Datenschutzerklärung

Auf einen Blick: Wer verantwortlich ist

Meldefein ist eine Software der Theobase GmbH für Gastgeber von Ferienunterkünften.

• Wenn Sie Gast sind: Für Ihre Buchungs-, Melde- und Kurtaxedaten ist Ihr Gastgeber verantwortlich. Er ist gesetzlich zum Meldeschein für ausländische Gäste und zur Anmeldung für die Kurtaxe verpflichtet. Die Theobase GmbH verarbeitet diese Daten nur in seinem Auftrag und nach seinen Weisungen (Art. 28 DSGVO). Erhalten Sie Ihren Check-in-Link per E-Mail, ist Ihr Gastgeber dort mit Namen genannt; Antworten auf diese E-Mail gehen direkt an ihn.
• Wenn Sie unsere Website nutzen, eine Anfrage an uns senden oder ein Gastgeberkonto haben: Dann ist die Theobase GmbH verantwortlich (Abschnitt 1).

Ihre Rechte können Sie in beiden Fällen auch bei uns geltend machen. Anliegen zu Gastdaten leiten wir an Ihren Gastgeber weiter.

1. Verantwortlicher für Website, Anfragen und Gastgeberkonten

Theobase GmbH

Vertreten durch: Thomas Theobald

Purkersdorfer Straße 35
79713 Bad Säckingen

Datenschutz-Kontakt: info@theobase.de

Einen Datenschutzbeauftragten haben wir nicht benannt; eine Pflicht dazu besteht nach Art. 37 DSGVO und § 38 BDSG nicht. Für Fragen zum Datenschutz erreichen Sie uns über den oben genannten Datenschutz-Kontakt.

Registergericht: Amtsgericht Freiburg im Breisgau
Registernummer: HRB 735685

2. Gastdaten: Zwecke, Daten und Rechtsgrundlagen

Verantwortlich ist Ihr Gastgeber; wir verarbeiten diese Daten in seinem Auftrag.

