Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Sollte künftig eine gesetzliche Benennungspflicht bestehen oder freiwillig ein Datenschutzbeauftragter bestellt werden, werden die Kontaktdaten an dieser Stelle ergänzt.

2. Allgemeine Hinweise zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Website und SaaS-Plattform, zur Vertragsdurchführung, zur Kommunikation, zur Zahlungsabwicklung, zur Sicherheit unserer Systeme oder auf Grundlage einer Einwilligung erforderlich ist.

Je nach Verarbeitung stützen wir uns insbesondere auf Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen) und – sofern eine Einwilligung eingeholt wird – Art. 6 Abs. 1 lit. a DSGVO.

Wir setzen technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Manipulation, unbefugtem Zugriff und sonstiger unrechtmäßiger Verarbeitung zu schützen. Die Übertragung zwischen Ihrem Browser und unseren Systemen erfolgt verschlüsselt (HTTPS).

3. Hosting

Unsere Plattform-Server (Programmierschnittstelle, Datenabruf und E-Mail-Versand) werden auf Serverinfrastruktur der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben. Der verwendete Serverstandort befindet sich in Helsinki, Finnland.

Die Website-Oberfläche wird über die Plattform Lovable bereitgestellt, die für die Auslieferung das weltweite Netzwerk von Cloudflare nutzt.

Beim Aufruf der Website und der Plattform werden technisch erforderliche Verbindungs- und Serverdaten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, angeforderte Ressource, Browser- und Geräteinformationen sowie technische Fehler- und Sicherheitsinformationen.

Die Verarbeitung erfolgt zur sicheren und stabilen Bereitstellung der Website und Plattform auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, störungsfreien und wirtschaftlichen Betrieb unseres Onlineangebots. Soweit Dienstleister Daten in unserem Auftrag verarbeiten, erfolgt dies auf Grundlage einer Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

4. Bestellung, Registrierung und Benutzerkonto (Supabase)

Die Plattform richtet sich ausschließlich an Geschäftskunden. Bei der Bestellung ist eine Bestätigung erforderlich, dass der Kunde im Rahmen einer gewerblichen oder selbständigen beruflichen Tätigkeit handelt. Nach Auswahl des Tarifs und der Bezahlung gibt der Kunde die Daten für die Einrichtung seines Kontos an.

Im Zusammenhang mit Registrierung und Benutzerkonto verarbeiten wir insbesondere:

• Vor- und Nachname sowie E-Mail-Adresse der angegebenen Benutzer;
• Hotelname, ggf. Hotelkette, Hotelanschrift und Hotel-Website;
• die angegebenen Wettbewerber (Compset) mit Name, Ort und ggf. Link;
• Authentifizierungsdaten bzw. technisch gesicherte Passwortinformationen;
• Authentifizierungsprotokolle und Plattformlogs.

Für Datenbank, Benutzerkonten, Login und Authentifizierung setzen wir Supabase ein. Die Projektdaten werden in der Supabase-Region Frankfurt am Main (EU) gespeichert.

Die Verarbeitung erfolgt zur Einrichtung und Durchführung des Nutzungsvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO sowie zur Gewährleistung von IT-Sicherheit und Missbrauchsschutz auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Für Passwort-Reset und Kontobenachrichtigungen werden die hierfür erforderlichen Kontaktdaten und technischen Informationen verarbeitet.

Authentifizierungs- und technische Plattformlogs werden höchstens sieben Tage gespeichert. Kontodaten werden gespeichert, solange das Konto besteht, und nach einer vom Nutzer veranlassten Kontolöschung entfernt, soweit keine gesetzlichen Aufbewahrungspflichten oder andere Rechtsgründe entgegenstehen.

Supabase ist ein Anbieter mit Sitz in den USA. Im Rahmen bestimmter Support-, Sicherheits- oder Unterauftragnehmerprozesse können internationale Datenübermittlungen stattfinden. Soweit erforderlich, stützen sich solche Übermittlungen auf einen Angemessenheitsbeschluss oder geeignete Garantien im Sinne der Art. 44 ff. DSGVO, insbesondere Standardvertragsklauseln.

