Datenschutzerklärung
für die App „Apaleo Kassenbuch“ · Stand: 12. Oktober 2026
1. Verantwortlicher
AGI Research GmbH
vertreten durch den Geschäftsführer Ambros Gleißner
Saarstr. 26
55424 Münster-Sarmsheim
Deutschland
Telefon: 06721-9498954
E-Mail: info@agi-research.de
Web: https://agi-research.de/ · Impressum
Ein Datenschutzbeauftragter ist nicht bestellt, da keine gesetzliche Pflicht dazu besteht. Bei Fragen zum Datenschutz erreichen Sie uns unter der oben genannten E-Mail-Adresse.
2. Worum es geht
Das „Apaleo Kassenbuch“ ist ein digitales Bar-Kassenbuch für Hotels, die das Property-Management-System
Apaleo nutzen. Die App übernimmt Barzahlungen aus Apaleo, erfasst Einlagen,
Entnahmen und Ausgaben und bietet einen Excel-Export. Sie läuft unter
https://apaleo-petty-cash.agi-research.info und eingebettet in der Apaleo-Oberfläche.
Diese Erklärung informiert nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten dabei verarbeitet werden.
3. Rollen: Wer ist wofür verantwortlich?
| Daten | Verantwortlich | Unsere Rolle |
|---|---|---|
| Kassenbuch-Daten des Hotels (Buchungen, Mitarbeiternamen, Apaleo-Daten) | Das jeweilige Hotel bzw. der Apaleo-Account-Inhaber | Auftragsverarbeiter nach Art. 28 DSGVO |
| Technischer Betrieb (Server-Logs, Sitzungs-Cookies, Sicherheit) | AGI Research | Verantwortlicher |
Für Daten, die wir im Auftrag eines Hotels verarbeiten, wenden sich Betroffene (z. B. Mitarbeitende) bitte zuerst an das Hotel. Wir unterstützen das Hotel bei der Erfüllung Ihrer Rechte.
4. Welche Daten wir verarbeiten
4.1 Anmeldung über Apaleo
Die Anmeldung erfolgt ausschließlich über Apaleo (OAuth 2.0). Wir sehen und speichern kein Apaleo-Passwort. Verarbeitet werden:
- Apaleo-Account-Code und Hotel-ID (Property-ID), Hotelname, Währung
- Apaleo-Benutzerkennung (Subject-ID) der angemeldeten Person
- Zugriffs- und Aktualisierungs-Token für die Apaleo-API (verschlüsselt gespeichert)
Zweck: Anmeldung, Zuordnung zum richtigen Hotel, Abruf der Barzahlungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) bzw. für das Hotel Art. 28 DSGVO.
4.2 Mitarbeiterdaten aus Apaleo
Damit nachvollziehbar ist, wer eine Buchung erfasst hat, liest die App die aktiven Benutzer des Apaleo-Accounts (Subject-ID, Vor- und Nachname, E-Mail-Adresse, Rollen bzw. Hotelzugriff). Diese Liste wird bei Bedarf live von Apaleo geladen und nicht dauerhaft gespeichert. Im Kassenbuch selbst werden je Buchung nur Subject-ID und Name der handelnden bzw. erfassenden Person sowie der Zeitpunkt gespeichert.
Zusätzlich speichert die App die vom Hotel vergebenen Berechtigungen für das Kassenbuch (welche Subject-ID was darf).
Zweck: Revisionssichere Kassenführung, Rechteverwaltung. Rechtsgrundlage (für das Hotel): Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 146, § 147 AO und GoBD sowie Art. 6 Abs. 1 lit. b DSGVO, § 26 BDSG.
4.3 Kassenbuch-Einträge
- Datum, Art, Betrag, Währung, Beschreibung und ggf. Belegnummer einer Buchung
- Bei Barzahlungen aus Apaleo: Folio-ID und Payment-ID. Gastnamen werden nicht übernommen. Bei Rückzahlungen kann ein in Apaleo erfasster Grund (Freitext) übernommen werden.
- Stornos als Gegenbuchung (es wird nichts gelöscht, sondern ausgeglichen)
Bitte tragen Sie in Freitextfelder keine unnötigen personenbezogenen Daten ein, insbesondere keine Gastdaten oder Gesundheitsdaten.
4.4 Webhooks von Apaleo
Apaleo meldet neue Zahlungen per Webhook an die App. Die Meldung enthält nur technische Kennungen (z. B. Account, Hotel, Folio). Die App liest daraufhin das betroffene Folio über die Apaleo-API.
4.5 Server-Logs
Beim Aufruf der App verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, Browser-Kennung (User-Agent) sowie Fehlermeldungen. Diese Daten dienen dem sicheren Betrieb, der Fehlersuche und der Abwehr von Angriffen. Sie werden nicht mit anderen Daten zusammengeführt und nach kurzer Zeit automatisch gelöscht (in der Regel nach höchstens 7 Tagen).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).
