1. Verantwortlicher und Kontakt
Verantwortlicher für die Verarbeitung personenbezogener Daten in eigener Verantwortlichkeit ist Arne Finnern, GIHS – German Intelligent Hospitality Solutions, Baleckestraße 1, 18055 Rostock, Deutschland. Kontakt: info@gihs.group.
2. Geltungsbereich und Rollen
Diese zentralen Hinweise betreffen Datenverarbeitungen in eigener Verantwortlichkeit von GIHS bei der Website, bei Vertragsanbahnung und Vertragsdurchführung, bei GIHS-Kundenkonten und gegebenenfalls weiteren beschriebenen Diensten.
Bei Hotel-, Mitarbeiter-, Bewerber- und Gästedaten kann dagegen das jeweilige Kundenunternehmen Verantwortlicher sein und GIHS als Auftragsverarbeiter handeln. Dann sind primär die Datenschutzhinweise des Kunden für dessen Verarbeitung maßgeblich; zwischen GIHS und dem Kunden ist gegebenenfalls eine Vereinbarung nach Art. 28 DSGVO erforderlich. Rollen sind pro Produkt und Verarbeitung zu prüfen.
3. Grundprinzipien
GIHS verarbeitet personenbezogene Daten nur für bestimmte, rechtmäßige Zwecke und im notwendigen Umfang. Je Vorgang sind Datenarten, Rechtsgrundlagen, Empfänger und Speicherfristen festzulegen. Eine pauschale Verarbeitung aller für sämtliche GIHS-Produkte genannten Daten ist damit nicht verbunden.
4. Aufruf der Website und Serverprotokolle
Beim Abruf einer Website werden technisch benötigte Verbindungsdaten, etwa IP-Adresse, angeforderte Ressource, Zeitstempel, HTTP-Status und Angaben zum verwendeten Client, verarbeitet, soweit sie tatsächlich im Hosting- und Sicherheitsbetrieb anfallen. Zweck sind die Bereitstellung und Sicherheit des Angebots sowie die technische Fehleranalyse; als Rechtsgrundlage kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht.
5. Kontaktaufnahme und Kommunikation
Wenn Personen GIHS per E-Mail oder über bereitgestellte Kommunikationskanäle kontaktieren, verarbeitet GIHS übermittelte Kontaktdaten, Inhalte und erforderliche Metadaten zur Bearbeitung und Beantwortung. Je nach Anlass erfolgt die Verarbeitung zur Vertragsanbahnung oder Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Pflichten (lit. c) oder auf Grundlage berechtigter Interessen (lit. f).
6. Angebote, Kunden- und Vertragsverwaltung
Bei Anfragen und Verträgen können Name, Unternehmen, geschäftliche Kontaktdaten, Angebot, Leistungsumfang, Rechnungs- und Vertragsinformationen verarbeitet werden. Zwecke sind Vertragsanbahnung, Vertragserfüllung, Kundenbetreuung, Buchhaltung und Erfüllung gesetzlicher Aufbewahrungspflichten. Maßgeblich sind insbesondere Art. 6 Abs. 1 lit. b und c DSGVO; für reine B2B-Ansprechpartner je nach Sachverhalt lit. f.
7. Benutzerkonten, Login und Zugriffsverwaltung
Soweit ein Konto verwendet wird, können Benutzerkennung, Name, E-Mail-Adresse, Organisation, Rolle, Kontostatus, Authentifizierungsereignisse, Sitzungsinformationen und technisch erforderliche Sicherheitsmerkmale verarbeitet werden. Zwecke sind Zugang, Berechtigungsverwaltung, Missbrauchsprävention und Fehlerbehebung. Rechtsgrundlagen sind abhängig vom Nutzungsverhältnis Art. 6 Abs. 1 lit. b oder f DSGVO und gegebenenfalls lit. c.
Bei GIHS ID-X sind konkret eingesetzte Passkeys, WebAuthn, MFA, Magic-Links, Authentifizierungsprotokolle, Speicherfristen und eventuelle externe Anbieter zu beschreiben.
8. Betrieb der Software und Mandantentrennung
Bei der Nutzung von GIHS-Software entstehen fachliche Betriebsdaten und Nutzungsmetadaten. Ob GIHS hierfür Verantwortlicher oder Auftragsverarbeiter ist, hängt vom Produkt und dem Verarbeitungsvorgang ab. Zugriffe erfolgen nach dem vorgesehenen Rollen- und Mandantensystem.
9. Cookies, ähnliche Technologien und Einwilligungen
Je nach Website/Anwendung können Sitzungs-Cookies oder vergleichbare Speicher- und Zugriffstechniken technisch notwendig sein. Für nicht notwendige Zugriffe auf Endgeräte ist die Zulässigkeit nach § 25 TDDDG sowie gegebenenfalls eine Einwilligung und die einschlägige DSGVO-Rechtsgrundlage zu prüfen.
10. Reichweitenmessung, Analysen und Marketing
Soweit GIHS Analyse-, Marketing- oder Trackingdienste verwendet, werden die tatsächlichen Anbieter, Datenkategorien, Zwecke, Speicherdauern und Rechtsgrundlagen vor deren Einsatz und vor Veröffentlichung konkret benannt. Einwilligungspflichtige Vorgänge dürfen erst nach wirksamer Einwilligung erfolgen.