5. Nutzung der Plattform und Kundendaten

Für die Bereitstellung der Plattform verarbeiten wir vom Kunden eingegebene oder für den Kunden konfigurierte Unternehmensdaten. Dazu gehören insbesondere:

• Hotelname und Hotelanschrift;
• ausgewählte Wettbewerber (Compset);
• Preis- und Kategoriedaten;
• Aufenthaltsdauer und Anzahl der Gäste der Preisabrufe;
• Restriktionen wie Mindestaufenthalte, soweit im gebuchten Tarif enthalten;
• vom Kunden eingetragene Events und Kalenderdaten;
• Einstellungen für Messebenachrichtigungen (Umkreis, zusätzliche Städte) und für geplante Preis-Reports per E-Mail (Empfänger, Zeitpunkte, Filter);
• Nachrichten im Support-Chat der Plattform.

Soweit diese Angaben personenbezogene Daten enthalten, erfolgt die Verarbeitung zur Durchführung des Vertrags gemäß Art. 6 Abs. 1 lit. b DSGVO bzw. zur Wahrung berechtigter betrieblicher Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO.

Wir erstellen keine Verhaltens- oder Nutzungsprofile und setzen innerhalb der Plattform kein Analytics zur Auswertung einzelner Nutzer ein. Verarbeitet werden lediglich technisch notwendige Plattform- und Authentifizierungslogs.

6. Externe Hotel-, Markt- und Reviewdaten

Die Plattform verarbeitet Daten aus externen Quellen, die für Rate Shopping, Marktvergleiche, Reviews, Messen und vergleichbare Analysefunktionen genutzt werden. Die konkrete technische Datenquelle ist Bestandteil unserer internen Systemarchitektur und wird hier nur insoweit beschrieben, wie dies datenschutzrechtlich erforderlich ist.

Der Abruf bestimmter externer Daten erfolgt automatisiert (Scraping). Dabei werden keine personenbezogenen Kundendaten an die jeweilige Datenquelle übermittelt. Technisch unvermeidbare Verbindungsdaten des abrufenden Systems können beim externen Anbieter anfallen.

Im Bereich Reviews speichern wir insbesondere den öffentlich angezeigten Anzeigenamen des Bewertenden sowie den veröffentlichten Bewertungstext. Diese Informationen stammen aus öffentlich zugänglichen externen Bewertungsquellen und werden zur Bereitstellung von Bewertungsvergleichen und Zusammenfassungen verarbeitet.

Soweit Anzeigenamen oder Reviewtexte personenbezogene Daten enthalten, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Bereitstellung eines B2B-Analyseprodukts zur Beobachtung und Auswertung öffentlich verfügbarer Hotelbewertungen. Dabei berücksichtigen wir insbesondere die öffentliche Zugänglichkeit der Daten, den geschäftlichen Kontext der Plattform und die Interessen der betroffenen Personen.

Bei personenbezogenen Daten, die nicht unmittelbar bei der betroffenen Person erhoben wurden, gelten die Informationsanforderungen des Art. 14 DSGVO. Die Daten stammen aus öffentlich zugänglichen Quellen. Soweit eine individuelle Information im Einzelfall rechtlich nicht erforderlich bzw. nur mit unverhältnismäßigem Aufwand möglich ist, stellen wir die wesentlichen Informationen über diese öffentlich zugängliche Datenschutzerklärung bereit. Betroffene Personen können ihre Rechte jederzeit über die oben genannten Kontaktdaten geltend machen, insbesondere der Verarbeitung widersprechen (siehe Abschnitt 17).

7. Kontaktformular und geschäftliche Kommunikation

Über unser Kontaktformular verarbeiten wir Name, E-Mail-Adresse und Nachricht. Die Anfrage wird in unserer Datenbank gespeichert, intern per E-Mail gemeldet und von uns per E-Mail beantwortet.

Die Datenverarbeitung erfolgt zur Bearbeitung der Anfrage. Bezieht sich die Anfrage auf die Anbahnung oder Durchführung eines Vertrags, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Im Übrigen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der effizienten Bearbeitung geschäftlicher Anfragen.

