Rechtliches
Subprozessoren
Stand: September 2026
Diese Seite listet alle Unterauftragsverarbeiter auf, die wir zur Erbringung unserer Leistung einsetzen. Sie ist Anlage 3 zur Vereinbarung zur Auftragsverarbeitung und wird laufend aktuell gehalten.
Mit jedem der genannten Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Verarbeitung findet in der EU oder im EWR statt.
1. Eingesetzte Subprozessoren
Diese Dienstleister sind für den Betrieb erforderlich und stets eingebunden:
| Anbieter | Zweck | Daten | Sitz | Gilt für |
|---|---|---|---|---|
| IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland Datenschutzhinweise | Hosting und Betrieb der Server, Datenbanken und Dateispeicher (virtueller Server, Rechenzentrum Deutschland); Versand und Empfang der System- und Transaktions-E-Mails über die dort geführten Postfächer (Registrierung, Passwort-Zurücksetzen, Portal-Einladungen, Serienbriefe, Gästenachrichten, Rechnungen als Anhang); Objektspeicher für Dokumente, Fotos und erzeugte PDF-Dateien | Alle in Locato verarbeiteten Daten, Server- und Zugriffsprotokolle sowie Empfängeradresse, Betreff, Nachrichtentext und Anhänge der versandten und empfangenen E-Mails | Deutschland | Beide Produkte |
| Mollie B.V., Keizersgracht 313, 1016 EE Amsterdam, Niederlande Datenschutzhinweise | Zahlungsabwicklung der Abonnement-Gebühren (Bezahlung der gebuchten Locato-Pakete durch den Kunden) — betrifft nur unsere eigene Abrechnung, keine Mandantendaten der Kunden | Name, Rechnungsdaten sowie Zahlungsmittel- und Transaktionsdaten des zahlenden Kontoinhabers (Zahlungsmittel werden bei Mollie verarbeitet, nicht bei Locato) | Niederlande (EU) | Beide Produkte |
| Steuerberatungskanzlei | Buchhaltung und Erfüllung steuerlicher Pflichten von Locato (betrifft nur unsere eigenen Vertrags- und Abrechnungsdaten, keine Mandantendaten der Kunden) | Rechnungs- und Vertragsdaten der Kunden | Deutschland | Website |
2. Optional zuschaltbare Dienste
Diese Dienste sind nur eingebunden, wenn der Kunde die zugehörige Funktion nutzt oder wir sie für seinen Mandanten konfiguriert haben. Nutzt der Kunde die Funktion nicht, findet keine Übermittlung statt.
| Anbieter | Zweck | Daten | Sitz | Gilt für |
|---|---|---|---|---|
| Enable Banking Oy, Helsinki, Finnland Datenschutzhinweise | Kontoinformationsdienst nach PSD2 (Abruf von Kontoumsätzen nach ausdrücklicher Zustimmung des Kunden bei seiner Bank) | Kontobezeichnung, IBAN, Kontoumsätze einschließlich Verwendungszweck sowie Name und IBAN der Gegenpartei | Finnland (EU) | Verwaltung |
| GoCardless Ltd., Sutton Yard, 65 Goswell Road, London EC1V 7EN, Vereinigtes Königreich Datenschutzhinweise | Kontoinformationsdienst nach PSD2 („Bank Account Data“, ehemals Nordigen) — alternativer Aggregator zum Abruf von Kontoumsätzen nach ausdrücklicher Zustimmung des Kunden bei seiner Bank | Kontobezeichnung, IBAN, Kontoumsätze einschließlich Verwendungszweck sowie Name und IBAN der Gegenpartei | Vereinigtes Königreich (Angemessenheitsbeschluss der EU-Kommission vom 28.06.2021) | Verwaltung |
