Legal

Vertrag über die Auftragsverarbeitung personenbezogener Daten

nach EU-Datenschutz-Grundverordnung (DSGVO) sowie, soweit anwendbar, der UK GDPR und dem Schweizer Bundesgesetz über den Datenschutz (DSG)

Version 2.0 vom 27 Oktober 2026.

Dieser Vertrag über die Auftragsverarbeitung personenbezogener Daten (dieser „AV-Vertrag“) wird zwischen Apaleo GmbH („Apaleo“, „wir“, „uns“, „Auftragsverarbeiter“) und dem Kunden geschlossen, der diesen AV-Vertrag akzeptiert oder ihm zustimmt („Kunde“, „Sie“, „Ihnen“, „Auftraggeber“), der als Verantwortlicher oder, sofern er personenbezogene Daten im Auftrag eines dritten Verantwortlichen (z. B. eines Immobilieneigentümers) verarbeitet, als Auftragsverarbeiter handelt.

1 Einleitung, Anwendungsbereich, Definitionen

• Dieser Vertrag regelt die Rechte und Pflichten von Apaleo und dem Kunden (im Folgenden „Parteien“ genannt) im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag.

• Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen Mitarbeiter von Apaleo oder durch uns beauftragte Unterauftragnehmer (Subunternehmer) personenbezogene Daten des Kunden verarbeiten.

• In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der EU-Datenschutz-Grundverordnung (DSGVO) (Verordnung (EU) 2016/679) und, soweit anwendbar, in der UK GDPR und dem Schweizer DSG (zusammen „Anwendbares Datenschutzrecht“) zu verstehen. Verweise auf die DSGVO umfassen die entsprechenden Bestimmungen dieser Gesetze, soweit diese Anwendung finden.

• “Der Dienst” bezeichnet das Bereitstellen einer Property Management Software und verwandter Lösungen wie auf www.Apaleo.com beschrieben, einschließlich KI-gestützter Funktionen dieser Software.

• “Kundendaten” sind Daten, die Sie uns über den Dienst zur Verfügung stellen, speichern oder senden.

• „Personenbezogene Daten“ sind alle personenbezogenen Daten im Sinne des Art. 4 Nr. 1 DSGVO, die in Kundendaten enthalten sind und von Apaleo im Auftrag des Kunden verarbeitet werden.

• "Subunternehmer" bezeichnet einen Dritten, den wir zur Verarbeitung von Kundendaten für die Bereitstellung von Teilen des Dienstes oder des damit verbundenen technischen Supports einsetzen („Unterauftragsverarbeiter“ im Sinne des Art. 28 Abs. 2 und 4 DSGVO; die Begriffe „Subunternehmer“, „Unterauftragnehmer“ und „Subprozessor“ werden in diesem AV-Vertrag und seinen Anlagen synonym verwendet). Zusätzliche Dienstleistungen wie Transport, Wartung und Reinigung sowie die Nutzung von Telekommunikationsdiensten oder Benutzerdiensten sind davon ausgeschlossen.

• "Verletzung der Datensicherheit" bedeutet eine Verletzung der Sicherheit von Apaleo, die zu versehentlicher oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unberechtigter Offenlegung oder Zugriff auf persönliche Daten führt, die im Auftrag des Kunden verarbeitet werden (Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO).

• Soweit Erklärungen im Folgenden „schriftlich“ zu erfolgen haben, ist die Schriftform nach § 126 BGB gemeint. Im Übrigen können Erklärungen auch in anderer Form erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.

• „Hauptvertrag“ bezeichnet das mit Apaleo unterzeichnete Abonnement und die PCI.

• „Standardvertragsklauseln“ sind die Standardvertragsklauseln, die von der Europäischen Kommission gemäß ihrem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 genehmigt wurden, in der jeweils geänderten oder ersetzten Fassung.

• „Wirksamkeitsdatum“ bezeichnet den Tag, an dem der Kunde diesen AV-Vertrag akzeptiert, oder, falls früher, den Tag des Inkrafttretens des Hauptvertrags.

• „Angemessenheitsbeschluss“ bezeichnet einen Beschluss der Europäischen Kommission nach Art. 45 DSGVO (bzw. für britische personenbezogene Daten die britischen Angemessenheitsverordnungen und für Schweizer personenbezogene Daten einen Beschluss des Schweizer Bundesrats), wonach ein Drittland, ein Gebiet oder ein Sektor ein angemessenes Schutzniveau gewährleistet.

• „UK-Zusatz“ bezeichnet den vom britischen Information Commissioner gemäß Section 119A des UK Data Protection Act 2018 herausgegebenen Zusatz zu den Standardvertragsklauseln für internationale Datenübermittlungen (Version B1.0, in Kraft seit 21. März 2022) in der jeweils geänderten oder ersetzten Fassung.

• „KI-Verordnung“ bezeichnet die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz in der jeweils geänderten Fassung (einschließlich durch die Verordnung (EU) 2026/1744); „KI-System“ hat die Bedeutung nach Art. 3 Nr. 1 KI-Verordnung.

2 Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand

Apaleo verarbeitet Kundendaten zur Erbringung des Dienstes, wie auf www.Apaleo.com beschrieben.

2.2 Dauer

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags sowie anschließend für den in Ziffer 11 geregelten Exportzeitraum und Zeitraum der Backup-Löschung.

2.3 Arten personenbezogener Daten und Kategorien betroffener Personen

Die Arten personenbezogener Daten, die Kategorien betroffener Personen sowie Art und Zweck der Verarbeitung sind in Anlage 1 beschrieben.

3 Art und Zweck der Datenerhebung, -verarbeitung oder -nutzung

Apaleo speichert und verarbeitet personenbezogene Daten, um den Dienst und den damit verbundenen technischen Support, wie in Anlage 1 beschrieben, bereitzustellen.

4 Pflichten des Auftragnehmers

• Apaleo verarbeitet personenbezogene Daten nur im Rahmen der vertraglich vereinbarten oder von Ihnen beauftragten Weise (siehe Ziffer 10), es sei denn, wir sind gesetzlich zu einer bestimmten Verarbeitung verpflichtet. In diesem Fall werden wir Sie vor der Verarbeitung der Daten darüber informieren, es sei denn, die Mitteilung ist rechtswidrig. Wir werden die zur Verfügung gestellten personenbezogenen Daten nicht für andere Zwecke, insbesondere nicht für eigene Zwecke verwenden.

• Wir sind uns der geltenden datenschutzrechtlichen Bestimmungen bewusst und beachten die Grundsätze ordnungsgemäßer Datenverarbeitung.

• Wir behandeln die personenbezogenen Daten streng vertraulich.

