1 Parteien und Einbeziehung

Auftraggeber und Verantwortlicher ist der in der OfferFlow-Bestellung beziehungsweise im Arbeitsbereich bezeichnete Kunde. Auftragnehmer und Auftragsverarbeiter ist die lebe’apartments Betriebs GmbH, Höttinger Auffahrt 5, 6020 Innsbruck, Österreich, FN 636822 d, Firmenbuchgericht Landesgericht Innsbruck, UID ATU81247269, hello@lebe-apartments.com. Handelt der Kunde selbst als Auftragsverarbeiter, versichert er die erforderliche Beauftragung durch seine Verantwortlichen; die Verarbeitungskette ist vor Beginn zu dokumentieren.

Dieser AVV ergänzt den OfferFlow-Nutzungsvertrag nach Art. 28 DSGVO. Die Anlagen A bis C sind Bestandteil. Bei elektronischem Abschluss werden Kunde, Arbeitsbereich, handelnder Owner, Dokumentversion und Bestätigung dokumentiert. Im Konfliktfall gehen die Datenschutzbestimmungen dieses AVV den AGB vor.

2 Gegenstand und Weisungen

Der Auftragnehmer verarbeitet personenbezogene Daten zur Bereitstellung, Absicherung und Wartung der vereinbarten OfferFlow-Funktionen. Art, Zweck, betroffene Personen und Datenarten beschreibt Anlage A. Die Verarbeitung erfolgt während des Vertrags und anschließend nur für Rückgabe, Löschung und den geregelten Ablauf von Sicherungskopien.

Dokumentierte Weisungen ergeben sich aus diesem Vertrag, den vom berechtigten Kunden vorgenommenen Einstellungen und einzelnen Aufträgen in Textform. Weitere Weisungen sind an hello@lebe-apartments.com zu richten. Der Auftragnehmer bestätigt wesentliche Änderungen und dokumentiert sie. Er informiert unverzüglich, wenn er eine Weisung für datenschutzwidrig hält, und setzt deren betroffenen Teil bis zur Klärung aus.

Eine rechtlich zwingende Verarbeitung entgegen Weisungen wird dem Kunden vorab mitgeteilt, soweit das Recht dies erlaubt. Daten werden nicht für eigene Werbung, die Vermarktung anderer Unterkünfte, den Handel mit Gastprofilen oder eigenes allgemeines KI-Modelltraining verwendet. Eine Nutzung irreversibel anonymisierter Statistik setzt eine tatsächlich wirksame Anonymisierung voraus; bloße Pseudonymisierung genügt nicht.

3 Pflichten des Kunden

Der Kunde bestimmt Zwecke und zulässige Daten, prüft Rechtsgrundlagen und erteilt vollständige Informationen an Gäste und Nutzer. Er verantwortet erforderliche Einwilligungen, Werbeberechtigungen, Empfängerkreise und Fristen während seiner Vertragslaufzeit. Er übermittelt keine für den Zweck unnötigen Daten und keine besonderen Kategorien nach Art. 9 oder strafrechtlichen Daten nach Art. 10 DSGVO ohne gesondert vereinbarte Schutzmaßnahmen und Rechtsgrundlage.

Der Kunde hält berechtigte Ansprechpartner aktuell und prüft die Angemessenheit der vereinbarten Maßnahmen. Seine Pflichten entbinden den Auftragnehmer nicht von dessen eigenen gesetzlichen und vertraglichen Pflichten.

4 Vertraulichkeit und Sicherheit

Zugriff erhalten nur auf Vertraulichkeit verpflichtete, für die Aufgabe berechtigte Personen. Berechtigungen werden nach Aufgaben begrenzt und bei Wegfall entzogen. Der Auftragnehmer setzt die Maßnahmen aus Anlage B nach Art. 32 DSGVO um und überprüft ihre Wirksamkeit risikogerecht regelmäßig sowie bei wesentlichen Änderungen.

Maßnahmen dürfen technisch weiterentwickelt werden, wenn das vereinbarte Schutzniveau nicht sinkt. Wesentliche nachteilige Änderungen werden vorab abgestimmt. Ein Supportzugang ist auf den freigegebenen Arbeitsbereich, Zweck und Zeitraum begrenzt und widerrufbar. Infrastrukturzugriffe zur Sicherheit und Wartung werden auf das erforderliche Maß begrenzt, gesondert berechtigt und nachvollziehbar dokumentiert. Es besteht keine Zusage, dass die Anwendung sämtliche technischen Administrationsvorgänge als vollständiges Kundenprotokoll anzeigt.

