Datenschutzerklärung

Diese Datenschutzerklärung informiert dich nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten wir verarbeiten, wenn du besoo.de besuchst, ein Kundenkonto nutzt oder als Gast eine mit besoo erstellte Website aufrufst. Sie beschreibt zu jeder Verarbeitung den Zweck, die Rechtsgrundlage, die beteiligten Dienstleister und die Speicherdauer sowie die Rechte, die dir gegenüber uns zustehen.

Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) für besoo.de und die Anwendung besoo ist:

Benedikt Kalde
Höltene Klinke 8a
48653 Coesfeld
E-Mail: kontakt@besoo.de

Weitere Angaben findest du im Impressum. Anfragen zum Datenschutz richtest du bitte an die Adresse oben.

Das Wichtigste in Kürze

• besoo.de nutzt kein Tracking, keine Werbe-Cookies und keine Analysedienste Dritter. Besucherzahlen zählen wir selbst, anonym und ohne Cookies (siehe Reichweitenmessung). Es gibt nur zwei technisch notwendige Cookies für die Anmeldung und die Formulare – deshalb auch kein Cookie-Banner.
• Alle Daten liegen in Deutschland: auf Servern von Hetzner, Sicherungskopien zusätzlich verschlüsselt bei uns. Fremde Dienste kommen nur dort ins Spiel, wo du sie in der Anwendung selbst aktivierst (z. B. Buchungskanal-Anbindung, Bankabgleich) oder wo es für die Abwicklung unvermeidbar ist (Zahlung über Stripe).
• besoo hat zwei Rollen: Für deine eigenen Daten als Kunde sind wir Verantwortlicher. Für die Daten deiner Gäste, die du in der Anwendung verwaltest, bist du Verantwortlicher und wir verarbeiten sie in deinem Auftrag (Art. 28 DSGVO).

Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO vorliegt. Welche das im Einzelfall ist, steht bei jedem Abschnitt. Im Überblick:

• Vertrag (Art. 6 Abs. 1 lit. b) – alles, was nötig ist, um dein Kundenkonto, die Testphase und das Abo bereitzustellen und abzurechnen, sowie um Anfragen vor Vertragsschluss zu beantworten. Dazu gehören auch die Funktionen, die du in der Anwendung selbst einschaltest (z. B. Buchungskanal-Anbindung, Bankabgleich, Auslesen von E-Mails, eigene Domain): Sie sind Teil der vereinbarten Leistung, und du entscheidest, ob du sie nutzt.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) – der sichere und stabile Betrieb der Server, Schutz vor Missbrauch (Rate-Limits, Spam-Abwehr), die Beantwortung allgemeiner Kontaktanfragen sowie Informationen per E-Mail über ähnliche eigene Leistungen an Abo-Kunden (siehe Kundenkonto und Abo).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) – steuer- und handelsrechtliche Aufbewahrung von Rechnungsdaten.
• Einwilligung (Art. 6 Abs. 1 lit. a) – nur in wenigen Fällen: wenn du eine fremde Einbettung per Klick lädst (Terminbuchung, Videos), Benachrichtigungen per Telegram verknüpfst, Push-Benachrichtigungen einschaltest oder Neuigkeiten per E-Mail bestellst. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Pflichtangaben: Gesetzlich bist du nicht verpflichtet, uns Daten bereitzustellen. Für den Vertrag brauchen wir aber die in den Formularen als Pflichtfeld gekennzeichneten Angaben (bei der Registrierung Name und E-Mail-Adresse, beim Abo-Abschluss zusätzlich die Rechnungsanschrift). Ohne sie können wir kein Konto einrichten bzw. das Abo nicht abschließen und abrechnen. Alle übrigen Angaben sind freiwillig.

Hosting, Server-Protokolle, E-Mail

besoo.de und die Anwendung werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Datenbank, Dateien und Sicherungen liegen ausschließlich in deutschen Rechenzentren; eine zusätzliche, verschlüsselte Sicherungskopie bewahren wir selbst in Deutschland auf (siehe Speicherdauer). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Bei jedem Aufruf speichert der Webserver automatisch Zugriffsprotokolle: aufgerufene Seite, Datum und Uhrzeit, übertragene Datenmenge, Browsertyp und -version, Betriebssystem, zuvor besuchte Seite (Referrer) und die IP-Adresse. Diese Protokolle dienen ausschließlich dem sicheren und störungsfreien Betrieb (Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO) und werden nicht mit anderen Daten zusammengeführt. Sie werden nach sieben Tagen automatisch gelöscht; länger nur, wenn ein Vorfall untersucht werden muss.

E-Mails, die besoo an dich sendet (Willkommensmail, Passwort-Zurücksetzen, Abo-Erinnerungen, Antworten auf Support-Tickets), gehen über ein E-Mail-Postfach bei Hetzner. Die Verbindung zu deinem Postfach ist verschlüsselt (TLS). Die Protokolle des Mailservers (Absender, Empfänger, Zeitpunkt, Zustellstatus – keine Inhalte) werden ebenfalls nach sieben Tagen gelöscht.

