Auftragsverarbeitungsvertrag · Data Processing Agreement

Data Processing Agreement

German and English data processing agreement under Article 28 GDPR, including technical measures and approved sub-processors.

Deutsch English

Deutsch

Auftragsverarbeitungsvertrag (AVV) – DE

gemäß Art. 28 DSGVO, zwischen Ihnen (Verantwortlicher) und der Arbio Group GmbH (Auftragsverarbeiter) Arbio Group GmbH, Greifswalder Straße 212, 10405 Berlin, HRB 279648 B · Kontakt: privacy@arbio-group.com Fassung 1.0, Stand 28.05.2026

1. Präambel und Vertragsschluss

Dieser AVV ist Bestandteil der zwischen den Parteien geschlossenen Nutzungsbedingungen für die Arbio Software (Hauptvertrag). Mit Annahme der Nutzungsbedingungen erkennen die Parteien diesen AVV als rechtsverbindlich an. Einer gesonderten Unterschrift bedarf es nicht. Soweit Sie als Verantwortlicher personenbezogene Daten Dritter (insbesondere Gästedaten) über Ihr Property Management System an die Software übermitteln und wir diese in Ihrem Auftrag verarbeiten, gelten zwischen den Parteien die folgenden Regelungen nach Art. 28 DSGVO.

2. Gegenstand und Dauer

2.1 Gegenstand. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Gegenstand ist die Bereitstellung der Arbio Software mit den in Ziffer 2 des Hauptvertrages beschriebenen Funktionen, insbesondere die Aufbereitung von Buchungs- und Objektmetadaten sowie der KI-gestützte Chat. 2.2 Dauer. Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung, sofern nicht gesetzliche Aufbewahrungspflichten oder vertragliche Abwicklungspflichten eine längere Verarbeitung erfordern.

3. Art und Zweck der Verarbeitung

3.1 Art der Verarbeitung. Erheben, Erfassen, Strukturieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln an Unterauftragnehmer sowie Löschen personenbezogener Daten in cloudbasierten Systemen. 3.2 Zweck. Bereitstellung der Funktionen der Arbio Software, insbesondere:

Anbindung des PMS des Verantwortlichen über API,
Ermittlung von Auslastungs- und Wirtschaftlichkeitskennzahlen,
Beantwortung von Anfragen im KI-Chat, einschließlich Speech-to-Text-Verarbeitung kurzer Audioeingaben, soweit diese Funktion genutzt wird,
Sicherstellung der Funktionsfähigkeit, Sicherheit und Weiterentwicklung der Software.

4. Art der Daten und Kategorien betroffener Personen

4.1 Art der Daten. Die Verarbeitung umfasst:

Objekt- und Buchungsmetadaten (Objekt-ID, Einheitenname, Buchungs-ID, Buchungskanal, An- und Abreisedaten, Status, Preise, Gebühren, Steuern, Anzahlungen, Zahlungsstatus),
verschlüsselt gespeicherter API-Schlüssel des Verantwortlichen,
technisch transient verarbeitete, aber nicht gespeicherte personenbezogene Gästedaten, die das PMS bei einem API-Aufruf zurückliefert (Filterung und Entfernung vor Speicherung),
Eingaben des Verantwortlichen oder seiner Nutzer in den KI-Chat (Prompts) sowie kurze Audioaufnahmen für Speech-to-Text, soweit diese Funktion genutzt wird,
Nutzungs- und Protokolldaten der Software-Nutzung (z. B. Login-Zeitpunkt, IP-Adresse, Audit-Logs). 4.2 Kategorien betroffener Personen. Von der Verarbeitung sind folgende Personengruppen betroffen:
Gäste und Mitreisende des Verantwortlichen (nur transient während des API-Aufrufs, nicht gespeichert),
Vertreter und Nutzer des Verantwortlichen (Mitarbeitende), die mit der Software arbeiten,
Personen, die in Eingaben des Verantwortlichen in den KI-Chat genannt werden.

5. Pflichten und Rechte des Verantwortlichen

5.1 Verantwortlichkeit. Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Bestimmungen, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragsverarbeiter und für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich. 5.2 Weisungen. Weisungen erteilt der Verantwortliche grundsätzlich in Textform (E-Mail an privacy@arbio-group.com genügt). Standardweisungen sind die in Hauptvertrag und in diesem AVV beschriebenen Verarbeitungen. 5.3 Information. Der Verantwortliche unterrichtet die betroffenen Personen über die Verarbeitung, soweit erforderlich, und hält die nach Art. 13 und 14 DSGVO geforderten Informationen vor.

