Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen oder unsere Software Hestia PMS nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.

Datenerfassung auf dieser Website

Wer ist verantwortlich für die Datenerfassung auf dieser Website?

Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Hinweis zur verantwortlichen Stelle“ in dieser Datenschutzerklärung entnehmen.

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen. Hierbei kann es sich z.B. um Daten handeln, die Sie bei der Registrierung oder Nutzung von Hestia PMS eingeben.

Andere Daten werden automatisch oder nach Ihrer Einwilligung beim Besuch der Website durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z.B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs). Die Erfassung dieser Daten erfolgt automatisch, sobald Sie diese Website betreten.

Wofür nutzen wir Ihre Daten?

Ein Teil der Daten wird erhoben, um eine fehlerfreie Bereitstellung der Website und unserer SaaS-Dienste zu gewährleisten. Andere Daten können zur Analyse Ihres Nutzerverhaltens verwendet werden.

Welche Rechte haben Sie bezüglich Ihrer Daten?

Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese Einwilligung jederzeit für die Zukunft widerrufen. Außerdem haben Sie das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

2. Hosting

Wir hosten die Inhalte unserer Website und unsere SaaS-Anwendung bei folgenden Anbietern:

Vercel

Anbieter ist die Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA (nachfolgend „Vercel“).

Wenn Sie unsere Website besuchen oder unsere Anwendung nutzen, werden Ihre personenbezogenen Daten auf den Servern von Vercel verarbeitet. Hierbei können auch personenbezogene Daten an den Mutterkonzern von Vercel in die USA übermittelt werden.

Grundlage der Übermittlung in die USA: Vercel ist unter dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission mit Beschluss vom 10. Juli 2023 ein angemessenes Schutzniveau festgestellt hat (Art. 45 DSGVO). Ergänzend haben wir EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen; sie tragen die Übermittlung auch dann, wenn dieser Beschluss wegfällt. Eine Kopie der Klauseln erhalten Sie auf Anfrage unter contact@hestia-pms.com.

Die Verwendung von Vercel erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Wir haben ein berechtigtes Interesse an einer möglichst zuverlässigen Darstellung unserer Website und Bereitstellung unserer Dienste.

vServer.site (Datenbank)

Für die Datenspeicherung betreiben wir eigene MongoDB-Datenbankserver bei vServer.site (Elektronik Böcker, Denkmalsweg 7, 26670 Uplengen, Deutschland). Die Server befinden sich in zertifizierten deutschen Rechenzentren:

• Frankfurt am Main (Interxion/Digital Realty)
• Düsseldorf (QSC AG)

Die Inhalte dieser Datenbank — also alle Stamm-, Buchungs-, Rechnungs- und Gästedaten — werden ausschließlich in Deutschland gespeichert. Für einzelne weitere Dienste kann eine Übermittlung in ein Drittland stattfinden; welche das sind und auf welcher Grundlage, steht jeweils im betreffenden Abschnitt (Vercel unter 2., Cloudflare unter 4., Stripe unter 4. und 5.5).

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer Datenspeicherung).

Hetzner Online (Backups)

Für verschlüsselte Backups nutzen wir Hetzner Storage Box bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die Backups werden im Rechenzentrum Falkenstein (FSN1) gespeichert.

Verschlüsselung: Alle Backups werden vor der Übertragung clientseitig mit AES-256-GCM verschlüsselt. Der Verschlüsselungsschlüssel verbleibt ausschließlich bei uns – Hetzner hat keinen Zugriff auf die unverschlüsselten Daten.

Weitere Informationen zum Datenschutz bei Hetzner:

Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer Datenspeicherung und Disaster Recovery).

System-Monitoring

Zur Überwachung der Systemstabilität und Performance nutzen wir Percona Monitoring and Management (PMM) auf einem separaten Server bei Hetzner. Dabei werden ausschließlich technische Metriken erfasst (CPU-Auslastung, Speichernutzung, Datenbankperformance).

In Ausnahmefällen können in Fehler-Logs personenbezogene Daten enthalten sein (z.B. bei fehlgeschlagenen Datenbankabfragen). Diese werden nach 30 Tagen automatisch gelöscht. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherstellung des Betriebs).

3. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website ist:

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z.B. Namen, E-Mail-Adressen o.Ä.) entscheidet.

Datenschutzbeauftragter

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und haben keinen benannt. Für Datenschutzanfragen wenden Sie sich bitte an: contact@hestia-pms.com

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben (z.B. steuer- oder handelsrechtliche Aufbewahrungsfristen); im letztgenannten Fall erfolgt die Löschung nach Fortfall dieser Gründe.

Sind Sie verpflichtet, Daten bereitzustellen?

Eine gesetzliche Pflicht, uns Daten zu überlassen, besteht nicht. Ob eine Angabe erforderlich ist, hängt davon ab, was Sie tun möchten (Art. 13 Abs. 2 lit. e DSGVO):

• Registrierung und Vertrag: Die im Registrierungsformular als Pflichtfeld gekennzeichneten Angaben brauchen wir, um den Vertrag zu schließen und abzurechnen. Ohne sie kann kein Zugang entstehen.
• Terminbuchung und Kontaktaufnahme: Freiwillig. Ohne Name und E-Mail können wir einen Termin allerdings nicht bestätigen.
• Meldeschein im Hotel: Hier besteht eine gesetzliche Pflicht — allerdings gegenüber dem Hotel, nicht gegenüber uns (§ 29 BMG). Verweigert ein Gast die Angaben, darf das Hotel ihn nicht beherbergen; ein Verstoß ist nach § 54 BMG bußgeldbewehrt.
• Cookies und Analyse: Vollständig freiwillig. Lehnen Sie ab, bleibt die Website uneingeschränkt nutzbar; nur der Support-Chat steht dann nicht bereit.

