Ospikey startet gerade: Die automatische Übermittlung an SES.Hospedajes wird mit dem spanischen Innenministerium getestet und bald aktiviert.
Server in der EU · Datenschutz durch Technikgestaltung · Verschlüsselte Daten
Die Daten Ihrer Gäste, von Anfang an geschützt
Ein Ausweis ist ein Datum mit hohem Risiko. Wir schützen ihn von Grund auf, nicht nachträglich.
-
Server in der EU Hetzner, Deutschland
-
Sensible Daten verschlüsselt Dokumente, Unterschriften, SES-Zugangsdaten
-
Fotos nach 30 Tagen gelöscht Nach der Abreise, automatisch
-
Zwei-Schritt-Verifizierung Per App oder E-Mail-Code
Vier Säulen
Wie wir Daten schützen
Jedes Dokument, jede Unterschrift und jedes personenbezogene Datum durchläuft Maßnahmen für Daten mit hohem Risiko.
-
Server in der EU
Server und Dienstleister in der Europäischen Union
Der Dienst läuft auf Servern von Hetzner in Deutschland: Datenbank, Dateien und Backups. Automatische E-Mails werden über Brevo in Frankreich versendet. Wir übermitteln keine Daten außerhalb des Europäischen Wirtschaftsraums.
- Datenbank, Dateien und Backups in Deutschland (Hetzner)
- Automatische E-Mails über Brevo in Frankreich
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit jedem Dienstleister
-
Verschlüsselung
Sensible Daten verschlüsselt
Identitätsdaten, Unterschriften, Dokumentfotos und Zugangsdaten für SES.Hospedajes werden mit libsodium verschlüsselt gespeichert. Jede Datenart hat einen eigenen Schlüssel, der außerhalb der Datenbank liegt.
- Verbindungen nur über HTTPS, mit HSTS
- Passwörter mit Argon2id gespeichert
- Keine personenbezogenen Daten in technischen Protokollen
-
Wenige Daten
Nur die nötigen Daten, automatisch gelöscht
Wir erfassen die Daten, die das Real Decreto 933/2021 verlangt. Dokumentfotos sind freiwillig: Sie werden nur angefordert, wenn Sie die Funktion aktivieren, und 30 Tage nach der Abreise gelöscht.
- Gästedaten werden 3 Jahre nach der Abreise gelöscht, wie es das Gesetz verlangt
- Fotos ohne Metadaten, auch ohne GPS-Standort
- Dokument wird auf dem Handy gelesen: Das Kamerabild erreicht unsere Server nicht
-
Zugänge
Zwei-Faktor-Bestätigung und Berechtigungen
Jede Person im Team hat einen eigenen Benutzer mit Passwort und Bestätigung in zwei Schritten: Authenticator-App, E-Mail-Code oder Backup-Codes. Wer die App noch nicht aktiviert hat, erhält für heikle Aktionen einen E-Mail-Code.
- Rollen und Unterkünfte: Jeder sieht nur, was Sie ihm zuweisen
- Um ein Dokument anzusehen oder SES-Zugangsdaten zu ändern, wird der Code erneut abgefragt
- Passwörter werden mit bereits veröffentlichten abgeglichen
Hinter den Kulissen
Trennung zwischen Kunden und Übermittlung an die Behörden
Heute übermitteln wir an SES.Hospedajes (Spanien). So funktioniert es im Inneren.
-
Jeder Kunde sieht nur seine eigenen Daten
PostgreSQLDie Trennung steckt im Code und zusätzlich in der Datenbank selbst (Row Level Security von PostgreSQL) und wird durch automatische Tests geprüft.
- Row Level Security: die Datenbank selbst filtert die Zeilen jedes Kunden
- Automatische Tests: prüfen, dass ein Kunde die Daten eines anderen nicht sieht
- Rechte pro Unterkunft: auch im Team sieht jede Person nur die Unterkünfte, die Sie zuweisen
Trennung im Code und in der Datenbank -
Übermittlung an SES.Hospedajes
Real Decreto 933/2021Arrendador-Code, Benutzername und Passwort des Webdienstes werden verschlüsselt gespeichert: Das Passwort wird nie wieder angezeigt, und zum Ändern ist die Zwei-Faktor-Bestätigung nötig. Antwortet der Dienst des Ministeriums nicht, wird die Übermittlung später wiederholt.
- Verschlüsselte Zugangsdaten: Vermieter-Code, Benutzer und Passwort des Webdienstes
- Neue Versuche: nach 1, 2, 5, 10 und 30 Minuten, dann stündlich, ohne Duplikate
- Bestätigung gespeichert: Los- und Meldungsnummer bleiben bei der Buchung
Spanien · alle Tarife -
Aktivitätsprotokoll
Audit-ProtokollJede sensible Aktion, etwa das Öffnen eines Dokumentfotos oder das Ändern der SES-Zugangsdaten, bleibt im Audit-Protokoll: wer, was, wann und von welcher IP. Das Protokoll kann nicht verändert werden und enthält keine personenbezogenen Daten.
