The Haus — Portugal Alegria · Santa Bárbara I · Santa Bárbara II — Lisbon

Version 2.0 · Effective 3 August 2026This version supersedes the previous version in its entirety.

1. SCOPE

This Policy describes the processing of personal data carried out by The Haus in Portugal, under Regulation (EU) 2016/679 (GDPR) and Lei n.º 58/2019, de 8 de agosto (Portuguese Data Protection Implementation Act), which ensures its execution within the national legal order.

It applies to guests, accompanying persons, visitors, business contacts and users of the website www.the-haus.co, in connection with the accommodation units located in Lisbon.

This Policy is supplemented by the Booking Terms and Conditions, the House Rules of the Unit and the Cookie Policy. In data protection matters, this Policy prevails.

Note: the Nuremberg units (The Haus KAI and The Haus HANS) are operated by a separate entity, subject to German law, and are governed by their own policy available at www.the-haus.co/datenschutz.

2. DATA CONTROLLER

Short Conclusion — Mediação e Gestão Imobiliária, Lda. Rua Domingos Sequeira, 27, Lisbon, Portugal NIPC (corporate tax number): [to be inserted] Registo Nacional de Alojamento Local (RNAL) (National Register of Local Accommodation): [to be inserted, per unit] Email: info@the-haus.co Data protection contact: privacidade@the-haus.co

Data Protection Officer (DPO): none has been appointed, as the conditions set out in Article 37 GDPR and in artigo 12.º da Lei n.º 58/2019 are not met. This assessment is reviewed annually and, should it change, this Policy will be updated.

3. CATEGORIES OF DATA PROCESSED

Special categories of data (Article 9 GDPR) are processed only where the data subject discloses them — for example, accessibility needs or food allergies — on the basis of their explicit consent (Article 9(2)(a)), or where they are strictly necessary for the establishment, exercise or defence of legal claims (Article 9(2)(f)).

Minors: the contract is concluded exclusively with persons aged 18 or over. Data of accompanying minors is processed only to the extent strictly necessary to comply with accommodation and statutory reporting obligations, under the responsibility of the adult making the booking.

4. PURPOSES AND LEGAL BASES

The legitimate interests relied upon are: the proper performance of the stay, the safety of the premises, guests, neighbours and staff, the protection of the company's assets, and the establishment, exercise and defence of legal claims.

5. REPORTING OF ACCOMMODATION BULLETINS (SIBA)

5.1 The Haus is under a legal obligation to report to the competent authorities the arrival and departure of foreign nationals, through the Sistema de Informação de Boletins de Alojamento (SIBA) (Accommodation Bulletin Information System), currently under the remit of AIMA — Agência para a Integração, Migrações e Asilo, successor to SEF.

5.2 The report is made within three working days of the guest's arrival and includes name, date of birth, nationality, document type and number, country of residence, and arrival and departure dates.

5.3 This reporting does not depend on consent and cannot be refused by the guest. Refusal to present a valid identification document prevents the accommodation from being formalised.

5.4 A copy of the identification document is collected only where necessary for the verification and fulfilment of this obligation and is retained in accordance with section 9.

6. PAYMENT DATA AND DIRECT DEBIT AUTHORISATION

6.1 Card data is processed exclusively through PCI-DSS certified payment service providers and stored in tokenised form. The full card number and the security code (CVC/CVV) are neither accessible to nor stored by The Haus.

6.2 The Haus may require, verify and pre-authorise a valid credit card as a payment guarantee, and may require a security deposit under the Terms and Conditions.

6.3 By making the booking and accepting the Terms and Conditions, the guest expressly authorises the charging of the card provided in respect of the accommodation price, additional services, tourist taxes, cancellation and no-show charges, as well as the amounts set out in section 8 and in the corresponding clause of the Terms and Conditions.

6.4 Charges made after departure are processed as merchant-initiated transactions, under the authorisation granted at the time of booking. Each charge is accompanied by an invoice or equivalent document, stating the event giving rise to it and the corresponding amount.

7. RECIPIENTS AND PROCESSORS

Data is disclosed only to the extent necessary, to:

• Property management system (PMS) and booking engine
• Payment service providers, acquirers and card networks
• Online travel agencies (OTAs) and channel manager
• Guest communication and check-in platforms
• Suppliers of the access control and lock systems
• IT service providers, data hosting, analytics and marketing providers
• Cleaning, maintenance and security companies — only the indispensable data
• Certified accountants, auditors, lawyers, debt collection companies and insurers
• Public authorities, courts, AIMA, PSP/GNR, the Autoridade Tributária and municipalities, in compliance with a legal obligation or for the defence of legal claims

Contracts pursuant to Article 28 GDPR have been concluded with all processors. An up-to-date list of processors is made available upon request to privacidade@the-haus.co.

8. DAMAGE, BREACHES OF THE HOUSE RULES AND CARD CHARGES

This section describes the processing of data in the event of damage or incidents. The Haus's right to demand payment derives from the Booking Terms and Conditions and from civil law, and not from this Policy.

