsicherheit sowie die Abwehr und Auswertung von Angriffen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und störungsfreien Betrieb nach Art. 6 Abs. 1 lit. f DSGVO. Die Server-Logfiles werden nach 30 Tagen gelöscht; bei sicherheitsrelevanten Vorfällen kann eine längere Speicherung erforderlich sein.

6. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies und vergleichbare Technologien, die für den Betrieb erforderlich sind:

• ein Session-Cookie zur Sitzungsverwaltung und Anmeldung sowie ein zugehöriger CSRF-Schutz (Schutz vor gefälschten Formularanfragen),
• lokaler Speicher Ihres Browsers für Komfortfunktionen (z. B. die Wahl zwischen hellem und dunklem Design; Schlüssel mc-theme). Diese Angabe verbleibt auf Ihrem Gerät und wird nicht an uns übertragen.
• lokaler Speicher und Browser-Datenbank (IndexedDB) für den Arbeitsstand der Werkstatt. Solange Sie an einer Übernahme arbeiten, hält Ihr Browser den Vorgang vor: die Analyseergebnisse, die Zuordnungen zu den Katalogpunkten, Ihre eigenen Korrekturen daran sowie Ihre Prüfvermerke – abgehakte oder bestrittene Befunde nebst der von Ihnen dazu erfassten Begründung im Freitext und dem Zeitpunkt Ihrer Entscheidung. In der Browser-Datenbank liegen zusätzlich die von Ihnen hinzugefügten Originaldateien. Diese Daten sind je Projekt getrennt (Schlüssel mc-live-vorgang-<Projekt>-n<Nutzer> bzw. mc-live-pdfs-<Projekt>) und an das jeweilige Gerät und Browserprofil gebunden. Der Arbeitsstand ist zusätzlich an Ihr Konto gebunden: meldet sich am selben Browser eine andere Person an, sieht sie Ihren Stand nicht. Beim Abmelden löscht der Browser den Gesprächsverlauf des Assistenten; er liegt weiter auf unserem Server und erscheint nach Ihrer nächsten Anmeldung wieder.

Wozu das dient und wann es Ihr Gerät verlässt. Der Arbeitsstand liegt lokal, damit ein Neuladen der Seite Ihre Durchsicht nicht verwirft; eine Übernahme wird über Wochen bearbeitet. Ihre Prüfvermerke werden dabei nicht laufend an uns übertragen und von uns auch nicht gespeichert. Sie werden nur dann an unseren Server übermittelt, wenn Sie einen Übernahme-Report erzeugen – dort gehören sie hinein, damit der Report zeigt, was Sie selbst geprüft haben. Für die Erstellung des Reports werden sie verarbeitet und anschließend nicht aufbewahrt. Für die hochgeladenen Unterlagen selbst gelten Ziffer 9 und 10.

Wie Sie diese Daten löschen. In der Werkstatt über „Unterlagen löschen“ bzw. über das Verwerfen des gespeicherten Standes; beides entfernt Vorgang, Prüfvermerke und abgelegte Originaldateien aus Ihrem Browser. Ebenso wirkt das Löschen der Browserdaten für diese Website. Ein erneuter Analyselauf löscht Ihre Prüfvermerke bewusst nicht – sonst ginge beim Nachreichen einzelner Belege Ihre gesamte bisherige Durchsicht verloren. Ein bereits erzeugter Report liegt als Datei bei Ihnen und wird durch das Löschen im Browser nicht berührt.

Kein Training. Ihre Prüfvermerke werden keinem KI-Modell vorgelegt und nicht zum Training oder zur Verbesserung von Modellen verwendet (siehe Ziffer 10). Sie sind Ihre Entscheidung über einen maschinellen Befund, keine Rückmeldung an die Maschine.

Diese Technologien sind nach § 25 Abs. 2 TDDDG einwilligungsfrei, da sie unbedingt erforderlich sind, um den von Ihnen gewünschten Dienst bereitzustellen. Rechtsgrundlage für die damit verbundene Verarbeitung ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Einwilligungspflichtige Analyse-, Tracking- oder Marketing-Technologien setzen wir nicht ein; ein Cookie-Banner ist daher nicht erforderlich.

7. Schriftarten

Die auf der Website verwendeten Schriftarten werden von unserem eigenen Server ausgeliefert (Self-Hosting). Ein Abruf bei Drittanbietern wie Google Fonts findet nicht statt; Ihre IP-Adresse wird dabei nicht an Dritte übermittelt. Einzige Ausnahme ist das Anzeigeelement für Google-Bewertungen (Ziffer 12): Es bringt seine eigene Schrift von Google Fonts mit und wird nur geladen, wenn der Kunde die Anzeige eingeschaltet hat und der Nutzer bei einem Dienstleister darauf klickt.

8. Nutzerkonto und Zugang

Für die Nutzung der geschützten Bereiche (Werkstatt/Anwendung) ist ein Nutzerkonto erforderlich. Verarbeitet werden dabei insbesondere Ihre E-Mail-Adresse, ein Passwort (ausschließlich in verschlüsselter/gehashter Form gespeichert), Ihre Rolle sowie die von Ihnen angelegten Übernahmeprojekte und die zugehörige Nutzungshistorie. Die Zugänge zu den geschützten Bereichen legen wir an, oder sie entstehen, wenn jemand die Einladung des Inhabers einer Firma annimmt und dabei selbst ein Passwort festlegt. Eine offene Registrierung gibt es nicht. Ein Anmelden über Drittanbieter (Social-/OAuth-Login) findet ebenfalls nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wird Ihr Konto gelöscht, werden die zugehörigen Daten einschließlich Projekte und Nutzungshistorie gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (siehe Ziffer 15).