• Buchungsübernahme. Aus der Buchungsplattform Ihres Gastgebers (zum Beispiel Lodgify) übernehmen wir Buchungsnummer, Unterkunft, An- und Abreise, Personenzahl und Buchungskanal sowie Name, E-Mail-Adresse und Telefonnummer, soweit sie dort hinterlegt sind. Diese Daten stammen aus Ihrer Buchung und nicht aus dem Online-Check-in (Art. 14 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Beherbergungsvertrags).
• Anfrage für eine Unterkunft. Name, E-Mail-Adresse, Reisezeitraum, Personenzahl und Ihre Nachricht leiten wir per E-Mail an den Gastgeber weiter; Sie erhalten eine Eingangsbestätigung. Die Anfrage wird dabei nicht in der Datenbank der Anwendung gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Check-in-Link. Ihr Gastgeber sendet Ihnen einen persönlichen Link zum Online-Check-in, entweder per E-Mail über unseren Versanddienst (E-Mail-Adresse, Vorname, Unterkunft, Link) oder selbst per SMS oder WhatsApp. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Meldeschein (nur Gäste ohne deutsche Staatsangehörigkeit). An- und Abreisetag, Familien- und Vornamen, Geburtsdatum, Staatsangehörigkeiten, Anschrift und die Seriennummer des Passes oder Passersatzes (§ 30 Abs. 2 BMG). Mitreisende Ehegatten, eingetragene Lebenspartner und Kinder unter 18 am Anreisetag erscheinen auf dem Meldeschein nur mit Zahl und Staatsangehörigkeit. Andere ausländische Mitreisende sind selbst meldepflichtig (§ 29 Abs. 2 Satz 2 BMG); von ihnen erheben wir zusätzlich die Seriennummer des Passes oder Passersatzes. Für diese Prüfung fragen wir bei ausländischen Mitreisenden die Beziehung zum Hauptgast ab: Ehegatte, eingetragene Lebenspartnerschaft, Kind oder andere Person. Fehlt die Beziehung, liegt sie nur als Freitext vor oder fehlt bei einem Kind ein gültiges Geburtsdatum, verlangen wir die Nummer. Die Beziehung übermitteln wir nicht an die Gemeinde. Die Angaben zu Mitreisenden stammen vom Hauptgast oder von Ihrem Gastgeber. Seit dem 01.01.2025 besteht die besondere Meldepflicht in Beherbergungsstätten nur noch für Gäste ohne deutsche Staatsangehörigkeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 29, 30 Bundesmeldegesetz (BMG).
• Kurtaxe und Gästekarte (alle ortsfremden Gäste). Namen, Geburtsdaten (für die Altersstaffel), Anschrift und Aufenthaltszeitraum, die Angabe zur Geschäftsreise und, wenn Sie einen angeben, ein Befreiungsgrund. Auf dem Meldeschein erscheinen mitreisende Ehegatten, eingetragene Lebenspartner und Kinder unter 18 nur mit Anzahl und Staatsangehörigkeit (§ 29 Abs. 2, § 30 Abs. 2 Nr. 7 BMG); Name und Geburtsdatum der Mitreisenden erheben wir für Kurtaxe und Gästekarte, soweit die Kurtaxesatzung der Gemeinde das verlangt. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 43 Kommunalabgabengesetz Baden-Württemberg und der Kurtaxesatzung der Gemeinde.
• Kurtaxe-Ermäßigung (freiwillig). Für jede Person kann als Merkmal ein beruflicher Aufenthalt angegeben werden. Gesundheitsangaben (Art. 9 DSGVO), also einen Schwerbehindertenausweis mit mindestens 70 % oder eine Begleitperson (Merkzeichen B im Ausweis der begleiteten Person), erheben wir nicht mehr, weder im Online-Check-in noch durch Ihren Gastgeber vor Ort. Wer eine Ermäßigung wegen Schwerbehinderung beanspruchen kann, wendet sich direkt an Ihren Gastgeber. Eine früher mit ausdrücklicher Einwilligung gespeicherte Gesundheitsangabe bleibt gespeichert, bis sie mit den Meldedaten gelöscht wird, die Einwilligung widerrufen wird oder die Angabe nicht mehr erforderlich ist (etwa ohne Begleitperson). Gespeichert wurde sie nur mit ausdrücklicher Einwilligung der betroffenen Person, für Kinder einer sorgeberechtigten Person; im Online-Check-in erklärte der Hauptgast seine Einwilligung mit einem eigenen Kästchen, für mitreisende Kinder unter 18 Jahren erklärte sie die ausfüllende Person, mündlich erklärte Einwilligungen trug Ihr Gastgeber in Meldefein ein. Zum Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) speichern wir je Person das Merkmal, den Zeitpunkt der Einwilligung, wie sie erklärt wurde (online oder mündlich vor Ort), wer sie erklärt hat (die betroffene Person, die ausfüllende Person oder eine sorgeberechtigte Person, ohne deren Namen), welche Fassung des Einwilligungstextes in welcher Sprache gezeigt wurde und, bei einer mündlichen Erklärung, welches Nutzerkonto Ihres Gastgebers sie entgegengenommen hat. Gespeichert werden nur diese Angaben, nicht der Grad der Behinderung, nicht die Nummer des Schwerbehindertenausweises und keine Ausweiskopie. Eine früher ohne Einwilligung als „angegeben, Bestätigung