Datenschutzerklärung · Privacy Notice

Privacy Policy

German and English privacy notice for the free Arbio software, including account, PMS, usage, AI chat and communication data processing.

Deutsch English

Deutsch

Datenschutzerklärung (Free Software) – DE

Verantwortlicher: Arbio Group GmbH, Greifswalder Straße 212, 10405 Berlin HRB 279648 B, privacy@arbio-group.com Fassung 1.0, Stand 28.05.2026

1. Verantwortlicher und Datenschutzkontakt

Verantwortlicher im Sinne der DSGVO ist die Arbio Group GmbH, Greifswalder Straße 212, 10405 Berlin. Für Fragen zum Datenschutz erreichen Sie uns unter privacy@arbio-group.com. Soweit wir personenbezogene Daten Dritter, insbesondere Gästedaten, in Ihrem Auftrag verarbeiten, gilt zusätzlich unser Auftragsverarbeitungsvertrag (separate Seite in diesem Bereich). Diese Datenschutzerklärung beschreibt die Verarbeitungen, für die wir selbst Verantwortlicher sind.

2. Welche Daten wir verarbeiten

2.1 Account- und Vertragsdaten. Bei Registrierung und Nutzung Ihres Accounts verarbeiten wir Name, geschäftliche E-Mail-Adresse, Unternehmen, Rolle, Sprache und Login-Daten. 2.2 Nutzungsdaten. Bei der Nutzung der Software verarbeiten wir technische Informationen wie IP-Adresse, Browser- und Geräteinformationen, Zeitpunkt der Nutzung, aufgerufene Funktionen, Fehlerprotokolle und Audit-Logs. 2.3 PMS-Verbindungsdaten. Wir speichern den von Ihnen hinterlegten API-Schlüssel verschlüsselt. Aus dem PMS rufen wir Objekt- und Buchungsmetadaten ab. Personenbezogene Gästedaten werden vor der Speicherung entfernt; sie werden lediglich transient während des API-Aufrufs verarbeitet. 2.4 KI-Chat-Eingaben. Eingaben in den KI-Chat (Prompts), kurze Audioaufnahmen für Speech-to-Text, soweit diese Funktion genutzt wird, sowie die zugehörigen Antworten verarbeiten wir, um die Funktion bereitzustellen, Missbrauch zu verhindern und die Funktion weiterzuentwickeln (siehe Ziffer 4). 2.5 Kommunikationsdaten. Wenn Sie mit uns in Kontakt treten, etwa über Support-Kanäle, verarbeiten wir Ihre Anfrage, die Kontaktdaten und den Kommunikationsverlauf.

3. Zwecke und Rechtsgrundlagen

3.1 Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Bereitstellung der Software, Account-Verwaltung, Support, Abwicklung etwaiger zukünftiger Bezahlleistungen. 3.2 Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO). Sicherstellung der Funktionsfähigkeit und Sicherheit der Software, Missbrauchs- und Betrugsprävention, Verbesserung und Weiterentwicklung der Software, Erstellung anonymisierter Auswertungen, Marktanalysen und Benchmarks. Unser Interesse besteht im wirtschaftlichen Betrieb und in der Weiterentwicklung der Software; Ihre entgegenstehenden Interessen haben wir abgewogen. 3.3 Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Versand von Marketing-Mails außerhalb der Bestandskundenkommunikation, gegebenenfalls Einbindung optionaler Funktionen, die eine ausdrückliche Einwilligung erfordern. 3.4 Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO). Erfüllung handels-, steuer- und aufsichtsrechtlicher Aufbewahrungs- und Nachweispflichten.

