DATENSCHUTZERKLÄRUNG
Vezpa - Property Management System
Letzte Aktualisierung: 2. November 2026
1. Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten ist:
Vezpa di Paolo Vezzola
Sitz: Via San Zeno 67, 25015 Desenzano del Garda (BS), Italien
USt-IdNr.: 04449070988
Steuernummer: VZZPLA84C10D284C
E-Mail: info@vezpa.it
PEC: lavezpa@pec.it
2. Anwendungsbereich
Diese Datenschutzerklärung gilt für die Plattform Vezpa PMS (Web, Desktop und Mobile) und für die Webseiten, auf denen sie veröffentlicht wird.
3. Erhobene personenbezogene Daten
3.1 Daten der Dienstnutzer (Betreiber von Unterkünften)
Wenn Sie sich bei Vezpa als Betreiber einer Beherbergungseinrichtung registrieren, erheben wir:
- Stammdaten: Vorname, Nachname, E-Mail, Telefonnummer
- Daten der Einrichtung: Name, Adresse, Art, USt-IdNr.
- Rechnungsdaten: Rechnungsadresse, Steuernummer/USt-IdNr., SDI-Code/PEC
- Zugangsdaten: E-Mail und Passwort (verschlüsselt)
- Zahlungsdaten: werden über externe, PCI-DSS-zertifizierte Anbieter verarbeitet (wir speichern keine Kreditkartendaten direkt)
3.2 Daten der Gäste der Einrichtungen
Im Auftrag der Betreiber der Einrichtungen (als Auftragsverarbeiter gem. Art. 28 DSGVO, geregelt durch den AVV) erfasst das System:
- Identifikationsdaten: Vorname, Nachname, Geburtsort und -datum, Staatsangehörigkeit, Geschlecht
- Ausweisdokumente: Art, Nummer, Ausstellungsort und -datum, Scan oder Foto des Dokuments. Solche Bilder können mit automatischem OCR zur Extraktion der Textdaten verarbeitet werden. OCR wird ausschließlich zur Erleichterung der Dateneingabe durch den Bediener der Einrichtung verwendet, ohne Analyse-, Profilbildungs- oder eigenständige Entscheidungszwecke; abgeleitete biometrische Daten werden nicht gespeichert.
- Kontaktdaten: E-Mail, Telefonnummer
- Buchungsdaten: Aufenthaltsdaten, Gästeanzahl, Tarife, Verpflegung
- Zahlungsdaten: nur wenn die Zahlung über die Booking Engine oder einen Stripe-Link von Vezpa erfolgt; Kartendaten werden nie auf Vezpa-Servern gespeichert
3.3 Nutzungsdaten
- IP-Adresse
- Browser- und Gerätetyp
- Besuchte Seiten und Verweildauer
- Betriebssystem
- Referrer (Herkunft)
3.4 Cookies
Wir verwenden technische Cookies, die für den Betrieb des Dienstes erforderlich sind. Für weitere Einzelheiten konsultieren Sie bitte unsere Cookie-Richtlinie.
4. Zwecke der Verarbeitung und Rechtsgrundlage
4.1 Für die Betreiber der Einrichtungen
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung des PMS-Dienstes | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Rechnungsstellung und steuerliche Pflichten | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) |
| Kundensupport | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Sicherheit, Betrugsprävention, Zuverlässigkeit des Dienstes | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) |
| Versand von Marketing-Mitteilungen | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) - nur mit Erlaubnis |
4.2 Für die Gäste der Einrichtungen
Wichtig: Für die Daten der Gäste ist der Verantwortliche die Beherbergungseinrichtung. Vezpa handelt als Auftragsverarbeiter auf dokumentierte Weisung des Betreibers der Einrichtung gemäß dem Auftragsverarbeitungsvertrag (AVV).
