Datenschutzerklärung

Diese Erklärung informiert Sie darüber, welche personenbezogenen Daten wir verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage.

Fassung vom 2026-09-08

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Anbieter

— noch nicht konfiguriert —

E-Mail

—

Vollständige Anbieterangaben finden Sie im Impressum.

Wir sind derzeit nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (§ 38 Abs. 1 BDSG: weniger als 20 Personen sind ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt). Datenschutzanfragen richten Sie an die oben genannte Adresse.

2. Zwei getrennte Rollen

Für das Verständnis dieser Erklärung ist eine Unterscheidung wichtig:

• Als Verantwortlicher verarbeiten wir die Daten, die Sie bei der Registrierung für die Demo selbst angeben, sowie die Daten von Besucherinnen und Besuchern dieser Website. Für diese Verarbeitung gilt die vorliegende Erklärung.
• Als Auftragsverarbeiter verarbeiten wir Daten, die ein Hotel in Form einer Kassendatei (CSV) in die Anwendung importiert. Verantwortlicher bleibt in diesem Fall das Hotel; wir handeln ausschließlich auf dessen Weisung auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO (siehe AVV). Für diese Daten ist die Datenschutzerklärung des Hotels maßgeblich.

3. Verarbeitung im Einzelnen

3.1 Aufruf der Website

Beim Aufruf unserer Seiten übermittelt Ihr Browser technisch notwendige Daten an unseren Hosting-Dienstleister, die in Server-Logs verarbeitet werden: IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, HTTP-Statuscode, übertragene Datenmenge, Referrer und User-Agent.

• Zweck: Bereitstellung der Website, Stabilität und Angriffserkennung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb.
• Speicherdauer: 30 Tage.

Schriftarten werden von unserem eigenen Server ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen Drittanbieter-CDN, sodass Ihre IP-Adresse insoweit nicht an Dritte übermittelt wird.

3.2 Registrierung und Anmeldung zur Demo

Für den Zugang zur Demo erheben wir: Name, geschäftliche E-Mail-Adresse, Unternehmen, Telefonnummer, Funktion sowie ein von Ihnen gewähltes Passwort (das wir ausschließlich als bcrypt-Hash speichern, niemals im Klartext).

• Zweck: Anlage und Verwaltung des Nutzerkontos, Authentifizierung, Verifizierung der E-Mail-Adresse, Begrenzung der Testimporte.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsverhältnisses auf Ihren Antrag).
• Speicherdauer: bis zur Löschung des Kontos. Nicht verifizierte Konten löschen wir nach 30 Tagen.

Die Angabe einer geschäftlichen Adresse ist erforderlich, weil sich das Angebot ausschließlich an Hotelbetriebe richtet.

3.3 Verifizierungs- und Passwort-E-Mails

Zur Bestätigung Ihrer Adresse und zum Zurücksetzen des Passworts versenden wir E-Mails über unseren Dienstleister Resend. Die zugehörigen Token speichern wir nur als SHA-256-Hash, sodass sie auch bei einem Zugriff auf die Datenbank nicht verwendbar sind.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit).
• Speicherdauer: Token 24 Stunden bzw. 60 Minuten.

3.4 Schutz vor Missbrauch

Um automatisierte Registrierungen und Angriffe auf Zugangsdaten abzuwehren, protokollieren wir Registrierungs- und Anmeldeversuche (einschließlich IP-Adresse und Zeitpunkt) und setzen auf dem Registrierungsformular Cloudflare Turnstile ein.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse: Abwehr von Missbrauch, Schutz der Konten unserer Nutzer.
• Speicherdauer: 30 Tage.

3.5 CSV-Import (Rolle als Auftragsverarbeiter)

Importierte Kassendateien werden ausschließlich im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert. In der Datenbank halten wir nur Metadaten des Imports: Dateiname, Zeilenanzahl, Zeitpunkt und die von Ihnen gewählte Spaltenzuordnung.

Dateien, die eine vollständige Zahlungskartennummer enthalten, weisen wir automatisch ab. Wir verarbeiten ausschließlich verkürzte Kartendaten (die letzten vier Stellen).

• Rechtsgrundlage: Art. 28 DSGVO in Verbindung mit dem Auftragsverarbeitungsvertrag; verantwortlich bleibt das Hotel.
• Speicherdauer: Inhalte maximal 60 Minuten im Arbeitsspeicher; Metadaten bis zur Kontolöschung.

