Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der DSGVO:

2. Rollen: Website-Besucher, Hoteliers, Hotelgäste

Foyer wird in zwei Rollen tätig. Für die Daten von Website-Besuchern und registrierten Hotel-Betreibern (Konto, Abrechnung, Support) ist Foyer Verantwortlicher im Sinne der DSGVO. Für Gästedaten, die ein Hotel über Foyer verarbeitet (Konversationen, Buchungen, Check-in-Daten), ist das jeweilige Hotel Verantwortlicher und Foyer Auftragsverarbeiter (Art. 28 DSGVO). Hotel-Betreiber schließen dazu mit Foyer einen Auftragsverarbeitungsvertrag ab — anzufordern unter datenschutz@getfoyer.app.

3. Hosting und Infrastruktur (EU)

Foyer wird innerhalb der Europäischen Union betrieben. Kerndaten (Datenbank, Dateien, Backups) verlassen die EU nicht; einzelne Dienstleister mit Drittlandbezug sind in Abschnitt 5 ausgewiesen.

• Server: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland — Standort der Maschine: Falkenstein, Deutschland.
• Datenbank: PostgreSQL auf demselben Server in Falkenstein, mit Row-Level Security pro Hotel (mandantengetrennte Daten auf Datenbank-Ebene).
• Backups: verschlüsselte Sicherungen auf einem zweiten Hetzner-Server in Nürnberg, Deutschland.
• TLS-Zertifikate:Let's Encrypt (ISRG); Übertragung ausschließlich verschlüsselt (HTTPS).

4. Erhebung und Verarbeitung personenbezogener Daten

4.1 Beim Aufruf der Website

Beim Besuch von getfoyer.app werden technisch notwendige Server-Logs erhoben (IP-Adresse, Zeitpunkt, User-Agent, Referrer) auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Sicherheit). Diese Logs werden nach maximal 14 Tagen gelöscht.

4.2 Reichweitenmessung (Plausible, cookielos)

Die öffentliche Marketing-Seite nutzt Plausible Analytics(Plausible Insights OÜ, Estland — EU-gehostet) zur cookielosen Reichweitenmessung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Plausible setzt keine Cookies, speichert keine IP-Adressen dauerhaft und bildet keine seitenübergreifenden Profile; erfasst werden aggregierte Seitenaufrufe und anonyme Interaktions-Events (z. B. Klick auf „Testen").

4.3 Interaktive KI-Demo auf der Startseite

Fragen, die Du in die öffentliche KI-Demo eingibst, werden zur Beantwortung an Anthropic (EU-Endpoint, siehe Abschnitt 5) übermittelt. Bitte gib dort keine personenbezogenen Daten ein; die Eingaben werden nicht mit Deiner Person verknüpft und nicht dauerhaft gespeichert.

4.4 Bei Registrierung und Nutzung des Dienstes

Beim Anlegen eines Kontos werden Name, E-Mail-Adresse, Hotel-Name und Anzahl der Zimmer erhoben (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung). Während der Nutzung verarbeitet Foyer im Auftrag des Hotels Gäste-Konversationen aus den verbundenen Kanälen (E-Mail, WhatsApp, Buchungsplattformen, Telefon), Buchungs- und Aufenthaltsdaten sowie Aufgaben- und Abrechnungsdaten.

4.5 Digitaler Check-in, Ausweis-Fotos und Meldeschein

Nutzt ein Hotel den digitalen Check-in, können Gäste vor Anreise ein Foto ihres Ausweisdokuments hochladen; daraus werden per Texterkennung die Meldeschein-Felder vorausgefüllt. Seit dem 1. Januar 2025 besteht die besondere Meldepflicht für Beherbergungsstätten (§§ 29, 30 Bundesmeldegesetz) nur noch für ausländische Gäste; deren Meldescheine werden 12 Monate ab Anreise aufbewahrt und spätestens drei Monate danach gelöscht. In Kur- und Erholungsorten kann zur Erhebung von Gästebeiträgen eine weitergehende kommunale Meldepflicht bestehen. Diese Daten werden ausschließlich auf den EU-Servern (Abschnitt 3) gespeichert und sind nur für das jeweilige Hotel zugänglich.