ausstehend“ gespeicherte Angabe wirkt nicht, wird nicht übermittelt und wird gelöscht; für die Person gilt die Kurtaxe nach Alter. Den Nachweis, den die Gemeinde verlangt, reicht Ihr Gastgeber außerhalb von Meldefein ein. Kinder unter der Altersgrenze der Kurtaxesatzung zahlen keine Kurtaxe; für sie wurde kein eigenes Gesundheitsmerkmal gespeichert, ein früher gespeicherter Schwerbehindertenausweis bleibt nur als Bezug für eine Begleitperson gespeichert. Empfänger sind Ihr Gastgeber und, wenn er elektronisch meldet, die Gemeinde (Abschnitt 5). An die Gemeinde übermitteln wir je Person nur die Kurtaxe-Kategorie („Behinderte ab 70 % / Begleitperson“ oder „Beruflich“), nie den Zeitpunkt oder den Nachweis der Einwilligung. Ohne gespeicherte Einwilligung wird eine Person mit Gesundheitsmerkmal nach Alter gemeldet, bei einer als Geschäftsreise angegebenen Buchung mit der Kategorie „Beruflich“. Ohne Angabe eines Merkmals gilt die Kurtaxe nach Alter; andere Nachteile entstehen nicht. Rechtsgrundlage: für gespeicherte Gesundheitsangaben Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung), für die Aufbewahrung während einer Rechtssperre (Abschnitt 8) Art. 9 Abs. 2 lit. f DSGVO; für den beruflichen Aufenthalt Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Kurtaxesatzung der Gemeinde. Den Widerruf beschreibt Abschnitt 11.
• Weitere Angaben im Online-Check-in. Die Anrede nutzen wir nur für die Begrüßung; sie geht nicht in den Meldeschein. E-Mail-Adresse und Telefonnummer sind freiwillig. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Von Gästen mit deutscher Staatsangehörigkeit speichern wir keine Ausweisnummer; auch eine beim Ausweisscan gelesene Nummer wird verworfen. Eine früher gespeicherte Nummer entfernen wir beim nächsten Speichern, spätestens nach den Fristen für Ausweisnummern in Abschnitt 8.
• Ausweisprüfung bei der Anreise. Ihr Gastgeber gleicht Ihre Angaben mit Ihrem Ausweisdokument ab und vermerkt Ergebnis und Zeitpunkt; weichen Angaben ab oder fehlt das Dokument, vermerkt er auch das. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 29 Abs. 3 und § 30 Abs. 2 BMG.
• Übermittlung an die Gemeinde. Nutzt Ihr Gastgeber die elektronische Meldung, übermitteln wir die Melde- und Kurtaxeangaben einschließlich Ihrer E-Mail-Adresse, falls angegeben, sowie Dokumentart und ausstellenden Staat an das Meldeschein- und Gästekartensystem der Gemeinde (Abschnitt 5). Die Dokumentnummer übermitteln wir nur für ausländische Hauptgäste und selbst meldepflichtige ausländische Mitreisende, für Mitreisende nur bei der elektronischen Übermittlung über den Webservice, nicht beim Import als XML-Datei. Je Person übermitteln wir eine Kurtaxe-Kategorie, eine Gesundheitskategorie nur bei gespeicherter Einwilligung; neue Gesundheitsangaben erheben wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den oben genannten Vorschriften, für gespeicherte Gesundheitsangaben Art. 9 Abs. 2 lit. a DSGVO.
• Kopie von Meldeschein und Gästekarte. Hat Ihr Gastgeber nach der Anmeldung bei der Gemeinde Meldeschein und Gästekarte gedruckt, können Sie eine Kopie als PDF über Ihren persönlichen Check-in-Link abrufen, vom Anreisetag bis zum Check-out. Sie enthält die Angaben des Meldescheins einschließlich der Mitreisenden, aber keine Ausweisnummern. Setzt Ihr Gastgeber beim Druck das Häkchen für den Versand, erhalten Sie zusätzlich eine E-Mail mit Vorname, Unterkunft und einem persönlichen Link, ohne PDF-Anhang und ohne Meldedaten. Die Kopie ist kein Fahrschein. Rechtsgrundlage: für die buchende Person Art. 6 Abs. 1 lit. b DSGVO; für Mitreisende Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: gesammelte Zustellung der Gästekarten einer Buchung.
• Benachrichtigung Ihres Gastgebers. Sobald Sie den Online-Check-in ausgefüllt haben, erhält Ihr Gastgeber eine E-Mail mit Unterkunft, Anreisedatum und einem Link in seinen Gastgeberbereich, ohne Ihre Angaben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: zeitnahe Ausweisprüfung und Meldung.
• Begrüßung in der Unterkunft. Die Anzeige in der Unterkunft (E-Paper-Display oder Touch-Terminal) zeigt während Ihres Aufenthalts eine Begrüßung mit Anrede und Nachnamen sowie Ihren Aufenthaltszeitraum. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: persönliche Begrüßung der Gäste.
• Sicherheit und Missbrauchsschutz. Um Anfragen je Verbindung zu begrenzen, zählen wir einen pseudonymisierten Prüfwert der IP-Adresse; die IP-Adresse speichern wir dafür nicht im Klartext. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: Schutz vor Missbrauch.

