Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

TEAM M digital GmbH
Vertreten durch: Mathias Büschlen, Michael Hasler
Trogenstrasse 6
3653 Oberhofen am Thunersee
Schweiz
E-Mail: info@checkyout.app
Telefon: +41 79 709 55 66

1.1 Vertreter in der EU

Gemäss Art. 27 DSGVO haben wir folgenden Vertreter für die EU/EWR bestellt:

[NAME]
[ADRESSE]
[E-MAIL]

Du kannst dich in allen datenschutzrechtlichen Fragen sowohl an uns als auch an unseren EU-Vertreter wenden.

2. Allgemeines zur Datenverarbeitung

Wir nehmen den Schutz deiner persönlichen Daten sehr ernst und behandeln deine personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften (revidiertes Schweizer Datenschutzgesetz (revDSG, in Kraft seit 1. September 2023), EU-DSGVO soweit anwendbar) sowie dieser Datenschutzerklärung.

Wir verarbeiten personenbezogene Daten grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt auf Grundlage einer Einwilligung, eines Vertrags oder unseres berechtigten Interesses.

3. Welche Daten wir erheben

3.1 Konto-Registrierung

Bei der Erstellung eines CheckYout-Kontos erheben wir folgende Daten:

• E-Mail-Adresse
• Passwort (verschlüsselt gespeichert)
• Name (optional)

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

3.2 Unterkunftsdaten

Zur Nutzung des Dienstes speichern wir die von dir eingegebenen Unterkunftsinformationen:

• Name der Unterkunft
• Ort / Stadt
• Google Review URL (optional)

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

3.3 Check-out Events

Wenn ein Gast den QR-Code scannt oder den NFC-Chip nutzt, erfassen wir:

• Zeitpunkt des Check-outs
• Geräte-Kennung (zugeordnete Unterkunft)
• Ob der Google-Review-Link geklickt wurde

Ohne PMS-Integration: Es werden keine personenbezogenen Daten des Gastes verarbeitet. Der Check-out ist anonym.

Mit aktiver PMS-Integration (Plus/Pro): Wenn der Gastgeber eine PMS-Integration (Smoobu, Guesty, Lodgify, Hostaway, Beds24) verbunden hat, lädt CheckYout folgende Buchungsdaten aus dem PMS des Gastgebers:

• Vor- und Nachname des Gasts
• Check-in-Datum und -Uhrzeit
• Check-out-Datum und -Uhrzeit
• Buchungskanal (z.B. Booking.com, Airbnb, Direktbuchung)
• PMS-interne Buchungs-ID
• Anzahl der angemeldeten Gäste
• Zuordnung zur gebuchten Unterkunft

Diese Daten dienen der personalisierten Begrüssung auf der Check-out-Seite („Hallo Sarah!"), der Koordination aufeinanderfolgender Buchungen (gleichtägige Anreise) sowie der Auslösung von Benachrichtigungen und Smart-Home-Aktionen. Sie werden nicht an Dritte weitergegeben und nicht in den Nachrichten an deine Reinigungskräfte übermittelt.

Nicht aus dem PMS geladen werden: E-Mail-Adressen, Telefonnummern, Zahlungsdaten oder Ausweisdaten der Gäste. Speicherdauer: 30 Tage nach Abreise, danach automatische Löschung.

Verantwortlichkeit: Bei Nutzung der PMS-Integration ist der Gastgeber Verantwortlicher im Sinne der DSGVO/des revDSG. CheckYout handelt als Auftragsverarbeiter (siehe AVV).

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für anonyme Check-out-Events; Vertragserfüllung mit dem Gastgeber (Art. 6 Abs. 1 lit. b DSGVO) für personalisierte Begrüssung.

3.4 Benachrichtigungsdaten

Für die Zustellung von Check-out-Benachrichtigungen speichern wir die von dir konfigurierten Kanäle:

• WhatsApp-Telefonnummern (Free: 1, Plus: 3, Pro: 6)
• E-Mail-Adressen für Benachrichtigungen
• Webhook-URLs (optional)

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Hinweis zur WhatsApp-Übermittlung: WhatsApp-Nachrichten werden über die WhatsApp Business API von Twilio versendet. Empfänger-Telefonnummer und Nachrichteninhalt werden dabei zusätzlich von Meta Platforms Ireland Ltd. verarbeitet. Mehr dazu in der WhatsApp Business Datenrichtlinie: whatsapp.com/legal/business-data-transfer-addendum

4. Hosting und Infrastruktur

Unsere Website und Dienste werden von folgenden Drittanbietern verarbeitet. Für Transfers in die USA gelten — je nach Anbieter — der EU-US Data Privacy Framework (DPF) und das Swiss-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, des Schweizer Bundesrats vom 14. August 2024) oder Standardvertragsklauseln (SCCs) Modul 2 mit ergänzendem Transfer Impact Assessment.

