Was Aareon Wodis Yuneo ist

Wodis Yuneo ist ein ERP-System für Wohnungsunternehmen und Genossenschaften. Es deckt Vermietung, Abrechnung von Betriebs- und Nebenkosten, Finanzbuchhaltung und Reporting ab, dazu ein revisionssicheres Archiv, Auswertungen mit Yuneo BI und die KI-Assistenz AAVA. Die Software läuft im Browser und wird von Aareon als Clouddienst betrieben.

Aareon mit Sitz in Mainz war lange eine Tochter der Aareal Bank. Seit Oktober 2024 gehört das Unternehmen mehrheitlich dem Finanzinvestor TPG, Minderheitsgesellschafter sind CDPQ aus Kanada und Advent International. Die Gruppe hat über 2.500 Beschäftigte und hat seit 2025 mehrere Unternehmen übernommen.

Wofür es eingesetzt wird

Wohnungsunternehmen verwalten mit Wodis Yuneo ihren Bestand, Mietverträge und Abrechnungen. Aareon hostet den Dienst in der eigenen Private Cloud an zwei Standorten, sichert die Daten acht Wochen lang und hält die Systeme aktuell. Partnerlösungen werden über das Programm Aareon Connect angebunden.

Die Rechenzentren liegen nach den veröffentlichten Nachweisen in Mainz und Wiesbaden, ein US-Hyperscaler ist nicht genannt. Zu Verschlüsselung, Unterauftragnehmern und zur Datenrückgabe bei Vertragsende macht die öffentliche Leistungsbeschreibung keine Angaben.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird der Einsatz als Clouddienst des Herstellers; Fragen zu Selbstbetrieb und Quellcode sind für einen Clouddienst sinngemäß gelesen.

Rechtsraum nicht erfüllt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	teilweise	Vertragspartner ist die Aareon Deutschland GmbH in Mainz, Zertifikatsinhaberin die Aareon AG in Mainz. Seit Oktober 2024 gehört Aareon jedoch mehrheitlich dem in San Francisco gegründeten Finanzinvestor TPG; Minderheitsgesellschafter sind CDPQ (Québec) und Advent International. Der beherrschende Eigentümer liegt damit außerhalb von EU/EWR/Schweiz. Beleg: Impressum · Zertifikat ISO/IEC 27001:2022, Reg.-Nr. 01 153 1… · Aareal Bank und Advent International verkaufen A… · Aareon
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	teilweise	Der Dienst läuft laut Leistungsbeschreibung in der Private Cloud der Aareon, nach den Nachweisen im Rechenzentrumsverbund Mainz und Wiesbaden; ein US-Hyperscaler ist nicht dokumentiert. Ob die Kontrolle durch einen US-Finanzinvestor eine Herausgabepflicht nach US CLOUD Act begründen kann, ist nicht geprüft; eine Aussage des Anbieters dazu wurde nicht gefunden. Beleg: Leistungsbeschreibung Wodis Yuneo Cloud Service · Zertifikat Geprüftes Verbund-Rechenzentrum Ausfa… · Aareal Bank und Advent International verkaufen A…
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	nein	Auslegung: der Dienst wird ausschließlich von Aareon betrieben, ein Selbstbetrieb ist nicht vorgesehen. Verschlüsselung und Schlüsselverwaltung sind in der Leistungsbeschreibung nicht beschrieben; eine Schlüsselhaltung beim Kunden ist nicht dokumentiert. Beleg: Leistungsbeschreibung Wodis Yuneo Cloud Service · Wodis Yuneo (Produktseite)
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Die Aareon wurde laut Pressemitteilung der Aareal Bank an ein Konsortium unter Führung von TPG Capital (Mehrheit, USA) mit CDPQ und Advent International als Minderheitsinvestoren verkauft; der Vollzug fand laut Konzernlagebericht der Aareal Bank am 1. Oktober 2024 statt, also kurz vor dem Prüfzeitraum. Beteiligungsquoten und die haltende Fondsgesellschaft sind nicht veröffentlicht; GLEIF nennt für die Aareon Deutschland GmbH keine Muttergesellschaft (Ausnahme „NO_LEI“). Ein weiterer Kontrollwechsel zwischen November 2024 und November 2026 ist nicht ersichtlich. Beleg: Aareal Bank und Advent International verkaufen A… · Konzernlagebericht 2024 (Vollzug des Aareon-Verk… · LEI 529900YQLXZ1PDIL1S15 (Aareon Deutschland Gmb…

