1. 01

   Zwei Rollen

   Wessen Daten	Unsere Rolle	Wer verantwortet
   Nutzer der App (Vermieter, Manager, Mitglieder des Reinigungsteams), Besucher der Website	Verantwortlicher	wir
   Gäste und weitere Personen, die der Vermieter in der App erfasst	Auftragsverarbeiter	der Vermieter als Verantwortlicher; wir nach dem Auftragsverarbeitungsvertrag

   Die Abschnitte 2–6 beschreiben Verarbeitungen, bei denen wir Verantwortlicher sind. Abschnitt 7 richtet sich an Gäste.

2. 02

   Nutzerdaten: was, wozu, auf welcher Grundlage, wie lange

   Daten	Zweck	Rechtsgrundlage	Dauer
   Name, E-Mail, Telefon, Passwort-Hash, 2FA-Einstellungen, Profilfoto, Kundennummer	Führung des Kontos, Bestätigung der E-Mail-Adresse bei der Registrierung, Anmeldung, Passwortwiederherstellung; die Kundennummer dient als Verwendungszweck für Zahlungen und zur Identifikation auf Rechnungen und im Kontakt mit dem Support	Vertragserfüllung (Art. 6 Abs. 1 lit. b)	Dauer des Kontos + 30 Tage
   Rechnungsdaten (Name, IČO, USt-IdNr., Anschrift), Rechnungen, Zahlungen	Abrechnung, Buchhaltung, Umsatzsteuer	Vertragserfüllung; rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)	10 Jahre ab Ende des Ausstellungsjahres
   Daten des Vermieters für Meldungen: Name und Anschrift der Betriebsstätte, IDUB, Zugangsdaten für UbyPort und das Datenpostfach, iCal-Links, API-Schlüssel der Plattformen, Kontonummern und Verwendungszwecke für die Gebühr	Übermittlung von Meldungen und Synchronisation in Ihrem Namen	Vertragserfüllung	Dauer des Kontos; Zugangsdaten verschlüsselt, jederzeit von Ihnen selbst löschbar
   Anmeldeprotokolle (Zeit, IP-Adresse, Browser); Betriebsprotokoll der Kontoereignisse: erfolgreiche und abgelehnte Aktionen mit Fehlertext und Fehlercode, Anmeldungen, versandte E-Mails, Ergebnisse von Aufrufen externer Dienste (ohne personenbezogene Daten der Gäste); Sicherheitsaudit einschließlich Support-Zugriffen auf das Konto (wer, wann, auf welches Konto, was durchgeführt wurde)	Support (Auffinden eines Ereignisses anhand des Fehlercodes), Kontosicherheit, Nachweis, Abwehr von Angriffen	berechtigtes Interesse (Art. 6 Abs. 1 lit. f)	Anmeldungen und Ereignisprotokoll 12 Monate; Audit 3 Jahre
   Übermittlungsprotokolle (Zeit, Inhalt, Ergebnis, Zustellnachweis)	Nachweis, dass die Meldung abgesendet wurde	Vertragserfüllung	wie die zugehörigen Gästedaten (Abschnitt 7)
   E-Mail-Kommunikation mit dem Support	Bearbeitung der Anfrage	Vertragserfüllung; berechtigtes Interesse	3 Jahre ab Erledigung
   Vertrag, Protokoll der Annahme der Bedingungen (Zeit, Fassung, IP), wesentliche Korrespondenz	Geltendmachung und Verteidigung von Rechtsansprüchen	berechtigtes Interesse	3 Jahre nach Vertragsende, bei geltend gemachten Ansprüchen bis zu deren Erledigung
   Betriebs- und Vertragsmitteilungen per E-Mail an die Anmelde-Adresse des Kontoinhabers und in der App (fehlgeschlagene Übermittlung, Ende der Testphase, Rechnung und Mahnungen, Änderung der Preisliste oder der Bedingungen, Wartung, Datum der Kontolöschung)	Erbringung der Leistung und Vertragserfüllung; es handelt sich nicht um Werbung, eine Abmeldung ist nicht möglich	Vertragserfüllung	für die Dauer des Kontos
   Werbliche Mitteilungen über Neuigkeiten zu Ubyo an Bestandskunden	Information über die Leistung	berechtigtes Interesse; § 7 Abs. 3 des tschechischen Gesetzes Nr. 480/2004 Slg.; Widerspruch über den Link in jeder E-Mail	bis zum Widerspruch
   Kennungen zur Dublettenprüfung: IČO, IDUB, iCal-Links, Objektkennungen aus angebundenen Plattformen, Anschrift des Apartments — wir gleichen sie kontenübergreifend ab	Verhinderung einer wiederholten Testphase und einer doppelten Meldung desselben Apartments	berechtigtes Interesse (Art. 6 Abs. 1 lit. f)	Dauer des Kontos; nach Löschung des Kontos bewahren wir 12 Monate lang nur Einweg-Hashes dieser Kennungen zusammen mit der Kundennummer auf — aus einem Hash lassen sich die Daten nicht zurückgewinnen

   Jede Fehlermeldung in der App trägt einen kurzen Fehlercode; teilen Sie ihn dem Support mit, finden wir das Ereignis im Betriebsprotokoll. Jeder Support-Zugriff auf Ihr Konto (Support-Modus) wird in unserem Sicherheitsaudit protokolliert.

