Datenschutzerklärung

1. Verantwortlicher

Hotel Friesengeist Johann Eschen GmbH, Baltrumer Straße 6, 26639 Wiesmoor, vertreten durch den Geschäftsführer Simon Eschen. Telefon: +49 4403 6938475, E-Mail: info@neostay.de. NeoStay ist eine Software der Hotel Friesengeist Johann Eschen GmbH.

2. Datenschutzkontakt

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter info@neostay.de oder per Post unter der oben genannten Anschrift mit dem Zusatz „Datenschutz“. Einen Datenschutzbeauftragten müssen wir nach Art. 37 DSGVO und § 38 BDSG nicht benennen.

3. Wann wir verantwortlich sind und wann Ihr Vermieter

Unsere Kunden sind Ferienvermieter und Agenturen. Sie verwalten in NeoStay unter anderem Daten ihrer Gäste, Eigentümer, Dienstleister und Beschäftigten, etwa Buchungen, Nachrichten, Meldescheine und Rechnungen. Für diese Daten ist der jeweilige Kunde verantwortlich. Wir verarbeiten sie nur in seinem Auftrag und nach seinen Weisungen auf Grundlage eines Vertrags über die Auftragsverarbeitung (Art. 28 DSGVO).

Wenn Sie als Gast das Buchungs-Widget, die Gäste-App oder das Gastportal nutzen, als Eigentümer das Eigentümerportal oder als Reinigungskraft den Einsatzlink, informiert Sie deshalb Ihr Vermieter oder Ihre Agentur über die Datenverarbeitung. Anfragen zu diesen Daten richten Sie bitte an ihn. Erreichen sie uns, leiten wir sie an den Verantwortlichen weiter.

Diese Datenschutzerklärung betrifft die Verarbeitungen, für die wir selbst verantwortlich sind: den Besuch unserer Website, Anfragen an uns, die Kundenkonten und Nutzerzugänge unserer Kunden, Abrechnung, Support sowie den sicheren Betrieb der Anwendung.

4. Besuch der Website und Hosting

Unsere Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA gehostet. Beim Aufruf einer Seite verarbeitet Vercel technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, übertragene Datenmenge, Referrer, Browser- und Betriebssystemtyp. Das dient dazu, die Website auszuliefern, Fehler zu beheben und Angriffe abzuwehren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren und funktionsfähigen Website. Vercel verarbeitet die Daten als unser Auftragsverarbeiter. Zu Übermittlungen in die USA siehe Abschnitt 14. Vercel speichert diese Protokolle einen Tag und löscht sie danach.

5. Reichweitenmessung (Vercel Web Analytics und Speed Insights)

Auf der Website setzen wir Vercel Web Analytics und Vercel Speed Insights des in Abschnitt 4 genannten Anbieters ein. So erfahren wir, welche Seiten wie oft aufgerufen werden, welche Schaltflächen genutzt werden und wie schnell die Seiten laden. Cookies werden dabei nicht gesetzt. Besucher werden nur innerhalb eines Tages über einen Hashwert unterschieden, der aus IP-Adresse und User-Agent gebildet wird und sich nicht zurückrechnen lässt. Die IP-Adresse selbst wird nicht gespeichert. Aktionen wie der Klick auf „Demo anfragen“ oder die Nutzung des Preisrechners erfassen wir als Ereignisse mit zusammengefassten Werten, etwa einer Größenklasse statt der genauen Zahl Ihrer Unterkünfte. Eingaben in Formulare übermitteln wir dabei nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der statistischen Auswertung und technischen Verbesserung unseres Angebots. Die Auswertung sehen wir nur in zusammengefasster Form; einer einzelnen Person oder IP-Adresse ordnen wir sie nicht zu. Für die Verarbeitung durch Vercel und eine mögliche Übermittlung in die USA gelten Abschnitt 4 und Abschnitt 14.

6. Kontakt- und Demo-Anfragen

Wenn Sie über das Formular eine Demo oder ein Angebot anfragen, verarbeiten wir Ihre Angaben: Name, E-Mail-Adresse, Anzahl Ihrer Unterkünfte und, freiwillig, Ihre bisherige Software und Ihre Anforderungen. Das Formular erstellt daraus einen E-Mail-Entwurf, den Sie aus Ihrem eigenen E-Mail-Programm an uns senden. Die Website speichert Ihre Eingaben nicht. Zum Schutz vor Spam verwenden wir ein unsichtbares Formularfeld, keinen externen Captcha-Dienst. Für Anfragen per E-Mail oder Telefon gilt dieser Abschnitt entsprechend.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf einen Vertrag mit Ihnen zielt, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Beantwortung von Anfragen von Ansprechpersonen interessierter Unternehmen. Ohne Name und E-Mail-Adresse können wir nicht antworten. Eine Anfrage ist keine Einwilligung in Werbung.

