Verzeichnis der Verarbeitungstätigkeiten

gemäß Art. 30 DSGVO · Stand: Oktober 2026

Dieses Verzeichnis beschreibt, welche personenbezogenen Daten die Sporthotel Ideal KG zu welchem Zweck verarbeitet, an wen sie weitergegeben werden und wann sie gelöscht werden. Die Löschfristen sind in unserem Hotelprogramm CASA One hinterlegt; es löscht bzw. anonymisiert die Daten nach Ablauf automatisch in täglichen Läufen. Rechnungen, Buchungen und Kassendaten sind davon ausgenommen: Sie bleiben mindestens 12 Jahre erhalten (gesetzlich 7 Jahre) und als Umsatzhistorie mit der Gästekartei verknüpft, solange die Gästebeziehung besteht.

VerantwortlicherSporthotel Ideal KG
Hochgurglerstraße 2
6456 Hochgurgl, Österreich

GeschäftsführungEvi Riml
Hochgurglerstraße 2
6456 Hochgurgl

DatenschutzbeauftragterArmin Riml
Hochgurglerstraße 2
6456 Hochgurgl

Kontakt Datenschutzhotel@sporthotelideal.at
Tel. +43 5256 6290

1. Verarbeitungstätigkeiten

Nr.	Tätigkeit und Zweck	Betroffene und Datenkategorien	Rechtsgrundlage	Empfänger	Löschfristen
1	Anfragen und AngeboteBeantwortung von Anfragen (Telefon, E-Mail, Website, Preisberechner, WhatsApp), Erstellung und Versand von Angeboten, Prospektversand.	Interessenten, Gäste: Name, Anschrift, E-Mail, Telefon, Reisezeitraum, Personenanzahl, Wünsche, Nachrichteninhalt; beim Öffnen eines Angebots IP-Adresse und Browserkennung.	Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen)	CASA One (Hotelprogramm und Online-Gästebereich); Futureweb GmbH (E-Mail); WhatsApp Ireland Ltd., wenn der Gast WhatsApp wählt.	Anfragen aus dem Website-Formular: 1 Jahr nach Erledigung Angebot im Online-Gästebereich: 300 Tage nach der Abreise anonymisiert, der Gästelink erlischt IP-Adresse und Browserkennung: ab dem Abreisetag gelöscht (ohne Reisezeitraum 90 Tage nach dem Öffnen) Chat zum Angebot: 1 Jahr nach der letzten Nachricht Angebot in CASA One: wie Reservierungen (Nr. 2)
2	Buchung und ReservierungAbwicklung von Buchungen (direkt, online, über Buchungsportale), Zimmerplanung, Buchungsbestätigung, Verwaltung des Aufenthalts.	Gäste, Mitreisende: Name, Anschrift, Kontaktdaten, Geburtsdatum, Reisedaten, Zimmer- und Leistungswünsche, Zahlungsart (Karte nur maskiert).	Art. 6 Abs. 1 lit. b DSGVO (Beherbergungsvertrag); lit. c (Aufbewahrungspflichten)	CASA One; Buchungskanäle feratel und Seekda, soweit darüber gebucht wird; Futureweb GmbH (E-Mail-Versand der Bestätigung).	Reservierungen, Kontobuchungen und Zimmerplan: mindestens 12 Jahre (gesetzlich 7 Jahre, § 132 BAO); solange die Gästebeziehung besteht, bleiben sie als Aufenthalts- und Umsatzhistorie in der Gästekartei; keine automatische Löschung Rohdaten der Online-Buchung samt Kartenmaske: 180 Tage Buchungsnachricht aus Buchungskanälen: 400 Tage nach der Abreise Am Server nicht abgeholte Eingänge: 200 Tage