   Daten von Mitgliedern des Reinigungsteams und Managern (Name, E-Mail, Telefon, Anmeldungen) verarbeiten wir in der Rolle des Auftragsverarbeiters für den Vermieter. Das Reinigungsteam sieht keine Gästedaten, nur Termine und den Zustand des Apartments.

3. 03

   An wen wir Daten weitergeben

   • WEDOS, a.s. — WEDOS Global Protection (Hluboká nad Vltavou, Tschechien) — Schutznetz, über das der gesamte Verkehr der Website und der App läuft: es filtert Angriffe und Bots und prüft dabei auch den verschlüsselten Verkehr. Es speichert nichts; ein Besucher außerhalb der EU kann von einem Knoten außerhalb der EU bedient werden.
   • WEDOS Internet, a.s. (Hluboká nad Vltavou, Tschechien) — Hosting der App, Datenbank, Backups, E-Mail-Versand. Die Daten werden in Tschechien gespeichert.
   • Cloudflare, Inc. (San Francisco, USA) — Backup-Tresor R2 in der EU: die Backup-Kopien sind mit einem Schlüssel verschlüsselt, den Cloudflare nicht hat, und daher für Cloudflare unlesbar; und Turnstile — eine Prüfung, dass die Registrierung eines neuen Kontos von einem Menschen gesendet wird (technische Daten zu Browser und Adresse des Besuchers; Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert).
   • Polizei der Tschechischen Republik (UbyPort), Informationssystem der Datenpostfächer, Gemeindeämter — nur wenn Sie die Übermittlung auslösen (oder die automatische Übermittlung einschalten); sie sind eigenständige Verantwortliche.
   • Plattformen und PMS (Airbnb, Booking.com, Hospitable, Smoobu, Beds24 und weitere) — nur wenn Sie die Anbindung selbst einrichten; Daten übermitteln wir dorthin nur im Umfang der Nachrichten an Gäste, die Sie selbst versenden.
   • Open-Meteo (Wettervorhersage im Gästeportal) — erhält nur den Ortsnamen des Apartments, keine personenbezogenen Daten.
   • Behörden, soweit gesetzlich vorgeschrieben; Rechtsbeistand im Streitfall.

   Wir speichern keine Daten außerhalb der Europäischen Union; einzige Ausnahme ist die Durchleitung des Verkehrs über das Schutznetz WEDOS Global bei Besuchern, die aus Ländern außerhalb der EU auf uns zugreifen, sowie die technischen Daten der Turnstile-Prüfung bei der Registrierung (Cloudflare, USA, EU-U.S. Data Privacy Framework). Die aktuelle Liste der Unterauftragsverarbeiter: ubyo.cz/zpracovatele. Änderungen teilen wir den Nutzern 14 Tage im Voraus per E-Mail mit.

4. 04

   Sicherheit

   Verschlüsselte Verbindung (HTTPS), Passwörter nur als Hash gespeichert (bcrypt), Zugangsdaten für UbyPort, Datenpostfächer und Plattformen mit AES-256-GCM verschlüsselt, der Schlüssel liegt außerhalb des Web-Stammverzeichnisses — die Administratoren der App sehen sie nicht, optionale Zwei-Faktor-Authentifizierung für Nutzer, Trennung der Daten einzelner Kunden, Begrenzung der Anmeldeversuche, verschlüsselte tägliche Backups (14 Tage) und ein monatliches Archiv (3 Monate), Prüfung hochgeladener Dateien. Die Administratoren der App haben jeweils ein eigenes Konto mit verpflichtender Zwei-Faktor-Authentifizierung, ihre Tätigkeit wird auditiert, und auf Gästedaten greifen sie nur im Support-Modus zu (auf Ihre Veranlassung oder zur Behebung eines Betriebsproblems; jeder Zugriff wird im Audit protokolliert). Eine Verletzung des Schutzes personenbezogener Daten melden wir dem tschechischen Amt für den Schutz personenbezogener Daten binnen 72 Stunden und den betroffenen Nutzern unverzüglich.

5. 05

   Cookies und Website

   Die App verwendet nur technisch notwendige Cookies und Browser-Speicher (Anmeldung, CSRF-Schutz, Merken eines Geräts für 2FA, gespeicherte Anzeigeeinstellungen). Eine Einwilligung ist dafür nicht erforderlich. Website und App laden Schriften vom eigenen Server, nicht von Google. Auf ubyo.cz setzen wir keine Analyse- oder Werbewerkzeuge Dritter und keine Mess-Cookies ein. Die Besucherzahlen messen wir mit einem eigenen Werkzeug ohne Cookies: zu einem Besuch speichern wir Seite, Zeit, Sprache, Geräte- und Browsertyp, das aus der IP-Adresse über eine lokale Datenbank abgeleitete Land und die Stadt (die IP-Adresse selbst wird nicht gespeichert, nur ihr täglicher Einweg-Fingerabdruck zur Unterscheidung der Besuche), gegebenenfalls die Verweisquelle und die Lesedauer. Einzelne Einträge löschen wir nach 90 Tagen, danach bleiben nur Summenzahlen ohne Personenbezug. Der Server speichert außerdem übliche Zugriffsprotokolle (IP-Adresse, Zeit, Seite) so lange, wie es für Betrieb und Sicherheit erforderlich ist, höchstens jedoch 12 Monate.

