1 Verantwortlicher und Geltungsbereich

Für die hier beschriebenen eigenen Verarbeitungen beim Betrieb von OfferFlow ist die lebe’apartments Betriebs GmbH, Höttinger Auffahrt 5, 6020 Innsbruck, Österreich, FN 636822 d, Firmenbuchgericht Landesgericht Innsbruck, UID ATU81247269 verantwortlich. Kontakt für Datenschutz und Support: hello@lebe-apartments.com. Diese Hinweise gelten für die Plattform offerflow.dto.digital, Geschäftskundenkonten und die Kommunikation mit uns.

Für Gastdaten, die ein Unterkunftsbetrieb in seinem OfferFlow-Arbeitsbereich verarbeitet, ist grundsätzlich dieser Betrieb verantwortlich; wir handeln dabei nach seinem Auftrag und dem AVV. Bitte beachten Sie dessen eigene Datenschutzhinweise auf Anfrage-, Angebots- oder Newsletterseiten. Ist die lebe’apartments Betriebs GmbH selbst der betreffende Unterkunftsbetrieb, hat sie für diese Verarbeitung zusätzlich die Rolle des Verantwortlichen. Die jeweilige Rolle richtet sich nach dem konkreten Zweck.

2 Herkunft und Kategorien

Kontodaten erhalten wir von Ihnen, vom einladenden Unternehmen und bei freigegebenen Verbindungen aus dessen Systemen. Dazu gehören Name, geschäftliche E-Mail, Unternehmen, Sprache, Rolle, Einladungs- und Bestätigungsdaten. Wir verarbeiten außerdem Rechnungsanschrift, UID, Bestellungen, Leistungszeiträume, Rechnungs- und Zahlungsstatus sowie Vertragsnachweise.

Beim technischen Zugriff fallen insbesondere IP-Adresse, Zeitpunkt, angefragte Ressource, Browser- und Geräteinformationen, Authentifizierungs- und sicherheitsrelevante Ereignisse an. Supportanfragen enthalten die von Ihnen übermittelten Angaben und gegebenenfalls technische Diagnosen. Bitte übermitteln Sie nur erforderliche Informationen und keine Passwörter oder API-Schlüssel.

3 Zwecke und Rechtsgrundlagen

Vertragsanbahnung, Registrierung, Bereitstellung und Abrechnung: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartei sind. Bei Kontaktpersonen oder Beschäftigten eines Unternehmenskunden beruht die dafür erforderliche Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die verlässliche Durchführung der Geschäftsbeziehung mit Ihrem Unternehmen.

Buchhaltung und gesetzliche Nachweise: Art. 6 Abs. 1 lit. c DSGVO, insbesondere soweit BAO und UGB Aufbewahrung verlangen. Sicherheit, Missbrauchsabwehr, Betriebsstabilität, Fehlerbehebung und Rechtsverteidigung: Art. 6 Abs. 1 lit. f DSGVO. Wir beschränken diese Verarbeitungen auf das Erforderliche und berücksichtigen Ihre entgegenstehenden Interessen.

Eine gesonderte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO wird nur für einen konkret beschriebenen freiwilligen Zweck eingeholt, soweit erforderlich. Registrierung, AGB- oder AVV-Akzeptanz sind keine Newsletter- oder Tracking-Einwilligung. Die Bestätigung, diese Hinweise gelesen zu haben, ist lediglich eine Kenntnisnahme.

4 Pflichtangaben und Kontosicherheit

Die im Formular als erforderlich bezeichneten Angaben benötigen wir für die Einrichtung und Durchführung des jeweiligen Vorgangs. Ohne notwendige Kontakt- oder Authentifizierungsdaten ist ein Konto nicht nutzbar; ohne Rechnungsdaten kann keine entsprechende Bestellung bearbeitet werden. Freiwillige Angaben sind nicht Voraussetzung.

Wir nutzen personenbezogene Konten und die vorgesehenen Authentifizierungsverfahren. Beim Einsatz von Passkeys werden kryptografische Anmeldeinformationen verarbeitet; wir erhalten nicht den Fingerabdruck oder das Gesichtsbild Ihres Geräts. Welche Daten das Gerät oder dessen Anbieter verarbeitet, richtet sich nach dessen Verfahren.