Allgemeine Hinweise zu den Rechtsgrundlagen der Datenverarbeitung

Sofern Sie in die Datenverarbeitung eingewilligt haben, verarbeiten wir Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO bzw. Art. 9 Abs. 2 lit. a DSGVO, sofern besondere Datenkategorien nach Art. 9 Abs. 1 DSGVO verarbeitet werden. Sofern die Verarbeitung zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, verarbeiten wir Ihre Daten auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO. Des Weiteren verarbeiten wir Ihre Daten, sofern diese zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Die Datenverarbeitung kann ferner auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO erfolgen.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Widerspruchsrecht gegen die Datenerhebung in besonderen Fällen sowie gegen Direktwerbung (Art. 21 DSGVO)

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde zu. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

Die für uns zuständige Aufsichtsbehörde ist:

Recht auf Datenübertragbarkeit

Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

Auskunft, Berichtigung und Löschung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit an uns wenden.

Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Hierzu können Sie sich jederzeit an uns wenden. Das Recht auf Einschränkung der Verarbeitung besteht in folgenden Fällen: Wenn Sie die Richtigkeit Ihrer bei uns gespeicherten personenbezogenen Daten bestreiten, wenn die Verarbeitung unrechtmäßig ist, wenn wir die Daten nicht mehr benötigen, Sie diese jedoch zur Geltendmachung von Rechtsansprüchen benötigen, oder wenn Sie Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte, wie zum Beispiel Bestellungen oder Anfragen, die Sie an uns als Seitenbetreiber senden, eine SSL- bzw. TLS-Verschlüsselung (TLS 1.3). Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

4. Datenerfassung auf dieser Website

Cookies und Einwilligung (§ 25 TDDDG)

Unsere Internetseiten verwenden so genannte „Cookies“. Cookies sind kleine Datenpakete und richten auf Ihrem Endgerät keinen Schaden an. Sie werden entweder vorübergehend für die Dauer einer Sitzung (Session-Cookies) oder dauerhaft (permanente Cookies) auf Ihrem Endgerät gespeichert. Session-Cookies werden nach Ende Ihres Besuchs automatisch gelöscht. Permanente Cookies bleiben auf Ihrem Endgerät gespeichert, bis Sie diese selbst löschen oder eine automatische Löschung durch Ihren Webbrowser erfolgt.

Cookies können von uns (First-Party-Cookies) oder von Drittunternehmen stammen (sog. Third-Party-Cookies). Third-Party-Cookies ermöglichen die Einbindung bestimmter Dienstleistungen von Drittunternehmen innerhalb von Webseiten.

Rechtsgrundlage (§ 25 TDDDG): Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf benötigen wir Ihre vorherige Einwilligung (§ 25 Abs. 1 TDDDG). Keiner Einwilligung bedarf, was für die Bereitstellung des von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG).

Wir verwenden folgende Arten von Cookies:

• Technisch notwendige Cookies (ohne Einwilligung): Diese sind erforderlich für die Grundfunktionen der Website und der Anwendung (z.B. Session-Management, Authentifizierung, Cookie-Consent-Speicherung). Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i.V.m. Art. 6 Abs. 1 lit. f DSGVO
• Analyse-Cookies (mit Einwilligung): Mit Ihrer ausdrücklichen Einwilligung verwenden wir Cookies zur Analyse des Nutzerverhaltens (Vercel Analytics). Rechtsgrundlage: § 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a DSGVO
• Marketing-Cookies (mit Einwilligung): Mit Ihrer ausdrücklichen Einwilligung laden wir den Live-Chat von Crisp auf dieser Website. Dabei wird das Cookie crisp-client/* gesetzt (Speicherdauer sechs Monate). Rechtsgrundlage: § 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a DSGVO

Technisch notwendige Cookies werden auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG i.V.m. Art. 6 Abs. 1 lit. f DSGVO gespeichert. Der Websitebetreiber hat ein berechtigtes Interesse an der Speicherung dieser Cookies zur technisch fehlerfreien und optimierten Bereitstellung seiner Dienste.

Einwilligung mit Consent-Banner (§ 25 TDDDG, Art. 7 DSGVO)

Beim ersten Besuch unserer Website wird Ihnen ein Cookie-Consent-Banner angezeigt. Hier können Sie wählen, welche Cookie-Kategorien Sie akzeptieren möchten. Die Einwilligung erfolgt freiwillig, informiert, für den bestimmten Fall und unmissverständlich durch eine eindeutige bestätigende Handlung (Art. 4 Nr. 11, Art. 7 DSGVO). Das Ablehnen nicht-essentieller Cookies hat keine Nachteile für die Nutzung der Grundfunktionen unserer Website.

Ihre Entscheidung speichern wir im lokalen Speicher Ihres Browsers (localStorage), damit wir Sie nicht bei jedem Besuch erneut fragen. Sie bleibt dort, bis Sie sie ändern, den Browserspeicher löschen oder wir die Einwilligung erneut einholen, weil sich die eingesetzten Dienste geändert haben. Über den Link „Cookie-Einstellungen“ im Footer können Sie Ihre Entscheidung jederzeit widerrufen oder ändern. Der Widerruf gilt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in so genannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:

• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Optimierung seiner Website.

Speicherdauer: Die Log-Dateien fallen bei unserem Hosting-Dienstleister an und werden dort automatisch gelöscht, längstens nach 30 Tagen. Länger aufbewahrt werden einzelne Einträge nur, wenn sie zur Aufklärung einer Störung oder eines Sicherheitsvorfalls benötigt werden; sie werden nach Abschluss der Aufklärung gelöscht.

Live-Chat auf dieser Website (Crisp)

Wenn Sie im Cookie-Banner die Kategorie Marketing akzeptieren, laden wir auf dieser Website den Live-Chat der Crisp IM SAS, 2 Boulevard de Launay, 44100 Nantes, Frankreich. Ohne diese Einwilligung wird kein Skript geladen und kein Cookie gesetzt. Die Einwilligung können Sie über „Cookie-Einstellungen“ im Footer jederzeit widerrufen.