E-Mails an Ihr Nutzerkonto

Im Zusammenhang mit dem Nutzerkonto versenden wir E-Mails, die für den Zugang erforderlich sind: die Einladung zur Einrichtung eines Zugangs und die Nachricht zum Zurücksetzen eines Passworts. Verarbeitet werden dabei Ihre E-Mail-Adresse, Betreff und Nachrichtentext sowie ein befristet gültiger Link. Für den Versand setzen wir seit dem 30. August 2026 Sendinblue SAS (Marke „Brevo“) mit Sitz in Paris, Frankreich, als Auftragsverarbeiter ein. Die Verarbeitung findet nach Angaben des Anbieters auf Servern in Frankreich und Deutschland statt; der Anbieter setzt dabei eigene Unterauftragsverarbeiter ein, von denen einzelne außerhalb der EU verarbeiten können (siehe Ziffer 13). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da der Versand zur Bereitstellung des Zugangs erforderlich ist. Werbe-E-Mails und einen Newsletter versenden wir nicht (siehe Ziffer 14).

Lädt der Inhaber einer Firma eine Person in seine Firma ein, schicken wir ihr eine Einladung mit einem 7 Tage gültigen Link, auch wenn sie noch kein Nutzerkonto hat. Die E-Mail-Adresse stammt dann vom einladenden Inhaber; verarbeitet werden die Adresse, der Name des Einladenden, der Name der Firma, die vorgesehene Rolle und der Zeitpunkt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse und das des einladenden Kunden liegt darin, Mitarbeitenden den gewünschten Zugang zum Firmenkonto zu geben. Nimmt die Person die Einladung nicht an, endet der Link nach 7 Tagen; die Einladung selbst bleibt als Nachweis gespeichert, solange das Firmenkonto besteht. Der Versand läuft über denselben Anbieter wie oben.

Nachforderungen an Dritte laufen nicht über diesen Weg. Sie versendet der Kunde aus seinem eigenen Postfach; wie das im Einzelnen abläuft, steht in Ziffer 11 und Ziffer 12.

Zustimmung zum Auftragsverarbeitungsvertrag

Beim Anmelden holen wir die Zustimmung zur jeweils geltenden Fassung des Auftragsverarbeitungsvertrags ein. Dabei speichern wir die Fassung, den Zeitpunkt, den Link der Fassung, die IP-Adresse und die Browserkennung (User-Agent). Für dieses Protokoll sind wir selbst Verantwortliche: Es dient allein dem Nachweis, dass die Zustimmung vorlag (Art. 5 Abs. 2 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, daneben unser berechtigtes Interesse an der Nachweisbarkeit (Art. 6 Abs. 1 lit. f DSGVO). Das Protokoll wird mit dem Nutzerkonto gelöscht.

9. Verarbeitung hochgeladener Unterlagen (Kernfunktion)

Kern des Dienstes ist die Aufnahme und Prüfung von Unterlagen einer Verwaltungsübernahme. Sie laden hierfür Dokumente (in der Regel PDF) hoch; deren Text wird ausgelesen (OCR), Dokumentenkategorien zugeordnet, auf Vollständigkeit geprüft und es werden Entwürfe für Nachforderungen erstellt. Diese Unterlagen können personenbezogene Daten Dritter enthalten (z. B. Eigentümer, Mieter, Vertragspartner).

Bei dieser Verarbeitung handeln wir als Auftragsverarbeiter für die Hausverwaltung als Verantwortliche; maßgeblich ist der Auftragsverarbeitungsvertrag (AVV). Die Ergebnisse werden vor einer Weiterverwendung stets durch einen Menschen geprüft (menschliche Endkontrolle).

Wer die Unterlagen sehen kann

Eine Übernahme gehört dem Nutzerkonto, das sie angelegt hat. Gibt der Eigentümer sie ausdrücklich seiner Firma, sehen sie auch die Mitglieder dieser Firma mit den Rollen Inhaber, Verwalter oder Buchhaltung. Gäste sehen keine Übernahmen. Mitglied wird nur, wer die Einladung eines Inhabers selbst annimmt, und der Eigentümer kann die Übernahme jederzeit zurückholen. Ohne diese Zuordnung sieht niemand außer dem Eigentümer die Übernahme. Die Firmenangabe im Profil ist eine Beschriftung und steuert keinen Zugriff. Gespräche mit dem Assistenten bleiben privat und sind für andere Mitglieder nicht sichtbar. Jeder Aufruf, der eine Übernahme oder ein Dokument betrifft, prüft, ob das anfragende Konto der Eigentümer oder ein berechtigtes Mitglied der Firma ist.

Zugriff durch uns. Für Betrieb und Abrechnung besteht ein Verwaltungsbereich, den nur Konten mit Administratorrolle bei My Cortex erreichen. Dort sind je Kunde sichtbar: die Bezeichnungen seiner Übernahmen, die Anzahl der Dokumente darin, die Namen der zuletzt hochgeladenen Dateien sowie Verbrauchs- und Abrechnungszahlen. Dateinamen können selbst personenbezogene Daten enthalten, etwa wenn Eigentümer oder Mieter darin genannt sind. Ein Öffnen der Dokumentinhalte über diesen Bereich findet nicht statt. Zugriffe erfolgen nur, soweit sie zur Erbringung des Dienstes, zur Störungsbeseitigung oder zur Abrechnung erforderlich sind, bei Zustimmung zur AVV-Fassung 2.2 auch zur Fehleranalyse und zum Testen neuer Versionen (siehe unten), und ausschließlich weisungsgebunden nach dem AVV.

