Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten bei der Nutzung von HANS – The hospitality suite („HANS", „die Plattform") verarbeitet werden, zu welchen Zwecken das geschieht und welche Rechte Ihnen nach der Datenschutz-Grundverordnung (DSGVO) zustehen.

1. Verantwortlicher

Verantwortlicher für die Verarbeitung Ihrer Daten im Zusammenhang mit Ihrem HANS-Benutzerkonto ist:

Hannes Schmidt – BRÄND.FRESH
Tribusplatz 4
39011 Lana (BZ), Südtirol – Italien
MwSt.-Nummer (Partita IVA): IT 03049880218
E-Mail: [email protected]

2. Wer ist wofür verantwortlich? (Rollenverteilung)

HANS ist eine Software für Beherbergungsbetriebe. Dabei sind zwei Rollen zu unterscheiden:

• Ihr Benutzerkonto: Für die Daten Ihres persönlichen Zugangs (Abschnitt 3) ist der oben genannte Betreiber der Plattform Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.
• Gäste- und Buchungsdaten: Daten von Gästen (Buchungen, Aufenthalte, Anfragen, Nachrichten, Gastprofile) verarbeitet der jeweilige Beherbergungsbetrieb als Verantwortlicher. Der Betreiber der Plattform verarbeitet diese Daten ausschließlich im Auftrag des Betriebs als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Für Fragen zur Verarbeitung Ihrer Daten als Gast wenden Sie sich bitte an den Betrieb, bei dem Sie gebucht haben.

3. Daten Ihres Benutzerkontos

Eine Selbstregistrierung ist nicht möglich – Zugänge werden ausschließlich vom Administrator Ihres Betriebs bzw. vom Betreiber angelegt. Zu Ihrem Konto verarbeiten wir:

• Name und E-Mail-Adresse,
• Ihr Passwort – ausschließlich als kryptografischer Hash, niemals im Klartext,
• Rolle und Zuordnung zu einem oder mehreren Betrieben innerhalb der Plattform,
• bei aktivierter Zwei-Faktor-Authentifizierung: das TOTP-Geheimnis und Backup-Codes, jeweils verschlüsselt gespeichert,
• Sitzungsdaten (Anmeldezeitpunkt, Ablaufdatum der Sitzung) sowie Einstellungen wie das gewählte Farbschema und die Oberflächensprache.

Zweck und Rechtsgrundlage: Bereitstellung und Absicherung Ihres Zugangs (Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Nutzungsverhältnisses) sowie die Gewährleistung der Systemsicherheit (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren Betrieb).

Nutzungsstatistik: Um zu erkennen, welche Bereiche der Anwendung genutzt werden, und sie danach weiterzuentwickeln, zählen wir Seitenaufrufe. Gespeichert wird je Betrieb, Rolle (z. B. Mitarbeiter, Housekeeping), Oberfläche (Browser, Desktop-App) und Tag nur, welche Seite wie oft geöffnet wurde und von wie vielen Zugängen – ohne Bezug zu Ihrer Person, ohne Uhrzeit und ohne Gäste- oder Buchungsdaten. Dafür wird nichts auf Ihrem Gerät gespeichert, es gibt kein Cookie und keinen Fremddienst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung der Plattform). Ihr Betrieb kann dem jederzeit unter [email protected] widersprechen; die bisherigen Zahlen werden dann gelöscht.

4. Anfragen über die Website

Wer auf hans-suite.com über „Property anfragen" bzw. „Gespräch vereinbaren" ein Angebot anfordert, durchläuft ein mehrstufiges Formular. Dabei verarbeiten wir die Angaben, die Sie dort machen:

• Name, E-Mail-Adresse und – freiwillig – Telefonnummer,
• Name, Art, Ort und Land Ihres Betriebs sowie – freiwillig – dessen Website,
• Anzahl der Einheiten, ein etwaiges bisher genutztes System, die gewünschten Module und eine freiwillige Nachricht,
• technisch: Zeitpunkt, Sprache des Formulars, IP-Adresse und Browser-Kennung – zur Abwehr automatisierter Anfragen (Spam) und zur Nachvollziehbarkeit.

Die Angaben werden auf unseren Servern gespeichert und an unser Postfach übermittelt; Sie erhalten eine Eingangsbestätigung per E-Mail. Bis zum Absenden bleibt ein Entwurf ausschließlich im lokalen Speicher Ihres Browsers.