Cookies

besoo setzt genau zwei Cookies, beide auf HTTPS beschränkt und für Skripte nicht auslesbar. cm_session enthält nur eine zufällige Sitzungskennung. In der Anwendung bleibt es bis zu 30 Tage nach deiner letzten Nutzung gültig (bei Nutzung verlängern wir es höchstens einmal am Tag), damit du nicht bei jedem Öffnen des Browsers oder der besoo-App neu einloggen musst; meldest du dich ab, wird es sofort gelöscht. Es ist technisch notwendig, um dich angemeldet zu halten und Formulare gegen Fremdübermittlung (CSRF) zu schützen. Auf besoo.de setzen wir es nur, wenn du das Kontakt- oder Registrierungsformular aufrufst – dort schützt es das Formular auf dieselbe Weise und zeigt dir nach dem Absenden die Bestätigung oder Fehlerhinweise an; es ist dort ebenfalls bis zu 30 Tage gültig. Alle übrigen Seiten von besoo.de setzen kein Cookie. cm_device enthält eine zufällige Kennung deines Browsers. Daran erkennen wir bei der Anmeldung ein Gerät wieder, das du schon einmal mit einem Code aus einer E-Mail bestätigt hast; ohne dieses Cookie müssten wir bei jeder Anmeldung einen Code verlangen. Es bleibt ein Jahr nach der letzten Anmeldung gültig und auch nach dem Abmelden bestehen. Für beide Cookies ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine weiteren Cookies, keine Zählpixel und keine Tracking-Skripte. Auf den Seiten für Gäste – Websites von Gastgebern, Buchungs-Widget, Meldeschein-Formular – sowie im Reiniger-Portal setzt besoo überhaupt keine Cookies.

Außerdem merkt sich die Anwendung einige Ansichtseinstellungen im Speicher deines Browsers (localStorage bzw. sessionStorage), etwa Reihenfolge und Auswahl der Einheiten im Kalender oder die Vollbreiten-Ansicht. Diese Einträge verlassen deinen Browser nicht und werden nicht an uns übertragen; sie dienen nur dazu, die von dir gewählte Darstellung beizubehalten. Auch dafür ist keine Einwilligung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Du kannst sie jederzeit über die Einstellungen deines Browsers löschen.

Besuch von besoo.de

Kontaktformular

Über das Kontaktformular übermittelst du Name, E-Mail-Adresse, ein Thema und deine Nachricht. Wir nutzen diese Angaben ausschließlich, um deine Anfrage zu beantworten (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen Anfragen, sonst lit. f). Die Anfrage wird als E-Mail an uns zugestellt und dort so lange aufbewahrt, wie die Bearbeitung es erfordert; nicht mehr benötigte Anfragen löschen wir regelmäßig, in der Regel spätestens zwölf Monate nach Abschluss.

Registrierung

Bei der Registrierung für die Testphase erfassen wir Vor- und Nachname, E-Mail-Adresse und – freiwillig – den Namen deines Ferienobjekts sowie, wie du von besoo erfahren hast. Damit richten wir dein Kundenkonto ein und schicken dir die Zugangsdaten (Art. 6 Abs. 1 lit. b DSGVO). Name und E-Mail-Adresse sind Pflichtfelder: Ohne sie können wir kein Konto anlegen. Zahlungsdaten fragen wir für die Testphase nicht ab. Was danach mit den Daten passiert, steht unter Kundenkonto und Abo und Speicherdauer. Im Formular kannst du zusätzlich freiwillig und unvorausgewählt einwilligen, gelegentlich Neuigkeiten und Angebote von uns per E-Mail zu erhalten (Art. 6 Abs. 1 lit. a DSGVO). Wirksam wird sie erst, wenn du über den Link in der Willkommensmail dein Passwort setzt – so ist sichergestellt, dass die Adresse wirklich dir gehört; wir speichern dazu beide Zeitpunkte als Nachweis. Die Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, am einfachsten unter „Profil → E-Mails von besoo“; dort kannst du sie auch später noch erteilen.

Schutz vor Missbrauch (Rate-Limit)

Um die öffentlichen Formulare (Kontakt, Registrierung, Buchungsanfragen, „Passwort vergessen“) vor automatisiertem Missbrauch zu schützen, speichern wir bei jedem Absenden die IP-Adresse zusammen mit dem Zeitpunkt und begrenzen die Zahl der Einsendungen je IP-Adresse. Zum Schutz vor dem Erraten von Passwörtern speichern wir außerdem bei jeder fehlgeschlagenen Anmeldung die IP-Adresse, den Zeitpunkt und die eingegebene E-Mail-Adresse in nicht umkehrbar verschlüsselter Form (Hash) und sperren die Anmeldung nach mehreren Fehlversuchen für einige Minuten. Diese Einträge werden nach spätestens 24 Stunden gelöscht (Art. 6 Abs. 1 lit. f DSGVO).

Reichweitenmessung

Um zu erfahren, wie viele Menschen unsere Seiten besuchen, welche Seiten gelesen werden und woher die Besucher kommen, zählen wir die Aufrufe von besoo.de selbst auf unserem Server – ohne Cookies, ohne Skripte und ohne Analysedienste Dritter. Dabei werten wir aus, welche Seite aufgerufen wurde, von welcher Website du gekommen bist (nur deren Domain), ob du über einen Link mit Kampagnen-Kennung (UTM) kamst und anhand der Browserkennung grob, ob du ein Handy, Tablet oder einen Computer nutzt bzw. ob der Aufruf von einer Suchmaschine oder einem anderen Programm stammt. Für die Zahl der Besucher pro Tag bilden wir aus IP-Adresse und Browserkennung zusammen mit einem täglich neu erzeugten Zufallswert eine verschlüsselte Kennung. Diese Kennungen und der Zufallswert werden nach Ablauf des Tages gelöscht; danach lässt sich die Kennung keiner IP-Adresse mehr zuordnen. IP-Adressen speichern wir dafür nicht. Übrig bleiben ausschließlich Gesamtzahlen, die keinen Rückschluss auf einzelne Personen zulassen. Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot zu verbessern und zu verstehen, welche Inhalte gefragt sind (Art. 6 Abs. 1 lit. f DSGVO); du kannst dem jederzeit widersprechen (siehe Deine Rechte).