5 Weitere Auftragsverarbeiter und Übermittlungen

Der Kunde genehmigt allgemein den Einsatz der in Anlage C bezeichneten weiteren Auftragsverarbeiter für die dort genannten Aufgaben. Neue oder ausgetauschte Dienstleister werden mindestens 30 Tage vor Beginn der betreffenden Verarbeitung in Textform mitgeteilt. Der Kunde kann innerhalb von 14 Tagen aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Klärung wird der beanstandete Dienst für seine Daten nicht eingesetzt. Ist keine zumutbare Alternative möglich, kann der betroffene Leistungsteil ohne zusätzliche Kündigungsgebühr zum Änderungszeitpunkt beendet werden; vorausbezahlte, nicht erbrachte Leistungen werden anteilig erstattet.

Der Auftragnehmer bindet weitere Auftragsverarbeiter mindestens an gleichwertige Datenschutzpflichten und bleibt dem Kunden gegenüber für deren Erfüllung verantwortlich. Die Kette einschließlich tatsächlicher Rechtsträger, Aufgaben, Länder, zugriffsberechtigter Unteranbieter und Vertragsnachweise wird aktuell gehalten.

Drittlandverarbeitung einschließlich Fernzugriffen erfolgt nur auf dokumentierter Grundlage und unter Einhaltung von Kapitel V DSGVO. Ein Angemessenheitsbeschluss wird nur genutzt, soweit Empfänger und Verarbeitung tatsächlich erfasst sind; sonst sind geeignete Garantien, erforderliche Transferbewertung und ergänzende Maßnahmen nachzuweisen. Eine EU-Datenbankregion allein schließt Drittlandzugriffe nicht aus. Geeignete Nachweise beziehungsweise geschwärzte Garantien erhält der Kunde auf Anfrage.

6 Rechte betroffener Personen und weitere Unterstützung

Eingehende Anträge betroffener Personen werden unverzüglich an den Kunden weitergeleitet. Ohne Weisung werden sie nicht eigenständig inhaltlich beantwortet, sofern keine eigene gesetzliche Pflicht besteht. Der Auftragnehmer unterstützt Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit durch Suche, Export oder angepasste Maßnahmen im technisch möglichen und erforderlichen Umfang.

Unter Berücksichtigung der verfügbaren Informationen unterstützt er den Kunden bei Sicherheitsprüfungen, Datenschutz-Folgenabschätzungen, vorheriger Konsultation und Pflichten nach Art. 32 bis 36 DSGVO. Außerordentlicher Zusatzaufwand kann vorab gesondert vereinbart werden; die Erfüllung gesetzlich zwingender Pflichten darf nicht von einer ungeklärten Vergütungsfrage abhängig gemacht werden.

7 Datenschutzverletzungen

Der Auftragnehmer informiert den benannten Ansprechpartner des Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes seiner personenbezogenen Daten. Er wartet weder einen vollständigen Abschluss der Untersuchung noch pauschal 72 Stunden ab. Die Erstmeldung enthält die bereits verfügbaren Informationen zu Art des Vorfalls, betroffenen Daten und Personen, möglichen Folgen, getroffenen oder vorgesehenen Maßnahmen und einem erreichbaren Kontakt.

Fehlende Informationen werden nachgereicht. Der Auftragnehmer sichert relevante Beweise, begrenzt Folgen und unterstützt Meldungen an Aufsichtsbehörden und Betroffene. Diese Meldungen entscheidet grundsätzlich der Kunde; eigene gesetzliche Meldepflichten bleiben unberührt.

8 Nachweise und Kontrollen

Der Auftragnehmer stellt die zum Nachweis seiner Pflichten erforderlichen Informationen bereit und ermöglicht Prüfungen einschließlich Inspektionen durch den Kunden oder einen zur Verschwiegenheit verpflichteten, geeigneten Prüfer. Zunächst können geeignete Unterlagen und unabhängige Prüfberichte genutzt werden; begründete Vor-Ort-Prüfungen werden dadurch nicht ausgeschlossen.