8.1 Situations covered

Whenever, during or in connection with a stay, there occurs:

• damage to, destruction of or disappearance of furniture, equipment, elements of the property or common areas;
• abnormal soiling exceeding ordinary cleaning, including situations requiring specialised cleaning, decontamination or replacement of textiles and mattresses;
• smoking in areas where it is prohibited, or tampering with smoke detectors and safety equipment;
• unauthorised parties or events, occupancy exceeding that declared, or transfer of access credentials to third parties;
• noise, disturbance of rest, complaints from neighbours, the condominium or the authorities;
• assaults, acts of violence, or intervention by law enforcement, the fire brigade or emergency medical services;
• departure beyond the contracted time or loss of means of access;

The Haus processes the data necessary for the assessment, quantification and collection of the amounts due.

8.2 Data processed

• identification and contact details of the booking holder and, where known, of the accompanying persons;
• photographic and video records of the damage and of the affected areas, taken after departure or after detection of the incident;
• incident reports, cleaning and maintenance reports and reports by external technicians;
• estimates, invoices for repair, replacement and cleaning, and the value of the nights during which the unit is unavailable;
• electronic lock access records relating to the period of the incident;
• third-party complaints, official reports and correspondence with authorities, the condominium and insurers;
• payment and card charge data associated with the booking.

Photographic records are limited to the damage and the affected areas. Persons are captured only where unavoidable. Personal belongings possibly left in the unit are neither searched nor documented beyond what is strictly necessary to assess the damage.

8.3 Legal bases

• Article 6(1)(b) GDPR — performance of the accommodation contract, including the contractually stipulated charges and the direct debit authorisation granted at the time of booking.
• Article 6(1)(f) GDPR — legitimate interest in preserving evidence, quantifying the loss, protecting assets and ensuring the safety of guests, neighbours and staff, as well as in the establishment, exercise and defence of legal claims, under Articles 483, 798, 799, 562 and 566 of the Portuguese Civil Code.
• Article 6(1)(c) GDPR — where a legal duty to report or to provide information exists.
• Article 9(2)(f) GDPR — where, exceptionally, the incident involves special category data (for example, indications of bodily injury in an episode of violence). Such data is processed solely for the purposes of the exercise or defence of legal claims and of responding to requests from the authorities.

8.4 Collection procedure

On the basis of the authorisation referred to in 6.3, The Haus proceeds as follows:

1. Prior written notice to the guest, describing the event, stating the amount and the corresponding basis of calculation, accompanied by the available evidence (photographs, estimates, invoices).
2. Granting of a period to respond. Where the amount is not yet determinable, the guest is informed of the existence of the damage and the quantification is communicated subsequently.
3. Charging of the card for the amounts due, with the issuance of an invoice.
4. The fixed amounts set out in the Terms and Conditions correspond to a reasonable estimate of the typical loss and are always set off against the amount of the actual loss, and do not accumulate with it. The guest may demonstrate that the loss did not occur or was lower; The Haus may demonstrate a higher loss and claim the difference.
5. Where there are several guests under the same booking, liability is joint and several (Articles 512 and 513 of the Portuguese Civil Code).
6. The guest may contest the charge. Their rights vis-à-vis the card issuer, the Livro de Reclamações Eletrónico and the judicial remedies remain fully unaffected.

8.5 Retention

Incident and damage data is retained for the period necessary for assessment and collection and, as a rule, for up to three years after the closure of the matter. Where there is litigation, criminal proceedings, an insurance claim or pending enforcement, retention is extended until the respective final and unappealable decision or closure. Photographs are deleted as soon as the matter is concluded.

8.6 Right to object

As regards processing based on Article 6(1)(f), the data subject may object under Article 21 GDPR (section 11). The Haus will assess whether compelling legitimate grounds override the objection; this is generally the case where the processing serves the establishment, exercise or defence of legal claims.

9. RETENTION PERIODS

Once the periods have elapsed, data is deleted or irreversibly anonymised.

10. INTERNATIONAL TRANSFERS

Transfers outside the European Economic Area take place only on the basis of an adequacy decision of the European Commission (Article 45 GDPR) or of Standard Contractual Clauses approved by the Commission (Article 46(2)(c)), accompanied by supplementary measures. A copy of the safeguards is made available upon request.

11. DATA SUBJECT RIGHTS

Data subjects have the rights of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), portability (Art. 20), objection (Art. 21) and to withdraw consent at any time, without affecting the lawfulness of processing carried out previously (Art. 7(3)).

Exercise of these rights is free of charge and is effected by message to privacidade@the-haus.co. Additional information may be requested in order to confirm identity. A response is provided within one month, extendable to up to two months in complex cases.

Complaint to the supervisory authority: Comissão Nacional de Proteção de Dados (CNPD) Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa geral@cnpd.pt · www.cnpd.pt

12. RIGHT TO OBJECT

The data subject has the right to object at any time, on grounds relating to their particular situation, to processing of data based on Article 6(1)(f) GDPR. In that case, the processing shall cease, unless there are compelling legitimate grounds which override the interests, rights and freedoms of the data subject, or the processing serves the establishment, exercise or defence of legal claims.

Objection to processing for direct marketing purposes may be exercised at any time, without any need to state reasons.