• Vercel Inc. (USA, DPF-zertifiziert) — Website-Hosting. Verarbeitete Daten: IP-Adresse, Zeitstempel, aufgerufene Seite. Datenschutzerklärung: vercel.com/legal/privacy-policy
• Supabase Inc. (USA, Datenhaltung in der EU/Frankfurt) — Datenbank und Authentifizierung. Nutzerdaten werden ausschliesslich in der EU gespeichert. Datenschutzerklärung: supabase.com/privacy
• Twilio Inc. (USA, DPF-zertifiziert) — WhatsApp-Nachrichtenversand. Verarbeitete Daten: Telefonnummern der Empfänger, Nachrichteninhalt. Datenschutzerklärung: twilio.com/legal/privacy
• Resend Inc. (USA, DPF-zertifiziert) — E-Mail-Versand. Verarbeitete Daten: E-Mail-Adressen, Nachrichteninhalt. Datenschutzerklärung: resend.com/legal/privacy-policy
• Anthropic, PBC (USA, nicht DPF-zertifiziert — Transfer auf Basis von SCCs Modul 2 mit Transfer Impact Assessment) — KI-gestützte Verarbeitung öffentlich zugänglicher Inhalte (z. B. Beiträge aus Reddit, LinkedIn, RSS-Feeds) für interne Markt-Insights. Verarbeitete Daten: Autorenname, Titel, Inhaltsausschnitt. Keine Kunden- oder Gastdaten. Datenschutzerklärung: anthropic.com/legal/privacy
• Upstash Inc. (USA, Konzernsitz — Datenresidenz EU/Frankfurt; SCCs Modul 2) — Redis-Cache und Job-Queue für Rate-Limiting, Session-Tracking und asynchrone Tasks. Verarbeitete Daten: gekürzte IP-Adressen, gehashte Identifier (E-Mail-Hash, User-ID), zeitlich begrenzte Job-Payloads. Datenschutzerklärung: upstash.com/trust/privacy
• FriendlyCaptcha GmbH (Deutschland) — Bot- und Spam-Schutz auf Signup-, Login- und Kontaktformularen. Verarbeitete Daten: technische Browser-Merkmale für Proof-of-Work-Challenge (kein Tracking, keine Cookies). Datenschutzerklärung: friendlycaptcha.com/legal/privacy
• Translated S.r.l. (Italien, MyMemory-API) — On-the-fly-Übersetzung von Custom-Nachrichten im Dashboard. Verarbeitete Daten: zu übersetzender Text-Inhalt. Verbleibt im EWR. Datenschutzerklärung: mymemory.translated.net/doc/privacy
• Google Ireland Ltd. (Irland; Konzern: Google LLC, USA, DPF-zertifiziert) — Google Analytics 4 zur Reichweitenmessung auf Marketing-Seiten. Nur mit deiner Einwilligung über den Cookie-Banner geladen; ohne Einwilligung kein Tracking, keine Cookies. IP-Adressen werden anonymisiert (letztes Oktett verworfen). Datenschutzerklärung: policies.google.com/privacy
• Stripe Payments Europe Ltd. (Irland) — Zahlungsabwicklung für Plus und Pro. Datenschutzerklärung: stripe.com/de/privacy

Hinweis zum US Cloud Act: Vercel Inc., Supabase Inc., Anthropic, PBC, Upstash Inc. und Google LLC sind US-Unternehmen und können nach dem CLOUD Act (2018) zur Herausgabe von Daten an US-Behörden verpflichtet werden, auch wenn die Daten in der EU gespeichert sind. Für die EU-Datenresidenz bei Supabase und Upstash haben wir Standardvertragsklauseln (SCCs Modul 2) sowie ergänzende technische Massnahmen (Verschlüsselung at-rest, gekürzte IPs) vereinbart. Anthropic-Verarbeitung ist auf öffentlich zugängliche Inhalte beschränkt — keine Konto- oder Gastdaten.

5. Cookies und lokale Speicherung

Wir verwenden ausschliesslich technisch notwendige Cookies und Local-Storage-Einträge, die für den Betrieb der Website und die Authentifizierung erforderlich sind:

• sb-access-token, sb-refresh-token (Supabase): Authentifizierung, Session-Cookies
• theme (Local Storage): Speicherung der Theme-Präferenz

Diese sind gemäss § 25 Abs. 2 Nr. 2 TDDDG (Deutschland) bzw. Art. 45c FMG (Schweiz) ohne Einwilligung zulässig, da sie für die vom Nutzer angefragte Dienstleistung unbedingt erforderlich sind.