Prüfungen werden mit angemessener Vorankündigung und Schutz anderer Kunden abgestimmt. Bei Vorfällen, begründetem Verdacht oder Behördenanforderungen sind kurzfristige Prüfungen möglich. Weder eine starre jährliche Obergrenze noch ein genereller Gebührenvorbehalt dürfen gesetzliche Prüfungsrechte vereiteln.

9 Rückgabe und Löschung

Nach tatsächlichem Vertragsende gibt der Auftragnehmer nach Wahl des Kunden die Auftragsdaten zurück oder löscht sie. Ohne abweichende dokumentierte Weisung stehen 30 Kalendertage für Export oder sichere Rückgabe bereit; danach veranlasst der Auftragnehmer die Löschung der produktiven Auftragsdaten und zugehörigen Dateien. Eine frühere Löschung nach Vertragsende wird auf dokumentierte Weisung veranlasst. Die Durchführung erfolgt über die vorgesehenen Löschverfahren und wird kontrolliert; ein deaktivierter automatischer Lauf verlängert die vereinbarte Frist nicht. Der Kunde erhält auf Anfrage eine Löschbestätigung.

Sicherungskopien werden nicht erneut produktiv genutzt und laufen nach dem bestehenden Rotationsplan aus: Supabase-Datenbanksicherungen binnen bis zu 7 Tagen und eigene zusätzliche Sicherungsarchive binnen bis zu 14 Tagen nach der jeweiligen Sicherung. Nach Löschung im Produktivsystem können letzte Kopien daher noch bis zu diesen Fristen verbleiben. Vor einer Wiederherstellung werden bereits wirksame Löschungen erneut umgesetzt und Versand sowie Integrationen erst danach kontrolliert freigegeben.

Eigene gesetzlich aufzubewahrende Geschäftsunterlagen des Auftragnehmers werden getrennt und auf das erforderliche Maß beschränkt archiviert. Dies rechtfertigt keine pauschale Aufbewahrung der Gastdaten des Kunden. Ist ausnahmsweise eine gesetzliche Speicherung von Auftragsdaten erforderlich, werden Umfang, Rechtsgrund und Dauer mitgeteilt, soweit zulässig; die Daten bleiben für andere Zwecke gesperrt.

Anlage A Verarbeitung

Betroffene Personen: Gäste und Interessenten des Kunden, mitreisende Personen einschließlich Kinder, Newsletterkontakte sowie berechtigte Mitarbeiter und Ansprechpartner des Kunden, soweit sie in dessen Arbeitsbereich handeln.

Datenarten: Namen und Kontaktdaten; Reisezeiten, Personenanzahl und erforderliche Altersangaben; Unterkunfts-, Angebots-, Buchungs- und Gutscheinangaben; Nachrichten und Sonderwünsche; rechtmäßig erhobene Marketingpräferenzen, Herkunfts- und Einwilligungsnachweise, Abmeldungen und Sperren; Zustellstatus; rollenbezogene Nutzer- und Protokolldaten. Keine systematische Verarbeitung von Zahlungs-Kartendaten, Ausweiskopien oder besonderen Kategorien ist vereinbart. Freitext kann solche Daten unbeabsichtigt enthalten und ist entsprechend zu begrenzen.

Vorgänge und Zwecke: Erheben und Importieren, Ordnen und Abgleichen, Speichern und Anzeigen, Erstellen und Versenden von Angeboten und zulässigen Nachrichten, autorisierte PMS-Buchungsabläufe, kundengesteuerte Marketingsegmentierung, Auswertungen für den Kunden, Sicherung, Wiederherstellung, Export und Löschung. Umfang und Häufigkeit richten sich nach aktivierten Funktionen und Kundenweisungen.

KI-Funktionen: Bei entsprechend eingerichteter KI können Nachrichtenausschnitte, Anfragekontext, Sprache, Reisedaten, Assistenzfragen und ausgewählte Arbeitsbereichsinformationen an den gewählten Anbieter übermittelt werden. „E-Mail-Anfragen lesen“ steuert nicht sämtliche KI-Auswertungen; die Grundauswertung kann davon unabhängig erfolgen. Der Kunde legt den zulässigen Umfang seiner KI-Nutzung fest. Es gelten die Anbieterzuordnung in Anlage C, die dokumentierten Einstellungen und die Übermittlungsregeln dieses AVV. Unnötige personenbezogene Daten, Daten fremder Arbeitsbereiche und Geheimnisse dürfen nicht in Prompts gelangen.