4. KI-Chat und Nutzung zu Trainingszwecken

4.1 KI-Hinweis. Der Chat-Bereich wird durch ein KI-System bereitgestellt. Sie interagieren dort nicht mit einer natürlichen Person. Diese Information erfolgt auch in Erfüllung von Art. 50 der Verordnung (EU) 2024/1689 (KI-Verordnung). 4.2 Verarbeitung zur Verbesserung der Modelle. Eingaben in den KI-Chat sowie die hierauf bezogenen Auswertungsdaten verwenden wir standardmäßig zur Verbesserung und Weiterentwicklung unserer Modelle und Funktionen. Vor einer solchen Verwendung pseudonymisieren oder anonymisieren wir die Eingaben automatisiert, soweit dies technisch möglich ist und der Zweck es erlaubt. Rechtsgrundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO an der Verbesserung unseres Produktes. 4.3 Opt-out. Sie können dieser Verwendung jederzeit mit Wirkung für die Zukunft widersprechen. Die Einstellung finden Sie in Ihrem Account unter „Privatsphäre und KI“. Nach Ihrem Widerspruch nutzen wir Ihre Eingaben nur noch zur Bereitstellung der Funktion und zur Missbrauchs- und Betrugsprävention. 4.4 Vermeidung personenbezogener Eingaben. Der KI-Chat verarbeitet Eingaben über den KI-Anbieter Google LLC sowie, soweit als Speech-to-Text-Fallback aktiviert, OpenAI, L.L.C.; deren Server können sich auch außerhalb der EU befinden (siehe Ziffer 7). Geben Sie deshalb in den Chat keine personenbezogenen Daten Dritter, insbesondere keine Gästenamen, Kontaktdaten oder freien Notizen ein. Die der KI bereitgestellten Daten aus Ihrer PMS-Anbindung beschränken wir technisch auf Finanz- und Performance-Daten; Ihre eigenen Eingaben in das freie Eingabefeld werden jedoch ungefiltert an den Anbieter übermittelt. Soweit Sie dennoch personenbezogene Daten Dritter eingeben, sind Sie für die Rechtmäßigkeit dieser Eingaben verantwortlich.

5. Aggregierte und anonymisierte Daten

Wir erzeugen aus den über die Software verarbeiteten Daten aggregierte und anonymisierte Datensätze und verwenden diese zur Verbesserung der Software, zur Erstellung von Marktanalysen und zu Benchmark-Zwecken. Diese Daten lassen keinen Rückschluss auf eine bestimmte oder bestimmbare natürliche Person zu. Eine Re-Identifizierung findet nicht statt.

6. Empfänger und Auftragsverarbeiter

Wir setzen Auftragsverarbeiter ein, die uns bei der Bereitstellung der Software unterstützen. Die jeweils aktuelle Liste finden Sie in Anlage 2 des AVV (separate Seite in diesem Bereich). Konkret sind dies derzeit insbesondere:

Vercel Inc. (USA): Hosting, Edge-Netzwerk und Anwendungsbetrieb der Software,
Supabase, Inc. (Supabase Cloud EU) (USA/EU-Region Frankfurt): Datenbank, Authentifizierung, Account-Verwaltung, verschlüsselte PMS-Zugangsdaten und systembezogene Account-E-Mails,
Google LLC, Gemini API (USA, globale Routing-Endpoints): KI-Inferenz und Speech-to-Text für den Chat,
OpenAI, L.L.C. (USA): optionaler Speech-to-Text-Fallback, soweit technisch aktiviert,
gegebenenfalls Produktanalyse- und Telemetrie-Anbieter (pseudonymisiert). Wir geben Ihre Daten nur an diese Auftragsverarbeiter oder im Rahmen gesetzlicher Verpflichtungen an Behörden weiter. Eine Weitergabe zu Werbezwecken an Dritte findet nicht statt.

7. Drittlandsübermittlungen

Ein Teil der Verarbeitung erfolgt außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums, insbesondere in den USA. Dies betrifft insbesondere das Hosting der Software bei Vercel Inc., Authentifizierung und Datenbankbetrieb bei Supabase, Inc. sowie die KI-Inferenz beziehungsweise Speech-to-Text-Verarbeitung des Chats bei Google LLC (Gemini API mit globalen Routing-Endpoints) und, soweit als Fallback aktiviert, OpenAI, L.L.C. Für diese Übermittlungen stützen wir uns auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission) sowie ergänzend auf EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Eine Übersicht der Auftragsverarbeiter und der jeweiligen Garantien enthält Anlage 2 des AVV.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweils angegebenen Zwecke erforderlich ist:

Account- und Vertragsdaten: für die Dauer der Vertragsbeziehung sowie bis zum Ablauf gesetzlicher Aufbewahrungsfristen, in der Regel bis zu zehn Jahre nach Vertragsende.
Nutzungsdaten und Audit-Logs: bis zu zwölf Monate, zur Sicherheits- und Missbrauchsanalyse.
KI-Chat-Eingaben: für die Bereitstellung der Funktion und, soweit Sie nicht widersprochen haben, zur Modellverbesserung; im Übrigen Löschung nach Beendigung des Vertragsverhältnisses innerhalb von neunzig Tagen.
Kommunikationsdaten: bis zu drei Jahre nach Jahresende der letzten Kommunikation, sofern keine längeren Aufbewahrungspflichten bestehen.

