DEEN Mein LOCADOBuchen

Datenschutzerklärung

Stand:

1. Verantwortlicher und Kontakt

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website und bei Buchungen ist:

Gierschmann – Kochems GbR
handelnd unter der Marke „LOCADO“, vertreten durch die Gesellschafter Moritz Gierschmann und Malcom Kochems
Mühlenweg 21 A
53619 Rheinbreitbach
E-Mail: info@locadostays.com
Telefon / WhatsApp: +49 155 10603648

Ansprechpartner für Datenschutzanfragen: Moritz Gierschmann, erreichbar unter info@locadostays.com. Du kannst uns auch per Post an die oben genannte Anschrift schreiben. „LOCADO“, „wir“ und „uns“ meinen in dieser Erklärung die Gierschmann – Kochems GbR.

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt, weil wir dazu nicht verpflichtet sind: Bei uns sind weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG), und unsere Kerntätigkeit besteht weder in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen noch in einer umfangreichen Verarbeitung besonders geschützter Daten (Art. 37 Abs. 1 DSGVO). Bei Fragen zum Datenschutz erreichst du uns über die Kontaktdaten in Abschnitt 1.

3. Überblick

Hier erfährst du nach Art. 13 und 14 DSGVO, welche personenbezogenen Daten wir verarbeiten, wenn du locadostays.com besuchst, uns schreibst oder bei uns buchst, wozu wir das tun, wie lange wir die Daten speichern und welche Rechte du hast. Personenbezogene Daten sind alle Angaben, die sich auf dich beziehen, etwa dein Name, deine E-Mail-Adresse oder deine IP-Adresse.

Auf einen Blick

  • Website aufrufen: Auslieferung der Seiten, Server-Logs und Sicherheit, auf Grundlage unseres berechtigten Interesses (Abschnitt 4).
  • Cookies und Speicher im Browser: Technisch Notwendiges ohne Einwilligung, alles andere nur, wenn du im Cookie-Banner einwilligst (Abschnitte 5 und 6).
  • Analyse mit PostHog und Karte von Google Maps: nur mit deiner Einwilligung (Abschnitt 7, Abschnitt 8).
  • Kontaktformular, E-Mail, Telefon und WhatsApp: um deine Anfrage zu beantworten (Abschnitt 9, Abschnitt 10).
  • Buchung, Zahlung und Aufenthalt: um deine Buchung durchzuführen, gesetzliche Pflichten zu erfüllen und Missbrauch zu verhindern (Abschnitte 11 bis 15).
  • Anmeldung mit Code (Abschnitt 17), Dienstleister und Empfänger (Abschnitt 16, Abschnitt 18) und deine Rechte (Abschnitt 19).

Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken weiter. Werbe-E-Mails und einen Newsletter verschicken wir derzeit nicht – mit einer Ausnahme: Nach einem Aufenthalt, den du auf unserer Website gebucht hast und bei dem du selbst übernachtet hast, bitten wir dich einmal per E-Mail um eine Bewertung; dem kannst du jederzeit widersprechen (Abschnitt 11). Sollten wir andere Werbe-E-Mails einführen, schicken wir sie nur, wenn du gesondert eingewilligt und deine E-Mail-Adresse über einen Bestätigungslink bestätigt hast (Double-Opt-in); eine Buchung oder ein Konto auf dieser Website ist keine solche Einwilligung. Vorher ergänzen wir diese Datenschutzerklärung.

Rechtsgrundlagen

  • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Du hast eingewilligt, etwa im Cookie-Banner. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.
  • Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Wir brauchen die Daten, um einen Vertrag mit dir zu schließen und zu erfüllen oder um deine Anfrage vor einem Vertrag zu beantworten.
  • Rechtliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO): Ein Gesetz verpflichtet uns, etwa zur Aufbewahrung von Buchungsbelegen oder zum Meldeschein.
  • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Wir haben ein berechtigtes Interesse, das deine Interessen nicht überwiegen, etwa am sicheren Betrieb der Website. Dagegen kannst du widersprechen (Abschnitt 19).
  • Speichern und Auslesen von Informationen auf deinem Gerät (§ 25 TDDDG): nur mit deiner Einwilligung (Abs. 1), außer es ist für einen von dir gewünschten Dienst unbedingt erforderlich (Abs. 2 Nr. 2).

Speicherdauer

Wir speichern personenbezogene Daten nur, solange wir sie für den jeweiligen Zweck brauchen oder ein Gesetz uns zur Aufbewahrung verpflichtet. Danach löschen oder anonymisieren wir sie. Die einzelnen Fristen stehen in den folgenden Abschnitten. Was wir in unserer Datenbank speichern, löscht ein automatischer Löschlauf, der einmal am Tag läuft; eine Frist endet dort deshalb spätestens einen Tag nach dem genannten Zeitpunkt.

4. Besuch der Website: Hosting und Server-Logs

Hosting und Serverfunktionen (Vercel)

Unsere Website betreibt die Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA („Vercel“). Vercel liefert die Seiten über ein weltweites Netz von Servern aus (Content Delivery Network); dein Aufruf wird in der Regel von einem Server in deiner Nähe beantwortet. Die Funktionen, die deine Eingaben verarbeiten – etwa Preisabfrage, Buchung, Zahlungsbestätigung, Kontaktformular und Anmeldung –, laufen als Serverfunktionen bei Vercel in Frankfurt am Main und geben deine Eingaben an die jeweils zuständigen Dienste weiter (Abschnitte 9 bis 17).

Vercel verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO). Übermittlungen in die USA stützen wir auf das EU-US Data Privacy Framework und Standardvertragsklauseln der EU-Kommission (Abschnitt 18).

Server-Logs

Bei jedem Aufruf verarbeitet Vercel technisch notwendige Daten: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse (URL) mit ihren Parametern, die Seite, von der du kommst (Referrer), Angaben zu Browser und Betriebssystem (User-Agent) und den Status der Antwort. Die Adresse der Bestätigungsseite enthält deine Buchungsnummer; kehrst du von einer Zahlungsfreigabe bei deiner Bank zurück, enthält sie für einen Aufruf auch technische Kennungen der Zahlung bei Stripe. Zugriffsschlüssel für die Bestätigungsseite und die Schlüssel in Anmeldelinks stehen nie in dem Teil der Adresse, der an den Server geht.

Wir nutzen diese Daten, um die Website auszuliefern, ihre Sicherheit zu gewährleisten (etwa Angriffe zu erkennen und abzuwehren) und Fehler zu finden. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und funktionsfähigen Website (Art. 6 Abs. 1 lit. f DSGVO); soweit Serverfunktionen deine Buchung oder Anfrage bearbeiten, Art. 6 Abs. 1 lit. b DSGVO. Vercel speichert die Protokolle höchstens 30 Tage; an andere Dienste leiten wir sie nicht weiter. Unsere eigenen Fehlerprotokolle enthalten nur technische Angaben wie Fehlercodes und Buchungsnummern, keine Namen, E-Mail-Adressen oder Nachrichten.

Schriftarten, Bilder und Links

Schriftarten und Bilder liefern wir von unserem eigenen Server aus; dabei entsteht keine Verbindung zu Google Fonts oder anderen Anbietern. Die Fotos der Region stammen von Wikimedia Commons; wir haben sie heruntergeladen und liefern sie ebenfalls selbst aus. Links zu anderen Websites (etwa zu WhatsApp, Wikipedia, Wikimedia Commons oder Google Maps) sind einfache Links: Erst wenn du einen anklickst, ruft dein Browser die andere Website auf, und dort gilt deren Datenschutzerklärung.

Bewertungen und Bildnachweise

Auf der Website zeigen wir Bewertungen, die Gäste auf Airbnb und Booking.com veröffentlicht haben: Vorname oder Anzeigename, gegebenenfalls Ort oder Land, wie sie dort stehen, Monat, Bewertung, Text und Plattform. Wir übernehmen nur, was dort öffentlich steht. Rechtsgrundlage ist unser berechtigtes Interesse, Interessierten echte Erfahrungen von Gästen zu zeigen (Art. 6 Abs. 1 lit. f DSGVO). Wir zeigen eine Bewertung, solange sie auf der Plattform öffentlich ist. Nimmt die Plattform sie herunter oder widersprichst du, entfernen wir sie unverzüglich von unserer Website; dafür genügt eine formlose Nachricht an die Kontaktdaten in Abschnitt 1. Bei Fotos unter freier Lizenz nennen wir die Urheberin oder den Urheber mit einem Link zum Profil, wie es die Lizenz verlangt (Art. 6 Abs. 1 lit. c bzw. f DSGVO), solange wir das Foto zeigen.

5. Cookies und Speicherung im Browser

Cookies sind kleine Textdateien, die eine Website in deinem Browser ablegt. Ähnlich funktionieren der Local Storage und der Session Storage deines Browsers; Einträge im Session Storage verschwinden, wenn du den Tab schließt. Was für einen von dir gewünschten Dienst unbedingt erforderlich ist, speichern wir ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Alles andere speichern oder lesen wir nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG). Wofür wir die Daten danach verwenden, steht in den jeweiligen Abschnitten.

