COEUS ("wir", "uns", "unser") ist eine datenschutzkonforme Immobilienverwaltungssoftware mit KI-gestutzter Dokumentenverarbeitung. Diese umfassende Datenschutzerklarung gilt fur alle Nutzer weltweit und erfullt die Anforderungen folgender Rechtsvorschriften:

• EU-DSGVO (Datenschutz-Grundverordnung, Verordnung (EU) 2016/679)
• Schweizer nDSG (revidiertes Bundesgesetz uber den Datenschutz, in Kraft seit 1. September 2023)
• US CCPA/CPRA (California Consumer Privacy Act / California Privacy Rights Act)
• EU AI Act (Verordnung (EU) 2024/1689 uber kunstliche Intelligenz)

EU-Vertreter (Art. 27 DSGVO): Die Bestellung eines Vertreters in der Europäischen Union ist eingeleitet; Name und Anschrift werden an dieser Stelle veröffentlicht. Bis dahin richten Sie Anliegen nach der DSGVO bitte direkt an den Verantwortlichen: impact@angad.swiss. Hinweis: Die Schweiz gilt nach EU-Recht als Land mit angemessenem Datenschutzniveau (Angemessenheitsbeschluss — betrifft Datenübermittlungen).

3.1 Kontodaten

Bei der Registrierung und Anmeldung (per E-Mail-Einmalcode, Passkey oder Authentifizierungs-App):

• Name (Vor- und Nachname)
• E-Mail-Adresse
• Passkey-Credential (bei WebAuthn-Registrierung)
• Rolle und Organisationszugehörigkeit

3.2 Organisationsdaten

• Firmenname, Rechtsform
• Geschaftsadresse, Kontaktdaten
• Briefkopfinformationen fur Dokumente
• Logo und Unterschriftsbild (optional)
• Organisationseinstellungen und Praferenzen

3.3 Immobiliendaten

• Liegenschafts-, Gebaude- und Wohnungsdetails
• Adressen, Flachen, Zimmerzahlen
• Mietvertrage und Konditionen
• Nebenkostenabrechnungen
• Zahlerstandsablesungen

3.4 Dokumentendaten

• Hochgeladene Dateien (PDF, Bilder, Word, Excel)
• OCR-extrahierter Text (via Mistral OCR)
• KI-generierte Metadaten (Dokumenttyp, Datum, Kategorie, Zusammenfassung)
• Einbettungsvektoren fur semantische Suche (pgvector)
• Versionsverlauf und Anderungsprotokoll

3.5 Cloud-Speicher-Verbindungen

• Google Drive OAuth-Tokens (AES-256 verschlusselt)
• OneDrive/Microsoft OAuth-Tokens (AES-256 verschlusselt)
• Synchronisierte Datei-Metadaten
• Ordnerstrukturen und Berechtigungen

3.6 KI-Interaktionsdaten

• Chat-Nachrichten und KI-Antworten
• Token-Verbrauch pro Anfrage
• Verwendete KI-Modelle und Parameter
• Quellenverweise (Citations)
• Feedback und Bewertungen

3.7 Mietbewerbungsdaten

• Bewerberinformationen (Name, E-Mail, Telefon, Adresse)
• Einkommensnachweise, Betreibungsauszuge
• Identitatsdokumente (Ausweise)
• Antworten auf benutzerdefinierte Fragen
• Bewerbungsstatus und Kommunikationshistorie

3.8 Technische Daten

• IP-Adresse (zur Missbrauchserkennung, Fehleranalyse und zum Nachweis von Einwilligungen; Umgang siehe unten)
• Browser-Typ und -Version
• Geratetyp und Betriebssystem
• Zeitzone und Spracheinstellungen
• Referrer-URL (woher Sie kamen)

Umgang mit IP-Adressen: In den Prüfprotokollen (Audit-Trail) speichern wir die IP-Adresse nur gekürzt (IPv4: letztes Oktett entfernt, IPv6: Kürzung auf das /48-Präfix) und entfernen sie nach 12 Monaten; der übrige Protokolleintrag bleibt als unveränderlicher Nachweis bestehen. In unseren Anwendungsprotokollen (30 Tage) erscheint sie nur gekürzt. Bei Cookie-Einwilligungsnachweisen und Preisrechner-Anfragen speichern wir keine IP-Adresse, sondern nur einen mit einem geheimen Schlüssel erzeugten Hashwert (HMAC). Bei einer Mietbewerbung speichern wir die vollständige IP-Adresse als Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO); wird die Bewerbung gelöscht bzw. anonymisiert, bleiben nur das /24-Präfix, der Zeitstempel und die Fassung der Datenschutzerklärung als Nachweis. Bei rechtlich relevanten Bestätigungen (z. B. Steuerformular W-9, Wechsel des Buchführungsrahmens) kann die vollständige Adresse als Beleg gespeichert werden.

