Datenschutz und Sicherheit sind die Grundlage.

Maklerdeck läuft auf einem dedizierten Server bei Hetzner in Nürnberg — keine geteilte Public-Cloud-Umgebung mit fremden Mandanten. Datenbank und Dateispeicher liegen auf demselben Server; damit bleibt jederzeit nachvollziehbar, wo eure Daten sind.

• Dedizierter Server im Rechenzentrum Nürnberg (Deutschland)
• Datenbank und Dateispeicher zentral auf eigener Infrastruktur

Jede Verbindung zu Maklerdeck ist TLS-verschlüsselt (Zertifikate über Let's Encrypt). Die Datenbank wird täglich verschlüsselt auf einen getrennten Speicher gesichert.

Der Zugang zu Maklerdeck ist auf mehreren Ebenen abgesichert: Login und Registrierung sind gegen Brute-Force-Angriffe geschützt. Innerhalb eines Büros regelt ein Rollenmodell (Inhaber, Makler, Assistenz), wer was darf — durchgesetzt serverseitig, nicht nur in der Oberfläche. Zwei-Faktor-Authentifizierung ist in Arbeit (siehe unten).

• Passwörter: bcrypt-Hash mit Kostenfaktor 12, nie im Klartext
• Rate-Limiting pro IP und pro Konto
• API-Schlüssel: nur gehasht gespeichert, Anzeige genau einmal

Maklerdeck trennt Büros strikt voneinander: Jede Datenbank-Abfrage ist an das jeweilige Büro gebunden — ein Architekturprinzip, das wir in Code-Reviews systematisch prüfen. Der Dateispeicher ist privat; Dokumente und Bilder werden ausschließlich über kurzlebige signierte URLs ausgeliefert, Uploads landen in büro-eigenen Pfaden. So bleibt der Zugriff konsequent auf das eigene Büro beschränkt.

Für KI-Funktionen arbeiten wir mit spezialisierten Anbietern: OpenAI, Anthropic und Replicate (USA), über Replicate mit Modellen von Google und Topaz Labs. Wir benennen das so klar, weil ihr es für eure eigene Datenschutz-Dokumentation braucht — Transparenz ist hier das Vertrauensargument. Übermittelt wird nur das für die jeweilige Funktion Nötigste, wo möglich Text statt Rohdokument. Eine EU-Hosting-Option für KI-Modelle ist in Arbeit.

• Rechtsgrundlage: EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln
• Kein Modelltraining mit euren Daten (vertragliche Anbieter-Zusagen)
• KI-Visualisierungen (z. B. Homestaging) sind in den Metadaten als solche gekennzeichnet, auf Wunsch auch sichtbar im Bild

Neben den KI-Anbietern setzen wir weitere Dienstleister ein: Den E-Mail-Versand (Bestätigungen, Benachrichtigungen, Eingangsbestätigung des Bewertungs-Widgets) übernimmt Resend, Inc. (San Francisco, USA) auf Grundlage des EU-U.S. Data Privacy Framework beziehungsweise der Standardvertragsklauseln. Adresseingaben wandelt komoot GmbH (Photon, Potsdam) in Koordinaten um; Lage-Informationen liefert FOSSGIS e. V. (Overpass-API). Flurkarten-Ausschnitte kommen vom Landesbetrieb Geoinformation und Vermessung Hamburg und der GDI Schleswig-Holstein, Gemarkungsgrenzen in Schleswig-Holstein zusätzlich von Esri (ArcGIS Online, USA). Für die Marktbeobachtung (LeadDeck) setzen wir zusätzlich die Zyte Group Limited (Dublin, Irland) und ersatzweise Oxylabs, UAB (Vilnius, Litauen) als technische Dienstleister ein — sie verarbeiten die öffentlichen Inseratsdaten, nicht die Daten eures Büros. Die vollständige Liste mit Sitz und Zweck steht in Anlage 3 des AVV.

Fehler im Hintergrundbetrieb und Überschreitungen des Scraping-Budgets melden wir uns per Push-Nachricht (ntfy.sh) selbst — nicht erst am nächsten Werktag. Die Nachricht enthält nur Zähler und Metadaten, keine Kundendaten. Temporäre Uploads werden automatisch bereinigt, hängende Verarbeitungen automatisch beendet; dafür verbrauchte Credits werden erstattet.

Verantwortliche Stelle ist die Tumpak Ventures UG (haftungsbeschränkt) mit Sitz in Hamburg. Für Maklerbüros stellen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit — inklusive TOMs und vollständiger Subprozessoren-Liste, eine unterschriebene Ausfertigung gibt es auf Anfrage. Betroffenenrechte wie Auskunft, Berichtigung, Löschung oder Widerspruch richtet ihr formlos an legal@maklerdeck.de. Details regelt die Datenschutzerklärung — und auf der Plattform setzen wir keine Analytics- oder Werbe-Tracker ein.

LeadDeck, der Immobilien-Scraper von Maklerdeck, wertet ausschließlich öffentlich zugängliche Immobilieninserate aus — Daten, die veröffentlicht wurden, um Interessenten zu erreichen. Wir bereiten sie auf, damit ihr den Markt in eurem Gebiet im Blick habt.

Wer eine Schwachstelle in maklerdeck.de oder der Plattform findet, erreicht uns direkt unter security@maklerdeck.de. Die Kontaktdaten stehen maschinenlesbar nach RFC 9116 unter /.well-known/security.txt. Wir bestätigen Meldungen innerhalb von zwei Werktagen, halten die Melderin oder den Melder über die Behebung auf dem Laufenden und verfolgen gutgläubige Forschung nicht rechtlich — solange keine Kundendaten abgeflossen, verändert oder Dienste gestört werden.