• Personen, die Zugang zu den für den Kunden verarbeiteten Daten haben könnten, sind schriftlich zur Verschwiegenheit verpflichtet, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

• Apaleo stellt sicher, dass die Mitarbeiter, die personenbezogene Daten verarbeiten, vor Beginn der Datenverarbeitung auf die einschlägigen Datenschutzbestimmungen sowie diesen AV-Vertrag hingewiesen wurden. Wir schulen und sensibilisieren alle Mitarbeiter, die personenbezogene Daten verarbeiten, regelmäßig und stellen sicher, dass sie in Bezug auf die Erfüllung der Datenschutzanforderungen laufend angemessen angeleitet und überwacht werden.

• Im Zusammenhang mit der beauftragten Datenverarbeitung unterstützt Apaleo den Kunden bei der Erstellung und Aktualisierung der Liste der Verarbeitungstätigkeiten und der Durchführung der Datenschutzbewertung. Alle erforderlichen Daten und Unterlagen werden dem Kunden auf Verlangen unverzüglich zur Verfügung gestellt.

• Wenn Sie von Aufsichtsbehörden oder anderen Stellen einer Kontrolle unterzogen werden, oder wenn betroffene Personen Ihnen gegenüber Rechte geltend machen, werden wir Sie im erforderlichen Umfang unterstützen, sofern die im Rahmen des Auftrags verarbeiteten personenbezogenen Gastdaten betroffen sind.

• Wir werden Auskünfte an Dritte oder den Betroffenen nur mit Ihrer vorherigen Zustimmung erteilen. Direkt an uns gerichtete Anfragen leiten wir unverzüglich an Sie weiter.

• Apaleo hat einen Datenschutzbeauftragten ernannt, den Sie direkt unter privacy@apaleo.com erreichen können. Aktuelle Kontaktinformationen finden Sie unter www.apaleo.com.

• Die Datenverarbeitung darf nur in der EU oder dem EWR erfolgen oder, wenn der Subunternehmer oder Apaleo die vereinbarte Leistung außerhalb der EU/EWR erbringt, darf eine solche Übermittlung nur gemäß Ziffer 12 und Kapitel V DSGVO erfolgen.

• Apaleo stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und führt ein Verzeichnis aller im Auftrag des Kunden durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

• Apaleo unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO und leitet solche Anträge unverzüglich an den Kunden weiter.

5 Technische und organisatorische Maßnahmen

• Anlage 2

  beschreibt die technischen und organisatorischen Maßnahmen, die Apaleo ergreift, um Kundendaten vor unbeabsichtigter oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unberechtigter Weitergabe oder unberechtigtem Zugriff zu schützen, gemäß Art. 32 DSGVO und unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für betroffene Personen.

• Wir können unsere technischen und organisatorischen Maßnahmen von Zeit zu Zeit aktualisieren, jedoch nur wenn dies nicht zu einer Beeinträchtigung der Gesamtsicherheit des Dienstes und der Kundendaten führt. Wir werden Sie über diese Änderungen informieren. Die jeweils aktuelle Fassung der Anlage 2 wird dem Kunden zur Verfügung gestellt; wesentliche Änderungen werden, soweit zumutbar, vorab mitgeteilt.

• Sollten die von Apaleo getroffenen Sicherheitsmaßnahmen nicht oder nicht mehr ausreichen, werden wir Sie unverzüglich informieren.

• Apaleo stellt sicher, dass die im Auftrag des Kunden verarbeiteten personenbezogenen Daten strikt von allen anderen Daten getrennt werden.

• Apaleo betreibt ein Informationssicherheits-Managementsystem, einschließlich schriftlicher, von der Geschäftsleitung genehmigter und mindestens jährlich überprüfter Informationssicherheitsrichtlinien, und überprüft, bewertet und evaluiert die Wirksamkeit seiner technischen und organisatorischen Maßnahmen regelmäßig (Art. 32 Abs. 1 lit. d DSGVO).

6 Regelungen zur Berichtigung, Löschung und Sperrung von Daten

• Apaleo wird die im Auftrag des Kunden verarbeiteten Daten nur berichtigen, löschen oder sperren, wenn dies vertragsgemäß oder auf Anweisung des Kunden geschieht. Wenn sich eine einzelne Person mit einer solchen Anweisung direkt an uns wendet, werden wir die Anfrage an Sie weiterleiten.

• Apaleo wird die entsprechenden Weisungen des Kunden jederzeit und auch nach Beendigung dieses AV-Vertrags befolgen.

7 Unterauftragsverhältnisse

• Subunternehmer dürfen nur auf Grundlage der allgemeinen schriftlichen Genehmigung des Auftraggebers gemäß Art. 28 Abs. 2 DSGVO, wie in dieser Ziffer 7 geregelt, bestellt werden.

• Apaleo bestellt einen Subunternehmer nur, wenn dem Subunternehmer vertraglich mindestens Datenschutzpflichten auferlegt wurden, die den in diesem Vertrag vereinbarten vergleichbar sind und die den Anforderungen des Art. 28 Abs. 4 DSGVO genügen. Der Auftraggeber erhält auf Verlangen Einsicht in die relevanten Verträge zwischen Auftragnehmer und Subunternehmer (wirtschaftliche Konditionen können geschwärzt werden).

• Die Rechte des Auftraggebers müssen auch gegenüber dem Subunternehmer wirksam ausgeübt werden können. Insbesondere muss der Auftraggeber berechtigt sein, jederzeit in dem hier festgelegten Umfang Kontrollen auch bei Subunternehmern durchzuführen oder durch Dritte durchführen zu lassen. Apaleo kann diese Anforderung erfüllen, indem Apaleo eigene Auditrechte gegenüber dem Subunternehmer ausübt und dem Kunden die Ergebnisse zur Verfügung stellt oder unabhängige Prüfberichte oder Zertifizierungen des Subunternehmers vorlegt.

• Unterauftragnehmer, die nicht ausschließlich innerhalb der EU oder des EWR tätig sind, können nur bestellt werden, wenn sie vergleichbare Datenschutzstandards wie dieser AV-Vertrag erfüllen und die Übermittlungsvoraussetzungen der Ziffer 12 eingehalten sind. Apaleo stellt Ihnen Informationen über die spezifischen Datenschutzgarantien des Subunternehmers und wie diese nachgewiesen werden können zur Verfügung.

• Apaleo wird die im Auftrag des Kunden verarbeiteten Daten erst dann an den Subunternehmer übermitteln, wenn alle Bedingungen für die Beauftragung eines Subunternehmers erfüllt sind.