Anlage B Technische und organisatorische Maßnahmen

Zugang und Trennung: Personenbezogene Benutzerkonten, vorgesehene Mehrfaktorverfahren, rollen- und hausbezogene Berechtigungen, Mandantenzuordnung und serverseitige Zugriffskontrollen einschließlich Datenbankregeln. Administrative Zugänge werden gesondert verwaltet. Kunden erhalten keinen freien Zugriff auf fremde Arbeitsbereiche.

Übertragung und Geheimnisse: HTTPS für öffentliche Verbindungen, zertifikatsgeprüfte Backup-Datenbankverbindungen und verschlüsselte Speicherung der dafür vorgesehenen Integrationsschlüssel. Geheimnisse gehören nicht in Frontend, öffentliche Dokumente oder reguläre Protokolle. Verschlüsselung ist keine Zusage vollständiger Ende-zu-Ende-Verschlüsselung gegenüber allen Infrastrukturbetreibern.

Betrieb und Wiederanlauf: Überwachung wesentlicher Jobs und Fehler, kontrollierte Releases, automatisierte Rechte- und Isolationstests, tägliche Supabase-Datenbanksicherung und zusätzliche wöchentliche Sicherung einschließlich Dateien sowie vor einschlägigen Migrationen. Das zusätzliche Archiv wird verschlüsselt aufbewahrt; ein isolierter Wiederherstellungstest prüft Datenbank und Dateien. Verfügbarkeits- oder Wiederherstellungszeiten werden damit nicht garantiert.

Datenminimierung und Prozesse: Zweckgebundener, befristeter Supportzugang, Beschränkung von Protokollen auf notwendige Diagnose- und Sicherheitsdaten, Verfahren für Betroffenenanträge und Vorfälle, Zugriffsentzug, dokumentierte Löschaufträge, getrennte Geschäftsunterlagen und regelmäßige Prüfung der Dienstleisterkette. Backups mit Gastdaten werden nicht für Entwicklung oder Demonstrationen verwendet. Der Auftragnehmer dokumentiert intern die verantwortlichen Funktionen, Kontrollen und Nachweise.

Anlage C Dienstleisterverzeichnis

Diese Anlage beschreibt die für OfferFlow eingesetzten Dienste und die Grenzen der jeweiligen Beauftragung. Für alle weiteren Auftragsverarbeiter gelten die Verpflichtungen aus Abschnitt 5. Die Nennung eines Dienstes ersetzt weder den erforderlichen Vertrag mit diesem Dienst noch die Prüfung einer internationalen Übermittlung. Änderungen der Dienstleisterkette werden nach Abschnitt 5 mitgeteilt.

Serverinfrastruktur: Hetzner Online GmbH, Deutschland. Hetzner stellt die Serverinfrastruktur für die Webanwendung und API bereit. Verarbeitet werden Verbindungsdaten und die für den Anwendungsbetrieb erforderlichen Inhalte.

Datenbank und Plattformdienste: Supabase Pte. Ltd., Singapur. Aufgabe: Datenbank, Authentifizierung, Dateispeicher und Datenbanksicherung; betroffen sind die im Arbeitsbereich gespeicherten Daten und Benutzerkonten. Die primäre Projektdatenbank liegt in Irland, Region eu-west-1. Verwaltung und Support können grenzüberschreitende Verarbeitung umfassen. Der veröffentlichte Supabase-DPA enthält EU-Standardvertragsklauseln für erfasste Drittlandübermittlungen. Datenbankregion und Sitz des Vertragspartners sind voneinander zu unterscheiden.

E-Mail-Dienste: Plus Five Five, Inc. (Resend), USA. Aufgabe: Versand und konfigurierter Empfang von E-Mails einschließlich Empfängerdaten, Inhalten, Anhängen und Zustellereignissen. Nach dem veröffentlichten Resend-DPA findet die Hauptverarbeitung in den USA statt; dieser sieht EU-Standardvertragsklauseln vor. Die Auswahl einer Versandregion allein bedeutet keine ausschließlich europäische Verarbeitung. Kundeneigene SMTP-Dienste werden entsprechend der tatsächlichen Beauftragung gesondert zugeordnet.