6. Pflichten des Auftragsverarbeiters

6.1 Weisungsgebundenheit. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaates zur weitergehenden Verarbeitung verpflichtet ist. In diesem Fall teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht untersagt. 6.2 Datenminimierung. Der Auftragsverarbeiter filtert und entfernt vor der Speicherung sämtliche personenbezogenen Gästeidentifikatoren wie Namen, E-Mail-Adressen, Telefonnummern, Gäste-IDs, Profil-Links sowie freie Textnotizen. Eine Speicherung dieser Daten findet nicht statt. 6.3 Vertraulichkeit. Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen schriftlich auf die Vertraulichkeit oder stellt sicher, dass diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. 6.4 Technische und organisatorische Maßnahmen. Der Auftragsverarbeiter ergreift die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. 6.5 Unterstützungspflichten. Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich und im erforderlichen Umfang, bei:

der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO),
der Einhaltung der Meldepflichten bei Datenschutzverletzungen (Art. 33 und 34 DSGVO),
der Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und gegebenenfalls vorherigen Konsultationen (Art. 36 DSGVO). 6.6 Meldung von Datenschutzverletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen Datenschutzverletzungen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntnisnahme, und übermittelt die zur Erfüllung der Meldepflicht nach Art. 33 DSGVO erforderlichen Informationen.

7. Unterauftragsverhältnisse

7.1 Genehmigung. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragnehmer) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anlage 2 aufgeführt und gelten als genehmigt. 7.2 Änderungen. Beabsichtigt der Auftragsverarbeiter, einen Unterauftragnehmer zu wechseln oder einen neuen einzubeziehen, informiert er den Verantwortlichen mindestens vierzehn (14) Tage vor der Änderung in Textform oder im Kundenportal. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund in Textform widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. 7.3 Vertragliche Weitergabe. Der Auftragsverarbeiter verpflichtet seine Unterauftragnehmer auf ein vergleichbares Datenschutzniveau, wie es in diesem AVV vereinbart ist.

8. Datenübermittlung in Drittländer

8.1 Verarbeitungsorte. Die Verarbeitung erfolgt teilweise auch außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums, insbesondere in den USA. Der Auftragsverarbeiter nutzt für das Hosting der Software einen US-Anbieter (Vercel Inc.), für Authentifizierung und Datenbankbetrieb Supabase, Inc. mit EU-Region Frankfurt und für die KI-Inferenz beziehungsweise Speech-to-Text-Verarbeitung des Chats ein KI-Modell eines US-Anbieters mit globalen Routing-Endpoints (Google LLC, Gemini API) sowie, soweit als Fallback aktiviert, OpenAI, L.L.C. Die konkreten Verarbeitungsorte und die hierfür geltenden Garantien sind in Anlage 2 aufgeführt. 8.2 Garantien nach Art. 44 ff. DSGVO. Für Übermittlungen in Drittländer stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch das EU-US Data Privacy Framework, durch EU-Standardvertragsklauseln oder eine andere geeignete Garantie.

9. Betroffenenrechte

9.1 Weiterleitung. Macht eine betroffene Person Rechte wie Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch direkt gegenüber dem Auftragsverarbeiter geltend, leitet der Auftragsverarbeiter die Anfrage unverzüglich an den Verantwortlichen weiter, soweit sich aus dem Anliegen ergibt, dass es sich um Daten des Verantwortlichen handelt. 9.2 Eigenbearbeitung. Bezieht sich die Anfrage offensichtlich auf eine Verarbeitung, die der Auftragsverarbeiter im Rahmen seiner operativen Tätigkeit selbst steuern kann (z. B. Account-Daten der Nutzer des Verantwortlichen), darf der Auftragsverarbeiter diese mit Zustimmung des Verantwortlichen selbst bearbeiten.