Übermittelt werden nur die Angaben, die Sie selbst in den Chat schreiben. Wir setzen keine Identität, keinen Hotelnamen und keine Kontodaten. Dieser Chat ist von dem Support-Chat im Kunden-Dashboard getrennt: Es handelt sich um eine eigene Unterhaltung ohne Zugriff auf interne Hotelgespräche.

Antworten durch ein KI-System: Ihre Anfrage kann zunächst von einem KI-Assistenten beantwortet werden. Er greift auf eine von uns hinterlegte öffentliche Wissensbasis zu, nicht auf den Verlauf anderer Unterhaltungen. Sie können jederzeit an einen Menschen weitergeleitet werden. Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

Speicherung innerhalb der Europäischen Union (Nachrichten Niederlande, Zusatzdaten Deutschland). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Weitere Informationen: https://crisp.chat/en/privacy/

Anfragen per E-Mail

Wenn Sie uns per E-Mail schreiben, speichern wir Ihre Nachricht samt der darin enthaltenen Kontaktdaten, um die Anfrage zu bearbeiten und Anschlussfragen beantworten zu können.

Unser Postfach betreiben wir nicht selbst. Es liegt bei mailbox.org, einem Dienst der Heinlein Hosting GmbH, Schwedter Straße 8/9A, 10119 Berlin, deren Server ausschließlich in Deutschland stehen. Ihre Nachricht wird dort gespeichert und für uns verarbeitet; Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Darüber hinaus geben wir Ihre Nachricht nicht weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage der Vorbereitung oder Durchführung eines Vertrags dient, im Übrigen unser berechtigtes Interesse an der Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Wir löschen die Korrespondenz, sobald sie für die Bearbeitung nicht mehr erforderlich ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen; für Geschäftsbriefe gilt die handelsrechtliche Aufbewahrungsfrist von sechs Jahren (§ 257 HGB).

Registrierung und Kundenkonto

Ein Zugang zu Hestia PMS entsteht durch Ihre Registrierung auf dieser Website. Das Angebot richtet sich ausschließlich an Unternehmen; die dabei erhobenen Daten verwenden wir zur Vertragsanbahnung und -durchführung.

Bei der Registrierung erfassen wir:

• Ansprechpartner (Name)
• E-Mail-Adresse
• Passwort (nicht im Klartext, sondern als bcrypt-Hash mit Salt gespeichert)
• Name und Anschrift des Betriebs
• Telefonnummer
• USt-IdNr. — bei Betrieben außerhalb Deutschlands zwingend, weil die Abrechnung dort als Reverse-Charge-Leistung erfolgt
• Ihre Bestätigung der Vertragsdokumente mit Zeitpunkt, Dokumentfassung, IP-Adresse und Browserkennung

Die Bestätigung der Vertragsdokumente protokollieren wir, weil wir als Auftragsverarbeiter nachweisen müssen, welche Fassung des Auftragsverarbeitungsvertrags gilt (Art. 28 Abs. 9, Art. 5 Abs. 2 DSGVO). Dieses Protokoll bewahren wir für die Dauer des Vertrags und anschließend im Rahmen der handels- und steuerrechtlichen Aufbewahrungsfristen auf.

Die Verarbeitung der bei der Registrierung erhobenen Daten erfolgt zur Erfüllung eines Vertrags bzw. zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie auf Grundlage unseres berechtigten Interesses an der Bereitstellung und Absicherung unserer Dienste (Art. 6 Abs. 1 lit. f DSGVO).

Cloudflare Turnstile (Schutz unserer Formulare)

Zum Schutz der Registrierung und unserer Kontakt- und Terminformulare vor automatisierten Eingaben setzen wir Turnstile der Cloudflare Germany GmbH, Rosental 7, 80331 München, ein (Mutterunternehmen: Cloudflare, Inc., USA). Turnstile prüft, ob eine Eingabe von einem Menschen stammt, und kommt dabei ohne Bilderrätsel aus.

Dabei werden Ihre IP-Adresse, Angaben zu Browser und Endgerät sowie Ihr Verhalten auf der Seite an Cloudflare übermittelt und dort ausgewertet. Bei einer Übermittlung in die USA stützt sich Cloudflare auf das EU-US Data Privacy Framework, unter dem Cloudflare zertifiziert ist, sowie auf EU-Standardvertragsklauseln. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch und automatisierten Registrierungen (Art. 6 Abs. 1 lit. f DSGVO), für den erforderlichen Zugriff auf Ihr Endgerät § 25 Abs. 2 Nr. 2 TDDDG. Weitere Informationen:

Turnstile läuft ausschließlich auf unseren eigenen Formularen. In der Buchungsstrecke Ihres Hotels und in den Gastformularen wird es nicht eingesetzt; Cloudflare erhält daher keine Gästedaten.

Terminbuchung für Beratungs- und Supportgespräche

Über unseren Terminkalender können Sie ein Beratungsgespräch buchen; bestehende Kunden können denselben Weg für einen Supporttermin nutzen. Wir erfassen dabei Name, E-Mail-Adresse, Telefonnummer, den Namen Ihres Betriebs, den gewählten Zeitpunkt und Ihr Anliegen, sofern Sie es angeben.

Die Terminverwaltung läuft vollständig auf unserer eigenen Infrastruktur; ein externer Kalender- oder Buchungsdienst ist nicht beteiligt. Bestätigung, Erinnerung und Absage versenden wir per E-Mail, der Kalendereintrag liegt der Mail als ICS-Datei bei.

Das Gespräch selbst führen wir per Telefon. Sollten wir künftig zusätzlich Videogespräche anbieten, nennen wir den dafür eingesetzten Anbieter zuvor an dieser Stelle.