Technisch notwendig

  • locado_consent (Cookie, LOCADO): speichert deine Auswahl im Cookie-Banner – Kategorien, Fassung des Banners, Zeitpunkt und eine zufällige Kennung. Wird erst gesetzt, wenn du eine Auswahl triffst. 6 Monate.
  • __Host-locado_preauth (Cookie, LOCADO): verbindet eine angeforderte Anmeldung oder Bestätigung mit deinem Browser. Nur wenn du einen Anmeldecode anforderst oder ein Konto eröffnest. 20 Minuten.
  • __Host-locado_session (Cookie, LOCADO): hält dich in deinem Konto angemeldet. Nur nach einer Anmeldung. 30 Tage, verlängert sich, wenn du dein Konto nutzt.
  • __Host-locado_member (Cookie, LOCADO): zeigt dem Seitenkopf, dass er deinen Vornamen anzeigen kann. Enthält einen zufälligen Wert, der bei jeder Anmeldung neu entsteht, keine Angaben zu deiner Person, und wird von uns nicht gespeichert. Nur nach einer Anmeldung. 30 Tage wie die Anmeldung.
  • locado:member:name (Session Storage, LOCADO): dein Vorname für den Seitenkopf, solange du angemeldet bist; wird alle 5 Minuten neu abgefragt. Bis du den Tab schließt oder dich abmeldest.
  • __Host-locado_admin (Cookie, LOCADO): Anmeldung des LOCADO-Teams im Verwaltungsbereich, nur für das Team. 8 Stunden.
  • locado:checkout:… (Session Storage, LOCADO, nur auf der Buchungsseite): deine Eingaben im Buchungsformular ohne Zahlungsdaten, der aktuelle Schritt und eine Kennung, damit eine Buchung nicht doppelt abgeschickt wird. Bis du den Tab schließt; deine Eingaben löschen wir nach der Buchung.
  • locado:order:… (Session Storage, LOCADO, nur auf Buchungs- und Bestätigungsseite): der Zugriffsschlüssel, mit dem die Bestätigungsseite den Stand deiner Buchung abfragt, deine Sprache und der Stand der Zahlungsfreigabe. Bis du den Tab schließt.
  • __stripe_mid und __stripe_sid (Cookies, Stripe, gesetzt auf der Buchungsseite): Betrugsvorbeugung bei der Zahlung (Abschnitt 12). Etwa 1 Jahr bzw. 30 Minuten. Stripe.js legt sie unter unserer Adresse ab; dein Browser schickt sie deshalb, solange sie bestehen, bei jedem Aufruf unserer Website mit. Unser Server wertet sie nicht aus. Im eingebetteten Zahlungsformular, das von Stripe kommt, kann Stripe weitere technisch notwendige Cookies setzen; dafür gilt die Datenschutzerklärung von Stripe.

Die Bot-Prüfung beim Absenden (Abschnitt 15) speichert nichts in deinem Browser.

Nur mit deiner Einwilligung

  • PostHog (Abschnitt 7), nur mit Einwilligung in „Analyse“: Cookie ph_…_posthog mit einer zufälligen Kennung und Einstellungen, 6 Monate; Local Storage ph_… mit denselben Angaben, ohne eigenes Ablaufdatum – wir löschen ihn, wenn du deine Einwilligung widerrufst oder unsere Website nach dem Ende deiner Einwilligung (nach 6 Monaten) wieder aufrufst, und du kannst ihn jederzeit in deinem Browser löschen; Session Storage ph_… für die laufende Sitzung, bis du den Tab schließt.
  • locado:conv:… (Session Storage, LOCADO, nur auf der Bestätigungsseite und nur mit Einwilligung in „Analyse“): merkt sich, dass der Buchungsabschluss schon gezählt wurde, damit er nicht doppelt zählt. Bis du den Tab schließt.
  • Google Maps (Abschnitt 8), nur nach Klick oder mit Einwilligung in „Externe Medien“: Beim Laden der Karte erhält Google deine IP-Adresse und kann Cookies setzen, etwa NID (Einstellungen und Statistiken von Google, bis 6 Monate). Welche Cookies das sind, bestimmt Google; mehr dazu in der Cookie-Übersicht von Google.

6. Einwilligungsverwaltung (Cookie-Banner)

Beim ersten Besuch fragt dich unser Cookie-Banner, ob wir Dienste nutzen dürfen, die eine Einwilligung brauchen. „Alle akzeptieren“ und „Ablehnen“ sind gleichwertig; unter „Einstellungen“ wählst du einzelne Kategorien. Vor deiner Einwilligung laden wir keinen dieser Dienste. Das Banner betreiben wir selbst (Software „CookieConsent“, von unserem Server geladen, ohne Drittanbieter). Deine Auswahl speichern wir nur im Cookie locado_consent in deinem Browser, nicht auf unserem Server.

Deine Auswahl kannst du jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite ändern und deine Einwilligung dort widerrufen. Nach einem Widerruf löschen wir die Cookies und Browser-Einträge der betroffenen Dienste und laden die Seite neu. Nach 6 Monaten und wenn wir neue Dienste einsetzen, fragen wir erneut.

Rechtsgrundlage für das Einwilligungs-Cookie ist § 25 Abs. 2 Nr. 2 TDDDG: Ohne das Cookie könnten wir uns deine Entscheidung nicht merken und müssten dich bei jedem Aufruf neu fragen. Deine Auswahl verarbeiten wir, um sie umzusetzen, also um Dienste nur mit deiner Einwilligung zu laden (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 25 Abs. 1 TDDDG).

Werbe- und Analysedienste von Google oder Meta (etwa Google Analytics, Google Ads, den Google Tag Manager oder das Meta-Pixel) setzen wir derzeit nicht ein. Sollte sich das ändern, ergänzen wir diese Datenschutzerklärung vorher, und das Banner fragt dich erneut.

7. Reichweitenmessung, Sitzungsaufzeichnungen und Fehlerberichte mit PostHog

Wenn du im Cookie-Banner in „Analyse“ einwilligst, nutzen wir PostHog, einen Dienst der PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA. PostHog speichert die Daten auf Servern in der EU (Frankfurt am Main). Ohne deine Einwilligung laden wir PostHog nicht und erheben keine Analysedaten. Auf der Buchungsseite, auf den Seiten, auf denen du dich mit einem Code einloggst, im Konto und im Verwaltungsbereich laden wir PostHog nie, auch nicht mit Einwilligung.

Was erfasst wird

  • Nutzung der Website: Seitenaufrufe und das Verlassen einer Seite, Klicks auf Links und Buttons sowie die Schritte von Suche, Buchung, Anfrage und Registrierung (etwa Apartment, Zeitraum, Zahl der Gäste, Thema einer Anfrage, dass ein Formular abgeschickt wurde; auf der Bestätigungsseite der Abschluss der Buchung mit dem Übernachtungspreis), dazu technische Angaben wie Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache und die Seite, von der du kommst. Deine IP-Adresse speichert PostHog nicht, und PostHog leitet aus ihr keinen ungefähren Ort ab.
  • Fehlerberichte: Tritt auf der Website ein technischer Fehler auf, übermittelt PostHog die Fehlermeldung, die betroffene Stelle im Programmcode, die Seite und deinen Browser.
  • Sitzungsaufzeichnungen: Auf den öffentlichen Seiten (etwa Startseite, Apartments, Kontakt) zeichnet PostHog auf, wie du die Seite nutzt: Aufbau der Seite, Mausbewegungen, Klicks, Scrollen und Fenstergröße. Alle Texte der Seite – auch Bildbeschreibungen, Beschriftungen und Hinweise von Formularfeldern – und alle Eingaben werden schon in deinem Browser durch Platzhalter gleicher Länge ersetzt; übertragen werden nur die Platzhalter. Erkennbar bleiben Aufbau und Gestaltung der Seite, Bilder und Linkziele. Konsolenmeldungen und Netzwerkanfragen werden nicht aufgezeichnet. Buchungs- und Bestätigungsseite werden nie aufgezeichnet.
  • Was wir vorher entfernen: Buchungsnummern, Kennungen von Zahlungen und E-Mail-Adressen entfernen wir aus allen Daten, bevor sie an PostHog gehen. Wir verknüpfen die Daten nicht mit deinem Namen oder deiner E-Mail-Adresse; PostHog erkennt deinen Browser nur an einer zufälligen Kennung wieder (Abschnitt 5).

Zweck: Wir möchten verstehen, welche Inhalte gefragt sind, wo die Buchung hakt und wo technische Fehler auftreten, damit wir die Website verbessern können.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ widerrufen. Dann beendet PostHog die Erfassung, und seine Daten werden von deinem Gerät gelöscht.

Empfänger und Drittland: PostHog verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Ein Zugriff aus den USA ist nicht ausgeschlossen; dafür gelten Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Die KI-Funktionen von PostHog haben wir abgeschaltet; an KI-Dienstleister von PostHog gehen keine Daten.

Speicherdauer: Sitzungsaufzeichnungen löscht PostHog nach 30 Tagen, die übrigen Analysedaten nach einem Jahr.

8. Karten (Google Maps)

Auf den Seiten zur Region und zu den Apartments zeigen wir eine Karte von Google Maps. Sie wird erst geladen, wenn du auf „Karte laden“ klickst oder im Cookie-Banner in „Externe Medien“ eingewilligt hast (auch über „Immer erlauben“ an der Karte). Vorher besteht keine Verbindung zu Google.

Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beim Laden erhält Google deine IP-Adresse, Angaben zu deinem Browser, die Seite unserer Website, auf der die Karte eingebunden ist, und den gezeigten Kartenausschnitt. Google kann dabei Cookies setzen oder auslesen (Abschnitt 5); bist du bei Google angemeldet, kann Google den Aufruf deinem Konto zuordnen. Für das Einbinden der Karte und die Übermittlung dieser Daten an Google beim Laden sind wir mit Google gemeinsam verantwortlich (Art. 26 DSGVO); was Google danach mit den Daten macht, verantwortet Google allein. Deine Rechte kannst du bei uns und bei Google geltend machen. Mehr dazu in der Datenschutzerklärung von Google.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du jederzeit über „Cookie-Einstellungen“ widerrufen kannst. Google kann die Daten auch an die Google LLC in den USA übermitteln. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission gilt (Art. 45 DSGVO).