Mietshäuser: strukturierte Daten je Mietverhältnis

Legt der Kunde eine Übernahme als Mietshaus an und lässt sie prüfen, läuft eine zweite Prüfstrecke. Sie ist für Unterlagen gebaut, in denen Mieter namentlich vorkommen: Mieterlisten, Mietverträge und Nachträge, Übergabeprotokolle, Kautionsnachweise, Betriebs- und Heizkostenabrechnungen, Mieterhöhungen, Kündigungen, Mahnungen, Klagen, Offene-Posten-Listen und Kontoauszüge. Aus ihnen bildet die Anwendung je Einheit und je Mietverhältnis einen strukturierten Datensatz und speichert ihn an der Übernahme.

Darin stehen, soweit die Unterlagen sie hergeben: die Namen der Mieter, die Einheit, Mietbeginn und Mietende, Nettokaltmiete und Vorauszahlungen, Höhe und Art der Kaution, Staffel- oder Indexklauseln, Kündigungsfristen, Ein- und Auszugsdaten; aus Offene-Posten-Listen der Rückstand, die Zahl der offenen Monatsmieten und die Mahnstufe; aus Mahn- und Klageunterlagen die Art des Verfahrens, der nächste Termin sowie Gericht und Kanzlei; dazu Fristen, die daraus abgeleitet werden. Kontaktdaten von Handwerkern, Versorgern, Versicherern, Messdiensten und Behörden (Name, Telefon, E-Mail, Kundennummer) kommen in ein Kontaktverzeichnis der Übernahme. Von Bankverbindungen werden nur die letzten vier bis sechs Ziffern der IBAN und der Kontostand zum Übergabestichtag übernommen, keine vollständige IBAN.

Für die Zuordnung der Dokumenttypen und für das Auslesen der Felder werden die Inhalte an den KI-Dienst nach Ziffer 10 übermittelt; Verträge, Nachträge, Kündigungen und Klagen an ein größeres Modell desselben Anbieters. Die Prüfung selbst (fehlende Anlagen, überfällige Abrechnungen, Rückstände ab einer Monatsmiete, Verfahren ohne Akte, Staffel- und Indexoptionen) läuft in Prüfregeln als Programmcode ohne Modell. Ihr Ergebnis sind Befunde mit einer Dringlichkeitsstufe. Ein Befund ist ein Hinweis an die Verwaltung, keine Entscheidung gegenüber einem Mieter: Es gibt keine Bewertung der Zahlungsfähigkeit und keine Risikoeinstufung von Personen. Der Export der Übernahme trägt den Hinweis, Befunde vor der Verwendung im Original zu prüfen.

Inhaltsprüfung der Übergabe. Zusätzlich liest ein KI-Modell bei Nebius B.V. (Niederlande, siehe Ziffer 10 und 13) aus Übergabeschreiben, Kontoauszügen und Saldenbestätigungen, Mieterlisten und Kautionsnachweisen die Angaben, an denen die Übergabe geprüft wird: Stichtag, Salden von Miet- und Kautionskonto, Kautionen je Mieter, Stand der Betriebskostenabrechnungen und der Kontovollmacht, jeweils mit einem wörtlichen Zitat aus dem Beleg. Übermittelt wird dabei der ausgelesene Text des Dokuments, bis zu 40.000 Zeichen, also auch die darin genannten Mieter, Beträge und ungekürzten Kontonummern. Aus den Angaben entstehen Hinweise, die die Werkstatt mit Zitat anzeigt; sie werden mit der Übernahme gespeichert.

Für den regionalen Mietvergleich fragt die Anwendung die Mietverteilung der Gemeinde beim Webservice der Zensusdatenbank 2022 der Statistischen Ämter ab. Übermittelt wird dabei allein der amtliche Gemeindeschlüssel, keine Angaben zu Objekt, Mietern oder Kunden; die Antwort wird je Gemeinde in unserer Datenbank vorgehalten.

Die strukturierten Daten und die Befunde werden mit der Übernahme gelöscht (Ziffer 15). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO im Rahmen der Auftragsverarbeitung.

Prüfvermerke und die Kalibrierung der Prüfregeln

Zu jedem Befund der Mietshaus-Prüfung kann der Nutzer einen Status setzen: erledigt, nicht relevant oder wieder offen, bei „nicht relevant“ mit einem Grund. Die Anwendung vermerkt dazu den Zeitpunkt der ersten Interaktion mit dem Befund und den Zeitpunkt der letzten Änderung. Diese Vermerke gehören zur Prüfung und werden mit ihr gespeichert.

Aus diesen Vermerken rechnet die Anwendung eine Kalibrierung der Prüfregeln. Je Prüfregel und über alle Mietshäuser desselben Nutzerkontos entstehen dabei: die Zahl der Befunde, die Erledigungsquote, die Wegklickquote (wie oft „nicht relevant“ gewählt wurde), die mittlere Zeit (Median) von der Prüfung bis zur ersten Interaktion in Stunden und die Zahl der Alarm-Budget-Vermerke. Zweck ist, Regeln zu erkennen, die zu oft Fehlalarme erzeugen. Die Werte werden nicht gespeichert, sondern bei jedem Abruf neu aus den Vermerken gerechnet.

Wer das sieht: nur das Nutzerkonto selbst, über eine angemeldete Abfrage der eigenen Übernahmen. Es gibt keine Ansicht für andere Konten, keine für Administratoren bei My Cortex, keinen Export und keine Zusammenführung über Kunden hinweg. Wir verwenden die Werte nicht zur Beurteilung von Nutzern.