3. Website, Anfragen und Gastgeberkonten

Verantwortlich ist die Theobase GmbH.

• Aufruf der Website. Beim Aufruf verarbeitet unser Hoster technisch notwendige Verbindungsdaten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserkennung in Server-Protokollen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: sicherer und fehlerfreier Betrieb.
• Bedarfscheck der Startseite. Name, E-Mail-Adresse und die Auswahl im Bedarfscheck (Art der Unterkunft, Anzahl, Buchungsweg, Wünsche) als feste Auswahlwerte, ohne Freitext. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung im Formular).
• Warteliste. E-Mail-Adresse und, wenn gewählt, die Art der Unterkunft. Wir erhalten die Eintragung als E-Mail über Resend und speichern sie nicht in der Datenbank der Anwendung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage).
• Gastgeberkonto. E-Mail-Adresse, Name, Anschrift, Kontakt-E-Mail und, falls hinterlegt, Telefonnummer, Angaben zu Unterkünften und Mandant sowie die bei der Registrierung bestätigte Fassung von AGB und Datenschutzerklärung; Anmeldung per Code an die E-Mail-Adresse oder per Passwort; Einladung weiterer Mitglieder per E-Mail. Name, Anschrift, Kontakt-E-Mail und, falls hinterlegt, Telefonnummer werden Ihren Gästen als Angaben zum Verantwortlichen angezeigt (auf der Gastseite; Name und Ort am Terminal). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Kündigung und Widerruf. Die Angaben aus dem Kündigungs- oder Widerrufsformular und die Eingangsbestätigung. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB.
• Kundenbetreuung. Kontakt-, Vertrags- und Fallnotizen zu Gastgebern und Interessenten in unserer Kundenverwaltung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO; berechtigtes Interesse: Betreuung von Interessenten und Kunden.
• Betreiberprotokoll. Wer im Betreiberbereich wann zu welchem Zweck auf Daten zugreift. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: Nachvollziehbarkeit und Schutz von Zugriffen.

