VOLLSTÄNDIGE DSGVO-INFORMATION

Vezpa - Property Management System

Konformität mit der EU-Verordnung 2016/679

Letzte Aktualisierung: 5. November 2026

📌 Rechtlicher Vorrang: Dieses Dokument ist eine unverbindliche Übersetzung des italienischen Originals. Bei Abweichungen zwischen dieser Übersetzung und der italienischen Version ist die italienische Version maßgebend. Italienisches Original hier verfügbar: https://vezpa.it/gdpr/.
✅ DSGVO-Ansatz: Vezpa ergreift angemessene technische und organisatorische Maßnahmen zur Einhaltung der EU-Verordnung 2016/679. Dieses Dokument beschreibt im Detail, wie wir personenbezogene Daten verarbeiten, welche Sicherheitsmaßnahmen wir ergreifen und wie wir als Auftragsverarbeiter im Auftrag der Beherbergungsbetriebe agieren.

1. Einleitung und Anwendungsbereich

Die vorliegende Information beschreibt, wie Vezpa di Paolo Vezzola (nachstehend "Vezpa" oder "Wir") personenbezogene Daten in Übereinstimmung mit folgenden Vorschriften verarbeitet:

1.1 Geltungsbereich

Diese Information gilt für:

1.2 Doppelte Rolle von Vezpa

Vezpa agiert in zwei unterschiedlichen Rollen:

  • VERANTWORTLICHER Für die Daten der Betreiber der Betriebe (Kunden)
  • AUFTRAGSVERARBEITER Für die Daten der Gäste (wir verarbeiten Daten auf Weisung des Betreibers des Betriebs)

2. Identität und Kontaktdaten des Verantwortlichen

Verantwortlicher:

Vezpa di Paolo Vezzola
Sitz: Desenzano del Garda (BS), 25015, via San Zeno 67
USt-IdNr.: 04449070988
Steuernummer: VZZPLA84C10D284C
PEC: lavezpa@pec.it
E-Mail: info@vezpa.it

3. Kategorien der verarbeiteten personenbezogenen Daten

3.1 Daten der Betreiber (Kunden)

Kategorie Art der Daten Verpflichtend
Identifikationsdaten Vorname, Nachname, Geburtsdatum, Steuernummer ✅ Verpflichtend
Kontaktdaten E-Mail, Telefon, Adresse ✅ Verpflichtend
Unternehmensdaten Firmenname, USt-IdNr., Betriebsdaten ✅ Verpflichtend
Zahlungsdaten IBAN, Kreditkarte (über Stripe) ✅ Verpflichtend für Abonnement
Nutzungsdaten Zugriffs-Logs, IP, Aktivität auf der Plattform ⚙️ Automatisch
Kommunikationsdaten E-Mail, Support-Chat, Tickets 📝 Freiwillig

3.2 Daten der Gäste (als Auftragsverarbeiter)

Kategorie Art der Daten Rechtsgrundlage (des Verantwortlichen)
Stammdaten Vorname, Nachname, Geburtsdatum und -ort, Staatsangehörigkeit, Geschlecht Rechtliche Verpflichtung (Art. 109 italienisches TULPS-Gesetz und gleichwertige EU-Vorschriften; in Österreich Meldegesetz)
Ausweisdokument Art, Nummer, Ausstellungsdatum, Behörde, gescanntes oder fotografiertes Bild Rechtliche Verpflichtung
OCR-Extraktion Automatisch aus dem Dokument extrahierte Textdaten (Name, Datum, Nummer) Vertragserfüllung (Art. 6 Abs. 1 lit. b) - nur zur Erleichterung der Dateneingabe durch den Bediener, ohne Analyse-, Profilbildungs- oder eigenständige Entscheidungszwecke
Kontaktdaten E-Mail, Telefon, Adresse Vertragserfüllung
Buchungsdaten Aufenthaltsdaten, Anzahl der Gäste, Zimmer, Preise, Verpflegung Vertragserfüllung
Zahlungsdaten Transaktionen, Belege (Kartendaten von Stripe verwaltet, nicht bei Vezpa gespeichert) Vertragserfüllung + steuerliche Verpflichtung
⚠️ Besondere Kategorien (Art. 9 DSGVO):

Die erhobenen Ausweisdokumente können Elemente enthalten, die als "besondere Kategorien" im Sinne von Art. 9 DSGVO eingestuft werden können, typischerweise:

  • Geburtsort (aus dem die ethnische Herkunft abgeleitet werden kann)
  • Lichtbild des Gesichts (nicht für automatisierte biometrische Erkennung verwendet)

Rechtmäßigkeit der Verarbeitung: Art. 9 Abs. 2 lit. b (Erfüllung von Pflichten im Bereich Arbeitsrecht, Sicherheit und Sozialschutz), 9 Abs. 2 lit. g (Gründe eines erheblichen öffentlichen Interesses — Meldungen der öffentlichen Sicherheit) und 9 Abs. 2 lit. f (Geltendmachung von Rechten). Zwecke begrenzt auf gesetzliche Pflichten gegenüber Behörden.