10. Löschung und Rückgabe von Daten

10.1 Vertragsende. Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen, oder gibt sie nach Wahl des Verantwortlichen zurück. Eine maschinenlesbare Bereitstellung wesentlicher Auswertungsdaten erfolgt auf Wunsch und vor der Löschung. 10.2 Frist. Die Löschung erfolgt innerhalb von neunzig (90) Tagen nach Beendigung des Hauptvertrages, mit Ausnahme von Datensätzen, die gesetzlichen Aufbewahrungspflichten unterliegen. Diese werden gesperrt und nach Ablauf der Frist gelöscht.

11. Kontrollrechte

11.1 Audit. Der Verantwortliche hat das Recht, die Einhaltung dieses AVV in angemessenem Umfang zu kontrollieren. Aufgrund der cloudbasierten Erbringung erfolgt die Kontrolle vorrangig durch Vorlage geeigneter Nachweise (z. B. Selbstauskünfte, einschlägige Zertifikate der Unterauftragnehmer wie SOC 2 oder ISO 27001). 11.2 Vor-Ort-Prüfung. Eine Vor-Ort-Prüfung ist mit angemessenem Vorlauf, in der Regel mindestens dreißig (30) Tagen, und nur im erforderlichen Umfang zulässig. Die Parteien tragen ihre Kosten jeweils selbst.

12. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den Haftungsregelungen des Hauptvertrages (Ziffer 10 der Nutzungsbedingungen). Im Innenverhältnis bleibt die dort vereinbarte Haftungsbegrenzung wirksam, soweit dies nach Art. 82 DSGVO zulässig ist.

13. Schlussbestimmungen

13.1 Vorrang. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf die Verarbeitung personenbezogener Daten vor. 13.2 Salvatorische Klausel. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. 13.3 Anwendbares Recht und Gerichtsstand. Es gilt deutsches Recht; ausschließlicher Gerichtsstand ist, soweit zulässig, Berlin.

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter setzt zum Schutz personenbezogener Daten nach Art. 32 DSGVO insbesondere folgende Maßnahmen um: 1. Vertraulichkeit (Zutritts-, Zugangs- und Zugriffskontrolle)

Hosting bei zertifizierten Cloud-Anbietern; der Hosting-Anbieter hat seinen Sitz in den USA, eine Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework sowie der EU-Standardvertragsklauseln (vgl. Anlage 2).
Starke Passwortrichtlinien sowie Zwei-Faktor-Authentifizierung für administrative Zugriffe.
Rollenbasierte Zugriffsverwaltung nach dem Prinzip „Need-to-Know“.
Verschlüsselung des API-Schlüssels des Verantwortlichen in der Datenbank.
Verschlüsselung mobiler Endgeräte; keine lokale Speicherung von Kundendaten. 2. Integrität (Weitergabe- und Eingabekontrolle)
Verschlüsselung sämtlicher Datenübertragungen über öffentliche Netze (TLS).
Filterung und Entfernung personenbezogener Gästeidentifikatoren vor der Speicherung.
Protokollierung von Eingaben und Änderungen in den Anwendungs- und Datenbanksystemen (Audit-Logs). 3. Verfügbarkeit und Belastbarkeit
Nutzung etablierter Cloud-Anbieter mit redundanter Datenspeicherung und regelmäßigen Backups.
Wiederherstellungsverfahren mit dokumentierten Recovery-Zielen.
Schutz vor Schadsoftware und Netzwerkangriffen auf Anwendungs- und Endgeräteebene. 4. Verfahren zur regelmäßigen Überprüfung
Regelmäßige Überprüfung der Sicherheitseinstellungen und der eingesetzten Komponenten.
Verpflichtung der Mitarbeitenden auf das Datengeheimnis nach DSGVO und BDSG.
Sicherheits- und Datenschutzschulungen für relevante Mitarbeitende. 5. Auftragskontrolle
Verträge mit Unterauftragnehmern auf datenschutzrechtlich vergleichbarem Niveau (Art. 28 DSGVO).
Dokumentation der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Hinweis: Konkrete Maßnahmen können sich technisch fortentwickeln. Der Auftragsverarbeiter darf TOMs anpassen, sofern das Schutzniveau nicht abgesenkt wird.

Anlage 2: Genehmigte Unterauftragnehmer

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragnehmer. Die Liste kann sich gemäß Ziffer 7 ändern; die jeweils aktuelle Fassung ist unter privacy@arbio-group.com auf Anforderung erhältlich.