13. SECURITY

Appropriate technical and organisational measures are adopted pursuant to Article 32 GDPR: TLS/HTTPS encryption, encrypted storage, role-based access control, two-factor authentication for staff access, access logging, confidentiality obligations and staff training, periodic review of the measures, and exclusive use of PCI-DSS certified payment providers.

In the event of a personal data breach likely to result in a risk to the rights and freedoms of data subjects, the CNPD is notified within 72 hours (Article 33) and, where there is a high risk, the data subjects are informed (Article 34).

14. COOKIES

The use of cookies and equivalent technologies is governed by Lei n.º 41/2004, de 18 de agosto (Portuguese Electronic Communications Privacy Act). Cookies that are not strictly necessary are placed only with prior consent, which may be withdrawn at any time through the cookie settings. See the Cookie Policy.

15. COMPLAINTS AND DISPUTE RESOLUTION

15.1 Complaints may be submitted to info@the-haus.co or through the Livro de Reclamações Eletrónico at www.livroreclamacoes.pt, pursuant to Decreto-Lei n.º 156/2005.

15.2 Pursuant to artigo 18.º da Lei n.º 144/2015, de 8 de setembro (alternative consumer dispute resolution), it is hereby stated that, in the event of a consumer dispute, the consumer may refer the matter to the territorially competent alternative dispute resolution body — the Centro de Arbitragem de Conflitos de Consumo de Lisboa (CACCL), www.centroarbitragemlisboa.pt — or to the Centro Nacional de Informação e Arbitragem de Conflitos de Consumo (CNIACC), www.cniacc.pt. The Haus has not previously adhered to any alternative dispute resolution body, save in cases where the law imposes mandatory arbitration.

16. THIRD-PARTY WEBSITES

The Haus is not responsible for the content or privacy practices of third-party websites, in particular those of online travel agencies. For bookings made through an OTA, the platform is an independent controller in respect of the data it collects directly.

17. AMENDMENTS

This Policy is updated whenever the processing activities or the legal framework change. The version published at www.the-haus.co prevails. Substantial amendments are communicated in writing to guests with an active booking.

18. CONTACTS

Data protection: privacidade@the-haus.co General: info@the-haus.co Address: Short Conclusion — Mediação e Gestão Imobiliária, Lda., Rua Domingos Sequeira, 27, Lisbon, Portugal

This English version is a translation. In the event of any discrepancy, the Portuguese version prevails.

The Haus — Deutschland The Haus KAI, Kaiserstraße 27, 90403 Nürnberg · The Haus HANS, Heugäßchen 5, 90402 Nürnberg

Fassung 2.0 · Gültig ab 3. August 2026Ersetzt vollständig die bisherige Fassung.

1. ALLGEMEINES

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 DSGVO über die Verarbeitung personenbezogener Daten durch The Haus in Deutschland. Ergänzend gilt das Bundesdatenschutzgesetz (BDSG) sowie das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Sie gilt für Gäste, Mitreisende, Besucher, Geschäftskontakte und Nutzer der Website www.the-haus.co, soweit die Objekte in Nürnberg betroffen sind.

Ergänzend gelten unsere Allgemeinen Geschäftsbedingungen (AGB), die Hausordnung und die Cookie-Richtlinie. In datenschutzrechtlichen Fragen ist ausschließlich diese Erklärung maßgeblich.

Hinweis: Die Objekte in Lissabon (Alegria, Santa Bárbara I, Santa Bárbara II) werden von einer anderen Gesellschaft nach portugiesischem Recht betrieben und unterliegen einer eigenen Datenschutzerklärung, abrufbar unter www.the-haus.co/privacy-policy.

2. VERANTWORTLICHER

SC The Haus Germany GmbH Virchowstraße 17a, 90409 Nürnberg, Deutschland Amtsgericht Nürnberg, HRB 45612 Geschäftsführer: Leonardo Schneider, Lorena Schneider (jeweils einzelvertretungsberechtigt) USt-IdNr.: DE460439078 E-Mail: info@the-haus.co Datenschutzanfragen: datenschutz@the-haus.co

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die Voraussetzungen des § 38 BDSG und des Art. 37 DSGVO nicht erfüllt sind. Diese Bewertung wird jährlich überprüft; bei Änderung wird diese Erklärung angepasst.

3. KATEGORIEN VERARBEITETER DATEN

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten wir nur, wenn Sie sie uns von sich aus mitteilen — etwa Barrierefreiheitsbedarf oder Allergien — auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), oder soweit dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 9 Abs. 2 lit. f DSGVO).

Minderjährige: Der Beherbergungsvertrag wird ausschließlich mit volljährigen Personen geschlossen. Daten mitreisender Minderjähriger verarbeiten wir nur im gesetzlich erforderlichen Umfang; verantwortlich ist die buchende erwachsene Person.

4. ZWECKE UND RECHTSGRUNDLAGEN

Unsere berechtigten Interessen sind: die ordnungsgemäße Abwicklung des Aufenthalts, die Sicherheit des Betriebs, der Schutz unseres Eigentums sowie die Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen.

