Privacy Policy
Datenschutzerklärung · Last updated: 20 October 2026
This Privacy Policy explains how Yanay Brook, trading as “Montella” (“Montella”, “we”, “us”), processes personal data when you visit our website, communicate with us, or use the Montella platform and AI agents (together, the “Service”). We process personal data in accordance with the EU General Data Protection Regulation (GDPR) and the German Federal Data Protection Act (BDSG).
1. Controller and Contact
Controller (Verantwortlicher): Yanay Brook, trading as “Montella”, Oskar-Helene-Park 36, 14195 Berlin, Germany.
Contact for data protection matters: team@montella.dev. Full provider details are in our Impressum at https://montella.dev/impressum.
We have not appointed a Data Protection Officer, as we are not required to do so under Art. 37 GDPR / § 38 BDSG. You can raise any data protection matter using the contact details above.
2. Scope of this Policy and Our Two Roles
(1) This Policy covers personal data for which Montella is the controller, that is, where we decide why and how data is processed. This includes visitors to our website, people we contact for business development, our business contacts and clients’ representatives, and users of our own accounts and tools.
(2) Where we act only as a processor, that is, where we run our AI agents or platform on data provided by a business client, the client is the controller and decides the purposes of processing. That processing is governed by a data processing agreement (Auftragsverarbeitungsvertrag, Art. 28 GDPR) between us and the client, not by this Policy. If you are an individual whose data a client processes through the Service, please contact that client to exercise your rights (see Section 10).
3. Your Data Protection Rights
Where Montella is the controller, you have the following rights, subject to the conditions in the GDPR:
- Access (Art. 15): to obtain confirmation of, and a copy of, the personal data we hold about you.
- Rectification (Art. 16): to have inaccurate data corrected and incomplete data completed.
- Erasure (Art. 17): to have your data deleted where the legal conditions are met.
- Restriction (Art. 18): to have processing restricted in certain cases.
- Data portability (Art. 20): to receive data you provided in a structured, commonly used, machine-readable format.
- Objection (Art. 21): to object to processing based on our legitimate interests. You may object to direct marketing at any time, and we will stop such processing.
- Withdraw consent (Art. 7(3)): where processing is based on consent, you may withdraw it at any time with effect for the future.
- Not to be subject to solely automated decisions (Art. 22) that produce legal or similarly significant effects (see Section 11).
Right to complain (Art. 77): You may lodge a complaint with a supervisory authority. The authority competent for Montella is the Berlin Commissioner for Data Protection and Freedom of Information (Berliner Beauftragte für Datenschutz und Informationsfreiheit, BlnBDI), Alt-Moabit 59–61, 10555 Berlin.
4. Website Use and Hosting
(1) When you visit our website, our hosting providers automatically process server log data, including your IP address, browser type and version, the pages you visit, and the date and time of access. This is necessary to deliver the website securely and reliably.
(2) Legal basis: Art. 6(1)(f) GDPR, our legitimate interest in operating a secure, functioning website. Retention: server logs are retained for 30 days and then deleted.
(3) Our website and our platform are hosted by Vercel, Inc. (USA); the platform database is operated by Neon, Inc. in the EU (Frankfurt). Transfers to the USA are protected by the EU Standard Contractual Clauses (see Sections 14–15). Fonts are served from our own domain; no request is made to Google Fonts.
(4) Pages of the platform that show a property on a map load the map in your browser from Google Maps Platform (Google LLC, USA), or from the OpenStreetMap Foundation (UK) where Google is not configured. Because your browser fetches the map itself, those providers receive your IP address, your browser's user agent and the area of the map being viewed, and act as independent controllers for that data. Legal basis: Art. 6(1)(f) GDPR, our legitimate interest in showing a property where it stands.
5. Cookies and Consent
(1) We use cookies and similar technologies that are strictly necessary to operate the website and the Service. These do not require consent (§ 25(2) TDDDG; Art. 6(1)(f) GDPR).
(2) Google Analytics: on montella.dev we use Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland) to see how the website is used, and only after you accept it in the cookie bar. Until then, and if you decline, nothing from Google is loaded and no analytics cookie is set. Once accepted, Google sets cookies (`_ga`, `_ga_*`, up to 13 months) and receives your truncated IP address, the pages you view and how you got here; Google may transfer this data to the USA, protected by the EU-US Data Privacy Framework and the EU Standard Contractual Clauses. Legal basis: your consent (§ 25(1) TDDDG; Art. 6(1)(a) GDPR). You can withdraw it at any time through "Cookie settings" in the footer; the cookies are then no longer set. We do not use advertising cookies.
6. Contacting Us
(1) If you contact us by email or leave your address in a form on our website or on the platform (such as the request for access on the login page), we process the data you provide (such as your name, email address and message) to handle your enquiry and any related correspondence.