Dienstleister	Funktion	Sitz / Region	Garantie für Drittland-Transfer
Vercel Inc.	Hosting, Edge-Netzwerk, Anwendungsbetrieb, Build-Infrastruktur	USA (Sitz); Edge-Knoten weltweit	EU-US Data Privacy Framework und EU-Standardvertragsklauseln (Vercel DPA)
Supabase, Inc. (Supabase Cloud EU)	Datenbank, Authentifizierung, Account-Verwaltung, verschlüsselte PMS-Zugangsdaten, Supabase Edge Functions und systembezogene Account-E-Mails	USA (Sitz); Datenregion EU (Frankfurt, Deutschland)	EU-US Data Privacy Framework und EU-Standardvertragsklauseln (Supabase DPA)
Google LLC (Gemini API)	KI-Inferenz und Speech-to-Text für den Chat (Verarbeitung der vom Nutzer im Chat eingegebenen Prompts, kurzer Audioeingaben sowie der dem Modell bereitgestellten Finanz- und Performance-Daten)	USA (Sitz); globale Routing-Endpoints	EU-US Data Privacy Framework und EU-Standardvertragsklauseln (Google Cloud DPA)
OpenAI, L.L.C.	Optionaler Speech-to-Text-Fallback für kurze Audioeingaben, soweit technisch aktiviert	USA (Sitz)	EU-US Data Privacy Framework und EU-Standardvertragsklauseln (OpenAI DPA)
PostHog Inc. (PostHog Cloud EU)	Produktanalyse, Event-Tracking, Feature-Flags, pseudonyme Nutzungs- und Interaktionsanalyse	EU-Region (Frankfurt, Deutschland)	Keine Drittlandübermittlung im Regelbetrieb; Konzernsitz USA, daher EU-Standardvertragsklauseln und DPF als Rückfall-Garantie für ausnahmsweise Support-/Wartungszugriffe

Hinweis: Für den AI-Chat hat der Nutzer ausdrücklich darauf zu achten, keine personenbezogenen Gästedaten in den Prompt einzugeben, da diese außerhalb der EU verarbeitet werden können (vgl. Ziffer 7.4 der Nutzungsbedingungen).

English

Data Processing Agreement (DPA) – EN

under Article 28 GDPR, between you (controller) and Arbio Group GmbH (processor) Arbio Group GmbH, Greifswalder Straße 212, 10405 Berlin, Germany, HRB 279648 B · Contact: privacy@arbio-group.com Version 1.0, dated 28 May 2026 · The German version is binding; this is a courtesy translation.

1. Preamble and formation

This DPA forms an integral part of the Terms of Use for the Arbio Software between the parties (the "main agreement"). By accepting the terms of use, the parties accept this DPA as binding. A separate signature is not required. Where you, as controller, transmit personal data of third parties (in particular guest data) via your property management system to the software, and we process such data on your behalf, the following provisions apply between the parties under Article 28 GDPR.

2. Subject matter and duration

2.1 Subject matter. The processor processes personal data solely on behalf of and in accordance with the instructions of the controller. The subject matter is the provision of the Arbio software with the functions described in section 2 of the main agreement, in particular the processing of booking and property metadata and the AI chat. 2.2 Duration. The duration of this DPA follows the duration of the main agreement. It ends automatically with the termination of the main agreement, unless statutory retention obligations or contractual wind-down obligations require longer processing.

3. Nature and purpose of the processing

3.1 Nature of the processing. Collection, recording, structuring, storage, adaptation, retrieval, use, transmission to sub-processors and erasure of personal data in cloud-based systems. 3.2 Purpose. Provision of the functions of the Arbio software, in particular:

connecting the controller's PMS via API;
determining occupancy and profitability metrics;
responding to AI chat queries, including speech-to-text processing of short audio inputs where that function is used;
ensuring the functionality, security and further development of the software.

