DATENSCHUTZERKLÄRUNG – VEZPA APP
Vezpa di Paolo Vezzola
Letzte Aktualisierung: 5. November 2026
1. Verantwortlicher
Vezpa di Paolo Vezzola
Sitz: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italien
USt-IdNr.: 04449070988 · Steuernummer: VZZPLA84C10D284C
E-Mail: info@vezpa.it · PEC: lavezpa@pec.it
2. Anwendungsbereich
Diese Information gilt für die Vezpa App, vertrieben über:
- Apple App Store (iOS, macOS) — Bundle ID:
it.vezpa.pms - Google Play Store (Android) — Flavour googleplay
- Microsoft Store (Windows) — MSIX
- Direkter Sideload (APK Android, signierter Windows-Installer) für Verteilung direkt durch den Verantwortlichen
Die Nutzung der App erfordert die Erstellung eines Kontos, das der Beherbergungsunterkunft zugeordnet ist. Die App ist bestimmt für gewerbliche Nutzer über 18 Jahre (Betreiber von Beherbergungsunterkünften und deren befugtes Personal).
3. Von der App erhobene Daten
3.1 Nutzerdaten (Betreiber und Personal)
- Personendaten: Name, Vorname, E-Mail, Telefonnummer
- Daten der Beherbergungsunterkunft
- Zugangsdaten (Passwort auf Backend-Seite gehasht, nie im Klartext übertragen)
- Konto-Identifikatoren (User ID)
- Zugewiesene Rolle (Direktor, Assistent, Hausdame, Beobachter)
3.2 Gastdaten (Vezpa agiert als Auftragsverarbeiter)
Wichtig: Die Gastdaten liegen in der Verantwortung der Unterkunft. Vezpa agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO, geregelt durch den AVV.
- Personen- und Kontaktdaten
- Ausweisdokumente gescannt oder über die Kamera des Gerätes fotografiert, mit OCR-Extraktion der Textdaten zur Erleichterung der Registrierung
- Aufenthalts- und Buchungsdaten
3.3 Technische und Nutzungsdaten
- Geräte-Identifikatoren: Modell, Betriebssystem, App-Version
- Push-Benachrichtigungs-Token (FCM): von Google Firebase verwalteter eindeutiger Identifikator für den Versand von Benachrichtigungen
- SHA-256-Hash des vertrauenswürdigen Gerätes: lokal generiert zur Ermöglichung späteren biometrischen Zugangs, Ablauf 90 Tage nach letzter Verwendung
- Anwendungs- und Diagnoseprotokolle: im Batch an das Backend übertragen über RemoteLogger zu Stabilitäts- und Sicherheitszwecken; enthalten keine sensiblen persönlichen Inhalte
- IP-Adresse: vom Backend zu Sicherheitszwecken erhoben
4. Von der App angeforderte Berechtigungen
| Berechtigung | Zweck | Pflicht |
|---|---|---|
| Kamera | Erfassung von Bildern der Ausweisdokumente der Gäste für OCR und für den Versand an die Behörden | Optional (Alternative: manuelle Eingabe) |
| Push-Benachrichtigungen | Empfang von Benachrichtigungen über neue Buchungen, Check-ins, Gastanfragen | Optional (die App funktioniert auch ohne) |
| Biometrische Authentifizierung (Face ID / Touch ID / Fingerabdruck / Windows Hello) | Schneller Login nach erster Authentifizierung mit Passwort. Die biometrischen Daten verlassen nie das Gerät des Nutzers: Sie werden ausschließlich vom Betriebssystem über native APIs (Keychain iOS/macOS, BiometricPrompt Android, Windows Hello) verwaltet und sind für Vezpa in keiner Form zugänglich, auch nicht als Hash oder abgeleitete Daten. Vezpa erhält nur ein boolesches Ergebnis (Erfolg/Misserfolg) und einen Identifikator des vertrauenswürdigen Gerätes. | Optional |
| Speicher / Dateien | Lokale Speicherung von PDF-Berichten, Rechnungen und Gästemeldungen, die von der App erzeugt wurden | Optional |
| Internet | Kommunikation mit den Vezpa-Servern | Erforderlich |
| REQUEST_INSTALL_PACKAGES (nur Android Sideload) | Automatische Installation von Updates über APK, die von den Vezpa-Servern heruntergeladen werden. Nicht vorhanden in der Google-Play-Version. | Nur für das Sideload-Flavour erforderlich |
5. In die App integrierte SDKs und Dienste
| SDK / Dienst | Anbieter | Zweck | Verarbeitete Daten |
|---|---|---|---|
| Firebase Cloud Messaging (FCM) | Google LLC / Google Ireland Ltd | Versand von Push-Benachrichtigungen | Geräte-Token, technische Identifikatoren |
| StoreKit / Google Play Billing / Microsoft Store | Apple Inc. / Google LLC / Microsoft Corp. | Verwaltung von In-App-Käufen und Abonnements | Kauf-Token, Abonnement-Status, Store-Konto-ID |
| Stripe SDK (nur Zahlungen auf der Gästeseite) | Stripe Payments Europe Ltd | Kartenzahlungsabwicklung | Kartendaten werden von Stripe verwaltet, nicht an Vezpa übermittelt |
| local_auth (Biometrie) | Betriebssystem (Apple / Google / Microsoft) | Lokale biometrische Entsperrung | Keine biometrischen Daten an Vezpa übermittelt |
| Flutter Secure Storage | Plattform (Keychain iOS/macOS, EncryptedSharedPreferences Android, DPAPI Windows) | Lokale Speicherung von JWT-Token und Zugangsdaten | Refresh-Token, verschlüsselt vom Betriebssystem |
| share_plus | Open Source | Teilen von Dateien (PDF, Berichte) mit System-Apps | Vom Nutzer ausgewählte Dateien |
Vezpa integriert keine Verhaltensanalyse-SDKs (z.B. AppsFlyer, Mixpanel, Facebook SDK), Werbe-SDKs oder Profilbildungs-SDKs. Kein App-übergreifendes Tracking im Sinne der Apple App Tracking Transparency (ATT).
