Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für diese Website und für die Daten, die wir für das Konto, die Abrechnung und den Betrieb von NAICE selbst verarbeiten, ist Leon Schröder, handelnd unter „NAICE HOSTING“ (Einzelunternehmen), Löninger Straße 45, 49661 Cloppenburg, Deutschland, E-Mail naicesolutions@gmail.com.

Für personenbezogene Daten, die ein Host auf seiner Gastseite erhebt — Gäste, Anfragen, Buchungen, Nachrichten, Kalender, Notizen —, ist der Host Verantwortlicher. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO. Der Vertrag darüber steht in den AGB, Abschnitt 11. Gäste einer Unterkunft wenden sich mit Auskunft und Löschung zuerst an ihren Gastgeber. Schreiben Sie uns, leiten wir das Anliegen an den Host weiter, soweit wir das Konto zuordnen können.

2. Hosting und Verbindungsdaten

Die Anwendung wird über Lovable auf Cloudflare ausgeliefert. Beim Aufruf entstehen Server-Protokolle, typischerweise IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browsertyp und Betriebssystem. Cloudflare setzt außerdem das Cookie __cf_bm. Es dient der Abwehr automatisierter Zugriffe, ist kurzlebig und wird nicht für Werbung verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Dienstes). Das Speichern von __cf_bm ist nach § 25 Abs. 2 Nr. 2 TDDDG erlaubt, weil es für die sichere Auslieferung erforderlich ist. Das frühere TTDSG heißt seit Mai 2024 TDDDG; die Speicherregel steht weiter in § 25.

Im Editor-Preview von Lovable kann eine Fehlermeldung aus der Fehlerseite — Text, Stack und Seitenpfad — an Lovable gehen, wenn deren Skript im Browser vorhanden ist. Wir laden dieses Skript nicht als Besucheranalyse. Eine eigene Reichweitenmessung der Marketingseiten betreiben wir nicht.

Verbindet ein Host eine eigene Domain, speichern wir den Hostnamen und den Status der Prüfung und legen den Namen bei Cloudflare (Custom Hostnames) an. Rechtsgrundlage gegenüber dem Host ist Art. 6 Abs. 1 lit. b DSGVO.

3. Schriftarten

Die Seiten laden Schriftarten von Google-Servern (fonts.googleapis.com und fonts.gstatic.com). Auf allen Seiten sind das Fraunces und Source Sans 3. Auf den Anwendungswegen, den Gastseiten und den Beispielseiten kommen zusätzlich Cormorant Garamond, DM Sans, Instrument Serif, Libre Franklin, Manrope und Space Grotesk dazu. Dabei übermittelt der Browser Ihre IP-Adresse an Google LLC, USA. Eine Einwilligung holen wir dafür nicht ein. Das Selbst-Hosten der Schriften würde diese Übermittlung vermeiden und ist noch nicht umgesetzt. Bis dahin beschreiben wir den tatsächlichen Abruf und stützen ihn nicht auf eine Einwilligung, die es nicht gibt.

4. Konto, Datenbank und Dateien

Konten, Anmeldung und die Anwendungsdaten liegen bei Supabase (Supabase Inc.). Die Anmeldung läuft mit E-Mail und Passwort. Das Passwort speichert der Authentifizierungsdienst als Hash. Die Sitzung liegt im localStorage des Browsers, damit Sie angemeldet bleiben; im Editor-Preview kann sie zwischen Vorschaufenstern desselben Projekts geteilt werden. Bestätigungs-E-Mails der Anmeldung versendet dieser Dienst. Dafür kann Resend als Versandweg angebunden sein.

In der Datenbank liegen, je nachdem was Sie nutzen: Profil (Name, E-Mail, Plan, Stripe-Kennungen), Entwürfe und veröffentlichte Gastseiten, Unterkünfte, Gäste und Notizen, Anfragen und Buchungen (Name, E-Mail, Zeitraum, Personenzahl, Betrag, Notiz, Zahlungskennung), Kalenderblöcke, ein- und ausgehende Nachrichten, das E-Mail-Protokoll, Support- und Builder-Rückmeldungen, Verbrauchsdaten des KI-Kontingents sowie die Seitenaufrufe der Gastseite. Bilder, die Sie hochladen, liegen im Speicher „host-media“. Kartennummern speichern wir nicht.

Die konkrete Region des Supabase-Projekts ist in dieser Anwendung nicht festgelegt und hier nicht belegt. Soweit Zugriffe aus den USA stattfinden, gelten Standardvertragsklauseln. Eine Zertifizierung von Supabase unter dem EU-US Data Privacy Framework behaupten wir nicht. Rechtsgrundlage für das Konto und die Vertragserfüllung ist Art. 6 Abs. 1 lit. b DSGVO. Für Gastdaten handelt es sich um Auftragsverarbeitung.

