Privacy Policy

Last updated: 23 April 2026

Effective from: 23 April 2026

1. Data Controller

The controller responsible for the processing of personal data through this website under Regulation (EU) 2016/679 (the "GDPR"), Italian Legislative Decree No. 196/2003 (the Italian Data Protection Code) as amended by Legislative Decree No. 101/2018, and other applicable data protection laws, is:

Taibon Karin KG & Co / S.a.s.

Strada Al Plan Dessora 41

39030 San Vigilio di Marebbe / St. Vigil in Enneberg (BZ)

Italy

VAT number (Partita IVA): IT01473830212

Tax code (Codice Fiscale): IT01473830212

CIN (Italian National Identification Code):

– Hotel Monte Paraccia: IT021047A15MJPMV4X

– Pension Pè de Munt (Garni): IT021047A119HIB3JB

Content Manager (Responsabile del contenuto): Karin Taibon

Phone: +39 0474 501018

Email: info@paraccia.com (or privacy@paraccia.com, once available)

We have not appointed a formal Data Protection Officer (DPO / Responsabile della Protezione dei Dati) because the conditions of Article 37 GDPR and the relevant guidance of the Italian Garante do not apply to our organisation. Please direct all privacy-related enquiries to the contacts above.

2. Scope

This Privacy Policy applies to the processing of personal data in connection with:

your visit to and use of our website paraccia.com (including all language versions and subdomains)
enquiries, reservations and bookings made via the website, email, telephone or in person
stays at Hotel Monte Paraccia, at Pension Pè de Munt, and visits to Restaurant Taibon 1885
correspondence and interaction with guests and customers

3. Principles of Processing

We process personal data lawfully, fairly and in a transparent manner (Article 5(1)(a) GDPR). Data is collected for specified, explicit and legitimate purposes. We process only the data required for each purpose (data minimisation) and retain it only as long as required by law or for the relevant purpose. We employ appropriate technical and organisational measures to secure your data.

4. Categories of Data, Purposes, and Legal Bases

4.1 Server Log Data

What we process: Each time our website is accessed, technical information is automatically stored in server log files: IP address, date and time of access, pages visited, data volume transferred, success indicator, browser type and version, operating system, referrer URL.

Purpose: Ensuring a reliable connection, comfortable use of the website, evaluating system security and stability, defending against cyber attacks.

Legal basis: Legitimate interest (Article 6(1)(f) GDPR) in the secure and functional operation of our website.

Retention: Server log files are deleted or anonymised after 30 days at the latest. In the event of security incidents, until the matter is fully resolved.

4.2 Identification and Contact Data (Enquiries, Bookings, Stays)

What we process: First and last name, date of birth, nationality, identity document data (type, number, place and date of issue — for guest registration only), address, phone number, email address, travel dates, number and details of accompanying guests.

Purpose: Conclusion and performance of the accommodation/restaurant contract (reservation, check-in, invoicing), compliance with statutory reporting obligations (in particular guest registration / schedine alloggiati, tourist tax / imposta di soggiorno, ISTAT statistical reporting), communication with guests before, during and after the stay.

Legal basis:

Article 6(1)(b) GDPR (performance of a contract and pre-contractual measures)
Article 6(1)(c) GDPR (legal obligation): Article 109 TULPS (Royal Decree 773/1931) — reporting to the local Questura; Presidential Decree 600/1973 and Article 2220 of the Italian Civil Code — tax and accounting retention obligations; local ordinances on tourist tax.

Retention: 10 years from invoice date or end of the business relationship (tax retention under Article 2220 Civil Code). Data from enquiries not resulting in a booking is deleted within 24 months.

4.3 Payment and Financial Data

What we process: Invoicing data, bank details (IBAN, where applicable), payment tokens and transaction references from our payment service providers, transaction history. We do not store full credit card numbers; processing is carried out exclusively by PCI-DSS-certified payment service providers.

Purpose: Processing of deposits, payments and refunds; invoicing; fraud prevention; accounting.

Legal basis: Article 6(1)(b) GDPR (contract performance), Article 6(1)(c) GDPR (tax obligations).

Retention: 10 years from invoice date (Article 2220 Civil Code, Presidential Decree 600/1973).

4.4 Communication Data

What we process: Content of emails, contact form messages, enquiries via OTAs, guest feedback, follow-up correspondence.

Purpose: Handling of enquiries, documentation of correspondence, complaint handling, quality assurance.

Legal basis: Article 6(1)(b) GDPR (pre-contractual measures and contract performance), Article 6(1)(f) GDPR (legitimate interest in documenting business correspondence).

Retention: 24 months from last contact; where a booking is concluded, the retention period under section 4.2 applies.

4.5 Guest Preferences and CRM Data

What we process: Room preferences, dietary requirements and allergies (where voluntarily disclosed), special requests, returning-guest status, stay history.

Purpose: Personalisation of the stay, recognition of returning guests, improvement of our services.

