Datenschutzerklärung

1. Verantwortlicher

Theobase GmbH

Vertreten durch: Thomas Theobald

Purkersdorfer Straße 35
79713 Bad Säckingen

Datenschutz-Kontakt: info@theobase.de

Registergericht: Amtsgericht Freiburg im Breisgau
Registernummer: HRB 735685

2. Welche Daten verarbeitet werden

• Buchungsdaten: Unterkunft, Anreise, Abreise, Personenanzahl, Buchungsquelle.
• Gastdaten: Name, Geburtsdatum, Staatsangehörigkeit, Anschrift, E-Mail und Telefon, soweit für Aufenthalt und Kommunikation nötig.
• Mitreisende: Name, Geburtsdatum und Staatsangehörigkeit, soweit für Meldeschein/Kurtaxe erforderlich.
• Host-Check: Ergebnis der Ausweisprüfung vor Ort; Dokumentnummer nur, wenn rechtlich oder kommunal erforderlich.
• Technische Daten: IP-Adresse, Zeitpunkte, Fehlermeldungen und Sicherheitsprotokolle, soweit für Betrieb und Missbrauchsschutz nötig.
• Anfragen über den Bedarfscheck der Startseite: Name, E-Mail-Adresse und die Auswahl im Bedarfscheck (Art der Unterkunft, Anzahl, Buchungsweg, Wünsche) als feste Auswahlwerte, ohne Freitext.

3. Zwecke und Rechtsgrundlagen

• Vorbereitung und Durchführung des Aufenthalts: Art. 6 Abs. 1 lit. b DSGVO.
• Meldeschein für ausländische Gäste: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 29, 30 Bundesmeldegesetz. Seit dem 01.01.2025 besteht die besondere Meldepflicht in Beherbergungsstätten nur noch für Gäste ohne deutsche Staatsangehörigkeit.
• Kurtaxe und kommunale Gästekarte (alle Gäste): Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 43 Kommunalabgabengesetz Baden-Württemberg und der Kurtaxesatzung der Gemeinde.
• Sicherheit, Fehleranalyse und Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO.
• Optionale Zusatzfunktionen wie KI-Begrüßung nur, wenn sie ausdrücklich aktiviert, dokumentiert und vertraglich abgesichert sind.

4. Datenminimierung in dieser App

• Keine Tracking- oder Werbe-Cookies.
• Keine Analyse-Skripte und keine Tag-Manager.
• Gast-Links verwenden zufällige Tokens; Roh-Tokens werden nicht dauerhaft gespeichert.
• Das reTerminal zeigt nur gasttaugliche Informationen und keine Gast-E-Mail, Gast-Telefonnummer, Gast-Postadresse, Geburtsdaten oder Dokumentnummer.
• Externe Karten- und Infoangebote werden nur als Link geöffnet; dort gelten die Datenschutzregeln des jeweiligen Anbieters.
• Der Ort wird aus der Postleitzahl auf unserem eigenen Server nachgeschlagen. Es wird dabei kein externer Dienst angefragt. Die Postleitzahl wird im Rumpf der Anfrage übertragen und nicht in der Adresse — so steht sie nicht im Zugriffsprotokoll des Hosters. Sie wird für die Abfrage weder gespeichert noch mit einer Buchung verbunden. Datengrundlage: Postleitzahlen von geonames.org, aufbereitet von zauberware, Lizenz CC-BY-4.0.
• Der Ausweisscan wird ausschließlich lokal auf dem jeweils verwendeten Endgerät ausgewertet — im Gastformular auf dem Gerät des Gastes, beim betreibergeführten Check-in auf dessen Gerät. Es wird kein Bild an den App-Server hochgeladen und keines durch die Anwendung gespeichert.
• Eine Anfrage über den Bedarfscheck wird erst mit Klick auf „Anfrage senden“ und nur mit bestätigter Einwilligung im Formular übertragen und zur Bearbeitung der Anfrage in der Datenbank der Anwendung gespeichert. Damit die Anfrage zeitnah beantwortet werden kann, erhält MeldeFein zusätzlich eine interne Benachrichtigung per E-Mail mit Name, E-Mail-Adresse und Auswahl der anfragenden Person; sie wird über den in Abschnitt 5 genannten E-Mail-Dienst Resend versendet. An die anfragende Person selbst wird dabei keine automatische E-Mail versendet. Name und E-Mail-Adresse erscheinen nicht in den Protokollen der Anwendung. Zum Schutz vor Missbrauch wird die Zahl der Anfragen je Verbindung begrenzt; die IP-Adresse wird dafür nur als pseudonymisierter Prüfwert gezählt und nicht im Klartext gespeichert.