9. Kontaktformular, E-Mail und Telefon

Über das Kontaktformular, die Anfrageformulare (etwa auf den Seiten „Für Unternehmen“ und „Länger bleiben“ und im Buchungsbereich), per E-Mail und telefonisch kannst du uns Fragen stellen.

Welche Daten: Pflicht sind Name, E-Mail-Adresse und deine Nachricht; freiwillig Telefonnummer, Firma, Thema, gewünschter Zeitraum und Zahl der Gäste. Das Formular übermittelt außerdem die Sprache und die Seite, von der du schreibst, sowie Angaben zur Spam-Erkennung (ein für Menschen unsichtbares Feld und die Zeit bis zum Absenden). Rufst du uns an, verarbeiten wir deine Telefonnummer, wenn dein Telefon sie übermittelt, und was du uns sagst, soweit wir es für deine Anfrage oder Buchung notieren.

Ablauf: Formularanfragen speichern wir nicht in einer Datenbank. Unser Server schickt sie als E-Mail über unseren Versanddienst (Abschnitt 16) an unser Postfach und setzt deine E-Mail-Adresse als Antwortadresse ein. Eine Eingangsbestätigung per E-Mail schicken wir nicht. Um massenhafte Anfragen zu verhindern, nehmen wir von einer IP-Adresse nur eine begrenzte Zahl von Anfragen an (Abschnitt 15).

Zweck und Rechtsgrundlage: Wir beantworten deine Anfrage. Betrifft sie eine Buchung oder einen möglichen Vertrag, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Angaben zur Gesundheit: Schreib uns Angaben zu deiner Gesundheit, etwa zur Barrierefreiheit oder zu Allergien, nur, wenn sie für deine Anfrage oder deinen Aufenthalt wichtig sind. Solche Angaben nutzen wir nur, um deine Anfrage zu beantworten und deinen Aufenthalt vorzubereiten. Rechtsgrundlage ist deine ausdrückliche Einwilligung, die in der freiwilligen Mitteilung liegt (Art. 9 Abs. 2 lit. a DSGVO); du kannst sie jederzeit widerrufen, dann löschen wir diese Angaben.

Speicherdauer: Anfragen liegen als E-Mail in unserem Postfach; wie lange wir E-Mails aufbewahren, steht in Abschnitt 16. Führt eine Anfrage zu einer Buchung, bewahren wir sie wie die Buchungsunterlagen auf (Abschnitt 11); E-Mails, die als Geschäftsbriefe aufzubewahren sind, 6 Jahre ab dem Ende des Kalenderjahres (§ 147 Abs. 1 Nr. 2 und 3, Abs. 3 AO).

Anfragen von Eigentümerinnen und Eigentümern (LOCADO Real Estate)

Über das Formular auf der Seite „LOCADO Real Estate“ kannst du uns eine Immobilie anbieten.

Welche Daten: Pflicht sind Name, E-Mail-Adresse, deine Rolle (etwa Eigentümerin, Verwaltung oder Projektentwicklung), Postleitzahl und Ort der Immobilie; freiwillig Anrede, Telefonnummer, Straße, Art der Immobilie, Wohnfläche, Zimmer, Möblierung, aktuelle Nutzung, verfügbar ab, Zustimmung der Eigentümergemeinschaft und deine Nachricht. Ablauf und Spam-Schutz wie beim Kontaktformular; Daten speichern wir nicht in einer Datenbank, sondern bekommen sie per E-Mail.

Zweck und Rechtsgrundlage: Beantwortung deiner Anfrage, Prüfung der Immobilie und Anbahnung eines Mietvertrags. Bist du Eigentümerin oder Eigentümer als Privatperson, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO; schreibst du als Ansprechperson eines Unternehmens, einer Verwaltung oder eines Projektentwicklers, unser berechtigtes Interesse an der Geschäftsanbahnung (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Kommt keine Zusammenarbeit zustande, bewahren wir deine Anfrage wie andere E-Mails ohne Aufbewahrungspflicht auf (Abschnitt 16); sonst gelten die gesetzlichen Aufbewahrungsfristen.

10. Kommunikation über WhatsApp Business

Für Fragen vor der Buchung, zur Anreise und während deines Aufenthalts erreichst du uns über WhatsApp Business unter +49 155 10603648. Die WhatsApp-Links auf unserer Website sind einfache Links; vor einem Klick werden keine Daten an WhatsApp übertragen.

Anbieter ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, ein Unternehmen der Meta-Gruppe. Schreibst du uns über WhatsApp, verarbeiten wir deine Telefonnummer, deinen Profilnamen und gegebenenfalls dein Profilbild, die Inhalte deiner Nachrichten und Anhänge sowie Zeitpunkte und Zustellstatus. WhatsApp verarbeitet zusätzlich Nutzungs- und Gerätedaten in eigener Verantwortung; dabei kann es zu Übermittlungen in die USA kommen, für die das EU-US Data Privacy Framework gilt. Mehr dazu in den Datenschutzhinweisen von WhatsApp.

Wir nutzen die App WhatsApp Business auf einem eigenen Geschäftshandy, nicht die WhatsApp Business Platform. Zugriff auf die Chats haben nur unsere Gesellschafter Moritz Gierschmann und Malcom Kochems. Für die Kontaktdaten unserer Gäste, die wir in der App nutzen, ist WhatsApp nach den Nutzungsbedingungen der App in unserem Auftrag tätig (Art. 28 DSGVO; WhatsApp Business Data Processing Terms). Hat die App Zugriff auf das Adressbuch des Geschäftshandys, gleicht WhatsApp die dort gespeicherten Telefonnummern regelmäßig mit seinen Servern ab, auch die von Kontakten, die WhatsApp nicht nutzen.

Zweck und Rechtsgrundlage: Wir nutzen die Nachrichten, um deine Fragen zu beantworten und deine Buchung und deinen Aufenthalt durchzuführen (Art. 6 Abs. 1 lit. b DSGVO). Bei allgemeinen Anfragen ohne Bezug zu einer Buchung stützen wir uns auf unser berechtigtes Interesse an einer schnellen Kommunikation (Art. 6 Abs. 1 lit. f DSGVO).

Freiwillig: Du musst WhatsApp nicht nutzen; du erreichst uns ebenso per E-Mail an info@locadostays.com.

Speicherdauer: Chats löschen wir spätestens 12 Monate nach deiner Abreise bzw. nach der letzten Nachricht einer Anfrage ohne Buchung, soweit keine Aufbewahrungspflicht besteht.

11. Buchung über unsere Website

Welche Daten wir verarbeiten

  • Angaben zu dir als buchender Person: Vor- und Nachname, E-Mail-Adresse, Telefonnummer und Land; deine Anschrift, wenn unsere Buchungsverwaltung sie verlangt (dann fragt das Formular danach); freiwillig deine ungefähre Ankunftszeit, dein Bettenwunsch (wie viele Personen in welchem Bett schlafen, ohne Namen) und eine Nachricht an uns. Für Angaben zur Gesundheit in deiner Nachricht gilt dasselbe wie bei Anfragen (Abschnitt 9).
  • Wenn du nicht selbst übernachtest: Vor- und Nachname und E-Mail-Adresse der reisenden Person, freiwillig ihre Telefonnummer und ihr Land.
  • Wenn du auf eine Firma buchst: Firma und Rechnungsanschrift, freiwillig USt-IdNr., Kostenstelle, Bestellnummer und eine eigene Rechnungs-E-Mail-Adresse.
  • Buchungsdaten: Apartment, Zeitraum, Zahl der Erwachsenen und Kinder, ob ein Haustier mitreist, die Preise mit Beherbergungsabgabe, Buchungsnummer, Stand der Buchung, der gewählte Tarif mit seinen Stornobedingungen, die Fassung unserer AGB und die Sprache, in der du gebucht hast (in ihr schicken wir dir die E-Mails zur Buchung).
  • Zahlungsdaten: Betrag, Stand der Zahlung, Zahlart, Kartenmarke und die letzten vier Ziffern deiner Karte, das Ergebnis der Sicherheitsabfrage deiner Bank (3-D Secure) und Kennungen der Zahlung bei Stripe. Deine vollständige Kartennummer und die Prüfziffer erhalten wir nicht (Abschnitt 12).
  • Pseudonyme Prüfwerte: Hashwerte deiner E-Mail-Adresse und IP-Adresse, mit denen wir Buchungsversuche begrenzen (Abschnitt 15), und ein Hashwert des Zugriffsschlüssels für die Bestätigungsseite.

Zwecke und Rechtsgrundlagen

  • Buchung durchführen (Art. 6 Abs. 1 lit. b DSGVO): Buchung annehmen und bestätigen, Zahlung abwickeln, dir Informationen zu deinem Aufenthalt schicken, Rechnungen ausstellen und deine Fragen zur Buchung beantworten.
  • Gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): Buchungs- und Rechnungsunterlagen aufbewahren (§ 147 AO, § 14b UStG), Meldeschein (Abschnitt 13) und Beherbergungsabgabe (Abschnitt 14).
  • Schutz und Nachweis (Art. 6 Abs. 1 lit. f DSGVO): Missbrauch und Zahlungsbetrug verhindern (Abschnitt 15) und unsere Ansprüche nachweisen können („Nachweis deiner Buchung“ unten).