9. Marketing-Kommunikation

9.1 In-Product-Hinweise. Innerhalb der Software können wir Sie auf eigene Funktionen und Erweiterungen hinweisen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. 9.2 E-Mails zu eigenen ähnlichen Leistungen. Wir können Ihnen E-Mails zu eigenen ähnlichen Leistungen senden, soweit die Voraussetzungen des § 7 Abs. 3 UWG vorliegen. Sie können dem Erhalt solcher E-Mails jederzeit widersprechen, etwa über den Abmeldelink in der jeweiligen E-Mail oder per E-Mail an privacy@arbio-group.com. 9.3 Werbe-E-Mails mit Einwilligung. Für sonstige werbliche E-Mails holen wir Ihre ausdrückliche Einwilligung beim Onboarding ein (Doppelte Einwilligung). Diese können Sie jederzeit mit Wirkung für die Zukunft widerrufen. 9.4 Telefonische Ansprache. Im geschäftlichen Verkehr können wir Sie unter den Voraussetzungen des § 7 Abs. 2 Nr. 2 UWG, also bei mutmaßlichem Interesse, telefonisch kontaktieren. Sie können dem jederzeit widersprechen.

10. Ihre Rechte

Sie haben uns gegenüber folgende Rechte:

Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung Ihrer Daten (Art. 17 DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht,
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerspruch gegen die Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht (Art. 21 DSGVO), einschließlich des Widerspruchs gegen die Nutzung Ihrer Eingaben zur Modellverbesserung,
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Bitte richten Sie Ihre Anfragen an privacy@arbio-group.com.

11. Beschwerderecht

Sie können sich jederzeit bei einer Datenschutzaufsichtsbehörde beschweren. Zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, mailbox@datenschutz-berlin.de.

12. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung an geänderte rechtliche oder tatsächliche Rahmenbedingungen anpassen. Wesentliche Änderungen kündigen wir innerhalb der Software oder per E-Mail an. Die jeweils aktuelle Fassung ist über die App und unter dem Link zu dieser Erklärung abrufbar.

English

Privacy Notice (Free Software) – EN

Controller: Arbio Group GmbH, Greifswalder Straße 212, 10405 Berlin, Germany HRB 279648 B, privacy@arbio-group.com Version 1.0, dated 28 May 2026 · The German version is binding; this is a courtesy translation.

1. Controller and data protection contact

The controller within the meaning of the GDPR is Arbio Group GmbH, Greifswalder Straße 212, 10405 Berlin, Germany. For data protection enquiries please contact us at privacy@arbio-group.com. Where we process personal data of third parties, in particular guest data, on your behalf, our data processing agreement applies in addition (separate page in this section). This privacy notice describes the processing operations for which we are the controller.

2. What data we process

2.1 Account and contract data. When you register and use your account, we process name, business email address, company, role, language and login data. 2.2 Usage data. During use of the software we process technical information such as IP address, browser and device data, time of use, accessed features, error logs and audit logs. 2.3 PMS connection data. We store the API key you provide in encrypted form. From the PMS we retrieve property and booking metadata. Personal guest data is removed prior to storage and is only processed transiently during the API call. 2.4 AI chat inputs. We process inputs to the AI chat (prompts), short audio recordings for speech-to-text where that function is used, and the related responses in order to provide the function, prevent misuse and further develop the function (see section 4). 2.5 Communication data. When you contact us, for example via support channels, we process your enquiry, your contact details and the communication history.

3. Purposes and legal bases

3.1 Performance of contract (Art. 6(1)(b) GDPR). Provision of the software, account administration, support and processing of any future paid services. 3.2 Legitimate interests (Art. 6(1)(f) GDPR). Ensuring the functionality and security of the software, fraud and abuse prevention, improving and developing the software, creating anonymised analyses, market analyses and benchmarks. Our interest lies in the economic operation and further development of the software; we have balanced it against your conflicting interests. 3.3 Consent (Art. 6(1)(a) GDPR). Sending marketing emails outside existing-customer communication and, where applicable, optional features that require express consent. 3.4 Legal obligations (Art. 6(1)(c) GDPR). Compliance with commercial, tax and regulatory retention and record-keeping obligations.