- Wer, was, wann: Benutzer, Aktion, Datum und IP-Adresse jeder sensiblen Aktion
- Nicht änderbar: die Datenbank lehnt Änderungen und Löschungen im Protokoll ab
- Ohne personenbezogene Daten: Gästedaten landen nicht im Protokoll
Jede Zeile mit der vorherigen verkettet
Demnächst Portugal (SIBA) Italien (Alloggiati Web)
Unser Modell
Ihre Gäste sind Ihre Gäste. Wir verkaufen ihre Daten nicht.
Ospikey lebt von den Abonnements der Gastgeber. Wir nutzen Gästedaten nicht für eigene Zwecke, erstellen keine Profile und geben sie an niemanden zu kommerziellen Zwecken weiter.
-
Keine Werbung für Gäste
In der Check-in-App gibt es keine Banner, Angebote oder Werbe-E-Mails.
-
Keine Weitergabe
Wir teilen Reisendendaten nur mit SES.Hospedajes, in Ihrem Auftrag, und mit den Dienstleistern, die uns beim Betrieb des Dienstes helfen.
-
Keine Cookies auf der Website
Die öffentliche Website verwendet keine Cookies, keine Analyse- oder Werbewerkzeuge und lädt keine Inhalte von Dritten.
Klare Rollen
Wer macht was
Nach der DSGVO sind Sie der Verantwortliche für die Daten Ihrer Gäste, und Ospikey ist der Auftragsverarbeiter, der sie in Ihrem Auftrag verarbeitet.
-
Auftragsverarbeiter (Art. 28)
Was Ospikey tut
Verarbeitet die Daten Ihrer Gäste nur nach Ihren Weisungen: den Nutzungsbedingungen und den Einstellungen, die Sie im Panel wählen.
- Sicherheit: Schützt die Daten mit den Maßnahmen auf dieser Seite
- Löschung: Löscht Fotos und Daten zu den vorgesehenen Fristen
- Datenpannen: Benachrichtigt Sie unverzüglich bei einer Datenpanne
- Anfragen von Gästen: Hilft Ihnen, Anfragen von Gästen zu beantworten
-
Verantwortlicher
Was bei Ihnen liegt
Rechtlich melden Sie die Reisenden: Ospikey hilft Ihnen, die Pflicht bleibt aber bei Ihnen.
- Eigene Benutzer: Geben Sie jeder Person ein eigenes Benutzerkonto: Ein Konto wird nicht geteilt
- SES-Zugangsdaten: Teilen Sie die Zugangsdaten für SES.Hospedajes nicht in Chats oder Tabellen
- Ergebnis der Übermittlungen: Prüfen Sie im Panel das Ergebnis der Übermittlungen
- Anfragen von Gästen: Beantworten Sie Anfragen von Gästen zu ihren Daten; wir helfen Ihnen dabei
Häufige Fragen
Fragen zu Sicherheit und DSGVO
Aufbewahrung, Rollen, Verschlüsselung: Antworten auf die häufigsten Fragen.
Schließt Ospikey einen Auftragsverarbeitungsvertrag ab?
Ja. Der Auftragsverarbeitungsvertrag (Art. 28 DSGVO) ist Abschnitt 20 der Nutzungsbedingungen, die Sie bei der Registrierung akzeptieren: Sie müssen nichts gesondert unterschreiben.
Was passiert, wenn SES.Hospedajes nicht antwortet?
Die Übermittlung bleibt in der Warteschlange und wird später automatisch wiederholt. Im Panel sehen Sie den Status jeder Meldung und, falls eine Angabe falsch ist, welche Sie korrigieren müssen.
Werden Dokumentfotos für immer gespeichert?
Nein. Sie sind freiwillig, werden nur angefordert, wenn Sie die Funktion aktivieren, und 30 Tage nach der Abreise automatisch gelöscht. Bis dahin sind sie verschlüsselt, und jedes Öffnen wird protokolliert.
Wer in meinem Team sieht die Gästedaten?
Nur wer die passende Berechtigung hat, und nur für die Unterkünfte, die Sie ihm zuweisen. Zum Ansehen von Dokumenten wird außerdem der Code der Zwei-Faktor-Bestätigung erneut abgefragt.
Ist das Lesen des Dokuments mit der Kamera sicher?
Ja. Das Lesen geschieht auf dem Handy selbst: Das Kamerabild wird nicht an unsere Server gesendet. Es werden nur die Felder ausgefüllt, die der Gast vor dem Absenden prüft.
Ein Gast möchte seine Daten löschen lassen: Was tue ich?
Die Anfrage liegt bei Ihnen als Verantwortlichem. Denken Sie daran, dass das spanische Gesetz die Aufbewahrung der Reisendendaten für 3 Jahre verlangt: Im Panel können Sie sie einsehen und korrigieren, beim Rest helfen wir Ihnen.
Das erste Jahr kostenlos für alle, die sich bis zum 1. Dezember 2026 registrieren.
Der Check-in Ihrer Gäste in guten Händen
Sie starten in wenigen Minuten. Haben Sie eine Frage zur Sicherheit? Schreiben Sie uns.
- Server in Deutschland (Hetzner)
- Zweiter Code für heikle Aktionen
- Dokumentfotos nach 30 Tagen gelöscht