Zusätzliche Maßnahmen: Zugriff beschränkt auf die befugten Rollen (Direktor, Assistent), keine Profilbildung auf Basis dieser Daten, keine Übermittlung an Dritte außerhalb der empfangsberechtigten Behörden.

Vezpa erhebt nicht absichtlich weitere besondere Daten (politische/religiöse Überzeugungen, Gesundheitsdaten, genetische Daten, sexuelle Orientierung). Sollten solche Daten vom Nutzer versehentlich eingegeben werden, sind sie unverzüglich zu entfernen.

4. Zwecke und Rechtsgrundlage der Verarbeitung

4.1 Für die Betreiber (Kunden)

Zweck Rechtsgrundlage (Art. 6 DSGVO) Aufbewahrung
Bereitstellung PMS-Dienst Art. 6 Abs. 1 lit. b - Vertragserfüllung Vertragsdauer + 10 Jahre
Rechnungsstellung und Buchhaltung Art. 6 Abs. 1 lit. c - Rechtliche Verpflichtung 10 Jahre (steuerliche Pflicht; in AT 7 Jahre gemäß §132 BAO)
Kundensupport Art. 6 Abs. 1 lit. b - Vertragserfüllung Vertragsdauer + 2 Jahre
Sicherheit und Betrugsprävention (Anwendungs-Logs, Anomalien) Art. 6 Abs. 1 lit. f - Berechtigtes Interesse 12 Monate als Standard, bis zu 24 Monate bei dokumentierten laufenden Untersuchungen (Maßnahme Nr. 352/2022 der italienischen Datenschutzbehörde Garante)
Verbesserung des Dienstes Art. 6 Abs. 1 lit. f - Berechtigtes Interesse 2 Jahre (anonymisierte aggregierte Daten)
Direktmarketing Art. 6 Abs. 1 lit. a - Einwilligung Bis zum Widerruf der Einwilligung
Verteidigung von Rechten vor Gericht Art. 6 Abs. 1 lit. f - Berechtigtes Interesse 10 Jahre

4.2 Für die Gäste (auf Weisung des Betreibers)

Zweck Rechtsgrundlage Aufbewahrung
Gästeregistrierung und Polizeimeldung Art. 6 Abs. 1 lit. c - Rechtliche Verpflichtung (Art. 109 italienisches TULPS-Gesetz, GvD 159/2011; in AT Meldegesetz) Mindestens 2 Jahre
ISTAT-Meldungen (IT) Art. 6 Abs. 1 lit. c - Rechtliche Verpflichtung Gemäß ISTAT-Vorschriften
Ortstaxe / Nächtigungsabgabe Art. 6 Abs. 1 lit. c - Rechtliche Verpflichtung Gemäß kommunalen Vorschriften
Buchungs- und Aufenthaltsverwaltung Art. 6 Abs. 1 lit. b - Vertragserfüllung 10 Jahre (steuerliche Zwecke)
Online-Check-in und Mitteilungen Art. 6 Abs. 1 lit. b - Vertragserfüllung Dauer des Aufenthalts + Aufbewahrungsfrist des Betriebs
📌 Hinweis zur Einwilligung:

Für viele Aktivitäten ist KEINE Einwilligung erforderlich, da sie sich stützen auf:

  • ✅ Vertragserfüllung (Sie selbst haben den Dienst angefordert)
  • ✅ Rechtliche Verpflichtungen (Pflichtmeldungen an Behörden)
  • ✅ Berechtigtes Interesse (Sicherheit, Verbesserung des Dienstes)

Einwilligung ist NUR für Marketing und Profilbildung erforderlich.