4. AI chat and use for training

4.1 AI notice. The chat area is provided by an AI system. You are not interacting with a natural person there. This information also serves to comply with Article 50 of Regulation (EU) 2024/1689 (the EU AI Act). 4.2 Processing to improve the models. We use inputs to the AI chat and the related analytics data by default to improve and further develop our models and features. Before such use, we automatically pseudonymise or anonymise the inputs to the extent technically possible and consistent with the purpose. The legal basis is our legitimate interest under Art. 6(1)(f) GDPR in improving our product. 4.3 Opt-out. You may object to this use at any time with effect for the future. The setting is available in your account under "Privacy and AI". After your objection we use your inputs only to provide the function and for fraud and abuse prevention. 4.4 Avoiding personal data in prompts. The AI chat processes inputs via the AI provider Google LLC and, where activated as a speech-to-text fallback, OpenAI, L.L.C.; their servers may also be located outside the EU (see section 7). For that reason, please do not enter any personal data of third parties into the chat, in particular no guest names, contact data or free-text notes. The data provided to the AI from your PMS connection is technically limited to financial and performance metrics; however, your own entries into the free input field are transmitted unfiltered to the provider. To the extent that you nevertheless enter personal data of third parties, you are responsible for the lawfulness of such inputs.

5. Aggregated and anonymised data

We derive aggregated and anonymised data sets from the data processed via the software and use them to improve the software, to produce market analyses and for benchmarking. These data sets cannot be attributed to an identified or identifiable natural person. Re-identification will not take place.

6. Recipients and processors

We use processors that support us in providing the software. The current list is available in Annex 2 of the DPA (separate page in this section). Specifically, these include:

Vercel Inc. (USA): hosting, edge network and application operation of the software;
Supabase, Inc. (Supabase Cloud EU) (USA/EU region Frankfurt): database, authentication, account management, encrypted PMS credentials and system account emails;
Google LLC, Gemini API (USA, global routing endpoints): AI inference and speech-to-text for the chat;
OpenAI, L.L.C. (USA): optional speech-to-text fallback where technically activated;
where applicable, product analytics and telemetry providers (pseudonymised). We share your data only with these processors or, where required by law, with authorities. No sharing of data with third parties for their advertising purposes takes place.

7. International transfers

Part of the processing takes place outside the European Union and the European Economic Area, in particular in the United States. This concerns in particular the hosting of the software by Vercel Inc., authentication and database operation by Supabase, Inc. and the AI inference or speech-to-text processing of the chat by Google LLC (Gemini API with global routing endpoints) and, where activated as a fallback, OpenAI, L.L.C. For these transfers we rely on the EU-US Data Privacy Framework (Commission adequacy decision) and, in addition, on EU Standard Contractual Clauses under Article 46(2)(c) GDPR. An overview of processors and the applicable safeguards is set out in Annex 2 of the DPA.

8. Retention

We retain personal data only for as long as required for the stated purposes:

Account and contract data: for the duration of the contractual relationship and until expiry of statutory retention periods, generally up to ten years after the end of the contract.
Usage data and audit logs: up to twelve months, for security and abuse analysis.
AI chat inputs: for provision of the function and, unless you object, for model improvement; otherwise erased within ninety days after termination of the contractual relationship.
Communication data: up to three years after the year-end of the last communication, unless longer retention obligations apply.

9. Marketing communication

9.1 In-product notices. Within the software we may inform you about our own features and extensions. The legal basis is Art. 6(1)(f) GDPR. 9.2 Emails about our own similar services. We may send you emails about our own similar services where the requirements of section 7(3) of the German Act Against Unfair Competition (UWG) are met. You may object to receiving such emails at any time, for example via the unsubscribe link in each email or by email to privacy@arbio-group.com. 9.3 Marketing emails with consent. For other marketing emails we obtain your express consent during onboarding (double opt-in). You may withdraw this consent at any time with effect for the future. 9.4 Telephone contact. In business dealings we may contact you by telephone under the requirements of section 7(2) no. 2 UWG, i.e. where presumed interest can reasonably be assumed. You may object to this at any time.

10. Your rights

You have the following rights vis-à-vis us:

access to the data stored about you (Art. 15 GDPR);
rectification of inaccurate data (Art. 16 GDPR);
erasure of your data (Art. 17 GDPR), unless a statutory retention obligation prevents this;
restriction of processing (Art. 18 GDPR);
data portability (Art. 20 GDPR);
objection to processing based on Art. 6(1)(f) GDPR (Art. 21 GDPR), including objection to the use of your inputs for model improvement;
withdrawal of consent with effect for the future (Art. 7(3) GDPR). Please send your requests to privacy@arbio-group.com.

11. Right to lodge a complaint

You may lodge a complaint with a data protection supervisory authority at any time. The competent authority is the Berlin Commissioner for Data Protection and Freedom of Information, Alt-Moabit 59-61, 10555 Berlin, mailbox@datenschutz-berlin.de.

12. Changes to this privacy notice

We may adapt this privacy notice to changes in legal or factual circumstances. We will inform you of material changes within the software or by email. The current version is available via the app and via the link to this notice.