6. 06

   Ihre Rechte

   Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit, das Recht auf Widerspruch gegen eine Verarbeitung auf Grundlage des berechtigten Interesses sowie das Recht auf Beschwerde beim tschechischen Amt für den Schutz personenbezogener Daten (Pplk. Sochora 27, 170 00 Prag 7, uoou.gov.cz).

   Das meiste erledigen Sie selbst in der App: Kontodaten in den Einstellungen, Export aller Daten und Kündigung des Kontos unter Konto → Daten und Privatsphäre. Nach der Kündigung haben Sie 30 Tage Zeit, Ihre Daten herunterzuladen; das Löschdatum teilen wir Ihnen per E-Mail mit, und bis dahin können Sie die Kündigung in der App widerrufen. Sonstige Anträge senden Sie an info@ubyo.cz; wir antworten binnen 30 Tagen. Bei offenkundig unbegründeten oder wiederholten Anträgen können wir ein angemessenes Entgelt verlangen oder den Antrag ablehnen. Eine Löschung ist nicht möglich bei Daten, die wir gesetzlich aufbewahren müssen (Rechnungen) oder zur Verteidigung von Ansprüchen benötigen. In der App findet keine automatisierte Entscheidungsfindung mit Rechtswirkung statt; ein Treffer auf einer Sanktionsliste ist nur ein Hinweis an den Vermieter, der selbst entscheidet.

7. 07

   Gästedaten — Informationen für Gäste

   Wenn Sie den Online-Check-in bei einem Vermieter ausfüllen, der Ubyo nutzt, gilt Folgendes:

   • Verantwortlicher für Ihre Daten ist der Vermieter, dessen Name und Kontakt Sie im Check-in-Formular und in der Buchung sehen. An ihn richten Sie Anträge auf Auskunft, Berichtigung oder Löschung; wir unterstützen ihn dabei.
   • Warum: Der Vermieter ist gesetzlich verpflichtet, ein Meldebuch zu führen (Gesetz Nr. 565/1990 Slg. über örtliche Gebühren) und bei ausländischen Gästen ein Hausbuch zu führen sowie die Unterbringung binnen 3 Werktagen der Polizei der Tschechischen Republik zu melden (Gesetz Nr. 326/1999 Slg. über den Aufenthalt von Ausländern). Es handelt sich um die Erfüllung einer rechtlichen Verpflichtung des Vermieters; Ihre Einwilligung ist nicht erforderlich. Das Kontrollkästchen im Check-in ist eine Bestätigung der Richtigkeit der Angaben, keine Einwilligung.
   • Was: Vor- und Nachname, Geburtsdatum, Staatsangehörigkeit, Wohnanschrift, Nummer des Reisedokuments (bei Ausländern zusätzlich Visumnummer und Aufenthaltszweck), Dauer der Unterbringung, Unterschrift; E-Mail und Telefon für die Kommunikation zum Aufenthalt. Eine Kopie des Dokuments wird nicht angefertigt.
   • Woher: von Ihnen aus dem Check-in; Name, Termin und Kontakt auch aus der Buchung, die der Vermieter über eine Plattform (Airbnb, Booking.com, ein anderes System) erhalten hat, oder vom Vermieter.
   • Sanktionsprüfung: Der Name wird mit den veröffentlichten Sanktionslisten der EU und Tschechiens abgeglichen, damit der Vermieter nicht gegen das Verbot der Leistungserbringung an sanktionierte Personen verstößt. Der Abgleich erfolgt in der App, wird nirgendwohin übermittelt, und das Ergebnis sieht nur der Vermieter.
   • Wie lange: 6 Jahre ab Ende des Aufenthalts (gesetzliche Frist für beide Bücher); danach anonymisiert die App die Daten automatisch. Länger nur, wenn der Vermieter es schriftlich beantragt (z. B. wegen einer laufenden Prüfung oder eines laufenden Verfahrens) — den Rechtsgrund trägt dann er.
   • An wen: die Polizei der Tschechischen Republik (nur bei Ausländern, über das System UbyPort), das Gemeindeamt (Unterlagen zur Gebühr), den Hoster WEDOS in Tschechien (Speicherung). An niemanden sonst; eine Übermittlung außerhalb der EU findet nicht statt.
8. 08

   Änderungen

   Wir können diese Hinweise aktualisieren; über wesentliche Änderungen informieren wir die Nutzer per E-Mail. Gültig ab 1. 10. 2026. Fassung 3.

Betreiber: Sierra Apartments s.r.o., Františka Diviše 1603/20A, 104 00 Prag, Tschechien, Firmen-ID 21803285 · Datenbox gw6xygi, info@ubyo.cz.