5 Technisch notwendige Speicherung und Analyse

Zur Anmeldung, Sitzungsverwaltung, Sprache und Sicherheit werden die für die jeweilige Funktion erforderlichen Informationen im Browser gespeichert oder ausgelesen. Die endgerätebezogene Ausnahme des § 165 Abs. 3 TKG 2021 gilt nur, soweit der ausdrücklich gewünschte Dienst diese Vorgänge unbedingt benötigt. Die anschließende personenbezogene Verarbeitung richtet sich nach den oben genannten Rechtsgrundlagen.

Für die Bereitstellung der Anmeldung ist keine Einwilligung in Werbung erforderlich. Optionale Analyse- oder Marketingtechnologien setzen eine gesonderte vorherige Einwilligung voraus, soweit diese gesetzlich erforderlich ist. Eine Ablehnung darf die Kernnutzung nicht von unnötigem Tracking abhängig machen.

Anfrageformulare, Angebotsseiten und Newsletter eines Unterkunftsbetriebs können eigene Herkunfts- und Kampagnenparameter, Auswertungen oder konfigurierte Dienste enthalten. Für deren konkrete Zwecke und Rechtsgrundlagen gelten die Hinweise des jeweils ausgewiesenen Unterkunftsbetriebs. Diese Plattformhinweise ersetzen diese kundenbezogenen Informationen nicht.

6 Hosting und Empfänger

Wir setzen technische Dienstleister für Hosting, Datenbank, Anmeldung, Dateispeicher, E-Mail und Sicherungen ein. Zur Serverinfrastruktur gehört Hetzner Online GmbH in Deutschland. Supabase Pte. Ltd. stellt Datenbank- und Plattformdienste bereit; die primäre Projektdatenbank liegt in Irland, Region eu-west-1.

Plus Five Five, Inc. (Resend) verarbeitet E-Mails und Zustellereignisse. Für regelmäßige Datensicherungen, Wiederherstellungstests und die technische Dateibereinigung nutzen wir GitHub, Inc., USA. Die Sicherungsarchive sind verschlüsselt und werden bis zu 14 Tage aufbewahrt; während der Erstellung und Wiederherstellungsprüfung werden Daten vorübergehend unverschlüsselt verarbeitet. Berechtigte Betriebs- und Wartungspersonen erhalten nur aufgabenbezogenen Zugriff. Einzelheiten zu den Dienstleistern und kundeneigenen Integrationen enthält Anlage C des AVV.

Soweit für unsere Geschäftsbeziehung oder zur Erfüllung gesetzlicher Pflichten erforderlich, erhalten außerdem beauftragte Steuerberatung, Buchhaltung und Rechtsberatung, Banken beziehungsweise Zahlungsdienstleister sowie zuständige Behörden die jeweils benötigten Daten. Die Abrechnung erfolgt außerhalb von OfferFlow. Wir verkaufen keine personenbezogenen Daten.

7 Internationale Übermittlungen

Die primäre Datenbank in Irland bedeutet nicht, dass sämtliche Verarbeitung innerhalb der EU stattfindet. Insbesondere Resend und GitHub sowie Verwaltung, Support oder KI-Verarbeitung in den genannten Dienstleisterketten können Übermittlungen in die USA oder andere Drittländer einschließen. Der Supabase-Vertragspartner hat seinen Sitz in Singapur.

Für solche Übermittlungen sind die Voraussetzungen der Art. 44 ff. DSGVO einzuhalten. Die veröffentlichten DPAs der genannten Cloud-, Mail-, Backup- und KI-Dienste sehen insbesondere EU-Standardvertragsklauseln vor. Diese sind mit der für das tatsächliche Konto geltenden Vertragskette, einer erforderlichen Transferprüfung und ergänzenden Maßnahmen anzuwenden. Ein Angemessenheitsbeschluss wird nur genutzt, soweit er den konkreten Empfänger und die Verarbeitung erfasst. Eine Kopie oder Beschreibung der für den betreffenden Vorgang geltenden Garantien erhalten Sie über hello@lebe-apartments.com.

8 KI und angebundene Kundensysteme

Je Kundenkonfiguration verarbeitet OfferFlow Daten aus Apaleo und weiteren autorisierten Systemen. KI-Funktionen können insbesondere Anfrageauswertung, Textentwürfe und Assistenz mit OpenAI oder Anthropic unterstützen. Dabei können Texte und der für die Funktion ausgewählte Kontext an den jeweiligen API-Anbieter übertragen werden. Der Schalter „E-Mail-Anfragen lesen“ ist keine vollständige Abschaltung aller KI-Auswertungen.