Name, E-Mail-Adresse und Telefonnummer löschen wir 90 Tage nach dem Termin; der Termineintrag selbst bleibt ohne diese Angaben erhalten, damit unsere Auslastungsplanung nachvollziehbar bleibt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des von Ihnen gewünschten Termins, im Übrigen unser berechtigtes Interesse an der Organisation unserer Beratung (Art. 6 Abs. 1 lit. f DSGVO).

Abrechnung Ihres Softwareabonnements (Stripe)

Für die Abrechnung des Softwareabonnements und den Einzug per SEPA-Lastschrift nutzen wir Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Hierfür übermitteln wir Ihren Betriebs- und Rechnungsnamen, Anschrift, E-Mail-Adresse, gegebenenfalls die USt-IdNr. sowie die Abrechnungsbeträge; das SEPA-Mandat samt Bankverbindung erteilen Sie direkt gegenüber Stripe.

Abzugrenzen von der Zahlung Ihrer Gäste: Dieses Stripe-Konto ist unser eigenes und dient allein dem Vertragsverhältnis zwischen Ihnen und uns. Für Online-Zahlungen Ihrer Gäste setzen Sie Ihr eigenes Stripe-Konto ein — dazu Abschnitt 5.5. Beide Wege sind technisch und rechtlich getrennt.

Bankverbindungen Ihrer Gäste oder Gästedaten werden über dieses Konto nicht verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Abonnementvertrags) sowie Art. 6 Abs. 1 lit. c DSGVO für die steuer- und handelsrechtlichen Aufbewahrungspflichten.

5. Datenverarbeitung im SaaS-Dienst Hestia PMS

Hestia PMS ist eine cloudbasierte Hotelmanagementsoftware (Property Management System). Bei der Nutzung werden verschiedene Daten verarbeitet:

5.1 Gästedaten (Auftragsverarbeitung)

Als Hotel-Nutzer geben Sie Gästedaten in unser System ein. Hestia PMS verarbeitet diese Daten in Ihrem Auftrag (Auftragsverarbeitung gemäß Art. 28 DSGVO). Hierzu gehören:

• Name und Kontaktdaten der Gäste
• Geburtsdatum und Geburtsort
• Nationalität
• Ausweisdaten (nur bei ausländischen Gästen gemäß § 30 BMG – seit 01.01.2025 entfällt die Meldepflicht für deutsche Gäste)
• Buchungsdaten und Aufenthaltshistorie
• Zahlungsinformationen
• Digitale Unterschriften (z. B. beim Online-Check-in für den Meldeschein oder bei der Online-Annahme von Angeboten, gespeichert als Bilddatei)
• Über Buchungsportale und den Channelmanager übermittelte Buchungsdaten (inkl. Mitreisende, siehe Abschnitt 6)
• Vermerk, ob der Gast einer Zusendung von Angeboten oder Newslettern zugestimmt hat

Hinweis für Hotels: Als Nutzer von Hestia PMS sind Sie der datenschutzrechtlich Verantwortliche für die Gästedaten. Wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag. Ein entsprechender Auftragsverarbeitungsvertrag (AVV) wird mit dem Vertragsschluss gemäß § 2 der AGB geschlossen.

5.2 Meldeschein-Daten (§ 30 BMG)

Seit dem 1. Januar 2025 besteht die Meldepflicht in Beherbergungsstätten nur noch für ausländische Gäste (§§ 29, 30 BMG). Für deutsche Staatsangehörige ist kein Meldeschein mehr erforderlich.

Angaben auf dem Meldeschein: § 30 Abs. 2 BMG zählt abschließend auf, was ein Meldeschein enthält — Anschrift, Ankunftstag, voraussichtlicher Abreisetag, Familienname und Vornamen, Geburtsdatum, Staatsangehörigkeit, Zahl der mitreisenden ausländischen Personen und ihre Staatsangehörigkeit sowie, bei ausländischen Gästen, die Seriennummer des Passes oder Passersatzpapiers. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 30 BMG.

Darüber hinausgehende Ausweisangaben: Die Software kann zusätzlich Art des Dokuments, ausstellende Behörde sowie Ausstellungs- und Ablaufdatum aufnehmen. Diese Felder sind vom Katalog des § 30 Abs. 2 BMG nicht gedeckt; das Hotel erhebt sie, soweit es sie benötigt, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Beherbergungsvertrag) oder Art. 6 Abs. 1 lit. c DSGVO i.V.m. dem jeweiligen Landesrecht zur Kurtaxe (§ 30 Abs. 3 BMG). Ob sie ausgefüllt werden, entscheidet das Hotel; die Software verlangt sie nicht.

Aufbewahrung und Löschung: Meldescheindaten sind vom Tag der Abreise an ein Jahr aufzubewahren und innerhalb von drei Monaten nach Ablauf dieser Frist zu löschen (§ 30 Abs. 4 BMG); die Speicherdauer endet damit spätestens 15 Monate nach der Abreise. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 30 BMG.

Begleitpersonen: Melderechtlich anzugeben sind nur die Zahl der mitreisenden ausländischen Personen und ihre Staatsangehörigkeit (§ 30 Abs. 2 Nr. 7 BMG); mitreisende Ehegatten, Lebenspartner und minderjährige Kinder sind ausdrücklich „nur der Zahl nach“ anzugeben (§ 29 Abs. 2 Satz 2 BMG). Die Software kann darüber hinaus Namen und Geburtsdaten von Mitreisenden aufnehmen — etwa für die Zimmerbelegung oder die Kurtaxe. Diese Angaben beruhen dann nicht auf dem Melderecht, sondern auf Art. 6 Abs. 1 lit. b DSGVO oder auf dem jeweiligen Landesrecht zur Kurtaxe.