5. Art der Verarbeitung

5.1 Grundsätze der Verarbeitung (Art. 5 DSGVO)

Vezpa verarbeitet personenbezogene Daten unter Beachtung folgender Grundsätze:

5.2 Verarbeitungsmittel

Die Daten werden wie folgt verarbeitet:

5.3 Zugriffsmodalitäten

Die Daten sind zugänglich für:

6. Sicherheitsmaßnahmen (Art. 32 DSGVO)

6.1 Technische Maßnahmen

✅ Verschlüsselung bei der Übertragung: HTTPS/TLS 1.2+ für alle Verbindungen, HSTS
✅ Verschlüsselung ruhender Daten: sensible spezifische Daten verschlüsselt mittels django-cryptography; verwaltete Volumes und Snapshots infrastrukturseitig verschlüsselt (DigitalOcean)
✅ Passwort-Hashing: PBKDF2 (Django-Standard) mit zufälligem Salt
✅ Tokens: JWT Access-Token TTL 15 Minuten, Refresh mit Rotation und Blacklist, TTL 60 Tage
✅ 2FA TOTP verfügbar für Accounts (django-otp)
✅ Bot-Blocker und Rate Limiting: dedizierte Middleware, die Scanner und bekannte Angriffspfade blockiert
✅ Backup: Datenbank-Snapshots verwaltet vom Infrastrukturanbieter, Standort EU
✅ Rollenbasierte Zugriffskontrolle (RBAC): Direktor, Assistent, Hausdame, Beobachter
✅ Anwendungs-Logging: Protokollierung von Zugriffen, kritischen Aktionen und Anomalien
✅ Aktualisierung von Abhängigkeiten: Überwachung von Schwachstellen in Python- und Flutter-Paketen

6.2 Organisatorische Maßnahmen

✅ Administrativer Zugriff auf den Verantwortlichen beschränkt (Vezpa ist derzeit ein Einzelunternehmen ohne Angestellte); eventuelle externe Mitarbeiter werden schriftlich als Auftragsverarbeiter oder befugte Personen benannt
✅ Dokumentiertes Incident-Response-Verfahren (§9 unten)
✅ Privacy by Design und by Default in die Entwicklungsphasen integriert
✅ Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) geführt und aktualisiert
✅ AVV mit allen wesentlichen Unterauftragsverarbeitern unterzeichnet
✅ Öffentliche Liste der Unterauftragsverarbeiter aktualisiert unter vezpa.it/subprocessors

6.3 Referenzstandards

7. Empfänger der Daten (Art. 13 Abs. 1 lit. e DSGVO)

7.1 Kategorien von Empfängern

Die Daten können an folgende Kategorien von Empfängern übermittelt werden. Das namentliche und stets aktualisierte Verzeichnis ist veröffentlicht unter vezpa.it/subprocessors.

Kategorie Empfänger Rolle Zweck
Italienische Behörden AlloggiatiWeb (Polizei), ISTAT, Gemeinden (PayTourist), Finanzamt Eigenständige Verantwortliche Rechtliche Verpflichtung
EU-Behörden Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) Eigenständige Verantwortliche Rechtliche Verpflichtung des Verantwortlichen (Betrieb)
Hosting / Storage / CDN DigitalOcean LLC (Server Frankfurt, Spaces, Redis) Auftragsverarbeiter IT-Infrastruktur
Zahlungen Stripe Payments Europe Ltd / Stripe Inc. Auftragsverarbeiter Zahlungsabwicklung
E-Mail IONOS SE (DE) Auftragsverarbeiter Versand von Transaktions-E-Mails und PEC
E-Mail Sendinblue SAS - Brevo (FR) Auftragsverarbeiter Versand von E-Mails und Empfang von Gäste-E-Mails
KI-Assistent Anthropic, PBC (USA) Auftragsverarbeiter Antworten auf Gästenachrichten (optional)
WhatsApp-Nachrichten Meta Platforms Ireland Limited (IE) Auftragsverarbeiter WhatsApp-Nachrichten zwischen Unterkunft und Gästen (optional)
Sprachagent am Telefon Von der Unterkunft gewählte Sprachplattform (z. B. Retell, Vapi, ElevenLabs) Auftragsverarbeiter der Unterkunft, nicht von Vezpa Beantwortung von Anrufen im Namen der Unterkunft: Vezpa übermittelt nur die für die Antwort erforderlichen Daten und erhält Nachrichten und Anrufzusammenfassungen (optional)
Mobile Push-Benachrichtigungen Google LLC (Firebase Cloud Messaging) Auftragsverarbeiter Versand von Push-Benachrichtigungen an mobile Geräte
Automatische Übersetzung Google LLC (Google Cloud Translation API) Auftragsverarbeiter Übersetzung der über OTA-Kanäle eingehenden Gastnachrichten und, auf Anforderung des Gastgebers, der Extras
OTA-Channel-Manager STAAH Limited (Neuseeland) Auftragsverarbeiter Synchronisation von Buchungen mit OTAs
In-App-Kauf — Apple Apple Distribution International Ltd (IE) / Apple Inc. (USA) Eigenständiger Verantwortlicher (Store) Verwaltung von App-Store-Abonnements. Apple beteiligt sich nicht am DPF: Übermittlungen in die USA werden durch SCC 2021/914 geregelt
In-App-Kauf — Google / Microsoft Google Ireland Ltd / Google LLC (USA, DPF), Microsoft Ireland / Microsoft Corp. (USA, DPF) Eigenständige Verantwortliche (Store) Verwaltung von Play-Store- / Microsoft-Store-Abonnements
OTA Booking.com, Airbnb, Expedia, VRBO, Agoda und rund 60 weitere Kanäle Eigenständige Verantwortliche Buchungsverwaltung gegenüber dem Reisenden
Smart Locks (optional) Tuya Smart (CN) Auftragsverarbeiter Verwaltung der Smart-Home-Zugänge, nur falls vom Betrieb aktiviert
Fachleute Steuerberater, Rechtsanwälte, IT-Berater Auftragsverarbeiter / Eigenständige Verantwortliche Fachberatung, nur bei Bedarf