(2) Legal basis: Art. 6(1)(b) GDPR where your enquiry relates to a contract or pre-contractual steps; otherwise Art. 6(1)(f) GDPR (our legitimate interest in responding to enquiries). Retention: for as long as needed to handle your enquiry and any follow-up, then deleted unless retention is required by law.
7. Business Development and Marketing (B2B)
(1) We identify and contact decision-makers and representatives at businesses in the real estate sector to offer our services. We may use publicly available professional data and business networks (e.g. LinkedIn) and process your name, job title, employer, business contact details, public professional profile and our interaction history with you.
(2) We also send business emails (including reports) and measure delivery, opens and clicks to understand engagement. For this we process your business email address, name, employer and email-engagement data.
(3) Legal basis: Art. 6(1)(f) GDPR, our legitimate interest in B2B direct marketing and in measuring its effectiveness. We keep our outreach targeted and relevant, and § 7 UWG is observed. Retention: prospect data is kept for up to 24 months from the last meaningful contact; email-engagement logs for 12 months; then deleted or anonymised.
(4) Your choice: you can object to this processing at any time (Art. 21 GDPR) using the contact details in Section 1 or the opt-out in our messages, and we will stop contacting you.
8. Business Relationship and Contact Management
(1) We maintain records of our business contacts, prospects and clients’ representatives, including name, role, employer, business contact details, notes, meeting history and deal status, to manage our relationships and pipeline.
(2) Legal basis: Art. 6(1)(f) GDPR (managing business relationships) and, where steps are taken toward a contract at your request, Art. 6(1)(b) GDPR. Retention: for the duration of the business relationship; dormant contacts are reviewed and pruned periodically.
9. The Montella Platform and AI Agents
(1) When you use the Service under your own account, we process your account and usage data (such as your name, business email, role, login and activity data) to provide, secure, maintain and support the Service, and we process the content you submit (“Inputs”) to generate outputs for you.
(2) Legal basis: Art. 6(1)(b) GDPR (performance of the contract for the Service) and Art. 6(1)(f) GDPR (securing and improving the Service).
(3) Sign-in attempts: every attempt to sign in, successful or not, is recorded with the address entered, the IP address, the browser's user agent and the outcome, so that repeated failures on an account or from one address can be refused and looked into. Legal basis: Art. 6(1)(f) GDPR, our legitimate interest in keeping accounts from being broken into. Retention: 90 days, then the row is deleted.
(4) How the Service is used, and improving it: we record which parts of the Service each signed-in user opens and what they do there, with the time and the user's account. For example, which table or record they opened, which field they edited, which file they uploaded, and which tool their connected AI client called and whether it succeeded. We record the names of our own features and the identifier of the record concerned, never what was entered or the value of a field. When we look at these records we see the record by the name the Service shows for it. Only named Montella staff can see these records, and they are never shown to your employer or to anyone in your organisation. Montella's own staff are not recorded. Legal basis: Art. 6(1)(f) GDPR, our legitimate interest in understanding how the Service is used so we can decide what to build and fix. You can object to this at any time under Art. 21 GDPR (see Section 3); we will then stop recording your use for this purpose and delete those records. The log of your AI client's calls stays in your organisation's audit log for its own period (Section 9(6)), and we stop using it for this purpose. Retention: 12 months, then deleted. Beyond that, we may use aggregated and anonymised data, which no longer identifies you or any individual, to analyse and improve the Service. We do not use your Inputs or content to train general-purpose AI models for other customers without your consent.
(5) Where a feature of the Service generates outputs with an AI model, Inputs may be transmitted to a model provider acting on our behalf; where available we use EU endpoints and no-training options. At the date of this Policy the platform itself calls no model provider. Where you connect your own AI client to your workspace (see Section 9(6)), that client is your choice and your recipient.
(6) Your own AI client: the Service can expose your workspace to an AI client you operate (for example Claude, ChatGPT or Cursor) through a connection you create and can revoke. Data that client reads is sent to its provider under that provider's terms and your agreement with them; we log each call (who, when, which tool, how many records) and keep the fields that can name a person for 10 days and the rest for 12 months. The user, time, tool, outcome and record count of each call, never its arguments, are also part of the usage records described in Section 9(4).
10. Where We Act as a Processor for Business Clients
(1) A core part of the Service is running AI agents and workflows on data provided by our business clients (for example, letting and outreach support, reporting, and back-office automation). In that case the client is the controller and Montella is the processor. We process such personal data only on the client’s documented instructions under an Art. 28 GDPR data processing agreement.
(2) For that processing, the client's records (for example leases and their parties, bank statement lines and their counterparties, members and contacts) are stored in the client's own workspace in our EU database for as long as the client's agreement provides, and returned or deleted on its instruction. Nothing is pooled across clients. No special categories of personal data (Art. 9 GDPR) are processed unless the client has expressly agreed this in writing with additional safeguards.
(3) Your rights: if you are an individual whose personal data a client processes through the Service, please direct requests to that client as the controller. We will support the client in responding, and will forward any request we receive directly to the relevant client without undue delay.