Demo-Termin und Videos

Auf der Seite Demo und als Kunde in der Anwendung (Termin für die gemeinsame Einrichtung) kannst du einen Gesprächstermin über den externen Dienst Cal.com, Inc., San Francisco, USA, buchen. In der Anwendung sind dein Name, deine E-Mail-Adresse und deine Kundennummer im Buchungsformular schon eingetragen, damit wir den Termin deinem Konto zuordnen können. Die Terminauswahl wird erst nach deinem Klick auf „Terminauswahl laden“ eingebunden; vorher fließen keine Daten an Cal.com. Mit dem Klick willigst du ein (Art. 6 Abs. 1 lit. a DSGVO), dass dein Browser eine Verbindung zu Cal.com aufbaut und dabei u. a. deine IP-Adresse übermittelt wird. Angaben, die du bei der Terminbuchung machst (Name, E-Mail, Wunschtermin), werden an Cal.com übermittelt und dort gespeichert, damit der Termin zustande kommt und wir ihn mit dir durchführen können. Die USA sind ein Drittland, in dem das Datenschutzniveau unter dem der EU liegen kann – insbesondere können US-Behörden auf die Daten zugreifen, ohne dass dir dagegen wirksame Rechtsbehelfe zustehen. Die Übermittlung erfolgt deshalb nur mit deiner ausdrücklichen Einwilligung durch den Klick (Art. 49 Abs. 1 lit. a DSGVO). Näheres in der Datenschutzerklärung von Cal.com. Alternativ kannst du einen Termin auch per Kontaktformular anfragen.

Videos in Blog- und Hilfeartikeln werden ebenfalls erst nach Klick geladen. Bis dahin sehen Besucher nur ein von uns gehostetes Vorschaubild. Nach dem Klick baut der Browser eine Verbindung zu YouTube (Google Ireland Ltd., Dublin; eingebunden im erweiterten Datenschutzmodus über youtube-nocookie.com) bzw. Vimeo (Vimeo Inc., New York, USA; mit aktiviertem „Do Not Track“) auf; dabei wird u. a. deine IP-Adresse übermittelt. Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO). Dabei können Daten in die USA übermittelt werden – bei YouTube an die Google LLC, bei Vimeo an die Vimeo.com, Inc.; beide sind nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Selbst gehostete Videos lösen keine Fremdanfrage aus.

Kundenkonto und Abo

Stammdaten und Nutzung

In deinem Kundenkonto speichern wir die Registrierungsdaten, dein Passwort (nur als kryptografischer Hash), die öffentlichen Schlüssel deiner Passkeys, deine Firmen- bzw. Rechnungsanschrift, Einstellungen sowie alle Inhalte, die du in der Anwendung anlegst (Einheiten, Preise, Buchungen, Vorlagen, Websites). Grundlage ist der Nutzungsvertrag nach unseren AGB (Art. 6 Abs. 1 lit. b DSGVO); als Nachweis speichern wir, welche Fassung der AGB du wann angenommen hast und wann du beim Abo-Abschluss den sofortigen Leistungsbeginn bestätigt hast. Die Daten deiner Gäste verarbeiten wir nicht für eigene Zwecke, sondern in deinem Auftrag nach dem Auftragsverarbeitungsvertrag. Außerdem protokollieren wir sicherheitsrelevante Vorgänge wie Logins und Passwortänderungen (Art. 6 Abs. 1 lit. f DSGVO). Meldest du dich mit einem Passkey an, prüft dein Gerät Face ID, Fingerabdruck oder PIN selbst – diese Merkmale erreichen uns nie, wir prüfen nur mit dem gespeicherten öffentlichen Schlüssel, dass die Anmeldung von deinem Gerät kommt.

Weitere Benutzer eines Kontos

Der Inhaber eines Kontos kann weitere Benutzer seines Betriebs einladen, etwa Familienmitglieder, Mitarbeitende oder eine Hausverwaltung. Dafür speichern wir Vor- und Nachname, E-Mail-Adresse und Rolle (Inhaber oder Mitarbeiter) des Eingeladenen und schicken ihm eine E-Mail mit einem Link, über den er sein eigenes Passwort setzt. Grundlage ist der Nutzungsvertrag mit dem Kontoinhaber und unser berechtigtes Interesse, einem Betrieb mehrere persönliche Zugänge statt eines geteilten Passworts bereitzustellen (Art. 6 Abs. 1 lit. b und f DSGVO). Wir protokollieren, wer wen eingeladen, entfernt oder in seiner Rolle geändert hat. Entfernt der Inhaber einen Benutzer, löschen wir dessen Zugang und Login-Protokoll sofort; der Eintrag, wer ihn wann entfernt hat, bleibt mit seiner E-Mail-Adresse bis zur Löschung des Kontos erhalten (Speicherdauer).