5.3 Rechnungs- und Buchungsdaten

Rechnungen und Buchungsdaten werden entsprechend den steuerrechtlichen Aufbewahrungsfristen aufbewahrt: 8 Jahre für Rechnungen und Buchungsbelege (§ 147 Abs. 3 Satz 1 AO, § 14b Abs. 1 Satz 1 UStG) und 10 Jahre für Bücher und Aufzeichnungen einschließlich des Buchungsjournals (§ 147 Abs. 3 Satz 1 AO). Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem die letzte Buchung erfolgte oder die Rechnung erstellt wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Rechnungen werden als E-Rechnung im Format ZUGFeRD 2.1 (Profil EN 16931) erstellt. Aufbewahrt werden die Rechnungsdaten; der strukturierte XML-Datensatz und das PDF werden bei jedem Abruf daraus erzeugt. Die steuerrechtlichen Anforderungen an E-Rechnungen regelt § 9 der AGB.

5.4 Kassendaten und TSE (fiskaly)

Bei Nutzung der Kassenfunktion werden Transaktionsdaten mit einer zertifizierten technischen Sicherheitseinrichtung (TSE) signiert. Diese Daten werden entsprechend der GoBD für 10 Jahre aufbewahrt (Frist beginnt mit dem Schluss des Kalenderjahres der letzten Buchung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung gemäß § 146a AO, KassenSichV).

Als TSE-Anbieter nutzen wir die Cloud-TSE von fiskaly GmbH, Schottenring 12, 1010 Wien, Österreich (BSI-zertifiziert). Bei jeder Kassentransaktion werden folgende Daten an fiskaly übermittelt:

• Transaktionsdaten (Beträge, Steuersätze, Zahlungsart)
• Zeitstempel der Transaktion
• Kassenidentifikation (Client-ID)

Es werden keine personenbezogenen Kundendaten (Namen, Adressen) an fiskaly übermittelt. Die Verarbeitung erfolgt ausschließlich in der EU (Österreich/Deutschland).

5.4a DSFinV-K-Export (Kassenprüfung)

Für die Kassennachschau und Kassenprüfung durch die Finanzverwaltung stellen wir einen DSFinV-K-Export (Digitale Schnittstelle der Finanzverwaltung für Kassensysteme, Version 2.4) zur Verfügung. Dieser Export enthält alle kassenbezogenen Daten gemäß den GoBD-Anforderungen (BMF-Schreiben vom 14. Juli 2025), darunter:

• Transaktionsdaten mit TSE-Signaturen
• Zahlungsarten und -beträge
• Buchungsjournal mit Zeitstempeln
• Stammdaten (Artikelgruppen, Steuersätze)

Der DSFinV-K-Export enthält keine Klarnamen von Gästen, sondern nur Gast-IDs, die eine Zuordnung zu Transaktionen ermöglichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung gemäß §§ 146a, 147 AO, GoBD).

5.5 Zahlungsarten (Buchungskonten) und Online-Zahlung über Stripe

Die Software ermöglicht die Erfassung verschiedener Zahlungsarten (z.B. Barzahlung, EC-Karte, Kreditkarte, Überweisung, PayPal). Hierbei handelt es sich um Buchungskonten zur korrekten Zuordnung in der Buchhaltung und im DATEV-Export. Für diese Zahlungsarten erfolgt keine Integration mit externen Zahlungsterminals oder Zahlungsdienstleistern; die tatsächliche Zahlungsabwicklung findet außerhalb von Hestia PMS über die jeweiligen externen Terminals (z.B. EC-Kartenlesegerät) oder Konten des Hotels statt.

Online-Zahlung über Stripe (optional): Hotels können für die Online-Buchung über das Buchungs-Widget sowie für die Online-Annahme von Angeboten eine Kreditkartenzahlung über den Zahlungsdienstleister Stripe aktivieren. Hierfür hinterlegt das Hotel seine eigenen Stripe-API-Schlüssel; Vertragspartner von Stripe ist das jeweilige Hotel, nicht Hestia PMS. Anbieter ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (nachfolgend „Stripe“).

Bei einer Online-Zahlung werden die Kartendaten des Gastes direkt im Browser über die Stripe-Zahlungskomponente erfasst und ausschließlich an Stripe übermittelt. Kredit- und Debitkartendaten werden zu keinem Zeitpunkt auf Servern von Hestia PMS gespeichert oder verarbeitet. Hestia PMS erhält von Stripe lediglich den Zahlungsstatus, den Betrag und eine Transaktionsreferenz (Payment-Intent-ID). Dabei können personenbezogene Daten (Name, E-Mail-Adresse, Buchungsreferenz) zur Zuordnung der Zahlung an Stripe übermittelt werden.

Bei einer Datenübermittlung an die Stripe, Inc. in den USA stützt sich Stripe auf das EU-US Data Privacy Framework (DPF), unter dem Stripe zertifiziert ist, sowie auf EU-Standardvertragsklauseln (SCCs). Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Zahlungsabwicklung zur Vertragserfüllung). Weitere Informationen:

Hinweis für Hotels: Da Sie Stripe über Ihr eigenes Stripe-Konto einsetzen, sind Sie für die datenschutzkonforme Nutzung von Stripe verantwortlich (insbesondere Information Ihrer Gäste in Ihrer eigenen Datenschutzerklärung und ggf. Abschluss der Stripe-Datenverarbeitungsvereinbarung).

5.6 Technischer Support und Systemwartung

Zu Zwecken des technischen Supports, der Fehlerbehebung und der Systemwartung können autorisierte Mitarbeiter von Hestia PMS auf Ihr Hotelkonto zugreifen. Dies erfolgt ausschließlich:

• Bei konkreten Support-Anfragen Ihrerseits
• Zur Behebung technischer Probleme
• Zur Durchführung notwendiger Wartungsarbeiten

Protokollierung: Beginn und Ende jedes solchen Zugriffs werden mit Zeitpunkt, zugreifendem Mitarbeiter und betroffenem Haus festgehalten; die Zugriffsdauer ergibt sich daraus. Änderungen an steuerlich relevanten Daten werden zusätzlich einzeln erfasst (Abschnitt 5.7). Die Protokolle werden zehn Jahre aufbewahrt und können auf Anfrage eingesehen werden.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung - Bereitstellung eines funktionsfähigen Dienstes) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherstellung der Betriebsfähigkeit).

