Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die auf dieser Seite beschriebenen Verarbeitungen ist:

KOMMERS GmbH
Benno-Strauß-Straße 5
90763 Fürth, Deutschland
vertreten durch den Geschäftsführer Nicolas Bettag
Telefon: +49 (911) 477 345 80
E-Mail: datenschutz@kommers.io

Weitere Pflichtangaben stehen im Impressum. Ein Datenschutzbeauftragter ist nicht benannt; die Voraussetzungen des § 38 Abs. 1 BDSG (mindestens 20 ständig mit automatisierter Verarbeitung beschäftigte Personen) liegen nicht vor.

2. Zwei Rollen — bitte zuerst lesen

Neko wird in zwei datenschutzrechtlich getrennten Rollen betrieben. Welche Rolle gilt, hängt davon ab, um wessen Daten es geht:

• Für Ihre eigenen Daten als Kundin oder Kunde — Konto, Vertrag, Zahlung, Support, Protokolle — sind wir Verantwortlicher. Dafür gilt diese Erklärung.
• Für die Daten Ihrer Mieterinnen und Mieter, die Sie in Neko erfassen oder die aus Ihren Belegen ausgelesen werden, sind wir Auftragsverarbeiter. Verantwortlicher bleiben Sie. Grundlage ist der Auftragsverarbeitungsvertrag (AVV), dem Sie im Konto zustimmen, bevor Sie den ersten Mieter anlegen dürfen.

3. Verarbeitungen im Einzelnen

3.1 Aufruf der Website

Beim Aufruf unserer Seiten verarbeitet unser Hoster technisch notwendige Zugriffsdaten (IP-Adresse, Zeitpunkt, angeforderte Ressource, Referrer, User-Agent, übertragene Datenmenge). Ohne diese Daten lässt sich keine Verbindung herstellen.

Zweck: Auslieferung der Seite, Betriebssicherheit, Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Angebot). Speicherdauer beim Hoster: ⟨ausfüllen: Aufbewahrungsdauer der Vercel-Runtime-Logs prüfen und eintragen⟩.

3.2 Registrierung, Konto und Anmeldung

Daten: Name, E-Mail-Adresse, optional Firmierung, Passwort (ausschließlich als bcrypt-Hash mit Kostenfaktor 12 gespeichert, niemals im Klartext), Zeitpunkt der Bestätigung Ihrer E-Mail-Adresse, Rolle, Zähler fehlgeschlagener Anmeldeversuche und Sperrzeitpunkt, Zeitstempel zur Entwertung alter Sitzungen.

Zweck: Bereitstellung des Kontos, Nachweis der Adressinhaberschaft (Double-Opt-In), Schutz vor automatisierten Anmeldeversuchen — nach fünf Fehlversuchen wird das Konto vorübergehend gesperrt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) sowie Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 32 DSGVO (Sicherheit der Verarbeitung).

3.3 Nachweis Ihrer Zustimmungen

Wenn Sie AVV, AGB oder diese Datenschutzerklärung im Konto bestätigen, speichern wir das bestätigte Dokument, dessen Fassung, den Zeitpunkt sowie IP-Adresse und User-Agent des Geräts, mit dem die Bestätigung abgegeben wurde.

Zweck: Nachweis nach Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) und Art. 7 Abs. 1 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 2 DSGVO. Ein zweiter Klick auf denselben Button verändert den gespeicherten Zeitpunkt nicht — belegt wird die erste Zustimmung zu einer Fassung.

3.4 Objekte, Einheiten, Mietverhältnisse

Daten: Objekt- und Einheitendaten, Vor- und Nachname der Mieterinnen und Mieter, optional E-Mail-Adresse und Telefonnummer, Mietbeginn und -ende, vereinbarte Vorauszahlungen, Umlagevereinbarungen, Verbrauchs- und Belegungsdaten.