Buchung für andere Personen und für Firmen

Gibst du Daten einer anderen reisenden Person an, haben wir Name, E-Mail-Adresse und gegebenenfalls Telefonnummer und Land dieser Person von dir erhalten. Wir verarbeiten sie, um den Aufenthalt durchzuführen (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Die reisende Person informieren wir selbst: Vor der Anreise bekommt sie von uns per E-Mail – über unseren E-Mail-Versanddienst oder über Smoobu (Abschnitt 13) – die Anreise-Informationen und einen Link auf diese Datenschutzerklärung.

Buchst du auf eine Firma, ist die Firma unsere Vertragspartnerin. Deine Daten als Ansprechperson verarbeiten wir auf Grundlage unseres berechtigten Interesses, den Vertrag mit der Firma durchzuführen (Art. 6 Abs. 1 lit. f DSGVO). Den Firmennamen übernehmen wir in die Buchungsübersicht, in unseren internen Hinweis in Smoobu und in die Rechnung; bei Einzelunternehmen kann er auf eine Person schließen lassen.

Bitte um eine Bewertung

Nach deinem Aufenthalt schicken wir dir einmal eine E-Mail, in der wir uns bedanken und dich um eine Bewertung bitten – nur, wenn du auf unserer Website gebucht und selbst übernachtet hast. Dafür nutzen wir deine E-Mail-Adresse und deinen Vornamen aus der Buchung und die Buchungsnummer. Rechtsgrundlage ist unser berechtigtes Interesse, Rückmeldungen zu unseren Aufenthalten zu bekommen und Bewertungen zu sammeln (Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 Abs. 3 UWG). Ob du bewertest, entscheidest du; die Bewertung schreibst du auf der Seite von Google, zu der der Button der E-Mail führt, dort gelten die Datenschutzhinweise von Google. Du kannst der Nutzung deiner E-Mail-Adresse für solche Bitten jederzeit widersprechen (Art. 21 Abs. 2 DSGVO, Abschnitt 19), etwa mit einer Antwort auf die E-Mail oder einer formlosen Nachricht an die Kontaktdaten in Abschnitt 1; dafür entstehen dir keine anderen als die Übermittlungskosten nach den Basistarifen. Deinen Widerspruch speichern wir als Hashwert deiner E-Mail-Adresse (nicht die Adresse selbst), damit du auch zu späteren Buchungen keine solche Bitte mehr bekommst, solange wir Bewertungsanfragen verschicken.

Nachweis deiner Buchung

Wenn du auf „Zahlungspflichtig buchen“ klickst, speichern wir den Text der Übersicht „Prüfen & buchen“, wie er dir angezeigt wurde, mit einer Prüfsumme, dazu den Zeitpunkt, die Fassung unserer AGB, die Kennung deines Browsers (User-Agent) und einen Hashwert deiner IP-Adresse. So können wir belegen, welche Bedingungen bei deiner Buchung galten, etwa wenn eine Zahlung bei deiner Bank angefochten wird (Rückbuchung). Rechtsgrundlage ist unser berechtigtes Interesse an der Durchsetzung und Verteidigung von Ansprüchen (Art. 6 Abs. 1 lit. f DSGVO). Der Text der Übersicht enthält keine Namen von Personen; bei einer Firmenbuchung enthält er den Firmennamen.

Speicherung im Browser

Damit deine Eingaben erhalten bleiben, wenn du etwa den Zeitraum änderst, speichert die Buchungsseite sie ohne Zahlungsdaten im Session Storage deines Browsers, ebenso den Zugriffsschlüssel für die Bestätigungsseite (Einzelheiten in Abschnitt 5). Das ist für die von dir gewünschte Buchung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. b DSGVO). Analyse- und Marketingdienste laden auf der Buchungsseite nicht, auch nicht mit Einwilligung.

Empfänger

Stripe für die Zahlung (Abschnitt 12), Smoobu für Buchungsverwaltung und Gästekommunikation (Abschnitt 13), Vercel als Hosting-Anbieter (Abschnitt 4), Neon für die Datenbank, Brevo für den E-Mail-Versand und IONOS für unser Postfach (Abschnitt 16) und, nur wenn sie Angaben zu einzelnen Gästen anfordert, die Stadt Königswinter für die Beherbergungsabgabe (Abschnitt 14).

Speicherdauer

  • Buchungs- und Rechnungsunterlagen: Name, E-Mail-Adresse, Land und – falls angegeben – Anschrift der buchenden Person, Name der reisenden Person, bei Firmenbuchungen die Rechnungsangaben, Buchungs- und Zahlungsdaten und der Text der Übersicht. Wir bewahren sie 8 Jahre ab dem Ende des Kalenderjahres auf, in dem die Abreise, die letzte Rechnung oder die letzte Zahlung bzw. Erstattung lag (§ 147 Abs. 1 Nr. 4, Abs. 3 AO; § 14b Abs. 1 UStG). Am 1. Januar danach anonymisieren wir die Buchung: Personenbezogene Angaben, Kartenangaben und Kennungen der Zahlung bei Stripe werden gelöscht; Apartment, Zeitraum und Beträge bleiben ohne Personenbezug.
  • Angaben ohne Aufbewahrungspflicht: Telefonnummer, ungefähre Ankunftszeit, Bettenwunsch und Nachricht, E-Mail-Adresse, Telefonnummer und Land der reisenden Person sowie Browser-Kennung und IP-Hashwert aus dem Nachweis: 180 Tage nach der Abreise; läuft dann noch eine Rückbuchung, bis zu deren Abschluss.
  • Hashwert des Zugriffsschlüssels für die Bestätigungsseite: 30 Tage nach der Abreise; danach führt der Link in den E-Mails nicht mehr zur Buchung.
  • Buchungen, die nicht zustande kommen (abgebrochen, abgelehnt oder abgelaufen): 30 Tage nach der letzten Änderung löschen wir alle personenbezogenen Angaben; übrig bleibt ein Datensatz ohne Personenbezug (Apartment, Zeitraum, Preis, Stand).
  • Protokoll des E-Mail-Versands in unserem System (ohne Empfängeradresse und Inhalt): 90 Tage nach dem Versand.

Für die Daten bei Stripe und Smoobu gelten die Angaben in Abschnitt 12 und Abschnitt 13.

12. Zahlungsabwicklung mit Stripe

Zahlungen auf unserer Website wickelt die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland („Stripe“) ab. Deine Kartendaten bzw. deine Freigabe über Apple Pay oder Google Pay gibst du direkt in ein Formular von Stripe ein, das in unsere Buchungsseite eingebettet ist; diese Daten erreichen unsere Server nicht. Von uns erhält Stripe deinen Namen, deine E-Mail-Adresse und deine Telefonnummer, den Betrag und eine Beschreibung der Buchung (Buchungsnummer, Apartment, Zeitraum). Stripe verarbeitet außerdem deine IP-Adresse und Informationen zu deinem Gerät und Browser. Ein Kundenkonto bei Stripe legen wir nicht an, und deine Karte wird nicht für spätere Zahlungen gespeichert.

Rollen: Für die Abwicklung der Zahlung ist Stripe unser Auftragsverarbeiter (Art. 28 DSGVO). Für eigene Zwecke – vor allem Betrugserkennung und -vermeidung, gesetzliche Pflichten (etwa zur Geldwäscheprävention) und die Zusammenarbeit mit Banken und Kartennetzwerken – ist Stripe selbst verantwortlich. Mehr dazu in der Datenschutzerklärung von Stripe.

Stripe.js auf der Buchungsseite: Damit Stripe Betrug erkennen kann, lädt unsere Buchungsseite – und nur diese – schon beim Aufruf, also vor dem Zahlungsschritt, das Skript Stripe.js mit den Betrugssignalen von Stripe. Es erfasst Merkmale deines Geräts und deiner Nutzung der Buchungsseite (etwa Browser- und Bildschirmeigenschaften, Verweildauer, Mausbewegungen), überträgt sie an Stripe und setzt die Cookies __stripe_mid und __stripe_sid (Abschnitt 5). Stripe erkennt Kartenmissbrauch auch daran, wie die ganze Buchung abläuft. Zur Betrugsabwehr kann Stripe.js außerdem den Dienst hCaptcha laden, den Stripe von der Intuition Machines, Inc., USA, als eigenem Dienstleister bezieht; an sie können dabei Merkmale deines Browsers und bestimmte gehashte Kennungen gehen. Dafür ist Stripe im Rahmen seiner eigenen Betrugsabwehr verantwortlich.

Rechtsgrundlagen: Abwicklung der Zahlung: Art. 6 Abs. 1 lit. b DSGVO. Betrugserkennung: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse und das von Stripe an sicheren Zahlungen und an der Abwehr von Kartenmissbrauch). Das Laden von Stripe.js und das Speichern und Auslesen der Stripe-Cookies sind für die sichere Abwicklung der von dir gewünschten Buchung mit Zahlung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Übermittlung in die USA: Stripe kann Daten an die Stripe, Inc. und verbundene Unternehmen in den USA übermitteln. Dafür gelten das EU-US Data Privacy Framework und Standardvertragsklauseln der EU-Kommission.

Apple Pay und Google Pay: Nutzt du eine Wallet, erhalten Apple (Apple Distribution International Ltd., Irland) bzw. Google (Google Ireland Limited, Irland) die Angaben zu deiner Zahlung als eigene Verantwortliche; es gelten ihre Datenschutzbestimmungen.

Speicherdauer bei Stripe: Stripe speichert die Daten, solange es für die genannten Zwecke und nach den für Stripe geltenden gesetzlichen Pflichten erforderlich ist. Zur automatisierten Prüfung von Zahlungen siehe Abschnitt 20.