3.6 Marketing-E-Mails

Wenn Sie bei der Registrierung ausdrücklich zugestimmt haben, senden wir Ihnen gelegentlich Produktinformationen. Die Zustimmung erfolgt im Double-Opt-in-Verfahren: Sie erhalten eine Bestätigungs-E-Mail und werden erst nach Ihrer Bestätigung aufgenommen. Wir dokumentieren Zeitpunkt, IP-Adresse und die Fassung des Zustimmungstextes.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG.
• Widerruf: jederzeit über den Abmeldelink in jeder E-Mail oder per Nachricht an uns. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.
• Speicherdauer: Nachweis der Zustimmung 3 Jahre nach Widerruf (Beweislast nach Art. 7 Abs. 1 DSGVO).

4. Cookies und ähnliche Technologien

Wir verwenden ausschließlich technisch notwendige Cookies. Ein Einwilligungsbanner ist daher nicht erforderlich, weil § 25 Abs. 2 Nr. 2 TDDDG die Speicherung ausnimmt, die für die Bereitstellung eines vom Nutzer ausdrücklich gewünschten Dienstes unbedingt erforderlich ist. Nach den Hinweisen der Datenschutzkonferenz soll in diesem Fall gerade kein Banner angezeigt werden, da eine Auswahl ohne echte Wahlmöglichkeit irreführend wäre.

Konkret setzen wir:

• Sitzungs-Cookie (authjs.session-token, in Produktion __Secure-authjs.session-token): hält Ihre Anmeldung aufrecht. Erforderlich; Laufzeit maximal 12 Stunden.
• CSRF-Cookie (authjs.csrf-token): schützt Formulare vor websiteübergreifender Anfragenfälschung. Erforderlich; Sitzungsdauer.
• Sprachwahl (closewise_locale): merkt die von Ihnen gewählte Sprache. Erforderlich für die von Ihnen gewünschte Darstellung; Laufzeit 12 Monate.

Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies und binden weder Google Analytics noch Werbe-Pixel ein.

5. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein. Eine jederzeit aktuelle Fassung finden Sie unter Unterauftragsverarbeiter.

6. Übermittlung in Drittländer

Unsere Datenbank wird in der Europäischen Union betrieben (Region Irland, eu-west-1). Einige der oben genannten Dienstleister haben ihren Sitz in den Vereinigten Staaten. Soweit dabei personenbezogene Daten in ein Drittland übermittelt werden, stützen wir uns auf die Standarddatenschutzklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt durch den Angemessenheitsbeschluss zum EU-US Data Privacy Framework nach Art. 45 DSGVO, soweit der jeweilige Empfänger zertifiziert ist.

Der Angemessenheitsbeschluss ist derzeit in Kraft; ein Rechtsmittelverfahren ist beim Gerichtshof der Europäischen Union anhängig (C-703/25 P). Wir haben die Standarddatenschutzklauseln deshalb durchgehend als tragende Grundlage vereinbart, damit die Übermittlung auch bei einem Wegfall des Beschlusses rechtmäßig bleibt. Eine Kopie der Garantien können Sie bei uns anfordern.

7. Speicherdauer

Wir löschen personenbezogene Daten, sobald der Zweck entfällt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Die konkreten Fristen sind bei den jeweiligen Verarbeitungen oben genannt und werden automatisiert durchgesetzt.

8. Ihre Rechte

Sie haben jederzeit das Recht:

• auf Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• auf Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• auf Löschung (Art. 17 DSGVO),
• auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
• auf Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO),
• auf Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO),
• auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Auskunft und Löschung können Sie unmittelbar in der Anwendung unter Meine Daten ausüben: Sie erhalten dort einen vollständigen Export im JSON-Format und können Ihr Konto einschließlich aller zugehörigen Daten löschen. Alternativ genügt eine Nachricht an unsere Kontaktadresse. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Unabhängig davon können Sie sich bei einer Aufsichtsbehörde beschweren, insbesondere bei der Berliner Beauftragte für Datenschutz und Informationsfreiheit oder der Behörde Ihres gewöhnlichen Aufenthaltsorts (Art. 77 DSGVO).

9. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die Abstimmung des Tagesabschlusses erfolgt regelbasiert und dient der Vorlage an die zuständige Person; eine Entscheidung über Personen wird dabei nicht getroffen.

10. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören durchgehende Transportverschlüsselung (TLS), Verschlüsselung der Datenbank im Ruhezustand, Speicherung von Passwörtern ausschließlich als bcrypt-Hash, Speicherung von Token ausschließlich als SHA-256-Hash, Zugriff auf die Datenbank über eine Rolle mit minimalen Rechten, Begrenzung der Anmeldeversuche sowie Protokollierung ohne personenbezogene Inhalte. Eine ausführliche Darstellung enthält die Anlage TOM zum Auftragsverarbeitungsvertrag.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Die jeweils geltende Fassung ist mit einem Versionsdatum versehen; die aktuelle Fassung trägt das Datum 2026-09-08.