(4) One exception to the above: the records of how you use the Service described in Section 9(4) are kept by Montella as controller, for its own purpose, and this Policy governs them.
11. Automated Processing and AI Transparency
(1) The Service uses artificial-intelligence models to generate outputs. Outputs are produced by automated means and may be inaccurate or incomplete; they are intended to support, not replace, human decision-making, and are reviewed by a person before being relied upon.
(2) We do not use the Service to make decisions based solely on automated processing that produce legal or similarly significant effects on you within the meaning of Art. 22 GDPR. Where we or our clients would deploy such processing, appropriate safeguards and human oversight are put in place.
(3) Where required by applicable law, including Regulation (EU) 2024/1689 (the EU AI Act), we disclose that content is AI-generated or that you are interacting with an AI system.
12. Accounting, Invoicing and Legal Obligations
(1) To issue invoices, keep our books and meet tax obligations, we process billing and transaction data (such as name, business/billing address, contact and payment data, and invoice data), and share it with our accountant, the tax authority (Finanzamt, via ELSTER), our bank and DATEV, as required.
(2) Legal basis: Art. 6(1)(c) GDPR (legal obligations under the HGB, AO and UStG) and Art. 6(1)(b) GDPR (contract performance). Retention: statutory retention periods apply, generally 8–10 years (§ 147 AO, § 257 HGB).
13. Investor and Other Business Relations
We process contact and correspondence data of investors and other business partners to manage those relationships. Legal basis: Art. 6(1)(f) GDPR (our legitimate interest in these relationships) and Art. 6(1)(b) GDPR for pre-contractual steps. Retention: for the duration of the relationship, then pruned when no longer relevant.
14. Recipients and Sub-processors
We use carefully selected service providers who process personal data on our behalf under data processing agreements (Art. 28 GDPR), and disclose data to statutory recipients where legally required. The main recipients are:
| Recipient | Purpose | Location | Transfer safeguard |
|---|
| Vercel, Inc. | Website and platform hosting | USA | EU SCCs |
| Neon, Inc. | Platform database (Frankfurt region) | EU | None needed (EU) |
| Resend, Inc. | Email delivery & tracking | USA | EU SCCs |
| Formagrid, Inc. (Airtable) | CRM / data storage | USA | EU SCCs |
| Google LLC (Workspace) | Email, documents, storage | USA | EU-US DPF + SCCs |
| AI model providers (none at the date of this Policy; formerly Microsoft Azure OpenAI, to July 2026) | AI model inference, where a feature uses one | EU / USA | EU SCCs; EU endpoint / no-training where available |
| Google Maps Platform / OpenStreetMap Foundation | Property maps, loaded by your browser | USA / UK | Independent controllers (Section 4(4)) |
| Your own AI client (Claude, ChatGPT, Cursor or other) | Reads your workspace on your instruction | Per provider | Your agreement with that provider |
| Canva | Design / proposals | Australia / USA | EU SCCs |
| Qonto (Olinda SAS) | Business banking | France (EU) | None needed (EU) |
| DATEV eG | Bookkeeping | Germany (EU) | None needed (EU) |
| GlobalTax | External accounting / tax | Germany (EU) | None needed (EU) |
| Finanzamt / ELSTER | Statutory tax filing | Germany (EU) | Not applicable |
| LinkedIn | Business-development outreach | Ireland (EU) / USA | EU SCCs |
Because our platform processing is transient, several providers process personal data only in transit rather than storing it. We do not sell personal data.
15. International Data Transfers
Some recipients are located outside the EU/EEA (in particular in the USA). Where we transfer personal data to such recipients, we rely on appropriate safeguards under Chapter V GDPR, primarily the EU Standard Contractual Clauses, and, for providers certified under the EU-US Data Privacy Framework, an adequacy decision. You may request a copy of the relevant safeguards using the contact details in Section 1.
16. Data Retention
We keep personal data only as long as necessary for the purposes described above or as required by law. In summary:
| Data | Retention period |
|---|
| Website server logs | 30 days |
| Contact / enquiry data | Until the enquiry is resolved, then deleted (unless legally required) |
| Prospect / outreach data | Up to 24 months from last meaningful contact |
| Email-engagement logs | 12 months, then aggregated / anonymised |
| CRM / business-contact data | Duration of the business relationship, reviewed periodically |
| Accounting / tax records | 8–10 years (§ 147 AO, § 257 HGB) |
| Client data held in the platform | For the term of the client’s agreement; returned or deleted per its Art. 28 DPA |
| AI-client call log | Fields that can name a person 10 days, the rest 12 months |
| Sign-in attempts | 90 days |
| Product usage records | 12 months, then deleted |
17. Data Security
We implement appropriate technical and organisational measures to protect personal data (Art. 32 GDPR), including individual accounts and least-privilege access, strong unique passwords, encryption in transit (TLS), data minimisation, access logging, and a documented process for detecting and handling personal data breaches. We keep these measures under review as the Service develops.