5. MELDEPFLICHT NACH DEM BUNDESMELDEGESETZ

5.1 Nach §§ 29, 30 BMG sind wir verpflichtet, für jeden Aufenthalt einen Meldeschein zu führen, den der Gast am Anreisetag zu unterschreiben hat.

5.2 Bei ausländischen Gästen sind wir verpflichtet, die Identität anhand eines gültigen Passes oder Passersatzpapiers zu überprüfen und die entsprechenden Angaben auf dem Meldeschein zu erfassen (§ 29 Abs. 4 BMG).

5.3 Die Meldescheine sind ein Jahr aufzubewahren und anschließend innerhalb von drei Monaten zu vernichten (§ 30 Abs. 4 BMG). Sie sind auf Verlangen den in § 30 Abs. 5 BMG genannten Behörden zugänglich zu machen.

5.4 Diese Verarbeitung beruht auf einer gesetzlichen Pflicht und steht nicht zur Disposition des Gastes. Ohne ordnungsgemäße Anmeldung kann der Zutritt verweigert werden.

6. ZAHLUNGSDATEN UND BELASTUNGSERMÄCHTIGUNG

6.1 Kreditkartendaten werden ausschließlich über PCI-DSS-zertifizierte Zahlungsdienstleister verarbeitet und tokenisiert gespeichert. Die vollständige Kartennummer und die Prüfziffer (CVC/CVV) sind für uns nicht einsehbar und werden von uns nicht gespeichert.

6.2 The Haus ist berechtigt, eine gültige Kreditkarte als Zahlungsgarantie zu verlangen, zu verifizieren und vorzuautorisieren sowie in den in den AGB genannten Fällen eine Kaution zu erheben.

6.3 Mit der Buchung und der Anerkennung der AGB erteilen Sie uns eine Belastungsermächtigung für den Übernachtungspreis, Zusatzleistungen, Stornogebühren, No-Show-Beträge sowie für die Beträge nach Ziffer 10 der AGB und Ziffer 8 dieser Erklärung.

6.4 Belastungen nach dem Check-out erfolgen als händlerinitiierte Transaktionen (MIT) auf Grundlage der bei Buchung erteilten Ermächtigung. Über jede Belastung erhalten Sie eine Rechnung bzw. Belastungsanzeige in Textform mit Angabe des zugrunde liegenden Sachverhalts und des Betrags.

7. EMPFÄNGER UND AUFTRAGSVERARBEITER

Eine Weitergabe erfolgt nur, soweit sie zur Vertragserfüllung, aufgrund einer Rechtspflicht oder aufgrund überwiegender berechtigter Interessen erforderlich ist. Empfängerkategorien:

• Property-Management-System und Buchungsmaschine
• Zahlungsdienstleister, Acquirer und Kreditkartennetzwerke
• Online-Reiseportale (OTA) und Channel Manager
• Gästekommunikations- und Check-in-Plattformen
• Anbieter der Zutrittskontroll- und Schließsysteme
• IT-, Hosting-, Analyse- und Marketingdienstleister
• Reinigungs-, Wartungs- und Sicherheitsdienstleister — nur die für den Einsatz erforderlichen Daten
• Steuerberater, Wirtschaftsprüfer, Rechtsanwälte, Inkassodienstleister und Versicherer
• Behörden, Gerichte, Polizei und Finanzverwaltung, bei gesetzlicher Verpflichtung oder zur Verfolgung von Rechtsansprüchen

Mit Dienstleistern, die weisungsgebunden für uns tätig werden, bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine aktuelle Übersicht erhalten Sie auf Anfrage an datenschutz@the-haus.co.

8. SCHÄDEN, VERSTÖSSE GEGEN DIE HAUSORDNUNG UND BELASTUNG DER KREDITKARTE

Diese Ziffer beschreibt die Datenverarbeitung bei Schäden und Vorfällen. Der Anspruch auf Zahlung selbst folgt aus den AGB und dem Gesetz, nicht aus dieser Erklärung.

8.1 Anlässe

Kommt es während oder im Zusammenhang mit einem Aufenthalt zu

• Beschädigung, Zerstörung oder Verlust von Inventar, Ausstattung, Gebäudeteilen oder Gemeinschaftsflächen,
• außergewöhnlicher Verschmutzung über die übliche Endreinigung hinaus, einschließlich Fällen, die eine Spezial-, Desinfektions- oder Fachreinigung oder den Austausch von Textilien und Matratzen erfordern,
• Rauchen in Nichtraucherbereichen oder Manipulation von Rauchmeldern und Sicherheitseinrichtungen,
• nicht genehmigten Veranstaltungen, Mehrbelegung oder Weitergabe von Zugangsdaten an Dritte,
• Lärm, Störung der Nachtruhe, Beschwerden von Nachbarn, der Hausverwaltung oder von Behörden,
• Auseinandersetzungen, Gewaltvorfällen oder Einsätzen von Polizei, Feuerwehr oder Rettungsdienst,
• verspätetem Check-out oder Verlust von Zugangsmedien,

verarbeiten wir die zur Aufklärung, Bezifferung und Durchsetzung erforderlichen Daten.