Legal basis: Article 6(1)(f) GDPR (legitimate interest in customer retention and service quality). Health or allergy information is processed only on the basis of your voluntary disclosure (Article 9(2)(a) GDPR), exclusively to deliver the service you requested.

Retention: 3 years from last stay; subsequently deleted or anonymised.

4.6 Business / B2B Data

What we process: Company name, invoicing address, VAT number (Partita IVA), tax code (Codice Fiscale), SDI code or PEC address, contact person, business email.

Purpose: Issuance of electronic invoices (Fattura Elettronica) under Italian law, billing of business travel and corporate dining.

Legal basis: Article 6(1)(b) GDPR, Article 6(1)(c) GDPR.

Retention: 10 years (Article 2220 Civil Code).

4.7 Online Identifiers and Device Information

What we process: IP address, cookie IDs, session IDs, browser type and version, operating system, screen resolution, referrer URL, click behaviour.

Purpose: Delivery of the website, audience measurement, statistical analysis, user experience optimisation.

Legal basis: For strictly necessary cookies, Article 6(1)(f) GDPR (legitimate interest); for non-essential cookies (analytics, marketing), your consent under Article 6(1)(a) GDPR together with Article 122 of the Italian Privacy Code. See our Cookie Policy for details.

Retention: See Cookie Policy (varies by cookie).

4.8 Consent and Legal Records

What we process: Cookie consent logs, acceptance of Terms & Conditions and Privacy Policy, newsletter opt-ins (where applicable), signed booking confirmations.

Purpose: Evidence of consent given, as required by Article 7(1) GDPR.

Legal basis: Article 6(1)(c) GDPR (legal obligation to document consent).

Retention: 10 years (archived alongside the related booking records).

5. Sources of Personal Data

We obtain your personal data directly from you when you

visit our website and complete forms (contact, booking, newsletter, etc.)
make a booking via the embedded HGV booking widget
contact us by email, telephone, WhatsApp or fax
correspond with us in person or in writing
check in or make a reservation at the hotel or restaurant

In addition, we may receive your data from the following legitimate sources:

Online Travel Agencies (OTAs): Booking.com, Expedia, HRS and similar platforms transmit the data necessary to fulfil your booking.
HGV Booking Südtirol: via the booking widget embedded on our website.
Tour operators and tourism associations: for group bookings or package travel.
Publicly available sources: in limited cases (e.g. company data from public registers for invoicing).

6. Obligation to Provide Data

The provision of certain data is required by law (in particular to comply with guest registration under Article 109 TULPS, tax obligations under Presidential Decree 600/1973, tourist tax reporting and ISTAT statistics) or contractually required (for entering into and performing the accommodation or restaurant contract). Without this data we are unable to fulfil the contract and may be obliged to decline the service.

The provision of other data (e.g. preferences, newsletter subscription) is voluntary and has no adverse consequences.

7. Recipients and Disclosure of Your Data

Your data is disclosed only to the following categories of recipients, where necessary to fulfil the stated purposes or where required by law:

7.1 Authorities

Police authorities (Questura) — transmission of guest reports (schedine alloggiati) under Article 109 TULPS within 24 hours of arrival
Municipality of St. Vigil / San Vigilio di Marebbe — tourist tax (imposta di soggiorno) reporting
ISTAT — statistical reporting
Italian Revenue Agency (Agenzia delle Entrate) — tax reporting, electronic invoicing (Sistema di Interscambio, SDI)
Other authorities within the scope of legal disclosure obligations

7.2 Processors and Service Providers

We rely on carefully selected processors with whom we have concluded data processing agreements under Article 28 GDPR:

Hosting and CMS: Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, USA — provides our website and stores log files. Transfers to the USA are made under the EU Standard Contractual Clauses and the EU-US Data Privacy Framework (where the recipient is certified).
Cookie consent management: CookieScript (CookieScript UAB, Vilnius, Lithuania) — manages cookie consents.
Web analytics: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (Google Analytics 4, Google Tag Manager). Onward processing by Google LLC (USA) is based on EU Standard Contractual Clauses and the EU-US Data Privacy Framework.
Fonts and maps: Google Ireland Limited (Google Fonts, Google Maps).
Videos: Google Ireland Limited (YouTube — embedded videos).
Booking widget: HGV — Hoteliers and Restaurateurs Association of South Tyrol, Schlachthofstraße 59, 39100 Bozen (IT), and its subprocessors (Booking Südtirol).
Payment service providers: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg.
Server infrastructure and automation: Contabo GmbH, Aschauer Straße 32a, 81549 Munich, Germany — server hosting for internal automation processes (being deployed).
Workflow automation: n8n GmbH, Steinheilstraße 10, 85737 Ismaning, Germany — workflow management for booking confirmations and guest communication (being deployed).
AI-assisted communication support: Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA — support in drafting replies to guest enquiries (being deployed). Transfers to the USA are based on the EU Standard Contractual Clauses. Only data necessary for the specific enquiry is transmitted, and your data is not used to train AI models.
Hotel Property Management System (PMS): [to be specified] — central management of bookings, guest data and invoices.
Email and telecommunications providers for our standard business accounts.
Tax advisors, lawyers, auditors, where mandated by us and subject to statutory professional secrecy.
Online Travel Agencies (OTAs): Booking.com B.V. (Netherlands), Expedia Group (Ireland/USA), HRS GmbH (Germany) and comparable platforms, where you book via their channels.