4. Categories of data and data subjects

4.1 Categories of data. Processing covers:

property and booking metadata (property ID, unit name, booking ID, channel, arrival and departure dates, status, prices, fees, taxes, deposits, payment status);
the controller's API key, stored in encrypted form;
personal guest data transiently processed but not stored, which the PMS returns in an API call (filtered and removed prior to storage);
inputs by the controller or its users into the AI chat (prompts) and short audio recordings for speech-to-text where that function is used;
usage, product analytics and log data of software use (e.g. login times, IP address, audit logs, click and interaction events, page views, feature usage, device and session attributes, pseudonymous user IDs for product analytics). 4.2 Categories of data subjects. The following groups of persons are affected by the processing:
guests and co-travellers of the controller (only transiently during the API call, not stored);
representatives and users of the controller (staff) using the software;
persons named in the controller's inputs to the AI chat.

5. Rights and obligations of the controller

5.1 Responsibility. The controller is solely responsible for compliance with data protection laws, in particular the lawfulness of disclosing data to the processor and the lawfulness of the processing. 5.2 Instructions. Instructions are issued by the controller in text form (email to privacy@arbio-group.com is sufficient). The processing operations described in the main agreement and in this DPA constitute standard instructions. 5.3 Information. The controller informs data subjects about the processing as required and maintains the information required under Articles 13 and 14 GDPR.

6. Obligations of the processor

6.1 Adherence to instructions. The processor processes the data only within the scope of the agreements made and in accordance with the controller's instructions, unless required to engage in further processing by Union or Member State law. In such a case, the processor informs the controller of this requirement before processing, unless that law prohibits such notification. 6.2 Data minimisation. Prior to storage, the processor filters out and removes all personal guest identifiers such as names, email addresses, telephone numbers, guest IDs, profile links and free-text notes. No such data is stored. 6.3 Confidentiality. The processor commits the persons authorised to process the data in writing to confidentiality or ensures that they are subject to an appropriate statutory duty of confidentiality. 6.4 Technical and organisational measures. The processor implements the technical and organisational measures set out in Annex 1 in accordance with Article 32 GDPR. 6.5 Assistance obligations. The processor assists the controller, taking into account the nature of the processing and to the extent reasonably possible, with:

responding to requests by data subjects (Articles 12 to 23 GDPR);
complying with notification obligations following personal data breaches (Articles 33 and 34 GDPR);
conducting data protection impact assessments (Article 35 GDPR) and prior consultations where applicable (Article 36 GDPR). 6.6 Notification of personal data breaches. The processor notifies the controller of personal data breaches without undue delay and at the latest within 48 hours of becoming aware, providing the information required to comply with the notification obligation under Article 33 GDPR.

7. Sub-processors

7.1 Authorisation. The controller grants the processor a general authorisation to engage further processors (sub-processors). The sub-processors engaged at the time of conclusion of the contract are listed in Annex 2 and are deemed approved. 7.2 Changes. Where the processor intends to replace or add a sub-processor, it informs the controller in text form or via the customer portal at least fourteen (14) days in advance. The controller may object on data protection grounds within that period in text form. Failure to object is deemed approval. 7.3 Pass-through obligations. The processor binds its sub-processors to a level of data protection equivalent to that agreed in this DPA.

8. International data transfers

8.1 Processing locations. Processing also takes place outside the European Union and the European Economic Area, in particular in the United States. The processor uses a US-based hosting provider (Vercel Inc.) for hosting the software, Supabase, Inc. with EU region Frankfurt for authentication and database operation, and a US-based AI model provider with global routing endpoints (Google LLC, Gemini API) for AI inference or speech-to-text processing of the chat, plus OpenAI, L.L.C. where activated as a fallback. The specific processing locations and the applicable safeguards are set out in Annex 2. 8.2 Safeguards under Articles 44 et seq. GDPR. For transfers to third countries, the processor ensures that the requirements of Articles 44 et seq. GDPR are met, in particular through the EU-US Data Privacy Framework, through EU Standard Contractual Clauses or through another appropriate safeguard.

9. Data subject rights

9.1 Forwarding. Where a data subject asserts rights such as access, rectification, erasure, restriction of processing, data portability or objection directly with the processor, the processor forwards the request to the controller without undue delay, where the request indicates that it relates to the controller's data. 9.2 Self-handling. Where the request clearly concerns processing operations which the processor can manage in its operational role (e.g. account data of the controller's users), the processor may, with the controller's authorisation, handle the request itself.

10. Deletion and return of data

10.1 End of contract. Upon termination of the processing services, the processor will delete all personal data, unless statutory retention obligations apply, or return the data at the controller's choice. A machine-readable export of the essential analytics data is provided on request prior to deletion. 10.2 Time frame. Deletion takes place within ninety (90) days after termination of the main agreement, except for records subject to statutory retention obligations. Such records are blocked and erased upon expiry of the retention period.