Wir verwenden keine Tracking-Cookies, keine Werbe-Cookies, keine Drittanbieter-Analyse-Cookies. Vercel Analytics und Vercel Speed Insights sind deaktiviert. Es findet kein Profiling und kein websiteübergreifendes Tracking statt.

5.1 Auftragsverarbeitung

Wenn du CheckYout als Gastgeber nutzt und dabei personenbezogene Daten Dritter verarbeitest (Buchungsdaten aus deinem PMS wie Vor- und Nachname, Aufenthaltszeitraum, Buchungskanal und Anzahl Gäste sowie Kontaktdaten deiner Reinigungskräfte), bist du Verantwortlicher im Sinne der DSGVO bzw. des revDSG. CheckYout handelt in diesen Fällen als Auftragsverarbeiter.

Den Auftragsverarbeitungsvertrag (AVV) findest du unter /avv. Er wird beim Erstellen deines Kontos akzeptiert und ist Bestandteil unserer Vertragsbeziehung.

5.2 Direktwerbung per E-Mail

Beim Signup kannst du optional die Checkbox „Tipps und Produkt-Updates per E-Mail" setzen. Wir senden dir dann eine Bestätigungs-Mail mit einem Link (Double-Opt-In nach BGH I ZR 218/07). Erst nach deinem Klick auf den Bestätigungs-Link erhältst du Produkt-Updates.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) in Verbindung mit § 7 Abs. 2 Nr. 3 UWG (Deutschland), § 174 TKG (Österreich) und Art. 3 lit. o UWG (Schweiz).
• Verarbeitete Daten: E-Mail-Adresse, Vorname, bevorzugte Sprache, sowie Zeitstempel/IP/User-Agent der Einwilligungs-Erteilung und -Bestätigung (Rechenschaftsnachweis nach Art. 5 Abs. 2 DSGVO).
• Versanddienstleister: Resend Inc. (USA, DPF-zertifiziert) — siehe Abschnitt 4.
• Aufbewahrung: Einwilligungsnachweis bis zum Widerruf plus drei Jahre UWG-Verjährungsfrist; danach Löschung. Nach Widerruf wird ein HMAC-SHA-256-Hash deiner E-Mail-Adresse in einer Sperrliste vorgehalten, um künftigen Versand technisch zu verhindern.
• Widerruf: Jederzeit über den Abmelde-Link am Ende jeder Marketing-Mail (Ein-Klick-Abmeldung nach RFC 8058) oder per E-Mail an dpo@checkyout.app. Der Widerruf ist so einfach wie die Erteilung (Art. 7 Abs. 3 DSGVO).
• Tracking in Marketing-Mails: CheckYout verwendet aktuell kein Open-Pixel-Tracking. Klick-Tracking auf CTA-Links ist standardmässig deaktiviert und kann nur mit separater Einwilligung aktiviert werden.

Service-E-Mails (Account-Bestätigung, Passwort-Reset, Sicherheits-Benachrichtigungen, Rechnungen) sind keine Direktwerbung und werden auf Basis von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) versendet — ohne separate Einwilligung und ohne Abmelde-Möglichkeit, da sie für die Nutzung des Dienstes erforderlich sind.

6. Deine Rechte

Du hast jederzeit folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunft — Du kannst Auskunft über deine gespeicherten Daten verlangen.
• Berichtigung — Du kannst die Berichtigung unrichtiger Daten verlangen.
• Löschung — Du kannst die Löschung deiner Daten verlangen. Du kannst dein Konto jederzeit selbst löschen oder uns per E-Mail kontaktieren.
• Einschränkung — Du kannst die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit — Du kannst deine Daten in einem gängigen Format erhalten.
• Widerspruch — Du kannst der Verarbeitung deiner Daten widersprechen.
• Widerruf der Einwilligung — Eine erteilte Einwilligung kannst du jederzeit widerrufen.

Zur Ausübung deiner Rechte kannst du eine Datenschutzanfrage stellen oder uns per E-Mail schreiben an info@checkyout.app.

6.1 Kontakt für Datenschutzfragen

Die Bestellung eines Datenschutzbeauftragten ist für TEAM M digital GmbH gesetzlich nicht erforderlich (weder nach Art. 37 DSGVO noch nach Art. 10 revDSG). Du erreichst das interne Datenschutz-Team unter folgenden Adressen:

• Datenschutzanfragen nach DSGVO/revDSG: dpo@checkyout.app
• Allgemeine Anliegen: info@checkyout.app

Betroffene Rechte kannst du zusätzlich komfortabel über das Formular zur Datenschutzanfrage geltend machen. Wir antworten innerhalb von 30 Tagen.