13. Buchungsverwaltung mit Smoobu und Meldeschein

Unsere Apartments und Buchungen verwalten wir mit der Software der Smoobu GmbH, Pappelallee 78/79, 10437 Berlin („Smoobu“). Smoobu verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO); welche Unterauftragsverarbeiter Smoobu dafür einsetzt, teilen wir dir auf Anfrage mit.

Was Smoobu von uns erhält: Vor- und Nachname, E-Mail-Adresse, Telefonnummer und Land der reisenden Person (bei einer Buchung für dich selbst also deine), deine Anschrift, wenn du selbst übernachtest und sie angegeben hast, An- und Abreisetag, Zahl der Erwachsenen und Kinder, die Preisposten, den Stand der Zahlung und die Buchungsnummer. Dazu kommt ein interner Hinweis für unser Team: der gewählte Tarif, ob ein Haustier mitreist, ungefähre Ankunftszeit, Bettenwunsch, deine Nachricht, ob eine Firmenrechnung gewünscht ist (mit Firmenname) und, wenn du für andere buchst, dein Name als buchende Person.

Wofür: Smoobu führt unseren Belegungskalender; über Smoobu kommunizieren wir rund um den Aufenthalt. Die Anreise-Informationen mit den Zugangscodes und unsere weiteren Nachrichten zum Aufenthalt schicken wir dir bei einer Buchung über unsere Website per E-Mail – über unseren E-Mail-Versanddienst (Abschnitt 16) oder über Smoobu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Abgleich mit Buchungsplattformen: Damit ein Apartment nicht doppelt vergeben wird, gleicht Smoobu die Belegung mit Airbnb und Booking.com ab; dabei wird nur der belegte Zeitraum übermittelt, keine Angaben zu dir. Unser Server liest außerdem regelmäßig die Buchungen in Smoobu, auch solche, die über Airbnb oder Booking.com zustande gekommen sind, um Verfügbarkeit und Buchungsstand abzugleichen. Angaben zu Gästen von Plattformbuchungen verarbeiten wir dabei nur kurz im Arbeitsspeicher und speichern sie nicht. Rechtsgrundlage ist unser berechtigtes Interesse, Doppelbuchungen und Fehler im Buchungsstand zu vermeiden (Art. 6 Abs. 1 lit. f DSGVO).

Meldeschein: Als Beherbergungsbetrieb müssen wir nur für Gäste ohne deutsche Staatsangehörigkeit einen Meldeschein führen (§ 29 Abs. 2, § 30 BMG). Die Angaben dafür erfassen wir bei der Anreise: Datum der Ankunft und der voraussichtlichen Abreise, Familienname, Vornamen, Geburtsdatum, Staatsangehörigkeiten, Anschrift, Zahl der ausländischen Mitreisenden und ihre Staatsangehörigkeit sowie die Seriennummer des Passes oder Passersatzpapiers (§ 30 Abs. 2 BMG). Wie genau wir sie erfassen (auf Papier oder digital), richten wir gerade ein; wir sagen es dir vor deiner Anreise. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. §§ 29, 30 BMG. Gäste mit deutscher Staatsangehörigkeit müssen keinen Meldeschein ausfüllen; Kopien oder Fotos von Ausweisen verlangen wir nicht. Meldescheine bzw. elektronisch erfasste Meldedaten bewahren wir ab dem Tag der Abreise ein Jahr auf und vernichten bzw. löschen sie spätestens drei Monate nach Ablauf dieses Jahres (§ 30 Abs. 4 BMG); auf Verlangen müssen wir sie den zuständigen Behörden vorlegen bzw. übermitteln.

Zugang zum Apartment (Nuki): Ins Apartment kommst du über eine Schlüsselbox und ein Smart Lock der Nuki Home Solutions GmbH, Münzgrabenstraße 92/4, 8010 Graz, Österreich („Nuki“). Die Zugangscodes werden automatisch erzeugt und gelten nur für die Zeit deines Aufenthalts. Sobald wir den persönlichen Türcode für Buchungen über unsere Website selbst anlegen, geschieht das über die Schnittstelle von Nuki: Nuki erhält von uns dafür nur die Buchungsnummer, den Code und den Zeitraum, in dem er gilt – keinen Namen und keine Kontaktdaten. Wir speichern den Code dann verschlüsselt, schicken ihn mit den Anreise-Informationen und löschen ihn am Schloss nach deinem Aufenthalt bzw. nach einer Stornierung, aus unserer Datenbank 30 Tage nach der Abreise. Bis dahin und bei Buchungen über Airbnb oder Booking.com kann der Code über die Verbindung von Smoobu mit Nuki entstehen; dabei kann Nuki auch den Namen der reisenden Person erhalten. Das Smart Lock protokolliert, wann die Tür mit welchem Zugang geöffnet oder verschlossen wird. Das Protokoll speichert Nuki nach eigenen Vorgaben; bei uns können es nur unsere Gesellschafter Moritz Gierschmann und Malcom Kochems einsehen. Rechtsgrundlage ist für den Zugang Art. 6 Abs. 1 lit. b DSGVO, für das Protokoll unser berechtigtes Interesse an der Sicherheit des Apartments (Art. 6 Abs. 1 lit. f DSGVO).

Reinigung: Die Apartments reinigen wir selbst bzw. eigene Reinigungskräfte; externe Reinigungsdienste setzen wir nicht ein. Wer reinigt, hat keinen Zugang zu Smoobu und erfährt per Nachricht nur An- und Abreise, die Zahl der Gäste und Sonderwünsche.

Preisgestaltung (PriceLabs): Die Preise unseres Apartments am Freyenberger Weg legen wir mit dem Dienst PriceLabs (USA) fest, den wir über Smoobu angebunden haben. PriceLabs erhält zu den Buchungen nur Reisedaten, Umsatz, Zahl der Gäste, Buchungskanal und Provision; Namen und Kontaktdaten von Gästen erhält PriceLabs nicht. Rechtsgrundlage ist unser berechtigtes Interesse an marktgerechten Preisen (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer bei Smoobu: Die Buchung selbst (Name, Zeitraum, Preise, Zahlungsstand, Buchungsnummer) bewahren wir in Smoobu so lange auf wie unsere übrigen Buchungsunterlagen (Abschnitt 11). Telefonnummer, E-Mail-Adresse und Anschrift sowie den internen Hinweis löschen wir dort spätestens 12 Monate nach der Abreise. Für Meldescheine gilt die Frist oben.

14. Rechnungen, Buchhaltung und Beherbergungsabgabe

Rechnungen: Rechnungen erstellen wir derzeit selbst als PDF und schicken sie dir per E-Mail. Dafür nutzen wir Name bzw. Firma, Rechnungsanschrift, gegebenenfalls USt-IdNr., Kostenstelle und Bestellnummer, die Leistung und die Beträge. Nutzen wir dafür künftig ein Rechnungsprogramm (geplant ist Lexware Office), ergänzen wir diese Erklärung vorher. Eine Steuerberatung haben wir derzeit nicht beauftragt. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO i. V. m. § 14b UStG und § 147 AO; Rechnungen und Buchungsbelege bewahren wir 8 Jahre ab dem Ende des Kalenderjahres auf, in dem sie entstanden sind.

Beherbergungsabgabe: Für Übernachtungen in Königswinter erhebt die Stadt Königswinter eine Beherbergungsabgabe. Wir berechnen sie bei der Buchung, weisen sie im Preis aus und führen sie an die Stadt ab. Dafür melden wir der Stadt je Anmeldezeitraum nur Summen, also die Zahl der Übernachtungen und die Umsätze. Angaben zu einzelnen Gästen übermitteln wir nur, wenn die Stadt sie anfordert, etwa als Nachweis für Übernachtungen auf Geschäftsreisen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. der Satzung der Stadt Königswinter.

15. Schutz vor Missbrauch

Bot-Prüfung (ALTCHA): Damit niemand unsere Formulare automatisiert missbraucht, etwa um gestohlene Kartendaten auszuprobieren, löst dein Browser beim Absenden einer Buchung, bei der Registrierung für ein Konto und bei wiederholt angeforderten Anmeldecodes eine kleine Rechenaufgabe („ALTCHA“). Die Aufgabe stellt und prüft unser eigener Server; es werden keine Daten an Dritte übermittelt, keine Cookies gesetzt und keine Merkmale deines Geräts ausgewertet. Gelöste Aufgaben speichern wir, damit sie nicht wiederverwendet werden können, bis zu ihrem Ablauf nach 10 Minuten; unser täglicher Löschlauf entfernt sie spätestens einen Tag danach. Sie enthalten keine personenbezogenen Daten.

Begrenzung von Anfragen: Wir begrenzen die Zahl der Buchungsversuche je E-Mail-Adresse und je IP-Adresse und brechen eine Zahlung nach mehreren Fehlversuchen ab. Zum Zählen nutzen wir nur Hashwerte, die wir mit der Buchung speichern: mit einem geheimen Schlüssel gebildete Pseudonyme, aus denen sich die Adresse nicht zurückrechnen lässt. Deine IP-Adresse speichern wir dafür nicht im Klartext; deine E-Mail-Adresse steht ohnehin in der Buchung, weil wir sie für die Buchung brauchen (Abschnitt 11). Fehlgeschlagene Anmeldeversuche speichern wir 30 Tage mit einem Hashwert der E-Mail-Adresse. Für Formulare, Anmeldung und Preisabfragen begrenzt unser Server außerdem die Zahl der Anfragen je IP-Adresse; dafür hält er deine IP-Adresse nur im Arbeitsspeicher, nicht in einer Datenbank, bis neuere Einträge sie verdrängen oder der Server neu startet. Wird ein Buchungsversuch deshalb abgelehnt, kannst du verlangen, dass ein Mensch den Fall prüft (Abschnitt 20).

