Datensparsamkeit im Datenmodell
Das Gastprofil kennt Anrede, Name, Anschrift, Land, E-Mail-Adressen, Telefon, Sprache, freie Notizen und Tags. Es gibt bewusst keine Felder für Geburtsdatum oder Ausweisnummer am Gast; diese Angaben werden nur im Meldeschein ausländischer Gäste erfasst und mit dessen Frist gelöscht. Die Buchungsmaske überträgt das Bemerkungsfeld des Gastes nicht in die Software, weil Gäste dort erfahrungsgemäß Gesundheitsdaten hinterlassen. Kartendaten sieht clavenda nie; sie bleiben beim Zahlungsdienstleister, die Software speichert nur Zahlungsstatus und Beträge. Für die Beherbergungsstatistik wird aus dem Gastprofil ausschließlich das Land gelesen.
Notizen und Tags sind trotzdem ein Risiko: Was Ihr Team dort einträgt, ist personenbezogen und im Zweifel besonders schutzwürdig. Schreiben Sie sachlich und nur, was für den nächsten Aufenthalt nötig ist (Gast-Notizen und Check-in-Hinweise).
Fristen je Datenklasse
Die Software trennt vier Datenklassen mit eigenen Fristen. Rechnungen und die darauf gedruckten Gastdaten unterliegen der steuerlichen Aufbewahrung und werden nie gelöscht. Meldescheine ausländischer Gäste werden nach der gesetzlichen Frist automatisch gelöscht: zwölf Monate ab Abreise plus höchstens drei Monate Löschfrist. Kurtaxe-Daten folgen dem jeweiligen Kommunalrecht. Marketing-Einwilligungen gelten bis zum Widerruf. Der nächtliche Lauf, der diese Fristen umsetzt, und sein aktueller Stand sind unter Aufbewahrung und Löschung beschrieben.
Löschen heißt Pseudonymisieren
Verlangt ein Gast die Löschung nach Art. 17 DSGVO, kann das Hotel seine Rechnungen nicht vernichten; die steuerliche Aufbewahrungspflicht geht vor. clavenda löst den Konflikt, indem Anonymisieren die personenbezogenen Felder des Profils unwiderruflich überschreibt (Name, Anschrift, Land, E-Mail, Telefon, Sprache), Notizen samt Verlauf und Tag-Zuordnungen löscht, aber Aufenthalte und ausgestellte Belege unverändert lässt. Das Profil heißt danach "Anonymisierter Gast"; das bereits gedruckte PDF der Rechnung bleibt, wie es war (Gast anonymisieren (DSGVO)). Prüfen Sie vorher, ob noch ein Aufenthalt bevorsteht oder eine Rechnung offen ist; die Software warnt davor nicht.
Auskunft nach Art. 15
Ein Gast hat das Recht zu erfahren, welche Daten Sie über ihn speichern. In clavenda finden Sie alles an einer Stelle: das Gastprofil mit Stammdaten, E-Mail-Adressen, Notizen und Tags, die Liste seiner Aufenthalte, die Rechnungen und Belege im Buchungsdetail sowie gegebenenfalls den Meldeschein. Einen automatischen Export gibt es nicht; stellen Sie die Auskunft aus diesen Ansichten zusammen. Sichern Sie diese Angaben, bevor Sie einen Gast anonymisieren, denn danach sind sie nicht mehr lesbar.
Zugriff und Nachvollziehbarkeit
Jeder Betrieb sieht nur seine eigenen Daten; die Trennung wird in der Datenbank erzwungen, nicht nur in der Oberfläche. Innerhalb des Betriebs steuern Rollen, wer Stammdaten ändern darf (Rollen und Rechte). Jede Änderung an Gästen, Buchungen und Rechnungen wird mit handelnder Person und Zeitpunkt protokolliert (Audit-Trail und Nachvollziehbarkeit). Support-Zugriffe durch clavenda sind zeitlich begrenzt, begründungspflichtig und protokolliert.
Dieser Artikel beschreibt das Verhalten der Software und ersetzt keine Rechtsberatung; Fristen und Rechtsgrundlagen stimmen Sie mit Ihrer Datenschutzbeauftragten ab.