DATENSCHUTZERKLÄRUNG
Vezpa - Property Management System
Letzte Aktualisierung: 2. November 2026
1. Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten ist:
Vezpa di Paolo Vezzola
Sitz: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italien
USt-IdNr.: 04449070988
Steuernummer: VZZPLA84C10D284C
E-Mail: info@vezpa.it
PEC: lavezpa@pec.it
2. Anwendungsbereich
Diese Datenschutzerklärung gilt für die Plattform Vezpa PMS (Web, Desktop und Mobile) sowie für die Seiten der Website, auf denen diese Erklärung veröffentlicht ist.
3. Erhobene personenbezogene Daten
3.1 Daten der Dienstnutzer (Betreiber von Beherbergungsbetrieben)
Wenn Sie sich bei Vezpa als Betreiber eines Beherbergungsbetriebs registrieren, erheben wir:
- Stammdaten: Vorname, Nachname, E-Mail, Telefonnummer
- Daten des Betriebs: Name, Adresse, Art, USt-IdNr.
- Rechnungsdaten: Rechnungsadresse, Steuernummer/USt-IdNr., SDI-Code/PEC
- Zugangsdaten: E-Mail und Passwort (verschlüsselt)
- Zahlungsdaten: verarbeitet über externe, nach PCI-DSS zertifizierte Anbieter (wir speichern keine Kreditkartendaten direkt)
3.2 Daten der Gäste der Beherbergungsbetriebe
Im Auftrag der Betreiber der Beherbergungsbetriebe (als Auftragsverarbeiter gemäß Art. 28 DSGVO, geregelt durch den AVV) erhebt das System:
- Identifikationsdaten: Vorname, Nachname, Geburtsort und -datum, Staatsangehörigkeit, Geschlecht
- Ausweisdokumente: Art, Nummer, Ausstellungsort und -datum, Scan oder Foto des Dokuments. Diese Bilder können mit automatischem OCR verarbeitet werden, um die Textdaten zu extrahieren. OCR wird ausschließlich zur Erleichterung der Dateneingabe durch den Bediener des Betriebs verwendet, ohne Analyse-, Profilbildungs- oder eigenständige Entscheidungszwecke; abgeleitete biometrische Daten werden nicht gespeichert.
- Kontaktdaten: E-Mail, Telefonnummer
- Buchungsdaten: Aufenthaltsdaten, Anzahl der Gäste, Preise, Verpflegung
- Zahlungsdaten: nur sofern die Zahlung über die Booking Engine oder Stripe-Zahlungslinks von Vezpa erfolgt; Kartendaten werden niemals auf Vezpa-Servern gespeichert
3.3 Navigationsdaten
- IP-Adresse
- Browser- und Gerätetyp
- Besuchte Seiten und Verweildauer
- Betriebssystem
- Referrer (Herkunft)
3.4 Cookies
Wir verwenden technische Cookies, die für den Betrieb des Dienstes erforderlich sind. Weitere Einzelheiten finden Sie in unserer Cookie-Richtlinie.
4. Zwecke der Verarbeitung und Rechtsgrundlage
4.1 Für die Betreiber der Beherbergungsbetriebe
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung des PMS-Dienstes | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Rechnungsstellung und steuerliche Pflichten | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) |
| Kundensupport | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Sicherheit, Betrugsprävention, Zuverlässigkeit des Dienstes | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) |
| Versand von Marketing-Mitteilungen | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) - nur bei ausdrücklicher Zustimmung |
4.2 Für die Gäste der Beherbergungsbetriebe
Wichtig: Für die Gästedaten ist der Verantwortliche der Beherbergungsbetrieb selbst. Vezpa handelt als Auftragsverarbeiter auf dokumentierte Weisung des Betreibers, gemäß Auftragsverarbeitungsvertrag (AVV/DPA).