5. Reichweitenmessung der Gastseite

Auf veröffentlichten Gastseiten sendet ein eigenes Skript einmal je Seitenaufruf Pfad, Referrer und eine Sitzungskennung an uns. Die Kennung steht im sessionStorage unter naice_guest_sid. Fehlt sie, erzeugen wir eine zufällige Zeichenkette und legen sie dort ab. Gespeichert werden Host, Pfad, Referrer, Sitzungskennung und Zeitpunkt. Die IP-Adresse schreiben wir in diesen Datensatz nicht. Sie wird serverseitig mit einem Salz gehasht (SHA-256, gekürzt) und nur dafür verwendet, Missbrauch kurzzeitig im Arbeitsspeicher zu begrenzen. Derselbe Hash wird bei KI-Anfragen in den Verbrauchsdaten gespeichert, nicht als Klartext-IP.

Die Messung dient dem Host, Aufrufe seiner Seite zu sehen. Für die reine Anzeige der Seite ist die Sitzungskennung nicht erforderlich. § 25 Abs. 1 TDDDG verlangt dafür eine Einwilligung. Ein Banner, das diese Einwilligung einholt, gibt es derzeit nicht. Das ist ein offener Punkt: Bis er geschlossen ist, ist diese Speicherung nicht als eingewilligt zu verstehen. Die Auswertung für den Host wäre im Übrigen Auftragsverarbeitung; eine eigene Werbeprofilbildung betreiben wir damit nicht.

6. Stripe

Das Abonnement NAICE Pro wird über Stripe abgerechnet (Stripe, LLC, USA, zertifiziert unter dem EU-US Data Privacy Framework; zusätzlich Standardvertragsklauseln). Stripe erhält die E-Mail des Kontos, eine Kundenkennung und die Zahlungsdaten, die Sie dort eingeben. Wir speichern Kunden- und Abonnementkennung sowie den Plan, nicht die Kartennummer. Stripe stellt die Zahlungsbelege aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für gesetzliche Aufbewahrung beim Zahlungsdienstleister Art. 6 Abs. 1 lit. c DSGVO, soweit sie Stripe trifft.

Gastzahlungen laufen über Stripe Connect auf das Konto des Hosts. Wir übermitteln E-Mail, Zeitraum, Betrag und die Kontokennung des Hosts, damit Stripe den Checkout erzeugen kann. Partei der Zahlung sind Gast, Host und Stripe. Es gelten die Bedingungen von Stripe. Für die Buchungsdaten, die wir beim Host speichern, sind wir Auftragsverarbeiter.

7. KI-Assistent und Websuche

Der Builder-Assistent sendet, wenn Sie Pro nutzen und die Anfrage nicht lokal beantwortet wird, Ihre Nachricht, den bisherigen Chat und den aktuellen Entwurf (Texte, Preise, Adressen, die Sie eingetragen haben) an Anthropic, PBC, USA (Claude, api.anthropic.com). Anthropic ist nach unserer Kenntnis nicht unter dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung stützen wir auf Standardvertragsklauseln. Rechtsgrundlage gegenüber dem Host ist Art. 6 Abs. 1 lit. b DSGVO. Enthält der Entwurf Gastdaten, ist das Auftragsverarbeitung. Der Assistent schlägt Änderungen vor. Er entscheidet nicht über Verträge, Preise gegenüber Gästen oder andere Rechtsfolgen.

Bittet der Entwurf um eine Recherche, fragt unser Server die Brave Search API ab (Brave Software, Inc., USA). Ersatzweise die Sofortantwort von DuckDuckGo und eine Kurzfassung von Wikipedia (Wikimedia). Übermittelt wird der Suchbegriff, der Adressen oder Orte aus Ihrer Nachricht enthalten kann. Die Anfrage läuft über unseren Server, nicht aus Ihrem Browser. Eine DPF-Zertifizierung von Brave, DuckDuckGo oder Wikimedia behaupten wir hier nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie die Recherche anstoßen.

8. Bildsuche

Die Bildsuche im Builder geht über unseren Server an die Openverse-API (api.openverse.org). Übermittelt wird der Suchbegriff. Es ist kein zusätzlicher API-Schlüssel hinterlegt. Die Treffer sind Bildadressen und Lizenzangaben. Setzen Sie ein Bild, kann der Browser der Gäste es direkt beim jeweiligen Bildanbieter laden; dann sieht dieser Anbieter die IP-Adresse des Gastes. Openverse selbst erhält die Suchanfrage von unserem Server.

