Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:

Knaust Operations GmbH

Vor dem Tore 6

99439 Am Ettersberg

Deutschland

Vertreten durch den Geschäftsführer Steffen Knaust

E-Mail: [email protected]

Registergericht: Amtsgericht Jena

Handelsregisternummer: HRB 522070

Umsatzsteuer-Identifikationsnummer: DE369881151

2. Geltungsbereich

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten beim Besuch von kennerstays.com, bei Verfügbarkeitsabfragen und Buchungen, bei Buchungen über Vermittlungsplattformen, während des Online-Check-ins und einer gegebenenfalls angebotenen Identitätsprüfung, bei der Zahlungsabwicklung, während der Gästekommunikation, bei der Bereitstellung digitaler Zugänge, im Rahmen gesetzlicher Melde- und Aufbewahrungspflichten sowie bei der Videoüberwachung ausgewählter Bereiche am Objekt G1L.

Die maßgebliche Fassung dieser Datenschutzerklärung ist die deutsche Fassung. Übersetzungen in andere Sprachen dienen nur der Information. Bei Abweichungen oder Auslegungsfragen ist die deutsche Fassung maßgeblich.

3. Allgemeine Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten insbesondere auf folgenden Grundlagen:

1. Art. 6 Abs. 1 lit. a DSGVO für Verarbeitungen, die eine Einwilligung voraussetzen, insbesondere optionale Analysefunktionen und gegebenenfalls biometrische Identitätsdaten.
2. Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und die Durchführung des Beherbergungsvertrags, insbesondere Verfügbarkeit, Buchung, Aufenthalt, Kommunikation, Zahlung und Zugang.
3. Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Verpflichtungen, insbesondere steuerliche, handelsrechtliche, melderechtliche und kommunalabgabenrechtliche Pflichten.
4. Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen, insbesondere IT-Sicherheit, Missbrauchsprävention, Schutz des Eigentums, Wahrnehmung des Hausrechts sowie Durchsetzung und Abwehr von Ansprüchen.
5. Art. 9 Abs. 2 lit. a DSGVO für biometrische Daten zur eindeutigen Identifizierung, soweit hierfür eine ausdrückliche Einwilligung erforderlich ist.

Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

4. Besuch unserer Website

4.1 Hosting, Backend und Serverprotokolle

Unsere Website und die zugehörigen Programmierschnittstellen werden bei Uberspace betrieben. Für die technische Auslieferung werden unter anderem Caddy und ein eigenes Fastify-Backend eingesetzt.

Beim Aufruf der Website und der Schnittstellen können insbesondere folgende Daten verarbeitet werden:

1. IP-Adresse und Port
2. Datum und Uhrzeit des Abrufs
3. aufgerufene Seite, Datei oder vollständige URL
4. HTTP-Methode, Host und Statuscode
5. Browser-, Geräte- und Betriebssysteminformationen
6. Referrer-URL
7. übertragene Datenmenge
8. technische Fehler- und Sicherheitsinformationen

Bei Verfügbarkeits- und Buchungssuchen können die aufgerufenen URLs außerdem Angaben zu Reiseziel, Anreise, Abreise, Erwachsenen und Kindern enthalten.

Die Verarbeitung erfolgt zur sicheren, stabilen und fehlerfreien Bereitstellung der Website, zur Fehleranalyse und zur Abwehr missbräuchlicher Zugriffe auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Soweit die Angaben für eine konkrete Verfügbarkeitsprüfung oder Vertragsanbahnung verarbeitet werden, ist zusätzlich Art. 6 Abs. 1 lit. b DSGVO einschlägig.

Mit Uberspace besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Verarbeitung erfolgt ausschließlich in Deutschland, einem anderen Mitgliedstaat der Europäischen Union oder einem Vertragsstaat des Europäischen Wirtschaftsraums. Eine Verlagerung in ein Drittland ist nur mit unserer vorherigen Zustimmung und unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig. Nach Beendigung des Auftrags oder auf unsere Aufforderung werden die Daten gelöscht. Die Löschung in Datensicherungen erfolgt aus technischen Gründen mit einem Versatz von bis zu sieben Wochen.

4.2 Cloudflare und länderbezogene Sprachauswahl

Für die technische Auflösung unserer Domain, die geschützte Weiterleitung von Anfragen und die Bereitstellung eines Ländercodes nutzen wir Dienste von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA. Bei aktiviertem Cloudflare-Proxy werden Anfragen zunächst über das weltweite Netzwerk von Cloudflare geleitet und anschließend an unseren Server weitergegeben. Cloudflare kann dabei insbesondere IP-Adresse, aufgerufene URL, HTTP-Header einschließlich der vom Browser übermittelten Sprachpräferenzen, Datum und Uhrzeit sowie technische Routing- und Sicherheitsinformationen verarbeiten.

