Kapazio schwärzt Namen, Adressen, Telefonnummern und IBAN, bevor eine KI den Text liest. Für den Datenschutz beim KI-Assistenten bekommt Ihr Datenschutzbeauftragter AV-Vertrag, TOM und Löschfristen als Unterlagen.
Pseudonymisierung heißt: Wer den Text liest, erfährt nicht, um wen es geht. Der Kapazio-Server ersetzt die Angaben, bevor die KI den Text bekommt, und setzt sie danach selbst wieder ein.
Hallo, unter unserer Badewanne steht Wasser und bei den Nachbarn unten tropft es von der Decke. Das Hauptventil finde ich nicht.
Gruß
Erika Beispiel
Birkenallee 12, WE 5
0151 ··· 789
Hallo, unter unserer Badewanne steht Wasser und bei den Nachbarn unten tropft es von der Decke. Das Hauptventil finde ich nicht.
Gruß
[NAME_1]
[ADRESSE_1], WE 5
[TELEFON_1]
Beispiel mit ausgedachten Daten, nach einer Testmail aus unserem Probelauf.
Die Grenze, offen gesagt: Freitext lässt sich nie vollständig erkennen. Einen Namen mitten im Satz, ohne Anrede oder Gruß, ersetzt der Assistent nur, wenn er ihn kennt, etwa als Absender oder als Mitarbeitende Ihrer Verwaltung. Darum ist Mistral im AV-Vertrag als Unterauftragsverarbeiter geführt; dass Mistral die Texte nicht zum Training nutzt, stellen wir vertraglich und im Mistral-Konto sicher, bevor die erste echte Mail verarbeitet wird. Wie der Mail-Assistent eine Mail Schritt für Schritt bearbeitet
Die Liste ist Anlage 1 zum AV-Vertrag, die Liste der Unterauftragsverarbeiter. Sie nennt nur Dienste, die der Mail-Assistent wirklich nutzt.
Zur KI: Nach AV-Vertrag § 4 sorgen wir vertraglich und im Mistral-Konto dafür, dass Mistral die Texte nicht zum Training nutzt. Das Training schalten wir ab, bevor die erste echte Mail verarbeitet wird; den Nachweis legen wir den Unterlagen bei. Kapazio selbst nutzt Ihre Daten für keinen eigenen Zweck, auch nicht, um KI-Modelle zu verbessern. Ohne Zusatzvereinbarung speichert Mistral Ein- und Ausgaben nach eigenen Bedingungen befristet zur Missbrauchserkennung.
| Dienstleister | Sitz | Wofür | Wo verarbeitet wird | Was übermittelt wird |
|---|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland | Server mit Datenbank, Dateien und Web-App, Speicher für die Sicherungen | Rechenzentrum Helsinki, Finnland. Sicherungen an einem zweiten Hetzner-Standort in der EU | alle Daten des Assistenten. Inhalte sind zusätzlich feldweise verschlüsselt. Der Schlüssel liegt weder in der Datenbank noch in den Sicherungen; die Sicherungen kann Hetzner nicht lesen. |
| Mistral AI SAS | Paris, Frankreich | KI für Einordnung, Zusammenfassung und Antwortentwurf | Aufruf nur über den EU-Endpunkt, im Programm fest vorgegeben. Eigene Dienstleister von Mistral: siehe dessen veröffentlichte Liste | nur der geschwärzte Mailtext und Ihr Anliegen-Katalog. Keine Anhänge, Fotos oder Absenderadressen. |
| Anbieter für Systemmails | noch offen | Anmeldecodes und Benachrichtigungen an Ihr Team; auf Wunsch die Notfall-Mail an Ihren Dienstleister (ab Werk aus) | noch offen | Name und dienstliche Adresse der Mitarbeitenden, Anmeldecode. Benachrichtigungen nennen nur Fallnummer und Anliegen, bei Notfällen auch Firma und Nummer Ihres Dienstleisters. Mit der Notfall-Mail an Ihren Dienstleister zusätzlich: Objekt mit Anschrift, Wohnung, Art, Fallnummer, Eingangszeit und die Rückrufnummer, die der Mieter selbst genannt hat. |
| Push-Dienst des Geräts: Apple, Google, Mozilla oder Microsoft | je nach Gerät, zum Teil außerhalb der EU | Mitteilungen auf dem Handy, nur wenn eine Person sie einschaltet | beim jeweiligen Anbieter | Ende-zu-Ende verschlüsselt, Inhalt nur Fallnummer und Anliegen, bei Notfällen auch Firma und Nummer Ihres Dienstleisters. Der Dienst sieht nur, dass eine verschlüsselte Nachricht an ein Gerät geht. |
| sipgate GmbH, nur bei eingeschalteter Notfall-SMS | Düsseldorf, Deutschland | SMS an Ihre Bereitschaft | Angaben fragen wir bei sipgate an | Fallnummer, Anliegen und Kurzname des Objekts, bei Notfällen mit hinterlegtem Dienstleister dessen Firma und Nummer, Link zum Fall und die Handynummer der Empfänger. Keine Namen, keine Wohnung, kein Mailtext. |
Nicht in der Liste, weil Sie diese Dienste selbst beauftragen: Ihr E-Mail-Anbieter, etwa Microsoft 365 oder Google Workspace, und Ihre Verwaltungssoftware, etwa etg24 oder facilioo.