Zahlungsabwicklung mit Stripe

Das Abo rechnen wir über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland, ab. Zahlungsdaten (Kartennummer, IBAN) gibst du ausschließlich auf einer von Stripe bereitgestellten Seite ein; sie erreichen unsere Server nicht. Wir übermitteln an Stripe deinen Namen, deine E-Mail-Adresse, die Rechnungsanschrift und die abgerechneten Positionen (Anzahl deiner Einheiten, gebuchte Zusätze) und erhalten von Stripe den Zahlungsstatus zurück. Rechtsgrundlage ist die Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO). Stripe verarbeitet diese Daten dabei in einer Doppelrolle: als Auftragsverarbeiter für uns, soweit es die Stripe-Plattform betreibt und die Zahlungsabwicklung für uns bereitstellt (Auftragsverarbeitungsvertrag automatisch Teil der Stripe-Nutzungsvereinbarung, Art. 28 DSGVO), und als eigenständiger Verantwortlicher für eigene Zwecke wie Betrugs- und Geldwäscheprävention, Know-Your-Customer-Prüfungen und die eigene Abrechnung mit uns. Stripe kann Daten an die Stripe, LLC in den USA weitergeben; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Näheres in der Datenschutzerklärung von Stripe.

Support-Tickets

Wenn du aus der Anwendung ein Support-Ticket anlegst oder uns per E-Mail schreibst, speichern wir deine Nachricht, optionale Bildschirmfotos und den Verlauf, um dein Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO). Antworten gehen dir per E-Mail zu.

E-Mails zu ähnlichen Leistungen

Hast du ein Abo abgeschlossen, können wir dir an die dabei verwendete E-Mail-Adresse gelegentlich Informationen zu eigenen Leistungen von besoo schicken, die deinem Abo ähnlich sind (z. B. neue Funktionen oder Zusatzleistungen) – auch ohne gesonderte Einwilligung (§ 7 Abs. 3 UWG; Rechtsgrundlage: berechtigtes Interesse an der Information unserer Kunden, Art. 6 Abs. 1 lit. f DSGVO). Darauf weisen wir dich beim Abo-Abschluss und in jeder solchen E-Mail hin. Du kannst dem jederzeit widersprechen, unter „Profil → E-Mails von besoo“ oder per E-Mail an kontakt@besoo.de. Weitergehende Neuigkeiten und Angebote – und alle Werbe-E-Mails an Konten ohne Abo – schicken wir nur mit deiner Einwilligung (siehe Registrierung).

Benachrichtigungen per Telegram (optional)

Du kannst dein Konto mit einem Telegram-Chat verknüpfen, um Hinweise (z. B. zu neuen Buchungen oder Zahlungseingängen) als Nachricht zu erhalten. Dazu speichern wir die Kennung des Chats. Die Nachrichten werden über die Bot-Schnittstelle von Telegram Messenger Inc. (Telegram FZ-LLC, Dubai, VAE) zugestellt – ein Drittland ohne Angemessenheitsbeschluss. Die Hinweise enthalten deshalb bewusst keine Daten deiner Gäste (keine Namen, Kontaktdaten oder Nachrichten), sondern nur Unterkunft, Zeitraum, Buchungsnummer und gegebenenfalls einen Betrag; die Einzelheiten siehst du über den Link in besoo. Die Verknüpfung ist freiwillig; mit dem Aktivieren willigst du in die Übermittlung deiner Chat-Kennung und der Hinweise an Telegram ein (Art. 6 Abs. 1 lit. a und Art. 49 Abs. 1 lit. a DSGVO). Du kannst die Verknüpfung jederzeit in den Einstellungen wieder lösen.

Push-Benachrichtigungen der besoo-App (optional)

Du kannst besoo auf dem Handy als App installieren und Hinweise (z. B. zu neuen Buchungen) als Push-Benachrichtigung bekommen – auch im Browser am Rechner. Dafür tippst du auf „Push aktivieren“ und erlaubst Mitteilungen in der Abfrage deines Geräts. Wir speichern dann je Gerät die Zustelladresse, die dein Browser dafür vergibt, mit den zugehörigen Schlüsseln, eine grobe Gerätebezeichnung aus der Browser-Kennung (z. B. „Chrome auf Android“), den Nutzer, der Push eingeschaltet hat, sowie Zeitpunkt und Ergebnis der letzten Zustellung.

Zugestellt wird über den Push-Dienst, den dein Gerät bzw. Browser vorgibt: Google (Chrome, Android), Apple (iPhone, iPad, Safari), Mozilla (Firefox) oder Microsoft (Edge) – Anbieter mit Sitz zum Teil in den USA. Den Inhalt jeder Mitteilung verschlüsseln wir auf unserem Server für genau dein Gerät (Web Push nach RFC 8291); der Push-Dienst kann ihn nicht lesen und sieht nur, dass eine Nachricht an die Zustelladresse geht, wann und wie groß sie ist. Die Mitteilungen sind kurz gehalten; die Einzelheiten siehst du nach dem Antippen in besoo. Die Zustelladresse hat dein Gerät selbst beim jeweiligen Anbieter angelegt; was dieser dabei verarbeitet, richtet sich nach dessen Bedingungen.