Datensicherung und Dateibereinigung: GitHub, Inc., USA. GitHub Actions wird für Sicherungen der Datenbank, Benutzerkonten und Dateien, Wiederherstellungstests und die technische Dateibereinigung eingesetzt. Die Sicherungsarchive werden verschlüsselt und bis zu 14 Tage aufbewahrt. Bei der Erstellung und Wiederherstellungsprüfung werden Daten vorübergehend unverschlüsselt auf dem ausführenden System verarbeitet. Verarbeitung in den USA ist möglich. Für die Auftragsverarbeitung und internationale Übermittlungen gelten die Anforderungen aus Abschnitt 5.

KI-Dienste des Kunden: Der Kunde wählt den KI-Anbieter und beauftragt das verwendete API-Konto selbst. OfferFlow übermittelt den für Anfrageauswertung, Textgenerierung und Assistenz erforderlichen Kontext im Auftrag des Kunden; der Datenumfang ist in Anlage A beschrieben. Vertragspartner, Verarbeitungsorte und Speicherfristen richten sich nach dem gewählten Dienst, dem Direktvertrag und den Kontoeinstellungen. Die Pflichten des Auftragnehmers für seine eigene Verarbeitung bleiben unberührt.

Vom Kunden direkt beauftragte Integrationen: insbesondere Apaleo, ein eigener KI- oder SMTP-Anbieter sowie ein ausdrücklich verbundenes Cockpit oder Chatlyn. Der Kunde weist die Übermittlung in sein berechtigtes Konto an und regelt seinen Direktvertrag. Beauftragt dagegen der Auftragnehmer den betreffenden Dienst für den Kunden, muss dieser vor der Verarbeitung als weiterer Auftragsverarbeiter mit Rechtsträger, Aufgabe und Ländern nach Abschnitt 5 benannt sein. Die Herkunft eines API-Schlüssels allein entscheidet nicht über die datenschutzrechtliche Rolle.

Vertragliche Nachweise und Informationen zu den tatsächlich einschlägigen Übermittlungsgarantien sind über hello@lebe-apartments.com erhältlich. Die personenbezogenen Daten einzelner Ersteller oder Mitarbeiter werden nicht als Dienstleisterverzeichnis veröffentlicht. Ihre Berechtigung und Vertraulichkeitsverpflichtung wird intern geführt.

1 Parties and incorporation

The controller is the customer identified in the OfferFlow order or workspace. The processor is lebe’apartments Betriebs GmbH, Höttinger Auffahrt 5, 6020 Innsbruck, Austria, FN 636822 d, register court Landesgericht Innsbruck, VAT ID ATU81247269, hello@lebe-apartments.com. If the customer is itself a processor, it confirms authority from its controllers; the processing chain must be documented before processing starts.

This DPA supplements the OfferFlow service agreement under Article 28 GDPR. Annexes A to C form part of it. Electronic acceptance records the customer, workspace, acting owner, document version and confirmation. In a conflict, the data protection provisions of this DPA prevail over the terms of service.

2 Subject matter and instructions

The processor processes personal data to provide, secure and maintain the agreed OfferFlow functions. Annex A describes operations, purposes, persons and data. Processing lasts for the contract and afterwards only for return, deletion and the agreed expiry of backups.

Documented instructions arise from this agreement, settings made by authorised customer users and individual instructions in text form. Further instructions go to hello@lebe-apartments.com. The processor confirms and records material changes. It promptly informs the customer if it considers an instruction contrary to data protection law and suspends that part pending clarification.

Legally required processing contrary to instructions is notified in advance unless prohibited by law. Data are not used for the provider’s own advertising, promotion of other accommodation, trading guest profiles or general-purpose model training. Use of irreversibly anonymised statistics requires effective anonymisation; pseudonymisation alone is insufficient.

3 Customer obligations

The customer determines purposes and permitted data, establishes legal bases and informs guests and users. It is responsible for necessary consents, marketing permissions, audiences and retention periods during the contract. It provides no unnecessary data and no special-category or criminal-offence data under Articles 9 or 10 GDPR without separately agreed safeguards and a legal basis.