4.6 Telefon und Voice-Bot

Hotels mit aktivierter Telefon-Funktion können eingehende Anrufe durch einen KI-Voice-Bot beantworten lassen. Dabei werden Gesprächs-Transkripte und ggf. Audio-Aufzeichnungen verarbeitet, um Anfragen zu beantworten und Buchungen anzulegen. Verantwortlicher ist das jeweilige Hotel; die eingesetzten Dienstleister sind in Abschnitt 5 aufgeführt.

5. Auftragsverarbeiter und Empfänger

Die folgenden Dienstleister verarbeiten Daten im Auftrag. Soweit Anbieter außerhalb der EU sitzen, erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln (Art. 46 DSGVO) bzw. eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework):

• Hetzner Online GmbH (Deutschland) — Hosting, Datenbank, Backups.
• Brevo (Sendinblue SAS)(Frankreich, EU) — Versand transaktionaler E-Mails (z. B. Login-Links, Gäste-Antworten per E-Mail).
• ActiveCampaign, LLC (Postmark) (USA) — Verarbeitung eingehender E-Mails (Inbound-Parsing) sowie Rest-Versand; Übermittlung auf Grundlage von Standardvertragsklauseln.
• Anthropic Ireland Ltd. (Irland, EU) — KI-Antwortvorschläge und KI-Funktionen über den Anthropic-EU-Endpoint.
• Stripe Payments Europe Ltd. (Irland, EU) — Zahlungsabwicklung für Abonnements und Direkt-Buchungen (eigenes Stripe-Konto des Hotels). Stripe verarbeitet Zahlungsdaten gemäß Stripe Datenschutzrichtlinie.
• Meta Platforms Ireland Ltd. (Irland; Übermittlung an Meta Platforms, Inc., USA möglich) — WhatsApp Business Cloud API für den WhatsApp-Kanal.
• Twilio Ireland Ltd.(Irland, EU) — SMS-Versand (z. B. Personal-Logins, Türcodes).
• Hospitable.com Inc.(USA) — Synchronisation von Buchungen und Nachrichten mit Buchungsplattformen (z. B. Airbnb), sofern vom Hotel verbunden.
• Functional Software, Inc. (Sentry) (USA) — technisches Fehler-Monitoring; personenbezogene Inhalte werden vor Übermittlung automatisiert entfernt (PII-Redaction).
• Plausible Insights OÜ (Estland, EU) — cookielose Reichweitenmessung (siehe 4.2).

Nur bei entsprechend aktivierten Funktionen des jeweiligen Hotels kommen hinzu:

• OpenAI, LLC bzw. Voyage AI, Inc. (USA) — optionale semantische FAQ-Erkennung (Text-Embeddings), nur wenn vom Hotel aktiviert.
• Vapi, Inc. (USA) — KI-Voice-Bot für Telefonie (siehe 4.6), nur im Tarif mit aktivierter Telefon-KI.
• Nuki Home Solutions GmbH (Österreich, EU) — Smart-Lock-Anbindung für Türcodes.
• Kamera-/Türklingel-Anbieter(z. B. Ring/Amazon, USA) — nur, wenn ein Hotel eigene Kameras mit Foyer verbindet; Verantwortlicher für die Videoüberwachung ist ausschließlich das Hotel als Betreiber.

6. Speicherdauer

Personenbezogene Daten werden gelöscht, sobald der Zweck ihrer Verarbeitung entfällt — typischerweise mit Beendigung des Vertrags. Server-Logs werden nach 14 Tagen gelöscht, Ausweis-/Meldescheindaten nach den Fristen des § 30 BMG. Gesetzliche Aufbewahrungspflichten (z. B. § 257 HGB, § 147 AO für Rechnungsdaten) bleiben unberührt.

7. Deine Rechte

Dir stehen folgende Rechte zu:

• Auskunft über gespeicherte Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft
• Beschwerde bei einer Aufsichtsbehörde, z. B. der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Betrifft Deine Anfrage Gästedaten eines Hotels, richte sie bitte zusätzlich an das jeweilige Hotel als Verantwortlichen — Foyer unterstützt das Hotel bei der Beantwortung.

8. Cookies und Tracking

Die öffentliche Marketing-Seite setzt keine Tracking- oder Marketing-Cookies; die Reichweitenmessung erfolgt cookielos (siehe 4.2). Im eingeloggten Bereich werden ausschließlich technisch notwendige Session-Cookies gesetzt (Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG).

9. Kontakt zum Datenschutz

Anfragen zum Datenschutz richte bitte an: datenschutz@getfoyer.app.