7.2 Liste der Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO)

Die aktualisierte Liste ist veröffentlicht und stets einsehbar unter vezpa.it/subprocessors. Eventuelle Änderungen (neue Unterauftragsverarbeiter, Ersetzungen) werden den Verantwortlichen (Betrieben) mit mindestens 30 Tagen Vorankündigung mitgeteilt, um den Widerspruch zu ermöglichen (Art. 28 Abs. 2 DSGVO).

7.3 Übermittlungen außerhalb der EU

Rechtsgrundlage der Übermittlungen (Kapitel V DSGVO):
  • USA — EU-U.S. Data Privacy Framework (Beschluss (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC — alle mit aktiver DPF-Zertifizierung (Prüfung unter dataprivacyframework.gov/list (öffnet in einem neuen Tab))
  • USA — Standardvertragsklauseln (SCC 2021/914): Apple Inc. beteiligt sich nicht am DPF; das Vertragsverhältnis für EU-Nutzer besteht mit Apple Distribution International Ltd (Irland) und eventuelle gruppeninterne Übermittlungen von Apple in die USA werden durch SCC und interne Angemessenheitsmechanismen geregelt
  • Neuseeland — Angemessenheitsbeschluss (Beschluss (EU) 2013/65): STAAH Limited
  • China (optional): Tuya Smart — Standardvertragsklauseln (SCC) 2021/914 + zusätzliche Maßnahmen (Minimierung und Pseudonymisierung). Die Übermittlung erfolgt nur für Betriebe, die Smart Locks aktivieren.

Für jeden Unterauftragsverarbeiter außerhalb der EU ist der anwendbare Übermittlungsmechanismus dokumentiert. Die SCC und gegebenenfalls Transfer Impact Assessments stehen dem Verantwortlichen auf Anfrage zur Verfügung.

8. Rechte der betroffenen Person (Art. 15-22 DSGVO)

8.1 Ausübbare Rechte

Recht Art. DSGVO Beschreibung
Auskunft Art. 15 Bestätigung über das Vorhandensein Ihrer Daten und eine Kopie davon erhalten
Berichtigung Art. 16 Korrektur unrichtiger Daten oder deren Ergänzung
Löschung ("Vergessenwerden") Art. 17 Löschung der Daten erhalten (mit Ausnahmen für gesetzliche Verpflichtungen)
Einschränkung Art. 18 Einschränkung der Verarbeitung unter bestimmten Bedingungen
Datenübertragbarkeit Art. 20 Daten in strukturiertem Format (CSV, JSON) erhalten und an einen anderen Verantwortlichen übertragen
Widerspruch Art. 21 Widerspruch gegen die Verarbeitung auf Grundlage berechtigten Interesses
Widerruf der Einwilligung Art. 7 Abs. 3 Jederzeitiger Widerruf der Einwilligung zum Marketing
Beschwerde Art. 77 Beschwerde bei der Datenschutzbehörde einlegen
Keine automatisierte Entscheidung Art. 22 Nicht Gegenstand von ausschließlich automatisierten Entscheidungen sein

8.2 Wie Sie Ihre Rechte ausüben

Sie können Ihre Rechte ausüben über:

8.3 Antwortzeiten

Vezpa antwortet auf Anfragen innerhalb von 30 Tagen ab Eingang (verlängerbar um weitere 60 Tage in komplexen Fällen, mit begründeter Mitteilung).