Datenhoheit nicht erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	teilweise	Die Leistungsbeschreibung legt den Betrieb in der Private Cloud der Aareon an zwei geografisch getrennten Standorten fest und nennt eine Vorhaltung der Sicherungen von acht Wochen, aber weder Land noch Ort von Daten und Backups. Das TÜV-Zertifikat weist den Rechenzentrumsverbund der Aareon in Mainz und Wiesbaden aus; eine vertragliche Bindung an diese Standorte oder an EU/EWR/CH wurde in Leistungsbeschreibung, Produktbedingungen und AGB Software nicht gefunden. Die AGB erlauben Unterauftragnehmer und das Hosting auf Plattformen Dritter. Beleg: Leistungsbeschreibung Wodis Yuneo Cloud Service · Zertifikat Geprüftes Verbund-Rechenzentrum Ausfa… · Produktspezifische Bedingungen für Wodis Yuneo (… · Allgemeine Geschäftsbedingungen Software (DE), V…
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	nein	Auslegung: Betrieb im eigenen RZ oder bei frei gewähltem Dienstleister. Wodis Yuneo wird als cloud- und browserbasiertes ERP angeboten, das Aareon selbst hostet; eine Variante zum Selbstbetrieb wird nicht genannt. Beleg: Wodis Yuneo (Produktseite) · Leistungsbeschreibung Wodis Yuneo Cloud Service · Factsheet Aareon Manage: Wodis SaaS
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	nicht belegbar	Eine Dokumentation zu Telemetrie- und Diagnosedaten und deren Abschaltbarkeit wurde nicht gefunden. Die Leistungsbeschreibung nennt nur eine kontinuierliche Überwachung durch Aareon. Beleg: Leistungsbeschreibung Wodis Yuneo Cloud Service
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	teilweise	Auslegung: Die AGB Software (11/2026) beschränken die Nutzung der Kundendaten auf die Vertragsdurchführung (Ziff. 6.1, 6.4) und erlauben die Nutzung von Telemetriedaten ohne Kundeninhalte zur Verbesserung der Software (Ziff. 6.6); Leistungen können KI der Aareon oder von Drittanbietern umfassen (Ziff. 2.1.2). Ein ausdrücklicher Ausschluss des Trainings von KI-Modellen mit Kundendaten steht weder in den AGB noch in der Leistungsbeschreibung Wodis Yuneo Cloud Service. Die Leistungsbeschreibung der KI-Assistenz AAVA nennt eigene KI-Modelle und selbstlernende Mechanismen als nicht enthalten und verweist für den Datenschutz auf das nicht öffentliche DPA. Beleg: Allgemeine Geschäftsbedingungen Software (DE), V… · Leistungsbeschreibung Wodis Yuneo Cloud Service · Leistungsbeschreibung AAVA in Wodis Yuneo

Quellcode & Lizenz nicht erfüllt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	nein	Wodis Yuneo ist proprietäre Software; Quellcode unter einer OSI-Lizenz ist nicht verfügbar. Beleg: Wodis Yuneo (Produktseite) · Leistungsbeschreibung Wodis Yuneo Cloud Service
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	nein	Auslegung: Abhängigkeit von proprietären Bestandteilen. Der Dienst läuft auf der Plattform der Aareon (Docker-basiert, eine nicht genannte relationale Datenbank je Kunde); Nutzung ist nur über den Dienst des Anbieters möglich. Beleg: Leistungsbeschreibung Wodis Yuneo Cloud Service
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	nein	Auslegung: Weiterbetrieb nach Vertragsende. Als SaaS endet die Nutzung mit dem Vertrag; Laufzeit, Kündigung und Datenrückgabe sind in der Leistungsbeschreibung nicht geregelt. Beleg: Leistungsbeschreibung Wodis Yuneo Cloud Service