The customer keeps authorised contacts current and assesses the agreed safeguards. Its duties do not relieve the processor of its own statutory and contractual obligations.

4 Confidentiality and security

Only persons entrusted with the task and bound to confidentiality receive access. Access is restricted by duties and removed when no longer needed. The processor implements Annex B measures under Article 32 GDPR and regularly assesses their effectiveness according to risk and following material changes.

Technical measures may evolve without reducing the agreed protection. Material adverse changes require prior coordination. Owner-granted support access is limited by workspace, purpose and time and can be revoked. Necessary security and maintenance infrastructure access is separately authorised, limited and documented. The application is not represented as displaying a complete customer-visible audit of every technical administration event.

5 Subprocessors and transfers

The customer gives general authorisation to use the subprocessors identified in Annex C for their stated tasks. New or replacement providers will be notified in text form at least 30 days before the relevant processing starts. The customer may object within 14 days on reasonable data protection grounds. The disputed provider will not process that customer’s data until the objection is resolved. If no reasonable alternative is available, the affected service may be terminated at the change date without an additional termination fee; prepaid undelivered services will be refunded proportionately.

The processor imposes at least equivalent data protection obligations on subprocessors and remains responsible to the customer for their performance. The chain, including actual legal entities, functions, countries, downstream access and contractual evidence, is kept current.

Third-country processing, including remote access, requires documented authorisation and compliance with Chapter V GDPR. An adequacy decision is relied on only where it covers the actual recipient and processing; otherwise appropriate safeguards, required transfer assessment and supplementary measures must be evidenced. An EU database region alone does not exclude access from third countries. Suitable evidence or redacted safeguards are supplied on request.

6 Data subject rights and assistance

Requests from individuals are forwarded promptly to the customer. The processor does not independently answer their substance without instructions unless legally required. It assists access, correction, erasure, restriction and portability through searches, exports or other appropriate measures as technically possible and required.

Considering available information, it assists security reviews, impact assessments, prior consultation and obligations under Articles 32 to 36 GDPR. Exceptional additional work may be priced by prior agreement; unresolved remuneration must not prevent performance of mandatory obligations.

7 Personal data breaches

The processor notifies the customer’s designated contact without undue delay after becoming aware of a personal data breach affecting its data. It does not wait for a completed investigation or a blanket 72-hour period. Initial notice includes available information on the incident, affected data and persons, likely consequences, measures and a reachable contact.

Further information is provided as it becomes available. The processor preserves relevant evidence, mitigates effects and assists notifications to authorities and individuals. Those notifications are normally decided by the customer, without prejudice to the processor’s own statutory duties.

8 Evidence and audits

The processor provides information necessary to demonstrate compliance and enables audits, including inspections, by the customer or a suitable confidential auditor. Documents and independent reports may be used first, but do not exclude justified on-site inspections.

Audits are coordinated with reasonable notice and protection of other customers. Incidents, reasonable suspicion or authority requirements permit short-notice audits. Neither a rigid annual cap nor a general fee condition may frustrate statutory audit rights.

9 Return and deletion

After the actual end of the contract, the processor returns or deletes the processed data at the customer’s choice. Unless otherwise instructed in documented form, a 30-calendar-day window is available for export or secure return; the processor then arranges deletion of production data and associated files. Earlier deletion after contract end is arranged on documented instructions. Deletion uses the designated procedures and is checked; a disabled automatic job does not extend the agreed period. A deletion confirmation is available on request.

Backups are not reused for normal processing and expire under rotation: Supabase database backups within up to 7 days and additional archives within up to 14 days of each backup. Following production deletion, the last copies may therefore remain for those periods. Before restoration, effective deletions are reapplied and sending and integrations are only then re-enabled under control.

The processor’s own legally retained business records are separated and minimised. This does not justify blanket retention of customer guest data. If law exceptionally requires retention of processing data, its scope, basis and duration are disclosed where permitted, and use for other purposes is restricted.

Annex A Processing details

Individuals: customer guests and prospects, accompanying persons including children, newsletter contacts and authorised staff or contacts acting within the customer workspace.

Data: names and contact details; travel dates, party size and necessary age information; property, offer, booking and voucher details; messages and requests; lawfully collected marketing preferences, source and consent evidence, unsubscribes and suppressions; delivery status; role-related user and event data. Systematic processing of payment card details, identity document copies or special categories is not agreed. Free text may unintentionally contain such information and must be limited accordingly.