• Der Auftraggeber erteilt seine allgemeine schriftliche Genehmigung zur Bestellung der in

  Anlage 3

  beschriebenen Subunternehmer. Eine Liste unserer aktuellen Subunternehmer finden Sie unter https://apaleo.com/subcontractors oder auf einer anderen von Apaleo bestimmten Website („Subunternehmer Seite“). Wir können die Seite der Subunternehmer aktualisieren, um etwaige Änderungen bei dem Subunternehmer zu berücksichtigen. Wir werden Sie dreißig (30) Tage im Voraus benachrichtigen (per E-Mail an die vom Kunden für Datenschutz- oder Kontoangelegenheiten benannte Kontaktperson, zusätzlich zur Veröffentlichung auf der Subunternehmer-Seite); zusätzlich kann sich der Kunde über die Subunternehmer-Seite für Benachrichtigungen anmelden. Während dieses Zeitraums haben Sie die Möglichkeit, der beabsichtigten Hinzufügung oder Ersetzung eines Subunternehmers aus berechtigten Datenschutzgründen schriftlich zu widersprechen.

• Widerspricht der Kunde, erörtern die Parteien den Widerspruch nach Treu und Glauben. Wird innerhalb von dreißig (30) Tagen keine Lösung erzielt, kann Apaleo auf den Einsatz des Subunternehmers für den Kunden verzichten oder der Kunde den betroffenen Teil des Dienstes mit Wirkung zu dem Zeitpunkt, an dem der Subunternehmer eingesetzt würde, ohne Vertragsstrafe und unter anteiliger Erstattung vorausbezahlter Entgelte für den beendeten Zeitraum kündigen. Erfolgt innerhalb der Benachrichtigungsfrist kein Widerspruch, gilt die Genehmigung der Änderung als erteilt.

• Erfordern dringende Sicherheits-, Verfügbarkeits- oder rechtliche Gründe den sofortigen Austausch eines Subunternehmers, kann Apaleo diesen unter Benachrichtigung des Kunden so bald wie zumutbar vornehmen; das Widerspruchsrecht nach dem vorstehenden Absatz gilt dann mit Wirkung für die Zukunft.

• Apaleo verarbeitet Kundendaten nicht über einen neuen Subunternehmer – auch nicht im Zusammenhang mit Alpha-, Beta- oder Pilotfunktionen –, bevor die Benachrichtigungsfrist abgelaufen ist oder ein Widerspruch ausgeräumt wurde, außer in dringenden Fällen nach dem vorstehenden Absatz. Funktionsspezifische Zusatzvereinbarungen für Alpha-, Beta- oder Pilotfunktionen ergänzen diesen AV-Vertrag, ohne den durch ihn gewährten Schutz zu mindern.

• Apaleo erlegt jedem Subunternehmer durch schriftlichen Vertrag Datenschutzpflichten auf, die denen dieses AV-Vertrags gleichwertig sind, und haftet gegenüber dem Kunden weiterhin uneingeschränkt für die Erfüllung der Pflichten des Subunternehmers (Art. 28 Abs. 4 DSGVO).

• Subunternehmer, die KI-Modelle oder KI-gestützte Dienste bereitstellen („KI-Subunternehmer“), sind in Anlage 3 als solche gekennzeichnet. Apaleo stellt vertraglich sicher, dass KI-Subunternehmer (i) Kundendaten ausschließlich zur Erbringung des jeweiligen Dienstes für Apaleo verarbeiten, (ii) Kundendaten nicht zum Training, Nachtraining oder zur Verbesserung ihrer Modelle verwenden und (iii) Kundendaten nur so lange speichern, wie dies zur Erbringung des Dienstes erforderlich ist (einschließlich einer begrenzten Speicherung zur Missbrauchs- und Sicherheitsüberwachung, soweit anwendbar).

• Ausschließlich intern genutzte Werkzeuge (z. B. Issue-Tracking, Quellcode-Hosting, CRM) sind zur Transparenz in Anlage 3 aufgeführt; Apaleo beabsichtigt nicht, Kundendaten an diese zu übermitteln. Die internen Regelungen von Apaleo untersagen die Eingabe von Kundendaten in Werkzeuge, die nicht nach einer Prüfung durch Legal & InfoSec freigegeben wurden, einschließlich des Abschlusses eines Auftragsverarbeitungsvertrags, soweit erforderlich.

8 Rechte und Pflichten des Auftraggebers

• Der Kunde allein ist für die Beurteilung der Zulässigkeit der beantragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen verantwortlich.

• Der Kunde hat alle Aufträge, Teilaufträge oder Anweisungen zu dokumentieren. In dringenden Fällen können Anweisungen mündlich erteilt werden. Diese Anweisungen werden von Apaleo umgehend bestätigt und dokumentiert.

• Der Kunde wird Apaleo unverzüglich benachrichtigen, wenn er bei der Überprüfung der Verarbeitungsergebnisse Fehler oder Unregelmäßigkeiten feststellt.

• Der Kunde ist berechtigt, die Einhaltung der Datenschutzbestimmungen und vertraglichen Vereinbarungen mit Apaleo in angemessenem Umfang persönlich oder durch Dritte zu überprüfen. Dazu gehört die Einholung von Informationen und der Zugriff auf die gespeicherten Daten und die Datenverarbeitungsprogramme sowie weitere Vor-Ort-Kontrollen. Apaleo muss allen mit der Durchführung von Audits betrauten Personen den Zugang und die Kontrolle nach Bedarf ermöglichen. Apaleo ist verpflichtet, erforderliche Auskünfte zu erteilen, Abläufe zu demonstrieren und Nachweise zu führen, die zur Durchführung einer Kontrolle erforderlich sind.

• Inspektionen bei Apaleo müssen ohne vermeidbare Störungen des Betriebsablaufs durchgeführt werden. Sofern aus dringenden Gründen, die vom Kunden zu dokumentieren sind, nicht anders angegeben, werden Inspektionen nach entsprechender Ankündigung und während der Geschäftszeiten von Apaleo durchgeführt, jedoch nicht häufiger als alle 12 Monate, es sei denn, eine Inspektion wird von einer Aufsichtsbehörde verlangt oder erfolgt im Anschluss an eine Verletzung der Datensicherheit.

• Apaleo kann einem Prüfverlangen zunächst durch Vorlage aktueller unabhängiger Prüfberichte, Zertifizierungen oder Bestätigungen zum Dienst (soweit vorhanden) und der Sicherheitsdokumentation nachkommen. Vor-Ort-Inspektionen beschränken sich auf das Erforderliche, unterliegen Vertraulichkeitspflichten, dürfen keinen Zugang zu Daten anderer Kunden oder zu Informationen gewähren, deren Offenlegung die Sicherheit von Apaleo gefährden würde, und erfolgen auf Kosten des Kunden, es sei denn, die Inspektion ergibt einen wesentlichen Verstoß von Apaleo.

9 Mitteilungspflichten

• Apaleo wird Sie unverzüglich, spätestens 24 Stunden nach Bekanntwerden einer Verletzungen des Schutzes personenbezogener Daten informieren. Diese Meldung muss mindestens folgende Angaben enthalten:

  • eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;

  • den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen;

  • eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;

  • eine Beschreibung der von uns ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

• Ist es nicht möglich, alle Informationen gleichzeitig bereitzustellen, können diese schrittweise ohne unangemessene weitere Verzögerung bereitgestellt werden (Art. 33 Abs. 4 DSGVO). Die Meldung an die Aufsichtsbehörde und an betroffene Personen obliegt weiterhin dem Kunden, sofern nichts anderes vereinbart ist.