4.1 EU-DSGVO Rechtsgrundlagen

4.2 Schweizer nDSG Rechtsgrundlagen

Das Schweizer nDSG erfordert keinen expliziten Erlaubnistatbestand wie die DSGVO. Die Verarbeitung ist zulassig, sofern sie:

• Die Personlichkeitsrechte nicht widerrechtlich verletzt
• Verhaltnismassig ist
• Transparent kommuniziert wird (durch diese Erklarung erfullt)
• Bei besonders schutzenswerten Personendaten: mit ausdrucklicher Einwilligung erfolgt

5.1 Eingesetzte KI-Systeme

Betriebsstand 10. September 2026: Zustandslose OCR-, Text- und Einbettungsanfragen werden über den EU/EFTA-Endpunkt verarbeitet. Hosted Agents mit gespeichertem Gesprächszustand verwenden weiterhin den globalen Endpunkt; eine regionale Garantie hierfür ist noch nicht bestätigt und Gegenstand einer offenen Anbieterklärung. Dokumente und daraus gewonnene Texte werden nicht pseudonymisiert übermittelt. API-Modelltraining und Labs sind im Konto deaktiviert. Eine Zero-Data-Retention-Freischaltung ist noch nicht bestätigt; deaktiviertes Training bedeutet nicht Nullspeicherung. Bestehende vertragliche Zusagen werden durch diesen Betriebsstand nicht eingeschränkt.

Eine vollstandige Auflistung der eingesetzten Modelle — einschliesslich Spracheingabe und -ausgabe, semantischer Suche, Bildanalyse, Verlaufszusammenfassung und E-Mail-Triage — sowie die Beschreibung, was mit sensiblen Unterlagen wie Lohnabrechnungen, Kontoauszugen und Vertragen technisch geschieht, finden Sie in der KI-Transparenzerklarung.

5.2 KI-Transparenzhinweise (Art. 50 AI Act)

• Kennzeichnung: KI-generierte Inhalte werden als solche gekennzeichnet
• Keine automatisierte Entscheidungsfindung: Es werden keine rechtlich bindenden Entscheidungen vollautomatisiert getroffen (Art. 22 DSGVO)
• Menschliche Kontrolle: KI-Empfehlungen sollten vor einer Entscheidung geprüft werden. Der Assistent kann auf ausdrückliche Anweisung hin Datensätze anlegen, ändern, löschen und E-Mails versenden — diese Schritte erfolgen innerhalb desselben Vorgangs ohne zusätzliche Rückfrage und sind im Aktivitätsprotokoll nachvollziehbar.
• Fehlbarkeit: Die KI kann und wird Fehler machen — der Nutzer trägt die alleinige Verantwortung für Handlungen basierend auf KI-Ausgaben
• Quellenangaben: Bei dokumentenbasierten Antworten werden die Quellen zitiert
• Keine professionelle Beratung: KI-Ausgaben ersetzen keine rechtliche, steuerliche, buchhalterische oder sonstige professionelle Beratung

5.3 Ihre Rechte bezuglich KI-Verarbeitung

• Recht auf Erklarung der KI-Logik bei Entscheidungen, die Sie betreffen
• Recht auf menschliche Uberprufung von KI-Empfehlungen
• Recht auf Deaktivierung bestimmter KI-Funktionen (wo technisch moglich)
• Recht auf Information uber verwendete KI-Systeme

6.1 Hosting und Infrastruktur

6.2 KI-Dienste

6.3 Verbundene Konten (optional)

6.4 Zahlungsabwicklung und E-Mail-Versand

6.5 Kartendienst

Mit allen Auftragsverarbeitern bestehen Datenverarbeitungsvertrage (DPA/AVV) gemass Art. 28 DSGVO bzw. Art. 9 nDSG.

7.1 Schweizer Datenresidenz (Standard)

Alle Nutzerdaten werden primar in der Schweiz (Zürich) gespeichert. Die Hauptdatenbank (AWS Zürich), Dateispeicher und Cloud-Infrastruktur (Infomaniak) befinden sich in Schweizer Rechenzentren. Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU-Kommission.