Wir nennen das hier ausdrücklich, weil die Nutzer in aller Regel Beschäftigte der Hausverwaltung sind und die Werte beschreiben, wie schnell und wie eine Person auf Hinweise reagiert. Ob und wie der Kunde als Arbeitgeber solche Werte verwenden darf und ob eine Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG zu beachten ist, entscheidet und verantwortet der Kunde. Eine Auswertung durch Vorgesetzte stellt My Cortex nicht bereit.

Fehleranalyse und Tests. Hat der Kunde der AVV-Fassung 2.2 zugestimmt, nutzen wir seine Unterlagen auch, um Fehler zu finden und neue Versionen des Dienstes zu testen (§ 2 Abs. 2 AVV). Die Unterlagen bleiben dabei im Dienst und laufen über dieselben Dienstleister wie im laufenden Betrieb; Zugriff haben nur zur Vertraulichkeit verpflichtete Personen bei uns. Die Unterlagen und alles, was beim Testen aus ihnen entsteht, werden mit der Übernahme gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO im Rahmen der Auftragsverarbeitung.

10. Einsatz von Künstlicher Intelligenz

Für die automatische Texterkennung, Klassifikation und Auswertung der Unterlagen sowie, soweit dabei eine KI-gestützte Zuordnung erfolgt, für den Abgleich einer vorhandenen Ablage anhand von Datei- und Ordnernamen (Ziffer 12) setzen wir den KI-Dienst Mistral AI SAS ein. Die Verarbeitung erfolgt in der Europäischen Union (Frankreich); ein Drittlandbezug findet nicht statt. Zur Erstellung der Analyse werden die erforderlichen Dokumentinhalte an den Dienst übermittelt. Mit dem Anbieter besteht eine Auftragsverarbeitung nach Art. 28 DSGVO (über dessen Nutzungsbedingungen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO im Rahmen der Auftragsverarbeitung (siehe Ziffer 9).

Übermittelte Inhalte verarbeitet der Anbieter ausschließlich weisungsgebunden zur Erbringung des beauftragten Dienstes. Eine Nutzung der Eingaben zum Training oder zur Verbesserung von KI-Modellen findet nicht statt. Der Anbieter speichert die übermittelten Inhalte für einen begrenzten Zeitraum, insbesondere zur Missbrauchskontrolle und zur Erfüllung gesetzlicher Pflichten, und löscht sie anschließend.

Für einzelne Prüfschritte der Auswertung können wir zusätzlich Scaleway SAS mit Sitz in Paris einsetzen. Auch diese Verarbeitung findet in Frankreich statt. Nach Angaben des Anbieters werden Eingaben nicht zum Training von KI-Modellen verwendet und nur zur Missbrauchskontrolle für bis zu zwei Wochen aufbewahrt. Mit dem Anbieter besteht eine Auftragsverarbeitung nach Art. 28 DSGVO.

Für die Inhaltsprüfung bei Mietshäusern (Ziffer 9) setzen wir das Modell GLM-5.3-Flash über die Token Factory von Nebius B.V. mit Sitz in Schiphol, Niederlande, ein. Anders als bei Mistral AI und Scaleway ist der Ort der Verarbeitung dabei nicht auf die EU beschränkt: Der Anbieter bestimmt das Rechenzentrum selbst, möglich sind Standorte in der EU bzw. im EWR, im Vereinigten Königreich, in Israel und in den USA (Ziffer 13). Ohne die Kontoeinstellung „Zero Data Retention“ kann er Eingaben und Ausgaben zur Beschleunigung der Antworten in Finnland speichern; eine Speicherdauer nennt er nicht. Nach seinen Bedingungen werden Eingaben nicht zum Training von KI-Modellen verwendet. Mit dem Anbieter besteht eine Auftragsverarbeitung nach Art. 28 DSGVO; sie ist Teil seiner Nutzungsbedingungen für die Token Factory.

Für die Erkennung des Dokumenttyps können wir zusätzlich das Modell Kev 4B über Opper Technology AB mit Sitz in Enebyberg (Region Stockholm), Schweden, einsetzen. Übermittelt werden die ersten 2.500 Zeichen des ausgelesenen Textes je Dokument, bei langen Dokumenten je Textabschnitt. Gerechnet wird in Irland, die Plattform des Anbieters liegt in Schweden; ein Drittlandbezug findet dabei nicht statt. Nach Angaben des Anbieters werden Inhalte bei diesem Modell weder gespeichert noch zum Training verwendet; Nutzungsdaten ohne Inhalte (Modell, Tokenzahl, Dauer, Kosten) hält er bis zu fünf Jahre vor. Solange dieser Schritt im Dienst nicht eingeschaltet ist, findet keine Übermittlung an den Anbieter statt. Mit dem Anbieter besteht eine Auftragsverarbeitung nach Art. 28 DSGVO; sie ist Teil seiner Nutzungsbedingungen.

Über Opper setzen wir außerdem das Modell GLM-5.3-Flash für die Inhaltsprüfung bei Mietshäusern und für den Assistenten ein. Gerechnet wird fest bei Berget AI AB in Stockholm, Schweden, als Unterauftragsverarbeiter von Opper; ein Ausweichen auf andere Anbieter oder Rechenorte ist ausgeschlossen. Nach Angaben von Opper speichert Berget Inhalte nicht und verwendet sie nicht zum Training.