18. No Processing of Children’s Data
The Service is intended for businesses and professionals and is not directed at children. We do not knowingly process the personal data of children.
19. Changes to this Policy
We may update this Policy to reflect changes to the Service or to legal requirements. The current version is always available on our website with the “Last updated” date shown above. Where changes are material, we will take reasonable steps to inform affected users.
20. How to Contact Us
For any question about this Policy or to exercise your rights, contact: Yanay Brook, trading as “Montella”, Oskar-Helene-Park 36, 14195 Berlin, Germany, team@montella.dev.
Datenschutzerklärung
Privacy Policy · Stand: 20. Oktober 2026
Diese Datenschutzerklärung erläutert, wie Yanay Brook, handelnd unter „Montella“ („Montella“, „wir“, „uns“), personenbezogene Daten verarbeitet, wenn Sie unsere Website besuchen, mit uns kommunizieren oder die Montella-Plattform und die KI-Agenten nutzen (zusammen der „Dienst“). Wir verarbeiten personenbezogene Daten nach der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG).
1. Verantwortlicher und Kontakt
Verantwortlicher: Yanay Brook, handelnd unter „Montella“, Oskar-Helene-Park 36, 14195 Berlin, Deutschland.
Kontakt in Datenschutzfragen: team@montella.dev. Die vollständigen Anbieterangaben finden Sie im Impressum unter https://montella.dev/impressum.
Einen Datenschutzbeauftragten haben wir nicht benannt, da wir dazu nach Art. 37 DSGVO / § 38 BDSG nicht verpflichtet sind. Datenschutzanliegen können Sie über die oben genannten Kontaktdaten an uns richten.
2. Geltungsbereich und unsere zwei Rollen
(1) Diese Erklärung gilt für personenbezogene Daten, für die Montella Verantwortlicher ist, also dort, wo wir über Zweck und Mittel der Verarbeitung entscheiden. Das betrifft Besucher unserer Website, Personen, die wir zur Geschäftsanbahnung kontaktieren, unsere Geschäftskontakte und die Vertreter unserer Kunden sowie die Nutzer unserer eigenen Konten und Werkzeuge.
(2) Wo wir nur als Auftragsverarbeiter handeln, also unsere KI-Agenten oder die Plattform auf Daten laufen lassen, die ein Geschäftskunde bereitstellt, ist der Kunde Verantwortlicher und bestimmt die Zwecke der Verarbeitung. Diese Verarbeitung richtet sich nach dem Auftragsverarbeitungsvertrag (Art. 28 DSGVO) zwischen uns und dem Kunden, nicht nach dieser Erklärung. Sind Sie eine Person, deren Daten ein Kunde über den Dienst verarbeitet, wenden Sie sich zur Ausübung Ihrer Rechte bitte an diesen Kunden (siehe Abschnitt 10).
3. Ihre Rechte
Soweit Montella Verantwortlicher ist, stehen Ihnen unter den Voraussetzungen der DSGVO folgende Rechte zu:
- Auskunft (Art. 15): Bestätigung, ob wir Daten über Sie verarbeiten, und eine Kopie dieser Daten.
- Berichtigung (Art. 16): Korrektur unrichtiger und Vervollständigung unvollständiger Daten.
- Löschung (Art. 17): Löschung Ihrer Daten, wenn die gesetzlichen Voraussetzungen vorliegen.
- Einschränkung der Verarbeitung (Art. 18) in bestimmten Fällen.
- Datenübertragbarkeit (Art. 20): Erhalt der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format.
- Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage unserer berechtigten Interessen. Direktwerbung können Sie jederzeit widersprechen; wir stellen diese Verarbeitung dann ein.
- Widerruf einer Einwilligung (Art. 7 Abs. 3) jederzeit mit Wirkung für die Zukunft.
- Keine ausschließlich automatisierte Entscheidung (Art. 22) mit rechtlicher oder ähnlich erheblicher Wirkung (siehe Abschnitt 11).
Beschwerderecht (Art. 77): Sie können sich bei einer Aufsichtsbehörde beschweren. Für Montella zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Alt-Moabit 59–61, 10555 Berlin.
4. Nutzung der Website und Hosting
(1) Beim Besuch unserer Website verarbeiten unsere Hosting-Anbieter automatisch Server-Logdaten, darunter Ihre IP-Adresse, Browsertyp und -version, die aufgerufenen Seiten sowie Datum und Uhrzeit des Zugriffs. Das ist für einen sicheren und zuverlässigen Betrieb der Website erforderlich.
(2) Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer sicheren, funktionierenden Website. Speicherdauer: Server-Logs werden nach 30 Tagen gelöscht.