5.7 Sicherheitsmaßnahmen und Protokollierung

Login-Schutz (Rate Limiting): Zum Schutz vor unbefugten Zugriffsversuchen werden fehlgeschlagene Login-Versuche mit IP-Adresse und E-Mail-Adresse für 24 Stunden gespeichert. Nach mehreren fehlgeschlagenen Versuchen erfolgt eine temporäre Sperrung des Zugangs. Nach erfolgreicher Anmeldung werden diese Daten automatisch gelöscht.

Audit-Protokollierung (GoBD): Änderungen an steuerlich relevanten Daten — Rechnungen, Gutschriften, Kassenbelege, Kassenbuch, Buchhaltung und Gutscheine — werden protokolliert, damit sie nachvollziehbar bleiben. Erfasst wird dabei:

• Art der Änderung (Anlegen, Ändern, Stornieren, Löschen)
• Zeitstempel der Änderung
• Benutzerkennung des ausführenden Mitarbeiters
• IP-Adresse und Browserkennung
• Betroffener Datensatz mit Vorher- und Nachher-Werten
• Storno-Begründungen bei Stornierungen (Pflichtfeld gemäß GoBD)

Reine Lesezugriffe werden nicht protokolliert. Anmeldungen und administrative Zugriffe werden gesondert erfasst (Abschnitt 5.6).

Die Protokolle werden durch kryptografische Verkettung (SHA-256 Hash-Chain) vor nachträglicher Änderung geschützt und für die Dauer der steuerlichen Aufbewahrungsfrist von zehn Jahren aufbewahrt; sie sind in dieser Zeit gegen Löschung gesperrt. Zugangs- und Zahlungsdaten — etwa Passwörter, Schlüssel oder Kartennummern — werden vor der Protokollierung maskiert.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung gemäß GoBD, § 147 AO) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Systems).

5.8 Online-Check-in und digitale Unterschrift

Hotels können ihren Gästen einen Online-Check-in anbieten. Der Gast erhält dazu vor der Anreise per E-Mail einen individuellen Link und kann die für den Check-in erforderlichen Daten (Meldedaten gemäß § 30 BMG, Daten von Mitreisenden) selbst erfassen. Optional unterschreibt der Gast den Meldeschein digital auf seinem Endgerät.

Die digitale Unterschrift wird als Bilddatei zur jeweiligen Reservierung gespeichert und im Meldeschein-PDF dargestellt. Es findet keine biometrische Auswertung der Unterschrift statt (keine Erfassung von Schreibdruck, -geschwindigkeit o.Ä.); es handelt sich nicht um biometrische Daten im Sinne des Art. 9 DSGVO. Gleiches gilt für die digitale Unterschrift bei der Online-Annahme von Angeboten.

Die Verarbeitung erfolgt im Auftrag des jeweiligen Hotels (Art. 28 DSGVO). Rechtsgrundlage für die Meldedaten selbst ist Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 30 BMG. Für die digitale Unterschrift gilt das nicht: § 29 Abs. 2 Satz 1 BMG verlangt eine handschriftliche Unterschrift und § 29 Abs. 5 BMG lässt nur drei bestimmte elektronische Verfahren an deren Stelle zu. Die hier erfasste Unterschrift beruht deshalb nicht auf einer gesetzlichen Pflicht, sondern auf Art. 6 Abs. 1 lit. b DSGVO — sie dokumentiert die Angaben des Gastes gegenüber dem Hotel. Ob und wie das Hotel die melderechtliche Form zusätzlich erfüllt, entscheidet es selbst. Für die Angebotsannahme ist Art. 6 Abs. 1 lit. b DSGVO ebenfalls die Grundlage. Für die Speicher- und Löschfristen der Meldescheindaten gilt Abschnitt 5.2. Sofern das Hotel die Self-Check-in-Funktion nutzt, erhält der Gast nach dem Online-Check-in automatisch einen Zugangscode und Anreise-Hinweise per E-Mail; hierbei werden keine zusätzlichen personenbezogenen Daten erhoben.

5.9 Gästeportal (Anmeldung per E-Mail-Link)

Über das hotelspezifische Gästeportal können Gäste ihre eigenen Buchungen einsehen und den Online-Check-in durchführen. Die Anmeldung erfolgt passwortlos: Der Gast gibt seine E-Mail-Adresse ein und erhält einen einmaligen Anmelde-Link per E-Mail (Gültigkeit: 15 Minuten). Nach erfolgreicher Anmeldung wird eine Sitzung über ein signiertes, httpOnly-Cookie („hestia_guest_session“) mit einer Laufzeit von 24 Stunden aufrechterhalten.

Dieses Cookie ist für die Bereitstellung des vom Gast ausdrücklich gewünschten Dienstes technisch zwingend erforderlich und bedarf gemäß § 25 Abs. 2 Nr. 2 TDDDG keiner Einwilligung. Dasselbe gilt für die im lokalen Speicher des Browsers (localStorage) gemerkte Sprachwahl. Zum Schutz vor Missbrauch werden Anmeldeversuche pro IP-Adresse und E-Mail-Adresse begrenzt (Rate Limiting); diese Daten werden nur temporär (max. 15 Minuten) im Arbeitsspeicher gehalten. Die Antwort des Systems lässt keinen Rückschluss darauf zu, ob zu einer E-Mail-Adresse Buchungen existieren (Enumeration-Schutz).

Die Verarbeitung erfolgt im Auftrag des jeweiligen Hotels auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Portals im Rahmen des Beherbergungsvertrags).