3	ZahlungsabwicklungAnzahlung, Garantie und Zahlung per Kreditkarte oder PayPal; Ein-Klick-Folgebuchung mit hinterlegter Karte.	Gäste: Name, E-Mail, Telefon, Betrag, Buchungsnummer, Kartenmaske (Marke, letzte vier Stellen, Ablauf), Zahlungsverlauf, PayPal-E-Mail. Kartennummer und Prüfcode gibt der Gast direkt beim Zahlungsdienstleister ein; das Hotel speichert sie nicht.	Art. 6 Abs. 1 lit. b DSGVO; lit. c (Zahlungsnachweis)	Hobex AG (Kartenzahlung) und PayPal (Europe) S.à r.l. et Cie, S.C.A., jeweils eigene Verantwortliche.	Zahlungsprotokoll: 180 Tage Hinterlegte Karte: Name, Telefon und E-Mail ab dem Monat nach Kartenablauf gelöscht Gespeichertes PayPal-Konto: bei PayPal gelöscht 400 Tage nach der letzten Abreise Sicherheitscodes der Ein-Klick-Buchung: 30 Tage nach Ablauf Zahlungsnachweis (Kartenmaske, Betrag): wie Rechnungen (Nr. 13)
4	Online-Check-in und GästemeldungErfüllung der Meldepflicht (Gästeblatt), Aufenthaltsabgabe, Online-Check-in vor der Anreise, Unterschrift am Gäste-Pad.	Gäste, Mitreisende: Name, Geburtsdatum, Geschlecht, Staatsangehörigkeit, Anschrift, Ausweisart und -nummer, Kfz-Kennzeichen, An- und Abreise, Unterschrift.	Art. 6 Abs. 1 lit. c DSGVO (Meldegesetz 1991, Tiroler Aufenthaltsabgabegesetz); Online-Check-in auch lit. b	Meldebehörde (Gemeinde Sölden) und Ötztal Tourismus über das Meldesystem der feratel media technologies AG; CASA One.	Gästeblatt und Meldedaten: 8 Jahre (gesetzlich mindestens 7 Jahre) Online-Check-in am Server: IP-Adresse nur als Pseudonym, nach 30 Tagen gelöscht Ausweis, Staatsangehörigkeit, Anschrift, E-Mail und Kennzeichen am Server: 45 Tage nach Übernahme durch das Hotel, spätestens nach 13 Monaten Gesamter Online-Check-in am Server: 300 Tage nach der Abreise Protokoll abweichender Angaben bei der Übernahme: 180 Tage
5	Gästekartei und GästebetreuungFührung der Gästekartei (Stammdaten, Aufenthalte, Vorlieben), Betreuung während des Aufenthalts, Stammgastpflege, Garagenplatz, Rücksendung vergessener Gegenstände.	Gäste: Stamm- und Kontaktdaten, Geburtsdatum, Aufenthalte, Wünsche und Notizen, Bankverbindung (falls angegeben), Kfz-Kennzeichen.	Art. 6 Abs. 1 lit. b DSGVO; lit. f (Betreuung unserer Stammgäste)	CASA One; SendHomeService (Rücksendung, nur auf Wunsch des Gastes).	Gästekartei: solange die Gästebeziehung besteht; auf Antrag sofort (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht Gelöschte Gästekartei: alle Personendaten nach 3 Jahren automatisch anonymisiert Garagenplan (Name, Kennzeichen): 1 Jahr nach Ende der Belegung
6	E-Mail-Kommunikation und GästeinformationenBearbeitung des E-Mail-Posteingangs, Versand von Bestätigungen und automatischen Informationen vor und nach dem Aufenthalt, Versandnachweis.	Gäste, Interessenten, Geschäftspartner: E-Mail-Adresse, Name, Inhalte und Anhänge, Versandstatus.	Art. 6 Abs. 1 lit. b DSGVO; lit. f (Nachweis des Versands)	Futureweb GmbH (E-Mail-Server, Österreich); CASA One.	Posteingang (abgeschlossene Konversationen): Anhänge nach 1 Jahr, Nachrichtentext nach 2 Jahren, Nachrichten nach 3 Jahren, Konversation nach 4 Jahren; zu Angeboten und Buchungen bleiben nur Absender, Betreff und Zeitpunkt E-Mail-Protokoll: Mailtext nach 90 Tagen, Eintrag (Empfänger, Betreff, Status) nach 2 Jahren Postausgang: 90 Tage nach dem Versand Protokoll der automatischen E-Mails: 2 Jahre nach der Anreise