• Apaleo wird Sie unverzüglich über etwaige Kontrollen oder Maßnahmen von Aufsichtsbehörden oder sonstigen Dritten unterrichten, soweit diese die beauftragte Datenverarbeitung betreffen.

• Apaleo unterstützt Sie bei der Erfüllung Ihrer Kommunikationspflichten gegenüber Betroffenen einer Verletzung des Schutzes persönlicher Daten durch die Bereitstellung aller relevanten Informationen gemäß Art. 34 DSGVO

• Apaleo unterstützt die Kunde bei der Einhaltung der in den Artikeln 32 bis 36 der DS-GVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherige Konsultationen. Hierzu gehören u.a

  • die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen;

  • die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an die Kunde zu melden;

  • die Verpflichtung, der Kunde im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen;

  • die Unterstützung der Kunde für dessen Datenschutz-Folgenabschätzung (einschließlich, soweit KI-Funktionen genutzt werden, gemäß Ziffer 13);

  • die Unterstützung der Kunde im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde.

10 Weisungen

• Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.

• Apaleo wird den Kunden unverzüglich informieren, wenn eine vom Kunden erteilte Anweisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Apaleo ist berechtigt, die Ausführung der entsprechenden Anweisung zu unterlassen, bis sie von dem für den Kunden Verantwortlichen bestätigt oder geändert wurde.

• Apaleo dokumentiert die erteilten Weisungen und deren Umsetzung.

• Die dokumentierten Weisungen des Kunden zum Wirksamkeitsdatum sind der Hauptvertrag, dieser AV-Vertrag sowie die Konfiguration und Nutzung des Dienstes durch den Kunden (einschließlich Einstellungen, Benutzerrollen und Berechtigungen sowie der Aktivierung oder Deaktivierung von KI-Funktionen). Weitere Weisungen, die über den Leistungsumfang des Dienstes hinausgehen, bedürfen der Vereinbarung zwischen den Parteien und können angemessen vergütungspflichtig sein.

11 Beendigung des Auftrags

• Bei Kündigung des AV-Vertrags oder jederzeit auf Ihren Wunsch hin wird Apaleo die im Rahmen des Auftrags verarbeiteten Daten entweder vernichten oder an Sie übermitteln. Alle noch vorhandenen Kopien der Daten werden ebenfalls vernichtet. Die Daten werden so vernichtet, dass ein Wiederherstellen oder Wiederherstellen der restlichen Informationen auch mit vertretbarem Aufwand nicht mehr möglich ist.

• Während der Laufzeit und für dreißig (30) Tage nach Beendigung des Hauptvertrags („Exportzeitraum“) stellt Apaleo Kundendaten in einem strukturierten, gängigen und maschinenlesbaren Format zum Export bereit, im Einklang mit Kapitel VI der Verordnung (EU) 2023/2854 (Data Act), soweit anwendbar. Nach Ablauf des Exportzeitraums löscht Apaleo die Kundendaten, es sei denn, Unionsrecht oder das Recht eines Mitgliedstaats erfordert eine Speicherung; Kopien in Backups werden im Rahmen des regulären Backup-Zyklus, spätestens innerhalb von neunzig (90) Tagen, gelöscht.

• Apaleo ist verpflichtet, die Rückgabe oder Löschung von Daten von Subunternehmern unverzüglich sicherzustellen.

• Apaleo hat die ordnungsgemäße Vernichtung der Daten nachzuweisen und dem Kunden unverzüglich vorzulegen.

• Apaleo wird alle Unterlagen aufbewahren, die dem Nachweis einer ordnungsgemäßen Datenverarbeitung dienen, den jeweiligen Aufbewahrungsfristen entsprechend auch über das Vertragsende hinaus. Nach Ablauf unserer vertraglichen Verpflichtungen können wir Ihnen die entsprechenden Unterlagen zukommen lassen.

12 Internationale Datenübermittlungen

• Die eigene Infrastruktur von Apaleo befindet sich in der EU/im EWR. Jede Übermittlung personenbezogener Daten durch Apaleo oder einen Subunternehmer in ein Land außerhalb des EWR („Drittland“) („Drittlandübermittlung“) erfolgt nur auf dokumentierte Weisung des Kunden – die der Kunde hiermit für die in Anlage 3 aufgeführten Subunternehmer erteilt – und nur, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind.

• Angemessenheitsbeschlüsse.

  Befindet sich der Empfänger in einem Drittland, für das ein Angemessenheitsbeschluss besteht, stützt sich die Übermittlung auf diesen Beschluss. Zum Datum dieses AV-Vertrags betrifft dies insbesondere das Vereinigte Königreich (Beschluss der Kommission vom 19. Dezember 2025, gültig bis 27. Dezember 2031), die Schweiz, Kanada (kommerzielle Organisationen, die dem PIPEDA unterliegen) und Brasilien (Beschluss in Kraft seit 28. Januar 2026) sowie – für die Vereinigten Staaten – nach dem EU-U.S. Data Privacy Framework zertifizierte Empfänger (Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023).

• Standardvertragsklauseln.

  Besteht kein Angemessenheitsbeschluss oder wird ein Angemessenheitsbeschluss für ungültig erklärt, ausgesetzt oder aufgehoben (auch durch ein Gericht), stellt Apaleo geeignete Garantien gemäß Art. 46 DSGVO sicher, insbesondere durch Abschluss der Standardvertragsklauseln (Modul Drei, Auftragsverarbeiter an Auftragsverarbeiter) mit dem jeweiligen Subunternehmer. Hinsichtlich der Vereinigten Staaten und anderer Drittländer hat Apaleo solche Standardvertragsklauseln unabhängig von einer Zertifizierung nach dem EU-U.S. Data Privacy Framework mit seinen Subunternehmern abgeschlossen, sodass diese als Rückfalllösung gelten.

• Standardvertragsklauseln zwischen den Parteien.

  Soweit eine Drittlandübermittlung an den Kunden (oder an einen Verantwortlichen, für den der Kunde handelt) in einem Drittland ohne Angemessenheitsbeschluss die Standardvertragsklauseln erfordert, werden diese (Modul Vier, Auftragsverarbeiter an Verantwortlichen) durch Verweis einbezogen und wie folgt ergänzt: Klausel 7 (Kopplungsklausel) findet keine Anwendung; der optionale Wortlaut in Klausel 11 findet keine Anwendung; Klausel 13: zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA); Klausel 17: deutsches Recht; Klausel 18 Buchst. b: die Gerichte in München, Deutschland; Anhang I wird durch Anlage 1, Anhang II durch Anlage 2 und – für Modul-Drei-Verhältnisse – Anhang III durch Anlage 3 ergänzt. Bei Widersprüchen gehen die Standardvertragsklauseln diesem AV-Vertrag vor.