8.2 Verarbeitete Daten

• Name, Kontakt- und Reservierungsdaten des Buchenden und, soweit bekannt, der Mitreisenden;
• Lichtbild- und Videoaufnahmen des Schadens und der betroffenen Bereiche, erstellt nach dem Check-out bzw. nach Feststellung des Vorfalls;
• Schadensprotokolle, Berichte des Housekeepings, der Wartung und externer Fachbetriebe;
• Kostenvoranschläge, Reparatur-, Ersatzbeschaffungs- und Reinigungsrechnungen sowie der Wert der Nächte, in denen die Unterkunft nicht vermietbar ist;
• Zutrittsprotokolle der Schließanlage für den Zeitraum des Vorfalls;
• Beschwerden Dritter, Aktenzeichen und Korrespondenz mit Polizei, Behörden, Hausverwaltung und Versicherungen;
• Zahlungs- und Belastungsdaten der hinterlegten Kreditkarte.

Aufnahmen beschränken sich auf den Sachschaden und die betroffenen Räumlichkeiten. Personen werden nur abgebildet, soweit unvermeidbar. Zurückgelassene persönliche Gegenstände werden nicht durchsucht und nicht über das zur Schadensfeststellung erforderliche Maß hinaus dokumentiert.

8.3 Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Durchführung und Abwicklung des Beherbergungsvertrags einschließlich der vertraglich vereinbarten Kostenpauschalen und der erteilten Belastungsermächtigung (Ziffer 3.4 und Ziffer 10 der AGB).
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Beweissicherung, Schadensbezifferung, Schutz des Eigentums und Sicherheit von Gästen, Nachbarn und Personal sowie an der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen nach §§ 280, 823, 249 ff. BGB.
• Art. 6 Abs. 1 lit. c DSGVO — soweit eine gesetzliche Auskunfts- oder Anzeigepflicht besteht.
• Art. 9 Abs. 2 lit. f DSGVO — soweit ausnahmsweise Daten besonderer Kategorien anfallen, etwa Hinweise auf Verletzungen bei einem Gewaltvorfall. Diese Daten werden ausschließlich zur Geltendmachung oder Verteidigung von Rechtsansprüchen und zur Erfüllung behördlicher Anforderungen verarbeitet.

8.4 Verfahren bei der Belastung

Auf Grundlage der Ermächtigung nach Ziffer 6.3 gilt:

1. Vorherige Information in Textform unter Angabe des Sachverhalts, des Betrags und der Berechnungsgrundlage, unter Beifügung der vorliegenden Nachweise (Lichtbilder, Kostenvoranschläge, Rechnungen).
2. Gelegenheit zur Stellungnahme. Ist die Höhe noch nicht bezifferbar, informieren wir zunächst dem Grunde nach und rechnen anschließend ab.
3. Belastung der Karte und Übersendung einer Rechnung.
4. Die in den AGB ausgewiesenen Beträge sind pauschalierter Schadensersatz im Sinne des § 309 Nr. 5 BGB, keine Vertragsstrafen. Sie werden auf einen höheren, tatsächlich nachgewiesenen Schaden angerechnet. Dem Gast bleibt ausdrücklich der Nachweis vorbehalten, dass ein Schaden überhaupt nicht oder wesentlich niedriger entstanden ist; The Haus bleibt der Nachweis eines höheren Schadens vorbehalten.
5. Mehrere Gäste einer Reservierung haften als Gesamtschuldner (§ 421 BGB).
6. Der Gast kann der Belastung widersprechen und die Forderung bestreiten. Seine Rechte gegenüber dem Kartenherausgeber sowie der Rechtsweg bleiben unberührt.

8.5 Aufbewahrung

Vorfalls- und Schadensdaten werden bis zum Ablauf der gesetzlichen Verjährungsfrist aufbewahrt, regelmäßig drei Jahre ab Schluss des Jahres, in dem der Anspruch entstanden ist und wir Kenntnis erlangt haben (§§ 195, 199 BGB). Bei laufenden Streitigkeiten, Versicherungs-, Straf- oder Vollstreckungsverfahren verlängert sich die Aufbewahrung bis zu deren rechtskräftigem Abschluss. Lichtbilder werden gelöscht, sobald der Vorgang abgeschlossen ist und keine Ansprüche mehr zu erwarten sind.

8.6 Widerspruchsrecht

Gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie nach Art. 21 DSGVO Widerspruch einlegen (Ziffer 11). Wir prüfen dann, ob zwingende schutzwürdige Gründe überwiegen; bei der Geltendmachung oder Verteidigung von Rechtsansprüchen ist dies regelmäßig der Fall.

9. SPEICHERDAUER

Nach Ablauf werden die Daten gelöscht oder unumkehrbar anonymisiert.

10. INTERNATIONALE DATENÜBERMITTLUNG

Eine Übermittlung in Drittländer außerhalb des EWR erfolgt nur bei Vorliegen eines Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO) oder auf Grundlage geeigneter Garantien, insbesondere der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzenden Schutzmaßnahmen. Eine Kopie der Garantien erhalten Sie auf Anfrage.

11. IHRE RECHTE

Ihnen stehen zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie der Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Die Ausübung ist unentgeltlich; eine Nachricht an datenschutz@the-haus.co genügt. Zur Identitätsprüfung können wir zusätzliche Angaben verlangen. Wir antworten innerhalb eines Monats; in komplexen Fällen kann die Frist um zwei Monate verlängert werden.