Cloudflare leitet aus der IP-Adresse einen zweistelligen Ländercode ab und übermittelt ihn im Header CF-IPCountry an unseren Server. Für die erstmalige Sprachauswahl kombinieren wir diesen Ländercode mit den Sprachpräferenzen des Browsers. Als geografisches Entscheidungssignal verwendet unsere Website nur den Ländercode, keine Stadt, Koordinaten oder einen genauen Standort. Wenn Länder- und Sprachsignal voneinander abweichen, kann vorübergehend ein Hinweis zum Wechsel zwischen Deutsch und Englisch angezeigt werden. Die Sprache kann jederzeit manuell geändert werden.

Eine manuell gewählte Sprache wird unter kenner-language lokal im Browser gespeichert und hat bei späteren Besuchen Vorrang vor der automatischen Auswahl. IP-Adresse und Ländercode werden hierfür nicht im Browser-Speicher abgelegt. Der vorübergehende Sprachhinweis wird nach 20 Sekunden automatisch ausgeblendet. Damit er im selben Tab nicht erneut erscheint, wird dies unter kenner-language-suggestion-dismissed nur für die laufende Browser-Sitzung im Session Storage gespeichert.

Die Verarbeitung durch uns erfolgt auf Grundlage unseres berechtigten Interesses an einer sicheren, zuverlässigen und sprachlich passenden Bereitstellung der Website gemäß Art. 6 Abs. 1 lit. f DSGVO. Die Speicherung einer ausdrücklich gewählten Sprache auf dem Endgerät erfolgt nach § 25 Abs. 2 TDDDG. Soweit Cloudflare personenbezogene Daten in unserem Auftrag verarbeitet, gelten die Datenverarbeitungsbedingungen von Cloudflare. Eine Verarbeitung in Drittländern, insbesondere den USA, kann stattfinden und erfolgt nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines anwendbaren Angemessenheitsbeschlusses oder von Standardvertragsklauseln.

4.3 Cookies, Browser-Speicher und PWA-Cache

Unsere Website verwendet Cookies und vergleichbare Technologien. Technisch erforderliche Speicherungen dienen der Bereitstellung ausdrücklich gewünschter Funktionen. Der Zugriff auf das Endgerät erfolgt insoweit nach § 25 Abs. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten erfolgt, soweit einschlägig, nach Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

Nicht erforderliche Speicherungen und Analysefunktionen werden erst nach Einwilligung aktiviert. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

Die Einwilligung kann jederzeit über die Datenschutzeinstellungen der Website geändert oder widerrufen werden.

4.4 Google Analytics 4

Wir nutzen Google Analytics 4 zur statistischen Auswertung der Website. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Verwendet wird die Mess-ID G-2JD1VZQN23.

Nach einer Einwilligung können insbesondere Seitenaufrufe, aufgerufene oder ausgewählte Apartments, der Beginn eines Checkouts, der Aufruf einer Erfolgsseite sowie gegebenenfalls Preis und Währung erfasst werden. Zusätzlich können bei der Buchungssuche Zielort, Vorhandensein von Reisedaten, Aufenthaltsdauer und Gruppengröße in zusammengefassten Kategorien, der Status und die Anzahl von Verfügbarkeitsergebnissen, Validierungsfehler, betätigte Buchungsschaltflächen, länger betrachtete Seitenbereiche, angeklickte interne oder externe Links, der verwendete Chat-Einstieg sowie das Öffnen des Guestway-Chats erfasst werden. Beim Link-Tracking werden nur eine feste Link-Kennung, die Platzierung und Art des Links sowie ein bereinigtes Ziel übermittelt. Beim Aufruf eines von uns gekennzeichneten Links aus einem Google-Unternehmensprofil, aus unserem Instagram-Profil oder einer von uns vorgegebenen parameterfreien Apple-Maps-Linkadresse kann eine gültige, von uns vorgegebene Kampagnenkombination zunächst ausschließlich im flüchtigen Arbeitsspeicher der geöffneten Seite gehalten werden. Vor der Statistik-Einwilligung wird sie weder im Browser gespeichert noch an Google übermittelt; bei Ablehnung wird sie gelöscht. Nach Einwilligung können ausschließlich die Kampagnenquelle „Google“, „Apple Maps“ oder „Instagram“, das freigegebene Medium „organisch“ oder „Social“, die zugehörige Kampagnenkennung „Google-Unternehmensprofil“, „Apple-Unternehmensprofil“ oder „Instagram-Profil“ sowie als Kampagneninhalt der Zielort Leipzig oder Erfurt beziehungsweise der Profil-Link „Bio“ an Google Analytics übermittelt werden. Linktexte, vollständige externe URLs, rohe URL-Suchparameter, Telefonnummern und E-Mail-Adressen werden dabei nicht übertragen. Konkrete Reisedaten, exakte Personenzahlen, Freitexte und Chatinhalte werden mit diesen zusätzlichen Ereignissen ebenfalls nicht an Google Analytics übermittelt. Dabei können außerdem Geräte- und Browserinformationen, Nutzungsdaten, ungefähre Standortinformationen und Online-Kennungen verarbeitet werden.