- Check-in und Gästeregistrierung: rechtliche Verpflichtung (Art. 109 italienisches TULPS-Gesetz, GvD 159/2011) für Italien; für Beherbergungsbetriebe in Österreich gilt die Meldepflicht gegenüber dem Meldeamt (übermittelt über Feratel); entsprechende Vorschriften gelten in anderen unterstützten Staaten
- Pflichtmeldungen an Behörden: AlloggiatiWeb (IT-Polizei), ISTAT (IT), PayTourist (IT-Gemeinden), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) — jede wird nur aktiviert, wenn der Betrieb im entsprechenden Staat ansässig ist
- Buchungs- und Aufenthaltsverwaltung: Vertragserfüllung (Art. 6 Abs. 1 lit. b)
- Übermittlung an OTAs und Channel Manager: Erfüllung des Buchungsvertrags (Art. 6 Abs. 1 lit. b), nur vom Betrieb aktivierte Kanäle
5. Art der Verarbeitung
Die personenbezogenen Daten werden mit elektronischen Mitteln, nach einer eng an die Zwecke gebundenen Logik und unter Anwendung angemessener Sicherheitsmaßnahmen (Art. 32 DSGVO) verarbeitet:
- 🔐 Verschlüsselung bei der Übertragung: alle Daten werden über das Protokoll HTTPS/TLS 1.2+ übertragen
- 🔐 Passwörter: gespeichert mit sicheren Hash-Algorithmen (PBKDF2, Django-Standard)
- 🔐 Tokens: JWT-Access 15 Minuten, Refresh mit Rotation und Blacklist, 2FA TOTP verfügbar
- 🔐 Zugriffskontrolle: rollenbasierte Berechtigungen (Direktor/Assistent/Hausdame/Beobachter), Prinzip der geringsten Rechte
- 🔐 Backup: regelmäßig vom Infrastrukturanbieter (DigitalOcean) durchgeführt, Standort EU (Frankfurt)
- 🔐 Hosting: DigitalOcean-Server in der Europäischen Union (Region FRA1), Speicher DigitalOcean Spaces Frankfurt
- 🔐 Überwachung: Zugriffs- und Anwendungslogs, automatisierte Anomalieerkennung, Bot- und Scanner-Blockierung
6. Speicherung der Daten
Die personenbezogenen Daten werden für den unbedingt erforderlichen Zeitraum gespeichert:
- Daten der Betreiber (Kunden): Vertragsdauer + 10 Jahre für steuerliche und buchhalterische Pflichten
- Rechnungsdaten: 10 Jahre (Art. 2220 ital. ZGB, steuerliche Pflicht)
- Gästedaten (von Vezpa als Auftragsverarbeiter verarbeitet):
- AlloggiatiWeb-Meldungen: Die Aufbewahrungsfrist wird vom Verantwortlichen (Betrieb) nach den anwendbaren Vorschriften festgelegt
- ISTAT-Meldungen: gemäß ISTAT-Vorschriften
- Weitere Buchungsdaten: gemäß den Weisungen des Verantwortlichen im AVV (typischerweise 10 Jahre aus steuerlichen Gründen; in Österreich 7 Jahre gemäß §132 BAO)
- Bei Beendigung des Vertrags mit dem Verantwortlichen löscht oder gibt Vezpa die Gästedaten innerhalb von 30 Tagen zurück, vorbehaltlich eigenständiger Aufbewahrungspflichten (z. B. Rechnungsstellung)
- Zugriffs- und Anwendungslogs: 12 Monate als Standarddauer, verlängerbar auf bis zu 24 Monate ausschließlich für dokumentierte laufende Sicherheitsuntersuchungen oder zur Rechtsverteidigung (berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO, im Einklang mit der Maßnahme Nr. 352/2022 der italienischen Datenschutzbehörde Garante)
- Authentifizierungstokens und vertrauenswürdige Geräte: 90 Tage ab der letzten Nutzung
- Marketing-Daten (Newsletter, Kampagnen): bis zum Widerruf der Einwilligung, mit zweijährlicher Überprüfung
- Support-Tickets: Vertragsdauer + 2 Jahre
7. Übermittlung und Verbreitung der Daten
7.1 Empfänger der Daten
Ihre Daten können an folgende Kategorien von Empfängern übermittelt werden. Das stets aktualisierte namentliche Verzeichnis der Unterauftragsverarbeiter ist unter vezpa.it/subprocessors veröffentlicht.
