Datenschutzerklärung

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere, effiziente Bereitstellung).
• Drittland: Eine Übermittlung in die USA ist möglich; sie ist über das EU-US Data Privacy Framework (DPF) bzw. Standardvertragsklauseln (SCC) abgesichert.
• Ihre Konto- und Buchungs-Stammdaten liegen demgegenüber in der EU (Supabase, siehe 4.).

• Ihre Cookie-/Hinweis-Auswahl,
• Ihre Spracheinstellung (DE/EN) für die Anzeige in Ihrer Sprache,
• Ihre gemerkte Einwilligung für das Laden externer Inhalte (z. B. Google Maps), sofern erteilt,
• ein Anmelde-Token, sofern Sie sich in Ihr Kundenkonto einloggen – bis zum Ablauf seiner technischen Gültigkeit, zum Logout oder bis zur Löschung durch Ihren Browser.

Rechtsgrundlage: § 25 Abs. 2 TDDDG (unbedingt erforderlich) bzw. Art. 6 Abs. 1 lit. f DSGVO. Da nur technisch notwendige Speicherung erfolgt und nicht notwendige externe Einbindungen wie Google Maps erst nach Ihrem aktiven Klick geladen werden (siehe 9.), ist ein Einwilligungs-Banner nicht zwingend. Das Smoobu-Buchungswidget wird auf den Objektseiten zur Buchungsabwicklung eingebunden (Einzelheiten unter 8.). Der vorhandene Hinweis lässt sich über den Link im Footer erneut aufrufen.

• In unserem Kundenkonto zeigen wir eine Übersicht Ihrer Aufenthalte (minimaler Abgleich: Objekt, Zeitraum, Status, E-Mail zur Zuordnung). Es werden keine Zahlungsinstrumente oder Rechnungsdetails gespeichert; angezeigt werden nur Buchungsbetrag und Währung.
• Datenverbleib bei Smoobu: Auch wenn wir Daten in Ihrem Website-Konto löschen oder de-personalisieren, bleiben die zugrunde liegenden Buchungs- und Rechnungsdaten bei Smoobu bestehen, soweit dort vertragliche oder steuerliche Aufbewahrungspflichten gelten.
• Eingehende Buchungs-Ereignisse empfangen wir über eine abgesicherte Schnittstelle (Webhook); der Roh-Datensatz wird nach Verarbeitung auf das Nötige reduziert (siehe 13.).
• Zahlung: je nach Wahl über die Zahlungsdienstleister von Smoobu (z. B. Stripe/PayPal) oder per Vorkasse/Überweisung an uns. Bei Online-Zahlung werden Zahlungsdaten unmittelbar vom jeweiligen Zahlungsdienstleister verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Die bei der Buchung erhobene E-Mail-Adresse verwenden wir nach dem Aufenthalt einmalig für eine Bewertungs-Erinnerung (Einzelheiten und Widerspruchsrecht: Ziff. 12a).

• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung); für kommunale Gästetaxe-/Kurbeitragsdaten die jeweilige kommunale Satzung.
• Aufbewahrung: ein Jahr ab Abreise; danach Vernichtung innerhalb von drei Monaten (§ 30 BMG).
• Erfassung: Für das kommunale Meldeschein-, Kurtaxe- und Gästekartenverfahren nutzen wir das von der Touristinformation Augustusburg bereitgestellte AVS-Meldescheinsystem der AVS Abrechnungs- und Verwaltungs-Systeme GmbH, Josephsplatz 8, 95444 Bayreuth. Die erforderlichen Gastdaten werden von uns über ein von der Touristinformation eingerichtetes, zugriffsgeschütztes Nutzerkonto in AVS eingetragen bzw. – soweit eine hierfür freigegebene Schnittstelle genutzt wird – aus unserem Buchungs- oder Reservierungssystem an AVS übermittelt. Die Daten werden zur Berechnung und Abrechnung der Kurtaxe sowie zur Erstellung von Gästekarten und, soweit erforderlich, besonderen Meldescheinen verarbeitet. Für ausländische Gäste wird der besondere Meldeschein nach dem derzeit von der Stadt Augustusburg vorgesehenen Verfahren ausgedruckt und handschriftlich unterschrieben. Soweit künftig ein von der zuständigen Gemeinde bestätigtes elektronisches Verfahren nach § 29 Abs. 5 BMG eingesetzt wird, erfolgt die Identifizierung nach dessen gesetzlichen Vorgaben.