Rechtsgrundlage: unser berechtigtes Interesse am Schutz vor Missbrauch und Zahlungsbetrug (Art. 6 Abs. 1 lit. f DSGVO). Soweit die Rechenaufgabe Informationen auf deinem Gerät nutzt, ist das für die von dir gewünschte Buchung oder Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

16. E-Mail-Versand, Postfächer und Datenbank

E-Mail-Versand (Brevo)

E-Mails unserer Website verschicken wir über den Dienst Brevo der Brevo GmbH, Köpenicker Straße 126, 10179 Berlin („Brevo“): Bestätigungen und andere Nachrichten zu deiner Buchung und deinem Aufenthalt (etwa die Anreise-Informationen und die Bitte um eine Bewertung), Anmelde- und Bestätigungscodes, E-Mails zu deinem Konto und die Weiterleitung deiner Formularanfragen an unser Postfach. Brevo verarbeitet dabei Empfängeradresse, Name, Inhalt der Nachricht und technische Versanddaten (Zeitpunkt, Zustellstatus) in Rechenzentren in der EU, nur in unserem Auftrag (Art. 28 DSGVO; der Auftragsverarbeitungsvertrag ist Teil der Nutzungsbedingungen von Brevo). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Anfragen ohne Vertragsbezug lit. f.

Brevo fügt unseren E-Mails ein unsichtbares Zählpixel hinzu und leitet Links darin über die Adresse r.mail.locadostays.com zu Brevo um, bevor sie dich zum Ziel führen; abschalten lässt sich das bei Brevo nicht. Öffnungen und Klicks erfasst Brevo dabei nur anonym, ohne sie deiner E-Mail-Adresse zuzuordnen. Wir werten diese Angaben nicht aus. Brevo speichert die Versandprotokolle 1 Monat lang und löscht sie danach automatisch; Inhalte der E-Mails (Vorschauen) speichert Brevo nicht. In unserem eigenen System vermerken wir nur, welche E-Mail wann verschickt wurde, ohne Empfängeradresse und Inhalt, und löschen diese Einträge 90 Tage nach dem Versand.

Unsere E-Mails zeigen unser Logo als Bild, das dein E-Mail-Programm – sofern es Bilder lädt – von unserer Website abruft; dabei fallen die Server-Logs aus Abschnitt 4 an. Die Adresse dieses Bildes ist für alle Empfängerinnen und Empfänger gleich; an ihm erkennen wir also nicht, wer eine E-Mail geöffnet hat.

E-Mail-Postfächer

Schreibst du uns eine E-Mail oder antworten wir dir, liegen die Nachrichten in unserem Postfach info@locadostays.com bei der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur („IONOS“), die sie in unserem Auftrag speichert (Art. 28 DSGVO). Wir rufen das Postfach auch auf dem Smartphone ab.

Wie lange wir E-Mails aufbewahren: Anfragen ohne Buchung (auch von Eigentümerinnen und Eigentümern, Abschnitt 9) und Nachrichten rund um den Aufenthalt, die keine Geschäftsbriefe sind, löschen wir spätestens 12 Monate nach der letzten Nachricht bzw. nach deiner Abreise. E-Mails zu Buchungen und andere Geschäftsbriefe bewahren wir 6 Jahre auf, Rechnungen 8 Jahre, jeweils ab dem Ende des Kalenderjahres (§ 147 Abs. 1 und 3 AO).

Datenbank (Neon)

Buchungen, Zahlungsstände, Anmeldedaten und die übrigen in dieser Erklärung genannten Daten, die wir speichern, liegen in einer Datenbank von Neon in einem Rechenzentrum von Amazon Web Services in Frankfurt am Main. Vertragspartner ist die Databricks, Inc., 160 Spear Street, 15th Floor, San Francisco, CA 94105, USA, die Muttergesellschaft der Neon, LLC. Neon verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Ein Zugriff aus den USA, etwa für Wartung und Support, ist nicht ausgeschlossen; dafür gelten Standardvertragsklauseln der EU-Kommission. Gelöschte Daten bleiben in den Sicherungen der Datenbank noch 7 Tage wiederherstellbar und sind danach endgültig gelöscht. Die Rechtsgrundlagen folgen der jeweiligen Verarbeitung.

Wartung und Betrieb der Website

Die Website hat die Agentur NEWAVE Forward (Inhaber Til Kams, Malplaquetstraße 43, 13347 Berlin) für uns gebaut; sie wartet und betreibt sie in unserem Auftrag (Art. 28 DSGVO). Dafür hat sie Zugriff auf den Verwaltungsbereich, die Datenbank und die Dienste aus diesem Abschnitt und aus den Abschnitten 4, 7, 12 und 13, soweit das für Wartung und Fehlersuche nötig ist, und erhält technische Alarme unseres Systems (mit Buchungsnummern bzw. Kennungen, ohne Namen und Nachrichten). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Als Unterauftragsverarbeiter setzt die Agentur ein: die Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland, für ihr E-Mail-Postfach (Google Workspace), in dem die technischen Alarme ankommen; und die Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, Irland, für den KI-Assistenten Claude, mit dem sie programmiert, die Website wartet und Fehler sucht. Dabei können auch personenbezogene Daten aus unseren Systemen verarbeitet werden, etwa Angaben zu einer Buchung, wenn die Agentur einen Fehler untersucht. Anthropic nutzt diese Daten nicht zum Training seiner KI-Modelle und löscht sie in der Regel nach 30 Tagen. Beide Anbieter können Daten in die USA übermitteln: Google auf Grundlage des EU-US Data Privacy Framework, Anthropic auf Grundlage von Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

17. Anmeldung mit Code

Für das Konto auf dieser Website und für das LOCADO-Team im Verwaltungsbereich gibt es eine eigene Anmeldung ohne Passwort: Du gibst deine E-Mail-Adresse ein, wir schicken dir einen 6-stelligen Code, und du gibst ihn auf derselben Seite ein. Der Code gilt 15 Minuten und nur einmal; Links zur Anmeldung verschicken wir nicht. An Adressen, zu denen es kein Konto gibt, schicken wir keine E-Mail.

Welche Daten: deine E-Mail-Adresse (im Klartext, damit wir dir schreiben können), den Code mit einer zugehörigen Kennung, die Sprache und Zielseite der Anmeldung, die Zahl der Versuche, Sitzungen (Beginn, letzte Nutzung, Ablauf, Prüfsumme der Browser-Kennung) und fehlgeschlagene Versuche (nur mit einem Hashwert der E-Mail-Adresse). Code und Kennung speichern wir als Prüfsumme; bis du den Code einlöst, liegen sie zusätzlich verschlüsselt bei uns, damit unser E-Mail-System dir den Code schicken kann. Diese verschlüsselte Fassung löschen wir, sobald du den Code einlöst oder nach zu vielen Fehlversuchen.

Cookies: Für die Anmeldung setzen wir die technisch notwendigen Cookies __Host-locado_preauth, __Host-locado_session und __Host-locado_member, für das Team __Host-locado_admin; den Vornamen für den Seitenkopf halten wir im Session Storage unter locado:member:name. Einzelheiten und Laufzeiten in Abschnitt 5. Auf den Seiten, auf denen du dich einloggst, und im Konto laden wir keine Analyse- oder Marketingdienste, auch nicht mit Einwilligung.

Zweck und Rechtsgrundlage: Anmeldung im Konto: Art. 6 Abs. 1 lit. b DSGVO. Anmeldung des Teams und Schutz vor Missbrauch: Art. 6 Abs. 1 lit. f DSGVO. Die Cookies sind für die von dir gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Speicherdauer: Anmelde- und Bestätigungscodes 30 Tage nach ihrem Ablauf, Sitzungen 30 Tage nach ihrem Ende, fehlgeschlagene Versuche 30 Tage.

LOCADO Regular

Dieser Abschnitt gilt, wenn du dich für unser Mitgliederprogramm LOCADO Regular anmeldest oder Mitglied bist. Verantwortlich ist LOCADO (Abschnitt 1).