Rechtsgrundlage ist deine Einwilligung beim Aktivieren (Art. 6 Abs. 1 lit. a DSGVO), soweit dabei Daten in die USA gelangen auch für diese Übermittlung (Art. 49 Abs. 1 lit. a DSGVO). Du kannst Push jederzeit unter „Einstellungen → Benachrichtigungen“ für ein Gerät ausschalten oder es aus der Geräteliste entfernen, außerdem Mitteilungen in den Einstellungen deines Geräts abschalten. Die Installation als App selbst speichert bei uns keine weiteren Daten.

Reinigungskräfte können auf ihrer Auftragsseite ebenfalls die Aufträge als App installieren und Push einschalten. Dann speichern wir dieselben Angaben wie oben für ihr Gerät; zugestellt werden nur Hinweise zu ihren Reinigungsaufträgen, die der Gastgeber für Reinigungskräfte vorgesehen hat. Diese Daten verarbeiten wir im Auftrag des Gastgebers (siehe Auftragsverarbeitung). Erzeugt der Gastgeber einen neuen Link für die Reinigungskraft oder löscht er sie, entfernen wir auch ihre Geräte.

Dasselbe gilt für Ansprechpartner vor Ort auf ihrer Belegungsseite: Zugestellt werden nur kurzfristige Änderungen der Belegung, ohne Namen oder Kontaktdaten von Gästen.

Daten deiner Gäste (Auftragsverarbeitung)

In der Anwendung verwaltest du personenbezogene Daten deiner Gäste und Geschäftspartner: Namen, Kontaktdaten, Buchungen, Nachrichtenverläufe, Rechnungen, Zahlungseingänge (Name und IBAN des Zahlers aus deinen Kontoumsätzen), Reinigungspläne und – wenn du die Meldeschein-Erfassung nutzt – Meldedaten wie Geburtsdatum, Staatsangehörigkeit und Ausweisnummer. Für diese Daten bist du Verantwortlicher im Sinne der DSGVO; besoo verarbeitet sie ausschließlich nach deinen Vorgaben als Auftragsverarbeiter (Art. 28 DSGVO). Dafür schließen wir mit dir einen Auftragsverarbeitungsvertrag, der Bestandteil des Nutzungsvertrags ist.

Das bedeutet auch: Auskunfts- oder Löschanfragen deiner Gäste beantwortest du; wir unterstützen dich dabei mit den Funktionen der Anwendung (Gastdaten einsehen, ändern und löschen; alle Gäste und Buchungen als CSV exportieren). Wir greifen auf Gastdaten nur zu, soweit es für Betrieb, Fehlerbehebung oder deine Support-Anfrage nötig ist.

Als Unterauftragsverarbeiter setzen wir für alle Konten Hetzner (Hosting, E-Mail) ein. Die folgenden Dienste kommen nur hinzu, wenn du sie in deinem Konto aktivierst:

Dienst	Anbieter	Wofür	Sitz / Drittland
Beds24	Beds24 GmbH, Berlin	Buchungskanal-Anbindung (Booking.com u. a.)	Deutschland
OpenAI	OpenAI Ireland Ltd., Dublin	KI-Assistent im Posteingang: E-Mails mit Buchungsbezug auswerten, Antwortentwürfe, Zusammenfassungen, Spracheingabe	Irland; Verarbeitung ggf. in den USA (Standardvertragsklauseln)
Cloudflare	Cloudflare, Inc., San Francisco	Auslieferung deiner Website unter eigener Domain	USA (Data Privacy Framework)
INWX	INWX GmbH, Berlin	Domain-Registrierung	Deutschland

Nicht in dieser Liste, weil kein Auftragsverarbeiter von uns: finAPI (Bankabgleich) handelt als eigenständiger, von der BaFin beaufsichtigter Kontoinformationsdienst auf deine eigene Freigabe hin und erhält von uns keine Gastdaten – siehe unten. Ebenso Telegram: Die Hinweise dorthin enthalten keine Gastdaten – siehe Benachrichtigungen per Telegram. Und die Push-Dienste von Google, Apple, Mozilla und Microsoft: Sie stellen nur Mitteilungen zu, die für dein Gerät verschlüsselt sind und deren Inhalt sie nicht lesen können – siehe Push-Benachrichtigungen.

Dienste, die du selbst aktivierst

Die folgenden Funktionen sind Teil der vereinbarten Leistung, aber erst aktiv, wenn du sie in deinem Konto einschaltest. Soweit dabei deine eigenen Daten verarbeitet werden, ist Rechtsgrundlage der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO); für die Daten deiner Gäste handeln wir auf deine Weisung als Auftragsverarbeiter. Schaltest du eine Funktion wieder ab, endet auch die Übermittlung an den jeweiligen Dienst.

Dein E-Mail-Postfach

Für den Posteingang und den Versand von Gastnachrichten hinterlegst du die Zugangsdaten deines eigenen E-Mail-Postfachs. besoo ruft damit regelmäßig neue E-Mails ab, speichert sie deinem Konto zugeordnet und versendet Nachrichten in deinem Namen. Die Zugangsdaten werden verschlüsselt gespeichert und nur für diese Verbindungen verwendet.