Betrieb & Nachweise nicht erfüllt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	ja	Die Aareon AG ist nach ISO/IEC 27001:2022 zertifiziert (TÜV Rheinland, Geltungsbereich Konzern-IT, Softwareentwicklung, Kundensupport und zentrale Stabsfunktionen, gültig bis 02.12.2026). Dazu kommen ein ISAE-3402-Typ-II-Bericht, ein TÜV-Zertifikat für den Rechenzentrumsverbund (gültig bis 31.12.2027) und ein geprüftes Datenschutz-Managementsystem. Ein BSI-C5-Testat wird nicht genannt. Beleg: Zertifikat ISO/IEC 27001:2022, Reg.-Nr. 01 153 1… · Zertifikate · Zertifikat Geprüftes Verbund-Rechenzentrum Ausfa… · Factsheet Aareon Manage: Wodis SaaS
4.2 Öffentlicher Prozess für Sicherheitslücken?	nicht belegbar	Ein öffentlicher Meldeweg für Sicherheitslücken (security.txt, Richtlinie) oder ein Verzeichnis von Sicherheitshinweisen wurde nicht gefunden. Die Leistungsbeschreibung sagt zu, Systeme insbesondere bei sicherheitsrelevanten Updates aktuell zu halten. Beleg: Leistungsbeschreibung Wodis Yuneo Cloud Service · Zertifikate
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	teilweise	Anbieter ist die Aareon Deutschland GmbH in Mainz, Kundensupport an allen Werktagen. Die AGB mit Rechtswahl und Gerichtsstand waren nicht abrufbar. Beleg: Impressum · Factsheet Aareon Manage: Wodis SaaS
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	nein	Die AGB Software erlauben den Einsatz von Unterauftragnehmern und verweisen für Unterauftragsverarbeiter auf einen Vertrag zur Auftragsverarbeitung (Ziff. 4.1, 4.2, 10.3); eine Liste, Standorte oder eine Ankündigung von Änderungen regeln sie nicht. Im öffentlichen Dokumentencenter der Aareon und in der Leistungsbeschreibung Wodis Yuneo Cloud Service ist weder ein AVV noch eine Liste der Unterauftragsverarbeiter enthalten. Beleg: Allgemeine Geschäftsbedingungen Software (DE), V… · Dokumentencenter Aareon DACH · Leistungsbeschreibung Wodis Yuneo Cloud Service
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	nein	Betrieb, Administration und Überwachung übernimmt laut Leistungsbeschreibung die Aareon; wo das Betriebs- und Supportpersonal sitzt, ist nicht angegeben, und eine Freigabe von Zugriffen durch den Kunden im Einzelfall ist nicht geregelt. Für das Ticketsystem Zendesk, in das Kunden auch personenbezogene Daten eingeben können, nennt der Datenschutzbeauftragte der Aareon Support durch Personal in EU/EWR und, falls dort niemand verfügbar ist, international sowie Sicherheitsüberwachung aus den USA; Drittlandtransfers sind über DPF, BCR und Standardvertragsklauseln abgesichert, also rahmenvertraglich. Beleg: Leistungsbeschreibung Wodis Yuneo Cloud Service · Zendesk und Datenschutz

