Pseudonymisierung vor OCR-Aufrufen, Hinweise vor Bild-Upload.

Beim Mietvertrag- und Rechnungs-Import durchläuft der OCR-Text vor der Übergabe an Google Gemini einen Pseudonymisierungs-Layer in lib/document-processing/anonymize.ts. Eine spaCy-NER-Pipeline (de_core_news_lg) erkennt Personennamen, ergänzt durch Regex-Pattern für IBANs, Telefon, E-Mail, Geburtsdaten und Personalausweis-Nummern. Erkannte PII werden durch Platzhalter ersetzt („Max Mustermann" → „[VORNAME] [NACHNAME]"). Das Token-Mapping bleibt nur im Speicher der Request; nach der Re-Identifikation der KI-Antwort wird es verworfen.

Nein, beim OCR-Pfad nicht. Google Gemini (Google Ireland Ltd., EU-Verarbeitung) erhält die pseudonymisierten OCR-Texte, z. B.: „Mieter [VORNAME] [NACHNAME] mietet ab [DATUM] eine Wohnung in [STADT]". Wichtige Einschränkung: Bei der KI-Bildbearbeitung über Replicate Inc. findet KEINE automatische Pseudonymisierung statt. Wenn Sie ein Bild hochladen, auf dem Personen identifizierbar sind, sieht Replicate diese Personen. Bitte entfernen Sie identifizierbare Personen vor dem Upload.

Nein. Google Cloud's Standard-Terms für die Gemini-Enterprise-Nutzung und Replicate's Standard-Terms schließen die Verwendung der API-Inhalte für Modell-Training aus. Die jeweiligen DPAs der Anbieter dokumentieren das vertraglich.

Vier Bereiche: (1) Mietvertrag-Import: PDF/Foto, OCR mit Pseudonymisierung, Feldextraktion über Google Gemini. (2) Rechnungs-Import: gleiches Verfahren für Rechnungen, automatische Zuordnung zur BetrKV-Kostenkategorie. (3) KI-Bildbearbeitung: Virtual Staging, Declutter über Replicate Inc. (USA, SCC). (4) KI-Beschreibungen für Inserate: aus strukturierten Apartment-Daten über Google Gemini.

Ja. Über das Cookie-Banner (KI-Features-Kategorie) oder die Konto-Einstellungen lässt sich die Einwilligung zur KI-Verarbeitung widerrufen. Verwaltung läuft ohne Einschränkungen weiter; nur die vier KI-Funktionen (Mietvertrag-Import, Rechnungs-Import, KI-Bildbearbeitung, KI-Beschreibungen) sind dann nicht verfügbar.

Tarif-abhängig. Erstvermieter (kostenlos, 2 Einheiten): keine inkludierten Credits, KI-Features per Top-up. Privatvermieter (30 €/Monat, 12 Einheiten): 30 inkludierte Credits/Monat. Eigentümer/Profi (50 €/Monat, 48 Einheiten): 50 Credits/Monat + 30 Bonus-Credits einmalig. Bestandshalter (100 €/Monat, 120 Einheiten): 100 Credits/Monat + 100 Bonus-Credits einmalig. OCR-Aufrufe (Mietvertrag, Rechnung) kosten ca. 0,1 Credits pro Seite, KI-Bildbearbeitung 1 Credit pro Aktion. Aktuelle Konditionen in der Tarif-Übersicht.

OCR und Textgenerierung: Google Gemini über Google Ireland Ltd. mit EU-Verarbeitung. KI-Bildbearbeitung: Replicate Inc. (USA, abgesichert durch EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO). Beide Anbieter sind im Subprozessoren-Verzeichnis der Datenschutzerklärung namentlich aufgeführt.

Bei der KI-Bildbearbeitung über Replicate findet KEINE automatische Personen-Anonymisierung statt. Sie sind verpflichtet, vor dem Upload sicherzustellen, dass keine identifizierbaren Personen abgebildet sind (Hinweis in der Datenschutzerklärung). Für Virtual Staging und Declutter sind nur Räume und Möbel relevant; Personen entfernen Sie vorher manuell aus dem Foto.

Ja. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO liegt für die KI-Verarbeitung vor und dokumentiert die Risiken (Re-Identifikation, unbeabsichtigt abgebildete Personen, Datenleck), Wahrscheinlichkeiten und Gegenmaßnahmen (spaCy-NER-Layer fail-closed für OCR, EU-Standardvertragsklauseln für Replicate, Nutzerhinweis vor Bild-Upload). Wir senden Ihnen die DSFA auf Anfrage als PDF an datenschutz@immorium.ch.

Im OCR-Pfad: Personennamen über spaCy NER (Pre-Trained-Modell de_core_news_lg) ergänzt durch Regex für IBAN, BIC, Telefon, E-Mail-Adressen, Geburtsdaten, Personalausweis-Nummern, Steuer-IDs. Bei Unsicherheit wird konservativ ersetzt: was eindeutig wie PII aussieht, geht als Platzhalter durch. Bei Ausfall der Pipeline bricht die Anfrage fail-closed mit HTTP 503 ab.

Der Pseudonymisierungs-Layer fügt nur einen kleinen Overhead hinzu; die Gesamtlatenz dominiert die KI-Anfrage selbst. OCR-Extraktion typisch wenige Sekunden, KI-Bildbearbeitung mehrere Sekunden bis ca. 30 Sekunden je nach Komplexität.

Die EU-KI-Verordnung (AI Act, 2024) klassifiziert KI-Anwendungen nach Risiko. Immorium-KI-Funktionen (Mietvertrag-Import, Rechnungs-Import, Bildbearbeitung, Beschreibungstexte) fallen in die Kategorie Minimal-Risk: keine biometrische Identifikation, keine automatisierten Entscheidungen mit Rechtsfolgen, keine Verarbeitung von Daten besonders schutzwürdiger Gruppen. Damit gelten keine zusätzlichen AI-Act-Pflichten über die DSGVO hinaus.