4. Datenminimierung in dieser App

• Keine Tracking- oder Werbe-Cookies.
• Keine Analyse-Skripte und keine Tag-Manager.
• Gast-Links verwenden zufällige Tokens; gespeichert wird nur ein Prüfwert, nicht der Link selbst.
• Die Anzeige in der Unterkunft zeigt eine Begrüßung mit Anrede und Nachnamen, den Aufenthaltszeitraum und allgemeine Informationen zur Unterkunft, aber keine E-Mail-Adresse, Telefonnummer, Anschrift, Geburtsdaten oder Dokumentnummer.
• Wenn Ihr Gastgeber Ihnen den Check-in-Link per SMS oder WhatsApp sendet, nutzt er dafür sein eigenes Gerät und Konto.
• Externe Karten- und Infoangebote werden nur als Link geöffnet; dort gelten die Datenschutzregeln des jeweiligen Anbieters.
• Der Ort wird aus der Postleitzahl auf unserem eigenen Server nachgeschlagen. Es wird dabei kein externer Dienst angefragt. Die Postleitzahl wird im Rumpf der Anfrage übertragen und nicht in der Adresse — so steht sie nicht im Zugriffsprotokoll des Hosters. Sie wird für die Abfrage weder gespeichert noch mit einer Buchung verbunden. Datengrundlage: Postleitzahlen von geonames.org, aufbereitet von zauberware, Lizenz CC-BY-4.0.
• Der Ausweisscan wird ausschließlich lokal auf dem jeweils verwendeten Endgerät ausgewertet — im Gastformular auf dem Gerät des Gastes, beim betreibergeführten Check-in auf dessen Gerät. Es wird kein Bild an den App-Server hochgeladen und keines durch die Anwendung gespeichert. Die Texterkennung lädt ihre Programmdateien von unserem eigenen Server; es wird kein externer Dienst genutzt und nichts im Browser zwischengespeichert.
• Eine Anfrage über den Bedarfscheck wird erst mit Klick auf „Anfrage senden“ und nur mit bestätigter Einwilligung im Formular übertragen und zur Bearbeitung der Anfrage in der Datenbank der Anwendung gespeichert. Damit die Anfrage zeitnah beantwortet werden kann, erhält Meldefein zusätzlich eine interne Benachrichtigung per E-Mail mit Name, E-Mail-Adresse und Auswahl der anfragenden Person; sie wird über den in Abschnitt 5 genannten E-Mail-Dienst Resend versendet. An die anfragende Person selbst wird dabei keine automatische E-Mail versendet. Name und E-Mail-Adresse erscheinen nicht in den Protokollen der Anwendung. Zum Schutz vor Missbrauch wird die Zahl der Anfragen je Verbindung begrenzt; die IP-Adresse wird dafür nur als pseudonymisierter Prüfwert gezählt und nicht im Klartext gespeichert.

5. Empfänger

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein. Sie verarbeiten die Daten in unserem Auftrag und nach unseren Weisungen (Art. 28 DSGVO):

• Vercel Inc., USA – Hosting und Auslieferung der Anwendung. Die Server-Funktionen laufen in der Region Frankfurt am Main (fra1). Konto-, Support- und einzelne technische Protokolldaten verarbeitet Vercel auch in den USA.
• Supabase Pte. Ltd., Singapur – Datenbank, Dateiablage und Anmeldung für Gastgeber. Die Datenbank liegt in der Region Frankfurt am Main (eu-central-1). Unterauftragnehmer von Supabase, darunter Supabase, Inc. und Amazon Web Services, befinden sich auch in den USA.
• Resend, USA – Versand der E-Mails der Anwendung (Check-in-Link und Link zur Gästekarten-Kopie an Gäste, Eingangsbestätigungen, Nachrichten an Gastgeber und interne Benachrichtigungen). Resend speichert E-Mail- und Protokolldaten in den USA für 30 Tage.
• Resend (Plus Five Five, Inc.), San Francisco, USA – Versand der Anmeldecodes für Gastgeber über den Mailversand von Supabase.

Weitere Empfänger von Gastdaten:

• Gemeinde der Unterkunft über das Meldeschein- und Gästekartensystem der AVS Abrechnungs- und Verwaltungs-Systeme GmbH, Bayreuth – Meldeschein, Kurtaxe und Gästekarte einschließlich der Kurtaxe-Kategorie je Person, wenn Ihr Gastgeber die elektronische Meldung nutzt.
• Behörden auf Verlangen, insbesondere Polizei- und Sicherheitsbehörden, denen der Gastgeber Meldescheine nach § 30 Abs. 4 BMG vorlegen oder bereitstellen muss.
• Buchungsplattform Ihres Gastgebers (zum Beispiel Lodgify): Von dort übernehmen wir Ihre Buchungsdaten; wir senden keine Gastdaten dorthin zurück.
• Open-Meteo: Für die Wetteranzeige fragen wir von unserem Server aus nur die Koordinaten des Ortes oder der Unterkunft ab, ohne Ihre Daten und ohne Ihre IP-Adresse.