Für diese Daten sind Sie Verantwortlicher; wir verarbeiten sie ausschließlich auf Ihre Weisung. Einzelheiten stehen im AVV. Wir treten gegenüber Ihren Mieterinnen und Mietern nicht in Erscheinung und versenden an sie keine E-Mails; die Zustellung der Abrechnung nehmen Sie selbst vor.

3.5 Hochgeladene Belege und KI-gestützte Auslesung

Belege laden Sie aus Ihrem Browser direkt in einen privaten Objektspeicher (Vercel Blob). Ausgeliefert werden sie ausschließlich über eine authentifizierte Route unserer Anwendung, mit den Kopfzeilen Content-Disposition: attachment, X-Content-Type-Options: nosniff und Cache-Control: private, no-store— nie über eine öffentlich abrufbare Adresse.

Zweck: Auslesen der abrechnungsrelevanten Angaben aus Ihren Belegen. Rechtsgrundlage: im Verhältnis zu Ihnen Art. 6 Abs. 1 lit. b DSGVO; soweit Mieterdaten betroffen sind, verarbeiten wir sie als Auftragsverarbeiter für Sie (Art. 28 DSGVO).

3.6 Erstellung und Aufbewahrung der Abrechnung

Aus Ihren Eingaben und den ausgelesenen Belegdaten erzeugen wir Abrechnungen und PDF- Dokumente. Erzeugte PDFs werden nicht überschrieben; eine Korrektur erzeugt eine neue Fassung mit eigenem Prüfwert. Wann und wie Sie die Abrechnung zugestellt haben, erfassen wir nur, soweit Sie es eintragen — die Zustellung selbst nehmen Sie vor.

3.7 Zahlungsabwicklung

Bei kostenpflichtigen Leistungen legen wir bei unserem Zahlungsdienstleister Stripe ein Kundenkonto an und übermitteln dafür Ihre E-Mail-Adresse, Ihren Namen bzw. Ihre Firmierung sowie Ihre interne Nutzerkennung. Zahlungsdaten (Kartendaten, SEPA-Mandatsdaten) geben Sie unmittelbar bei Stripe ein; wir sehen und speichern sie nicht.

Zweck: Vertragsabwicklung, Zahlungseinzug, Rechnungsstellung, Betrugsprävention. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die handels- und steuerrechtliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB.

3.8 E-Mails

Wir versenden ausschließlich Transaktions-E-Mails: Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzung, Hinweis auf das Ende der Testphase, Hinweis auf eine fehlgeschlagene Zahlung, Erinnerungen zu offenen Prüfschritten. Übermittelt werden Empfängeradresse, Name und Inhalt der Nachricht. Zustellereignisse (zugestellt, unzustellbar, als Spam markiert) verarbeiten wir, um dauerhaft unzustellbare Adressen zu sperren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Sperrliste Art. 6 Abs. 1 lit. f DSGVO (Zustellbarkeit und Schutz der Absenderreputation). Einen Newsletter versenden wir nicht.

3.9 Protokolle und Fehlerüberwachung

Unsere Anwendung schreibt strukturierte Protokollzeilen mit Anfragekennung, aufgerufener Route und — bei angemeldeten Aufrufen — Ihrer Nutzerkennung. Sicherheitsrelevante Vorgänge (etwa Löschungen und Freigaben) werden zusätzlich in einem Protokoll festgehalten.

Für die Fehlerüberwachung setzen wir Sentry ein, sofern konfiguriert. Die Übermittlung personenbezogener Daten ist dort abgeschaltet (sendDefaultPii: false), Fehlermeldungen werden gekürzt, und nur ein Bruchteil der Anfragen wird zur Leistungsmessung erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit, Fehlersuche), Art. 32 DSGVO.

4. Cookies und Reichweitenmessung

Wir setzen ausschließlich technisch notwendige Cookies: das Sitzungs-Cookie der Anmeldung (in Produktion mit __Secure--Präfix, Laufzeit 8 Stunden), ein CSRF-Cookie und ein Cookie für die Rücksprungadresse nach der Anmeldung. Rechtsgrundlage für die Speicherung und den Zugriff auf Endgeräteinformationen ist § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein, binden keine Zählpixel und keine Dienste Dritter in die ausgelieferten Seiten ein. Deshalb gibt es auf dieser Seite auch keinen Cookie-Banner.

5. Empfänger und Auftragsverarbeiter

Wir geben Ihre Daten nur an Dienstleister weiter, die für den Betrieb erforderlich sind, und nur auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Die vollständige, laufend gepflegte Liste mit Zweck, Region und Rechtsgrundlage steht unter Subprozessoren. Im Überblick:

Darüber hinaus geben wir Daten weiter, wenn wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO) oder um Rechtsansprüche geltend zu machen oder zu verteidigen (Art. 6 Abs. 1 lit. f DSGVO), etwa an Steuerberatung, Rechtsberatung oder Behörden.

6. Übermittlung in Drittländer

Die Verarbeitung findet in der Europäischen Union statt. Ein Drittlandbezug besteht gleichwohl, weil unser Hoster Vercel Inc. seinen Sitz in den USA hat und ein Zugriff aus den USA — etwa im Rahmen von Fernwartung — nicht ausgeschlossen werden kann. Gleiches gilt für Stripe, das die Stripe, Inc. (USA) einbindet.

Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche Schutzmaßnahmen (Verschlüsselung, private Speicherbereiche, Zugriffsbeschränkung, kurze Protokollhaltung). Soweit ein Dienstleister nach dem EU-US Data Privacy Framework zertifiziert ist, stützt sich die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Den Status je Anbieter nennt die Subprozessorenliste. Die Risikoabwägung zum US-Bezug (Transfer Impact Assessment) stellen wir Ihnen als Verantwortlichem auf Anfrage zur Verfügung.

7. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 Abs. 1 DSGVO findet nicht statt. Die KI-gestützte Auslesung bereitet Daten lediglich auf; über Inhalt, Freigabe und Zustellung der Abrechnung entscheiden ausschließlich Sie.

8. Speicherdauer

Die Fristen für Belege ergeben sich aus dem gebuchten Tarif und werden aus demselben Katalog gelesen, der auch die Preisseite speist — die beworbene Frist und die tatsächlich angewandte Frist können deshalb nicht auseinanderlaufen. Daten, die für eine laufende Abrechnung oder wegen einer gesetzlichen Aufbewahrungspflicht benötigt werden, werden gesperrt statt gelöscht.

9. Ihre Rechte

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit in einem gängigen Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wenden Sie sich dafür an datenschutz@kommers.io. Wir beantworten Anfragen unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) in Ansbach — ⟨ausfüllen: vollständige Anschrift und Webadresse des BayLDA ergänzen⟩.

10. Bereitstellungspflicht

Die Angabe von Name, E-Mail-Adresse und Passwort ist für den Vertragsschluss erforderlich; ohne sie können wir kein Konto bereitstellen. Alle weiteren Angaben sind freiwillig, können aber den Funktionsumfang einschränken.

11. Informationen für Mieterinnen und Mieter

Wenn Sie Mieterin oder Mieter sind und Ihre Daten in Neko verarbeitet werden, haben wir diese Daten nicht bei Ihnen erhoben, sondern von Ihrer Vermieterin oder Ihrem Vermieter erhalten. Verantwortlich ist die Vermieterseite, nicht die KOMMERS GmbH; wir handeln ausschließlich in deren Auftrag. Ihre Rechte nach Art. 15 bis 21 DSGVO machen Sie deshalb bitte dort geltend. Schreiben Sie uns dennoch, leiten wir Ihre Anfrage an die verantwortliche Stelle weiter und informieren Sie darüber.

12. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert — etwa beim Wechsel eines Dienstleisters. Jede Fassung trägt eine Kennung; die aktuelle ist 2026-07-01. Ändert sich der Inhalt wesentlich, legen wir Ihnen die neue Fassung beim nächsten Login zur Bestätigung vor.