11. Hosting, technische Dienstleister und Empfänger
Zur technischen Bereitstellung können Hosting-, Datenbank-, E-Mail-, Support-, Sicherheits- und andere IT-Dienstleister als Empfänger oder Auftragsverarbeiter beteiligt sein. Die Empfängerkategorien sowie die tatsächlich eingesetzten Unternehmen müssen nachvollziehbar dokumentiert werden.
12. Datenübermittlungen außerhalb des EWR
Soweit Empfänger außerhalb des Europäischen Wirtschaftsraums beteiligt sind oder von dort aus zugreifen können, sind betroffene Vorgänge, Empfänger, Übermittlungsgrundlagen und Garantien zu prüfen und zu erläutern. Ohne Bestandsaufnahme wird weder das Vorliegen noch das Nichtvorliegen solcher Übermittlungen behauptet.
13. Speicherdauer und Löschung
Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten entgegenstehen. Nach Zweckfortfall erfolgt Löschung oder, soweit zulässig, Einschränkung beziehungsweise Anonymisierung.
14. Betroffenenrechte
Betroffene können nach den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen. Soweit Daten auf Grundlage einer Einwilligung verarbeitet werden, kann diese jederzeit für die Zukunft widerrufen werden. Zudem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.
Anfragen können an info@gihs.group gerichtet werden. Wenn GIHS nur als Auftragsverarbeiter tätig ist, unterstützt GIHS die verantwortliche Kundenorganisation nach Maßgabe der gesetzlichen und vertraglichen Pflichten.
15. Recht auf Widerspruch
Soweit GIHS Daten aufgrund berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO verarbeitet, besteht unter den Voraussetzungen des Art. 21 DSGVO ein Widerspruchsrecht. Bei Direktwerbung kann der betreffenden Verarbeitung jederzeit widersprochen werden.
16. Pflicht zur Bereitstellung von Daten
Welche Angaben vertraglich oder gesetzlich erforderlich sind und welche Folgen die Nichtbereitstellung hat, hängt vom konkreten Angebot ab. Erforderliche Pflichtangaben sind an der jeweiligen Eingabestelle kenntlich zu machen und in diesen Hinweisen produktbezogen zu erläutern.
17. Automatisierte Entscheidungen und KI
Ob einzelne Anwendungen Profiling oder automatisierte Entscheidungen im Sinne des Art. 22 DSGVO einsetzen, ist je Funktion zu prüfen. Wo entsprechende Entscheidungen stattfinden, sind die zusätzlich vorgeschriebenen Informationen bereitzustellen. KI-generierte Vorschläge sind nicht ohne Weiteres einer automatisierten Entscheidung gleichzusetzen.
18. Produkte mit besonderem Datenschutzbedarf
PETRA HR: Bewerbungs-, Beschäftigten-, Rollen- und Dokumentdaten; Verantwortlichkeit der jeweiligen Arbeitgeberorganisation, besondere Speicher- und Zugriffsregeln.
MDS und Mika: Hotel-, Finanz-, Einkaufs- und gegebenenfalls Nutzer- und Ansprechpartnerdaten; Datenquellen, Schnittstellen und Auftragsverarbeitungsrolle.
HOS, Check Engine und RMBY: betriebliche Abläufe, Checklisten und möglicherweise personenbezogene Leistungsdaten; Transparenz gegenüber betroffenen Beschäftigten sowie Mandantentrennung.
GIHS Sign: Identitäts-, Gruppen-, Beschluss-, Abstimmungs- und Signaturdaten; Nachweis- und Aufbewahrungszwecke sowie Berechtigungsmodell.
SigBuy: öffentliche Profilangaben, Bewerberprofile, Klickstatistiken und freiwillig bereitgestellte Dokumente; Veröffentlichungs- und Zugriffsentscheidungen.
GIHS Comms Hub und Campfire: Kommunikationsinhalte, Metadaten und Moderationsvorgänge; Rollen und Aufbewahrung.
Harbor: Gästekonten, Loyalty- und Interaktionsdaten sowie mögliche Hotelverantwortlichkeit.
QZ – Das Hotelquiz und Five Star Fever: Spielereignisse, gegebenenfalls Gastkennungen, Preise/Belohnungen, Ranglisten, Werbung und Schutz Minderjähriger.
GIHS Games Ads: Werbeausspielung, Reichweitenmessung, etwaige Endgerätezugriffe und Empfänger.
GIHS Reputation Hub: etwaige personenbezogene Daten in öffentlich zugänglichen Quellen; rechtliche Zulässigkeit, Information und Löschkonzept gesondert prüfen.
GIHS Pay und SE Connect: Zahlungs- beziehungsweise PMS-Schnittstellendaten und jeweilige Verantwortlichkeiten/Dienstleister.
Die Produktnennung ist eine Prüfmatrix, keine Behauptung, dass die vorgenannten Verarbeitungsvorgänge bereits produktiv stattfinden.
19. Sicherheitsmaßnahmen
GIHS setzt angemessene technische und organisatorische Sicherheitsmaßnahmen ein. Konkrete Angaben zu Verschlüsselung, Rollen, Multi-Faktor-Authentifizierung, Auditierung, Backups, Hosting und Vorfallmanagement werden mit dem tatsächlichen Betriebszustand abgeglichen.
20. Aktualisierung der Hinweise
Diese Informationen sind bei Änderungen der Zwecke, Rechtsgrundlagen, Empfänger oder technischen Verfahren zu aktualisieren. Wesentliche Informationspflichten werden nicht allein durch die unvermerkte Änderung eines Website-Textes erfüllt.