Kommt kein Vertrag zustande, löschen wir Ihre Anfrage und unsere Korrespondenz sechs Monate nach dem letzten Kontakt, soweit keine gesetzliche Aufbewahrungspflicht besteht. Geschäftsbriefe bewahren wir bis zu sechs Jahre auf (§ 257 HGB).

7. Schriften, Bilder und Links

Schriften und Bilder werden von unserem eigenen Server ausgeliefert. Eine Verbindung zu Google Fonts oder anderen Schriftanbietern findet nicht statt. Auf der Website binden wir keine Karten, Videos oder Social-Media-Plugins ein. Links zu Buchungsportalen und anderen Anbietern sind einfache Verweise. Daten werden erst übertragen, wenn Sie den Link anklicken, und zwar vom Anbieter der verlinkten Seite.

8. Kundenkonten und Nutzerzugänge in der Anwendung

Für jeden Kunden legen wir ein Kundenkonto an. Die Nutzer des Kunden, etwa Inhaber, Beschäftigte oder Beauftragte, erhalten persönliche Zugänge. Dazu verarbeiten wir Name, geschäftliche E-Mail-Adresse, optional Telefonnummer und Profilbild, Rolle und Berechtigungen, Zugangsdaten (das Passwort nur als Hashwert), Faktoren der Mehrfaktor-Anmeldung, Einladungs- und Anmeldezeitpunkte sowie Spracheinstellungen.

Zur Absicherung werden Anmeldungen und sicherheitsrelevante Vorgänge mit Zeitpunkt, Nutzer und IP-Adresse protokolliert. Außerdem speichern wir für bestimmte Vorgänge, wer sie wann ausgelöst hat, etwa beim Versand von Nachrichten, bei Freigaben und bei Einstellungen von KI-Agenten. So bleibt nachvollziehbar, wer was getan hat.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Vertrags mit unserem Kunden, soweit dieser eine natürliche Person ist. Für Nutzer, die für einen Kunden handeln, Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, den Vertrag mit dem Kunden zu erfüllen und die Anwendung vor unbefugten Zugriffen zu schützen. Für die Sicherheit der Verarbeitung sind wir zudem nach Art. 32 DSGVO verpflichtet (Art. 6 Abs. 1 lit. c DSGVO).

Nutzerzugänge löschen wir, wenn der Kunde sie entfernt oder der Vertrag endet, spätestens nach Ablauf der Exportfrist von 30 Tagen nach Vertragsende. Sicherheitsprotokolle speichern wir 90 Tage, Nachweise über ausgelöste Vorgänge so lange wie die Daten, auf die sie sich beziehen.

9. Vertragsabwicklung und Abrechnung

Für Vertrag und Abrechnung verarbeiten wir Firma, Anschrift, Ansprechpersonen, Umsatzsteuer-Identifikationsnummer, gebuchte Pakete, die Zahl der aktiven Unterkünfte, Verbrauchsdaten (etwa KI-Nutzung und Gesprächsminuten), Rechnungen und Zahlungseingänge. Bei Zahlung per Lastschrift verarbeiten wir außerdem Kontoinhaber, IBAN und die Daten des SEPA-Lastschriftmandats. Die Zustimmung zu den AGB und zu Zusatzvereinbarungen speichern wir mit Fassung, Zeitpunkt und Nutzer.

Lastschriften ziehen wir über unser Geschäftskonto bei Qonto ein (Olinda SAS, 18 rue de Navarin, 75009 Paris, Frankreich). Qonto verarbeitet die Zahlungsdaten als Zahlungsdienstleister in eigener Verantwortung.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und, für die Aufbewahrung, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Rechnungen und Buchungsbelege bewahren wir acht Jahre auf, Handels- und Geschäftsbriefe sechs Jahre und Bücher und Jahresabschlüsse zehn Jahre, jeweils ab dem Ende des Kalenderjahres. Die übrigen Vertragsdaten löschen wir nach Ende des Vertrags, sobald keine Ansprüche mehr zu erwarten sind, spätestens mit Ablauf der regelmäßigen Verjährungsfrist von drei Jahren.

10. Support, Fehlermeldungen und Ideen

Sie können uns aus der Anwendung heraus einen Fehler melden oder eine Idee vorschlagen. Bei einer Fehlermeldung übermittelt die Anwendung neben Ihrer Beschreibung automatisch einen Screenshot des sichtbaren Bildschirmbereichs, die Adresse der aufgerufenen Seite, Browser- und Geräteangaben und die letzten technischen Fehlermeldungen. Darauf weist das Meldeformular hin. Der Screenshot kann Daten zeigen, die gerade auf Ihrem Bildschirm zu sehen sind, etwa Namen von Gästen. Entfernen Sie deshalb vorher Inhalte, die für die Meldung nicht nötig sind.