Für unsere geschäftliche E-Mail-Kommunikation sowie die Bearbeitung von Kontaktanfragen verwenden wir Microsoft 365 / Outlook. Dabei werden insbesondere Absender- und Empfängerdaten, Nachrichteninhalte, Zeitpunkte sowie technische Zustellinformationen verarbeitet. Microsoft kann im Rahmen seiner Onlinedienste Kundendaten innerhalb der EU-Datengrenze verarbeiten; für einzelne Funktionen können begrenzte Übermittlungen außerhalb der EU bzw. des EWR stattfinden. Soweit erforderlich, erfolgen solche Übermittlungen auf Grundlage anerkannter Übermittlungsmechanismen und des Microsoft-Datenschutznachtrags.

8. Transaktions- und System-E-Mails (Resend)

Für den Versand automatisierter E-Mails setzen wir Resend ein. Dies betrifft insbesondere Passwort-Reset, Rechnungs- bzw. Zahlungsinformationen, Hinweise zu fehlgeschlagenen Zahlungen, Kündigungsbestätigungen, Informationen zur Kontolöschung, Messebenachrichtigungen, vom Kunden geplante Preis-Reports sowie Antworten auf Kontaktanfragen.

Dabei werden insbesondere E-Mail-Adresse, ggf. Name, Inhalt der jeweiligen Nachricht sowie technische Zustell- und Protokolldaten verarbeitet. Rechtsgrundlage ist je nach Nachricht Art. 6 Abs. 1 lit. b, lit. c oder lit. f DSGVO.

Resend ist ein Anbieter mit Sitz in den USA. Soweit personenbezogene Daten in die USA oder andere Drittländer übermittelt werden, erfolgt dies auf Grundlage der jeweils anwendbaren Garantien gemäß Art. 44 ff. DSGVO, etwa eines Angemessenheitsbeschlusses, des EU-US Data Privacy Framework oder von Standardvertragsklauseln.

9. Newsletter und Messe-Infos

Sie können auf unserer Website unseren Newsletter abonnieren – wahlweise nur den Newsletter oder zusätzlich Informationen zu neuen Messen und Events an von Ihnen gewählten Städten im gewählten Umkreis. Dafür verarbeiten wir Ihre E-Mail-Adresse, freiwillig Ihren Namen und Ihr Hotel bzw. Unternehmen, die gewählten Städte und den Umkreis sowie Zeitpunkt und Wortlaut Ihrer Einwilligung als Nachweis. Ein Benutzerkonto wird dafür nicht angelegt. Der Versand erfolgt über Resend.

Die Anmeldung wird mit dem Absenden des Formulars und Ihrer Einwilligung wirksam. Anschließend erhalten Sie eine Willkommens-E-Mail mit einer Übersicht Ihres Abonnements.

Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, insbesondere über den Abmeldelink, der in jeder E-Mail enthalten ist.

10. Zahlungsabwicklung (Stripe)

Für Abonnements, Zahlungen, Rechnungsstellung und das Kundenportal setzen wir Stripe ein, insbesondere Stripe Payments, Billing, Invoicing und Customer Portal. Die Software von Stripe wird erst auf der Bezahlseite geladen.

Im Rahmen des Checkouts und der Zahlungsabwicklung verarbeitet Stripe die für die jeweilige Zahlung erforderlichen Daten. Dazu können insbesondere Name, E-Mail-Adresse, Rechnungs- und Unternehmensdaten einschließlich Umsatzsteuer-Identifikationsnummer, Zahlungsdaten, Betrag, Währung, IP-Adresse, Geräte- und Browserinformationen sowie Informationen zur Betrugsprävention gehören. Stripe kann hierfür auch technisch erforderliche Cookies oder vergleichbare Technologien einsetzen.

Die Verarbeitung erfolgt zur Vertragsdurchführung gemäß Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung rechtlicher Pflichten gemäß Art. 6 Abs. 1 lit. c DSGVO sowie – insbesondere im Bereich Betrugsprävention und Sicherheit – auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Zahlungsdaten werden unmittelbar durch Stripe verarbeitet; wir erhalten nur die für Vertragsverwaltung, Zahlungsstatus, Rechnungsstellung und Buchhaltung erforderlichen Informationen.

Für Kunden im EWR wird die Zahlungsabwicklung insbesondere durch Stripe Payments Europe, Limited, Irland, erbracht. Stripe kann Daten auch in den USA und weiteren Ländern verarbeiten und nutzt hierfür nach eigenen Angaben unter anderem das EU-US Data Privacy Framework und Standardvertragsklauseln.