• Vereinigtes Königreich.

  Ist die Drittlandübermittlung personenbezogener Daten, die der UK GDPR unterliegen, nicht durch britische Angemessenheitsverordnungen abgedeckt (einschließlich der UK-Erweiterung des EU-U.S. Data Privacy Framework („UK-U.S. Data Bridge“)), wird der UK-Zusatz durch Verweis einbezogen; die nach dessen Tabellen 1 bis 4 erforderlichen Angaben ergeben sich aus diesem AV-Vertrag und seinen Anlagen.

• Schweiz.

  Ist die Drittlandübermittlung personenbezogener Daten, die dem Schweizer DSG unterliegen, nicht durch eine Schweizer Angemessenheitsfeststellung abgedeckt (einschließlich des Swiss-U.S. Data Privacy Framework), gelten die Standardvertragsklauseln mit den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) geforderten Anpassungen: Verweise auf die DSGVO sind als Verweise auf das DSG zu verstehen, der EDÖB ist zuständige Aufsichtsbehörde, soweit die Übermittlung dem DSG unterliegt, und betroffene Personen in der Schweiz können Ansprüche vor den Schweizer Gerichten geltend machen.

• Transfer-Folgenabschätzung (Transfer Impact Assessment).

  Stützt sich Apaleo auf die Standardvertragsklauseln oder den UK-Zusatz, führt Apaleo eine Transfer-Folgenabschätzung durch und dokumentiert diese (Klausel 14 der Standardvertragsklauseln; EDSA-Empfehlungen 01/2020), ergreift erforderlichenfalls ergänzende Maßnahmen (z. B. Verschlüsselung bei Übertragung und Speicherung, Pseudonymisierung, Zugriffsbeschränkungen und vertragliche Verpflichtungen zur Anfechtung rechtswidriger behördlicher Zugriffsersuchen) und stellt dem Kunden auf Anfrage eine Zusammenfassung zur Verfügung.

• Behördlicher Zugriff.

  Apaleo informiert den Kunden über jedes rechtlich bindende Ersuchen einer Behörde auf Offenlegung personenbezogener Daten, sofern dies nicht gesetzlich untersagt ist, und verpflichtet seine Subunternehmer, Ersuchen anzufechten, die sie für rechtswidrig halten.

• Rechtsänderungen.

  Erfordert eine Änderung des Anwendbaren Datenschutzrechts, eine Entscheidung der Europäischen Kommission, einer Aufsichtsbehörde oder eines Gerichts (einschließlich der Ungültigerklärung eines Angemessenheitsbeschlusses) oder der Erlass neuer oder geänderter Standardvertragsklauseln eine Anpassung dieses AV-Vertrags oder der verwendeten Übermittlungsinstrumente, wirken die Parteien nach Treu und Glauben auf eine unverzügliche Umsetzung hin. Apaleo kann Ersatz-Übermittlungsinstrumente (z. B. aktualisierte Standardvertragsklauseln) durch Mitteilung an den Kunden einführen.

13 Künstliche Intelligenz

• Diese Ziffer gilt, soweit der Dienst KI-Systeme umfasst, einschließlich KI-gestützter oder agentischer Funktionen sowie Schnittstellen, über die KI-Werkzeuge auf den Dienst zugreifen können (zum Beispiel über einen Model-Context-Protocol-(MCP-)Server) („KI-Funktionen“). Apaleo kennzeichnet KI-Funktionen in der Produktdokumentation.

• Eingaben und Kontext.

  KI-Funktionen können Eingaben und Kontext aus dem Konto des Kunden an KI-Subunternehmer übermitteln – dies kann personenbezogene Daten von Gästen und Mitarbeitern umfassen, auf die der jeweilige Nutzer zugreifen darf, sowie personenbezogene Daten, die ein Nutzer in einer Freitext-Eingabe eingibt – und Eingaben können bei Analyse-Subunternehmern protokolliert werden. Der Umfang der von der jeweiligen KI-Funktion übermittelten Daten (einschließlich der Frage, ob Gästedaten übermittelt werden und ob der Zugriff ausschließlich lesend erfolgt) ist in der Produktdokumentation oder dem jeweiligen Funktions-Zusatzvertrag beschrieben. Der Kunde weist seine Nutzer an, nicht mehr personenbezogene Daten in Freitext-Eingaben einzugeben als erforderlich.

• Rollen.

  Verarbeiten KI-Funktionen personenbezogene Daten, handelt Apaleo als Auftragsverarbeiter auf Weisung des Kunden. Im Verhältnis der Parteien und soweit die KI-Verordnung Anwendung findet, handelt Apaleo als Anbieter und der Kunde als Betreiber der KI-Funktionen. Jede Partei erfüllt die für sie geltenden Pflichten der KI-Verordnung, einschließlich der KI-Kompetenz (Art. 4 KI-Verordnung) ihres eigenen Personals, das KI-Funktionen nutzt oder betreibt.

• Kein Training.

  Apaleo verwendet Kundendaten nicht zum Training, Feintuning oder zur Verbesserung von KI-Modellen (eigenen oder solchen Dritter), außer auf schriftliche Weisung des Kunden, und stellt dies für KI-Subunternehmer gemäß Ziffer 7 sicher.

• Zugriffskontrolle und menschliche Aufsicht.

  KI-Funktionen, die im Namen eines Nutzers handeln, greifen auf Kundendaten nur im Rahmen der Berechtigungen zu, die der Kunde diesem Nutzer oder dieser Rolle erteilt hat. Der Kunde kann KI-Funktionen aktivieren, einschränken oder deaktivieren und Berechtigungen konfigurieren. Der Kunde bleibt für eine angemessene menschliche Aufsicht und für die Prüfung KI-generierter Ergebnisse vor deren Verwendung verantwortlich.

• Verbotene und Hochrisiko-Nutzung.

  Apaleo stellt keine KI-Funktionen für nach Art. 5 KI-Verordnung verbotene Praktiken bereit, und der Dienst ist nicht als Hochrisiko-KI-System im Sinne von Art. 6 und Anhang III KI-Verordnung konzipiert. Der Kunde wird KI-Funktionen nicht für solche Zwecke nutzen (zum Beispiel Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung, Social Scoring oder Entscheidungen über Beschäftigung oder Kreditwürdigkeit), ohne die vorherige schriftliche Zustimmung von Apaleo.

• Automatisierte Entscheidungen und Transparenz.