Beschwerderecht (Art. 77 DSGVO): Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18, 91522 Ansbach, Deutschland www.lda.bayern.de

Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes wenden.

12. WIDERSPRUCHSRECHT NACH ART. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Gegen die Verarbeitung zum Zwecke der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

13. SICHERHEIT DER VERARBEITUNG

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO: TLS-/HTTPS-Verschlüsselung, verschlüsselte Datenspeicherung, rollenbasierte Zugriffskontrollen, Zwei-Faktor-Authentifizierung für Mitarbeiterzugänge, Protokollierung von Zugriffen, Verpflichtung der Mitarbeitenden auf Vertraulichkeit und regelmäßige Schulung, periodische Überprüfung der Maßnahmen sowie ausschließliche Nutzung PCI-DSS-zertifizierter Zahlungsdienstleister.

Bei einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für Rechte und Freiheiten führt, informieren wir die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO) und bei hohem Risiko auch die betroffenen Personen (Art. 34 DSGVO).

14. COOKIES UND WEBSITE-NUTZUNG

Der Einsatz von Cookies und vergleichbaren Technologien richtet sich nach § 25 TDDDG. Nicht unbedingt erforderliche Cookies — insbesondere Analyse- und Marketing-Cookies — setzen wir nur mit Ihrer vorherigen Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung ist jederzeit über die Cookie-Einstellungen widerrufbar. Einzelheiten in unserer Cookie-Richtlinie.

15. BESCHWERDEN UND STREITBEILEGUNG

15.1 Beschwerden richten Sie bitte an info@the-haus.co. Mängel sind unverzüglich vor Ort anzuzeigen; nachträgliche Reklamationen binnen 20 Werktagen nach Abreise in Textform.

15.2 Verbraucherstreitbeilegung: The Haus ist zur Teilnahme an einem Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle weder verpflichtet noch bereit (§ 36 VSBG).

16. WEBSITES DRITTER

Für Inhalte und Datenschutzpraktiken verlinkter Websites Dritter, insbesondere von Online-Reiseportalen, sind ausschließlich deren Betreiber verantwortlich. Bei Buchungen über ein OTA ist der Portalbetreiber für die dort unmittelbar erhobenen Daten eigenständig verantwortlich.

17. ÄNDERUNGEN

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Maßgeblich ist die unter www.the-haus.co/datenschutz veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir Gäste mit bestehender Reservierung zusätzlich in Textform.

18. KONTAKT

Datenschutz: datenschutz@the-haus.co Allgemein: info@the-haus.co Anschrift: SC The Haus Germany GmbH, Virchowstraße 17a, 90409 Nürnberg, Deutschland

Diese Datenschutzerklärung liegt in deutscher und englischer Sprache vor. Bei Abweichungen ist die deutsche Fassung maßgeblich.

The Haus — Germany The Haus KAI, Kaiserstraße 27, 90403 Nürnberg · The Haus HANS, Heugäßchen 5, 90402 Nürnberg

Version 2.0 · Effective 3 August 2026Supersedes the previous version in its entirety.

1. GENERAL

This Privacy Policy informs you in accordance with Articles 13 and 14 GDPR about the processing of personal data by The Haus in Germany. The Bundesdatenschutzgesetz (BDSG) (German Federal Data Protection Act) and the Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) (German Telecommunications and Digital Services Data Protection Act) apply in addition.

It applies to guests, accompanying travellers, visitors, business contacts and users of the website www.the-haus.co, insofar as the properties in Nürnberg are concerned.

Our General Terms and Conditions (AGB), the House Rules and the Cookie Policy apply in addition. In matters of data protection law, this Policy alone is authoritative.

Note: The properties in Lisbon (Alegria, Santa Bárbara I, Santa Bárbara II) are operated by a different company under Portuguese law and are subject to a separate privacy policy, available at www.the-haus.co/privacy-policy.

2. CONTROLLER

SC The Haus Germany GmbH Virchowstraße 17a, 90409 Nürnberg, Germany Amtsgericht Nürnberg (Nuremberg Local Court), HRB 45612 Managing Directors: Leonardo Schneider, Lorena Schneider (each with sole power of representation) VAT ID No.: DE460439078 E-mail: info@the-haus.co Data protection enquiries: datenschutz@the-haus.co

Data Protection Officer: A data protection officer has not been appointed at present, as the requirements of § 38 BDSG (German Federal Data Protection Act) and Article 37 GDPR are not met. This assessment is reviewed annually; should it change, this Policy will be amended accordingly.

3. CATEGORIES OF DATA PROCESSED

We process special categories of personal data (Article 9 GDPR) only where you disclose them to us on your own initiative — for example accessibility requirements or allergies — on the basis of your explicit consent (Article 9(2)(a) GDPR), or insofar as this is necessary for the establishment, exercise or defence of legal claims (Article 9(2)(f) GDPR).

Minors: The accommodation contract is concluded exclusively with persons of full legal age. We process data of accompanying minors only to the extent legally required; the booking adult is responsible.