11. API-Dokumentation (Scalar)

Für die Darstellung unserer technischen API-Dokumentation verwenden wir die Open-Source-Software Scalar. Die Dokumentationsseite wird von unserem Server ausgeliefert; die Darstellungskomponente lädt sie über das Content-Delivery-Netzwerk jsDelivr. Beim Aufruf werden dabei technisch erforderliche Zugriffsdaten wie IP-Adresse, Zeitpunkt des Zugriffs sowie Browser- und Geräteinformationen an den Betreiber des Netzwerks übermittelt.

Die Verarbeitung erfolgt zur Bereitstellung der technischen Dokumentation auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

12. Verbindung mit KI-Assistenten (Claude, ChatGPT)

Kunden können ihr Benutzerkonto freiwillig mit einem KI-Assistenten wie Claude (Anthropic) oder ChatGPT (OpenAI) verbinden, um Fragen zu ihrer Marktposition in natürlicher Sprache zu stellen. Die Verbindung kommt nur zustande, wenn der Kunde sie in dem jeweiligen Assistenten einrichtet, sich mit seinem Konto anmeldet und den Zugriff auf unserer Zustimmungsseite ausdrücklich erlaubt.

Der Assistent erhält danach ausschließlich lesenden Zugriff auf die Daten der Hotels, die dem Benutzerkonto zugeordnet sind, insbesondere Preis-, Verfügbarkeits- und Restriktionsdaten des Compsets, Bewertungs- und Themenauswertungen sowie Messen und Events. Welche Daten im Einzelnen abgerufen werden, ergibt sich aus den Fragen, die der Kunde dem Assistenten stellt. Die abgerufenen Daten werden an den Anbieter des Assistenten übermittelt und dort nach dessen Datenschutzbestimmungen verarbeitet; dabei kann es zu Übermittlungen in Drittländer, insbesondere die USA, kommen (siehe Ziffer 14). Für die Verarbeitung durch den Anbieter des Assistenten ist der Kunde bzw. der Anbieter selbst verantwortlich.

Für die Anmeldung speichern wir die erteilte Zustimmung, die Kennung der verbundenen Anwendung sowie die ausgegebenen Zugriffstoken. Die Verarbeitung erfolgt zur Erfüllung des Vertrags auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Der Zugriff kann jederzeit in den Einstellungen unter „KI-Assistenten“ entzogen werden; die zugehörigen Token werden dann ungültig.

13. Cookies und ähnliche Technologien

Wir setzen keine Analyse- oder Marketingtools wie Google Analytics, Meta Pixel, Hotjar oder vergleichbare Trackingdienste ein. Schriftarten werden von unserem eigenen Server geladen, nicht von externen Anbietern.

Für Login und Sitzungsverwaltung speichert die Plattform die Anmeldung im lokalen Speicher Ihres Browsers (Local Storage). Während der Registrierung werden Ihre Eingaben vorübergehend im Sitzungsspeicher (Session Storage) abgelegt, damit sie beim Neuladen nicht verloren gehen. Diese Technologien dienen ausschließlich der Bereitstellung ausdrücklich gewünschter Funktionen bzw. der sicheren Vertragsabwicklung; nach § 25 Abs. 2 TDDDG ist hierfür keine Einwilligung erforderlich.

Stripe kann im Checkout technisch erforderliche bzw. sicherheitsbezogene Technologien zur Betrugsprävention einsetzen. Sollte künftig nicht notwendiges Analyse- oder Marketingtracking eingeführt werden, holen wir vorher die erforderliche Einwilligung ein und passen diese Datenschutzerklärung an.

14. Datenübermittlungen in Drittländer

Einzelne von uns eingesetzte Anbieter haben Unternehmenssitze außerhalb des Europäischen Wirtschaftsraums oder können Daten im Rahmen bestimmter Support-, Sicherheits- oder Betriebsprozesse außerhalb des EWR verarbeiten. Dies betrifft insbesondere Supabase, Resend, Stripe, Cloudflare und in begrenzten Fällen Microsoft.