  KI-Funktionen sind nicht dazu bestimmt, ausschließlich auf automatisierter Verarbeitung beruhende Entscheidungen zu treffen, die gegenüber betroffenen Personen rechtliche oder ähnlich erhebliche Wirkung entfalten (Art. 22 DSGVO). Der Kunde wird sie nicht in dieser Weise konfigurieren oder nutzen, ohne die nach Art. 22 DSGVO erforderlichen Garantien sicherzustellen, und informiert betroffene Personen wie nach Art. 13 bis 15 DSGVO und, soweit anwendbar, Art. 50 KI-Verordnung erforderlich.

• Unterstützung.

  Apaleo stellt die für die Datenschutz-Folgenabschätzung des Kunden (Art. 35 DSGVO) und, soweit anwendbar, die Grundrechte-Folgenabschätzung (Art. 27 KI-Verordnung) sowie für die Betreiberpflichten des Kunden nach der KI-Verordnung vernünftigerweise erforderlichen Informationen bereit.

• Interne KI-Anwendungen.

  Das Personal von Apaleo darf von Apaleo freigegebene KI-Assistenten und Entwicklungswerkzeuge im Rahmen von Unternehmensverträgen nutzen. Kundendaten dürfen in solche Werkzeuge nur eingegeben werden, soweit dies für den Support oder den Betrieb des Dienstes erforderlich ist und das Werkzeug in Anlage 3 aufgeführt ist.

14 Gerichtsstand, Recht, Rangfolge

• Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist München, Deutschland.

• Dieser AV-Vertrag und alle damit zusammenhängenden Anlagen unterliegen ausschließlich dem Recht der Bundesrepublik Deutschland.

• Mit der Unterzeichnung dieser AV-Vertrag vereinbaren Apaleo und der Kunde, dass alle vorherigen AV-Vertrage über den Gegenstand dieses AV-Vertrags außer Kraft treten, und zwar mit Wirkung ab dem Wirksamkeitsdatum.

• Bei Widersprüchen gehen die Standardvertragsklauseln und der UK-Zusatz diesem AV-Vertrag vor, und dieser AV-Vertrag geht dem Hauptvertrag und jeder anderen Vereinbarung hinsichtlich der Verarbeitung personenbezogener Daten vor. Die Haftung der Parteien richtet sich nach dem Hauptvertrag, unbeschadet der Rechte betroffener Personen nach Art. 82 DSGVO und den Standardvertragsklauseln.

• Zusatzvereinbarungen für Alpha-, Beta- oder Pilotfunktionen können funktionsspezifische Zusagen ergänzen, lassen den durch diesen AV-Vertrag gewährten Schutz jedoch unberührt; bei Widersprüchen geht die für betroffene Personen günstigere Bestimmung vor.

Anlage 1 – Art der Datenverarbeitung

Apaleo speichert und verarbeitet Gästedaten für Sie.

Daten:

• ID/Passdaten;

• Name;

• E-Mail-Adresse;

• Anschrift und Kommunikationsdaten;

• Nationalität;

• Geschlecht;

• Geburtsdatum;

• Freitextkommentar (der technisch auch personenbezogene Daten enthalten kann);

• Rechnungsadresse;

• Buchungs-, Aufenthalts- und Folio-Daten (Reservierungsdetails, gebuchte Leistungen, Rechnungen, Präferenzen);

• Zahlungsdaten (Zahlungsmittel-Token, letzte Ziffern, Ablaufdatum, Zahlungsstatus; vollständige Kartendaten werden von den Zahlungs-Subunternehmern in PCI-DSS-konformen Umgebungen verarbeitet);

• Firmen- und Steuerangaben von Gästen oder Firmenbuchenden, soweit angegeben;

• Anrede und Telefonnummer von Buchenden und Gästen (z. B. über die gehostete Buchungsmaschine);

• Von Integratoren definierte Freiform-Warenkorbattribute (Schlüssel/Wert-Paare);

• Technische Anfragedaten (IP-Adresse, Browser-User-Agent) in Infrastruktur-Logs;

• KI-Interaktionsdaten (Freitext-Eingaben, erzeugte Dashboard-Konfigurationen, KI-Antworten sowie an KI-Subunternehmer übermittelte Eingaben und Kontext);

• Nutzer- und Nutzungsdaten der Nutzer des Kunden (Nutzer-ID, Name, E-Mail-Adresse, Rolle, IP-Adresse, Audit- und Log-Daten).

Kategorien betroffener Personen: Gäste und potenzielle Gäste des Kunden und deren Begleitpersonen; Buchungskontakte und Firmenkunden; Mitarbeiter des Kunden und sonstige autorisierte Nutzer des Dienstes.

Besondere Kategorien von Daten (Art. 9 und 10 DSGVO): Eine Verarbeitung ist nicht beabsichtigt. Ausweisdokumente, Nationalität oder Freitextfelder können zufällig solche Daten offenbaren. Der Kunde übermittelt nicht absichtlich besondere Kategorien von Daten und sollte diese nicht in Freitextfelder eingeben.

Art, Zweck, Häufigkeit und Dauer: Speicherung, Abruf, Anzeige, Übermittlung, Strukturierung, Sicherung, Löschung, Überwachung, Support, Zahlungsabwicklung und – auf Weisung des Kunden – KI-Funktionen zur Erbringung des Dienstes; laufend für die in Ziffer 2.2 geregelte Dauer.

Empfänger: Apaleo-Mitarbeiter, die in der Produktentwicklung und im Support tätig sind, können auf diese Daten zugreifen, um Unterstützung und Hilfe zu leisten. Dieser Zugriff ist ausschließlich lesend, es sei denn, Sie beantragen eine Änderung oder Löschung der Daten in schriftlicher Form.

Alle Subprozessoren sind in Anlage 3 aufgeführt.

Anlage 2 – Technische und organisatorische Maßnahmen

Technische und organisatorische Maßnahmen sind in den Abschnitten Allgemeine Hinweise und Im Auftrag verarbeitete Daten („Gästedaten“) im Dokument Apaleo - Technische und organisatorische Maßnahmen, Version 2.0 vom 27 Oktober 2026 (in der jeweils nach Ziffer 5 aktualisierten Fassung), beschrieben, das Bestandteil dieses AV-Vertrags ist.

Anlage 3 – Subunternehmer

Mit allen in den USA ansässigen Subunternehmern (oder in einem anderen Drittland ohne Angemessenheitsbeschluss) hat Apaleo Datenverarbeitungsverträge unterzeichnet, die die Standardvertragsklauseln enthalten. Ist ein Subunternehmer zusätzlich nach dem EU-U.S. Data Privacy Framework zertifiziert, kann sich die Übermittlung auch auf den Angemessenheitsbeschluss stützen; die Standardvertragsklauseln dienen als Rückfalllösung. Die Übermittlungsinstrumente ergeben sich aus der nachstehenden Tabelle und Ziffer 12.