4. PURPOSES AND LEGAL BASES

Our legitimate interests are: the proper handling of the stay, the security of operations, the protection of our property, and the establishment, exercise and defence of legal claims.

5. REGISTRATION DUTY UNDER THE FEDERAL REGISTRATION ACT

5.1 Under §§ 29, 30 BMG we are obliged to maintain a Meldeschein (registration form) for every stay, which the guest must sign on the day of arrival.

5.2 In the case of foreign guests, we are obliged to verify identity by means of a valid passport or substitute passport document and to record the corresponding particulars on the Meldeschein (§ 29(4) BMG).

5.3 The Meldescheine must be retained for one year and thereafter destroyed within three months (§ 30(4) BMG). They must be made accessible on request to the authorities named in § 30(5) BMG.

5.4 This processing is based on a statutory obligation and is not at the guest's disposal. Without proper registration, access may be refused.

6. PAYMENT DATA AND CHARGING AUTHORISATION

6.1 Credit card data are processed exclusively via PCI-DSS-certified payment service providers and stored in tokenised form. The full card number and the security code (CVC/CVV) are not visible to us and are not stored by us.

6.2 The Haus is entitled to require, verify and pre-authorise a valid credit card as a payment guarantee, and to levy a deposit in the cases set out in the AGB.

6.3 By making a booking and accepting the AGB, you grant us a charging authorisation for the accommodation price, ancillary services, cancellation fees, no-show amounts, and for the amounts under Section 10 of the AGB and Section 8 of this Policy.

6.4 Charges made after check-out are effected as merchant-initiated transactions (MIT) on the basis of the authorisation granted at the time of booking. For every charge you receive an invoice or debit advice in text form (Textform) stating the underlying circumstances and the amount.

7. RECIPIENTS AND PROCESSORS

Disclosure takes place only insofar as it is necessary for the performance of the contract, on the basis of a legal obligation, or on the basis of overriding legitimate interests. Categories of recipients:

• Property management system and booking engine
• Payment service providers, acquirers and credit card networks
• Online travel agencies (OTA) and channel managers
• Guest communication and check-in platforms
• Providers of access control and locking systems
• IT, hosting, analytics and marketing service providers
• Cleaning, maintenance and security service providers — only the data necessary for the assignment
• Tax advisors, auditors, lawyers, debt collection service providers and insurers
• Public authorities, courts, police and tax administration, where legally required or for the pursuit of legal claims

With service providers acting for us on our instructions, data processing agreements pursuant to Article 28 GDPR are in place. A current overview is available on request to datenschutz@the-haus.co.

8. DAMAGE, BREACHES OF THE HOUSE RULES AND CHARGING OF THE CREDIT CARD

This Section describes the processing of data in cases of damage and incidents. The claim for payment itself arises from the AGB and from statute, not from this Policy.

8.1 Triggering events

Where, during or in connection with a stay, there occurs

• damage to, destruction or loss of inventory, fixtures and fittings, parts of the building or common areas,
• exceptional soiling beyond the usual final cleaning, including cases requiring specialist, disinfection or professional cleaning or the replacement of textiles and mattresses,
• smoking in non-smoking areas or tampering with smoke detectors and safety installations,
• unauthorised events, over-occupancy or passing on of access credentials to third parties,
• noise, disturbance of night-time quiet, complaints from neighbours, the building management or public authorities,
• altercations, incidents of violence or deployments of police, fire brigade or emergency services,
• late check-out or loss of access media,

we process the data necessary for investigation, quantification and enforcement.

8.2 Data processed

• Name, contact and reservation data of the booking party and, insofar as known, of the accompanying travellers;
• Photographic and video recordings of the damage and the affected areas, taken after check-out or after the incident has been established;
• Damage reports, reports from housekeeping, maintenance and external specialist firms;
• Cost estimates, repair, replacement and cleaning invoices, as well as the value of the nights during which the accommodation cannot be let;
• Access logs of the locking system for the period of the incident;
• Third-party complaints, file reference numbers and correspondence with police, public authorities, building management and insurers;
• Payment and charging data of the credit card on file.

Recordings are limited to the property damage and the affected premises. Persons are depicted only insofar as unavoidable. Personal belongings left behind are not searched and not documented beyond the extent necessary to establish the damage.

8.3 Legal bases

• Article 6(1)(b) GDPR — performance and settlement of the accommodation contract, including the contractually agreed flat-rate cost amounts and the charging authorisation granted (Section 3.4 and Section 10 of the AGB).
• Article 6(1)(f) GDPR — legitimate interest in the preservation of evidence, quantification of damage, protection of property and safety of guests, neighbours and staff, as well as in the establishment, exercise and defence of legal claims under §§ 280, 823, 249 et seq. BGB (German Civil Code).
• Article 6(1)(c) GDPR — insofar as a statutory duty to provide information or to report exists.
• Article 9(2)(f) GDPR — insofar as, exceptionally, data of special categories arise, for example indications of injuries in an incident of violence. Such data are processed exclusively for the establishment or defence of legal claims and to meet official requirements.

