Eure Kundendaten sind das Wertvollste, was ihr uns anvertraut. Auf dieser Seite steht konkret, wie wir sie schützen — präzise genug, um sie eurem Datenschutzbeauftragten zu zeigen.
Stand: 24. August 2026Casalis läuft auf einem dedizierten Server bei Hetzner in Nürnberg — keine geteilte Public-Cloud-Umgebung mit fremden Mandanten. Datenbank und Dateispeicher liegen auf demselben Server; damit bleibt jederzeit nachvollziehbar, wo eure Daten sind. Cloudflare ist als Schutzschicht vorgeschaltet und fängt Angriffe wie DDoS ab, bevor sie unsere Infrastruktur erreichen.
Jede Verbindung zu Casalis ist TLS-verschlüsselt (Zertifikate über Let's Encrypt). Datenbank und Dateispeicher werden täglich automatisch gesichert — verschlüsselt mit Borg und auf räumlich getrenntem Storage (Hetzner Storage Box) abgelegt. Ein Backup, das sich nicht wiederherstellen lässt, ist keines: Deshalb testen wir die Wiederherstellung jede Woche automatisch.
Der Zugang zu Casalis ist auf mehreren Ebenen abgesichert: Login und Registrierung sind gegen Brute-Force-Angriffe geschützt, und die Plattform verrät Angreifern nicht, ob eine E-Mail-Adresse registriert ist. Innerhalb eines Büros regelt ein Rollenmodell (Inhaber, Makler, Assistenz), wer was darf — durchgesetzt serverseitig, nicht nur in der Oberfläche. Zwei-Faktor-Authentifizierung ist in Arbeit (siehe unten).
Casalis trennt Büros strikt voneinander: Jede Datenbank-Abfrage ist an das jeweilige Büro gebunden — ein Architekturprinzip, das wir in Code-Reviews systematisch prüfen. Der Dateispeicher ist privat; Dokumente und Bilder werden ausschließlich über kurzlebige signierte URLs ausgeliefert, Uploads landen in büro-eigenen Pfaden. So bleibt der Zugriff konsequent auf das eigene Büro beschränkt.
Für KI-Funktionen arbeiten wir mit spezialisierten Anbietern: OpenAI, Anthropic und Replicate (USA). Wir benennen das so klar, weil ihr es für eure eigene Datenschutz-Dokumentation braucht — Transparenz ist hier das Vertrauensargument. Übermittelt wird nur das für die jeweilige Funktion Nötigste, wo möglich Text statt Rohdokument. Eine EU-Hosting-Option für KI-Modelle ist in Arbeit.
Wir betreiben Casalis mit aktivem Monitoring: Fehler, Budget-Anomalien und Backup-Probleme alarmieren das Gründerteam sofort — nicht erst am nächsten Werktag. Temporäre Uploads werden automatisch bereinigt, hängende Verarbeitungen automatisch beendet; dafür verbrauchte Credits werden erstattet.
Verantwortliche Stelle ist die Harnischmacher & Tumpak GbR mit Sitz in Hamburg. Für Maklerbüros stellen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit — inklusive TOMs und vollständiger Subprozessoren-Liste, eine unterschriebene Ausfertigung gibt es auf Anfrage. Betroffenenrechte wie Auskunft, Berichtigung, Löschung oder Widerspruch richtet ihr formlos an kontakt@casalis.ai. Details regelt die Datenschutzerklärung — und auf der Plattform setzen wir keine Analytics- oder Werbe-Tracker ein.
Der Casalis-Scraper wertet ausschließlich öffentlich zugängliche Immobilieninserate aus — Daten, die veröffentlicht wurden, um Interessenten zu erreichen. Wir bereiten sie auf, damit ihr den Markt in eurem Gebiet im Blick habt. Dabei gilt: Wer in unserer Marktübersicht nicht auftauchen möchte, kann jederzeit widersprechen — eine Nachricht an kontakt@casalis.ai genügt.
Sicherheit ist kein Zustand, sondern ein Prozess. Diese Punkte sind bei uns aktuell in der Umsetzung — wir kennzeichnen sie hier bewusst, statt sie als fertig zu verkaufen.
Casalis läuft auf einem dedizierten Server bei Hetzner in Nürnberg, Deutschland. Es handelt sich nicht um geteilte Public-Cloud-Infrastruktur: Anwendung, Datenbank und Dateispeicher liegen auf derselben Maschine unter unserer Kontrolle.
Ja. Der Auftragsverarbeitungsvertrag inklusive der technischen und organisatorischen Maßnahmen (TOMs) und der Liste der Subprozessoren ist unter /avv öffentlich einsehbar und kann als Ausfertigung angefordert werden.
Nein. Die Inhalte, die du in Casalis verarbeitest, werden nicht zum Training von KI-Modellen verwendet — weder von uns noch von den eingesetzten Anbietern.
Die Backups laufen täglich und werden verschlüsselt abgelegt. Zusätzlich stellen wir wöchentlich eine Sicherung testweise wieder her. Ein Backup, das noch nie zurückgespielt wurde, ist im Ernstfall nur eine Vermutung — deshalb dieser feste Wochenrhythmus.
Drei Rollen: Inhaber verwalten Abrechnung, Team und Büro-Einstellungen; Makler nutzen alle Werkzeuge und Suchgebiete; die Assistenz arbeitet mit den Werkzeugen ohne Zugriff auf Abrechnung und Team-Verwaltung. Jedes Büro liegt in einem eigenen, getrennten Mandanten.
Für die KI-Funktionen setzen wir OpenAI, Anthropic und Replicate ein. Die Verarbeitung findet dort in den USA statt, abgesichert über das EU-US Data Privacy Framework beziehungsweise Standardvertragsklauseln. Die übermittelten Inhalte trainieren keine Modelle. Eine Option mit EU-gehosteten Modellen ist in Vorbereitung.