5.10 E-Mail-Validierung und Zustellbarkeitsprüfung

Bei der Eingabe von E-Mail-Adressen (z.B. im Buchungs-Widget oder beim Anlegen von Gästen) prüft das System die formale Gültigkeit der Adresse sowie per DNS-Abfrage (MX-Record), ob die E-Mail-Domain grundsätzlich E-Mails empfangen kann. Dabei wird ausschließlich der Domain-Teil der Adresse (z.B. „example.de“) über das Domain Name System abgefragt – die vollständige E-Mail-Adresse wird nicht an Dritte übermittelt. Zusätzlich wird an der Reservierung vermerkt, wenn eine E-Mail an den Gast endgültig unzustellbar war, damit das Hotel die Adresse korrigieren kann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vermeidung von Zustellfehlern).

6. Externe Dienste

Karte in der Buchungsbestätigung (OpenFreeMap)

Nach einer Onlinebuchung zeigen wir dem Gast auf der Bestätigungsseite eine Karte mit der Lage des Hauses. Die Kartensoftware (MapLibre GL JS) liefern wir von unserem eigenen Server aus; die Kartenkacheln stammen von OpenFreeMap. Anbieter ist die Hyperknot Software Kft., Ungarn, die den Dienst auf Servern in Deutschland betreibt und dafür ein Content-Delivery-Netzwerk einsetzen kann.

Für den Abruf der Kacheln wird die IP-Adresse des Gastes technisch übermittelt – ohne sie kann kein Bildinhalt ausgeliefert werden. Nach Angaben des Anbieters werden IP-Adressen nicht in den regulären Serverprotokollen gespeichert, sondern ausschließlich bei einem Sicherheitsvorfall und dann für höchstens 30 Tage. Es werden keine Cookies gesetzt und keine Kennungen auf dem Endgerät abgelegt; eine Einwilligung nach § 25 TDDDG ist daher nicht erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, dem Gast die Lage und Anfahrt zu zeigen).

Die Koordinaten der Hoteladresse ermitteln wir einmalig auf unserem Server über den Dienst Nominatim der OpenStreetMap Foundation und speichern sie beim Haus. Im Browser des Gastes entsteht dafür keine Anfrage; übermittelt wird ausschließlich die Anschrift des Hotels, nicht die des Gastes.

Channelmanager DIRS21 (TourOnline AG)

Hotels können optional den Channelmanager DIRS21 anbinden, um Buchungen von Buchungsportalen (z.B. Booking.com) automatisch zu empfangen sowie Verfügbarkeiten und Preise an die Portale zu übertragen. Anbieter ist die TourOnline AG, Borsigstraße 26, 73249 Wernau, Deutschland (nachfolgend „DIRS21“).

Bei aktivierter Anbindung werden folgende Daten über die DIRS21-Schnittstelle verarbeitet:

• Eingehend (Portal → Hestia PMS): Buchungsdaten inkl. Gastname, Kontaktdaten, Mitreisende, Aufenthaltszeitraum, Zimmerkategorie, Preise und Portal-Buchungsnummer
• Ausgehend (Hestia PMS → Portale): ausschließlich nicht-personenbezogene Daten (Verfügbarkeiten, Preise, An-/Abreisebeschränkungen)

Die Verarbeitung erfolgt ausschließlich auf Servern in Deutschland/der EU. DIRS21 ist als Unterauftragsverarbeiter in unseren Auftragsverarbeitungsvertrag eingebunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beherbergungsvertrags mit dem über das Portal buchenden Gast). Weitere Informationen:

Hinweis für Hotels: Für die Datenverarbeitung durch die Buchungsportale selbst (z.B. Booking.com) sind die Portale bzw. Sie als deren Vertragspartner verantwortlich; diese ist nicht Gegenstand von Hestia PMS.

Support-Chat im Kunden-Dashboard (Crisp) — nur nach Freischaltung

Für den Support können Hotels einen Chat der Crisp IM SAS, 2 Boulevard de Launay, 44100 Nantes, Frankreich, freischalten. Die Freischaltung nimmt ausschließlich die Geschäftsführung oder eine administrationsberechtigte Person des Hotels vor; wir protokollieren dabei, wer sie erteilt hat und wann.

Ohne diese Freischaltung wird kein Skript von Crisp geladen und kein Cookie gesetzt. Nach der Freischaltung übermitteln wir an Crisp den Namen und die E-Mail-Adresse der chattenden Person, den Namen des Betriebs und die Benutzerrolle, damit eine Anfrage zugeordnet werden kann. Gästedaten übermitteln wir nicht automatisch — sie erreichen Crisp nur, wenn Mitarbeitende sie selbst in eine Nachricht schreiben. Genau deshalb ist Crisp als Unterauftragsverarbeiter in unseren Auftragsverarbeitungsvertrag eingebunden.

Crisp speichert die Chatdaten innerhalb der Europäischen Union — Nachrichten in den Niederlanden, Zusatzdaten in Deutschland. Die Server betreibt DigitalOcean über eine dem EU-Recht unterliegende Tochtergesellschaft; für etwaige Übermittlungen in Drittländer stützt sich Crisp auf EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Erbringung des vertraglich geschuldeten Supports, für den Zugriff auf das Endgerät die Freischaltung nach § 25 Abs. 1 TDDDG. Die Freischaltung lässt sich jederzeit in den Einstellungen zurücknehmen. Dieser Chat ist von dem Live-Chat auf der öffentlichen Website getrennt und teilt dessen Verlauf nicht.

Antworten durch ein KI-System: Auch hier kann eine Anfrage zunächst von einem KI-Assistenten beantwortet werden; eine Weiterleitung an einen Menschen ist jederzeit möglich. Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Weitere Informationen:

7. Analyse-Tools

7.1 Vercel Analytics

Zur Reichweitenmessung auf dieser Website nutzen wir Vercel Analytics. Der Dienst setzt keine Cookies und wird nur geladen, wenn Sie im Cookie-Banner die Kategorie Analyse akzeptiert haben — ohne diese Einwilligung wird kein Skript geladen.