7.2 USA-Ubermittlungen

Bei der Verbindung von Google-/Microsoft-Konten (OAuth), der Zahlungsabwicklung uber Stripe, dem transaktionalen E-Mail-Versand uber Resend, dem Bot-Schutz durch Cloudflare, der Analyse durch Google Analytics (nur mit Einwilligung) sowie beim Betrieb der Datenplattform durch Supabase Inc. (Anbieter mit Sitz in den USA; ein Zugriff aus den USA kann nicht ausgeschlossen werden) konnen Daten in die USA ubermittelt werden. Zustandslose KI-Inferenz wird über Mistrals EU/EFTA-Endpunkt geleitet. Hosted Agents nutzen den globalen Endpunkt; eine ausschliessliche EU/EFTA-Verarbeitung dieser Funktionen ist noch nicht bestätigt (siehe Abschnitt 5). Die genannten Ubermittlungen sind geschutzt durch:

• EU-US Data Privacy Framework (DPF) fur zertifizierte Unternehmen
• EU-Standardvertragsklauseln (SCCs) gemass Beschluss (EU) 2021/914
• Erganzende Massnahmen: Transportverschlusselung (TLS), Verschlusselung gespeicherter Zugangsdaten und Datenminimierung. Eine Pseudonymisierung der Inhalte findet nicht statt — siehe Abschnitt 5 zur KI-Verarbeitung.

7.3 Schweiz-Angemessenheit

Die EU-Kommission hat die Schweiz als Land mit angemessenem Datenschutzniveau anerkannt (Beschluss 2000/518/EG). Ubermittlungen zwischen EU und Schweiz erfordern keine zusatzlichen Garantien.

Umsetzungsstand 10. September 2026: Die automatische Bereinigung freigegebener Betriebsdaten ist aktiviert; überfällige Nutzungsprotokolle wurden bereinigt. Für die aktuelle Guthabenabrechnung erforderliche Nachweise, gesetzliche Aufbewahrungspflichten und Sperrvermerke werden berücksichtigt. Schadensmeldungen, abgelehnte Mietbewerbungen und unveränderliche Audit-/Ereignisprotokolle benötigen weiterhin gesonderte Lösch- oder Anonymisierungsabläufe; die Automatisierung setzt noch nicht sämtliche unten genannten Fristen durch. Die Fristen und die Rechte auf Löschung bleiben unverändert.

Gilt fur: Personen in der EU/EWR und Verarbeitung nach EU-Recht

Frist: Wir beantworten Anfragen innerhalb von 30 Tagen (verlangerbar um weitere 60 Tage bei komplexen Anfragen).

Gilt fur: Personen in der Schweiz und Verarbeitung nach Schweizer Recht. Das revidierte Bundesgesetz uber den Datenschutz (nDSG), in Kraft seit 1. September 2023, gewahrt Ihnen folgende Rechte:

Frist: Wir beantworten Anfragen innerhalb von 30 Tagen.

Gilt fur: Einwohner Kaliforniens (California Consumer Privacy Act / California Privacy Rights Act)

11.1 Kategorien gesammelter Daten (CCPA ss1798.100)

11.2 Ihre CCPA/CPRA-Rechte

Wir setzen technische und organisatorische Massnahmen (TOMs) gemass Art. 32 DSGVO und Art. 8 nDSG ein:

Technische Massnahmen

• Verschlusselung: TLS 1.3 fur Datenubertragung, AES-256 fur OAuth-Tokens und sensible Daten
• Authentifizierung: E-Mail-Einmalcode, WebAuthn/Passkeys, optional Authentifizierungs-App (TOTP)
• Zugriffskontrolle: Rollenbasierte Berechtigungen, Audit-Logging
• Infrastruktur: EU-Rechenzentren mit ISO 27001-Zertifizierung

Organisatorische Massnahmen

• Regelmassige Sicherheitsuberprufungen
• Datenminimierung und Zweckbindung
• Vertraulichkeitsverpflichtungen fur alle Mitarbeiter
• Incident Response Plan fur Datenschutzverletzungen

Wir verwenden Cookies fur verschiedene Zwecke. Details finden Sie in unserer separaten Cookie-Richtlinie.

Cookie-Kategorien

Ihre Cookie-Auswahl gilt 12 Monate und bis zu einer wesentlichen Änderung des Cookie-Banners; danach fragen wir erneut. Sie können sie jederzeit über den Link «Cookie-Einstellungen» in der Fusszeile jeder Seite ändern oder widerrufen. Beim Widerruf der Analyse-Einwilligung löschen wir die Google-Analytics-Cookies auf Ihrem Gerät.