11. Versand von Nachrichten an Dritte und Antworten darauf

Auf Grundlage der aufbereiteten Unterlagen erstellt My Cortex Entwürfe für Nachrichten an Dritte. Das sind zwei Arten:

• Nachforderungen: die Bitte um fehlende Unterlagen, etwa an Altverwalter, Versicherer oder Versorger.
• Vorstellungsschreiben: die Ankündigung des Verwalterwechsels gegenüber Dienstleistern und Handwerksbetrieben des Objekts.

Verarbeitet werden dabei die in den Unterlagen enthaltenen Kontaktdaten der Ansprechpartner sowie Betreff, Text und Versand-Metadaten der Nachricht. Für beide Arten gilt alles Folgende gleichermaßen.

Zu jedem versendeten Vorstellungsschreiben halten wir zusätzlich fest, warum es an genau diese Adresse ging: die verwendete Anschrift, den Beleg und die Fundstelle, aus denen sie stammt, sowie ob die E-Mail-Adresse aus einem Dokument gelesen oder von Hand eingetragen wurde. Diese Angaben werden mit dem Versand eingefroren. Ohne sie ließe sich die Frage „warum ging Post an diese Adresse?“ nachträglich nicht mehr beantworten, und das gerade dann nicht, wenn eine Nachricht falsch angekommen ist.

Der Versand erfolgt ausschließlich nach Freigabe durch den Kunden und über dessen eigenes, verbundenes Postfach. Für die versendeten Nachrichten ist der Kunde als Verantwortlicher zuständig. My Cortex handelt insoweit weisungsgebunden als Auftragsverarbeiter.

My Cortex fügt den erzeugten Nachrichten keinen Hinweis nach Art. 14 DSGVO bei. Die Pflicht, die Empfänger über die Verarbeitung ihrer Daten und deren Herkunft zu informieren, trifft den Kunden als Verantwortlichen für die versendete Nachricht, nicht My Cortex. Der Kunde sieht den Nachrichtentext vor dem Versand vollständig ein, kann ihn frei bearbeiten und entscheidet, was tatsächlich versendet wird.

Mit der Nutzung des Versands nimmt der Kunde zur Kenntnis und akzeptiert, dass er die Informationspflicht nach Art. 14 DSGVO selbst erfüllen muss und das rechtliche Risiko einer unterbliebenen Information selbst trägt. Die Anwendung weist vor dem Versand nicht darauf hin.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO im Rahmen der Auftragsverarbeitung.

Antworten und nachgereichte Unterlagen

Antwortet ein Empfänger auf eine Nachforderung, nimmt My Cortex diese Antwort entgegen und ordnet sie dem Vorgang zu, zu dem sie gehört. Das ist der einzige Weg, auf dem Unterlagen nicht vom Kunden selbst, sondern von einem angeschriebenen Dritten in die Verarbeitung gelangen.

Aus der eingehenden Nachricht werden nur drei Angaben gelesen: die Empfängeradresse, über die sie zugeordnet wird, die Absenderadresse und der Nachrichtentext. Betreff, Kopfzeilen, Nachrichtenkennungen und die übrigen Nachrichten desselben Schriftwechsels werden nicht ausgewertet und nicht gespeichert. Der Text wird bei 20.000 Zeichen abgeschnitten. Lässt sich eine eingehende Nachricht keinem Vorgang zuordnen, wird sie vollständig verworfen; es entsteht kein Eintrag mit ihrem Inhalt.

Anhänge. Mitgesendete Dateien werden in dieselbe Verarbeitung übernommen wie eine hochgeladene Unterlage (Ziffer 9) und dabei als nachgereicht und als aus einer Mail stammend gekennzeichnet. Angenommen werden höchstens zehn Dateien je Nachricht, je 25 MB und zusammen 50 MB. Zugelassen sind nur PDF-, PNG- und JPG-Dateien, und zwar nach ihrem tatsächlichen Inhalt, nicht nach der Dateiendung. Eine umbenannte Programmdatei wird abgewiesen. Der gelieferte Dateiname wird nicht übernommen, sondern neu gebildet: Pfadangaben und Sonderzeichen werden entfernt, und die Endung ergibt sich aus dem Inhalt der Datei. Abgewiesene Anhänge werden nicht gespeichert; der Absender erfährt nicht, welche Prüfung sie gestoppt hat.

Dieser Zugang ist der einzige Teil der Anwendung, der ohne Anmeldung erreichbar ist. Eine Antwortmail kann sich nicht anmelden. Er ist deshalb zusätzlich abgesichert: der einliefernde Dienst weist sich mit einem Schlüssel aus, die Zahl der Einlieferungen je Minute ist begrenzt, und je Vorgang gilt eine Obergrenze für nachgereichte Dokumente.

Der einliefernde Dienst. Die Antwortadresse des Dienstes liegt bei AC PM LLC (Postmark, 1 N Dearborn Street, Suite 500, Chicago, USA, eine Tochtergesellschaft der ActiveCampaign, LLC). Eine Antwort trifft zuerst dort ein und wird von dort an My Cortex übergeben. Der Anbieter verarbeitet dabei die vollständige Nachricht einschließlich Betreff, Kopfzeilen und Anhängen und hält sie nach eigenen Angaben 45 Tage vor; die Beschränkung auf drei Angaben oben gilt für das, was My Cortex daraus liest und speichert. Das ist der einzige Weg, auf dem Unterlagen aus einer Übernahme ein Drittland berühren. Die Grundlage dieser Übermittlung steht in Ziffer 13.

Verantwortlicher für diese Verarbeitung ist der Kunde; My Cortex handelt weisungsgebunden als Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO im Rahmen der Auftragsverarbeitung.