| Kreditinstitut des Kunden (EBICS-Zugang) | Direkter Abruf von Kontoauszügen (camt.053) über den vom Kunden bei seiner Bank eingerichteten EBICS-Teilnehmerzugang | Zugangsparameter des Teilnehmerzugangs sowie Kontoumsätze einschließlich Verwendungszweck und Gegenpartei | abhängig vom Kreditinstitut, regelmäßig Deutschland | Verwaltung |
| Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich Datenschutzhinweise | Versand der E-Mails mit Produktneuigkeiten und Angeboten an Personen, die dem ausdrücklich zugestimmt und die Anmeldung bestätigt haben, einschließlich der Erfolgsmessung (Öffnungen und Klicks) auf Grundlage derselben Einwilligung. Ausschließlich hierfür — die System- und Transaktions-E-Mails beider Produkte laufen über IONOS | E-Mail-Adresse, Name, Unternehmen, genutztes Produkt, Zeitpunkt und Herkunft der Einwilligung sowie Öffnungs- und Klickdaten der versendeten E-Mails (Zeitpunkt, angeklickter Link, IP-Adresse, E-Mail-Programm und Gerät) | EU (Frankreich) | Beide Produkte |
| Traum-Ferienwohnungen GmbH, Alte Poststraße 4, 24937 Flensburg, Deutschland Datenschutzhinweise | Anbindung des Buchungsportals über dessen Programmierschnittstelle, sofern der Kunde einen solchen Kanal einrichtet: Übertragung von Belegungssperren und Tagespreisen an das Portal sowie Abruf von Belegungen und Anfragen | An das Portal gehen ausschließlich Zeiträume und Tagespreise — keine Gastdaten. Vom Portal empfangen werden Vor- und Nachname, E-Mail-Adresse und Telefonnummer der Gäste sowie An- und Abreise, Personenzahl und Preis | Deutschland | Ferienwohnung |
| Identitätsanbieter des Kunden (OpenID Connect) | Optionale Anmeldung über das vom Kunden betriebene Single-Sign-on (z. B. Microsoft Entra ID, Google Workspace, Keycloak) | E-Mail-Adresse und Anmeldekennung der Nutzer des Kunden | abhängig vom Anbieter des Kunden | Beide Produkte |
Übermittlungen auf Weisung des Kunden
Richtet ein Kunde eine Schnittstelle zu einem Drittsystem ein, erfolgt die Übermittlung auf seine Weisung und in seiner Verantwortung. Das betrifft insbesondere:
- den Abruf fremder Belegungskalender und die Bereitstellung des eigenen Export-Kalenders gegenüber Buchungsportalen wie Airbnb, Booking.com und Vrbo. Beim Abruf übermitteln wir keine Daten an das Portal; der von uns bereitgestellte Export-Kalender kann von dem Portal abgerufen werden und enthält Belegungszeiträume sowie den Namen des Gastes,
- die Anbindung des Portals Traum-Ferienwohnungen über dessen Programmierschnittstelle. Dorthin übertragen wir Belegungszeiträume und Tagespreise — keine Gastdaten. In der Gegenrichtung empfangen wir Namen, E-Mail-Adressen und Telefonnummern der Gäste. Der Abruf läuft über die Zugangsdaten des Kunden; ein Sammelkonto betreiben wir nicht,
- den Abruf von Kontoumsätzen über einen Kontoinformationsdienst nach der Zahlungsdiensterichtlinie oder über einen EBICS-Teilnehmerzugang, den der Kunde bei seiner Bank einrichtet,
- den Abruf und Versand von E-Mails über ein Postfach des Kunden bei dessen eigenem Anbieter,
- die Anmeldung über einen Identitätsanbieter des Kunden.