7.3 Other Recipients

We may disclose data where necessary to protect our legitimate interests (e.g. enforcement of legal claims, defence against claims). We do not sell or rent your data to third parties for marketing purposes.

7.4 Specific Third-Party Services in Detail

The following sections provide additional information on the key third-party services we use.

a) Webflow (Hosting and CMS)

Our website is hosted by Webflow. Provider: Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, USA.

When you visit our website, Webflow collects various log files including your IP address. Webflow is a tool for building and hosting websites and stores cookies or other recognition technologies necessary to display the page, provide certain features and ensure security.

Legal basis: Article 6(1)(f) GDPR (legitimate interest in reliable delivery of our website). Where consent has been requested, processing is based exclusively on Article 6(1)(a) GDPR; consent may be withdrawn at any time.

Transfer to the USA: European Commission Standard Contractual Clauses and, where certified, EU-US Data Privacy Framework.

Data Processing Agreement: Concluded with Webflow under Article 28 GDPR.

b) Google Analytics 4 (Web Analytics)

We use the analytics service Google Analytics 4 (GA4). Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland, with onward processing by Google LLC (USA).

GA4 uses cookies and similar technologies to analyse how visitors use our website. The information generated (including truncated IP address, device information, page views, interactions, time on page) is transmitted to Google and evaluated there. We have activated IP anonymisation; the data retention period is limited to 14 months.

Legal basis: Article 6(1)(a) GDPR (consent via the cookie banner) in conjunction with Article 122 of the Italian Privacy Code.

Transfer to the USA: European Commission Standard Contractual Clauses and EU-US Data Privacy Framework (Google LLC is DPF-certified).

Data Processing Agreement: Concluded under Article 28 GDPR.

Opt-out: Browser add-on at https://tools.google.com/dlpage/gaoptout or withdrawal of consent via our cookie banner.

c) Google Tag Manager

We use Google Tag Manager to manage our website tags. Provider: Google Ireland Limited. Google Tag Manager itself does not collect personal data but enables the execution of other tags which may in turn collect data. Where the deployed tags trigger non-essential processing, this occurs only after your consent via our cookie banner.

Legal basis: Article 6(1)(f) GDPR for tag management itself; for individual tags, their respective legal basis as disclosed there.

d) Google Fonts

We incorporate fonts from the provider Google Ireland Limited ("Google Fonts") on our website. When a page is loaded, the font is retrieved from Google's servers; your browser transmits your IP address to Google in the process.

Legal basis: Article 6(1)(f) GDPR (legitimate interest in a uniform and appealing presentation of our online services).

Transfer to the USA: Standard Contractual Clauses and EU-US Data Privacy Framework.

e) Google Maps

We embed maps from "Google Maps" on our website. Provider: Google Ireland Limited. When you access a page containing a map, your IP address is transmitted to Google.

Legal basis: Your consent pursuant to Article 6(1)(a) GDPR via our cookie banner and Article 122 of the Italian Privacy Code.

Transfer to the USA: Standard Contractual Clauses and EU-US Data Privacy Framework.

f) YouTube (Embedded Videos)

Our website embeds videos from "YouTube". Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland.

Where possible, we use YouTube's privacy-enhanced mode. In this mode, YouTube only sets cookies once you actively start a video. Nonetheless, when an embedded video is loaded, YouTube may establish a connection to its servers and capture your IP address.

Legal basis: Your consent pursuant to Article 6(1)(a) GDPR (cookie banner).

Transfer to the USA: Standard Contractual Clauses and EU-US Data Privacy Framework.

g) HGV Booking Südtirol (Booking Widget)

For direct bookings via our website we use the booking widget of HGV — Hoteliers and Restaurateurs Association of South Tyrol, Schlachthofstraße 59, 39100 Bozen, Italy, and its subprocessors (Booking Südtirol). When you use the widget, the data required for the booking (name, address, contact details, travel dates, payment data where applicable) is transmitted directly to HGV.

Legal basis: Article 6(1)(b) GDPR (pre-contractual measures and contract performance).

Storage location: Italy (EU).

Data Processing Agreement: Concluded under Article 28 GDPR.

h) PayPal (Payment Service)

We offer PayPal as a payment method. Provider: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg.

When you select PayPal as your payment method, the data required for payment processing (including first and last name, address, email, IP address, phone number, payment data) is transmitted to PayPal. PayPal may forward this data to credit agencies for identity and credit verification.