• Datenminimierung: An den KI-Dienst werden nur der Nachrichtentext, der Objektbezug und schlanke Aufenthaltsdaten übermittelt. Name, E-Mail-Adresse, Telefonnummer und Zahlungsdaten übergeben wir nicht als separate Datenfelder; soweit Gäste solche Angaben selbst in den Nachrichtentext schreiben, können sie jedoch Bestandteil der übermittelten Anfrage sein. Zahlungsdaten sollen über das Nachrichtensystem nicht übermittelt werden.
• Für unkritische Standardfragen (z. B. WLAN, Anfahrt) kann die vom KI-Assistenten erstellte Antwort automatisiert versendet werden; darüber hinausgehende Anliegen (z. B. Beschwerden, Stornierungen, Zahlungen, Sonderwünsche) werden von einem Menschen bearbeitet. Eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) ist damit nicht verbunden.
• Eine Nutzung Ihrer Daten zum Training von KI-Modellen findet nicht statt (vertraglich ausgeschlossen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung bzw. Anbahnung des Beherbergungsverhältnisses) bzw. lit. f DSGVO (berechtigtes Interesse an einer effizienten Anfragenbearbeitung). Drittland: Die Verarbeitung erfolgt bei einem US-Anbieter; sie ist über Standardvertragsklauseln (SCC) abgesichert. Automatisch versendete Nachrichten kennzeichnen wir als KI-gestützt erstellt und weisen Sie darauf hin, dass Sie jederzeit zu einer persönlichen Bearbeitung durch unser Team wechseln können.

• Öffentlich sichtbar sind: Ihr frei gewählter Anzeigename, der Monat des Aufenthalts (nur Monatsgenauigkeit), die Sternebewertungen (Gesamt sowie Sauberkeit, Ausstattung, Kommunikation und Lage), Ihr Freitext samt automatischer Übersetzung und – sofern vorhanden – unsere öffentliche Antwort. Geben Sie keinen Anzeigenamen an, erscheint die Bewertung als „Verifizierter Gast". Ein Konto- oder Buchungsbezug wird öffentlich nicht angezeigt.
• Automatische Übersetzung: Damit die Bewertung zweisprachig angezeigt werden kann, wird Ihr Freitext automatisiert übersetzt (Deutsch ↔ Englisch). Die Übersetzung erledigt unser Auftragsverarbeiter Anthropic (Anthropic PBC, USA). Insoweit liegt eine Übermittlung in die USA vor, abgesichert über Standardvertragsklauseln (SCC). Eine Nutzung Ihrer Daten zum Training von KI-Modellen findet nicht statt.
• Bitte geben Sie im Freitext und im Anzeigenamen keine personenbezogenen Daten Dritter (z. B. Namen, Telefonnummern) an. Da es sich um freien Text handelt, kann dieser dennoch personenbezogene Daten enthalten; eine vollständige Datenminimierung ist technisch nicht garantierbar.
• Bewertungs-Erinnerung: Nach der Abreise erhalten Sie einmalig (in der Regel drei Tage nach dem Check-out) eine E-Mail mit der Bitte um eine Bewertung samt Link zu Ihrer Buchung; verarbeitet werden dafür Ihre E-Mail-Adresse, der Buchungsbezug und Ihre Sprachwahl. Der Versand erfolgt über unseren Auftragsverarbeiter Resend (betrieben durch Plus Five Five, Inc., USA – vgl. Ziff. 14). Wettbewerbsrechtliche Grundlage des E-Mail-Versands ist § 7 Abs. 3 UWG; datenschutzrechtliche Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Auf diese einmalige Verwendung Ihrer E-Mail-Adresse und Ihr jederzeitiges, kostenfreies Widerspruchsrecht (z. B. per E-Mail an support@sternkopf.design) weisen wir Sie bereits im Buchungsbereich der Objektseite sowie in jeder Erinnerungs-E-Mail hin. Ein Vermerk über den einmaligen Versand verbleibt an der Buchung (verhindert Doppelversand).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung der Bewertungsfunktion im Kundenkonto und die Prüfung, dass nur tatsächliche Gäste bewerten können; Art. 6 Abs. 1 lit. f DSGVO für die öffentliche Anzeige echter Gästebewertungen, deren Übersetzung und die Anzeige unserer öffentlichen Antwort. Die Abgabe einer Bewertung ist freiwillig. Speicherung/Löschung: Solange Ihr Kundenkonto besteht, können Sie Ihre Bewertung bis 90 Tage nach Abreise ändern und jederzeit selbst löschen. Nach Löschung des Kundenkontos können Sie sich zur Löschung oder Prüfung Ihrer Bewertung an uns wenden. Bei Löschung Ihres Kundenkontos wird die Bewertung pseudonymisiert: Anzeigename und die Verknüpfung zu Ihrem Konto werden entfernt (die Anzeige erfolgt dann als „Verifizierter Gast"), der Bewertungstext bleibt bestehen. Ein interner Bezug zur zugrunde liegenden Buchung kann fortbestehen; es handelt sich daher um eine Pseudonymisierung, nicht um eine vollständige Anonymisierung. Soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, können Sie ihr nach Maßgabe von Art. 21 DSGVO widersprechen. Betroffene Dritte können sich zur Prüfung oder Löschung entsprechender Angaben an uns wenden.