Gastdaten werden grundsätzlich im Auftrag des jeweiligen Kunden verarbeitet. Der Kunde wählt und beauftragt sein KI-Konto, bestimmt die zulässige Nutzung und informiert die Betroffenen. Für seinen KI-Dienst gelten der Direktvertrag und die gewählten Kontoeinstellungen, insbesondere zu Verarbeitungsorten und Speicherfristen. Unsere Pflichten für die Verarbeitung in OfferFlow bleiben davon unberührt. Wir verwenden Kundeninhalte nicht zum eigenen allgemeinen Modelltraining.

Für unsere hier beschriebenen eigenen Kontoverwaltungszwecke treffen wir keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO. Automatisierte Gastprozesse des jeweiligen Kunden sind davon getrennt zu bewerten.

9 Speicherdauer

Kontodaten werden so lange verarbeitet, wie die Geschäftsbeziehung oder eine bestehende Berechtigung dies erfordert. Bei nicht abgeschlossener Registrierung ist maßgeblich, ob die E-Mail-Verifikation oder Einladung noch wirksam und der Einrichtungsvorgang noch offen ist. Entfällt dieser Zweck, werden die dafür nicht mehr erforderlichen Daten gelöscht, sofern kein nachstehend beschriebener Nachweiszweck verbleibt.

Technische Protokolle dienen der laufenden Fehleranalyse, Sicherheit und Missbrauchsabwehr. Die Aufbewahrung ist auf den dafür erforderlichen Zeitraum begrenzt; für einen konkreten Vorfall benötigte Einträge werden nur bis zu dessen abschließender Klärung oder einer erforderlichen Rechtsverfolgung gesichert. Gewöhnliche Supportinhalte werden nach abschließender Bearbeitung und Wegfall des Nachweisbedarfs gelöscht. Eine bloß mögliche spätere Nützlichkeit rechtfertigt keine unbegrenzte Speicherung.

Eigene Rechnungen, Buchungsbelege und notwendige Rechnungskundendaten bewahren wir grundsätzlich sieben Jahre ab Ende des maßgeblichen Kalenderjahres auf, soweit § 132 BAO oder § 212 UGB dies verlangen. Bei einschlägigen anhängigen Verfahren kann eine längere Aufbewahrung erforderlich sein. Eine technische Archivierung zusammengehöriger Unterlagen darf die gesetzlich oder für den konkreten Nachweis erforderliche Dauer nicht beliebig verlängern.

Notwendige Bestell-, AGB-/AVV- und Löschungsnachweise werden für Vertragsnachweis und Rechtsverteidigung grundsätzlich bis zum 31. Dezember des siebten Jahres nach dem Kalenderjahr des Vertragsendes aufbewahrt. Diese Regel gilt nur für den erforderlichen Nachweisumfang und wird auf ihre weitere Erforderlichkeit geprüft; sie ist keine gesetzliche Siebenjahrespflicht für sämtliche Daten. Protokolle befristeter Supportfreigaben werden zu Nachweiszwecken grundsätzlich bis drei Jahre nach Vertragsende aufbewahrt. Entfällt der Zweck früher und besteht keine Pflicht oder konkrete Rechtsverfolgung, werden die betroffenen Daten früher gelöscht. Gastinhalte werden nicht pauschal in dieses Geschäftsarchiv übernommen.

Kundengastdaten werden nach dem AVV nach dem tatsächlichen Vertragsende zurückgegeben oder gelöscht; regelmäßig gilt ein Exportfenster von 30 Tagen. Die Frist beginnt nicht schon mit dem Eingang einer Kündigung für einen späteren Termin. Letzte Datenbanksicherungen können anschließend noch bis zu 7 Tage, zusätzliche eigene Sicherungsarchive bis zu 14 Tage enthalten sein. Bereits wirksame Löschungen sind vor produktiver Wiederherstellung erneut umzusetzen. Für Daten in direkt vom Kunden beauftragten Drittsystemen gelten dessen eigene Löschaufträge und Vertragsregeln.

10 Ihre Rechte

Nach den jeweiligen gesetzlichen Voraussetzungen können Sie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen. Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen; die vorherige Rechtmäßigkeit bleibt unberührt.

Bei einer Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen. Wir verarbeiten dann nur weiter, wenn zwingende schutzwürdige Gründe überwiegen oder die Verarbeitung zur Rechtsverfolgung erforderlich ist. Gegen Direktwerbung können Sie jederzeit ohne Begründung widersprechen; die betreffende Verarbeitung wird beendet.