COEUS richtet sich an Volljährige (18+) und Unternehmen. Mit der Registrierung bestätigen Sie, dass Sie mindestens 18 Jahre alt sind und für sich als Eigentümer oder für ein Unternehmen handeln. Als B2B-Software für Immobilienverwaltung wendet sich COEUS an Unternehmen sowie Eigentümerinnen und Eigentümer von Liegenschaften und ist nicht für Minderjährige bestimmt. Wir erheben wissentlich keine Daten von Minderjährigen; auch Bewerbungen über Bewerbungsformulare sind erst ab 18 Jahren möglich. Falls Sie glauben, dass ein Minderjähriger uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte umgehend.

Wir behalten uns vor, diese Datenschutzerklarung bei Bedarf zu aktualisieren. Bei wesentlichen Anderungen werden wir Sie per E-Mail oder In-App-Benachrichtigung informieren. Die aktuelle Version ist immer auf dieser Seite verfugbar.

Versionsverlauf

Wenn Sie der Meinung sind, dass die Verarbeitung Ihrer Daten gegen Datenschutzrecht verstosst, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehorde einzureichen:

Fur Fragen zu dieser Datenschutzerklarung oder zur Ausubung Ihrer Rechte:

Wir bemuhen uns, alle Anfragen innerhalb von 30 Tagen zu beantworten.

COEUS ("we", "us", "our") is a privacy-compliant property management platform with AI-powered document processing. This comprehensive Privacy Policy applies to all users worldwide and complies with the following regulations:

• EU GDPR (General Data Protection Regulation, Regulation (EU) 2016/679)
• Swiss nFADP (revised Federal Act on Data Protection, effective September 1, 2023)
• US CCPA/CPRA (California Consumer Privacy Act / California Privacy Rights Act)
• EU AI Act (Regulation (EU) 2024/1689 on Artificial Intelligence)

EU Representative (Art. 27 GDPR): The designation of a representative in the European Union is underway; name and address will be published here. Until then, please address GDPR matters directly to the controller: impact@angad.swiss. Note: Switzerland is recognized by the EU as providing an adequate level of data protection (adequacy decision — this concerns data transfers).

3.1 Account Data

When registering and signing in (by one-time email code, passkey or authenticator app):

• Name (first and last name)
• Email address
• Passkey credential (for WebAuthn registration)
• Role and organization membership

3.2 Organization Data

• Company name, legal form
• Business address, contact details
• Letterhead information for documents
• Logo and signature image (optional)
• Organization settings and preferences

3.3 Property Data

• Estate, building, and unit details
• Addresses, areas, room counts
• Rental contracts and conditions
• Utility billing statements
• Meter readings

3.4 Document Data

• Uploaded files (PDF, images, Word, Excel)
• OCR-extracted text (via Mistral OCR)
• AI-generated metadata (document type, date, category, summary)
• Embedding vectors for semantic search (pgvector)
• Version history and change log

3.5 Cloud Storage Connections

• Google Drive OAuth tokens (AES-256 encrypted)
• OneDrive/Microsoft OAuth tokens (AES-256 encrypted)
• Synchronized file metadata
• Folder structures and permissions

3.6 AI Interaction Data

• Chat messages and AI responses
• Token consumption per request
• AI models and parameters used
• Source citations
• Feedback and ratings

3.7 Rental Application Data

• Applicant information (name, email, phone, address)
• Income statements, credit reports
• Identity documents (IDs)
• Responses to custom questions
• Application status and communication history

3.8 Technical Data

• IP address (for abuse detection, troubleshooting and as evidence of consent; handling described below)
• Browser type and version
• Device type and operating system
• Timezone and language settings
• Referrer URL (where you came from)

Handling of IP addresses: In the audit trail we store the IP address only truncated (IPv4: last octet removed, IPv6: truncated to the /48 prefix) and remove it after 12 months; the rest of the log entry remains as immutable evidence. In our application logs (30 days) it appears only truncated. For cookie-consent receipts and pricing-calculator requests we store no IP address, only a hash produced with a secret key (HMAC). For a rental application we store the full IP address as evidence of your consent (Art. 7(1) GDPR); when the application is deleted or anonymized, only the /24 prefix, the timestamp and the version of the privacy policy remain as proof. For legally significant confirmations (e.g. the W-9 tax form, a change of accounting framework) the full address may be stored as a record.