Das Dienstleisterverzeichnis: Betriebe in der Nähe des Objekts

Neben den Betrieben, die in den Unterlagen einer Übernahme belegt sind, zeigt die Anwendung auf Wunsch weitere Betriebe eines Gewerks in der Nähe des Objekts, etwa wenn ein Vertragspartner fehlt oder ein Angebot eingeholt werden soll. Dafür halten wir einen eigenen Datenbestand vor: das Dienstleisterverzeichnis.

Es enthält 108.635 Betriebe in Deutschland aus 28 Kategorien (unter anderem Elektro, Maler, Heizung und Sanitär, Dach, Gebäudereinigung, Gartenbau, Aufzugswartung) mit Firmenname, Straße, Postleitzahl, Ort, Telefonnummer, Website und Koordinaten. Quelle ist das offene Firmenverzeichnis der Overture Maps Foundation (Release 2026-08-19.0, Lizenz CDLA Permissive 2.0); die Nennung der Quelle steht unter jeder angezeigten Liste. Bei Einzelunternehmen kann der Firmenname der Name einer Person sein; insoweit sind es personenbezogene Daten. Es sind öffentlich verzeichnete Geschäftsdaten; Bewertungen, Preise oder sonstige Angaben zu den Inhabern enthält der Bestand nicht.

Für diesen Bestand sind wir Verantwortlicher, nicht Auftragsverarbeiter: Wir haben ihn zusammengestellt, er gehört zu keiner Übernahme, und er liegt als Datei in der Anwendung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse und das der Hausverwaltungen ist, für ein Objekt Betriebe in der Nähe zu finden, ohne dafür einen weiteren Dienst abzufragen. Die Anzeige sortiert allein nach der Entfernung zum Objekt; eine Rangfolge nach Bewertung, Preis oder Bezahlung gibt es nicht. Der Bestand wird von keinem KI-Dienst verarbeitet, für die Anzeige findet kein Aufruf nach außen statt, und er wird in Abständen aus der Quelle neu erzeugt.

Was mit einem Eintrag geschieht, entscheidet der Kunde: Er kann aus einem Eintrag eine Angebotsanfrage entwerfen und aus seinem eigenen Postfach versenden. Hat er die Anzeige von Google-Bewertungen eingeschaltet, können Firmenname und Anschrift eines angezeigten Betriebs an Google gehen (Ziffer 12).

Weil eine Information jedes einzelnen Betriebs bei dieser Zahl einen unverhältnismäßigen Aufwand bedeutete (Art. 14 Abs. 5 lit. b DSGVO), informieren wir an dieser Stelle öffentlich. Ein Betrieb kann der Aufnahme jederzeit widersprechen (Art. 21 DSGVO, Ziffer 16); wir entfernen den Eintrag dann aus dem Verzeichnis und nehmen ihn auch bei künftigen Neubauten des Auszugs nicht wieder auf. Eine Nachricht an ferenc@my-cortex.de genügt.

12. Optionale Anbindungen an Dienste des Kunden

Drei Funktionen sind optional und standardmäßig ausgeschaltet. Sie werden erst wirksam, wenn der Kunde sie in seinem Konto aktiv einschaltet und dabei der jeweiligen AVV-Fassung ausdrücklich zustimmt. Ohne diese Zustimmung findet keine Übermittlung an den betreffenden Anbieter statt. Alle drei lassen sich jederzeit mit Wirkung für die Zukunft wieder ausschalten.

Versand über ein verbundenes Microsoft-Postfach

Ist die Anbindung eingeschaltet, werden die vom Kunden freigegebenen Nachrichten über sein eigenes Microsoft-Postfach versendet. Dabei werden Betreff, Text, Empfänger- und Absenderadresse sowie die technischen Versand-Metadaten an Microsoft übermittelt; die hochgeladenen Unterlagen und deren Auswertung bleiben davon unberührt. Einzelheiten regelt die AVV-Fassung microsoft-v1.2.

Anbindung an Google Drive

Ist die Anbindung eingeschaltet, gleichen wir die bereits vorhandene Ablage des Kunden ab, importieren Unterlagen daraus und exportieren Ergebnisdokumente dorthin. Anders als beim Versand betrifft das vollständige Dokumente in beide Richtungen:

• Abgleich der vorhandenen Ablage: In dem vom Kunden bezeichneten Bereich des Laufwerks lesen wir die Verzeichnisdaten, also Namen von Ordnern und Dateien, Pfade und Struktur. Daraus ermitteln wir, welche Positionen einer Übernahme bereits abgedeckt sind, und leiten das im Bestand verwendete Benennungsschema ab. Erfasst sind dabei auch die Namen von Dateien, die nicht importiert werden; solche Namen können selbst personenbezogene Daten enthalten, etwa wenn Eigentümer oder Mieter darin genannt sind.
  Dieser Abgleich läuft weiter, solange die Anbindung besteht. Der freigegebene Ordner wird regelmäßig erneut gelesen, ohne dass der Kunde das jedes Mal auslöst; Dateien, die er später dort ablegt, werden dadurch ebenfalls erfasst. Er endet mit dem Trennen der Anbindung oder dem Zurückziehen der Freigabe in Google Drive.
• Import: die vom Kunden ausgewählten oder freigegebenen Dateien und Ordner samt Inhalt und Datei-Metadaten (z. B. Dateiname, Ordner, Größe, Zeitstempel),
• Export: die vom Kunden freigegebenen Ergebnis- und Dokumentdateien, etwa Übersichten, Lückenlisten, Prüflisten und Reports, samt der darin enthaltenen personenbezogenen Daten. Sie werden in die bestehende Struktur einsortiert und nach dem abgeleiteten Schema benannt. Ob wir überhaupt etwas ablegen dürfen, entscheidet der Kunde mit der vergebenen Rolle: Als „Betrachter“ lesen wir nur; erst „Beitragender“ erlaubt das Ablegen, und es setzt eine geteilte Ablage voraus. Was dort abgelegt wurde, bleibt beim Kunden, auch wenn er die Freigabe zurückzieht.