7	WhatsApp, Facebook und InstagramKommunikation mit Gästen und Interessenten, wenn sie diesen Weg wählen; Antworten auf Nachrichten und Kommentare. Keine Werbung über WhatsApp.	Gäste, Interessenten: Telefonnummer, Profilname, Nachrichteninhalte, Zeitpunkte.	Art. 6 Abs. 1 lit. b DSGVO; lit. f (Antwort auf dem gewählten Weg)	WhatsApp Ireland Ltd. (Auftragsverarbeiter); Meta Platforms Ireland Ltd. (Facebook, Instagram; für Seiten-Statistiken gemeinsam verantwortlich, Art. 26 DSGVO).	WhatsApp-Nachrichten in CASA One: 1 Jahr Facebook- und Instagram-Nachrichten: Fristen des Posteingangs (Nr. 6) Am Server: sobald CASA One die Nachricht abgeholt hat
8	KI-AssistentBeantwortung von Gästefragen im Chat auf Website und Buchungsseite; intern Zusammenfassungen und Antwortvorschläge zu eingehenden Anfragen. Antwortvorschläge prüft vor dem Versand immer ein Mitarbeiter.	Website-Besucher, Gäste: Chateingaben, Zeitpunkt, Sprache, aufgerufene Seite; intern: Inhalte eingehender Anfragen.	Art. 6 Abs. 1 lit. f DSGVO (Gästebetreuung rund um die Uhr); lit. b, wenn daraus eine Anfrage oder Buchung entsteht	Anthropic PBC, USA (Auftragsverarbeiter); keine Verwendung der Inhalte zum Training.	Gesprächsverläufe: 90 Tage Auswertung nur zusammengefasst ohne Personenbezug (Statistik 24 Monate) Interne Antwortvorschläge: werden nicht gespeichert Chatverlauf im Browser des Gastes: 30 Tage nach der letzten Nachricht
9	Newsletter und PostversandInformation über Angebote, Preislisten und Neuigkeiten per E-Mail-Newsletter oder Post; Geburtstagsgrüße.	Abonnenten, Gäste: Name, Anschrift, E-Mail, Sprache, Zeitpunkt und Text der Einwilligung, Abmeldestatus.	E-Mail: Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021 (Bestätigung per Double-Opt-In); Post an Gäste: lit. f (Direktwerbung)	Futureweb GmbH (E-Mail-Versand); CASA One.	Bis zum Widerruf (Abmeldelink in jeder Aussendung oder formlos); danach ist die Adresse für den Versand gesperrt Nicht bestätigte Anmeldungen: 48 Stunden
10	Website und WebanalyseBereitstellung und Sicherheit der Website und der Buchungsseite; Reichweitenmessung nur mit Einwilligung.	Website-Besucher: IP-Adresse, Browser- und Gerätedaten, aufgerufene Seiten; mit Einwilligung Nutzungsdaten (Google Analytics 4).	Bereitstellung und Sicherheit: Art. 6 Abs. 1 lit. f DSGVO; Analyse: lit. a, § 165 Abs. 3 TKG 2021	Futureweb GmbH (Hosting, Österreich); Google Ireland Ltd. (Google Analytics 4, nur nach Einwilligung).	Google Analytics: 14 Monate Einwilligung: im Browser bis zum Widerruf („Cookie-Einstellungen“) Sitzungscookie der Buchungsseite: mit dem Schließen des Browsers