Legal basis: Article 6(1)(b) GDPR (contract performance); Article 6(1)(a) GDPR (consent) insofar as PayPal processes data for credit scoring purposes.

Storage location: Luxembourg (EU); PayPal may transfer data to third countries on the basis of the EU Standard Contractual Clauses.

i) CookieScript (Consent Management)

To lawfully obtain and document your cookie consents, we use the consent management tool CookieScript. Provider: CookieScript UAB, Gedimino av. 20, 01103 Vilnius, Lithuania.

At the moment of consent, CookieScript records your anonymised IP address, a cookie consent identifier, and the date and scope of your consent, in order to provide evidence under Article 7(1) GDPR.

Legal basis: Article 6(1)(c) GDPR (compliance with the obligation of proof under Article 7(1) GDPR).

Storage location: European Union.

j) Contabo (Server Infrastructure) — being deployed

For internal automation processes we use servers provided by Contabo GmbH, Aschauer Straße 32a, 81549 Munich, Germany.

Legal basis: Article 6(1)(f) GDPR (legitimate interest in efficient operation of our internal systems).

Storage location: Germany (EU).

Data Processing Agreement: Will be concluded under Article 28 GDPR upon commissioning.

k) n8n (Workflow Automation) — being deployed

We use n8n to automate processes such as booking confirmations and guest communication. Provider: n8n GmbH, Steinheilstraße 10, 85737 Ismaning, Germany (or, where self-hosted, on our own infrastructure).

Legal basis: Article 6(1)(b) GDPR (contract performance) and Article 6(1)(f) GDPR (legitimate interest in efficient workflows).

Storage location: Germany or the EU (self-hosted).

l) Anthropic / Claude (AI-assisted Communication) — being deployed

We use the AI assistant Anthropic ("Claude") to help draft responses to guest enquiries. Provider: Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA.

Only data necessary to respond to the specific enquiry is transmitted to Anthropic. Use of your data to train Anthropic's AI models is contractually excluded under Anthropic's Commercial Terms of Service.

Legal basis: Article 6(1)(f) GDPR (legitimate interest in prompt and high-quality handling of guest enquiries).

Transfer to the USA: Standard Contractual Clauses and, where applicable, EU-US Data Privacy Framework.

Data Processing Agreement: Data Processing Addendum (DPA) under Article 28 GDPR will be concluded upon commissioning.

8. International Data Transfers

Some of our service providers are located in the United States of America (in particular Webflow, Google, PayPal, Anthropic). Transfers of personal data to the USA are made on the basis of one of the following safeguards:

Adequacy Decision of the European Commission under the EU-US Data Privacy Framework (Decision of 10 July 2023) for certified recipients
Standard Contractual Clauses (SCCs) of the European Commission pursuant to Article 46(2)(c) GDPR

A copy of the applicable safeguards is available on request at info@paraccia.com.

9. Cookies and Similar Technologies

Our website uses cookies and similar technologies. Detailed information on the type, purpose, retention and provider of individual cookies is provided in our Cookie Policy, which is accessible via the cookie banner or the footer link "Cookie settings".

Strictly necessary cookies (e.g. session, cart, consent cookies) are set on the basis of our legitimate interest (Article 6(1)(f) GDPR). For all other cookies (analytics, marketing, external media) we obtain your express consent via our consent banner (Article 6(1)(a) GDPR in conjunction with Article 122 of the Italian Privacy Code). You can withdraw your consent at any time via the cookie settings.

10. Your Rights as a Data Subject

Under the GDPR you have in particular the following rights:

Right of access (Article 15 GDPR): to request information about whether and which personal data we process about you.
Right to rectification (Article 16 GDPR): to request the correction of inaccurate or the completion of incomplete data.
Right to erasure (Article 17 GDPR, "right to be forgotten"): to request the deletion of your data, provided no statutory retention obligation or other legal ground prevents deletion.
Right to restriction of processing (Article 18 GDPR): to request the restriction of processing under certain conditions.
Right to data portability (Article 20 GDPR): to request that we transmit your data in a structured, commonly used, machine-readable format, or transfer it to another controller.
Right to object (Article 21 GDPR): to object at any time, on grounds relating to your particular situation, to processing based on a legitimate interest. You can object to processing for direct marketing purposes at any time without giving reasons.
Right to withdraw consent (Article 7(3) GDPR): where processing is based on your consent, you can withdraw it at any time with effect for the future. The lawfulness of processing prior to withdrawal remains unaffected.
Right to lodge a complaint (Article 77 GDPR): without prejudice to other remedies, you may lodge a complaint with a supervisory authority.

To exercise your rights, an informal notification to info@paraccia.com is sufficient. We will respond within one month of receipt of your request; this period may be extended by two further months in case of complex or numerous requests (Article 12(3) GDPR).

To protect against misuse, we are entitled to verify your identity by appropriate means.