- Check-in und Gästeregistrierung: rechtliche Verpflichtung (italienisches Sicherheitsgesetz TULPS, Art. 109, GvD 159/2011) für Italien; entsprechende Vorschriften für die anderen unterstützten Staaten
- Obligatorische behördliche Meldungen: AlloggiatiWeb (IT-Questura), ISTAT (IT), PayTourist (IT-Gemeinden), Feratel/Meldeamt (AT), SES.HOSPEDAJES (ES), NTAK (HU), eVisitor (HR), SEF (PT), UbyPort (CZ), eTurizem (SI) - jeweils nur aktiviert, wenn die Einrichtung im entsprechenden Staat ansässig ist
- Verwaltung der Buchung und des Aufenthalts: Vertragserfüllung (Art. 6 Abs. 1 lit. b)
- Übermittlungen an OTA und Channel Manager: Erfüllung des Buchungsvertrags (Art. 6 Abs. 1 lit. b), nur für von der Einrichtung aktivierte Kanäle
5. Art der Verarbeitung
Personenbezogene Daten werden mit elektronischen Mitteln, mit eng auf die Zwecke bezogener Logik und unter Anwendung angemessener Sicherheitsmaßnahmen (Art. 32 DSGVO) verarbeitet:
- 🔐 Verschlüsselung bei der Übertragung: alle Daten werden über das Protokoll HTTPS/TLS 1.2+ übertragen
- 🔐 Passwörter: mit sicheren Hashing-Algorithmen gespeichert (PBKDF2, Django-Standard)
- 🔐 Tokens: JWT-Access 15 Minuten, Refresh mit Rotation und Blacklist, optional 2FA TOTP verfügbar
- 🔐 Zugriffskontrolle: rollenbasierte Berechtigungen (Direktor/Assistent/Hausdame/Beobachter), Prinzip des geringsten Privilegs
- 🔐 Backup: regelmäßig durch den Infrastrukturanbieter (DigitalOcean) durchgeführt, Standort EU (Frankfurt)
- 🔐 Hosting: DigitalOcean-Server in der Europäischen Union (Region FRA1), Storage DigitalOcean Spaces Frankfurt
- 🔐 Überwachung: Zugriffs- und Anwendungsprotokolle, automatisierte Anomalieerkennung, Blockierung von Bots und Scannern
6. Speicherdauer
Personenbezogene Daten werden nur so lange aufbewahrt, wie es unbedingt erforderlich ist:
- Daten der Betreiber (Kunden): Vertragsdauer + 10 Jahre für steuerliche und buchhalterische Pflichten
- Rechnungsdaten: 10 Jahre (Art. 2220 ital. ZGB, Steuerpflicht)
- Daten der Gäste (von Vezpa als Auftragsverarbeiter verarbeitet):
- AlloggiatiWeb-Meldungen: die Aufbewahrungsfrist wird vom Verantwortlichen (Einrichtung) gemäß geltender Regelung festgelegt
- ISTAT-Meldungen: gemäß ISTAT-Regelung
- Sonstige Buchungsdaten: gemäß den Weisungen des Verantwortlichen im AVV (typischerweise 10 Jahre für steuerliche Zwecke)
- Bei Beendigung des Vertrags mit dem Verantwortlichen löscht oder gibt Vezpa die Gastdaten innerhalb von 30 Tagen zurück, vorbehaltlich eigener gesetzlicher Aufbewahrungspflichten (z.B. Rechnungsstellung)
- Zugriffs- und Anwendungsprotokolle: 12 Monate als Standarddauer, verlängerbar auf bis zu 24 Monate ausschließlich für dokumentierte laufende Sicherheitsuntersuchungen oder zur Rechtsverteidigung (berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO, im Einklang mit der Maßnahme Nr. 352/2022 der italienischen Datenschutzbehörde Garante)
- Authentifizierungs-Token und vertrauenswürdige Geräte: 90 Tage ab letzter Nutzung
- Daten für Marketing (Newsletter, Kampagnen): bis zum Widerruf der Einwilligung, mit zweijährlicher Überprüfung
- Support-Tickets: Vertragsdauer + 2 Jahre
7. Weitergabe und Verbreitung der Daten
7.1 Empfänger der Daten
Ihre Daten können den folgenden Kategorien von Empfängern mitgeteilt werden. Die stets aktuelle namentliche Liste der Unterauftragsverarbeiter ist unter vezpa.it/subprocessors veröffentlicht.
