"Server in Deutschland" steht auf jeder zweiten Anbieterseite. Meist ist damit gemeint, dass irgendein Teil der Anwendung in einem deutschen Rechenzentrum steht – und der Rest anderswo. Dieser Beitrag sagt für Clavenda, was wo liegt, wer daran mitwirkt und wie lange etwas bleibt. Nachprüfbar, nicht als Siegel.
Wo die Daten liegen
Die Datenbank mit allen Buchungen, Gastdaten, Rechnungen und Belegen läuft in Frankfurt am Main. Die Anwendung selbst – also der Teil, der Seiten ausliefert und Schnittstellen bedient – läuft in derselben Region. Es gibt keine Kopie der Datenbank ausserhalb der Europäischen Union, auch keine für Sicherungen: Die Sicherungen liegen in derselben Region wie die Datenbank.
Wer sonst noch beteiligt ist
Ehrlich wird es an dieser Stelle. Kein Hotelsystem kommt ohne Dienstleister aus, und einige der üblichen sind US-Unternehmen – auch dann, wenn ihre Rechner in Europa stehen. Massgeblich ist nicht nur der Standort der Rechner, sondern auch, wer das Unternehmen ist. Deshalb steht beides in der Auftragsverarbeitungsvereinbarung, und deshalb steht es hier:
| Wofür | Wo verarbeitet | Anmerkung |
|---|---|---|
| Datenbank | Frankfurt am Main | Gäste, Buchungen, Rechnungen |
| Anwendung und Auslieferung | Frankfurt am Main | Anbieter mit Sitz in den USA |
| Zahlungen | Europäische Union | Zahlungsdienstleister, eigene Vertragsbeziehung |
| E-Mail-Versand | USA | Bestätigungen und Rechnungen |
| Portalanbindung | Europäische Union | Verfügbarkeiten, Preise, eingehende Buchungen |
| Kasse mit TSE (nur mit diesem Modul) | Frankfurt am Main | Signatur der Kassenvorgänge |
Beteiligte Dienstleister. Die vollständige Liste der Unterauftragsverarbeiter gehört zum Vertrag.
Für die Übermittlung an Anbieter mit Sitz in den USA gelten die Standardvertragsklauseln der EU-Kommission. Das ist kein Freibrief und wird auch nicht als solcher verkauft – es ist der Rahmen, in dem eine solche Übermittlung zulässig ist.
Nach Art. 4 DSGVO ist das Hotel Verantwortlicher, der Softwareanbieter Auftragsverarbeiter. Das heißt: Auskunfts- und Löschersuchen Ihrer Gäste richten sich an Sie, nicht an uns. Wir liefern die Werkzeuge dazu und die Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO samt technischen und organisatorischen Massnahmen.
Was gar nicht erst erhoben wird
Der wirksamste Datenschutz ist der Verzicht. Clavenda erhebt nur, was für Vertrag, Steuer, Kurtaxe oder den auslandischen Meldeschein nötig ist. Es gibt kein Feld für Geburtsdatum "zur Sicherheit", keine Vorlieben-Sammlung ohne Anlass und keine Auswertung des Gastverhaltens über Häuser hinweg. Seit 2025 entfällt der Meldeschein für deutsche Gäste – entsprechend wird er auch nicht mehr gespeichert.
Wie lange etwas bleibt
Aufbewahrungsfristen sind nicht eine Frist, sondern viele. Sie werden je Datenklasse getrennt geführt, weil sie verschieden lang sind und verschiedene Rechtsgrundlagen haben:
| Datenklasse | Dauer | Grund |
|---|---|---|
| Rechnungen und Belege | 8 bis 10 Jahre | Handels- und Steuerrecht |
| Ausländischer Meldeschein | 12 Monate, dann Vernichtung | Bundesmeldegesetz |
| Kurtaxe-Nachweise | nach kommunaler Satzung | je nach Ort verschieden |
| Marketing-Einwilligung | bis zum Widerruf | Einwilligung nach Art. 6 |
| Arbeitszeitdaten der Mitarbeiter | 2 oder 3 Jahre, einstellbar | Mindestlohngesetz, Arbeitszeitgesetz |
| Zugriffsprotokolle | unveränderlich, dauerhaft | Nachvollziehbarkeit nach GoBD |
Aufbewahrung je Datenklasse. Die Fristen laufen automatisch ab, sie werden nicht von Hand gepflegt.
Was beim Löschen eines Gastes passiert
Hier stösst das Recht auf Löschung an das Steuerrecht. Ein Gast kann verlangen, dass seine Daten verschwinden. Eine Rechnung darf nicht verschwinden: Buchungsbelege wie Rechnungen sind acht Jahre aufzubewahren, Bücher und Aufzeichnungen zehn Jahre, und eine Lücke in der Rechnungsnummernfolge ist ein Befund bei der nächsten Prüfung.
Gelöst über Pseudonymisierung. Beim Löschen wird der Personenbezug entfernt – Name, Anschrift, Kontaktdaten, Notizen –, während Beleg und Betrag stehen bleiben. Die Rechnung bleibt prüfbar, die Person ist nicht mehr erkennbar. Der Vorgang selbst wird protokolliert, damit nachweisbar ist, dass und wann gelöscht wurde.
Warum kein Haus die Daten eines anderen sieht
Mehrere Häuser teilen sich dieselbe Anwendung. Die Trennung liegt deshalb nicht in der Oberfläche, sondern in der Datenbank selbst: Jede Tabelle mit Betriebsdaten führt eine Mandantenkennung, und jede Abfrage läuft gegen eine Regel, die nur Zeilen des eigenen Mandanten durchlässt. Ein Programmierfehler in der Oberfläche kann diese Grenze nicht öffnen, weil sie eine Ebene tiefer sitzt.
Dazu kommt ein Protokoll, an das niemand rührt: Jede Änderung an Buchung, Rechnung, Zahlung, Storno und Stammdaten schreibt einen Eintrag mit Zeitstempel, Benutzer und Vorher-Nachher. Einträge werden nur angehängt, nie geändert.
Was Sie fragen sollten – auch andere Anbieter
Vier Fragen, an denen sich in fünf Minuten zeigt, wie belastbar eine Datenschutzzusage ist:
- Bekomme ich die Liste der Unterauftragsverarbeiter vor der Unterschrift – oder auf Nachfrage nach Vertragsschluss?
- Was passiert beim Löschen eines Gastes mit seinen Rechnungen?
- Liegen die Sicherungen in derselben Region wie die Datenbank?
- Wie ist die Trennung mehrerer Häuser technisch gelöst – in der Oberfläche oder in der Datenbank?
Wer auf die zweite und die vierte Frage keine konkrete Antwort bekommt, sollte nachhaken. Beide lassen sich nicht mit einem Siegel beantworten.
Quellen
- Der Beitrag beschreibt den Stand vom 24. August 2026. Die verbindliche Fassung ist die Auftragsverarbeitungsvereinbarung mit ihren Anlagen; sie geht diesem Text im Zweifel vor.
- Der Beitrag ersetzt keine Rechtsberatung. Ob Ihre konkrete Verarbeitung zulässig ist, hängt auch von Ihren eigenen Prozessen ab.