Welche Daten wir verarbeiten

  • Anmeldung: E-Mail-Adresse, Vor- und Nachname, Sprache. Als Nachweis deiner Zustimmung zu den Teilnahmebedingungen: die Fassung der Bedingungen, Prüfsummen des Bedingungstexts und des Textes am Häkchen (mit ihm bestätigst du auch, dass du mindestens 18 Jahre alt bist), wo du dich angemeldet hast (Formular oder Buchung, dann mit Buchungsnummer) sowie Zeitpunkt, IP-Adresse (vollständig) und Browser-Kennung bei der Anmeldung und bei der Bestätigung.
  • Konto: Stand und Beginn deiner Mitgliedschaft, deine Stufe mit Zeitraum, die Zahl gezählter Aufenthalte und Nächte, deine Einstellung zur automatischen Zuordnung, Zeitpunkt deiner letzten Anmeldung und deiner letzten Aktivität im Konto und die Sprache für unsere E-Mails; freiwillig Telefonnummer, Land, Anschrift und Rechnungsdaten (Firma, Rechnungsanschrift, Rechnungs-E-Mail-Adresse, USt-IdNr., Kostenstelle, Bestellnummer); ein Verlauf wichtiger Ereignisse (etwa Beitritt, Stufenwechsel, Zuordnung eines Aufenthalts, Wechsel der E-Mail-Sprache, Datenexport) ohne Freitexte.
  • Sprache für E-Mails: Sie folgt der Seite, auf der du zuletzt etwas erledigt hast. Sie wechselt, wenn du dich auf einer Seite in der anderen Sprache im Konto anmeldest, als angemeldetes Mitglied eine Buchung absendest (auch für andere), einen Wunsch sendest oder zurückziehst, dein Profil speicherst oder die Mitgliedschaft beendest. Im Profil kannst du sie selbst wählen. Jeden Wechsel vermerken wir mit Zeitpunkt und Anlass im Verlauf.
  • Aufenthalte: zu deinen Direktbuchungen, die deinem Konto zugeordnet sind: Buchungsnummer in Smoobu, Apartment, Buchungskanal, An- und Abreise, Zahl der Nächte, Buchungszeitpunkt, Stand (bevorstehend, abgeschlossen, storniert), die in Smoobu eingetragenen Check-in- und Check-out-Zeiten, wie der Aufenthalt zugeordnet wurde, ob bzw. warum er nicht zählt, und ein Hashwert des Gastnamens, damit wir erkennen, ob unter einer E-Mail-Adresse verschiedene Personen buchen.
  • Vorschläge zur Zuordnung: Buchungen, die wir nicht automatisch zuordnen (siehe unten), und Aufenthalte, die du uns meldest, sieht unser Team als Vorschlag: Buchungsnummer in Smoobu, Zeitraum, wie der Vorschlag entstand, und die Entscheidung unseres Teams.
  • Wünsche zu früherem Check-in oder späterem Check-out: Art und Uhrzeit, deine Notiz an uns, deine Stufe am Tag des Wunsches, das Ergebnis unserer Prüfung (ob am selben Tag andere Gäste an- oder abreisen), unsere Entscheidung und die Zeitpunkte.
  • Anmeldung im Konto: wie oben in diesem Abschnitt 17 beschrieben.

Woher die Daten kommen: von dir; aus Smoobu, unserer Buchungsverwaltung (deine Direktbuchungen); aus unserem Buchungssystem, wenn du auf unserer Website buchst.

Zwecke und Rechtsgrundlagen

  • Durchführung deiner Mitgliedschaft (Art. 6 Abs. 1 lit. b DSGVO): Konto und Anmeldung, Zuordnung deiner Direktaufenthalte (auch automatisch, siehe unten), Berechnung deiner Stufe, Bearbeitung deiner Wünsche, E-Mails zur Mitgliedschaft (Bestätigung, Anmeldecodes, Stufe, Wünsche, Ende) und deine gespeicherten Angaben für die nächste Buchung.
  • Sicherheit und Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO): Wir begrenzen Anmeldungen und Anmeldeversuche und lassen deinen Browser eine kleine Rechenaufgabe lösen (Abschnitt 15). Ausschlüsse und Sperren gelten nach dem Ende einer Mitgliedschaft weiter (§ 10 der Teilnahmebedingungen). Unser berechtigtes Interesse ist ein faires Programm ohne Missbrauch.
  • Nachweis deiner Zustimmung (Art. 6 Abs. 1 lit. f DSGVO): Wir müssen belegen können, wer wann welcher Fassung der Teilnahmebedingungen zugestimmt hat.
  • Gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): nur für Buchungs- und Rechnungsunterlagen (Abschnitt 11); für die Mitgliedschaft selbst gibt es keine Aufbewahrungspflicht.

So ordnen wir Direktbuchungen zu: Wir ordnen eine Buchung deinem Konto zu, wenn du sie angemeldet für dich selbst auf unserer Website buchst, oder automatisch, wenn E-Mail-Adresse und Nachname der reisenden Person mit deinem Konto übereinstimmen. Dafür gleichen wir nur Direktbuchungen ab; Buchungen über Plattformen wie Airbnb oder Booking.com filtern wir vor jedem Abgleich heraus, gleichen sie nicht ab und speichern sie nicht. Berücksichtigt werden auch Buchungen vor deiner Anmeldung, wenn die Anreise am oder nach dem Programmstart am 28. Oktober 2026 lag. Bei Sammeladressen (etwa info@ oder reise@), bei E-Mail-Adressen mit Buchungen für verschiedene Personen oder wenn der Nachname nicht passt, ordnen wir nicht automatisch zu; solche Fälle sieht nur unser Team als Vorschlag, prüft sie und ordnet erst danach zu.

Automatische Zuordnung abschalten: In deinem Konto kannst du die automatische Zuordnung jederzeit abschalten (§ 5 Abs. 3 der Teilnahmebedingungen). Dann ordnen wir Aufenthalte nur noch zu, wenn du angemeldet für dich selbst buchst oder uns einen Aufenthalt meldest. Gegen Verarbeitungen auf Grundlage unseres berechtigten Interesses kannst du außerdem nach Art. 21 DSGVO widersprechen (Abschnitt 19).

Keine automatisierte Entscheidung: Deine Stufe berechnen wir automatisch nach den festen Regeln der Teilnahmebedingungen. Sie bestimmt nur, welche früheren oder späteren Zeiten du dir wünschen kannst; über jeden Wunsch entscheidet ein Mensch aus unserem Team. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Hältst du eine Berechnung für falsch, prüfen wir sie auf deine Nachricht hin.

Smoobu: Smoobu ist auch für das Programm unser Auftragsverarbeiter (Abschnitt 13). Wir lesen dort deine Direktbuchungen, um sie zuzuordnen. Zu jedem Wunsch hinterlegen wir an deiner Buchung in Smoobu einen internen Hinweis für unser Team (Art des Wunsches, Uhrzeit, Stufe, Frist), ohne deine Notiz; Gäste sehen ihn nicht. Um zu prüfen, ob am Tag deines Wunsches andere Gäste an- oder abreisen, sehen wir uns die Belegung des Apartments an; davon speichern wir nichts.

E-Mails: E-Mails zur Mitgliedschaft schicken wir von konto@locadostays.com über denselben Versanddienst wie unsere Buchungs-E-Mails (Abschnitt 16), in der Sprache deines Kontos. Sie enthalten keine Werbung. Mit der Anmeldung zu LOCADO Regular willigst du nicht in Werbe-E-Mails oder einen Newsletter ein; dafür bräuchten wir deine gesonderte Einwilligung mit Bestätigung deiner E-Mail-Adresse (Double-Opt-in), die du jederzeit widerrufen könntest (Abschnitt 3).

Empfänger: Vercel (Hosting und Serverfunktionen), Neon (Datenbank in Frankfurt am Main), Brevo (E-Mail-Versand), Smoobu (Buchungsverwaltung) und die Agentur NEWAVE Forward (Wartung und Betrieb, Abschnitt 16), alle als Auftragsverarbeiter. Unser Zahlungsdienstleister Stripe erhält keine Daten zu deiner Mitgliedschaft. Zu Übermittlungen in die USA siehe Abschnitt 18.

Speicherdauer

  • Nicht bestätigte Anmeldung, auch der Nachweis: 48 Stunden.
  • Konto mit Profil- und Rechnungsdaten, Aufenthalten, Wünschen und Verlauf: bis zum Ende der Mitgliedschaft; danach löschen wir sie unverzüglich, spätestens nach zwei Tagen.
  • Wünsche und Verlauf: auch während der Mitgliedschaft höchstens 24 Monate nach dem Aufenthalt bzw. Ereignis; den Eintrag zu deiner geltenden Stufe behalten wir, solange diese Stufe gilt.
  • Vorschläge zur Zuordnung: von unserem Team abgelehnte automatische Vorschläge 30 Tage nach der Entscheidung; übrige entschiedene Vorschläge und deine Meldungen 24 Monate nach der Entscheidung; Vorschläge, über die unser Team nicht entschieden hat, 3 Monate nach der Abreise der Buchung.
  • Nachweis deiner Zustimmung (Fassung, Prüfsummen, Zeitpunkte, IP-Adresse, Browser-Kennung): Dauer der Mitgliedschaft und 3 Jahre nach ihrem Ende (regelmäßige Verjährungsfrist, § 195 BGB); nach dem Ende nur noch mit einem Hashwert deiner E-Mail-Adresse statt der Adresse.
  • IP-Adresse und Browser-Kennung zum Häkchen bei einer Buchung: bis zur Übernahme in den Nachweis; kommt die Buchung nicht zustande, 30 Tage.
  • Ausschluss einzelner Aufenthalte (Hashwert der E-Mail-Adresse, Buchungsnummer in Smoobu, Grund): 48 Monate nach der Abreise.
  • Sperre einer neuen Anmeldung (Hashwert der E-Mail-Adresse): bis zu ihrem Ablauf, höchstens 3 Jahre.
  • Sitzungen, Anmelde- und Bestätigungscodes, fehlgeschlagene Codeeingaben und Versandprotokolle: wie in Abschnitt 16 und oben in Abschnitt 17.

Wegen Inaktivität löschen wir dein Konto nicht: Es enthält nur, was du selbst angegeben hast und was zu deinen Aufenthalten gehört, Wünsche und Verlauf löschen wir unabhängig davon nach 24 Monaten, und deine Stufe soll dir auch nach einer längeren Pause erhalten bleiben. Du kannst die Mitgliedschaft jederzeit beenden; dann löschen wir dein Konto wie oben beschrieben.

Deine Rechte im Konto: In deinem Konto kannst du deine Daten als Datei herunterladen (Art. 15 und 20 DSGVO). Automatische Zuordnungsvorschläge, die nur unser Team sieht, nennen wir dort nur als Anzahl, weil sie Buchungen anderer Personen betreffen können. Deine Angaben änderst du im Profil (Art. 16 DSGVO), über „Mitgliedschaft beenden und Konto löschen“ beendest du die Mitgliedschaft und löschst dein Konto (Art. 17 DSGVO), und die automatische Zuordnung schaltest du dort ab. Deine E-Mail-Adresse kannst du derzeit nicht selbst ändern: Beende die Mitgliedschaft und melde dich mit der neuen Adresse neu an; frühere Direktaufenthalte ordnen wir dir auf Wunsch wieder zu. Alle weiteren Rechte stehen in Abschnitt 19.