Google Analytics wird ausschließlich nach ausdrücklicher Einwilligung aktiviert. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Werbesignale, Anzeigenpersonalisierung und Google Signals sind deaktiviert.

Eine Verarbeitung durch Google LLC in den USA kann stattfinden. Die Übermittlung erfolgt nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO.

4.5 Guestway-Websitechat

Auf unserer Website wird ein Chat von Guestway BV, Soenenspark 1, 9051 Gent, Belgien, eingesetzt. Beim Laden des Chats können Verbindungen zu widget.guestway.io, api.guestway.io, wss.guestway.io und imagine.guestway.io aufgebaut werden.

Je nach Nutzung können insbesondere folgende Daten verarbeitet werden:

1. IP-Adresse sowie Browser- und Gerätedaten
2. Name und E-Mail-Adresse
3. Chat-ID und Chat-Token
4. Nachrichten und Anhänge
5. Zeitstempel und Echtzeitstatus
6. technische Nutzungs- und Verbindungsdaten

Der Chat wird nicht automatisch geladen. Beim ersten Besuch der Website entscheidet die nutzende Person im Einwilligungsbanner über den Chat. Wurde dort abgelehnt, wird die Einwilligung beim Öffnen des Chats gesondert abgefragt. Erst danach werden das Widget geladen, Verbindungen zu Guestway aufgebaut und Daten im Browser gespeichert. Rechtsgrundlagen für den Zugriff auf das Endgerät und das Laden des Chats sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.

Wenn eine Person den Chat bewusst öffnet, erfolgt die Verarbeitung zur Bearbeitung der Anfrage auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit es um eine Buchung oder einen Aufenthalt geht. Bei sonstigen Anfragen stützen wir die Bearbeitung auf Art. 6 Abs. 1 lit. f DSGVO.

4.6 Smoobu-Verfügbarkeitsabfrage

Für die Verfügbarkeitsprüfung übermittelt unser Backend Reisedaten, Personenzahl, Ziel und Apartmentzuordnung serverseitig an die Smoobu GmbH, Pappelallee 78/79, 10437 Berlin, Deutschland. Die Antworten werden kurzzeitig im Arbeitsspeicher zwischengespeichert.

Die Verarbeitung dient der Prüfung verfügbarer Unterkünfte und der Vertragsanbahnung gemäß Art. 6 Abs. 1 lit. b DSGVO. Soweit technische Protokolle für Sicherheit und Fehleranalyse geführt werden, erfolgt dies zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

4.7 Smoobu-Buchungsmaschine

Für Direktbuchungen erfolgt eine Weiterleitung über booking.kennerstays.com zu booking.smoobu.com. Dabei können Apartment, Ziel, Anreise, Abreise, Erwachsene und Kinder übergeben werden. Der weitere Buchungs- und Zahlungsvorgang findet in der Smoobu-Buchungsmaschine statt.

Dort können insbesondere Namen, Kontaktdaten, Anschrift, Daten mitreisender Personen, Buchungs- und Aufenthaltsdaten, Rechnungsdaten, Zahlungsinformationen und Nachrichten verarbeitet werden. Smoobu verarbeitet Gastdaten für die Abwicklung von Buchungen, Kommunikation und Zahlungsvorgängen sowie für vom Gastgeber aktivierte automatisierte Nachrichten. Soweit erforderlich, können Daten an von Smoobu eingesetzte Unterauftragsverarbeiter weitergegeben werden. Die Verarbeitung erfolgt zur Vertragsanbahnung und Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO.

4.8 Externe Links und lokal eingebundene Inhalte

Die Website enthält externe Links, beispielsweise zu Google Maps. Erst durch Anklicken wird eine Verbindung zum jeweiligen Anbieter hergestellt. Die Links werden mit noreferrer geöffnet.

Zahlungslogos werden als lokale Bilder ausgeliefert. Allein durch ihre Anzeige entsteht keine Verbindung zu den dargestellten Zahlungsunternehmen.

Bewertungsdurchschnitte und Anzahlen von Booking.com und Airbnb werden serverseitig in regelmäßigen Abständen abgerufen. Wenn sich ein Besucher dem Leipziger City-Guide nähert, ruft unser Server die dort angezeigten Bewertungsdurchschnitte live über die Google Places API (New) ab. Hierfür übermittelt unser Server ausschließlich den Namen und die Anschrift des jeweiligen Ortes an Google; Google erhält dabei keine IP-Adresse oder sonstige Angaben des Websitebesuchers. Die Google-Antwort wird weder auf unserem Server noch im Browser gespeichert. Dabei werden keine Namen oder Bewertungstexte von Gästen auf der Website verarbeitet. Beim Websitebesuch entsteht keine unmittelbare Verbindung des Browsers zu Booking.com, Airbnb oder Google. Für die von Google Maps Platform bereitgestellten Inhalte gelten die Google Maps Platform Terms und die Datenschutzerklärung von Google.