11. Right to Lodge a Complaint

If you believe that our processing of your personal data infringes the GDPR, you have the right to lodge a complaint with a supervisory authority. The authority competent for us is:

Garante per la protezione dei dati personali

Piazza Venezia 11, 00187 Rome, Italy

Web: https://www.garanteprivacy.it

You may also lodge a complaint with the supervisory authority of your habitual residence, place of work, or the place of the alleged infringement (e.g. in Germany: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit; in Austria: Datenschutzbehörde; in the UK: Information Commissioner's Office).

12. Automated Decision-Making and Profiling

We do not carry out automated decision-making, including profiling, within the meaning of Article 22 GDPR that produces legal effects concerning you or similarly significantly affects you.

13. Minors

Our website and services are not specifically directed at children. For minors under 14 years (pursuant to Article 2-quinquies of the Italian Privacy Code) personal data may only be processed with the express consent of a person with parental responsibility. Where bookings or stays involve minors, we assume that parental consent has been obtained. If we become aware that we have processed a child's personal data without the required consent, we will delete such data without delay.

14. Security of Processing

We have implemented appropriate technical and organisational measures (Article 32 GDPR) to protect your data against unauthorised access, loss, misuse, alteration or destruction, in particular:

SSL/TLS encryption of all website and email communications
Access controls based on the need-to-know principle
Regular updates of our systems and software components
Confidentiality and data protection obligations for our staff
Processor agreements in accordance with Article 28 GDPR
Physical security measures on our premises

Despite diligent security precautions, no system can provide complete security against interception during data transmission over the internet.

15. Links to External Websites

Our website may contain links to external websites over which we have no control. The content and privacy practices of linked sites are the sole responsibility of their operators. We review external links at the time of inclusion but assume no responsibility for their subsequent development.

16. Changes to this Privacy Policy

We reserve the right to update this Privacy Policy where our services change, the legal framework changes, or we adjust our processes. The most recent version is always available at paraccia.com/privacy-policy. We will actively communicate significant changes.

17. Contact

For any privacy-related matter, we are at your disposal:

Taibon Karin KG & Co

Strada Al Plan Dessora 41

39030 San Vigilio di Marebbe / St. Vigil in Enneberg (BZ)

Italy

Phone: +39 0474 501018

Email: info@paraccia.com

Web: https://www.paraccia.com

This Privacy Policy has been prepared in accordance with the GDPR (Regulation (EU) 2016/679), the Italian Data Protection Code (Legislative Decree 196/2003 as amended by Legislative Decree 101/2018), the Italian Consolidated Law on Public Security (TULPS), and other applicable legal provisions.

‍

Datenschutzerklärung

Stand: 23. April 2026

Gültig ab: 23. April 2026

1. Verantwortlicher im Sinne der DSGVO

Verantwortlicher für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne der Verordnung (EU) 2016/679 („DSGVO"), des italienischen Gesetzesdekrets Nr. 196/2003 (Codice in materia di protezione dei dati personali) in der durch das Gesetzesdekret Nr. 101/2018 geänderten Fassung sowie sonstiger anwendbarer Datenschutzvorschriften ist:

Taibon Karin KG & Co / S.a.s.

Strada Al Plan Dessora 41

39030 San Vigilio di Marebbe / St. Vigil in Enneberg (BZ)

Italien

Partita IVA: IT01473830212

Codice fiscale: IT01473830212

CIN (Codice Identificativo Numerico nazionale):

– Hotel Monte Paraccia: IT021047A15MJPMV4X

– Pension Pè de Munt (Garni): IT021047A119HIB3JB

Inhaltlich verantwortlich: Karin Taibon

Telefon: +39 0474 501018

E-Mail: info@paraccia.com (bzw. privacy@paraccia.com, sofern eingerichtet)

Ein Datenschutzbeauftragter (DPO / Responsabile della Protezione dei Dati) wurde nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO in Verbindung mit den Vorgaben des italienischen Garante für unser Unternehmen nicht erfüllt sind. Anfragen zum Datenschutz richten Sie bitte an die oben genannten Kontaktdaten.

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Verarbeitung personenbezogener Daten im Zusammenhang mit:

dem Besuch und der Nutzung unserer Website paraccia.com (einschließlich aller Sprachversionen und Subdomains)
Anfragen, Reservierungen und Buchungen über die Website, per E-Mail, Telefon oder persönlich
Aufenthalten im Hotel Monte Paraccia, in der Pension Pè de Munt sowie Besuchen im Restaurant Taibon 1885
der Korrespondenz und dem Empfang von Gästen und Kunden

3. Grundsätze der Verarbeitung

Wir verarbeiten personenbezogene Daten rechtmäßig, nach Treu und Glauben und in transparenter Weise (Art. 5 Abs. 1 lit. a DSGVO). Die Erhebung erfolgt für festgelegte, eindeutige und legitime Zwecke. Wir verarbeiten nur so viele Daten wie für den jeweiligen Zweck erforderlich (Datenminimierung) und speichern sie nur so lange, wie dies gesetzlich vorgeschrieben oder für den jeweiligen Zweck erforderlich ist. Durch geeignete technische und organisatorische Maßnahmen sorgen wir für die Sicherheit der Daten.