Wer Ihre Daten sehen kann, wann sie gelöscht werden und was bei einer Datenpanne oder einem Ausfall passiert. Oben steht jeweils die Kurzfassung, beim Aufklappen alle Einzelheiten.
Zugang zum Server selbst haben nur benannte Personen bei Kapazio; sie werden schriftlich zur Vertraulichkeit verpflichtet.
In der App sehen wir ohne Freigabe nur Zahlen, etwa wie viele Fälle offen sind. Für Inhalte gibt Ihre Verwaltung einen Einblick frei: mit Person, Grund und Enddatum, höchstens 7 Tage, jederzeit widerrufbar. Jede Anfrage steht im Protokoll, und Inhaber oder Admin bekommen eine Mitteilung. Postfach-Zugänge, Signatur, Benutzer, Rollen und Ihre Kündigung kann Kapazio auch dann nicht ändern.
Ihr Team meldet sich mit Passkey, Authenticator-App oder einem Code per Mail an, der 10 Minuten gilt. Für Inhaber und Admin ist ein zweiter Faktor nach 14 Tagen Pflicht, für Konten von Kapazio immer. Heikle Aktionen verlangen eine erneute Bestätigung.
Die Trennung der Verwaltungen erzwingt die Datenbank selbst, nicht nur die Oberfläche (Row-Level Security). Wer eine fremde Fallnummer aufruft, bekommt „nicht gefunden“.
Mailtext, Betreff, Absender, Entwürfe, Fotos und Postfach-Zugänge sind einzeln verschlüsselt (AES-256-GCM). Der Schlüssel liegt weder in der Datenbank noch in den Sicherungen. Das Protokoll lässt sich nur ergänzen, nicht ändern, und enthält keine Inhalte.
Ein Löschlauf läuft jede Nacht ab 3 Uhr und schreibt einen Nachweis ohne Inhalte. Kapazio ist kein Archiv: Die Vorgangsakte führen Sie in Ihrer eigenen Software.
| Daten | Frist |
|---|---|
| Fall mit Mailtext, Entwürfen, Rückfragen, Fotos und Anhängen | gelöscht im nächsten Löschlauf, sobald er erledigt ist; spätestens 45 Tage nach Eingang, auch wenn er offen ist. Hinweis an die zuständige Person ab Tag 38 |
| Rohdaten der Mail mit Kopfzeilen und Original-Anhängen | werden nie gespeichert, nur der Text und geprüfte Anhänge, beides verschlüsselt |
| Spam, Werbung und private Mails | 3 Tage |
| Übersprungene Mails wie Abwesenheitsnotizen, Newsletter, Zustellfehler | 3 Tage |
| Spam-Ordner Ihres Postfachs | nicht gespeichert, nur gezählt. Ein erkannter Notfall wird ein normaler Fall |
| Rückfrage-Link für den Absender | 7 Tage gültig, einstellbar von 1 bis 30 Tagen. Antworten und Fotos bleiben am Fall |
| Foto-Links in der Übergabe-Mail | 7 Tage, höchstens 50 Abrufe |
| Mitteilungen in der App | 30 Tage |
| Kennzahlen ohne Namen und Texte | 25 Monate; der Bezug zur bearbeitenden Person wird nach 90 Tagen entfernt |
| Protokoll ohne Inhalte | 365 Tage |
| Sicherungen | täglich und verschlüsselt; keine Kopie älter als 30 Tage |
| Bei Mistral | nach den Bedingungen von Mistral, befristet zur Missbrauchserkennung; ob Mistral ganz darauf verzichtet, ist noch offen |
So ist der Betrieb in den TOM festgelegt, Anlage 2 zum AV-Vertrag. Auf dem Produktivserver richten wir ihn vor dem ersten Kunden ein; Sicherung und Wiederherstellung sind bisher lokal getestet. Die Frist für die Meldung einer Datenpanne steht im AV-Vertrag selbst.
12 Unterlagen für den Mail-Assistenten liegen als Entwurf vor. Vor dem Versand prüft sie ein Anwalt. 2 weitere kommen mit dem Telefon-Assistenten ab 2027.
Fristen und Funktionen leiten wir aus dem gebauten Code ab, nicht aus einem Konzept. Textbausteine und Dienstleister-Liste gleichen wir vor dem Versand an den automatischen Versand und den Notfall-Weg an. Die Unterlagen gehören zum Leistungsumfang; was Einrichtung und Betrieb kosten, steht bei den Preisen für den Mail-Assistenten.