18. Empfänger und Übermittlung in Drittländer

Wir geben personenbezogene Daten nur weiter, wenn das für die genannten Zwecke nötig ist, ein Gesetz es verlangt oder du eingewilligt hast. Diese Dienstleister und Stellen erhalten Daten:

  • Vercel Inc., USA – Hosting und Serverfunktionen (Abschnitt 4); Auftragsverarbeiter; USA: EU-US Data Privacy Framework und Standardvertragsklauseln.
  • Databricks, Inc. (Neon), USA, Rechenzentrum in Frankfurt am Main – Datenbank (Abschnitt 16); Auftragsverarbeiter; Zugriff aus den USA möglich: Standardvertragsklauseln.
  • Brevo GmbH, Deutschland – E-Mail-Versand (Abschnitt 16); Auftragsverarbeiter; Verarbeitung in der EU.
  • IONOS SE, Deutschland – E-Mail-Postfach (Abschnitt 16); Auftragsverarbeiter.
  • Stripe Payments Europe, Limited, Irland, mit der Stripe, Inc., USA – Zahlung (Abschnitt 12); Auftragsverarbeiter, für Betrugsabwehr und eigene gesetzliche Pflichten selbst verantwortlich; für die Betrugsabwehr kann Stripe.js den Dienst hCaptcha der Intuition Machines, Inc., USA, laden (Dienstleister von Stripe); USA: EU-US Data Privacy Framework und Standardvertragsklauseln.
  • Apple Distribution International Ltd. und Google Ireland Limited, Irland – nur wenn du mit Apple Pay bzw. Google Pay zahlst (Abschnitt 12); selbst verantwortlich.
  • Smoobu GmbH, Deutschland – Buchungsverwaltung, Gästekommunikation (Abschnitt 13); Auftragsverarbeiter.
  • Nuki Home Solutions GmbH, Österreich – Smart Lock mit Zugangscodes und Zugangsprotokoll; sobald wir die Türcodes für Buchungen über unsere Website selbst anlegen, von uns nur Buchungsnummer, Türcode und Gültigkeitszeitraum; über die Verbindung mit Smoobu gegebenenfalls auch den Namen der reisenden Person (Abschnitt 13).
  • PriceLabs, USA – Preisgestaltung, ohne Namen und Kontaktdaten von Gästen (Abschnitt 13).
  • PostHog Inc., USA, Datenhaltung in Frankfurt am Main – Analyse, nur mit Einwilligung (Abschnitt 7); Auftragsverarbeiter; Zugriff aus den USA möglich: Standardvertragsklauseln; KI-Funktionen abgeschaltet.
  • Google Ireland Limited, Irland, mit der Google LLC, USA – Karte von Google Maps, nur nach Klick oder Einwilligung (Abschnitt 8); für das Laden mit uns gemeinsam verantwortlich, danach allein; USA: EU-US Data Privacy Framework.
  • WhatsApp Ireland Limited, Irland – Kommunikation, wenn du WhatsApp nutzt (Abschnitt 10); für die Kontaktdaten unserer Gäste Auftragsverarbeiter, für eigene Zwecke selbst verantwortlich; USA möglich: EU-US Data Privacy Framework.
  • Stadt Königswinter – Beherbergungsabgabe (Abschnitt 14): Summen je Anmeldezeitraum, Angaben zu einzelnen Gästen nur auf Anforderung; selbst verantwortlich.
  • NEWAVE Forward (Inhaber Til Kams), Deutschland – Wartung und Betrieb der Website, technische Alarme (Abschnitt 16); Auftragsverarbeiter.
  • Google Cloud EMEA Limited, Irland, und Anthropic Ireland, Limited, Irland – E-Mail-Postfach und KI-Assistent der Agentur (Abschnitt 16); Unterauftragsverarbeiter; USA: EU-US Data Privacy Framework (Google) bzw. Standardvertragsklauseln (Anthropic).

Außerdem geben wir Daten an Behörden und Gerichte weiter, wenn wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO), und bei Streitigkeiten an unsere Rechtsberatung (Art. 6 Abs. 1 lit. f DSGVO).

Übermittlung in Drittländer: Drittländer sind Staaten außerhalb der EU und des Europäischen Wirtschaftsraums. Wir übermitteln Daten dorthin nur, wenn die EU-Kommission ein angemessenes Datenschutzniveau festgestellt hat (Art. 45 DSGVO) – etwa für US-Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind – oder wenn wir mit dem Empfänger Standardvertragsklauseln der EU-Kommission vereinbart haben (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln kannst du bei uns anfordern.

19. Deine Rechte

Du hast gegenüber uns folgende Rechte:

  • Auskunft über die Daten, die wir zu dir verarbeiten (Art. 15 DSGVO),
  • Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO),
  • Löschung (Art. 17 DSGVO), etwa wenn wir die Daten für ihren Zweck nicht mehr brauchen, du eine Einwilligung widerrufst, du wirksam widersprochen hast oder die Verarbeitung unrechtmäßig war – außer ein Gesetz verpflichtet uns zur Aufbewahrung oder wir brauchen die Daten, um Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen,
  • Einschränkung der Verarbeitung (Art. 18 DSGVO),
  • Datenübertragbarkeit: die Daten, die du uns gegeben hast, in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO),
  • Widerspruch gegen Verarbeitungen auf Grundlage unseres berechtigten Interesses und gegen Direktwerbung (Art. 21 DSGVO, siehe unten),
  • Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) und
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Um deine Rechte auszuüben, schreib uns an info@locadostays.com oder an die Anschrift in Abschnitt 1. Das ist kostenlos. Damit wir keine Daten an Unbefugte herausgeben, können wir dich bitten, deine Identität nachzuweisen. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Sind Anfragen besonders umfangreich oder zahlreich, können wir die Frist um zwei weitere Monate verlängern; das sagen wir dir dann innerhalb des ersten Monats mit den Gründen (Art. 12 Abs. 3 DSGVO).

Widerspruchsrecht nach Art. 21 DSGVO

Verarbeiten wir deine Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Für Direktwerbung nutzen wir deine Daten nur in einem Fall: für die einmalige Bitte um eine Bewertung nach einem Aufenthalt (Abschnitt 11). Dem kannst du jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO); wir nutzen deine Daten dann nicht mehr für diesen Zweck (Art. 21 Abs. 3 DSGVO). Für deinen Widerspruch genügt eine formlose Nachricht an die Kontaktdaten in Abschnitt 1, bei der Bitte um eine Bewertung auch eine Antwort auf diese E-Mail.

Widerruf einer Einwilligung

Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, für Cookies und Dienste auf dieser Website über „Cookie-Einstellungen“ unten auf jeder Seite. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

Beschwerde bei einer Aufsichtsbehörde

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat, in dem du wohnst oder arbeitest oder in dem der mutmaßliche Verstoß stattgefunden hat. Für uns zuständig ist wegen unseres Sitzes in Rheinbreitbach:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34
55116 Mainz
www.datenschutz.rlp.de

20. Automatisierte Entscheidungen im Einzelfall

Bei Zahlungen prüfen Stripe und deine Bank automatisiert, ob ein Betrugsrisiko besteht; sie können eine zusätzliche Bestätigung verlangen (3-D Secure) oder eine Zahlung ablehnen. Außerdem lehnt unser System Buchungsversuche automatisch ab, wenn die Grenzen aus Abschnitt 15 überschritten sind, etwa zu viele Versuche je E-Mail- oder IP-Adresse oder mehrere fehlgeschlagene Zahlungen. Soweit darin eine Entscheidung liegt, die ausschließlich auf einer automatisierten Verarbeitung beruht und dich erheblich beeinträchtigt (Art. 22 DSGVO), ist sie für den Abschluss des Vertrags mit dir erforderlich (Art. 22 Abs. 2 lit. a DSGVO): Sie schützt dich und uns vor Kartenmissbrauch. Du kannst verlangen, dass ein Mensch aus unserem Team den Fall prüft, deinen Standpunkt darlegen und die Entscheidung anfechten; schreib uns dazu an die Kontaktdaten in Abschnitt 1. Wird deine Zahlung abgelehnt, kannst du auch ein anderes Zahlungsmittel nutzen. Andere Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen, treffen wir nicht.

21. Pflicht zur Bereitstellung deiner Daten

Ob du uns Daten gibst, entscheidest du. Für eine Buchung brauchen wir jedoch die im Formular als Pflicht markierten Angaben: Name, E-Mail-Adresse, Telefonnummer und Land, gegebenenfalls deine Anschrift, bei einer Buchung für andere die Angaben der reisenden Person und bei einer Firmenbuchung die Rechnungsangaben. Ohne sie können wir den Vertrag nicht schließen. Die Telefonnummer brauchen wir, um dich rund um deine Anreise und bei Problemen mit der Buchung erreichen zu können. Gäste ohne deutsche Staatsangehörigkeit sind gesetzlich verpflichtet, die Angaben für den Meldeschein zu machen (Abschnitt 13). Für eine Anfrage brauchen wir Name, E-Mail-Adresse und deine Nachricht, sonst können wir nicht antworten. Einwilligungen sind freiwillig: Ohne sie kannst du die Website nutzen und buchen; die Karte lädt dann erst nach einem Klick, und wir messen nicht, wie du die Website nutzt.

22. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Brauchen wir für etwas Neues deine Einwilligung, fragen wir dich vorher.

Stand: 28. Oktober 2026