8.4 Procedure for charging

On the basis of the authorisation under Section 6.3, the following applies:

1. Prior information in text form (Textform) stating the circumstances, the amount and the basis of calculation, enclosing the available evidence (photographs, cost estimates, invoices).
2. Opportunity to comment. If the amount cannot yet be quantified, we first inform you as to the merits and settle the account thereafter.
3. Charging of the card and transmission of an invoice.
4. The amounts set out in the AGB are liquidated damages (pauschalierter Schadensersatz) within the meaning of § 309 No. 5 BGB, not contractual penalties (Vertragsstrafen). They are set off against any higher damage actually proven. The guest expressly retains the right to prove that no damage at all or substantially lower damage has been incurred; The Haus retains the right to prove higher damage.
5. Several guests of one reservation are liable as joint and several debtors (§ 421 BGB).
6. The guest may object to the charge and dispute the claim. The guest's rights vis-à-vis the card issuer and recourse to the courts remain unaffected.

8.5 Retention

Incident and damage data are retained until expiry of the statutory limitation period, as a rule three years from the end of the year in which the claim arose and we obtained knowledge thereof (§§ 195, 199 BGB). In the event of ongoing disputes or insurance, criminal or enforcement proceedings, retention is extended until their final and binding conclusion. Photographs are deleted as soon as the matter is closed and no further claims are to be expected.

8.6 Right to object

Against processing based on Article 6(1)(f) GDPR you may lodge an objection pursuant to Article 21 GDPR (Section 11). We will then examine whether compelling legitimate grounds override; in the case of the establishment or defence of legal claims, this is regularly the case.

9. RETENTION PERIODS

Upon expiry, the data are deleted or irreversibly anonymised.

10. INTERNATIONAL DATA TRANSFERS

Transfers to third countries outside the EEA take place only where an adequacy decision of the European Commission exists (Article 45 GDPR) or on the basis of appropriate safeguards, in particular the EU Standard Contractual Clauses (Article 46(2)(c) GDPR) together with supplementary protective measures. A copy of the safeguards is available on request.

11. YOUR RIGHTS

You are entitled to: access (Article 15), rectification (Article 16), erasure (Article 17), restriction of processing (Article 18), data portability (Article 20), objection (Article 21) and the withdrawal of consent given with effect for the future (Article 7(3) GDPR).

Exercising these rights is free of charge; a message to datenschutz@the-haus.co suffices. We may request additional information to verify your identity. We respond within one month; in complex cases the period may be extended by two months.

Right to lodge a complaint (Article 77 GDPR): Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) (Bavarian Data Protection Authority) Promenade 18, 91522 Ansbach, Germany www.lda.bayern.de

You may also contact the supervisory authority of your habitual residence or place of work.

12. RIGHT TO OBJECT UNDER ARTICLE 21 GDPR

You have the right to object at any time, on grounds relating to your particular situation, to the processing of personal data concerning you which is carried out on the basis of Article 6(1)(f) GDPR. We will then no longer process the data, unless we can demonstrate compelling legitimate grounds which override your interests, rights and freedoms, or the processing serves the establishment, exercise or defence of legal claims.

You may object at any time and without giving reasons to processing for the purposes of direct marketing.

13. SECURITY OF PROCESSING

We take technical and organisational measures pursuant to Article 32 GDPR: TLS/HTTPS encryption, encrypted data storage, role-based access controls, two-factor authentication for staff accounts, logging of access, obligation of staff to maintain confidentiality and regular training, periodic review of the measures, and exclusive use of PCI-DSS-certified payment service providers.

In the event of a personal data breach likely to result in a risk to rights and freedoms, we notify the supervisory authority within 72 hours (Article 33 GDPR) and, where the risk is high, also the data subjects concerned (Article 34 GDPR).

14. COOKIES AND WEBSITE USE

The use of cookies and comparable technologies is governed by § 25 TDDDG. Cookies that are not strictly necessary — in particular analytics and marketing cookies — are set only with your prior consent (§ 25(1) TDDDG, Article 6(1)(a) GDPR). Consent may be withdrawn at any time via the cookie settings. Details are set out in our Cookie Policy.

15. COMPLAINTS AND DISPUTE RESOLUTION

15.1 Please address complaints to info@the-haus.co. Defects must be notified on site without undue delay; subsequent complaints must be made in text form (Textform) within 20 business days after departure.

15.2 Consumer dispute resolution: The Haus is neither obliged nor willing to participate in dispute resolution proceedings before a consumer arbitration board (§ 36 VSBG) (German Consumer Dispute Resolution Act).

16. THIRD-PARTY WEBSITES

The operators of linked third-party websites, in particular online travel agencies, are solely responsible for their content and data protection practices. In the case of bookings via an OTA, the portal operator is independently responsible for the data collected directly there.

17. AMENDMENTS

We amend this Policy where our processing operations or the legal situation change. The version published at www.the-haus.co/datenschutz is authoritative. In the event of material changes, we additionally inform guests with an existing reservation in text form (Textform).

18. CONTACT

Data protection: datenschutz@the-haus.co General: info@the-haus.co Address: SC The Haus Germany GmbH, Virchowstraße 17a, 90409 Nürnberg, Germany

This English version is a translation. In the event of any discrepancy, the German version prevails.