Behörden (eigenständige Verantwortliche, rechtliche Verpflichtung)
- Italien: Polizei / AlloggiatiWeb, ISTAT, Gemeinden (über PayTourist für die Ortstaxe), Finanzamt
- Österreich: Feratel/Meldeamt (Gästemeldung gemäß Meldegesetz und landesrechtlichen Tourismusgesetzen), kommunale Orts- und Nächtigungstaxe
- Spanien: SES.HOSPEDAJES (Ministerio del Interior)
- Ungarn: NTAK
- Kroatien: eVisitor
- Portugal: SEF
- Tschechien: UbyPort
- Slowenien: eTurizem / AJPES
Jeder Behörden-Konnektor wird nur aktiviert, wenn der Betrieb im entsprechenden Staat ansässig ist. Die Zugangsdaten werden vom Betrieb selbst konfiguriert.
Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO)
- Infrastruktur: DigitalOcean LLC (Server Frankfurt, Datenbank, Spaces/CDN, Redis) — USA/EU mit DPF und Standardvertragsklauseln
- Zahlungen: Stripe Payments Europe Ltd (EU) / Stripe Inc. (USA) — PCI-DSS, DPF-zertifiziert
- Transaktions-E-Mail und PEC: IONOS SE (DE)
- Versand von E-Mails und Empfang von Gäste-E-Mails: Sendinblue SAS - Brevo (FR)
- KI-Assistent (Antworten auf Gästenachrichten, optional): Anthropic, PBC (USA) — SCC
- WhatsApp-Nachrichten der Gäste (optional): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + USA) — SCC
- Sprachagent am Telefon (optional): die von der Unterkunft gewählte und beauftragte Sprachplattform (z. B. Retell, Vapi, ElevenLabs), die Anrufe im Namen der Unterkunft beantwortet. Sie ist ein Dienstleister der Unterkunft, nicht von Vezpa: Vezpa übermittelt ihr nur die für die Antwort erforderlichen Daten und erhält die Nachrichten und Zusammenfassungen der Anrufe.
- Mobile Push-Benachrichtigungen: Google LLC — Firebase Cloud Messaging (USA, DPF-zertifiziert)
- Automatische Übersetzung (Gastnachrichten, Extras): Google LLC — Google Cloud Translation API (USA, DPF-zertifiziert)
- OTA-Channel-Manager: STAAH Limited (Neuseeland) — Land mit EU-Angemessenheitsbeschluss (2012)
- In-App-Käufe und Abonnements:
- Apple Distribution International Ltd (IE) — EU-Einheit; eventuelle Übermittlungen an Apple Inc. (USA) werden durch SCC 2021/914 geregelt (Apple beteiligt sich nicht am DPF)
- Google Ireland Ltd / Google LLC (USA, aktive DPF-Zertifizierung)
- Microsoft Ireland / Microsoft Corp. (USA, aktive DPF-Zertifizierung)
- Smart Locks (optional, falls aktiviert): Tuya Smart (CN) — EU-Standardvertragsklauseln und ergänzende Maßnahmen
- Fachberater: Steuerberater, Rechtsanwälte, IT-Berater, bei Bedarf als Auftragsverarbeiter oder eigenständige Verantwortliche benannt
OTAs (eigenständige Verantwortliche für das Verhältnis zum Reisenden)
- Booking.com, Airbnb, Expedia, VRBO, Agoda und rund 60 weitere über STAAH angebundene Kanäle: die Buchungsdaten werden auf Grundlage des Vertrags zwischen dem Betrieb und der OTA übermittelt
7.2 Datenübermittlung außerhalb der EU
Einige Verarbeitungen umfassen die Übermittlung personenbezogener Daten außerhalb der Europäischen Union. In allen Fällen kommen Garantien gemäß Kapitel V DSGVO zur Anwendung:
- USA — EU-U.S. Data Privacy Framework (Beschluss (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, mit aktiver Zertifizierung im Framework (Prüfung unter dataprivacyframework.gov/list (öffnet in einem neuen Tab))
- USA — Standardvertragsklauseln (SCC 2021/914): Apple Inc. — Apple beteiligt sich nicht am DPF; das Vertragsverhältnis für EU-Nutzer besteht mit Apple Distribution International Ltd (Irland), und eventuelle Übermittlungen an Apple Inc. (USA) erfolgen über SCC und interne Apple-Mechanismen
- Neuseeland — Angemessenheitsbeschluss (Beschluss (EU) 2013/65): STAAH Limited
- China (optional) — Standardvertragsklauseln (SCC) 2021/914 + zusätzliche Maßnahmen: Tuya Smart, nur für Betriebe, die Smart Locks aktivieren
- Für jede Übermittlung ohne aktive DPF-Zertifizierung oder Angemessenheitsbeschluss wendet Vezpa die EU-Standardvertragsklauseln 2021/914 und, sofern anwendbar, ein dokumentiertes Transfer Impact Assessment (TIA) an
7.3 Verbreitung
Personenbezogene Daten werden nicht verbreitet (Übermittlung an unbestimmte Empfänger) und nicht verkauft.