Google Maps, Bad Säckingen Tourismus, Aqualon und weitere offizielle Seiten werden nur durch Klick auf externe Links aufgerufen.

6. Übermittlung in Drittländer

Vercel und Resend haben ihren Sitz in den USA, Supabase Pte. Ltd. in Singapur. Resend speichert Daten ausschließlich in den USA. Die Server-Funktionen von Vercel laufen in Frankfurt am Main (fra1), die Datenbank von Supabase liegt in Frankfurt am Main (eu-central-1); einzelne Konto-, Support- und Betriebsdaten sowie Unterauftragnehmer dieser Anbieter befinden sich auch in den USA.

Für die USA besteht ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework) für Unternehmen, die danach zertifiziert sind. Nach diesem Rahmen zertifiziert sind: Vercel Inc. und Resend (Plus Five Five, Inc.). Für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission.

Die Auftragsverarbeitungsverträge von Vercel, Supabase und Resend enthalten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Für Supabase sind sie die Grundlage der Übermittlung. Eine Kopie dieser Garantien erhalten Sie auf Anfrage an info@theobase.de. Die Verträge von Vercel und Supabase sind außerdem unter vercel.com/legal/dpa und supabase.com/legal/dpa abrufbar.

7. Cookies und Speicher im Browser

Im Online-Check-in und auf den übrigen Seiten für Gäste setzen wir keine Cookies und legen nichts im Browser-Speicher ab.

Im Gastgeber- und Betreiberbereich verwenden wir nur Cookies, die für die sichere Anmeldung unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG); dafür ist keine Einwilligung nötig:

Im Gastgeberbereich legt der Browser nach dem Speichern einer Prüfung eine kurze Erfolgsmeldung im Sitzungsspeicher des Tabs (sessionStorage) ab, bis sie angezeigt wird, längstens bis zum Schließen des Tabs.

8. Speicherdauer

• Meldeschein-, Kurtaxe- und Aufenthaltsdaten: 365 Tage ab dem Tag der Abreise, danach Löschung innerhalb von weiteren 90 Tagen (§ 30 Abs. 4 BMG).
• Ausweis- und Passnummern (ausländische Hauptgäste und selbst meldepflichtige Mitreisende): Wir entfernen sie aus Meldefein 7 Tage nach der Übermittlung an die Gemeinde; ohne Übermittlung 7 Tage nach der Abreise.
• Check-in-Links: Gespeichert wird nur ein Prüfwert; er wird 2 Tage nach Ablauf, Nutzung oder Sperrung des Links gelöscht.
• Merkmal zur Kurtaxe-Ermäßigung: Es wird zusammen mit den Meldeschein-, Kurtaxe- und Aufenthaltsdaten gelöscht. Wird „Keine Ermäßigung“ gewählt oder die Einwilligung widerrufen, löschen wir Merkmal, Zeitpunkt und Nachweis der Einwilligung sofort. Ebenso gelöscht werden Angaben, die ohne Bestätigung gespeichert wurden, und ein nicht mehr benötigter Bezug (etwa ohne Begleitperson).
• Kopie von Meldeschein und Gästekarte als PDF: bis zum Check-out am Abreisetag; danach ist kein Abruf mehr möglich und die Datei wird gelöscht. Bereits heruntergeladene Kopien liegen bei Ihnen.
• Rechtssperre im Einzelfall: Ist die Aufbewahrung im Einzelfall zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen, wegen eines behördlichen Verlangens oder zur dokumentierten Sicherung erforderlich, setzen wir die Löschung für die betroffene Buchung mit allen Personen aus, bis die Sperre aufgehoben ist (Art. 17 Abs. 3 lit. b und e DSGVO, für Gesundheitsangaben Art. 9 Abs. 2 lit. f DSGVO). Während der Sperre werden die Daten nur gespeichert und lassen sich weder über den Check-in-Link noch durch den Gastgeber in Meldefein ändern. Die Einwilligung zur Kurtaxe-Ermäßigung können Sie auch dann widerrufen (Abschnitt 11). Die Kopie von Meldeschein und Gästekarte bleibt auch während einer Sperre nur bis zum Check-out abrufbar.
• Zähler zum Schutz vor Missbrauch: bis zum Ablauf ihres Zeitfensters.
• E-Mails beim Versanddienst: Resend speichert E-Mail- und Protokolldaten 30 Tage.
• Server-Protokolle beim Hoster: Vercel speichert die Laufzeitprotokolle der Server-Funktionen 30 Tage, Supabase die Datenbank- und API-Protokolle 7 Tage.
• Anfragen, Warteliste, Gastgeberkonten, Kündigungs- und Widerrufsnachweise, Kundenverwaltung und Betreiberprotokoll: Hierfür ist keine automatische Löschfrist eingerichtet. Maßgeblich sind der Zweck (Bearbeitung der Anfrage, Dauer des Vertrags) und gesetzliche Aufbewahrungs- und Nachweispflichten.