Drittlandübermittlungen erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Je nach Anbieter kommen insbesondere Angemessenheitsbeschlüsse der Europäischen Kommission, eine Zertifizierung nach dem EU-US Data Privacy Framework oder Standardvertragsklauseln in Betracht.

15. Auftragsverarbeiter und Empfänger

Je nach Verarbeitung können personenbezogene Daten an folgende Empfänger gelangen:

• Hetzner – Serverbetrieb der Plattform;
• Lovable und Cloudflare – Bereitstellung der Website-Oberfläche;
• Supabase – Datenbank, Authentifizierung und Plattforminfrastruktur;
• Stripe – Zahlungsabwicklung, Billing, Rechnungen und Kundenportal;
• Resend – Transaktions-, System- und Newsletter-E-Mails;
• Microsoft 365 / Outlook – geschäftliche E-Mail-Kommunikation;
• jsDelivr – Auslieferung der Darstellungskomponente der API-Dokumentation;
• Steuerberater, Rechtsberater, Behörden oder sonstige Empfänger, soweit dies gesetzlich erforderlich oder zur Rechtsdurchsetzung notwendig ist.

Soweit ein Dienstleister personenbezogene Daten in unserem Auftrag verarbeitet, schließen wir eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

16. Speicherdauer und Archivkonto

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:

• Authentifizierungs- und Plattformlogs: höchstens sieben Tage;
• Benutzerkonto und zugehörige Kontodaten: bis zur Kontolöschung durch den Nutzer bzw. bis eine anderweitige Löschpflicht eintritt;
• nach Ende eines kostenpflichtigen Abonnements: Fortführung als kostenloses Archivkonto; historische Plattformdaten bleiben ohne Aktualisierung zugänglich, bis das Konto gelöscht wird;
• Kontaktanfragen und Kommunikation: bis zur abschließenden Bearbeitung und anschließend im Rahmen gesetzlicher oder berechtigter Aufbewahrungsinteressen;
• Zahlungs-, Rechnungs- und Buchhaltungsdaten: entsprechend den gesetzlichen Aufbewahrungspflichten;
• Newsletter- und Messe-Info-Daten: bis zum Widerruf der Einwilligung; der Nachweis der Einwilligung kann darüber hinaus im Rahmen gesetzlicher Verjährungs- und Nachweispflichten gespeichert werden.

Für bei externen Dienstleistern verarbeitete Daten können ergänzend deren vertragliche bzw. gesetzliche Aufbewahrungsfristen gelten. Soweit wir Einfluss auf die Speicherung haben, konfigurieren wir sie nach dem Grundsatz der Datenminimierung.

17. Kontolöschung

Nutzer können ihr gesamtes Konto in den Einstellungen unter „Konto verwalten“ löschen. Mit der Löschung endet auch ein kostenloses Archivkonto. Wir löschen anschließend die nicht mehr erforderlichen personenbezogenen Konto- und Plattformdaten, soweit keine gesetzlichen Aufbewahrungspflichten, offenen Ansprüche oder sonstigen Rechtsgründe eine weitere Speicherung rechtfertigen. Rechnungen und sonstige steuer- oder handelsrechtlich aufzubewahrende Unterlagen werden nicht allein aufgrund einer Kontolöschung vorzeitig gelöscht.

18. Ihre Rechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft über die verarbeiteten personenbezogenen Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung personenbezogener Daten (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO), soweit anwendbar;
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte erreichen Sie uns unter den in Abschnitt 1 genannten Kontaktdaten.

Widerspruchsrecht bei berechtigten Interessen

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit das Recht, dieser Verarbeitung gemäß Art. 21 DSGVO zu widersprechen. Dies kann insbesondere für personenbezogene Angaben in öffentlich zugänglichen Reviews relevant sein. Im Fall eines Widerspruchs verarbeiten wir die betreffenden Daten nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

19. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren, insbesondere bei der Aufsichtsbehörde Ihres Aufenthalts- oder Arbeitsorts oder am Sitz unseres Unternehmens. Für uns zuständig ist:

20. Keine automatisierte Entscheidungsfindung

Wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen im Sinne des Art. 22 DSGVO, die gegenüber betroffenen Personen rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen, technischen Systeme, Dienstleister oder rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung finden Sie auf dieser Seite. Ergänzend gelten unsere AGB.