11. Audit rights

11.1 Audit. The controller has the right to audit compliance with this DPA to a reasonable extent. Given the cloud-based nature of the services, audits are primarily carried out by submission of appropriate evidence (e.g. self-assessments, relevant certifications of sub-processors such as SOC 2 or ISO 27001). 11.2 On-site inspection. An on-site inspection requires reasonable advance notice, usually at least thirty (30) days, and is limited to what is necessary. Each party bears its own costs.

12. Liability

Liability follows Article 82 GDPR and the liability provisions of the main agreement (section 10 of the terms of use). The liability cap agreed there remains effective between the parties to the extent permitted under Article 82 GDPR.

13. Final provisions

13.1 Order of precedence. In the event of conflicts between this DPA and the main agreement, the provisions of this DPA prevail with respect to the processing of personal data. 13.2 Severability. If individual provisions of this DPA are or become invalid, the validity of the remaining provisions is not affected. 13.3 Governing law and jurisdiction. German law applies; the exclusive place of jurisdiction is, to the extent permitted, Berlin.

Annex 1: Technical and organisational measures (TOMs)

The processor implements the following measures to protect personal data under Article 32 GDPR: 1. Confidentiality (access controls)

Hosting with certified cloud providers; the hosting provider is based in the United States, transfers are made on the basis of the EU-US Data Privacy Framework and EU Standard Contractual Clauses (see Annex 2).
Strong password policies and two-factor authentication for administrative access.
Role-based access management on a need-to-know basis.
Encryption of the controller's API key in the database.
Encryption of mobile devices; no local storage of customer data. 2. Integrity (transmission and input controls)
Encryption of all data transmissions over public networks (TLS).
Filtering and removal of personal guest identifiers prior to storage.
Logging of inputs and changes in application and database systems (audit logs). 3. Availability and resilience
Use of established cloud providers with redundant data storage and regular backups.
Documented recovery procedures with recovery objectives.
Malware and network attack protection at application and endpoint level. 4. Procedures for regular review
Regular review of security settings and of the components used.
Commitment of staff to data secrecy under GDPR and BDSG.
Security and data protection training for relevant staff. 5. Processor controls
Sub-processor agreements at a comparable data protection level (Article 28 GDPR).
Maintenance of the records of processing activities under Article 30 GDPR. Note: Specific measures may evolve technically. The processor may amend TOMs provided that the level of protection is not lowered.

Annex 2: Approved sub-processors

The controller approves the use of the following sub-processors. The list may be updated in accordance with section 7; the current version is available on request at privacy@arbio-group.com.

Service provider	Function	Seat / region	Safeguard for third-country transfer
Vercel Inc.	Hosting, edge network, application operation, build infrastructure	USA (seat); edge nodes worldwide	EU-US Data Privacy Framework and EU Standard Contractual Clauses (Vercel DPA)
Supabase, Inc. (Supabase Cloud EU)	Database, authentication, account management, encrypted PMS credentials, Supabase Edge Functions and system account emails	USA (seat); data region EU (Frankfurt, Germany)	EU-US Data Privacy Framework and EU Standard Contractual Clauses (Supabase DPA)
Google LLC (Gemini API)	AI inference and speech-to-text for chat (processing of user prompts, short audio inputs and the financial and performance data provided to the model)	USA (seat); global routing endpoints	EU-US Data Privacy Framework and EU Standard Contractual Clauses (Google Cloud DPA)
OpenAI, L.L.C.	Optional speech-to-text fallback for short audio inputs where technically activated	USA (seat)	EU-US Data Privacy Framework and EU Standard Contractual Clauses (OpenAI DPA)
PostHog Inc. (PostHog Cloud EU)	Product analytics, event tracking, feature flags, pseudonymous usage and interaction analysis	EU region (Frankfurt, Germany)	No third-country transfer in regular operation; corporate seat in the USA, therefore EU Standard Contractual Clauses and DPF as fallback safeguard for occasional support and maintenance access

Note: For the AI chat, the user must take care not to enter personal guest data into the prompt, as such data may be processed outside the EU (see section 7.4 of the terms of use).