4. Welche Daten wir verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage

4.1 Server-Logdaten

Was wir verarbeiten: Bei jedem Zugriff auf unsere Website werden automatisch technische Informationen in Server-Logfiles gespeichert: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Meldung über erfolgreichen Abruf, Browsertyp und -version, Betriebssystem, Referrer-URL.

Zweck: Sicherstellung eines reibungslosen Verbindungsaufbaus, komfortable Nutzung unserer Website, Auswertung der Systemsicherheit und -stabilität, Abwehr von Cyberangriffen.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am sicheren und funktionstüchtigen Betrieb der Website.

Speicherdauer: Server-Logfiles werden nach spätestens 30 Tagen gelöscht oder anonymisiert. Im Fall sicherheitsrelevanter Vorfälle bis zur abschließenden Klärung.

4.2 Identifikations- und Kontaktdaten (Anfragen, Buchungen, Aufenthalte)

Was wir verarbeiten: Vor- und Nachname, Geburtsdatum, Staatsangehörigkeit, Ausweisdaten (Art, Nummer, Ausstellungsort und -datum — nur für Meldezettel), Anschrift, Telefonnummer, E-Mail-Adresse, Reisezeitraum, Anzahl und Daten der mitreisenden Personen.

Zweck: Vertragsanbahnung und -durchführung (Zimmerreservierung, Check-in, Rechnungsstellung, Restaurantreservierung), Erfüllung gesetzlicher Meldepflichten (insb. Gästeregistrierung / schedine alloggiati, Ortstaxe / imposta di soggiorno, ISTAT-Statistikmeldungen), Kommunikation mit Gästen vor, während und nach dem Aufenthalt.

Rechtsgrundlage:

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen)
Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Art. 109 TULPS (R.D. 773/1931) — Meldung an die zuständige Questura; DPR 600/1973 und Art. 2220 Codice Civile — steuer- und buchhalterische Aufbewahrungspflichten; lokale Verordnungen zur Ortstaxe.

Speicherdauer: 10 Jahre ab Rechnungsstellung bzw. Abschluss der Geschäftsbeziehung (steuerliche Aufbewahrungspflicht nach Art. 2220 Codice Civile). Daten aus reinen Anfragen ohne Buchung werden spätestens nach 24 Monaten gelöscht.

4.3 Zahlungs- und Finanzdaten

Was wir verarbeiten: Rechnungsdaten, IBAN (bei Überweisung), Zahlungs-Token und Transaktions-Referenzen der eingesetzten Zahlungsdienstleister, Transaktionshistorie. Vollständige Kreditkartendaten werden von uns nicht gespeichert; die Verarbeitung erfolgt ausschließlich durch PCI-DSS-zertifizierte Zahlungsdienstleister.

Zweck: Abwicklung von Anzahlungen, Zahlungen und Rückerstattungen; Rechnungsstellung; Betrugsprävention; Buchhaltung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (steuerliche Pflichten).

Speicherdauer: 10 Jahre ab Rechnungsstellung (Art. 2220 Codice Civile, DPR 600/1973).

4.4 Kommunikationsdaten

Was wir verarbeiten: Inhalt von E-Mails, Kontaktformular-Nachrichten, Anfragen über OTAs, Rückmeldungen von Gästen, Nachfass-Korrespondenz.

Zweck: Bearbeitung von Anfragen, Dokumentation der Korrespondenz, Bearbeitung von Reklamationen, Qualitätssicherung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen und Vertragserfüllung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Dokumentation von Geschäftskorrespondenz).

Speicherdauer: 24 Monate nach letztem Kontakt; im Falle einer zustande gekommenen Buchung gilt die Aufbewahrungsfrist gemäß Abschnitt 4.2.

4.5 Präferenz- und Gästedaten (CRM)

Was wir verarbeiten: Zimmerpräferenzen, diätetische Wünsche und Allergien (soweit freiwillig mitgeteilt), Sonderwünsche, Stammgast-Status, Aufenthaltshistorie.

Zweck: Personalisierung des Aufenthalts, Wiedererkennung von Stammgästen, Verbesserung unserer Serviceleistungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kundenbindung und Servicequalität). Bei Gesundheits- oder Allergieinformationen erfolgt die Verarbeitung auf Grundlage Ihrer freiwilligen Mitteilung (Art. 9 Abs. 2 lit. a DSGVO), ausschließlich zur Erbringung der gewünschten Leistung.

Speicherdauer: 3 Jahre ab dem letzten Aufenthalt; danach Löschung oder Anonymisierung.

4.6 Berufliche / B2B-Daten (Geschäftskunden)

Was wir verarbeiten: Firmenname, Rechnungsanschrift, Partita IVA, Codice Fiscale, SDI-Code oder PEC-Adresse, Ansprechpartner, geschäftliche E-Mail-Adresse.