Übermittlungsinstrumente je Subunternehmer

Apaleo – Technische und organisatorische Maßnahmen

Version 2.0 – 27 Oktober2026

Allgemeine Hinweise

Awareness

Der Schutz der uns anvertrauten personenbezogenDaten ist Apaleo sehr wichtig. Neue Funktionen sowie Änderungen in der Gesamtarchitektur werden vor der Implementierung mit dem Sicherheits- und Datenschutzbeauftragten besprochen, um Sicherheitsrisiken und Compliance zu bewerten. Alle Mitglieder des Apaleo Produkt- und Support-Teams haben eine Software-Sicherheits- und Datenschutz-Schulung erhalten, die mindestens einmal im Jahr aktualisiert wird. Neue Mitarbeiter absolvieren die Schulung im Rahmen des Onboardings; der Abschluss wird in der Compliance-Automatisierungsplattform von Apaleo erfasst und überwacht.

Grundsätze und Richtlinien

Apaleo hat einen Datenschutzbeauftragten und einen Informationssicherheitsbeauftragten ernannt und betreibt ein Informationssicherheits-Managementsystem. Richtlinien, Kontrollen und zugehörige Nachweise werden in einer Compliance-Automatisierungsplattform gepflegt und laufend überwacht. Das Richtlinienwerk umfasst: Informationssicherheit; Zugriffskontrolle; Kryptografie und Schlüsselverwaltung; Datenklassifizierung, -handhabung, -aufbewahrung und -vernichtung; zulässige Nutzung; Asset- und Endgeräte-Management (z. B. Geräteverschlüsselung, Bildschirmsperre, Malware-Schutz); sichere Entwicklung und Änderungsmanagement; Schwachstellen- und Patch-Management; Protokollierung und Überwachung; Incident Response; Business Continuity und Disaster Recovery; Risikomanagement; Lieferanten- und Drittanbieter-Risikomanagement; sowie Personalsicherheit (Vertraulichkeitsverpflichtungen, Onboarding und Offboarding). Richtlinien werden von der Geschäftsleitung genehmigt, von allen Mitarbeitern bestätigt und mindestens jährlich überprüft.

Grundsätze für Software und KI

Neue SaaS- und KI-Werkzeuge werden erst nach einer Prüfung durch Legal & InfoSec (Sicherheits-, DSGVO- und Vertragsprüfung) und, soweit Unternehmens-, Kunden- oder Nutzerdaten betroffen sind, nach Abschluss eines Auftragsverarbeitungsvertrags für die Arbeit eingesetzt. KI-Anwendungen werden auf Grundlage von Unternehmens- oder Geschäftsbedingungen genutzt, die ein Training mit Apaleo-Daten ausschließen; der Zugang erfolgt über Single-Sign-on. Mitarbeiter sind angewiesen, keine Zugangsdaten oder personenbezogenen Daten von Kunden in KI-Anwendungen einzugeben, die hierfür nicht freigegeben sind.

Daten von Kunden und deren Mitarbeitern, Website-Besuchern, Leads und App-Providern

Zugangskontrolle

Nur Apaleo-Mitarbeiter, die im Bereich Marketing und Vertrieb tätig sind, dürfen auf die personenbezogenDaten von Kunden, Website-Besuchern, Leads und App-Anbietern zugreifen. Die Stammkopie aller personenbezogenen Daten wird auf ausgewählten Cloud-Diensten gespeichert und verarbeitet. Der Zugriff ist über Benutzername und Passwort gesichert, über Multi-Faktor-Authentifizierung im Rahmen der unternehmensweiten Mitarbeiteridentität von Apaleo (Single-Sign-on).

Wenn Aufgaben mit keinem der ausgewählten Cloud-Dienste erledigt werden können, können kurzlebige Kopien (in der Regel Stunden, maximal 7 Tage) auf Geräten von Mitgliedern des Apaleo Vertriebs- und Marketingteams existieren. Der Zugang zu diesen Geräten ist mit Benutzername und Passwort, teilweise über eine biometrische Identifikation, eingeschränkt.

Für Passwörter gelten strenge Richtlinien, die regelmäßig an die neuesten Sicherheitsstandards angepasst werden.

Auditierung und Nachvollziehbarkeit

Änderung der personenbezogenDaten ist:

• protokolliert von Hubspot (auf Feldebene) und Microsoft OneDrive (auf Dokumentebene).

• unmöglich in zendesk. Allerdings können Daten gelöscht werden. Apaleo Mitarbeiter sind angewiesen, Daten nicht ohne Rücksprache mit der Datenschutzbeauftragten zu löschen.

• Im Auftrag verarbeitete Daten („Gästedaten“)

Zugangskontrolle

Nur Apaleo-Mitarbeiter, die in der Europäische Union in der Produktentwicklung und Kundenbetreuung tätig sind, haben Zugriff auf personenbezogene Gästedaten. Die Stammkopie aller personenbezogenen Daten wird in einem gesicherten Produktionskonto von Amazon Web Services (AWS) gespeichert und verarbeitet. Der Zugriff auf dieses System ist beschränkt.

Der Zugriff auf die gesicherten Systemkomponenten wird durch einen individuellen Benutzernamen und ein individuelles Passwort geschützt, und Multi-Faktor-Authentifizierung wird erzwungen. Die Personengruppe, die Zugang zu bestimmten Systemkomponenten hat, ist auf ein Minimum beschränkt, und durch die Konfiguration passender Zugriffsrichtlinien sind die Zugriffsrechte auch auf die für die Ausführung der Aufgabe erforderlichen Rechte beschränkt. Die Gruppe der Administratoren und die Zugriffsrichtlinien werden regelmäßig überprüft. Wenn ein Mitarbeiter das Unternehmen verlässt, werden alle seine Konten sofort gelöscht.

Die Verwendung von gemeinsamen oder Standard-Benutzer-IDs wird verhindert, und Standard-Benutzer-IDs werden nach Möglichkeit entfernt. Die Passwörter für die verbleibenden Standardbenutzer-IDs werden in einem sicheren Passwort-Safe gespeichert, auf das nur eine begrenzte Gruppe von Personen Zugriff hat.

Nur kurzlebige Kopien (typischerweise Minuten, maximal 24 Stunden) für Untersuchungen des Support-Teams können auf elektronischen Geräten von Mitgliedern des Apaleo Support-Teams vorhanden sein. Der Zugang zu diesen Geräten ist mit Benutzername und Passwort, teilweise über eine biometrische Identifikation, eingeschränkt.

Für Passwörter gelten strenge Richtlinien, die regelmäßig an die neuesten Sicherheitsstandards angepasst werden.

Alle Daten werden auf der Transportschicht (TLS) gesichert, wenn Daten zwischen verschiedenen Cloud-Anwendungen oder lokalen Computern übertragen werden. TLS-Protokolle, von denen bekannt ist, dass sie Sicherheitslücken aufweisen, werden nicht verwendet.

Daten im Ruhezustand, d.h. in der Datenbank gespeichert, werden verschlüsselt. Buchungs- und Gästedaten in flüchtigen Buchungsmaschinen-Datensätzen werden zusätzlich mit verwalteten Schlüsseln (KMS) verschlüsselt.