Der Zugriff bleibt auf den vom Kunden bezeichneten Bereich beschränkt; außerhalb davon lesen und speichern wir nichts. Das abgeleitete Benennungsschema und die dabei gewonnenen Verzeichnisdaten verwenden wir ausschließlich für Übernahmen dieses Kunden, nicht kundenübergreifend und nicht zum Training von Modellen. Es werden nur die für den jeweiligen Vorgang erforderlichen Berechtigungen angefordert und nur die dafür erforderlichen Daten verarbeitet. Einzelheiten, einschließlich der Grundlage für die Übermittlung in die USA, regelt die AVV-Fassung google-v1.2.

Anzeige von Google-Bewertungen zu Dienstleistern

Ist die Anzeige eingeschaltet, kann der Kunde zu einem Dienstleister die Bewertung aus dem Google-Unternehmensprofil einsehen (Sterne, Anzahl der Bewertungen, Branche, Öffnungszeiten, Kontaktdaten, gegebenenfalls Bewertungstexte). Das läuft in zwei Schritten:

• Zuordnung: Unser Server übermittelt einmalig Firmenname und Anschrift des Dienstleisters an Google und erhält die Kennung des Google-Eintrags; das geschieht für alle in einer Übernahme belegten Betriebe, sobald die Anzeige eingeschaltet ist. Wir speichern allein diese Kennung. Google erfährt dabei nicht, welcher Kunde oder welche Übernahme dahintersteht.
• Anzeige: Erst wenn der Nutzer bei einem Dienstleister auf „Google-Bewertung anzeigen“ klickt, lädt sein Browser ein Anzeigeelement von Google und ruft die Bewertung direkt dort ab. Google erhält dabei die IP-Adresse, die Browserkennung, die Sprache und den Zeitpunkt des Abrufs sowie die Kennung des Eintrags. Die Inhalte zeigt Google unmittelbar im Browser an; wir erhalten und speichern sie nicht. Vor dem Klick wird nichts von Google geladen.

Nicht an Google gehen: hochgeladene Unterlagen, Angaben zum Objekt, Daten von Eigentümern, Mietern und Beiräten. Bewertungen sind Meinungen Dritter; wir prüfen sie nicht, übernehmen sie nicht in Ergebnisdokumente und verwenden sie nicht bei der Prüfung der Unterlagen. Für die Verarbeitung innerhalb des Anzeigeelements gelten die Datenschutzbestimmungen von Google. Einzelheiten, einschließlich der Grundlage für die Übermittlung in die USA, regelt die AVV-Fassung bewertungen-v1.1.

Rechtsgrundlage, Widerruf und Nachweis

Rechtsgrundlage für alle drei Funktionen ist Art. 6 Abs. 1 lit. b DSGVO im Rahmen der Auftragsverarbeitung (siehe Ziffer 9); die Zustimmung zur jeweiligen AVV-Fassung ist Teil der Weisung des Kunden. Wird eine Funktion ausgeschaltet, findet ab diesem Zeitpunkt keine Übermittlung an den betreffenden Anbieter mehr statt; die Rechtmäßigkeit der bis dahin erfolgten Übermittlungen bleibt unberührt. Bereits versendete Nachrichten und bereits nach Google Drive exportierte Dateien liegen im Postfach bzw. im Laufwerk des Kunden und unterliegen dessen Kontrolle.

Zustimmung und Widerruf protokollieren wir mit Zeitpunkt, Fassungsbezeichnung, dem zum Zeitpunkt der Zustimmung geltenden Link, der IP-Adresse und der Browserkennung (User-Agent). Für dieses Protokoll sind wir selbst Verantwortliche und nicht Auftragsverarbeiter: Es dient allein dem Nachweis, dass die Zustimmung vorlag (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, daneben unser berechtigtes Interesse an der Nachweisbarkeit erteilter Zustimmungen (Art. 6 Abs. 1 lit. f DSGVO). Das Protokoll bewahren wir drei Jahre nach dem Ende der jeweiligen Anbindung auf und löschen es anschließend (siehe Ziffer 14).

13. Empfänger, Auftragsverarbeitung und Drittländer

Zugriff auf Ihre Daten erhalten nur Stellen, die diese zur Aufgabenerfüllung benötigen. An externe Empfänger geben wir Daten nur weiter, soweit dies zur Vertragserfüllung erforderlich ist, Sie eingewilligt haben, eine rechtliche Verpflichtung besteht oder ein berechtigtes Interesse die Weitergabe rechtfertigt.

Auftragsverarbeiter nach Art. 28 DSGVO

Übermittlung in Drittländer

Die Unterlagen, die Sie hochladen, werden in der EU gespeichert und in der EU ausgewertet, mit einer Ausnahme bei Mietshäusern (siehe unten). Clever Cloud (Hosting und Datenbank), Mistral AI und Scaleway (Auswertung) sowie Opper (Erkennung des Dokumenttyps) verarbeiten ausschließlich innerhalb der EU; die verwendeten Schriftarten hosten wir selbst (siehe Ziffer 7), sodass auch dabei keine Daten an Dritte in einem Drittland übermittelt werden.