Anfragen richten Sie an hello@lebe-apartments.com. Wir prüfen die Identität nur im erforderlichen Umfang und antworten grundsätzlich binnen eines Monats. Gesetzlich zulässige Verlängerungen werden begründet mitgeteilt. Betrifft Ihr Antrag Gastdaten eines anderen Kunden, leiten wir ihn an diesen weiter beziehungsweise unterstützen ihn bei der Erfüllung.

11 Beschwerde und Änderungen

Sie können sich bei einer zuständigen Datenschutzaufsichtsbehörde beschweren. In Österreich ist dies die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb@dsb.gv.at, https://dsb.gv.at/. Andere nach Art. 77 DSGVO zuständige Aufsichtsbehörden bleiben ebenfalls erreichbar.

Wir aktualisieren diese Hinweise bei Änderungen der Verarbeitung. Die jeweils veröffentlichte Fassung trägt Datum und Version. Änderungen ersetzen keine erforderliche neue Einwilligung und erlauben keine nachträgliche beliebige Zweckänderung.

1 Controller and scope

For the provider’s own processing described here, the controller is lebe’apartments Betriebs GmbH, Höttinger Auffahrt 5, 6020 Innsbruck, Austria, FN 636822 d, register court Landesgericht Innsbruck, VAT ID ATU81247269. Data protection and support contact: hello@lebe-apartments.com. This notice covers offerflow.dto.digital, business customer accounts and communication with us.

The accommodation business is normally the controller of guest data in its OfferFlow workspace; we act under its instructions and the DPA. Please read its notices on enquiry, offer and newsletter pages. Where lebe’apartments Betriebs GmbH is itself the accommodation provider, it additionally acts as controller for that processing. Roles depend on the actual purpose.

2 Sources and data categories

Account information comes from you, the inviting business and its authorised connected systems. It includes name, work email, company, language, role, invitation and confirmation records. We also process billing address, VAT ID, orders, service periods, invoice and payment status and contractual evidence.

Technical access generates data such as IP address, time, requested resource, browser and device information and authentication or security events. Support requests contain the information you provide and, where necessary, diagnostics. Please send only necessary information, never passwords or API keys.

3 Purposes and legal bases

Pre-contract communication, registration, provision and billing use Article 6(1)(b) GDPR where you personally are a contracting party. For business contacts and staff, necessary processing relies on Article 6(1)(f); our interest is reliable performance of the relationship with your organisation.

Accounting and statutory evidence rely on Article 6(1)(c), including retention required by Austrian BAO and UGB. Security, abuse prevention, service reliability, troubleshooting and legal defence rely on Article 6(1)(f). We limit processing to what is necessary and consider your competing interests.

Separate consent under Article 6(1)(a) is obtained only for a specifically explained voluntary purpose where required. Registration or acceptance of terms or the DPA is not newsletter or tracking consent. Confirming that this notice has been read is acknowledgement only.

4 Required information and account security

Fields marked required are needed to set up and perform the relevant process. An account cannot operate without necessary contact and authentication data; an order cannot be processed without necessary billing details. Optional information is not a condition of use.

We use individual accounts and prescribed authentication procedures. Passkeys involve cryptographic credentials; we do not receive your device fingerprint scan or facial image. Processing by the device or its provider follows that provider’s procedures.

5 Necessary storage and analytics

Information required for the relevant function is stored in or read from the browser for login, session management, language and security. The device-access exception in section 165(3) of the Austrian Telecommunications Act 2021 applies only where strictly necessary for the service expressly requested. Subsequent processing of personal data relies on the legal bases described above.

Providing login does not require consent to advertising. Optional analytics or marketing technologies require separate prior consent where required by law. Refusing consent must not make core use dependent on unnecessary tracking.

An accommodation business’s enquiry forms, offer pages and newsletters may contain their own referral or campaign parameters, analytics or configured services. Their specific purposes and legal bases are described in the notice of the identified accommodation business. These platform notices do not replace customer-specific information.

6 Hosting and recipients

We use technical service providers for hosting, databases, authentication, file storage, email and backups. Server infrastructure includes Hetzner Online GmbH in Germany. Supabase Pte. Ltd. supplies database and platform services; the primary project database is in Ireland, region eu-west-1.

Plus Five Five, Inc. (Resend) processes emails and delivery events. We use GitHub, Inc., USA, for regular backups, restoration testing and technical file cleanup. Backup archives are encrypted and retained for up to 14 days; data are temporarily processed without encryption during creation and restoration testing. Authorised operations and maintenance personnel receive only task-related access. Annex C to the DPA provides details of service providers and customer-owned integrations.