Behörden (eigenständige Verantwortliche, rechtliche Verpflichtung)
- Italien: Questura / AlloggiatiWeb, ISTAT, Gemeinden (über PayTourist für Kurtaxe), Agenzia delle Entrate (Finanzamt)
- Österreich: Feratel/Meldeamt
- Spanien: SES.HOSPEDAJES (Ministerio del Interior)
- Ungarn: NTAK
- Kroatien: eVisitor
- Portugal: SEF
- Tschechien: UbyPort
- Slowenien: eTurizem / AJPES
Jeder behördliche Konnektor wird nur aktiviert, wenn die Einrichtung im entsprechenden Staat ansässig ist. Die Zugangsdaten werden von der Einrichtung selbst konfiguriert.
Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO)
- Infrastruktur: DigitalOcean LLC (Server Frankfurt, Datenbank, Spaces/CDN, Redis) - USA/EU mit DPF und SCC
- Zahlungen: Stripe Payments Europe Ltd (EU) / Stripe Inc. (USA) - PCI-DSS, DPF-zertifiziert
- Transaktionale E-Mail und PEC: IONOS SE (DE)
- Versand von E-Mails und Empfang von Gäste-E-Mails: Sendinblue SAS - Brevo (FR)
- KI-Assistent (Antworten auf Gästenachrichten, optional): Anthropic, PBC (USA) — SCC
- WhatsApp-Nachrichten der Gäste (optional): Meta Platforms Ireland Limited — WhatsApp Business Platform (IE + USA) — SCC
- Sprachagent am Telefon (optional): die von der Unterkunft gewählte und beauftragte Sprachplattform (z. B. Retell, Vapi, ElevenLabs), die Anrufe im Namen der Unterkunft beantwortet. Sie ist ein Dienstleister der Unterkunft, nicht von Vezpa: Vezpa übermittelt ihr nur die für die Antwort erforderlichen Daten und erhält die Nachrichten und Zusammenfassungen der Anrufe.
- Mobile Push-Benachrichtigungen: Google LLC - Firebase Cloud Messaging (USA, DPF-zertifiziert)
- Automatische Übersetzung (Gastnachrichten, Extras): Google LLC - Google Cloud Translation API (USA, DPF-zertifiziert)
- OTA-Channel-Manager: STAAH Limited (Neuseeland) - Land mit EU-Angemessenheitsbeschluss (2012)
- In-App-Käufe und Abonnements:
- Apple Distribution International Ltd (IE) - EU-Einheit; eventuelle Übermittlungen an Apple Inc. (USA) durch SCC 2021/914 geregelt (Apple beteiligt sich nicht am DPF)
- Google Ireland Ltd / Google LLC (USA, aktive DPF-Zertifizierung)
- Microsoft Ireland / Microsoft Corp. (USA, aktive DPF-Zertifizierung)
- Smart Locks (optional, falls aktiviert): Tuya Smart (CN) - EU-SCC und ergänzende Maßnahmen
- Fachberater: Steuerberater, Rechtsanwälte, IT-Berater, je nach Bedarf als Auftragsverarbeiter oder eigenständige Verantwortliche benannt
OTA (eigenständige Verantwortliche für die Beziehung zum Reisenden)
- Booking.com, Airbnb, Expedia, VRBO, Agoda und etwa 60 weitere Kanäle, die über STAAH angebunden sind: Buchungsdaten werden auf der Grundlage des Vertrags zwischen der Einrichtung und dem OTA übertragen
7.2 Datenübermittlung außerhalb der EU
Einige Verarbeitungen beinhalten die Übermittlung personenbezogener Daten außerhalb der Europäischen Union. In allen Fällen kommen Garantien gemäß Kapitel V DSGVO zur Anwendung:
- USA - EU-U.S. Data Privacy Framework (Beschluss (EU) 2023/1795): Stripe Inc., Google LLC (Firebase Cloud Messaging, Cloud Translation API), Microsoft Corp., DigitalOcean LLC, mit aktiver Zertifizierung im Framework (Prüfung unter dataprivacyframework.gov/list (öffnet in einem neuen Tab))
- USA - Standardvertragsklauseln (SCC 2021/914): Apple Inc. - Apple beteiligt sich nicht am DPF; das Vertragsverhältnis für EU-Nutzer besteht mit Apple Distribution International Ltd (Irland), und eventuelle Übermittlungen an Apple Inc. (USA) erfolgen über SCC und interne Apple-Mechanismen
- Neuseeland - Angemessenheitsbeschluss (Beschluss (EU) 2013/65): STAAH Limited
- China (optional) - EU-Standardvertragsklauseln (SCC) 2021/914 + zusätzliche Maßnahmen: Tuya Smart, nur für Einrichtungen, die Smart Locks aktivieren
- Für jede Übermittlung ohne aktive DPF-Zertifizierung oder Angemessenheitsbeschluss wendet Vezpa EU-SCC 2021/914 und gegebenenfalls ein dokumentiertes Transfer Impact Assessment (TIA) an
7.3 Verbreitung
Personenbezogene Daten werden nicht verbreitet (Übermittlung an unbestimmte Empfänger) und nicht verkauft.