(3) Website und Plattform werden von Vercel, Inc. (USA) gehostet; die Plattform-Datenbank betreibt Neon, Inc. in der EU (Frankfurt). Übermittlungen in die USA sind durch die EU-Standardvertragsklauseln abgesichert (siehe Abschnitte 14–15). Schriften werden von unserer eigenen Domain ausgeliefert; es erfolgt kein Aufruf von Google Fonts.
(4) Seiten der Plattform, die ein Objekt auf einer Karte zeigen, laden die Karte in Ihrem Browser von Google Maps Platform (Google LLC, USA) oder, wo Google nicht konfiguriert ist, von der OpenStreetMap Foundation (UK). Da Ihr Browser die Karte selbst abruft, erhalten diese Anbieter Ihre IP-Adresse, den User-Agent Ihres Browsers und den angezeigten Kartenausschnitt und handeln dafür als eigenständige Verantwortliche. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, ein Objekt dort zu zeigen, wo es steht.
5. Cookies und Einwilligung
(1) Wir setzen Cookies und ähnliche Technologien ein, die für den Betrieb der Website und des Dienstes unbedingt erforderlich sind. Diese bedürfen keiner Einwilligung (§ 25 Abs. 2 TDDDG; Art. 6 Abs. 1 lit. f DSGVO).
(2) Google Analytics: Auf montella.dev setzen wir Google Analytics 4 (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) ein, um zu sehen, wie die Website genutzt wird, und zwar erst, nachdem Sie dies im Cookie-Banner akzeptiert haben. Bis dahin, und wenn Sie ablehnen, wird nichts von Google geladen und kein Analyse-Cookie gesetzt. Nach Ihrer Einwilligung setzt Google Cookies (`_ga`, `_ga_*`, bis zu 13 Monate) und erhält Ihre gekürzte IP-Adresse, die aufgerufenen Seiten und den Weg, über den Sie zu uns gekommen sind; Google kann diese Daten in die USA übermitteln, geschützt durch das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln. Rechtsgrundlage: Ihre Einwilligung (§ 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile widerrufen; die Cookies werden dann nicht mehr gesetzt. Werbe-Cookies setzen wir nicht ein.
6. Kontaktaufnahme
(1) Wenn Sie uns per E-Mail kontaktieren oder Ihre Adresse in einem Formular auf unserer Website oder auf der Plattform hinterlassen (etwa der Zugangsanfrage auf der Anmeldeseite), verarbeiten wir die von Ihnen angegebenen Daten (etwa Name, E-Mail-Adresse und Nachricht), um Ihre Anfrage und die zugehörige Korrespondenz zu bearbeiten.
(2) Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit sich Ihre Anfrage auf einen Vertrag oder vorvertragliche Schritte bezieht; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Beantwortung von Anfragen). Speicherdauer: so lange, wie es für die Bearbeitung der Anfrage und etwaige Rückfragen nötig ist; danach Löschung, sofern keine gesetzliche Aufbewahrungspflicht besteht.
7. Geschäftsanbahnung und Marketing (B2B)
(1) Wir identifizieren und kontaktieren Entscheidungsträger und Vertreter von Unternehmen der Immobilienbranche, um unsere Leistungen anzubieten. Dabei nutzen wir öffentlich zugängliche berufliche Daten und Business-Netzwerke (z. B. LinkedIn) und verarbeiten Name, Position, Arbeitgeber, geschäftliche Kontaktdaten, öffentliches Berufsprofil und unseren Kontaktverlauf mit Ihnen.
(2) Wir versenden außerdem geschäftliche E-Mails (einschließlich Berichten) und messen Zustellung, Öffnungen und Klicks, um das Interesse zu verstehen. Dafür verarbeiten wir Ihre geschäftliche E-Mail-Adresse, Ihren Namen, Ihren Arbeitgeber und die E-Mail-Interaktionsdaten.
(3) Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an B2B-Direktmarketing und der Messung seiner Wirksamkeit. Unsere Ansprache bleibt gezielt und relevant; § 7 UWG wird beachtet. Speicherdauer: Interessentendaten bis zu 24 Monate nach dem letzten wesentlichen Kontakt; E-Mail-Interaktionsprotokolle 12 Monate; danach Löschung oder Anonymisierung.
(4) Ihre Wahl: Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), über die Kontaktdaten in Abschnitt 1 oder den Abmeldelink in unseren Nachrichten. Wir kontaktieren Sie dann nicht mehr.
8. Pflege von Geschäftsbeziehungen und Kontakten
(1) Wir führen Aufzeichnungen über unsere Geschäftskontakte, Interessenten und die Vertreter unserer Kunden, darunter Name, Funktion, Arbeitgeber, geschäftliche Kontaktdaten, Notizen, Gesprächsverlauf und Status der Geschäftsanbahnung, um unsere Beziehungen und unsere Pipeline zu verwalten.
(2) Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Pflege von Geschäftsbeziehungen) und, soweit auf Ihre Anfrage Schritte zu einem Vertrag unternommen werden, Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: für die Dauer der Geschäftsbeziehung; inaktive Kontakte werden regelmäßig überprüft und bereinigt.
