Datenschutzerklärung

1. Verantwortlicher

Vertreten durch die Gesellschafter Lukas Tumpak, Nick Harnischmacher und Kay Harnischmacher. Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen. Für alle Datenschutzanfragen erreichst du uns unter der genannten E-Mail-Adresse.

2. Hosting und Server-Logfiles

Casalis läuft auf einem eigenen Server der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in einem Rechenzentrum in Deutschland. Auch die Datenbank und der Datei-Speicher (self-hosted Supabase-Storage) laufen auf diesem Server — deine Daten liegen also grundsätzlich in Deutschland und werden nicht an Supabase Inc. übermittelt.

Vor dem Server ist Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) als Content-Delivery-Netzwerk und Schutz vor Angriffen (DDoS) geschaltet. Cloudflare verarbeitet dabei technisch notwendige Verbindungsdaten (insbesondere IP-Adressen) als unser Auftragsverarbeiter. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO).

Beim Aufruf unserer Seiten werden automatisch Server-Logfiles verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, HTTP-Statuscode, Browser-Typ (User-Agent) und Referrer-URL. Diese Daten sind technisch erforderlich, um die Website auszuliefern, ihre Stabilität zu sichern und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Logfiles werden nach kurzer Zeit automatisch überschrieben bzw. gelöscht und nicht mit anderen Datenquellen zusammengeführt.

3. Konto und Registrierung

Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse, Büroname und ein Passwort (das Passwort speichern wir ausschließlich als kryptografischen Hash). Diese Daten benötigen wir, um dein Konto und dein Büro anzulegen, dich anzumelden und den Vertrag über die Nutzung von Casalis zu erfüllen — Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zum Schutz vor Missbrauch (z. B. Massen-Registrierungen) verarbeiten wir bei Registrierung und Kontaktanfragen kurzzeitig die IP-Adresse für eine Ratenbegrenzung (Art. 6 Abs. 1 lit. f DSGVO). Kontodaten speichern wir, solange das Konto besteht; danach löschen wir sie, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Über das Kontaktformular übermittelte Angaben (Name, E-Mail, Büro, Teamgröße, Nachricht) verwenden wir ausschließlich zur Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b DSGVO) und geben sie nicht an Dritte weiter.

4. Tool-Uploads und KI-Verarbeitung

Dateien, die du in unsere Tools hochlädst (z. B. Objektfotos, Exposés, Dokumente), werden auf unserem Server in Deutschland gespeichert. Für einzelne Funktionen setzen wir spezialisierte KI-Anbieter ein — dabei werden nur die für die jeweilige Funktion nötigen Inhalte übermittelt:

• KI-Chat und Exposé-Check (nur Text): Eingegebene bzw. aus Dokumenten extrahierte Texte werden über die APIs von OpenAI, L.L.C. und Anthropic, PBC (beide USA) verarbeitet. Es werden keine Kontodaten übermittelt; nach den API-Bedingungen beider Anbieter werden die Inhalte nicht zum Training von KI-Modellen verwendet.
• Bildtools (Homestaging, Bildbearbeitung, Upscaling): Hochgeladene Fotos werden zur Verarbeitung an Replicate, Inc. (USA) übermittelt und dort nach der Verarbeitung nicht dauerhaft gespeichert.
• Geocoding: Zur Umwandlung von Adressen in Koordinaten nutzen wir Photon/OpenStreetMap. Dabei werden ausschließlich Adress-Zeichenketten übermittelt, keine weiteren Daten.

Bei OpenAI, Anthropic und Replicate findet eine Übermittlung in die USA statt. OpenAI und Anthropic sind unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); mit Replicate stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von dir angestoßenen Tool-Funktion). Ergebnisse bleiben in deinem Konto gespeichert, bis du sie oder dein Konto löschst; temporäre Verarbeitungsdateien werden nach Abschluss des Jobs entfernt.

Wichtig: Lade in die Tools keine Inhalte hoch, für deren Verarbeitung du nicht verantwortlich sein darfst. Soweit du als Makler personenbezogene Daten deiner Kunden (z. B. Eigentümernamen in Exposés) verarbeitest, sind wir dein Auftragsverarbeiter — den zugehörigen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO stellen wir bereit.

5. Scraper-Datenbank (öffentliche Immobilieninserate)

Für unsere Scraper-Funktion erheben und speichern wir Daten aus öffentlich zugänglichen Immobilieninseraten auf Immobilienportalen — darunter Objektdaten (Adresse bzw. Lage, Preis, Fläche, Beschreibung, Fotos) und die im Inserat öffentlich angegebenen Kontaktdaten des Anbieters (z. B. Name und Telefonnummer). Technisch nutzen wir dafür die Scraping-Infrastruktur von Oxylabs, UAB (Vilnius, Litauen, EU).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse — und das unserer Kunden (Immobilienmakler) — liegt darin, den Immobilienmarkt zu beobachten und neue, öffentlich angebotene Objekte auffindbar zu machen. In die Abwägung haben wir eingestellt: Die Daten wurden von den Anbietern selbst öffentlich inseriert, gerade damit Interessenten sie sehen und Kontakt aufnehmen können; wir erheben keine Daten aus nicht-öffentlichen Quellen und reichern sie nicht mit weiteren Personendaten an. Gleichwohl gilt: Die werbliche Kontaktaufnahme durch unsere Kunden ist nur in den gesetzlich zulässigen Grenzen erlaubt (insbesondere § 7 UWG) — darauf weisen wir unsere Kunden im Produkt ausdrücklich hin.

Speicherdauer: Wir speichern die Inseratsdaten, solange sie für die Marktbeobachtung und als Vergleichswerte für die Preisanalyse erforderlich sind. Inserate, die nicht mehr online sind, kennzeichnen wir als archiviert.

Widerspruchsrecht (Art. 21 DSGVO): Wenn dein Inserat in unserer Datenbank gespeichert ist, kannst du der Verarbeitung jederzeit widersprechen — formlos per E-Mail an kontakt@casalis.ai. Wir löschen deine Daten dann, sofern keine zwingenden schutzwürdigen Gründe für die Verarbeitung überwiegen.

6. Cookies

Wir setzen keine Analyse-, Marketing- oder Drittanbieter-Cookies ein und benötigen deshalb keinen Cookie-Banner. Es kommen ausschließlich zwei technisch notwendige First-Party-Cookies zum Einsatz:

• Session-Cookie (Login): hält deine Anmeldung in der App aufrecht und wird beim Abmelden bzw. nach Ablauf der Sitzung gelöscht (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO).
• cs_qr_session (30 Tage): wird gesetzt, wenn du einen mit Casalis erstellten QR-Code scannst. Das Cookie enthält nur eine zufällige Kennung ohne Personenbezug und dient dazu, wiederholte Scans desselben Geräts in der Statistik nicht doppelt zu zählen (Art. 6 Abs. 1 lit. f DSGVO).

7. Deine Rechte

Dir stehen gegenüber uns folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO) — z. B. gegen die Speicherung deines Inserats in unserer Scraper-Datenbank (siehe Abschnitt 5),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine formlose E-Mail an kontakt@casalis.ai.

8. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI)
Ludwig-Erhard-Straße 22, 20459 Hamburg
datenschutz-hamburg.de

9. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die KI-Funktionen von Casalis erzeugen Arbeitsergebnisse (Texte, Bilder, Analysen), treffen aber keine rechtlich wirksamen Entscheidungen über Personen.

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 24. August 2026