Prüfmappe anfordernAntworten zu Pseudonymisierung nach DSGVO, Rechtsgrundlage, Ländern außerhalb der EU, Folgenabschätzung und KI-Verordnung. Ob Sie wegen des Assistenten einen Datenschutzbeauftragten brauchen, beantworten wir in den häufigen Fragen.
So ordnen wir sie ein: als Pseudonymisierung nach Art. 4 Nr. 5 DSGVO, nicht als Anonymisierung. Der Server ersetzt die Angaben, über die eine Person erkennbar ist, und behält die Zuordnung für sich, um die Platzhalter später wieder einzusetzen.
Nach den Leitlinien 01/2025 des Europäischen Datenschutzausschusses ist Pseudonymisierung eine Schutzmaßnahme, keine Anonymisierung. Darum gelten der AV-Vertrag und unsere Pflicht, das Training bei Mistral auszuschließen (§ 4), trotzdem.
Die Rechtsgrundlage legt Ihre Verwaltung fest: Sie bleibt Verantwortliche nach Art. 4 Nr. 7 DSGVO. Kapazio verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO und nur auf Ihre Weisung, also nach dem Vertrag und Ihren Einstellungen in der App, etwa Anliegen-Katalog und Postfächer.
Unsere Einschätzung, die ein Anwalt noch prüft: Art. 6 Abs. 1 lit. b DSGVO für Anliegen aus dem Miet-, Verwalter- oder Eigentümerverhältnis und dessen Anbahnung, sonst lit. f, das berechtigte Interesse an zügiger, vollständiger Bearbeitung und am Erkennen von Notfällen. Bei WEG-Verwaltung kann lit. c hinzukommen. Offen ist die Grundlage für Gesundheitsangaben, die Absender von sich aus schreiben. Die Einschätzung steht im Muster für die Folgenabschätzung und im Eintrag für Ihr Verzeichnis von Verarbeitungstätigkeiten.
Mailtexte verarbeiten nach der Liste der Dienstleister nur Hetzner in Helsinki und Mistral über den EU-Endpunkt. Welche eigenen Dienstleister Mistral einsetzt und wo, prüfen wir vor dem ersten Kunden anhand der veröffentlichten Liste von Mistral. Den Anbieter für Systemmails wählen wir noch aus; er bekommt keine Mailtexte, mit der Notfall-Mail an Ihren Dienstleister (ab Werk aus) aber Anschrift, Wohnung und die vom Mieter genannte Rückrufnummer.
Schaltet eine Person Mitteilungen aufs Handy ein, laufen sie über den Push-Dienst ihres Geräts, etwa von Apple oder Google, zum Teil außerhalb der EU. Die Mitteilung ist Ende-zu-Ende verschlüsselt und nennt nur Fallnummer und Anliegen, bei Notfällen auch Firma und Nummer Ihres Dienstleisters. Ob die Push-Dienste als Unterauftragsverarbeiter zu führen sind, klärt die Anwaltsprüfung. Alle Dienstleister mit Sitz und Region
Wir empfehlen sie vorsorglich. Die Liste der Datenschutzkonferenz nennt den Einsatz von KI im Kundensupport (Nr. 11). Schaltet Ihre Verwaltung den automatischen Versand ein, schreibt der Assistent Mietern direkt; dann ist die Folgenabschätzung nach unserer Einschätzung Pflicht (die Anwaltsprüfung steht noch aus).
Unser Muster beschreibt Ablauf, 15 Risiken und die Maßnahmen dagegen. Ihre Verwaltung ergänzt ihre Besonderheiten und lässt es von ihrem Datenschutzbeauftragten prüfen.
Nach unserer schriftlichen Einstufung, einem Entwurf, den ein Anwalt noch prüft, ist der Mail-Assistent kein Hochrisiko-System nach Anhang III der KI-Verordnung. Er bewertet keine Notrufe im Sinne von 110 und 112 und entsendet keine Rettungsdienste; bei Gas, Feuer und Verletzten verweist er auf 112. Er bewertet weder Beschäftigte noch Kreditwürdigkeit.
Mit eingeschaltetem automatischem Versand trägt jede automatische Mail den festen Hinweis, dass ein KI-Assistent sie erstellt und ohne vorherige Prüfung versendet hat (Art. 50). Für die KI-Kompetenz Ihres Teams (Art. 4) gibt es eine Einweisung mit Teilnahmenachweis. Den Telefon-Assistenten stufen wir vor dem Start 2027 gesondert ein.
Ein Siegel, das das bestätigt, haben wir nicht, und wir werben mit keinem. Ob der Einsatz in Ihrer Verwaltung zulässig ist, prüft Ihr Datenschutzbeauftragter: Rechtsgrundlage, Vertrag, Maßnahmen und Folgenabschätzung. Dafür legen wir offen, was es gibt und was noch fehlt.
Was Sie prüfen können:
Was es noch nicht gibt:
Start 2027, Pilotplätze werden jetzt vergeben.
12 Unterlagen für den Mail-Assistenten als Entwurf, vor dem Versand anwaltlich geprüft. Auf Wunsch gehen wir sie in einer Demo gemeinsam durch.