Where necessary for our business relationship or legal obligations, appointed tax, accounting and legal advisers, banks or payment providers and competent authorities also receive the data required for their tasks. Billing takes place outside OfferFlow. We do not sell personal data.

7 International transfers

A primary database in Ireland does not mean that all processing takes place within the EU. Resend and GitHub, as well as administration, support or AI processing in the listed provider chains, may involve transfers to the USA or other third countries. The Supabase contracting entity is based in Singapore.

These transfers must satisfy Articles 44 et seq. GDPR. The published DPAs of the listed cloud, email, backup and AI services provide in particular for EU standard contractual clauses. These must be applied within the contractual chain governing the actual account, with any required transfer assessment and supplementary measures. An adequacy decision is relied on only where it covers the specific recipient and processing. A copy or description of the safeguards applicable to the relevant processing is available through hello@lebe-apartments.com.

8 AI and customer integrations

Depending on configuration, OfferFlow processes data from Apaleo and other authorised systems. AI functions can support enquiry analysis, drafting and assistance through OpenAI or Anthropic. Text and selected context may be transmitted to the respective API provider. “Read e-mail inquiries” is not a complete switch for all AI processing.

Guest data are generally processed on behalf of the respective customer. The customer selects and engages its AI account, determines permitted use and informs data subjects. Its AI service is governed by the direct contract and selected account settings, particularly for processing locations and retention periods. Our obligations for processing in OfferFlow remain unaffected. We do not use customer content for our own general-purpose model training.

For our own account administration described here, we do not make solely automated decisions producing legal or similarly significant effects under Article 22 GDPR. Automated guest processes run by customers require separate assessment.

9 Retention

Account data are processed for as long as required by the business relationship or an existing authorisation. For incomplete registrations, the relevant criteria are whether email verification or the invitation remains valid and setup is still pending. Once that purpose ends, data no longer needed for it are deleted unless an evidence purpose described below remains.

Technical logs support ongoing fault analysis, security and abuse prevention. Retention is limited to the period required for those purposes; entries needed for a specific incident are preserved only until it is resolved or required legal proceedings are completed. Ordinary support content is deleted after the matter is resolved and any evidence need has ended. Possible future usefulness alone does not justify indefinite storage.

Our own invoices, accounting records and necessary billing-customer data are normally retained for seven years from the end of the relevant calendar year where section 132 BAO or section 212 UGB requires it. Relevant pending proceedings may require longer retention. Archiving related records together must not arbitrarily extend the statutory period or the period needed for a specific evidence purpose.

Necessary order, terms/DPA and deletion records are generally retained for contractual evidence and legal defence until 31 December of the seventh year following the calendar year in which the contract ends. This is limited to the necessary evidence and reviewed for continuing necessity; it is not a statutory seven-year duty for all data. Records of time-limited support authorisations are generally retained for evidence until three years after contract end. If the purpose ends earlier and no legal duty or specific claim remains, the affected data are deleted earlier. Guest content is not routinely copied into this business archive.

Customer guest data are returned or deleted under the DPA after the actual end of the contract, normally with a 30-day export window. The period does not start merely when notice of termination for a future date is received. Final database backups may then remain for up to 7 days and additional backups for up to 14 days. Previously effective deletions must be reapplied before a production restoration. Data in third-party systems engaged directly by the customer are subject to its own deletion instructions and contractual rules.

10 Your rights

Subject to applicable legal conditions you may request access, correction, erasure, restriction and portability. Consent may be withdrawn at any time for the future without affecting earlier lawful processing.

For legitimate-interest processing you may object for reasons relating to your situation. We then continue only if overriding compelling grounds or legal claims justify it. You may object to direct marketing at any time without giving reasons; that processing stops.

Send requests to hello@lebe-apartments.com. We verify identity only as necessary and normally respond within one month, explaining any lawful extension. For guest data controlled by another customer, we forward the request or assist that customer in responding.

11 Complaints and changes

You may complain to a competent supervisory authority. In Austria this is Datenschutzbehörde, Barichgasse 40–42, 1030 Vienna, dsb@dsb.gv.at, https://dsb.gv.at/. Other authorities competent under Article 77 GDPR remain available.

This notice is updated when processing changes. Published versions have a date and version. An update does not replace any required new consent or permit arbitrary retrospective changes of purpose.