4.1 EU GDPR legal bases

4.2 Swiss nDSG legal bases

The Swiss nDSG does not require an explicit ground for permission in the way the GDPR does. Processing is permissible provided that it:

• Does not unlawfully infringe personality rights
• Is proportionate
• Is communicated transparently (satisfied by this statement)
• For particularly sensitive personal data: takes place with explicit consent

5.1 AI Systems Used

Operational status, 10 September 2026: Stateless OCR, text and embedding requests are processed through the EU/EFTA endpoint. Hosted Agents with stored conversation state continue to use the global endpoint; a regional guarantee for these features has not yet been confirmed and remains an open provider clarification. Documents and extracted text are transmitted without pseudonymization. API model training and Labs are disabled in the account. Zero-data-retention activation has not yet been confirmed; disabled training does not mean zero retention. This operational status does not limit existing contractual commitments.

6.1 Hosting and infrastructure

6.2 AI services

6.3 Connected accounts (optional)

6.4 Payment processing and email delivery

6.5 Map service

Data processing agreements (DPAs) under Art. 28 GDPR and Art. 9 nDSG are in place with all processors.

7.1 Swiss data residency (default)

All user data is stored primarily in Switzerland (Zurich). The main database (AWS Zurich), file storage and cloud infrastructure (Infomaniak) are located in Swiss data centres. Switzerland benefits from an adequacy decision of the EU Commission.

7.2 Transfers to the USA

Data may be transferred to the USA when you connect Google/Microsoft accounts (OAuth), for payment processing via Stripe, transactional email delivery via Resend, bot protection by Cloudflare, analytics by Google Analytics (only with your consent), and in the operation of the data platform by Supabase Inc. (a provider headquartered in the USA; access from the USA cannot be ruled out). Stateless AI inference is routed through Mistral’s EU/EFTA endpoint. Hosted Agents use the global endpoint; exclusive EU/EFTA processing of these features has not yet been confirmed (see section 5). The transfers named above are safeguarded by:

• EU-US Data Privacy Framework (DPF) for certified companies
• EU standard contractual clauses (SCCs) pursuant to Decision (EU) 2021/914
• Supplementary measures: transport encryption (TLS), encryption of stored credentials and data minimization. Content is not pseudonymized — see section 5 on AI processing.

7.3 Swiss adequacy

The EU Commission has recognized Switzerland as a country with an adequate level of data protection (Decision 2000/518/EC). Transfers between the EU and Switzerland require no additional safeguards.

Implementation status, 10 September 2026: Automatic cleanup of eligible operational records is enabled; overdue usage records have been cleaned up. Evidence needed for current credit accounting, statutory retention duties and legal holds are protected. Damage reports, rejected rental applications and immutable audit/event logs still require separate deletion or anonymization workflows; automation does not yet enforce every period listed below. The retention periods and erasure rights remain unchanged.

Applies to: Individuals in the EU/EEA and processing under EU law

Applies to: persons in Switzerland and processing under Swiss law. The revised Federal Act on Data Protection (nDSG), in force since 1 September 2023, grants you the following rights:

Deadline: we respond to requests within 30 days.

Applies to: residents of California (California Consumer Privacy Act / California Privacy Rights Act)

11.1 Categories of data collected (CCPA §1798.100)

11.2 Your CCPA/CPRA rights

We apply technical and organizational measures (TOMs) pursuant to Art. 32 GDPR and Art. 8 nDSG:

Technical measures

• Encryption: TLS 1.3 for data transmission, AES-256 for OAuth tokens and sensitive data
• Authentication: one-time email code, WebAuthn/passkeys, optionally an authenticator app (TOTP)
• Access control: role-based permissions, audit logging
• Infrastructure: EU data centres with ISO 27001 certification

Organizational measures

• Regular security reviews
• Data minimization and purpose limitation
• Confidentiality obligations for all staff
• Incident response plan for data breaches

We use cookies for various purposes. Details can be found in our separate Cookie Policy.

Cookie categories

Your cookie choice is valid for 12 months and until the cookie banner changes materially; after that we ask again. You can change or withdraw it at any time via the “Cookie settings” link in the footer of every page. When you withdraw your analytics consent, we delete the Google Analytics cookies from your device.

COEUS is directed at adults (18+) and businesses. By registering, you confirm that you are at least 18 years old and are acting for yourself as an owner or for a business. As B2B software for property management, COEUS is aimed at businesses and property owners and is not intended for minors. We do not knowingly collect data from minors; applications through rental application forms are likewise only possible from the age of 18. If you believe that a minor has provided us with personal data, please contact us immediately.

We reserve the right to update this privacy policy as required. In the event of material changes we will inform you by email or in-app notification. The current version is always available on this page.

Version history

If you believe that the processing of your data infringes data protection law, you have the right to lodge a complaint with a supervisory authority:

For questions about this Privacy Policy or to exercise your rights:

We strive to respond to all inquiries within 30 days.