Beds24 (Buchungskanal-Anbindung)

Wenn du Portale wie Booking.com anbindest, laufen Verfügbarkeiten, Preise und eingehende Buchungen über den Channel-Manager Beds24 GmbH, Invalidenstraße 65, 10557 Berlin. Dabei übermitteln wir Buchungsdaten einschließlich Gastname und Preis in beide Richtungen. Näheres in der Datenschutzerklärung von Beds24.

finAPI (Bankabgleich)

Für den automatischen Abgleich von Zahlungseingängen verbindest du dein Geschäftskonto über den von der BaFin zugelassenen Kontoinformationsdienst finAPI GmbH, Adams-Lehmann-Str. 44, 80797 München. Die Freigabe erteilst du direkt bei deiner Bank; deine Online-Banking-Zugangsdaten erreichen besoo nicht. finAPI ist dabei eigenständiger Verantwortlicher nach dem Zahlungsdiensteaufsichtsgesetz und kein Auftragsverarbeiter von besoo; von uns erhält finAPI nur die Kontoverbindung und deine Freigabe, keine Gastdaten (Näheres in der Datenschutzerklärung von finAPI). In Gegenrichtung erhalten wir von finAPI die Umsätze deines Kontos (Datum, Betrag, Verwendungszweck, Name und IBAN des Zahlers) und speichern sie, um sie Buchungen zuzuordnen – Zahlernamen sind in der Regel Namen deiner Gäste und fallen damit unter die Auftragsverarbeitung. Die Verbindung kannst du jederzeit in den Einstellungen trennen.

KI-Assistent im Posteingang (OpenAI)

Der KI-Assistent unterstützt dich bei Buchungsanfragen und Gastnachrichten. Er ist zunächst ausgeschaltet; du schaltest ihn im Einrichtungsassistenten oder unter „Einstellungen → Kommunikation → KI-Assistent“ ein und kannst ihn dort jederzeit ganz oder für einzelne Funktionen wieder ausschalten. Ist er aus, übermittelt besoo nichts mehr an OpenAI. Für den Assistenten übermittelt besoo Inhalte an die Schnittstelle von OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland:

• Auswertung eingehender E-Mails: Neue E-Mails, die nach einer Buchung oder Anfrage aussehen, werden automatisch eingeordnet – Anliegen, Reisezeitraum, Personenzahl, ob eine Antwort nötig ist. Übermittelt werden Absendername, Betreff und der Text der neuesten Nachricht ohne zitierten Verlauf. E-Mails ohne Buchungsbezug (z. B. Rechnungen, Newsletter) und Absender, die du dauerhaft ignorierst, sortiert besoo vorher ohne KI aus; sie werden nicht übermittelt. Erkennt der Assistent eine neue Buchungsanfrage, kann er dich darüber benachrichtigen.
• Antwortentwürfe: Nur auf deinen Klick erhält OpenAI zusätzlich den bisherigen Verlauf der Konversation (ohne zitierte Wiederholungen), die Daten der Buchung, Verfügbarkeit und Preise deiner Einheiten, deine Hausinfos, einen bereits von dir geschriebenen Text sowie einige deiner früheren Antworten als Vorbild für Ton und Anrede.
• Zusammenfassungen: Konversationen einer Buchung ab fünf Nachrichten werden beim Öffnen zusammengefasst; dafür wird der Verlauf übermittelt.
• Buchungsdaten vorschlagen: beim Anlegen einer Buchung aus einer E-Mail.
• Spracheingabe: Tippst du im Antwortfeld auf das Mikrofon, geht der Ton verschlüsselt direkt von deinem Gerät an OpenAI und kommt als Text zurück ins Feld; die Aufnahme erreicht besoo nicht und wird von uns nicht gespeichert. Damit Namen richtig geschrieben werden, übermittelt besoo dazu die Namen deiner Häuser und Einheiten, deinen Namen und den Namen des Gastes der geöffneten Konversation. Bei uns gespeichert wird nur, wann und wie lange diktiert wurde.

Die Ergebnisse (Einordnung, erkannte Daten, Zusammenfassungen) speichern wir in deinem Konto. Es sind Vorschläge: gesendet oder angelegt wird nur, was du selbst bestätigst. Soweit dabei Daten deiner Gäste verarbeitet werden, handeln wir als Auftragsverarbeiter. Außerdem fragen wir bei der vereinfachten Postfach-Einrichtung die üblichen Servereinstellungen zu einer Mail-Domain ab (dabei wird nur der Domainname übermittelt, nie dein Passwort). OpenAI verwendet Daten aus der Schnittstelle nicht zum Training seiner Modelle und löscht sie nach spätestens 30 Tagen. Eine Verarbeitung in den USA ist möglich; sie stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Näheres in der Datenschutzerklärung von OpenAI.

Eigene Domain (INWX und Cloudflare)

Registrierst du über besoo eine eigene Domain für deine Website, übermitteln wir deinen Namen und deine Anschrift als Domaininhaber an den Registrar INWX GmbH, Prinzessinnenstr. 30, 10969 Berlin, und über diesen an die zuständige Vergabestelle (z. B. DENIC für .de). Das ist für die Registrierung durch die Vergabebedingungen vorgeschrieben (Art. 6 Abs. 1 lit. b DSGVO). Die Domain wird technisch über Cloudflare, Inc., 101 Townsend St, San Francisco, USA, betrieben (Namensauflösung, Verschlüsselung, Weiterleitung an unsere Server). Dadurch laufen die Zugriffe deiner Website-Besucher über die Infrastruktur von Cloudflare, das dabei IP-Adressen verarbeitet. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); mit Cloudflare besteht ein Auftragsverarbeitungsvertrag.