8. Rechte der betroffenen Person
Gemäß den Artikeln 15 bis 22 DSGVO haben Sie das Recht auf:
- 📧 Auskunft (Art. 15): Bestätigung über die Existenz Ihrer Daten und Erhalt einer Kopie
- ✏️ Berichtigung (Art. 16): Korrektur unrichtiger oder unvollständiger Daten
- 🗑️ Löschung (Art. 17): Löschung der Daten (Recht auf Vergessenwerden), sofern die Voraussetzungen vorliegen
- ⏸️ Einschränkung (Art. 18): Einschränkung der Verarbeitung unter bestimmten Bedingungen
- 📤 Datenübertragbarkeit (Art. 20): Erhalt der Daten in einem strukturierten Format und Übermittlung an einen anderen Verantwortlichen
- 🚫 Widerspruch (Art. 21): Widerspruch gegen die Verarbeitung aus berechtigten Gründen
- ❌ Widerruf der Einwilligung: jederzeitiger Widerruf der Einwilligung zum Marketing
Marketing und Newsletter
Die Anmeldung zu kommerziellen Mitteilungen erfordert eine ausdrückliche Einwilligung mit Double-Opt-In (Bestätigung per E-Mail-Link). Jede Mitteilung enthält einen sofortigen Abmeldelink. Für Bestandskunden kann Vezpa gemäß Art. 130 Abs. 4 GvD 196/2003 ("Soft-Opt-In") Mitteilungen zu ähnlichen Produkten und Dienstleistungen senden, mit jederzeit aktiver Widerspruchsmöglichkeit. In Österreich gilt ergänzend §174 TKG 2021 für elektronische Werbung.
Wie Sie Ihre Rechte ausüben
Sie können Ihre Rechte ausüben, indem Sie schreiben an:
- 📧 E-Mail: info@vezpa.it
- ✉️ PEC: lavezpa@pec.it
- 📮 Einschreiben mit Rückschein an die oben genannte Adresse
Wir antworten innerhalb von 30 Tagen ab Eingang der Anfrage.
Beschwerderecht
Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen.
Nutzer in Österreich können sich an die österreichische Datenschutzbehörde wenden (www.dsb.gv.at (öffnet in einem neuen Tab)). Das österreichische Datenschutzgesetz (DSG) ergänzt die DSGVO.
Österreichische Datenschutzbehörde
Barichgasse 40-42, 1030 Wien
E-Mail: dsb@dsb.gv.at
Tel: +43 1 52 152-0
Web: www.dsb.gv.at (öffnet in einem neuen Tab)
Italienische Datenschutzbehörde (Garante per la Protezione dei Dati Personali)
Piazza Venezia, 11 - 00187 Rom
E-Mail: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (öffnet in einem neuen Tab)
9. Minderjährige
Der Dienst Vezpa PMS richtet sich ausschließlich an Personen über 18 Jahre. Wir erheben wissentlich keine Daten von Minderjährigen. Sollte ein Elternteil oder Erziehungsberechtigter der Ansicht sein, dass ein Minderjähriger personenbezogene Daten übermittelt hat, kann er uns für die sofortige Löschung kontaktieren.
10. Änderungen der Datenschutzerklärung
Diese Datenschutzerklärung kann im Laufe der Zeit geändert werden. Jede wesentliche Änderung wird mit angemessener Vorankündigung mitgeteilt durch:
- Veröffentlichung der neuen Version auf der Website
- Benachrichtigung per E-Mail an registrierte Nutzer
- Informationsbanner im geschützten Bereich
Das Datum der letzten Aktualisierung ist stets oben im Dokument angegeben.
📞 Kontakt
Bei Fragen zu dieser Datenschutzerklärung oder zur Ausübung Ihrer Rechte:
Vezpa di Paolo Vezzola
📧 E-Mail: info@vezpa.it
🌐 Web: https://vezpa.it/