Erfasst werden in aggregierter Form Seitenaufrufe, Verweildauer, Gerätetyp und Herkunftsland.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie über „Cookie-Einstellungen“ im Footer jederzeit widerrufen.

7.2 Hestia Booking Widget Analytics

Das in Hestia PMS integrierte Buchungs-Widget erfasst anonyme Nutzungsdaten, um Hotelbetreibern die Optimierung ihrer Buchungsstrecke zu ermöglichen. Es werden ausschließlich nicht-personenbezogene Daten verarbeitet.

Erfasste Daten:

• Anonyme Session-ID (zufällig generiert, kein Personenbezug, kein Bezug zu anderen Datenquellen)
• Gerät (Mobil / Tablet / Desktop)
• Browser-Sprache des Gastes (locale: de / en / fr / it)
• Herkunftsland (2-stelliger ISO-Code, z. B. „AT“, „DE“) – abgeleitet ausschließlich durch das Vercel Edge-Netzwerk anhand der Client-IP; die IP-Adresse selbst wird von Hestia PMS nicht gespeichert oder verarbeitet
• Anonymisiertes Buchungsverhalten (z. B. gewähltes Zimmer, Verpflegungsart, Buchungsabschluss – keine Namen, keine E-Mail-Adressen)

Zweck: Optimierung der Buchungsstrecke durch den Hotelbetreiber (z. B. Analyse von Abbruchraten, Sprachpräferenzen, Herkunftsmärkten).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Hotelbetreibers an der Analyse und Optimierung seines Direktbuchungssystems).

Speicherdauer: Alle Analysedaten werden nach 365 Tagen automatisch gelöscht (TTL-Index in der Datenbank). Eine frühere Löschung auf Anfrage ist möglich.

Lokale Speicherung im Browser (§ 25 Abs. 2 Nr. 2 TDDDG): Das Booking Widget speichert technisch notwendige Daten im Browser des Gastes:

• sessionStorage – Buchungsfortschritt (max. 10 Minuten, wird nach erfolgter Buchung sofort gelöscht)
• localStorage – Sprach-Präferenz des Gastes (kein Personenbezug)

Diese Speicherung ist technisch zwingend erforderlich für die Kernfunktion des Buchungs-Widgets und bedarf daher gemäß § 25 Abs. 2 Nr. 2 TDDDG keiner gesonderten Einwilligung.

8. E-Mail-Versand

Der Versand von E-Mails aus Hestia PMS (z.B. Buchungsbestätigungen, Angebote, Rechnungen) erfolgt über die eigenen E-Mail-Server (SMTP) des jeweiligen Hotels. Hotels können ihre SMTP-Zugangsdaten in den Einstellungen konfigurieren.

Unsere eigenen Systemmails — etwa die Registrierungsbestätigung, Hinweise zum Ablauf der Testphase, Terminbestätigungen, Passwort-Zurücksetzungen und unsere Rechnungen an Sie — versenden wir über Scaleway Transactional Email der Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich. Verarbeitet wird dabei in Rechenzentren innerhalb der Europäischen Union.

Dieser Weg ist von den Gästemails getrennt: Hat ein Hotel keinen eigenen SMTP-Server hinterlegt, bleibt der Gästemailversand aus, statt auf unseren Versanddienst auszuweichen. Scaleway erhält deshalb keine Gästedaten und ist kein Unterauftragsverarbeiter im Sinne unseres Auftragsverarbeitungsvertrags. Rechtsgrundlage für die Systemmails ist Art. 6 Abs. 1 lit. b DSGVO, bei gesetzlich vorgeschriebenen Mitteilungen Art. 6 Abs. 1 lit. c DSGVO.

Wichtig für Hotels: Als Nutzer von Hestia PMS sind Sie selbst für die Auswahl und Konfiguration Ihres E-Mail-Servers verantwortlich. Stellen Sie sicher, dass Ihr E-Mail-Anbieter DSGVO-konform arbeitet und Sie ggf. einen Auftragsverarbeitungsvertrag mit diesem abgeschlossen haben.

Hestia PMS speichert die SMTP-Zugangsdaten verschlüsselt. E-Mails werden direkt vom konfigurierten Server des Hotels versendet, ohne dass die Inhalte über Server des Anbieters geleitet werden.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kommunikation mit Gästen).

9. Zusammenfassung Ihrer Rechte

9.1 Rechte nach DSGVO

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre verarbeiteten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Datenverarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Herausgabe Ihrer Daten in maschinenlesbarem Format verlangen.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Datenverarbeitung widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können erteilte Einwilligungen jederzeit widerrufen.

9.2 Datenexport und Anbieterwechsel

Als Hotel-Nutzer können Sie Ihre Daten unabhängig vom Datenschutzrecht jederzeit selbst exportieren und zu einem anderen Anbieter wechseln. Welche Daten in welchen Formaten und Fristen bereitstehen, regelt § 10 der AGB in Umsetzung des EU Data Act (Verordnung (EU) 2023/2854).

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an:contact@hestia-pms.com

Sind Sie Gast eines Hotels, das Hestia PMS einsetzt? Dann ist für Ihre Daten dieses Hotel verantwortlich und nicht wir — wir verarbeiten sie nur in seinem Auftrag (Art. 28 DSGVO). Auskunft, Berichtigung und Löschung müssen Sie deshalb dort verlangen; die Kontaktdaten stehen in der Datenschutzerklärung und im Impressum des Hotels. Erreicht uns eine solche Anfrage dennoch, leiten wir sie unverzüglich an das Hotel weiter und beantworten sie nicht selbst.

10. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand September 2026. Durch die Weiterentwicklung unserer Website und Angebote oder aufgrund geänderter gesetzlicher beziehungsweise behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern. Die jeweils aktuelle Datenschutzerklärung kann jederzeit auf der Website von Ihnen abgerufen und ausgedruckt werden.