6. Zwecke der Verarbeitung
- Bereitstellung der Funktionen der Vezpa App (Art. 6 Abs. 1 lit. b DSGVO)
- Gesetzliche Verpflichtungen bezüglich der Gästeregistrierung, von der Unterkunft delegiert (Art. 6 Abs. 1 lit. c)
- Sicherheit, Betrugsprävention, Stabilität des Dienstes (Art. 6 Abs. 1 lit. f, berechtigtes Interesse)
- Abonnement- und Zahlungsverwaltung (Art. 6 Abs. 1 lit. b und lit. c)
Die Daten werden nicht für Werbe-, Profilbildungs- oder Tracking-Zwecke verwendet.
7. Art der Verarbeitung und Sicherheit
- Übertragung über HTTPS/TLS 1.2+
- Authentifizierung mit rotierendem JWT (Access 15 Min., Refresh 60 Tage mit Blacklist)
- Sicherer Systemspeicher (Keychain / EncryptedSharedPreferences / DPAPI)
- Optionale 2FA TOTP
- Backend-Server in der EU (Frankfurt) bei DigitalOcean
- Anwendungsprotokolle werden überwacht, um anomale Zugriffe zu erkennen
8. Aufbewahrung und Löschung
Die Nutzerdaten werden für die Vertragsdauer + steuerliche Verpflichtungen (10 Jahre für Rechnungsstellung) aufbewahrt.
Der Nutzer kann die Löschung des Kontos über die entsprechende Funktion in der App oder schriftlich beim Verantwortlichen anfordern. Einige Daten könnten aus gesetzlichen Gründen aufbewahrt werden (Rechnungsstellung, Sicherheitsprotokolle).
Die Gastdaten (für die Vezpa Auftragsverarbeiter ist) folgen den Weisungen des Verantwortlichen gemäß dem im AVV Geregelten.
9. Datenweitergabe
Die Daten werden weder verkauft noch verbreitet. Sie können an die unter vezpa.it/subprocessors aufgeführten Unterauftragsverarbeiter und, beschränkt auf Buchungsdaten, an die von der Unterkunft aktivierten OTA-Kanäle weitergegeben werden.
Für die an öffentliche Behörden übermittelten Daten (Questura, ISTAT, Feratel, SES, NTAK, eVisitor, SEF, UbyPort, eTurizem) wird auf die allgemeine Datenschutzerklärung verwiesen.
10. Drittlandstransfers
Die Kommunikation mit den DPF-zertifizierten US-Anbietern (Google/Firebase, Google Cloud Translation, Stripe, Microsoft, DigitalOcean) erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (Beschluss (EU) 2023/1795). Apple beteiligt sich nicht am DPF: das Vertragsverhältnis für EU-Nutzer besteht mit Apple Distribution International Ltd (Irland) und eventuelle Übermittlungen an Apple Inc. (USA) werden durch SCC 2021/914 geregelt. Die Kommunikation mit STAAH (Channel Manager) erfolgt auf Grundlage des EU-Angemessenheitsbeschlusses für Neuseeland (2013/65/EU). Tuya (China, optional) wird durch SCC 2021/914 geregelt.
11. Rechte des Nutzers
Gemäß Art. 15-22 DSGVO kann der Nutzer Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch ausüben. Anfragen können über die App oder per E-Mail an info@vezpa.it eingereicht werden.
Beschwerden bei der Aufsichtsbehörde: italienische Datenschutzbehörde (Garante) (öffnet in einem neuen Tab). Nutzer in Deutschland können sich auch an die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) wenden: www.bfdi.bund.de (öffnet in einem neuen Tab).
12. Minderjährige
Die App ist ausschließlich für volljährige Nutzer (professionelle Betreiber) bestimmt. Sie erhebt wissentlich keine Daten von Minderjährigen.
13. Änderungen der Datenschutzerklärung
Diese Information kann aktualisiert werden. Änderungen werden auf dieser Seite veröffentlicht und, wenn wesentlich, per E-Mail und Dashboard mit mindestens 15 Tagen Vorankündigung mitgeteilt.
Kontakt
Für Informationen oder Datenschutzanfragen: