Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO für den Betrieb der Siedla-Plattform (Konten, Anmeldung, Plattformsicherheit) ist der Betreiber von Siedla; die Kontaktdaten finden Sie im Abschnitt „Kontakt und Beschwerden“ sowie im Impressum, das im Footer der Website verlinkt ist. Soweit eine Gemeinschaft oder ihre Hausverwaltung Daten über Bewohner, Eigentümer oder Einheiten erfasst oder importiert (etwa Einheitenverzeichnisse, Grundbuchauszüge oder importierte Korrespondenz), ist datenschutzrechtlich diese Gemeinschaft bzw. Hausverwaltung für diese Daten verantwortlich und Siedla verarbeitet sie in deren Auftrag.

2. Erhobene Daten

• •Kontodaten: E-Mail-Adresse (erforderlich für die Anmeldung per Magic Link oder Einmal-Anmeldecode), Vorname, Nachname, Telefonnummer (optional; bei Angabe per SMS-Code verifiziert), Anzeigeeinstellungen (Sprache, Theme) sowie Benachrichtigungseinstellungen.
• •Gemeinschaftsdaten: Mitgliedschaften, Wohnungs-/Einheitsinformationen, Mitgliedsrolle (Eigentümer, Mieter, Hausverwaltung) sowie — sofern eine Gemeinschaft die Kostenfunktionen nutzt — Bankverbindungsdaten (IBAN und Kontoinhaber) für Rückerstattungen und Zahlungen.
• •Von Gemeinschaften erfasste Daten: Hausverwaltungen und Gemeinschaftsadministratoren können Daten über Eigentümer, Mieter und Einheiten erfassen oder importieren — etwa aus Grundbuchauszügen oder Korrespondenz —, auch über Personen ohne Siedla-Konto. Für die Rechtmäßigkeit dieser Daten ist die erfassende Gemeinschaft bzw. Hausverwaltung verantwortlich; Siedla verarbeitet sie in deren Auftrag.
• •Inhaltsdaten: Gespräche und Kommentare, Anträge, abgegebene Stimmen, Ankündigungen, Kontaktnachrichten, hochgeladene Dokumente und Versammlungsteilnahme.
• •Technische Daten: IP-Adresse, Browser-User-Agent, Sitzungs-Tokens, Zeitstempel und aufgerufene URLs. Diese werden zu Zwecken der Sicherheit, Missbrauchsprävention, Ratenbegrenzung und Anfrageweiterleitung verarbeitet; IP-Adresse, User-Agent und die aufgerufene URL erscheinen zudem in den Anfrageprotokollen unseres Infrastrukturanbieters (Cloudflare), die für einen begrenzten Zeitraum gespeichert und nicht zu Tracking-Zwecken verwendet werden. Einige URLs enthalten Zugriffstokens - etwa Kalender-Abonnement-Feeds und Einladungslinks -, die somit ebenfalls in diesen Protokollen erscheinen. Es werden keine Tracking-Cookies oder Analyse-Skripte verwendet.
• •Datei-Uploads: Bilder (JPEG, PNG, GIF, WebP) und PDF-Dokumente, gespeichert in Cloudflare R2. Die Größenlimits hängen von der Funktion ab: 5 MB pro Bildanhang und bis zu 50 MB pro Dokument.

3. Zweck und Rechtsgrundlage

• •Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung der Gemeinschaftsplattform, einschließlich Anmeldung, Mitgliederverwaltung, Gespräche, Anträge, Abstimmungen, Ankündigungen, Kontaktnachrichten, Versammlungen, Kostenverwaltung, Dokumente und Instandhaltungsfunktionen.
• •Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheits- und Missbrauchspräventionsprotokollierung durch unseren Infrastrukturanbieter (Cloudflare), Ratenbegrenzung zur Missbrauchsprävention, Audit-Protokoll für transparente Gemeinschaftsverwaltung.
• •Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Optionale Funktionen, die Sie aktiv aktivieren — etwa die Verbindung eines Gmail-Kontos für den E-Mail-Import, die Angabe einer optionalen Telefonnummer oder die Aktivierung von SMS- und Push-Benachrichtigungen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (etwa durch Trennen der Verbindung oder Deaktivieren des Benachrichtigungskanals); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
• •Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Unterlagen, soweit österreichisches oder EU-Recht dies verlangt, sowie die Bearbeitung von Betroffenenanfragen.