8. Rechte der betroffenen Person
Gemäß den Artikeln 15-22 DSGVO haben Sie das Recht auf:
- 📧 Auskunft (Art. 15): Bestätigung des Bestehens Ihrer Daten und Erhalt einer Kopie
- ✏️ Berichtigung (Art. 16): Korrektur unrichtiger oder unvollständiger Daten
- 🗑️ Löschung (Art. 17): Löschung der Daten (Recht auf Vergessenwerden), wenn die Voraussetzungen gegeben sind
- ⏸️ Einschränkung (Art. 18): Einschränkung der Verarbeitung unter bestimmten Voraussetzungen
- 📤 Datenübertragbarkeit (Art. 20): Erhalt der Daten in einem strukturierten Format und Übertragung an einen anderen Verantwortlichen
- 🚫 Widerspruch (Art. 21): Widerspruch gegen die Verarbeitung aus berechtigten Gründen
- ❌ Widerruf der Einwilligung: jederzeitiger Widerruf der Marketing-Einwilligung
Marketing und Newsletter
Die Anmeldung zu kommerziellen Mitteilungen erfordert ausdrückliche Einwilligung mit Double Opt-In (Bestätigung per E-Mail-Link). Jede Mitteilung enthält einen Link zur sofortigen Abmeldung. Bei bestehenden Kunden kann Vezpa Mitteilungen zu ähnlichen Produkten und Diensten gemäß Art. 130 Abs. 4 GvD 196/2003 ("Soft Opt-In") versenden, mit jederzeit aktiver Widerspruchsmöglichkeit.
Ausübung der Rechte
Sie können Ihre Rechte ausüben, indem Sie sich schriftlich wenden an:
- 📧 E-Mail: info@vezpa.it
- ✉️ PEC: lavezpa@pec.it
- 📮 Einschreiben mit Rückschein an die in der Kopfzeile angegebene Adresse
Wir antworten innerhalb von 30 Tagen nach Eingang der Anfrage.
Beschwerderecht
Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, haben Sie das Recht, Beschwerde bei der Aufsichtsbehörde einzureichen:
Italienische Datenschutzbehörde (Garante per la protezione dei dati personali)
Piazza Venezia, 11 - 00187 Rom
E-Mail: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Tel: +39 06.696771
Web: www.garanteprivacy.it (öffnet in einem neuen Tab)
Hinweis: Nutzer in Deutschland können sich auch an die jeweilige Landesdatenschutzbehörde oder den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) wenden. Nutzer in Österreich an die Datenschutzbehörde (DSB).
9. Minderjährige
Der Dienst Vezpa PMS richtet sich ausschließlich an Personen über 18 Jahre. Wir erheben nicht wissentlich Daten von Minderjährigen. Sollte ein Elternteil oder Vormund der Meinung sein, dass ein Minderjähriger personenbezogene Daten übermittelt hat, kann er uns für die sofortige Löschung kontaktieren.
10. Änderungen der Datenschutzerklärung
Diese Datenschutzerklärung kann im Laufe der Zeit geändert werden. Jede wesentliche Änderung wird mit angemessener Vorankündigung mitgeteilt durch:
- Veröffentlichung der neuen Version auf der Website
- Benachrichtigung per E-Mail an registrierte Nutzer
- Informationsbanner im geschützten Bereich
Das Datum der letzten Aktualisierung ist immer am Anfang des Dokuments angegeben.
📞 Kontakt
Für Fragen zu dieser Datenschutzerklärung oder zur Ausübung Ihrer Rechte:
Vezpa di Paolo Vezzola
📧 E-Mail: info@vezpa.it
🌐 Web: https://vezpa.it/