5. Empfänger und Dienstleister

Je nach konkret aktivierter Hosting-Konfiguration und Funktion können folgende Dienstleister oder Empfänger beteiligt sein. Vor dem Livebetrieb muss der Betreiber den tatsächlichen Einsatz, die Projektregion und die zugehörigen Vertragsunterlagen prüfen und diese Erklärung auf den belegten Stand konkretisieren:

• Vercel, sofern die Anwendung dort gehostet und ausgeliefert wird.
• Supabase, sofern Datenbank oder Anmeldung dort betrieben werden. Die konkret eingesetzte Projektregion und mögliche Drittlandtransfers richten sich nach der Konfiguration und den Vertragsunterlagen des aktiven Projekts. Vor einem Livebetrieb muss der Betreiber diese Angaben im Supabase-Projekt verifizieren und diese Erklärung entsprechend konkretisieren. Anmelde-Links oder Anmelde-Codes werden über den für Supabase Auth konfigurierten SMTP-Versand zugestellt; dessen tatsächlicher Anbieter ist vor Livebetrieb hier zu benennen.
• Resend, sofern der echte transaktionale E-Mail-Versand aktiviert ist, z. B. für Anfrage-Bestätigungen aus der Anwendung und für die interne Benachrichtigung über Anfragen aus dem Bedarfscheck der Startseite (Name, E-Mail-Adresse und Auswahl der anfragenden Person). Der Auth-Versand ist davon getrennt und wird nicht über den Resend-Client der Anwendung ausgelöst.
• AVS, sofern die Live-Übermittlung an das Meldeschein-/Gästekarten-System der Gemeinde freigeschaltet ist; dann ist AVS Empfänger der Meldeschein-Daten im erforderlichen Umfang.
• Buchungsquelle (z. B. Lodgify), sofern die Buchung über einen angebundenen Kanal eingeht.
• Anthropic — nur wenn die optionale KI-Begrüßung aktiviert ist: Übermittelt werden ausschließlich Nachname, Region und Anreisedatum (keine Adressen, Geburtsdaten oder Dokumentdaten). Vertrags- und Transfergrundlage müssen vor der Aktivierung geprüft und dokumentiert sein.
• Open-Meteo, sofern die Wettervorhersage aktiviert ist; übermittelt werden nur Orts-Koordinaten und keine Gastdaten.

Google Maps, Bad Säckingen Tourismus, Aqualon und weitere offizielle Seiten werden nur durch Klick auf externe Links aufgerufen.

6. Cookies und lokale Speicherung

Für Gäste setzt der Pre-Check-in derzeit keine Tracking-Cookies. Admin-Bereiche verwenden technisch notwendige Session- und CSRF-Cookies, damit der Gastgeber sicher angemeldet bleiben und Formulare gegen Missbrauch geschützt werden können.

7. Aufbewahrung und Löschung

Meldescheinbezogene Daten werden entsprechend § 30 Abs. 4 Bundesmeldegesetz ein Jahr ab dem Tag der Abreise aufbewahrt und innerhalb der folgenden drei Monate gelöscht. Ausweis-/Dokumentnummern werden wenige Tage nach der Meldeschein-Übermittlung entfernt; abgelaufene Gast-Links werden kurzfristig bereinigt. Der Anwendungscode enthält hierfür einen geplanten Löschlauf. Dessen Aktivierung und erfolgreiche Läufe in der konkreten Hosting-Umgebung sind derzeit nicht durch den lokalen Code belegt; bis zu diesem Nachweis muss der Betreiber die fristgerechte Löschung organisatorisch sicherstellen.

8. Rechte betroffener Personen

Betroffene Personen können Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch verlangen, soweit die gesetzlichen Voraussetzungen vorliegen. Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde.

9. Sicherheit

Die App nutzt Zugriffsbeschränkungen, zufällige Gast-Links, CSRF-Schutz im Adminbereich, reduzierte Protokollierung, PII-Redaction und getrennte Gast-/Host-Ansichten. Vor breitem Betrieb sind der Remote-Nachweis des geplanten Löschlaufs, Edge-/WAF-Rate-Limits, AVV-Nachweise und ein dokumentierter Incident-Prozess zu vervollständigen.