9. Die Montella-Plattform und die KI-Agenten
(1) Wenn Sie den Dienst mit einem eigenen Konto nutzen, verarbeiten wir Ihre Konto- und Nutzungsdaten (etwa Name, geschäftliche E-Mail-Adresse, Rolle, Anmelde- und Aktivitätsdaten), um den Dienst bereitzustellen, abzusichern, zu warten und zu unterstützen, und wir verarbeiten die von Ihnen eingereichten Inhalte („Eingaben“), um Ergebnisse für Sie zu erzeugen.
(2) Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über den Dienst) und Art. 6 Abs. 1 lit. f DSGVO (Absicherung und Verbesserung des Dienstes).
(3) Anmeldeversuche: Jeder Anmeldeversuch, erfolgreich oder nicht, wird mit der eingegebenen Adresse, der IP-Adresse, dem User-Agent des Browsers und dem Ergebnis aufgezeichnet, damit wiederholte Fehlversuche auf ein Konto oder von einer Adresse abgewiesen und geprüft werden können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse daran, Konten vor Einbruch zu schützen. Speicherdauer: 90 Tage, danach wird der Eintrag gelöscht.
(4) Wie der Dienst genutzt wird, und seine Verbesserung: Wir zeichnen auf, welche Bereiche des Dienstes angemeldete Nutzer öffnen und was sie dort tun, mit dem Zeitpunkt und dem Nutzerkonto. Zum Beispiel, welche Tabelle oder welchen Datensatz sie geöffnet, welches Feld sie bearbeitet und welche Datei sie hochgeladen haben, und welches Werkzeug ihr verbundener KI-Client aufgerufen hat und ob der Aufruf erfolgreich war. Wir zeichnen die Namen unserer eigenen Funktionen und die Kennung des betroffenen Datensatzes auf, nie die Eingaben oder den Wert eines Feldes. Wenn wir diese Aufzeichnungen ansehen, sehen wir den Datensatz unter dem Namen, den der Dienst für ihn anzeigt. Nur namentlich bestimmte Mitarbeiter von Montella können diese Aufzeichnungen einsehen; sie werden nie Ihrem Arbeitgeber oder anderen Personen in Ihrer Organisation gezeigt. Montellas eigene Mitarbeiter werden nicht aufgezeichnet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse daran zu verstehen, wie der Dienst genutzt wird, um zu entscheiden, was wir bauen und verbessern. Sie können dem jederzeit nach Art. 21 DSGVO widersprechen (siehe Abschnitt 3); wir zeichnen Ihre Nutzung dann nicht mehr für diesen Zweck auf und löschen diese Aufzeichnungen. Das Protokoll der Aufrufe Ihres KI-Clients bleibt für seine eigene Dauer im Prüfprotokoll Ihrer Organisation (Abschnitt 9 Abs. 6), und wir nutzen es nicht mehr für diesen Zweck. Speicherdauer: 12 Monate, danach Löschung. Darüber hinaus dürfen wir aggregierte und anonymisierte Daten, die Sie oder andere Personen nicht mehr identifizieren, zur Analyse und Verbesserung des Dienstes verwenden. Ihre Eingaben und Inhalte nutzen wir ohne Ihre Einwilligung nicht zum Training allgemeiner KI-Modelle für andere Kunden.
(5) Soweit eine Funktion des Dienstes Ergebnisse mit einem KI-Modell erzeugt, können Eingaben an einen Modellanbieter übermittelt werden, der in unserem Auftrag handelt; soweit verfügbar nutzen wir EU-Endpunkte und Optionen ohne Training. Zum Stand dieser Erklärung ruft die Plattform selbst keinen Modellanbieter auf. Verbinden Sie Ihren eigenen KI-Client mit Ihrem Arbeitsbereich (siehe Abschnitt 9 Abs. 6), ist dieser Client Ihre Wahl und Ihr Empfänger.
(6) Ihr eigener KI-Client: Der Dienst kann Ihren Arbeitsbereich für einen von Ihnen betriebenen KI-Client (etwa Claude, ChatGPT oder Cursor) über eine Verbindung freigeben, die Sie anlegen und widerrufen können. Daten, die dieser Client liest, gehen an dessen Anbieter nach dessen Bedingungen und Ihrer Vereinbarung mit ihm; wir protokollieren jeden Aufruf (wer, wann, welches Werkzeug, wie viele Datensätze) und bewahren die Felder, die eine Person benennen können, 10 Tage und den Rest 12 Monate auf. Nutzer, Zeitpunkt, Werkzeug, Ergebnis und Anzahl der Datensätze jedes Aufrufs, nie seine Argumente, sind zugleich Teil der in Abschnitt 9 Abs. 4 beschriebenen Nutzungsaufzeichnungen.