5. Cookies
Die App setzt ausschließlich technisch notwendige Cookies. Es gibt keine Tracking-, Analyse- oder Werbe-Cookies, deshalb ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
| Name | Zweck | Dauer |
|---|---|---|
pcb_session | Verschlüsselte Sitzung (Account, Hotel, Benutzerkennung) | 30 Tage |
pcb_oauth_state | Schutz der Apaleo-Anmeldung vor Fälschung (CSRF) | 10 Minuten |
pcb_apaleo_return | Merkt sich das Hotel während der Anmeldung | 10 Minuten |
pcb_login_mode | Merkt sich die Art der Anmeldung (z. B. im Apaleo-Fenster) | 10 Minuten |
Alle Cookies sind HttpOnly und Secure, also für Skripte nicht lesbar und nur über HTTPS übertragen. Innerhalb von Apaleo werden sie „partitioniert“ gesetzt, d. h. sie gelten nur für die App in diesem Kontext.
6. Empfänger und Dienstleister
Wir geben Daten nicht an Dritte weiter, verkaufen keine Daten und nutzen sie nicht für Werbung. Für den Betrieb setzen wir folgende Dienstleister ein, jeweils mit Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO):
6.1 Cloudflare (Hosting)
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Die App läuft als Cloudflare Worker in einem weltweiten Netz von Rechenzentren. Dabei werden insbesondere IP-Adressen und Server-Logs verarbeitet. Eine Übermittlung in die USA ist möglich. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten EU-Standardvertragsklauseln. Datenschutz: cloudflare.com/privacypolicy
6.2 Supabase (Datenbank)
Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992. Die Datenbank (PostgreSQL) mit Kassenbuch, Einstellungen und Berechtigungen liegt in einem Rechenzentrum von Amazon Web Services in London (Region eu-west-2). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Für mögliche Zugriffe außerhalb davon gelten EU-Standardvertragsklauseln. Datenschutz: supabase.com/privacy
6.3 Apaleo (Datenquelle)
apaleo GmbH, München, Deutschland. Apaleo ist das System des Hotels. Die App ruft Daten von dort ab (Hotels, Benutzer,
Folios, Zahlungen) und empfängt Webhooks. Für die Daten in Apaleo ist das Hotel verantwortlich.
Wird die App in Apaleo eingebettet, lädt der Browser ein kleines Skript von cdn.apaleo.com, damit sich
das Fenster an die Höhe anpasst. Dabei wird Ihre IP-Adresse an Apaleo übertragen.
Datenschutz: apaleo.com/privacy-policy
Schriftarten werden von unserem eigenen Server geladen, es werden dafür keine Daten an Google oder andere Anbieter übertragen.
7. Speicherdauer
- Kassenbuch-Einträge: solange das Hotel die App nutzt bzw. bis das Hotel sie löscht. Die gesetzlichen Aufbewahrungsfristen (in der Regel 10 Jahre nach § 147 AO) liegen in der Verantwortung des Hotels; wir empfehlen den regelmäßigen Excel-Export.
- Apaleo-Token und Einstellungen: bis die Verbindung getrennt oder das Konto gelöscht wird.
- Mitarbeiterliste: nicht gespeichert, nur live geladen.
- Cookies: siehe Tabelle oben.
- Server-Logs: in der Regel höchstens 7 Tage.
Nach Ende der Zusammenarbeit löschen wir die Daten eines Hotels auf Anfrage, sofern keine gesetzliche Pflicht zur Aufbewahrung entgegensteht.
8. Sicherheit
- Verbindungen nur verschlüsselt über HTTPS (inkl. HSTS)
- Sitzungen und Apaleo-Token werden verschlüsselt gespeichert
- Strikte Trennung der Mandanten: Jede Abfrage ist auf den Apaleo-Account und das Hotel beschränkt
- Rechteverwaltung innerhalb des Hotels, Schutz gegen CSRF, keine Zwischenspeicherung sensibler Antworten
- Buchungen werden storniert statt gelöscht, damit die Historie nachvollziehbar bleibt; ein Journal löschen dürfen nur Admins
- Mitarbeiter sehen nur Hotels, die für sie in apaleo freigegeben sind, und buchen nur mit den Rechten, die ein Admin vergeben hat
9. Kein Tracking, keine automatisierten Entscheidungen
Die App nutzt keine Analyse- oder Tracking-Dienste, keine Werbung und keine Profilbildung. Es findet keine automatisierte Entscheidungsfindung nach Art. 22 DSGVO statt.
10. Pflicht zur Bereitstellung
Ohne Anmeldung über Apaleo und die genannten technischen Daten kann die App nicht genutzt werden. Eine gesetzliche Pflicht zur Nutzung der App besteht nicht.
11. Ihre Rechte
Sie haben nach der DSGVO das Recht auf:
- Auskunft (Art. 15)
- Berichtigung (Art. 16)
- Löschung (Art. 17), soweit keine Aufbewahrungspflicht besteht
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20)
- Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, aus Gründen, die sich aus Ihrer besonderen Situation ergeben
- Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), z. B. der für Ihren Wohnort oder für unseren Sitz zuständigen Behörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz
Für eine Anfrage genügt eine E-Mail an info@agi-research.de.
12. Änderungen
Wir passen diese Erklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.