Smoobu (einmaliger Datenimport)

Wechselst du von Smoobu zu besoo, kannst du unter „Einstellungen → Daten-Migration“ die API-Zugangsdaten deines Smoobu-Kontos hinterlegen. besoo ruft damit auf deinen Knopfdruck Preise, Verfügbarkeiten und bestehende Buchungen samt Hauptgast (Name, E-Mail, Telefon, Reisezeitraum, Personenzahl, Preis, Buchungskanal) aus deinem Konto bei der Smoobu GmbH, Pappelallee 78/79, 10437 Berlin, ab und legt sie in deinem besoo-Konto an. An Smoobu wird dabei nichts zurückgeschrieben. Smoobu ist hier kein Dienstleister von besoo, sondern dein bisheriger Anbieter, bei dem du die Daten abholst; die übernommenen Gastdaten verarbeiten wir ab dann in deinem Auftrag wie alle anderen (siehe Auftragsverarbeitung).

Für Gäste: Websites, Buchungs-Widget, Anfragen, Meldeschein

Dieser Abschnitt richtet sich an Gäste, die eine mit besoo erstellte Website eines Gastgebers besuchen, das Buchungs-Widget von besoo auf der Website eines Gastgebers nutzen, dort eine Anfrage oder Buchung absenden oder ein Meldeschein-Formular ausfüllen.

Verantwortlich für diese Angebote ist der jeweilige Gastgeber (Vermieter), dessen Impressum und Datenschutzerklärung auf der Website verlinkt sind. besoo betreibt die Technik in dessen Auftrag. Beim Aufruf entstehen Server-Protokolle wie oben unter Hosting beschrieben; bei Websites mit eigener Domain zusätzlich bei Cloudflare.

Buchungs-Widget auf anderen Websites: Gastgeber können den Belegungskalender und das Anfrage- bzw. Buchungsformular von besoo auch in ihre eigene, nicht mit besoo erstellte Website einbinden. Das Widget wird dann als eingebetteter Rahmen direkt von den Servern von besoo geladen; dabei erhält besoo die üblichen Zugriffsdaten einschließlich IP-Adresse (siehe Hosting). Das Widget setzt keine Cookies und lädt keine Inhalte von Dritten. Für alle übrigen Inhalte und Dienste dieser Website – etwa eigene Cookies oder Analyse-Werkzeuge – ist allein der Gastgeber verantwortlich.

Anfrage und Buchung: Die im Formular eingegebenen Daten (Name, E-Mail, Telefon, Reisezeitraum, Personenzahl, Nachricht) werden an den Gastgeber weitergeleitet und in dessen besoo-Konto gespeichert, damit er die Anfrage beantworten bzw. die Buchung abwickeln kann; je nach Einstellung des Gastgebers erhältst du eine Bestätigung per E-Mail. Zur Spam-Abwehr speichern wir die IP-Adresse für 24 Stunden.

Meldeschein-Formular: Gastgeber sind nach dem Bundesmeldegesetz (§§ 29, 30 BMG) verpflichtet, von ausländischen Gästen einen Meldeschein zu erheben; viele Gemeinden verlangen die Angaben zudem für den Gästebeitrag bzw. die Kurabgabe. besoo stellt dafür ein Formular bereit, über das Gäste die vorgeschriebenen Angaben selbst eintragen können: Name und Staatsangehörigkeit sowie – je nachdem, was der Gastgeber für Gäste mit deutscher bzw. anderer Staatsangehörigkeit verlangt – Geburtsdatum, Anschrift und Ausweisnummer. Die Angaben werden dem Gastgeber in seinem Konto zur Verfügung gestellt; er ist für Aufbewahrung und Löschung nach den Fristen des Meldegesetzes verantwortlich. Der Formular-Link ist nur mit dem in der E-Mail enthaltenen Zugangsschlüssel aufrufbar.

Ansprechpartner vor Ort: Gastgeber können Personen, die ihre Unterkunft vor Ort betreuen (etwa einen Verwalter), über einen eigenen Zugangslink die Belegung zeigen. Diese Personen sehen deinen Namen, die Personenzahl, Hunde, An- und Abreisetag und – nur wenn der Gastgeber es freigibt – deine Telefonnummer, nie deine E-Mail-Adresse, Anschrift oder Zahlungen. Dieselben Angaben können sie auch per E-Mail erhalten, etwa bei kurzfristigen Änderungen. Wem er den Link gibt, entscheidet der Gastgeber. Abonnieren sie die Belegung in ihrem Kalender, enthalten die Termine keine Namen oder Telefonnummern.

Fragen und Auskunftsersuchen zu diesen Daten richten Gäste bitte an den Gastgeber. Erreicht uns eine solche Anfrage, leiten wir sie an ihn weiter.