10. Wo wir als Auftragsverarbeiter für Geschäftskunden handeln
(1) Ein Kernbestandteil des Dienstes ist der Betrieb von KI-Agenten und Abläufen auf Daten, die unsere Geschäftskunden bereitstellen (zum Beispiel Vermietungs- und Ansprache-Unterstützung, Berichte und Back-Office-Automatisierung). In diesem Fall ist der Kunde Verantwortlicher und Montella Auftragsverarbeiter. Wir verarbeiten solche personenbezogenen Daten nur auf dokumentierte Weisung des Kunden im Rahmen eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO.
(2) Bei dieser Verarbeitung werden die Datensätze des Kunden (etwa Mietverträge und ihre Parteien, Kontoauszugszeilen und ihre Gegenparteien, Mitglieder und Kontakte) im eigenen Arbeitsbereich des Kunden in unserer EU-Datenbank gespeichert, solange die Vereinbarung mit dem Kunden es vorsieht, und auf seine Weisung zurückgegeben oder gelöscht. Nichts wird kundenübergreifend zusammengeführt. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet, es sei denn, der Kunde hat dem ausdrücklich schriftlich und mit zusätzlichen Schutzmaßnahmen zugestimmt.
(3) Ihre Rechte: Sind Sie eine Person, deren personenbezogene Daten ein Kunde über den Dienst verarbeitet, richten Sie Ihre Anliegen bitte an diesen Kunden als Verantwortlichen. Wir unterstützen den Kunden bei der Beantwortung und leiten jede direkt bei uns eingehende Anfrage unverzüglich an den betreffenden Kunden weiter.
(4) Eine Ausnahme vom Vorstehenden: Die in Abschnitt 9 Abs. 4 beschriebenen Aufzeichnungen darüber, wie Sie den Dienst nutzen, führt Montella als Verantwortlicher für einen eigenen Zweck; für sie gilt diese Erklärung.
11. Automatisierte Verarbeitung und KI-Transparenz
(1) Der Dienst nutzt Modelle künstlicher Intelligenz zur Erzeugung von Ergebnissen. Diese entstehen automatisiert und können ungenau oder unvollständig sein; sie sollen menschliche Entscheidungen unterstützen, nicht ersetzen, und werden von einer Person geprüft, bevor auf sie vertraut wird.
(2) Wir nutzen den Dienst nicht für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Sollten wir oder unsere Kunden eine solche Verarbeitung einsetzen, werden angemessene Schutzmaßnahmen und menschliche Aufsicht eingerichtet.
(3) Soweit gesetzlich vorgeschrieben, einschließlich nach der Verordnung (EU) 2024/1689 (KI-Verordnung), weisen wir darauf hin, dass Inhalte KI-generiert sind oder dass Sie mit einem KI-System interagieren.
12. Buchhaltung, Rechnungsstellung und gesetzliche Pflichten
(1) Zur Rechnungsstellung, Buchführung und Erfüllung steuerlicher Pflichten verarbeiten wir Abrechnungs- und Transaktionsdaten (etwa Name, Geschäfts- bzw. Rechnungsadresse, Kontakt- und Zahlungsdaten sowie Rechnungsdaten) und geben sie, soweit erforderlich, an unseren Steuerberater, das Finanzamt (über ELSTER), unsere Bank und DATEV weiter.
(2) Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten nach HGB, AO und UStG) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: die gesetzlichen Aufbewahrungsfristen, in der Regel 8 bis 10 Jahre (§ 147 AO, § 257 HGB).
13. Investoren und sonstige Geschäftsbeziehungen
Wir verarbeiten Kontakt- und Korrespondenzdaten von Investoren und anderen Geschäftspartnern, um diese Beziehungen zu pflegen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an diesen Beziehungen) und Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Schritte. Speicherdauer: für die Dauer der Beziehung; danach Bereinigung, sobald nicht mehr relevant.