11	VideoüberwachungSchutz von Gästen, Mitarbeitern und Eigentum in Skiraum, Hotelhalle, Rezeption, Bar und Speisesaal (am Eingang gekennzeichnet). Gästezimmer werden nicht überwacht.	Gäste, Besucher, Mitarbeiter: Bildaufnahmen.	Art. 6 Abs. 1 lit. f DSGVO (Schutz von Personen und Eigentum)	Keine; im Anlassfall Sicherheitsbehörden und Versicherung.	Automatisch nach 15 Tagen; länger nur, solange ein konkreter Vorfall aufzuklären ist
12	Bewerbungen und PersonalverwaltungBewerbungsverfahren, Lohnverrechnung, An- und Abmeldung bei der Sozialversicherung, Meldung der Mitarbeiter, Arbeitszeitaufzeichnung.	Bewerber, Mitarbeiter: Stamm- und Kontaktdaten, Geburtsdatum, Lebenslauf und Zeugnisse, Ausweis- und Sozialversicherungsdaten, Bankverbindung, Arbeitszeiten.	Art. 6 Abs. 1 lit. b DSGVO (Arbeitsvertrag und dessen Anbahnung); lit. c (ASVG, EStG, BAO, Meldegesetz, Arbeitszeitgesetz)	Österreichische Gesundheitskasse, Finanzamt, Gemeinde; Steuerberatung (Lohnverrechnung).	Bewerbungen ohne Einstellung: 7 Monate nach der Absage (Fristen des Gleichbehandlungsgesetzes) Personal- und Lohnunterlagen: 7 Jahre nach Ende des Kalenderjahres (§ 132 BAO)
13	Rechnungswesen und KassaRechnungslegung, Registrierkasse, Buchhaltung, Gutscheine.	Gäste, Firmenkunden: Name, Anschrift, UID-Nummer (Firmen), Leistungen, Beträge, Zahlungsart.	Art. 6 Abs. 1 lit. b und c DSGVO (BAO, UStG, Registrierkassensicherheitsverordnung, UGB)	Finanzamt; Steuerberatung.	Mindestens 12 Jahre (gesetzlich 7 Jahre nach Ende des Kalenderjahres, § 132 BAO); Rechnungen bleiben mit der Gästekartei verknüpft und abrufbar, solange die Gästebeziehung besteht; keine automatische Löschung Archivierte PDF-Datei der Rechnung: frühestens nach 12 Jahren gelöscht; die Rechnung bleibt aus den gespeicherten Daten abrufbar (Duplikat)
14	ReiseversicherungVermittlung einer Reiseversicherung in der Buchungsstrecke, wenn der Gast sie wünscht.	Gäste, Mitreisende: Name, Anschrift, Telefon, E-Mail; Geburtsdatum der Versicherten.	Art. 6 Abs. 1 lit. b DSGVO	Europäische Reiseversicherung AG, Wien (eigener Verantwortlicher).	Am Server: sobald CASA One den Antrag abgeholt hat Im Hotel mit der Buchung (Nr. 2)
15	IT-Betrieb, Sicherheit und DatensicherungBetrieb des Hotelprogramms CASA One, Zugriffsschutz, Protokollierung, Datensicherung, Fehleranalyse.	Mitarbeiter: Benutzerkonten (Name verschlüsselt, Passwort nur als Hash), Anmeldeversuche, Ereignisprotokoll. Gäste: Sicherungskopien der oben genannten Daten.	Art. 6 Abs. 1 lit. c DSGVO iVm Art. 32 DSGVO (Datensicherheit); lit. f	CASA One (Software-Anbieter, Wartung); Futureweb GmbH (Server in Österreich).	Datensicherungen im Hotel: 60 Tage (rollierend) Sicherung des Online-Servers beim Hoster: 365 Tage Anmeldeversuche: 1 Tag Anmeldeprotokoll der Fernzugriffe: 1 Jahr Protokoll der Sicherungsläufe: 1 Jahr Ereignisprotokoll ohne Rechnungsbezug: 3 Jahre Bildschirmfotos aus Verbesserungsvorschlägen: 14 Tage nach Erledigung