9. Karten

Adressen, die Sie für eine Unterkunft geokodieren, schickt unser Server an Nominatim (OpenStreetMap). Kartenkacheln lädt der Browser von tile.openstreetmap.org; dabei geht die IP-Adresse an die OpenStreetMap Foundation. Einzelne Karten können als Rahmen von www.openstreetmap.org eingebettet sein, ebenfalls mit IP-Übermittlung an den Betreiber des Rahmens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Karte zur Gastseite gehört, die Sie erstellen, sonst Art. 6 Abs. 1 lit. f DSGVO für die Darstellung des Standorts. Die Foundation sitzt im Vereinigten Königreich; dafür besteht ein Angemessenheitsbeschluss.

10. E-Mail

Transaktionale E-Mails an Gäste und Hinweise an Hosts gehen, wenn der Versand eingerichtet ist, über Resend (api.resend.com, USA). Inhalt können Name, Aufenthalt und das sein, was Sie in eine Vorlage schreiben, auch Zugangscodes. Absender ist die konfigurierte Adresse, im Standard notifications@mail.naice-hosting.com. Fehlt der API-Schlüssel, wird nicht versendet. Eine DPF-Zertifizierung von Resend behaupten wir nicht; soweit Daten in die USA gehen, sind Standardvertragsklauseln die Grundlage. Rechtsgrundlage gegenüber dem Host ist Art. 6 Abs. 1 lit. b DSGVO, für Gastdaten die Auftragsverarbeitung.

11. Kalenderabgleich

Wenn Sie iCal-Adressen von Airbnb, Booking.com oder FeWo-direkt eintragen, ruft unser Server diese Kalender ab. Wir speichern Beginn, Ende und die Kurzbeschreibung des Eintrags, gekürzt auf 120 Zeichen. Diese Beschreibung kann je nach Portal einen Gastnamen enthalten. Unser eigener Export, den ein Portal bei Ihnen abholt, nennt die Belegung nur als „Belegt“, ohne Gastnamen. Die Portale bleiben für ihre eigenen Konten eigene Verantwortliche. Den Abruf führen wir auf Ihre Weisung aus.

12. Channel-Manager

Eine Anbindung an Channex ist im Code vorhanden. Der Live-Betrieb gegen die Produktions-API ist gesperrt, solange er nicht ausdrücklich freigeschaltet ist. Ohne API-Schlüssel findet kein Austausch statt. Ist die Schnittstelle aktiv, gehen Verfügbarkeiten, Preise und Buchungsrevisionen an Channex, einschließlich Name und E-Mail, soweit das Portal sie liefert. Das ist dann Auftragsverarbeitung für den Host. Solange die Sperre gilt, beschreiben wir die Schnittstelle, ohne einen laufenden Live-Austausch zu behaupten.

13. Kontakt

Schreiben Sie an naicesolutions@gmail.com, verarbeiten wir Name, Adresse, Inhalt und den Verlauf, um zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Das Formular auf der Kontaktseite sendet nicht. Was Sie dort eintippen, bleibt im Browser, bis Sie die Seite verlassen, und erreicht uns nicht. Bitte nutzen Sie die E-Mail.

14. Speicher im Browser

§ 25 TDDDG gilt für jedes Speichern und Auslesen auf Ihrem Gerät, nicht nur für Cookies.

Erforderlich, um den Dienst zu erbringen, den Sie aufgerufen haben (§ 25 Abs. 2 Nr. 2 TDDDG): die Anmeldesitzung, der Entwurf und die Arbeitsbereiche, die Sie gerade benutzen (unter anderem naice.setup.draft.v1, naice.workspaces.v1, naice.builder.chat.v1), Fotos der laufenden Sitzung (naice.setup.photos.v1), Vorlagen und lokale Kontakte, solange sie zur Bearbeitung gehören, sowie __cf_bm. Ohne die Sitzung wären Sie nach dem Laden nicht mehr angemeldet. Ohne den Entwurf wäre der Baukasten, den Sie geöffnet haben, leer.

Nicht erforderlich für die Anzeige: die Sitzungskennung naice_guest_sid. Siehe Abschnitt 5. Ebenfalls nur Komfort, ohne Tracking: das Cookie sidebar_state (sieben Tage, nur ob die Seitenleiste der Anwendung offen ist) und einzelne Merker, dass ein Hinweis geschlossen wurde. Dafür holen wir keine Einwilligung ein. Wer das eng auslegt, kann die Seitenleiste unberührt lassen; ein Banner, das diese Merker abdeckt, gibt es nicht.

15. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO: Konto, Abonnement, Bereitstellung der Software, E-Mails, die der Vertrag braucht, Zahlungsanstoß.
• Art. 6 Abs. 1 lit. c DSGVO: soweit eine gesetzliche Pflicht uns selbst trifft. Welche steuerliche Aufbewahrung uns trifft, steht noch nicht fest, weil der umsatzsteuerliche Status offen ist. Zahlungsbelege führt Stripe.
• Art. 6 Abs. 1 lit. f DSGVO: Sicherheit, Missbrauchsbegrenzung, Verbindungsprotokolle, das Bot-Cookie. Interessen: Betrieb und Abwehr von Angriffen. Die Daten sind auf das Nötige begrenzt, die IP in unseren eigenen Verbrauchsdaten nur als Hash.
• Art. 6 Abs. 1 lit. a DSGVO: nur wo wir tatsächlich eine Einwilligung einholen. Für die Schriftarten und für naice_guest_sid tun wir das derzeit nicht. Siehe die Abschnitte 3 und 5.
• Art. 28 DSGVO: Gastdaten auf Weisung des Hosts. Die Rechtsgrundlage gegenüber dem Gast muss der Host in seiner eigenen Erklärung nennen.

16. Empfänger in anderen Ländern

Übermittlungen in die USA finden statt bei Google (Schriftarten), Cloudflare (Auslieferung; EU-US Data Privacy Framework), Stripe (EU-US Data Privacy Framework) und Anthropic (Standardvertragsklauseln, keine hier belegte DPF-Zertifizierung). Resend, Brave und gegebenenfalls Supabase können ebenfalls in die USA führen; dafür nennen wir Standardvertragsklauseln und keine ungeprüfte DPF-Zertifizierung. OpenStreetMap: Vereinigtes Königreich, Angemessenheitsbeschluss, zusätzlich der Abruf der Kacheln aus dem Browser. Openverse, Wikipedia und DuckDuckGo erhalten nur die serverseitige Suchanfrage. Channex nur, wenn die Schnittstelle freigeschaltet ist. Ein Angemessenheitsbeschluss oder Standardvertragsklauseln ersetzen nicht die Pflicht, die Übermittlung auf das Nötige zu beschränken.

17. Speicherdauer

Kontodaten speichern wir für die Dauer des Vertrags. Danach löschen oder sperren wir sie, soweit keine Pflicht entgegensteht. Ein automatisches Löschdatum ist in der Software nicht hinterlegt; die Löschung folgt dem Vertragsende oder einem Löschverlangen, innerhalb einer angemessenen Frist. Gastdaten löschen wir auf Weisung des Hosts oder mit dem Ende seines Vertrags. Seitenaufrufe der Gastseite haben ebenfalls kein festes Verfallsdatum im Code. Verbrauchsdaten der KI bleiben, solange wir das monatliche Kontingent nachvollziehen müssen. Protokolle des Hosters folgen dessen üblicher kurzer Frist; eine längere eigene Roh-IP-Datei führen wir nicht. Lokale Speicher im Browser löschen Sie selbst über den Browser. Der Export im Konto bleibt verfügbar, solange der Zugang besteht.

18. Ihre Rechte

Sie haben, soweit die Voraussetzungen vorliegen, Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Beruht eine Verarbeitung auf Einwilligung, können Sie sie mit Wirkung für die Zukunft widerrufen. Eine Einwilligung, die wir nicht eingeholt haben, können Sie nicht widerrufen; die offenen Punkte in den Abschnitten 3 und 5 bleiben davon unberührt. Schreiben Sie an naicesolutions@gmail.com. Für Gastdaten eines Hosts ist der Host der richtige Adressat; wir unterstützen ihn als Auftragsverarbeiter.

19. Beschwerde

Sie können sich bei einer Aufsichtsbehörde beschweren. Zuständig für uns ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, poststelle@lfd.niedersachsen.de, www.lfd.niedersachsen.de.

20. Keine automatisierte Entscheidung

Wir treffen keine Entscheidung, die ausschließlich auf einer automatisierten Verarbeitung beruht und Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie erheblich beeinträchtigt (Art. 22 DSGVO). Der Builder-Assistent schlägt Text und Änderungen vor. Ob Sie sie übernehmen, entscheiden Sie. Die Missbrauchsbegrenzung sperrt kurzzeitig zu viele Anfragen; sie bewertet keine Person und schließt niemanden von einem Vertrag aus.