4. Datenspeicherung

Ihre Kontodaten werden gespeichert, solange Ihr Konto aktiv ist. Bei Kontolöschung beginnt eine 30-tägige Frist, in der Sie die Löschung widerrufen können. Nach 30 Tagen werden Ihre personenbezogenen Daten endgültig gelöscht oder anonymisiert. Aktivitätsprotokolle werden für die Gemeinschaftsverwaltung und Revisionszwecke aufbewahrt; persönliche Identifikatoren werden nach der Kontolöschung entfernt. Sitzungsdaten verfallen automatisch. Von Ihnen angeforderte Datenexporte stehen 7 Tage zum Download bereit und werden danach gelöscht. Inhalte, die Sie in eine Gemeinschaft eingebracht haben (etwa Gespräche, Kommentare und Stimmen), bleiben der Gemeinschaft nach der Kontolöschung in anonymisierter Form erhalten und werden einem neutralen Platzhalter statt Ihrem Namen zugeordnet, da sie Teil der Beschlussdokumentation der Gemeinschaft sind. Soweit das österreichische oder europäische Recht eine längere Aufbewahrung vorschreibt (zum Beispiel für Unterlagen, die Bestandteil eines Gemeinschaftsbeschlusses sind), wird der zugrundeliegende Datensatz für die Dauer dieser gesetzlichen Pflicht in anonymisierter Form aufbewahrt.

5. Drittanbieter-Auftragsverarbeiter

• •Cloudflare, Inc. (Workers, D1, R2, Queues, Vectorize, Workers AI, Access, Email Service): Infrastruktur-Hosting, Datenbank, Dateispeicherung, Hintergrundverarbeitung, Netzwerksicherheit und transaktionaler E-Mail-Versand (Magic Links, Benachrichtigungen). Die KI-Suche, die Inhaltsübersetzung und die Protokollentwurf-Funktion laufen auf KI-Modellen innerhalb der Cloudflare-Infrastruktur — dabei verarbeitete Inhalte verlassen Cloudflare nicht. Auftragsverarbeitungsvertrag vorhanden.
• •Anthropic PBC (Claude API): KI-gestützte Verarbeitung für die optionale Grundbuchauszug-Extraktion sowie für die E-Mail-Import-Funktion für Hausverwaltungen, einschließlich Texterkennung auf fotografierten Dokumenten. Nur die aktiv an diese Funktionen übergebenen Inhalte werden an die API weitergeleitet. Gemäß den Geschäftsbedingungen von Anthropic werden über die API übermittelte Daten nicht zum Training der Anthropic-Modelle verwendet. Auftragsverarbeitungsvertrag vorhanden.
• •Google Ireland Limited (Gmail OAuth): Verbindet eine Hausverwaltung ihr Gmail-Konto für die E-Mail-Import-Funktion, authentifiziert Google den Nutzer und gewährt der Plattform lesenden Zugriff auf das verbundene Postfach. Weitere Nutzerdaten werden nicht an Google übermittelt; die Verbindung kann jederzeit im Google-Konto widerrufen werden.
• •SMS-Gateway (GatewayAPI ApS, Dänemark — EU-gehostet): Zustellung von Einmal-Verifizierungscodes, SMS-Einladungen und Opt-in-SMS-Benachrichtigungen. Das Gateway erhält die Telefonnummer des Empfängers und den Nachrichtentext. SMS werden ausschließlich an Nummern in der EU und der Schweiz versendet.
• •Apple Inc. (Apple Push Notification service): Wenn Sie die iOS-App nutzen und Push-Benachrichtigungen aktivieren, wird der Benachrichtigungsinhalt (Titel und Kurztext) über den Push-Dienst von Apple an Ihr Gerät übermittelt.
• •OpenStreetMap Foundation (Nominatim): Bei der Eingabe oder dem Import einer Gemeinschafts- oder Liegenschaftsadresse werden Straße, Postleitzahl und Ort an den Geokodierungsdienst Nominatim übermittelt, um die Adresse zu validieren und zu vereinheitlichen. Kontodaten werden dabei nicht übermittelt.
• •Wir verwenden keine Werbenetzwerke, Analysedienste oder Social-Media-Tracker.