9. Pflicht zur Angabe

Gäste ohne deutsche Staatsangehörigkeit sind gesetzlich verpflichtet, am Tag der Ankunft einen Meldeschein mit den in Abschnitt 2 genannten Angaben zu unterschreiben und sich auszuweisen (§ 29 BMG). Für die Kurtaxe verlangt die Kurtaxesatzung der Gemeinde die Anmeldung aller ortsfremden Gäste. E-Mail-Adresse, Telefonnummer und das Merkmal zur Kurtaxe-Ermäßigung sind freiwillig. Ohne die Pflichtangaben lässt sich der Online-Check-in nicht abschließen; die gesetzliche Pflicht besteht dann bei der Anreise gegenüber Ihrem Gastgeber fort.

10. Keine automatisierte Entscheidung

Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Wenden Sie sich dafür an info@theobase.de; bei Gastdaten auch an Ihren Gastgeber. Gesetzliche Aufbewahrungspflichten, etwa nach § 30 Abs. 4 BMG, und eine Rechtssperre im Einzelfall (Abschnitt 8) gehen einer Löschung vor Ablauf der Frist vor.

Eine erteilte Einwilligung, zum Beispiel im Bedarfscheck oder für die Kurtaxe-Ermäßigung wegen Schwerbehinderung, können Sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an info@theobase.de. Die Einwilligung zur Kurtaxe-Ermäßigung widerrufen Sie auch mit „Keine Ermäßigung“ im Online-Check-in, solange Ihr Check-in-Link gültig und die Online-Anmeldung verfügbar ist; eine formlose Nachricht an Ihren Gastgeber genügt immer. Der Widerruf wirkt sofort, auch während einer Rechtssperre: Merkmal, Zeitpunkt und Nachweis der Einwilligung werden gelöscht und nicht mehr übermittelt. Danach gilt die Kurtaxe nach Alter, bei einer als Geschäftsreise angegebenen Buchung weiterhin die Kategorie „Beruflich“. Bis zum Widerruf erfolgte Übermittlungen bleiben wirksam; eine bereits an die Gemeinde übermittelte Kategorie ändert sich dort nicht automatisch, die Änderung klärt Ihr Gastgeber mit der Gemeinde.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für die Theobase GmbH zuständig ist: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart.

12. Sicherheit

Wir schützen die Daten unter anderem durch verschlüsselte Übertragung, Zugriffsbeschränkungen je Gastgeber, zufällige und nur als Prüfwert gespeicherte Gast-Links, CSRF-Schutz im Gastgeberbereich, Begrenzung von Anfragen, reduzierte Protokollierung mit Ausblendung personenbezogener Daten und getrennte Ansichten für Gäste und Gastgeber.

13. Änderungen

Wir passen diese Erklärung an, wenn sich Verarbeitungen ändern. Es gilt die oben angegebene Fassung.