Zweck: Ausstellung elektronischer Rechnungen (Fattura Elettronica) gemäß italienischer Gesetzgebung, Abrechnung von Geschäftsreisen und geschäftlichen Bewirtungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Art. 6 Abs. 1 lit. c DSGVO.

Speicherdauer: 10 Jahre (Art. 2220 Codice Civile).

4.7 Technische Kennungen und Geräteinformationen (Website-Nutzung)

Was wir verarbeiten: IP-Adresse, Cookie-IDs, Session-IDs, Browser-Typ und -Version, Betriebssystem, Bildschirmauflösung, Referrer-URL, Klickverhalten.

Zweck: Bereitstellung der Website, Reichweitenmessung, statistische Auswertung, Optimierung der Benutzererfahrung.

Rechtsgrundlage: Für technisch erforderliche Cookies Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der Website); für nicht-notwendige Cookies (Analytics, Marketing) Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit Art. 122 des italienischen Codice della Privacy bzw. § 25 TTDSG. Details siehe unsere Cookie-Richtlinie.

Speicherdauer: Siehe Cookie-Richtlinie (je Cookie-Typ).

4.8 Einwilligungs- und Nachweisdokumente

Was wir verarbeiten: Cookie-Einwilligungs-Protokolle, Zustimmung zu AGB und Datenschutzerklärung, Newsletter-Anmeldungen (sofern eingerichtet), unterzeichnete Buchungsbestätigungen.

Zweck: Nachweis erteilter Einwilligungen gemäß Art. 7 Abs. 1 DSGVO (Beweislastumkehr).

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung zum Nachweis).

Speicherdauer: 10 Jahre (Parallelführung mit den übrigen Buchungsunterlagen).

5. Woher wir Ihre Daten erhalten

Wir erheben personenbezogene Daten direkt von Ihnen, wenn Sie

unsere Website besuchen und Formulare ausfüllen (Kontakt, Buchung, Newsletter, etc.)
eine Buchung über das eingebundene HGV-Buchungswidget vornehmen
uns per E-Mail, Telefon, WhatsApp oder Fax kontaktieren
persönlich oder schriftlich mit uns korrespondieren
im Hotel oder Restaurant einchecken bzw. eine Reservierung vornehmen

Darüber hinaus können wir Ihre Daten aus folgenden legitimen Quellen erhalten:

Online-Buchungsplattformen (OTAs): Booking.com, Expedia, HRS und vergleichbare Portale übermitteln uns die für die Erfüllung Ihrer Buchung erforderlichen Daten.
HGV Booking Südtirol: Über das auf unserer Website eingebundene Widget.
Reiseveranstalter und Tourismusverbände: Bei Gruppenbuchungen oder Pauschalreisen.
Öffentlich zugängliche Quellen: In begrenzten Fällen (z. B. Firmendaten aus öffentlichen Registern zur Rechnungsstellung).

6. Pflicht zur Bereitstellung von Daten

Die Bereitstellung bestimmter Daten ist gesetzlich vorgeschrieben (insbesondere zur Erfüllung der Meldepflicht gegenüber der italienischen Questura gemäß Art. 109 TULPS, der Steuerpflichten gemäß DPR 600/1973, der Ortstaxe-Meldung und der ISTAT-Statistik) oder vertraglich erforderlich (zur Begründung und Abwicklung des Beherbergungs- oder Restaurantvertrags). Ohne diese Daten können wir den Vertrag nicht erfüllen und sind daher gegebenenfalls verpflichtet, die Leistungserbringung abzulehnen.

Die Bereitstellung sonstiger Daten (z. B. Präferenzen, Newsletter-Anmeldung) ist freiwillig und hat keine nachteiligen Konsequenzen.

7. Empfänger und Offenlegung Ihrer Daten

Ihre Daten werden ausschließlich an die folgenden Kategorien von Empfängern weitergegeben, sofern dies zur Erfüllung der genannten Zwecke erforderlich oder gesetzlich vorgeschrieben ist:

7.1 Behörden

Polizeibehörden (Questura) — Übermittlung der Gästemeldungen (schedine alloggiati) gemäß Art. 109 TULPS innerhalb von 24 Stunden nach Anreise
Gemeinde St. Vigil in Enneberg / San Vigilio di Marebbe — Meldung der Ortstaxe (imposta di soggiorno)
ISTAT — statistische Meldungen
Finanzamt / Agenzia delle Entrate — steuerliche Meldungen, elektronische Rechnungsstellung (SDI)
Sonstige Behörden im Rahmen gesetzlicher Auskunftspflichten

7.2 Auftragsverarbeiter und Dienstleister

Wir setzen sorgfältig ausgewählte Auftragsverarbeiter ein, mit denen Verträge gemäß Art. 28 DSGVO geschlossen wurden:

Hosting und CMS: Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, USA — Bereitstellung unserer Website, Log-Speicherung. Datenübermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework (sofern zertifiziert).
Cookie-Consent-Management: CookieScript (CookieScript UAB, Vilnius, Litauen) — Verwaltung der Cookie-Einwilligungen.
Webanalyse: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Analytics 4, Google Tag Manager). Verarbeitung auch durch Google LLC (USA) auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework.
Schriftarten und Karten: Google Ireland Limited (Google Fonts, Google Maps).
Videos: Google Ireland Limited (YouTube — eingebettete Videos).
Buchungswidget: HGV — Hoteliers- und Gastwirteverband Südtirol, Schlachthofstraße 59, 39100 Bozen (IT), sowie die von HGV eingesetzten Subprozessoren (Booking Südtirol).
Zahlungsdienstleister: PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg.
Serverinfrastruktur und Automatisierung: Contabo GmbH, Aschauer Straße 32a, 81549 München, Deutschland — Server-Hosting für interne Automatisierungsprozesse (in Einrichtung).
Workflow-Automatisierung: n8n GmbH, Steinheilstraße 10, 85737 Ismaning, Deutschland — Workflow-Management für Buchungsbestätigungen und Gästekommunikation (in Einrichtung).
KI-gestützte Kommunikationsunterstützung: Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA — Unterstützung bei der Formulierung von Antworten auf Gästeanfragen (in Einrichtung); Datenübermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln. Es werden nur die zur jeweiligen Anfragebeantwortung notwendigen Daten übermittelt; es erfolgt kein Training der KI-Modelle mit Ihren Daten.
Hotelverwaltungssystem (PMS): [wird nach Auswahl ergänzt] — Zentrale Verwaltung von Buchungen, Gästedaten und Rechnungen.
E-Mail- und Telekommunikationsanbieter unserer regulären Geschäfts-E-Mail-Konten.
Steuerberater, Rechtsanwälte, Wirtschaftsprüfer, soweit sie von uns mandatiert sind und einer gesetzlichen Verschwiegenheitspflicht unterliegen.
Online-Buchungsplattformen (OTAs): Booking.com B.V. (Niederlande), Expedia Group (Irland/USA), HRS GmbH (Deutschland) und vergleichbare Portale, sofern Sie über deren Kanäle buchen.

7.3 Sonstige

Wir geben Daten weiter, wenn dies zur Wahrung unserer berechtigten Interessen erforderlich ist (z. B. Durchsetzung von Rechtsansprüchen, Verteidigung gegen Forderungen). Eine Weitergabe zu Werbezwecken an Dritte erfolgt nicht.

7.4 Einzelne Drittanbieter im Detail

Im Folgenden finden Sie ergänzende Informationen zu den wichtigsten eingesetzten Drittanbietern.

a) Webflow (Hosting und CMS)

Unsere Website wird bei Webflow gehostet. Anbieter ist die Webflow, Inc., 398 11th Street, 2nd Floor, San Francisco, CA 94103, USA.

Beim Besuch unserer Website erfasst Webflow verschiedene Logfiles einschließlich Ihrer IP-Adressen. Webflow ist ein Werkzeug zum Aufbau und Hosting von Websites. Webflow speichert Cookies oder andere Wiedererkennungstechnologien, die zur Darstellung der Seite, zur Bereitstellung bestimmter Funktionen und zur Gewährleistung der Sicherheit notwendig sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer zuverlässigen Darstellung unserer Website). Soweit eine entsprechende Einwilligung abgefragt wurde, erfolgt die Verarbeitung ausschließlich auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO; die Einwilligung ist jederzeit widerrufbar.

Datenübermittlung USA: Standardvertragsklauseln der EU-Kommission und — soweit zertifiziert — EU-US Data Privacy Framework.

Auftragsverarbeitung: Mit Webflow wurde ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO abgeschlossen.

Datenschutzerklärung: https://webflow.com/legal/eu-privacy-policy

b) Google Analytics 4 (Webanalyse)

Wir nutzen den Analysedienst Google Analytics 4 (GA4). Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, mit nachgelagerter Verarbeitung durch Google LLC (USA).

GA4 verwendet Cookies und ähnliche Technologien, um die Nutzung unserer Website zu analysieren. Die erzeugten Informationen (u. a. gekürzte IP-Adresse, Geräteinformationen, Seitenaufrufe, Interaktionen, Verweildauer) werden an Google übertragen und dort ausgewertet. Wir haben IP-Anonymisierung aktiviert; die Speicherdauer ist auf 14 Monate begrenzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung via Cookie-Banner) i.V.m. Art. 122 Codice Privacy.

Datenübermittlung USA: Standardvertragsklauseln der EU-Kommission und EU-US Data Privacy Framework (Google LLC ist DPF-zertifiziert).

Auftragsverarbeitung: AVV gemäß Art. 28 DSGVO abgeschlossen.

Opt-out: Browser-Add-on unter https://tools.google.com/dlpage/gaoptout oder Widerruf der Einwilligung über unser Cookie-Banner.