Exit & Interoperabilität nicht erfüllt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	nicht belegbar	Ein dokumentierter Export der ERP-Daten in offenen Formaten wurde nicht gefunden. Archiv- und Leerstandsdaten werden an Partner über Aareon Connect bzw. die Immoblue-Funktion übergeben. Beleg: Aareon Connect: Wodis Yuneo · Leistungsbeschreibung Wodis Yuneo Cloud Service
5.2 Offene Standards für Anmeldung und Schnittstellen?	teilweise	Anbindungen für Drittanbieter laufen über das Partnerprogramm Aareon Connect, das einen Aareon-Connect-Vertrag und eine Lizenz voraussetzt; Teile laufen laut Dokumentation nicht über eine klassische API. Die Anmeldung erfolgt mit Multi-Faktor-Authentifizierung; eine Anbindung eigener Identitätsanbieter über SAML oder OIDC wurde nicht belegt. Beleg: Aareon Connect: Wodis Yuneo · Aareon Connect: unterstützte ERPs · Aareon startet neues Partnerprogramm Aareon Conn… · Leistungsbeschreibung Wodis Yuneo Cloud Service
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	nicht belegbar	Regelungen zur Datenrückgabe bei Vertragsende, zu Format und Kosten fehlen in der Leistungsbeschreibung; weitere Vertragsdokumente waren nicht abrufbar. Beleg: Leistungsbeschreibung Wodis Yuneo Cloud Service

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Ob die Kontrolle durch einen US-Finanzinvestor einen Zugriff nach US-Recht ermöglichen kann. Eine Aussage von Aareon dazu wurde nicht gefunden.
Wie Daten verschlüsselt und Schlüssel verwaltet werden.
Welche Unterauftragnehmer eingesetzt werden und wo Backups sowie Support- und Diagnosedaten liegen.
Ob das ISO-27001-Zertifikat der Aareon AG nach dem 02.12.2026 erneuert wird.
Wie Sicherheitslücken gemeldet werden können.
Welche Vertragsbedingungen für Laufzeit, Rechtswahl und Datenrückgabe gelten.
Welches KI-Modell AAVA nutzt und wo es Daten verarbeitet.
Ob es einen öffentlichen oder auf Anfrage erhältlichen AVV mit Liste der Unterauftragsverarbeiter für Wodis Yuneo gibt, weil das Dokumentencenter keinen enthält.
Ob das DPA der Aareon das Training von KI-Modellen mit Kundendaten ausschließt, weil AGB und Leistungsbeschreibungen darauf verweisen, es aber nicht öffentlich ist.
Ob Betriebs- und Supportpersonal für Wodis Yuneo ausschließlich in EU/EWR/CH sitzt, weil nur für das Ticketsystem Angaben vorliegen.
Welche Fondsgesellschaft von TPG die Aareon hält und mit welchen Quoten, weil GLEIF keine Muttergesellschaft nennt.
Ob der Auftragsverarbeitungsvertrag (AGB Software Ziff. 10.3) oder die in den Produktbedingungen genannten „Plattformspezifischen Bedingungen Aareon RZ“ den Speicherort von Daten und Backups auf Deutschland bzw. EU/EWR festlegen, weil beide Dokumente öffentlich nicht gefunden wurden.
Wo das Betriebs- und Supportpersonal der Aareon für Wodis Yuneo sitzt und ob Zugriffe von außerhalb EU/EWR/CH eine Freigabe je Fall erfordern, weil die geprüften Unterlagen dazu schweigen.

Fragen vor einer Entscheidung

Hat Aareon Ihnen schriftlich bestätigt, in welchen Rechenzentren Ihre Daten und Backups liegen?
Wie bewerten Sie, dass Aareon mehrheitlich einem US-Finanzinvestor gehört, und hat der Anbieter sich zu Zugriffen nach US-Recht geäußert?
Liegen Ihnen Auftragsverarbeitungsvertrag und Liste der Unterauftragnehmer vor, auch für die KI-Assistenz AAVA?
In welchem Format und zu welchen Kosten erhalten Sie Ihre Daten zurück, wenn der Vertrag endet?
Welche Ihrer Partnerlösungen hängen an Aareon Connect und damit an einem eigenen Vertrag mit Aareon?

Aareon Wodis Yuneo