14. Empfänger und Auftragsverarbeiter
Wir setzen sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten in unserem Auftrag im Rahmen von Auftragsverarbeitungsverträgen (Art. 28 DSGVO) verarbeiten, und übermitteln Daten an gesetzliche Empfänger, soweit wir dazu verpflichtet sind. Die wesentlichen Empfänger sind:
| Empfänger | Zweck | Sitz | Übermittlungsgarantie |
|---|
| Vercel, Inc. | Hosting von Website und Plattform | USA | EU-Standardvertragsklauseln |
| Neon, Inc. | Plattform-Datenbank (Region Frankfurt) | EU | Nicht erforderlich (EU) |
| Resend, Inc. | E-Mail-Versand und -Tracking | USA | EU-Standardvertragsklauseln |
| Formagrid, Inc. (Airtable) | CRM / Datenspeicherung | USA | EU-Standardvertragsklauseln |
| Google LLC (Workspace) | E-Mail, Dokumente, Speicher | USA | EU-US Data Privacy Framework + Standardvertragsklauseln |
| KI-Modellanbieter (zum Stand dieser Erklärung keiner; bis Juli 2026 Microsoft Azure OpenAI) | KI-Modellinferenz, soweit eine Funktion sie nutzt | EU / USA | EU-Standardvertragsklauseln; EU-Endpunkt / kein Training, soweit verfügbar |
| Google Maps Platform / OpenStreetMap Foundation | Objektkarten, von Ihrem Browser geladen | USA / UK | Eigenständige Verantwortliche (Abschnitt 4 Abs. 4) |
| Ihr eigener KI-Client (Claude, ChatGPT, Cursor oder andere) | Liest Ihren Arbeitsbereich auf Ihre Weisung | Je Anbieter | Ihre Vereinbarung mit diesem Anbieter |
| Canva | Design / Angebote | Australien / USA | EU-Standardvertragsklauseln |
| Qonto (Olinda SAS) | Geschäftskonto | Frankreich (EU) | Nicht erforderlich (EU) |
| DATEV eG | Buchhaltung | Deutschland (EU) | Nicht erforderlich (EU) |
| GlobalTax | Externe Buchhaltung / Steuern | Deutschland (EU) | Nicht erforderlich (EU) |
| Finanzamt / ELSTER | Gesetzliche Steuermeldungen | Deutschland (EU) | Entfällt |
| LinkedIn | Geschäftsanbahnung | Irland (EU) / USA | EU-Standardvertragsklauseln |
Da die Verarbeitung auf unserer Plattform vorübergehend ist, verarbeiten mehrere Anbieter personenbezogene Daten nur im Durchlauf und speichern sie nicht. Wir verkaufen keine personenbezogenen Daten.
15. Internationale Datenübermittlungen
Einige Empfänger sitzen außerhalb der EU / des EWR (insbesondere in den USA). Soweit wir personenbezogene Daten an solche Empfänger übermitteln, stützen wir uns auf geeignete Garantien nach Kapitel V DSGVO, vor allem die EU-Standardvertragsklauseln und, bei nach dem EU-US Data Privacy Framework zertifizierten Anbietern, auf den Angemessenheitsbeschluss. Eine Kopie der jeweiligen Garantien können Sie über die Kontaktdaten in Abschnitt 1 anfordern.
16. Speicherdauer
Wir bewahren personenbezogene Daten nur so lange auf, wie es für die genannten Zwecke erforderlich oder gesetzlich vorgeschrieben ist. Zusammengefasst:
| Daten | Speicherdauer |
|---|
| Server-Logs der Website | 30 Tage |
| Kontakt- / Anfragedaten | Bis zur Erledigung der Anfrage, dann Löschung (sofern keine gesetzliche Pflicht besteht) |
| Interessenten- / Ansprachedaten | Bis zu 24 Monate nach dem letzten wesentlichen Kontakt |
| E-Mail-Interaktionsprotokolle | 12 Monate, dann Aggregation / Anonymisierung |
| CRM- / Geschäftskontaktdaten | Dauer der Geschäftsbeziehung, regelmäßige Überprüfung |
| Buchhaltungs- / Steuerunterlagen | 8 bis 10 Jahre (§ 147 AO, § 257 HGB) |
| In der Plattform gespeicherte Kundendaten | Für die Laufzeit der Kundenvereinbarung; Rückgabe oder Löschung gemäß Auftragsverarbeitungsvertrag |
| Protokoll der KI-Client-Aufrufe | Felder, die eine Person benennen können, 10 Tage; der Rest 12 Monate |
| Anmeldeversuche | 90 Tage |
| Aufzeichnungen zur Nutzung des Dienstes | 12 Monate, danach Löschung |
17. Datensicherheit
Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten (Art. 32 DSGVO), darunter individuelle Konten mit Zugriff nach dem Prinzip der geringsten Rechte, starke, eindeutige Passwörter, Verschlüsselung bei der Übertragung (TLS), Datensparsamkeit, Zugriffsprotokollierung und ein dokumentiertes Verfahren zur Erkennung und Behandlung von Datenschutzverletzungen. Diese Maßnahmen überprüfen wir laufend, während sich der Dienst weiterentwickelt.
18. Keine Verarbeitung von Daten von Kindern
Der Dienst richtet sich an Unternehmen und Fachleute und nicht an Kinder. Wir verarbeiten wissentlich keine personenbezogenen Daten von Kindern.
19. Änderungen dieser Erklärung
Wir können diese Erklärung anpassen, um Änderungen des Dienstes oder gesetzlicher Anforderungen abzubilden. Die aktuelle Fassung ist stets mit dem oben genannten Stand auf unserer Website abrufbar. Bei wesentlichen Änderungen informieren wir betroffene Nutzer in angemessener Weise.
20. Kontakt
Bei Fragen zu dieser Erklärung oder zur Ausübung Ihrer Rechte wenden Sie sich an: Yanay Brook, handelnd unter „Montella“, Oskar-Helene-Park 36, 14195 Berlin, Deutschland, team@montella.dev.