Zur Analyse und Behebung von Fehlern setzen wir KI-gestützte Werkzeuge ein, derzeit Claude von Anthropic PBC, San Francisco, USA, als Auftragsverarbeiter. Den Quellcode verwalten wir bei GitHub Inc., San Francisco, USA. Die Entscheidung, ob und wie ein Fehler behoben wird, trifft ein Mensch.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit wir damit unsere vertraglichen Pflichten erfüllen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer fehlerfreien Anwendung. Soweit wir Gästedaten auf Screenshots im Auftrag unseres Kunden verarbeiten, gilt der AVV. Meldungen, Screenshots und Supportkorrespondenz löschen wir wie folgt: Screenshots 90 Tage nach Abschluss der Meldung, alle übrigen Inhalte 24 Monate nach Abschluss.

11. Betrieb der Anwendung und eingesetzte Dienstleister

Für den Betrieb der Anwendung setzen wir die folgenden Dienstleister ein. Sie verarbeiten Daten in unserem Auftrag nach Art. 28 DSGVO, sowohl Daten, für die wir verantwortlich sind, als auch Daten, die wir im Auftrag unserer Kunden verarbeiten.

Welche Dienstleister im Auftrag unserer Kunden tätig sind, ergibt sich abschließend aus der Liste der Unterauftragsverarbeiter im AVV. Rechtsgrundlage für den Einsatz der Dienstleister bei eigenen Daten ist die Rechtsgrundlage der jeweiligen Verarbeitung, die in den Abschnitten 8 bis 10 genannt ist.

12. Integrationen, die Kunden selbst verbinden

Kunden können NeoStay mit weiteren Diensten verbinden, etwa mit ihrem Postfach, Slack, DATEV, Qonto, Stripe, finAPI oder Buchungsportalen. Dann tauschen wir Daten mit diesen Diensten aus, soweit der Kunde das eingerichtet hat. Diese Verarbeitung erfolgt im Auftrag des Kunden. Für die Anbindung speichern wir Zugangstoken verschlüsselt und protokollieren, wer die Verbindung wann eingerichtet oder getrennt hat.

Einige dieser Anbieter verarbeiten Daten auch in eigener Verantwortung, etwa Stripe (Stripe Payments Europe Ltd., Dublin) bei der Identitätsprüfung und der Abwicklung von Zahlungen oder finAPI (finAPI GmbH, München) als Kontoinformationsdienst. Darüber informieren diese Anbieter selbst, bevor die Verbindung eingerichtet wird.

13. Cookies und Speicherung auf Ihrem Gerät

Die Website setzt keine Cookies. Die Anwendung speichert nur, was für ihre Funktion unbedingt erforderlich ist:

• Sitzungscookies der Anmeldung (Supabase), damit Sie angemeldet bleiben,
• Sitzungscookies für Gastportal und Einsatzlinks von Reinigungskräften sowie die dort gewählte Sprache,
• Einträge im lokalen Speicher des Browsers für Einstellungen der Oberfläche, etwa Filter im Posteingang und die Ansicht der Seitenleiste.

Rechtsgrundlage für die Speicherung und das Auslesen dieser Informationen ist § 25 Abs. 2 Nr. 2 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b oder f DSGVO. Sitzungscookies werden beim Abmelden oder mit Ablauf der Sitzung gelöscht. Einträge im lokalen Speicher können Sie jederzeit in Ihrem Browser löschen.

In der Anwendung setzen wir außerdem Vercel Speed Insights ein, um Ladezeiten zu messen. Es gilt Abschnitt 5 entsprechend. Karten in der Anwendung laden wir von den Kartenservern der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Dabei wird Ihre IP-Adresse an diese Server übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Lage von Unterkünften anzuzeigen. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission.

14. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder können von dort auf Daten zugreifen, etwa Vercel, Railway, Anthropic, ElevenLabs und GitHub. Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist. Im Übrigen stützen wir sie auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Für Supabase mit Sitz in Singapur gelten ebenfalls Standardvertragsklauseln. Eine Kopie der Standardvertragsklauseln erhalten Sie über den Datenschutzkontakt.

15. Ihre Rechte

Sie haben das Recht auf Auskunft über Ihre Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt. Wenden Sie sich dazu an den Datenschutzkontakt in Abschnitt 2.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, https://lfd.niedersachsen.de.

16. Widerspruchsrecht

Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dem jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO). Der Widerspruch ist formfrei, am einfachsten per E-Mail an den Datenschutzkontakt.

17. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Die Angaben, die für einen Vertrag und einen Nutzerzugang erforderlich sind, müssen Sie bereitstellen. Ohne sie können wir keinen Vertrag schließen und keinen Zugang einrichten. Darüber hinaus sind Sie nicht verpflichtet, uns Daten bereitzustellen. Eine ausschließlich automatisierte Entscheidung einschließlich Profiling im Sinne von Art. 22 DSGVO treffen wir nicht.

18. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, die Anwendung oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.