Für den Versand der E-Mails an Nutzerkonten (siehe Ziffer 8) lässt sich eine Übermittlung in ein Drittland dagegen nicht ausschließen. Betroffen sind dabei ausschließlich Ihre E-Mail-Adresse sowie Betreff und Text dieser Nachrichten, nicht die Inhalte hochgeladener Unterlagen. Sendinblue SAS verarbeitet die Nachrichten nach eigenen Angaben auf Servern in Frankreich und Deutschland, setzt für einzelne Zusatzdienste jedoch Unterauftragsverarbeiter ein, die außerhalb der EU verarbeiten können. Grundlage einer solchen Übermittlung sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die der Anbieter in seine Auftragsverarbeitungsbedingungen einbezieht, ergänzend die Zertifizierung des jeweiligen US-Unternehmens unter dem EU-U.S. Data Privacy Framework. Die jeweils aktuelle Liste der Unterauftragsverarbeiter stellt der Anbieter als Anhang zum Auftragsverarbeitungsvertrag bereit.

Für Antworten auf Nachforderungen (siehe Ziffer 11) gilt eine zweite Ausnahme, und sie betrifft Unterlagen: Eine Antwort, die ein angeschriebener Dritter an die Antwortadresse des Dienstes schickt, trifft zuerst bei AC PM LLC (Postmark) in den USA ein, mit Absender, Betreff, Text und Anhängen, also auch mit nachgereichten Unterlagen. Von dort wird sie an My Cortex in der EU übergeben; der Anbieter hält sie nach eigenen Angaben 45 Tage vor. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die der Anbieter in sein Data Processing Addendum einbezieht.

Für die Inhaltsprüfung bei Mietshäusern (siehe Ziffer 9 und 10) gilt eine dritte Ausnahme, und auch sie betrifft Unterlagen: Der ausgelesene Text von Übergabeschreiben, Kontoauszügen, Mieterlisten und Kautionsnachweisen geht an Nebius B.V.; der Anbieter kann ihn in der EU bzw. im EWR, im Vereinigten Königreich, in Israel oder in den USA verarbeiten. Grundlage einer Übermittlung in die USA sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die der Anbieter in sein Data Processing Agreement einbezieht; für das Vereinigte Königreich und Israel bestehen Angemessenheitsbeschlüsse der Europäischen Kommission (Art. 45 DSGVO).

Eine weitere Ausnahme gilt dann, wenn der Kunde eine der optionalen Funktionen aktiv einschaltet (siehe Ziffer 12). In diesem Fall werden für die dort beschriebenen Vorgänge Daten an Microsoft bzw. Google übermittelt, wobei eine Übermittlung in die USA stattfinden kann. Grundlage sind die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, die der jeweilige Anbieter in seine Auftragsverarbeitungsbedingungen einbezieht, ergänzend die Zertifizierung des jeweiligen US-Unternehmens unter dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023, Art. 45 DSGVO). Maßgeblich ist die jeweilige AVV-Fassung: microsoft-v1.2 für den Versand, google-v1.2 für Google Drive, bewertungen-v1.1 für die Anzeige von Google-Bewertungen. Ohne Opt-in gilt die Standardfassung 2.2, bis zur Zustimmung des Kunden die Fassung 2.1; beide beschränken Übermittlungen in ein Drittland auf die drei oben beschriebenen Wege.

14. Kommunikation und Support

Wenn Sie mit uns per E-Mail (ferenc@my-cortex.de) oder auf anderem Weg in Kontakt treten, verarbeiten wir Ihre Kontaktdaten und den Inhalt Ihrer Nachricht, um die Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (bei Vertragsbezug), sonst unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Ein Newsletter wird nicht angeboten.

15. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Entfällt der Zweck und bestehen keine gesetzlichen Aufbewahrungspflichten, werden die Daten gelöscht oder anonymisiert.

16. Rechte der betroffenen Personen

Ihnen stehen im Rahmen der gesetzlichen Voraussetzungen die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Zur Ausübung genügt eine Nachricht an ferenc@my-cortex.de. Der Widerruf einer Einwilligung berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Gesondertes Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr für diese Zwecke, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Das gilt auch für Betriebe, die im Dienstleisterverzeichnis geführt sind (Ziffer 11).

17. Zuständige Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde richtet sich nach unserem Sitz:

Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin

18. Automatisierte Entscheidungsfindung und Profiling

Eine automatisierte Entscheidungsfindung einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt. Die von uns bereitgestellten Analyse- und Prüffunktionen dienen der Vorbereitung und werden vor einer Weiterverwendung stets durch einen Menschen geprüft. Das gilt auch für die Befunde der Mietshaus-Prüfung und für die Kalibrierung der Prüfregeln (Ziffer 9): Ein Befund ist ein Hinweis an die Verwaltung, keine Entscheidung gegenüber einem Mieter, und die Kalibrierung verändert nur, welche Hinweise gezeigt werden.

19. Pflicht zur Bereitstellung von Daten

Zur Begründung und Durchführung des Nutzungsverhältnisses benötigen wir bestimmte Daten, insbesondere Konto- und Kontaktdaten. Ohne diese Angaben können wir den Vertrag nicht abschließen oder die Leistungen nicht erbringen. Pflichtangaben sind in den jeweiligen Eingabemasken gekennzeichnet.

20. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung hat den oben genannten Stand. Durch die Weiterentwicklung unseres Angebots oder aufgrund geänderter rechtlicher Vorgaben kann eine Anpassung notwendig werden. Die jeweils aktuelle Fassung ist auf my-cortex.de abrufbar.

Verantwortlich: Ben Ferenc Burian, My Cortex. Kontakt: ferenc@my-cortex.de · Stand: Oktober 2026