Zweck und Rechtsgrundlage: Erstellung eines Angebots und Beantwortung Ihrer Anfrage, also vorvertragliche Maßnahmen auf Ihre Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO); die technischen Daten zur Spam-Abwehr verarbeiten wir aus berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO). Eine Weitergabe an Dritte findet nicht statt.

Speicherdauer: Kommt ein Vertrag zustande, werden die Angaben Teil der Vertragsunterlagen. Andernfalls löschen wir die Anfrage spätestens zwölf Monate nach dem letzten Kontakt.

5. Cookies und lokale Speicherung

Die Anwendung selbst (app.hans-suite.com) verwendet ausschließlich technisch notwendige Cookies. Es gibt dort keine Tracking-, Analyse- oder Marketing-Cookies und keine Einbindung von Werbenetzwerken; ein Cookie-Banner ist dafür nicht erforderlich.

• Sitzungs-Cookie: hält Ihre Anmeldung aufrecht. Ohne „Angemeldet bleiben" endet es mit dem Schließen des Browsers; mit „Angemeldet bleiben" bleibt die Sitzung bis zu 30 Tage ohne Aktivität gültig und verlängert sich bei regelmäßiger Nutzung.
• Geräte-Vertrauens-Cookie (optional): Wenn Sie bei der Zwei-Faktor-Anmeldung „Diesem Gerät 30 Tage vertrauen" wählen, merkt sich ein Cookie diese Entscheidung für 30 Tage.
• Lokale Speicherung: Der Browser speichert lokal technische Einstellungen (z. B. das gewählte Farbschema, die Sprache und Zwischenzustände der Oberfläche). Diese Daten verlassen Ihr Gerät nicht zu Analysezwecken.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; die Speicherung ist für den von Ihnen genutzten Dienst technisch erforderlich (§ 25 Abs. 2 TDDDG bzw. entsprechende nationale Umsetzung der ePrivacy-Richtlinie).

Anders auf unserer öffentlichen Website hans-suite.com: Dort setzen wir zusätzlich Statistik- und Marketing-Cookies ein – Google Analytics 4 und Google Ads, eingebunden über den Google Tag Manager. Diese Dienste werden erst geladen, nachdem Sie im Cookie-Banner ausdrücklich zugestimmt haben; bis dahin steht der Google Consent Mode auf „denied" und es werden keine Google-Cookies gesetzt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über „Cookie-Einstellungen" in der Fußzeile mit Wirkung für die Zukunft widerrufen können. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; dabei können Daten an Google LLC in den USA übermittelt werden, gestützt auf die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework. Die IP-Adresse wird von Google Analytics gekürzt verarbeitet. Welche Cookies das im Einzelnen sind, steht in unserer Cookie-Richtlinie.

Erfolgsmessung für Anzeigen in ChatGPT (OpenAI Ads): Nur wenn Sie im Cookie-Banner den Marketing-Cookies zustimmen, laden wir auf hans-suite.com den Messpixel von OpenAI. Er merkt sich, ob Sie über eine Anzeige in ChatGPT gekommen sind (Cookies __oppref, __obref), und meldet Seitenaufrufe sowie das Absenden einer Anfrage. Stellen Sie eine Anfrage, meldet zusätzlich unser Server dieses Ereignis an OpenAI – mit Ihrer E-Mail-Adresse ausschließlich als SHA-256-Prüfsumme (nie im Klartext), dem Land, der IP-Adresse und der Browser-Kennung –, damit OpenAI die Anfrage der Anzeige zuordnen kann. Zum selben Zweck erkennt der Pixel im Anfrageformular Ihre Kontaktangaben: E-Mail-Adresse, Telefonnummer und Name überträgt er ausschließlich als SHA-256-Prüfsumme, Ort, Region und Land im Klartext. Den Namen Ihres Hauses und den Inhalt Ihrer Nachricht erhält OpenAI nicht. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), widerruflich über „Cookie-Einstellungen". Anbieter ist OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland; dabei können Daten an OpenAI, L.L.C. in den USA übermittelt werden, gestützt auf die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework.

6. Hosting und Server-Protokolle

Die Plattform wird auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben; das Rechenzentrum befindet sich in Europa. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Beim Aufruf der Plattform verarbeitet der Webserver automatisch technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung), um den Dienst auszuliefern, Störungen zu erkennen und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Server-Protokolle werden nach 14 Tagen gelöscht, sofern kein sicherheitsrelevanter Vorfall eine längere Aufbewahrung erfordert.