8.4 Einschränkungen der Rechte

Einige Rechte (Löschung, Einschränkung) können möglicherweise nicht ausgeübt werden, wenn:

9. Datenschutzverletzung und Meldungen (Art. 33-34 DSGVO)

9.1 Verfahren bei Datenschutzverletzung

Im Falle einer Datenschutzverletzung (Verletzung des Schutzes personenbezogener Daten) wird Vezpa:

  1. 📊 den Vorfall bewerten innerhalb von 24 Stunden nach Entdeckung
  2. 📢 die zuständige Datenschutzbehörde benachrichtigen innerhalb von 72 Stunden (bei Risiko für die Rechte der Betroffenen)
  3. 📧 die Betroffenen benachrichtigen unverzüglich (bei hohem Risiko)
  4. 📝 den Vorfall dokumentieren im Register der Verletzungen
  5. 🔧 Korrekturmaßnahmen ergreifen, um zukünftige Verletzungen zu verhindern

9.2 Transparenz

Im Falle einer Sie betreffenden Datenschutzverletzung erhalten Sie eine Mitteilung mit folgendem Inhalt:

10. Datenschutz-Folgenabschätzung (DSFA)

Vezpa hat eine Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO begonnen, angesichts der systematischen Verarbeitung von Ausweisdokumenten von Betroffenen aus mehreren EU-Staaten und der Übermittlungen an Unterauftragsverarbeiter außerhalb der EU.

Umfang der DSFA:

Die DSFA und eventuelle zusätzliche Minderungsmaßnahmen werden regelmäßig aktualisiert. Bei hohem Restrisiko wird Vezpa gemäß Art. 36 DSGVO die vorherige Konsultation mit der Datenschutzbehörde durchführen. Der Verantwortliche (Betrieb) kann eine Zusammenfassung der DSFA anfordern, indem er an info@vezpa.it schreibt.

11. Auftragsverarbeiter (Art. 28 DSGVO)

11.1 Vereinbarungen mit Kunden (für Gästedaten)

Wenn der Betreiber des Betriebs Vezpa zur Verarbeitung der Gästedaten nutzt:

11.2 Inhalt des AVV

Der Auftragsverarbeitungsvertrag enthält gemäß Art. 28 Abs. 3 DSGVO:

Der AVV ist integraler Bestandteil der Nutzungsbedingungen und wird bei der Registrierung des Betriebs akzeptiert.

12. Privacy by Design und by Default (Art. 25 DSGVO)

12.1 Privacy by Design

Vezpa integriert den Datenschutz von Anfang an in die Planung:

12.2 Privacy by Default

Die Standardeinstellungen maximieren den Datenschutz:

13. Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Vezpa führt ein vollständiges Verzeichnis aller Verarbeitungstätigkeiten, das enthält:

Das Verzeichnis ist auf Anfrage der Datenschutzbehörde verfügbar.

14. Änderungen der Information

Diese Information kann aus folgenden Gründen geändert werden:

Wesentliche Änderungen werden per E-Mail mit mindestens 30 Tagen Vorankündigung mitgeteilt.

Das Datum der letzten Aktualisierung ist stets oben im Dokument angegeben.

📞 Kontakt für Datenschutz und DSGVO

Datenschutzbüro:
📧 E-Mail: info@vezpa.it
📧 PEC: lavezpa@pec.it
📮 Adresse: Desenzano del Garda, via San Zeno 67

Österreichische Datenschutzbehörde:
Barichgasse 40-42, 1030 Wien
📧 E-Mail: dsb@dsb.gv.at
📞 Tel: +43 1 52 152-0
🌐 Web: www.dsb.gv.at (öffnet in einem neuen Tab)

Italienische Datenschutzbehörde (Garante per la Protezione dei Dati Personali):
Piazza Venezia, 11 - 00187 Rom
📧 E-Mail: garante@gpdp.it
📧 PEC: protocollo@pec.gpdp.it
📞 Tel: +39 06.696771
🌐 Web: www.garanteprivacy.it (öffnet in einem neuen Tab)