Operations and purposes: collection and import, organisation and matching, storage and display, creation and sending of offers and lawful communications, authorised PMS booking processes, customer-directed marketing segmentation, customer reporting, backup, recovery, export and deletion. Scope and frequency depend on enabled functions and instructions.

AI functions: With AI configured, message extracts, enquiry context, language, travel details, assistant questions and selected workspace information may be sent to the selected provider. “Read e-mail inquiries” does not control every AI function; basic analysis may operate independently. The customer determines the permitted scope of its AI use. The provider allocation in Annex C, documented settings and transfer rules of this DPA apply. Unnecessary personal data, data from other workspaces and secrets must not be included in prompts.

Annex B Technical and organisational measures

Access and separation: individual accounts, prescribed multifactor procedures, role and property permissions, workspace binding and server-side controls including database rules. Administrative accounts are managed separately. Customers have no unrestricted access to other workspaces.

Transmission and secrets: HTTPS for public connections, certificate-verified backup database connections and encrypted storage of designated integration credentials. Secrets do not belong in frontend code, public documents or ordinary logs. This is not a representation of complete end-to-end encryption against all infrastructure providers.

Operations and recovery: monitoring important jobs and errors, controlled releases, automated permissions and isolation tests, daily Supabase database backups, and additional weekly backups including files and before relevant migrations. Additional archives are encrypted; isolated restore testing checks databases and files. This does not guarantee uptime or recovery time.

Data minimisation and processes: Purpose-limited, time-limited support access; logs restricted to necessary diagnostic and security data; procedures for rights requests and incidents; access revocation; documented deletion instructions; separate business records; and regular review of the provider chain. Backups containing guest data are not used for development or demonstrations. The processor internally records responsible functions, checks and evidence.

Annex C Service provider register

This annex describes the services used for OfferFlow and the limits of their respective engagement. Section 5 applies to all subprocessors. Listing a service does not replace the required agreement with it or assessment of an international transfer. Changes to the provider chain are notified under section 5.

Server infrastructure: Hetzner Online GmbH, Germany. Hetzner provides the server infrastructure for the web application and API. Processing covers connection data and content required to operate the application.

Database and platform services: Supabase Pte. Ltd., Singapore. Task: database, authentication, file storage and database backups, involving workspace data and user accounts. The primary project database is in Ireland, region eu-west-1. Administration and support may involve cross-border processing. Supabase’s published DPA includes EU standard contractual clauses for covered transfers outside the EEA. The database region and the contracting entity’s location are distinct.

Email services: Plus Five Five, Inc. (Resend), USA. Task: sending and configured receipt of emails, including recipient data, content, attachments and delivery events. Resend’s published DPA states that its primary processing takes place in the USA and provides for EU standard contractual clauses. Selecting a sending region alone does not mean exclusively European processing. Customer-owned SMTP services are allocated according to the actual contractual arrangement.

Backups and file cleanup: GitHub, Inc., USA. GitHub Actions is used to back up the database, user accounts and files, test restoration and perform technical file cleanup. Backup archives are encrypted and retained for up to 14 days. During creation and restoration testing, the executing system temporarily processes unencrypted data. Processing in the USA is possible. The requirements in section 5 apply to processing on instructions and international transfers.

Customer AI services: The customer selects the AI provider and engages the API account used. OfferFlow transmits the context required for enquiry analysis, text generation and assistance on the customer’s instructions; the data scope is described in Annex A. The contracting entity, processing locations and retention periods depend on the selected service, direct contract and account settings. The processor’s obligations for its own processing remain unaffected.

Integrations engaged directly by the customer: in particular Apaleo, its own AI or SMTP provider and an expressly connected Cockpit or Chatlyn service. The customer instructs transfer to its authorised account and governs its direct contract. If the processor instead engages the service for the customer, its legal entity, task and countries must be identified as a subprocessor under section 5 before processing. The origin of an API key alone does not determine the data protection role.

Contractual evidence and information on applicable transfer safeguards are available through hello@lebe-apartments.com. Personal details of individual creators or employees are not published as a provider register. Their authorisation and confidentiality obligations are recorded internally.