6. Internationale Datenübermittlung

Wir bevorzugen Auftragsverarbeiter, die Daten im EWR speichern und verarbeiten. Soweit ein Auftragsverarbeiter seinen Sitz in den USA hat (Cloudflare, Anthropic, Apple), stützen sich Übermittlungen auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework und/oder auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), erforderlichenfalls mit ergänzenden Maßnahmen.

7. Ihre Rechte (DSGVO)

• •Auskunftsrecht: Sie können jederzeit alle Ihre personenbezogenen Daten in den Kontoeinstellungen exportieren.
• •Recht auf Berichtigung: Sie können Ihre Profilinformationen (Name, Telefon, E-Mail-Sichtbarkeit) in Ihren Profileinstellungen aktualisieren.
• •Recht auf Löschung: Sie können Ihr Konto in den Kontoeinstellungen löschen. Nach einer 30-tägigen Frist werden alle personenbezogenen Daten endgültig entfernt.
• •Recht auf Einschränkung der Verarbeitung: Kontaktieren Sie uns, um eine Einschränkung der Verarbeitung Ihrer Daten zu beantragen.
• •Recht auf Datenübertragbarkeit: Die Datenexport-Funktion stellt Ihre Daten in einem strukturierten, maschinenlesbaren JSON-Format bereit.
• •Widerspruchsrecht: Sie können der Verarbeitung auf Grundlage berechtigter Interessen widersprechen. Kontaktieren Sie uns zur Ausübung dieses Rechts.
• •Recht auf Widerruf der Einwilligung: Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen — etwa durch Trennen einer Verbindung oder Deaktivieren eines Benachrichtigungskanals.

8. Cookies

• •Sitzungs-Cookie (better-auth.session_token): Für die Authentifizierung zwingend erforderlich. Kann nicht deaktiviert werden.
• •Sprach-Cookie: Speichert Ihre Sprachpräferenz. Für die Bereitstellung der Inhalte in Ihrer gewählten Sprache zwingend erforderlich.
• •Theme-Cookie: Speichert Ihre Anzeigeeinstellung (hell/dunkel/System). Für die korrekte Darstellung der Oberfläche zwingend erforderlich.
• •Alle Cookies sind für den Betrieb des Dienstes zwingend erforderlich. Es werden keine Tracking-, Analyse- oder Werbe-Cookies verwendet. Ein Cookie-Banner ist nicht erforderlich.

9. Keine automatisierte Entscheidungsfindung

Wir verwenden keine automatisierte Entscheidungsfindung einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). KI-gestützte Funktionen (Suche, Übersetzung, Dokumentenextraktion, Protokollentwurf) bereiten lediglich Inhalte auf — Entscheidungen treffen stets Menschen.

10. Sicherheitsmaßnahmen

Alle Daten werden über HTTPS/TLS übertragen. Die Authentifizierung erfolgt über Magic Links und kurzlebige Einmal-Anmeldecodes (keine Passwörter gespeichert). Die Plattform ist durch die Netzwerksicherheit von Cloudflare (WAF, Ratenbegrenzung) und, soweit aktiviert, durch Cloudflare Access (Zero Trust) geschützt. Sicherheitsrelevante Anfrage-Telemetrie, einschließlich IP-Adressen, wird durch unseren Infrastrukturanbieter (Cloudflare) verarbeitet. Sitzungs-Tokens verfallen automatisch.

11. Kontakt und Beschwerden

Bei Fragen zu Ihren Daten oder zur Ausübung Ihrer Rechte erreichen Sie uns unter contact@siedla.com. Die vollständigen Angaben zum Verantwortlichen finden Sie im Impressum. Anfragen werden gemäß Art. 12 Abs. 3 DSGVO innerhalb eines Monats beantwortet. Sie haben außerdem das Recht, eine Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen - für Nutzer mit Wohnsitz in Österreich ist dies die Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb@dsb.gv.at.