6.2 Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO bzw. Art. 21 revDSG statt. Wir setzen keine Profiling-Verfahren ein.

7. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmassnahmen gemäss Art. 32 DSGVO und Art. 8 revDSG ein, um deine Daten gegen Manipulation, Verlust, Zerstörung und unbefugten Zugriff zu schützen. Die zentralen Massnahmen:

Authentifizierung und Zugriffsschutz

• Zwei-Faktor-Authentifizierung verfügbar (TOTP-Authenticator-App, Passkeys/WebAuthn)
• Passwort-Policy mit Entropie-Prüfung (zxcvbn) und Abgleich gegen bekannte Datenpannen (Have-I-Been-Pwned)
• Rate-Limiting auf Anmelde-Endpunkten und Account-Lockout nach mehreren Fehlversuchen
• Geräte-Erkennung mit E-Mail-Benachrichtigung bei Anmeldung von neuem Gerät
• Sitzungs-Übersicht mit Abmelde-Funktion pro Gerät
• Zugriffskontrolle auf Datenbankebene (Row Level Security)

Kryptografie

• Verschlüsselte Datenübertragung (TLS 1.3)
• HTTP Strict Transport Security (HSTS) mit Preload
• Verschlüsselte Speicherung von Passwörtern (bcrypt via Supabase Auth)
• Anwendungsseitige Verschlüsselung sensibler Zugangs-Tokens (OAuth- und PMS-API-Schlüssel, AES-256-GCM)
• Content Security Policy (CSP) zum Schutz vor Cross-Site-Scripting

Monitoring und Governance

• Revisionssicherer Audit-Log aller Administrations- und sicherheitsrelevanten Aktionen (nur Anhang, keine Änderung oder Löschung)
• Automatisierte Überprüfung aller Abhängigkeiten auf bekannte Schwachstellen (wöchentlich)
• Statische Code-Sicherheitsanalyse (SAST) und Secret-Scanning im Code-Repository
• Verantwortlicher Offenlegungsprozess für Sicherheitsforschende (security.txt, Disclosure-Policy)
• Tägliche Datenbank-Backups mit Point-in-Time-Recovery
• Regelmässige Sicherheitsupdates

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

• Kontodaten: Bis zur Löschung des Kontos durch den Nutzer.
• Check-out Events (anonymisiert): 12 Monate. Statistische Felder (Zeitpunkt, Gerät, Anzahl) bleiben für Auswertungen erhalten.
• Gastdaten aus PMS-Integration (Vor- und Nachname, Check-in/-out-Datum und -Uhrzeit, Buchungskanal, PMS-Buchungs-ID, Anzahl Gäste): 30 Tage nach Abreisedatum, danach automatisch gelöscht.
• Webhook-Logs: 30 Tage, danach automatisch gelöscht.
• WhatsApp/E-Mail-Versandprotokolle: 90 Tage zur Fehleranalyse, danach gelöscht.
• Consent-Datensätze (Akzeptanz von AGB, DSE, AVV): Für die gesamte Vertragsdauer plus 3 Jahre nach Kontolöschung (Beweissicherung).
• Gast-Metadaten (IP-Adresse, User-Agent): 30 Tage. Diese Felder werden in den Tabellen checkout_events, page_views, referral_events und review_clicks nach Ablauf täglich automatisch auf NULL gesetzt. Begründung: Schutz vor Missbrauch / Debugging — nicht länger als nötig.
• Rechnungsdaten: 10 Jahre (gesetzliche Aufbewahrungspflicht).

9. Datenpannen

Im Falle einer Verletzung des Schutzes personenbezogener Daten melden wir diese unverzüglich (innerhalb von 72 Stunden gemäss Art. 33 DSGVO bzw. so rasch als möglich gemäss Art. 24 revDSG) an die zuständige Aufsichtsbehörde sowie — falls ein hohes Risiko für die Betroffenen besteht — an die betroffenen Personen direkt.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder Änderungen unseres Dienstes anzupassen. Die aktuelle Fassung findest du stets auf dieser Seite. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.

11. Zuständige Aufsichtsbehörde

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1
3003 Bern
Schweiz
www.edoeb.admin.ch

Für Nutzer aus der EU/EWR steht dir zusätzlich das Recht zu, dich bei der zuständigen Datenschutzaufsichtsbehörde deines Landes zu beschweren.