Speicherdauer und Löschung

• Kundenkonto: Endet die Testphase ohne Abo oder kündigst du das Abo, bleibt das Konto noch 30 Tage gesperrt erhalten, damit du es reaktivieren kannst. Danach löschen wir das Konto mit allen Inhalten – einschließlich der Gastdaten, die wir für dich verarbeitet haben. Du kannst die Löschung auch jederzeit selbst unter „Profil → Konto löschen“ beantragen; die Anwendung ist dann sofort gesperrt (nur „Abo & Rechnungen“, „Profil“ und „Hilfe & Support“ bleiben erreichbar), und nach derselben Frist von 30 Tagen – in der du die Anfrage unter „Abo & Rechnungen“ zurücknehmen kannst – löschen wir alles.
• Rechnungsdaten: Rechnungen an dich und die zugehörigen Zahlungsdaten liegen bei Stripe und in unserer Buchhaltung, nicht in der Anwendung. Rechnungen bewahren wir aus steuerrechtlichen Gründen acht Jahre auf (§ 147 Abs. 3 AO, § 14b UStG); soweit deine Angaben in Buchführungsunterlagen stehen, für die das Gesetz zehn Jahre verlangt, entsprechend länger. Danach werden sie gelöscht.
• Kontaktanfragen und Tickets: so lange, wie die Bearbeitung es erfordert; nicht mehr benötigte Anfragen löschen wir regelmäßig, in der Regel spätestens zwölf Monate nach Abschluss.
• Benachrichtigungen in der Anwendung: weggeklickte nach 30 Tagen, alle übrigen nach 120 Tagen.
• Geräte mit Push-Benachrichtigungen: bis du Push auf dem Gerät ausschaltest oder es aus der Liste entfernst; außerdem sofort, sobald der Push-Dienst meldet, dass die Zustelladresse nicht mehr gilt (z. B. nach dem Löschen der App), und nach fünf erfolglosen Zustellversuchen in Folge. Geräte von Reinigungskräften außerdem, sobald der Gastgeber ihnen einen neuen Link gibt oder sie löscht.
• Ergebnisse des KI-Assistenten (Einordnung einer E-Mail, Zusammenfassung einer Konversation): so lange, wie die zugehörige E-Mail bzw. Buchung in deinem Konto besteht; sie werden mit ihr gelöscht.
• Webserver- und Mailserver-Protokolle: sieben Tage. Rate-Limit-Einträge: 24 Stunden. Tageskennungen der Reichweitenmessung: nach Ablauf des Tages; die Gesamtzahlen enthalten keine personenbezogenen Daten und bleiben bestehen.
• Bestätigte Geräte (Kennung des Browsers nur als Hash, grobe Gerätebezeichnung wie „Chrome auf Windows“, Zeitpunkt der letzten Anmeldung): ein Jahr nach der letzten Anmeldung von diesem Gerät, außerdem sobald du dein Passwort änderst (außer für das Gerät, auf dem du es änderst).
• Passkeys (öffentlicher Schlüssel, grobe Gerätebezeichnung, Zeitpunkt der letzten Nutzung): bis du den Passkey im Profil löschst, spätestens mit deinem Konto.
• Sicherheitsereignisse (Logins, fehlgeschlagene Logins, neu bestätigte Geräte, angelegte und gelöschte Passkeys, Passwortänderungen): so lange dein Konto besteht, danach automatisch mit dem Konto gelöscht.
• Sicherungskopien: Datenbank und Dateien werden täglich verschlüsselt im Rechenzentrum gesichert. Damit die Daten auch einen Ausfall des Rechenzentrums überstehen, legen wir zusätzlich regelmäßig eine verschlüsselte Kopie auf einem Datenträger bei uns in Deutschland ab. Alle Sicherungen werden nach 14 Tagen überschrieben bzw. gelöscht. Gelöschte Daten können bis dahin in einer Sicherung enthalten sein; sie werden daraus nicht zurückgespielt, außer zur Wiederherstellung nach einem Ausfall.

Deine Rechte

Soweit wir Verantwortlicher sind, hast du gegenüber uns folgende Rechte:

• Auskunft (Art. 15 DSGVO) – du kannst erfahren, welche Daten wir über dich gespeichert haben und wofür,
• Berichtigung (Art. 16) unrichtiger und Löschung (Art. 17) nicht mehr benötigter Daten,
• Einschränkung der Verarbeitung (Art. 18) – wir speichern deine Daten dann nur noch, verarbeiten sie aber vorübergehend nicht weiter, etwa während wir prüfen, ob deine Daten richtig sind oder ob dein Widerspruch berechtigt ist,
• Datenübertragbarkeit (Art. 20) – deine Daten in einem gängigen, maschinenlesbaren Format; Gäste und Buchungen kannst du jederzeit selbst unter „Profil → Deine Daten exportieren“ als CSV herunterladen,
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3) – die Verarbeitung bis zum Widerruf bleibt dadurch rechtmäßig.

Schreib uns dazu einfach an kontakt@besoo.de. Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Sonstiges

Keine automatisierten Entscheidungen: Wir treffen keine Entscheidungen mit rechtlicher Wirkung ausschließlich auf Grundlage automatisierter Verarbeitung (Art. 22 DSGVO) und erstellen keine Profile. Der KI-Assistent ordnet E-Mails ein und macht Vorschläge; er sendet nichts und legt nichts an, ohne dass du es bestätigst.

Verschlüsselung: Alle Verbindungen zu besoo sind per TLS verschlüsselt. Passwörter speichern wir ausschließlich als Hash, Zugangsdaten zu Fremddiensten verschlüsselt.

Änderungen: Wenn wir neue Funktionen oder Dienste einführen, passen wir diese Erklärung an. Maßgeblich ist immer die hier veröffentlichte Fassung; das Datum steht oben. Bei wesentlichen Änderungen, die dein Kundenkonto betreffen, informieren wir dich zusätzlich per E-Mail.