• Buchungs-Übersicht mit Konto: solange das Konto besteht. Bei Konto-Löschung werden die Buchungsdaten in unserem Konto pseudonymisiert (E-Mail- und Konto-Bezug entfernt). Da eine technische Referenz zu Smoobu verbleibt, handelt es sich um Pseudonymisierung, nicht um vollständige Anonymisierung.
• Buchung ohne Konto: Löschung 180 Tage nach Abreise.
• Roh-Daten eingehender Buchungs-Ereignisse: nach Verarbeitung reduziert, spätestens nach 14 Tagen.
• Kontaktanfragen: 12 Monate. Sicherheits-Logs: 12 Monate. Einwilligungs-Nachweise: bis zum Widerruf zzgl. 3 Jahre.
• Newsletter-Versand-Nachweise (Betreff, Inhalt, Empfängeranzahl, Versandzeitpunkt – ohne Empfängerliste): Aufbewahrung zur Dokumentation versendeter Newsletter, Löschung spätestens nach 24 Monaten.
• KI-gestützte Gästeanfragen und Antwortvorschläge: wie Kontaktanfragen; eine etwaige Speicherung im KI-Assistenz-System wird spätestens 12 Monate nach Erledigung gelöscht.
• Support-Anfragen im Kundenkonto: bis zur Löschung des Kundenkontos. Per E-Mail übermittelte Support-Benachrichtigungen im Betreiber-Postfach: spätestens 12 Monate nach Erledigung.
• Bewertungen: bis zur Löschung durch den Gast bzw. auf berechtigte Lösch- oder Prüfungsanfrage. Bei Löschung des Kundenkontos wird die Bewertung pseudonymisiert; Anzeigename und Konto-Verknüpfung werden entfernt, der Bewertungstext bleibt als Bewertung eines „Verifizierten Gastes" bestehen. Ein interner Bezug zur zugrunde liegenden Buchung kann fortbestehen.
• Versandvermerk der Bewertungs-Erinnerung: bis zur Löschung bzw. Pseudonymisierung des zugehörigen Buchungsdatensatzes nach den vorstehenden Fristen.
• Meldescheine: ein Jahr ab Abreise, danach Vernichtung innerhalb von drei Monaten (§ 30 BMG).
• Wir setzen Sicherungs-Backups ein. Nach einer Löschung können Daten bis zum Ablauf des jeweiligen Backup-Zeitraums (in der Regel bis zu 7 Tage) in diesen Sicherungen fortbestehen und werden mit deren Ablauf endgültig gelöscht.

Stripe, PayPal und hCaptcha werden nicht von uns direkt, sondern innerhalb des Smoobu-Buchungs-Widgets geladen. hCaptcha wird dabei nicht von Smoobu, sondern von Stripe als integrierte Sicherheits- bzw. Betrugspräventionsfunktion eingebunden (Intuition Machines insoweit als Unterauftragsverarbeiter von Stripe). Je nach Einbindung können die Zahlungsdienstleister als Subunternehmer von Smoobu oder als eigenständige Verantwortliche bzw. Zahlungsdienstleister auftreten; Einzelheiten ergeben sich aus den Datenschutzhinweisen des jeweiligen Anbieters und dem Vertrag mit Smoobu. Eine Weitergabe an weitere Dritte erfolgt nur, soweit dies gesetzlich zulässig oder erforderlich ist.

Die Stadt Augustusburg ist für das kommunale Meldeschein-, Kurtaxe- und Gästekartenverfahren verantwortlich. Die AVS Abrechnungs- und Verwaltungs-Systeme GmbH betreibt das hierfür bereitgestellte System als Auftragsverarbeiter der Stadt. Wir erheben die erforderlichen Gästedaten im Rahmen des Beherbergungsverhältnisses und tragen sie in das von der Stadt bereitgestellte System ein bzw. übermitteln sie über eine freigegebene Schnittstelle.