3. Dienste, die wir nicht einsetzen
Zur Klarstellung — diese in der Branche verbreiteten Dienste sind bei uns nicht eingebunden, weder auf der Website noch in den Produkten:
- Kein Werbe- und Reichweiten-Tracking auf der Website und in den Produkten: kein Google Analytics, Google Ads, Google Tag Manager, Meta-Pixel, LinkedIn Insight Tag, Microsoft Advertising, Hotjar, PostHog, Matomo, Mixpanel oder Segment. Die Erfolgsmessung unserer Werbe-E-Mails findet davon getrennt im E-Mail-Programm der Empfänger statt und beruht auf deren ausdrücklicher Einwilligung.
- Keine Abwicklung von Gästezahlungen: Zahlungen deiner Gäste wickeln wir im Produkt nicht ab — kein Stripe, PayPal, Adyen, Chargebee oder Klarna für Gästezahlungen. Für die Abrechnung der Locato-Abonnement-Gebühren setzen wir hingegen den Zahlungsdienstleister Mollie ein (Sitz Niederlande, EU — siehe Abschnitt 1); Kartendaten verarbeiten wir dabei nicht selbst.
- Kein KI- oder Sprachmodelldienst: kein OpenAI, Anthropic, Google Gemini, Groq, Mistral oder Azure OpenAI. Belegerkennung und Texterkennung laufen lokal auf unserem Server.
- Kein externer Erkennungsdienst für Dokumente, etwa Google Vision, AWS Textract oder Azure Form Recognizer.
- Kein Karten- oder Geodienst: kein Google Maps und kein Mapbox.
- Kein Chat-Widget eines Drittanbieters, etwa Intercom, Zendesk Chat oder Crowdcast.
- Kein Video- oder Konferenzdienst: Online-Eigentümerversammlungen über eine integrierte Videokonferenz bieten wir nicht an.
- Kein Signaturdienst: kein DocuSign, Yousign oder Adobe Sign. Unterschriften auf Übergabeprotokollen werden im Browser gezeichnet und bei uns gespeichert.
- Kein SMS-, WhatsApp- oder Briefversanddienst.
- Keine Datenübertragung an DATEV: der DATEV-Export erzeugt eine Datei, die der Kunde selbst herunterlädt und weitergibt.
- Kein Bot-Erkennungsdienst wie Google reCAPTCHA, hCaptcha oder Cloudflare Turnstile; öffentliche Formulare sind über eine Begrenzung der Anfragehäufigkeit und ein unsichtbares Prüffeld geschützt.
- Kein externer Dienst für Fehler-Monitoring wie Sentry, Datadog, New Relic oder Bugsnag. Fehler werden in den Protokollen unserer eigenen Server erfasst; es gehen keine Stapelspuren, Anfragepfade oder IP-Adressen an einen Dritten. Beide Anwendungen starten nicht, wenn ein solcher Dienst konfiguriert wird, ohne dass diese Liste zuvor nachgezogen wurde.
- Kein Content-Delivery-Netzwerk für Skripte, Stylesheets oder Bilder und kein Schriften-Netzwerk — insbesondere keine Google Fonts. Schriftarten werden mit dem Build ausgeliefert und von unseren eigenen Servern geladen.
Damit besteht keine Verbindung zu einem Anbieter außerhalb der EU — weder auf locato.immo noch in einem der beiden Produkte, und auch nicht mittelbar über Schriftarten oder eingebettete Inhalte. Siehe Abschnitt 16 der Datenschutzerklärung.
4. Änderungen und Widerspruchsrecht
Beabsichtigen wir, einen weiteren Subprozessor einzusetzen oder einen bestehenden zu ersetzen, teilen wir das unseren Kunden mindestens 30 Tage vorher in Textform an die im Konto hinterlegte Adresse mit und aktualisieren diese Seite. Kunden können innerhalb von 14 Tagen nach Zugang der Mitteilung aus einem datenschutzrechtlichen Grund widersprechen; die Folgen regelt Abschnitt 9 der AVV.
Möchtest du über Änderungen dieser Liste benachrichtigt werden, ohne Kunde zu sein, genügt eine Nachricht an datenschutz@locato.immo.