Datenschutzerklärung

Verantwortlicher

Erhobene Daten

• ▸Buchungsdaten: Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Staatsangehörigkeit, Geburtsdatum, Rechnungsadresse sowie Buchungsdetails (Zimmer, An-/Abreisedatum, Personenzahl, Gesamtbetrag).
• ▸Meldeschein-Daten (Bundesmeldegesetz): Vor- und Nachname, Geburtsdatum, Staatsangehörigkeit, vollständige Adresse, Ausweisnummer (Reisepass oder Personalausweis), Mitreisende. Diese Daten werden aufgrund gesetzlicher Verpflichtung erhoben (Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 30 BMG).
• ▸Gesundheitsdaten (nur mit ausdrücklicher Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO): Allergien, Vorlieben, Behinderungsstatus für ermäßigte Kurtaxe. Diese Daten werden ausschließlich nach erteilter Einwilligung gespeichert und können jederzeit widerrufen werden.
• ▸Kontaktformular-Einsendungen: Name, E-Mail-Adresse, Nachrichteninhalt.
• ▸Server-Logfiles: IP-Adresse, Browsertyp, Betriebssystem, Referrer-URL, Datum und Uhrzeit des Zugriffs. Diese werden automatisch von unserem Hosting-Anbieter (Vercel) erhoben und nach 30 Tagen gelöscht.
• ▸Sitzungscookies von Supabase für die Authentifizierung (nur Mitarbeiter-Login). Keine Tracking- oder Werbe-Cookies werden verwendet.

Zwecke der Verarbeitung

• ▸Buchungs- und Reservierungsdaten werden zur Erfüllung des Beherbergungsvertrags verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).
• ▸Meldescheindaten werden aufgrund gesetzlicher Verpflichtung nach dem Bundesmeldegesetz erhoben und verarbeitet (Art. 6 Abs. 1 lit. c DSGVO).
• ▸Gesundheitsdaten (Allergien, Vorlieben, Behinderungsstatus) werden ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung verarbeitet (Art. 9 Abs. 2 lit. a DSGVO). Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
• ▸Kontaktformulardaten werden verarbeitet, um auf Ihre Anfrage zu antworten (Art. 6 Abs. 1 lit. b DSGVO).
• ▸Server-Logs werden zur Sicherheit und Fehlerbehebung verarbeitet (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse).
• ▸Authentifizierungs-Cookies werden ausschließlich für den Mitarbeiter-Login verwendet (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• ▸Gästeprofil-Daten (Name, E-Mail, Telefon, Adresse): 3 Jahre nach dem letzten Aufenthalt, danach Anonymisierung.
• ▸Gesundheitsdaten (Allergien, Vorlieben, Behinderungsstatus): 3 Jahre nach dem letzten Aufenthalt oder bei Widerruf der Einwilligung sofortige Löschung.
• ▸Meldescheindaten: Die Ausweisdaten werden nach 1 Jahr anonymisiert (§ 30 BMG). Verbleibende Buchungsdaten werden 10 Jahre aufbewahrt (§ 147 AO, § 257 HGB).
• ▸Rechnungen und Zahlungsdaten: 10 Jahre gemäß § 147 AO und § 257 HGB (handels- und steuerrechtliche Aufbewahrungspflicht).
• ▸Kontaktanfragen: 2 Jahre, danach automatische Löschung.
• ▸Server-Logs: 30 Tage (durch Vercel). Anwendungsfehler-Logs: 90 Tage.

Ihre Rechte

Gemäß DSGVO haben Sie das Recht auf: Auskunft über Ihre personenbezogenen Daten (Art. 15), Berichtigung unrichtiger Daten (Art. 16), Löschung Ihrer Daten (Art. 17 — "Recht auf Vergessenwerden"), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit in maschinenlesbarem Format (Art. 20) und Widerspruch gegen die Verarbeitung (Art. 21). Um diese Rechte auszuüben, kontaktieren Sie uns per E-Mail oder Brief über die Kontaktdaten im Impressum. Wir werden Ihre Anfrage innerhalb von 30 Tagen bearbeiten. Zur Identitätsverifizierung kann ein Identitätsnachweis erforderlich sein.

Sie haben außerdem das Recht, eine Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einzureichen. Für Bayern ist dies das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de. Bundesweit: Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), www.bfdi.bund.de.

Auftragsverarbeiter und Drittanbieter

Wir setzen folgende Dienstleister ein, mit denen wir Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen haben oder abschließen:

• ▸Vercel Inc. (Hosting und Bereitstellung der Website) — Server in der EU. AVV abgeschlossen.
• ▸Supabase Inc. (Datenbank und Authentifizierung) — EU-Region (Frankfurt, Deutschland). AVV abgeschlossen.
• ▸Stripe Inc. (Zahlungsabwicklung für Kautionen) — Sitz in den USA, EU-Server verfügbar; Datenübermittlung auf Basis von Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO. Für die Zahlungsabwicklung wird die E-Mail-Adresse des Gastes sowie der Buchungsbetrag an Stripe übermittelt. Kartendaten werden ausschließlich durch Stripe verarbeitet und berühren unsere Server nicht. AVV (Stripe Data Processing Addendum) abgeschlossen.
• ▸Channex.io (Kanal-Manager für Online-Reisebüros) — Buchungsdaten (Name, E-Mail, Zimmerkategorie, Zeitraum) werden von Buchungsplattformen (z. B. Booking.com, Expedia) über Channex synchronisiert. AVV in Vorbereitung.
• ▸fiskaly GmbH (Technische Sicherheitseinrichtung / TSE für KassenSichV-Konformität) — Sitz in Deutschland. Es werden ausschließlich Zahlungsbeträge und Steuerklassen übermittelt, keine personenbezogenen Daten. AVV abgeschlossen.

Sicherheit

Wir verwenden HTTPS-Verschlüsselung für alle Datenübertragungen (HSTS, TLS). Sicherheitsrelevante HTTP-Header (Content Security Policy, X-Frame-Options u. a.) sind aktiviert. Der Zugriff auf personenbezogene Daten ist auf autorisierte Mitarbeiter mit rollenbasierter Zugriffskontrolle beschränkt.

Datenschutzkontakt

Für alle datenschutzrechtlichen Anfragen — insbesondere zur Ausübung Ihrer Betroffenenrechte — wenden Sie sich bitte per E-Mail oder Brief an uns unter den Kontaktdaten im Impressum. Bitte geben Sie Ihre E-Mail-Adresse und, falls vorhanden, Ihre Buchungsreferenz an, damit wir Ihre Anfrage schnell bearbeiten können.