Sicherheitsfunktionen für Kunden

Die folgenden Sicherheitsfunktionen stehen im Dienst zum Datum dieser Version zur Verfügung. Mit „(Rollout)“ oder „(Beta)“ gekennzeichnete Funktionen stehen noch nicht allen Kunden zur Verfügung und stellen keine Zusage hinsichtlich bestimmter Funktionalitäten oder Zeitpläne dar.

• Authentifizierung: sichere tokenbasierte Anmeldung; Multi-Faktor-Authentifizierung per Authenticator-App (optional); Passkeys als passwortlose, phishing-resistente Anmeldung.

• Single Sign-on und Provisionierung: SAML-basiertes Single Sign-on und SCIM-Benutzerprovisionierung, kompatibel mit Microsoft Entra ID, Okta und anderen Identity-Providern.

• Autorisierung: feingranulare Echtzeit-Berechtigungs-Engine mit objektbezogenen Rollen; benutzerdefinierte Rollen; feingranulare Zugriffskontrolle für Apps und API-Clients (Rollout).

• Netzwerkzugriff: IP-Allowlisting für die Anmeldung (Rollout).

• Datenschutz: rollenbasierte Maskierung sensibler Gästedaten (Beta).

• Audit-Logs: Aktivitätsprotokolle über zentrale Bereiche (Reservierungen, Folios, Einheiten, Benutzerverwaltung, Buchhaltung).

• KI und Agenten: KI-Agenten arbeiten innerhalb derselben Berechtigungs-Engine wie menschliche Nutzer; eigene Berechtigungen und Benutzerrollen steuern KI-/Agenten-Werkzeuge, die auf den Dienst zugreifen (MCP-Server).

Auditierung und Nachvollziehbarkeit

Für die Datenbanken und den Object-Store werden Zugriffe und Änderungen einschließlich der Benutzerkennung protokolliert.

Es ist nicht möglich, Daten über die verwendeten Logging Cloud Services zu ändern. Nur die für den Bereitschaftsdienst bestimmte Person darf darauf zugreifen, aber der Zugriff wird von diesen Systemen nicht protokolliert.

In Apaleo werden Zugriffe und Änderungen protokolliert, einschließlich einer Benutzerkennung, die als "Support" für Mitglieder des Apaleo Produktsupports maskiert ist, um Mitarbeiterdaten nicht an Kunden weiterzugeben. Der Bereitschaftsdienst kann über den Bereitschaftskalender identifiziert werden. In Ausnahmefällen können auch Personen, die nicht in Bereitschaft sind, auf diese Daten zugreifen. Dies wird im Kalender dokumentiert. Verlangt der Kunde von Apaleo Unterstützung, in seinem Auftrag verarbeitete Daten zu ändern oder zu löschen, so wird dies schriftlich dokumentiert, einschließlich der Person, die diese Aufgabe wahrnimmt.

Datentrennung

Die Daten verschiedener Kunden werden in den Datenbanken separiert. Test- und Produktivdaten für einen Kunden sind ebenfalls strikt getrennt. Es ist nicht möglich, Daten für verschiedene Kunden innerhalb einer Anfrage oder Antwort an die Apaleo APIs zu mischen. Zentrale Komponenten, vor allem der Apaleo Identity-Server, stellen sicher, dass Nutzer von Apaleo nur auf die Daten der Kundenprojekte zugreifen können, in denen sie Mitglied sind.

Verfügbarkeit

Daten in der Datenbank werden nahezu in Echtzeit auf einem Failover-Replikat gespeichert. Im Falle eines Ausfalls der Hauptdatenbank übernimmt dieses Replikat innerhalb weniger Minuten.

In Datenbanken oder Object-Store gespeicherte Daten werden je nach verwendeter Technologie mindestens einmal täglich gesichert. Backups werden in einer separaten Verfügbarkeitszone in den Rechenzentren von Amazon Web Services gespeichert, um sicherzustellen, dass Probleme in der Hauptbetriebszone von Apaleo die Backups nicht beeinträchtigen. Backups von Datenbanken können in der Regel in weniger als einer Stunde wiederhergestellt werden, Backups von Daten im Object-Store innerhalb eines Tages.

Die Verfügbarkeit sämtlicher Apaleo-Komponenten wird ständig überwacht und Probleme werden spätestens nach fünf Minuten an Apaleo gemeldet. Bei technischen Problemen der Komponenten erfolgt die Überwachung und Berichterstattung alle 15 Minuten.

Business Continuity und Incident Response

Apaleo unterhält dokumentierte Business-Continuity- und Disaster-Recovery-Pläne sowie ein dokumentiertes Incident-Response-Verfahren (Erkennung, Klassifizierung, Eindämmung, Meldung, Nachbetrachtung). Verletzungen des Schutzes personenbezogener Daten werden dem Kunden gemäß Ziffer 9 des AV-Vertrags gemeldet. Die Pläne werden mindestens jährlich überprüft und getestet.

Sichere Entwicklung und Schwachstellenmanagement

Änderungen an der Produktivumgebung folgen einem dokumentierten Änderungsmanagement-Prozess einschließlich Peer-Review, automatisierter Tests sowie Abhängigkeits- und Schwachstellenscans in der Build-Pipeline. Schwachstellen werden nach Schweregrad priorisiert und innerhalb definierter Fristen behoben. Unabhängige Penetrationstests werden mindestens jährlich durchgeführt.

Technische und organisatorische Maßnahmen von Subprozessoren

Wir bewerten die Sicherheitsmaßnahmen der einzelnen Subprozessoren, insbesondere derjenigen, die Gästedaten verarbeiten, bevor wir eine Vereinbarung mit ihnen treffen und überprüfen diese regelmäßig im Rahmen unseres Lieferanten-Risikomanagements (Lieferantenverzeichnis, Risikoklassifizierung und Prüfung unabhängiger Prüfberichte und Zertifizierungen, etwa ISO/IEC 27001, SOC 2 und PCI DSS, soweit vorhanden). Mit alle in den USA ansässigen Subprozessoren hat Apaleo Datenverarbeitungsverträge unterzeichnet, die die Standardvertragsklauseln enthalten, die von der Europäischen Kommission gemäß ihrem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 genehmigt wurden, in der jeweils geänderten oder ersetzten Fassung. Übermittlungen unterliegen zusätzlich Ziffer 12 des AV-Vertrags. Da sich die Details der technischen und organisatorischen Maßnahmen häufig ändern, lesen Sie deren Dokumentation und Konformitätsbescheinigungen, die online verfügbar sind: Die aktuelle Liste der Subprozessoren einschließlich Zwecken und Datenschutzdokumentation ergibt sich aus Anlage 3 des AV-Vertrags, die die bisher in diesem Dokument enthaltene Tabelle ersetzt.