2. Auftragsverarbeiter, weitere Empfänger und Drittländer

Empfänger	Leistung	Rolle	Sitz und Drittland
CASA One, Mag. (FH) Armin Riml, MBA, Hochgurgl	Hotelprogramm, Online-Gästebereich, Buchungsseite, Wartung	Auftragsverarbeiter	Österreich; Server bei der Futureweb GmbH in Österreich
Futureweb GmbH, St. Johann in Tirol	Hosting von Website, E-Mail-Postfächern und Online-Server	Auftragsverarbeiter	Österreich
WhatsApp Ireland Ltd., Dublin	WhatsApp-Business-Plattform	Auftragsverarbeiter	Irland; USA (Meta Platforms, Inc.): EU-US Data Privacy Framework, Standardvertragsklauseln
Anthropic PBC, San Francisco	KI-Assistent	Auftragsverarbeiter	USA: Standardvertragsklauseln
Google Ireland Ltd., Dublin	Google Analytics 4, nur nach Einwilligung	Auftragsverarbeiter	Irland; USA (Google LLC): EU-US Data Privacy Framework, Standardvertragsklauseln
feratel media technologies AG, Innsbruck	Meldesystem, Buchungskanal	Auftragsverarbeiter	Österreich
Seekda GmbH	Kanalmanager für Buchungsportale	Auftragsverarbeiter	Österreich
SendHomeService, Hochgurgl	Rücksendung vergessener Gegenstände, nur auf Wunsch des Gastes	Auftragsverarbeiter	Österreich
Meta Platforms Ireland Ltd., Dublin	Facebook- und Instagram-Seiten	eigener Verantwortlicher; für Seiten-Statistiken gemeinsam verantwortlich (Art. 26 DSGVO)	Irland; USA: EU-US Data Privacy Framework, Standardvertragsklauseln
Hobex AG, Salzburg	Kartenzahlung	eigener Verantwortlicher (Zahlungsdienstleister)	Österreich
PayPal (Europe) S.à r.l. et Cie, S.C.A.	Zahlung mit PayPal	eigener Verantwortlicher (Zahlungsdienstleister)	Luxemburg
Europäische Reiseversicherung AG, Wien	Reiseversicherung	eigener Verantwortlicher	Österreich
Behörden: Gemeinde Sölden, Ötztal Tourismus, Österreichische Gesundheitskasse, Finanzamt	Gesetzliche Meldungen und Abgaben	eigene Verantwortliche	Österreich

3. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung: Alle Verbindungen laufen verschlüsselt (TLS). Namen, Bank-, Kfz- und Notizfelder sowie die Online-Check-in-Daten speichert CASA One verschlüsselt (AES-256-GCM).
Zugriffsschutz: Persönliche Benutzerkonten mit Rollen; Passwörter nur als Hash; Sperre nach wiederholten Fehlversuchen; Fernzugriffe mit begrenzter Sitzungsdauer.
Datenminimierung: Kartendaten nur maskiert; tägliche automatische Löschläufe nach den Fristen in Abschnitt 1.
Protokollierung und Auskunft: Ereignis- und Anmeldeprotokolle; Auskunft nach Art. 15 DSGVO direkt aus der Gästekartei.
Verfügbarkeit: Tägliche Datensicherung im Hotel und beim Hoster; Server in Österreich.
Räumlicher Schutz: Versperrte Büro- und Archivräume; Videoüberwachung der öffentlichen Bereiche.

Sporthotel Ideal KG · Hochgurglerstraße 2 · 6456 Hochgurgl · Stand Oktober 2026 Zur Datenschutzerklärung