7. Eingesetzte Dienstleister und Drittdienste

Für einzelne Funktionen setzen wir Dienstleister ein, die Daten in unserem Auftrag bzw. im Auftrag des jeweiligen Betriebs verarbeiten:

• Cloudflare (Speicherung von Mediendateien): Hochgeladene Bilder und Dateien (z. B. Zimmerfotos, Logos) werden im Objektspeicher Cloudflare R2 der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, gespeichert und über deren Netzwerk ausgeliefert. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln nach Art. 46 DSGVO.
• Channel-Manager: Sofern der Betrieb die Anbindung an Buchungsportale aktiviert hat, werden Buchungs-, Verfügbarkeits- und Preisdaten über einen Channel-Manager-Dienst mit den angebundenen Portalen (z. B. Booking.com) synchronisiert. Dabei können Gastdaten aus Portalbuchungen (Name, Kontaktdaten, Buchungsdetails, Zahlungsart) in die Plattform übernommen werden. Den eingesetzten Dienstleister benennen wir auf Anfrage.
• E-Mail-Versand: Für Systemnachrichten (z. B. Bestätigung einer E-Mail-Adresse, Benachrichtigungen über neue Buchungen und Anfragen) nutzen wir einen E-Mail-Versanddienst; übertragen werden Empfängeradresse und Nachrichteninhalt.
• Telegram / Slack (optional): Betriebe können Benachrichtigungen über neue Buchungen oder Anfragen zusätzlich an Telegram (Telegram Messenger Inc.) oder Slack (Slack Technologies / Salesforce, Inc.) senden lassen. Diese Kanäle sind nur aktiv, wenn der Betrieb sie selbst einrichtet; übertragen wird der jeweilige Benachrichtigungsinhalt.
• KI-Assistent (Zusatzmodul, optional): Hat der Betrieb den KI-Assistenten gebucht und eingeschaltet, beantwortet ein Sprachmodell Gastfragen im Chat der Angebotsseite und auf der Website des Betriebs. Übertragen werden die Chat-Nachrichten und die zur Antwort nötigen Angebots- und Hausdaten. Das Sprachmodell läuft in einem Rechenzentrum in der EU; die Daten werden nicht zum Training verwendet. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; wir benennen ihn auf Anfrage. Antworten des Assistenten sind als KI gekennzeichnet.

8. Speicherdauer

• Kontodaten speichern wir, solange Ihr Zugang besteht. Wird Ihr Konto gelöscht, werden die zugehörigen Daten entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Sitzungen laufen spätestens 30 Tage nach der letzten Aktivität ab.
• Gäste- und Buchungsdaten werden gemäß den Vorgaben und Aufbewahrungspflichten des jeweiligen Betriebs gespeichert; die Löschfristen bestimmt der Betrieb als Verantwortlicher.
• Anonyme Gespräche mit dem KI-Assistenten auf der Website eines Betriebs (ohne hinterlassene Kontaktdaten) werden nach 90 Tagen gelöscht.
• Die Nutzungsstatistik (Abschnitt 3) wird nach 400 Tagen gelöscht.
• Sicherungskopien (Backups) werden turnusmäßig überschrieben.

9. Datensicherheit

Wir schützen Ihre Daten unter anderem durch:

• TLS-Verschlüsselung sämtlicher Verbindungen (HTTPS),
• Passwort-Speicherung ausschließlich als Hash, Mindestlänge von 12 Zeichen,
• optionale Zwei-Faktor-Authentifizierung (TOTP) mit verschlüsselt gespeicherten Geheimnissen,
• rollenbasierte Zugriffsrechte: Nutzerinnen und Nutzer sehen nur die Betriebe, denen sie zugeordnet sind,
• Vergabe von Zugängen ausschließlich durch Administratoren.

10. Ihre Rechte

Ihnen stehen nach der DSGVO folgende Rechte zu, soweit die jeweiligen Voraussetzungen vorliegen:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an [email protected]. Betrifft Ihr Anliegen Gäste- oder Buchungsdaten eines Betriebs, leiten wir es an den verantwortlichen Betrieb weiter bzw. verweisen Sie an diesen. Außerdem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO) – in Italien beim Garante per la protezione dei dati personali (garanteprivacy.it).

11. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

12. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform, die eingesetzten Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar; das Datum oben zeigt den Stand.