Es werden keine externen Webfonts, Videoeinbettungen von YouTube oder Vimeo, Social-Media-Pixel, Newsletterdienste, eingebetteten Google-Maps-Karten oder öffentliches reCAPTCHA eingesetzt.

5. Anfragen und Gästekommunikation

Wenn Sie uns per E-Mail, telefonisch, über WhatsApp, über ein Buchungsportal oder über Guestway kontaktieren, verarbeiten wir die von Ihnen übermittelten Daten. Dazu können insbesondere Name, E-Mail-Adresse, Telefonnummer, Profil- und Kontodaten, Nachrichten, Anhänge, Zeitstempel, Kommunikationsmetadaten und Buchungsdaten gehören.

Dient die Kommunikation einer Buchung oder einem Aufenthalt, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Sonstige Anfragen bearbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

E-Mail ist unser regulärer Kommunikationskanal. Unsere E-Mail-Postfächer werden bei Webgo betrieben. Bei der E-Mail-Kommunikation verarbeitet Webgo insbesondere Absender- und Empfängeradressen, Nachrichteninhalte, Anhänge, Zeitstempel sowie technische Verbindungs- und Protokolldaten. Die Verarbeitung dient der Bearbeitung von Anfragen und der Durchführung des Beherbergungsvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO. Bei sonstiger betrieblicher Kommunikation erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Für die telefonische Kommunikation nutzen wir Leistungen der Telekom. Dabei können insbesondere Telefonnummern, Verbindungszeitpunkte, Verbindungsdauer und weitere technische Verkehrsdaten verarbeitet werden. Die Verarbeitung erfolgt je nach Anlass gemäß Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

WhatsApp kann optional genutzt werden. Anbieter ist WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland. Eine Verarbeitung durch verbundene Unternehmen in Drittländern, insbesondere den USA, kann stattfinden. Eine Kommunikation per E-Mail bleibt möglich.

6. Buchungen und Vertragsdurchführung

Bei Anfragen, Buchungen und Aufenthalten verarbeiten wir je nach Buchungsweg insbesondere:

1. Vor- und Nachname
2. Anschrift
3. E-Mail-Adresse und Telefonnummer
4. Buchungs- und Aufenthaltsdaten
5. Anreise und Abreise
6. Anzahl und Angaben mitreisender Personen
7. Rechnungs- und Zahlungsinformationen
8. Sprache
9. Nachrichten und besondere Wünsche
10. gegebenenfalls Angaben zu Haustieren oder geschäftlichen Buchungen
11. Daten zur Zugangserteilung
12. Angaben zur Bearbeitung von Schäden und Ansprüchen

Die Verarbeitung erfolgt zur Anbahnung, Durchführung und Abwicklung des Beherbergungsvertrags auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Gesetzlich erforderliche Verarbeitungen erfolgen nach Art. 6 Abs. 1 lit. c DSGVO. Daten zur Durchsetzung oder Abwehr von Ansprüchen verarbeiten wir bei Bedarf nach Art. 6 Abs. 1 lit. f DSGVO.

7. Buchungsplattformen und Datenquellen

Buchungen können unmittelbar bei uns oder über externe Buchungsplattformen erfolgen, insbesondere Booking.com, Airbnb und FeWo-direkt beziehungsweise Vrbo. Diese Plattformen verarbeiten personenbezogene Daten nach ihren eigenen Datenschutzbestimmungen und übermitteln uns die für die Durchführung der Buchung erforderlichen Daten.

Dabei können wir insbesondere Stamm-, Kontakt-, Buchungs-, Aufenthalts-, Kommunikations- und Zahlungsstatusdaten erhalten. Rechtsgrundlage unserer anschließenden Verarbeitung ist in der Regel Art. 6 Abs. 1 lit. b DSGVO.

Wenn Daten nicht direkt bei der betroffenen Person erhoben werden, stammen sie insbesondere von der buchenden Person, einer mitreisenden Person oder der genutzten Buchungsplattform.

8. Gästeportal, Online-Check-in und Guestway

Wir nutzen Guestway BV, Soenenspark 1, 9051 Gent, Belgien, KBO/BCE 0798.195.974, USt-IdNr. BE 0798.195.974, für das persönliche Gästeportal, den Online-Check-in, die Gästekommunikation, Automationen und weitere betriebliche Abläufe. Datenschutzanfragen an Guestway können an [email protected] gerichtet werden.

Dabei können insbesondere folgende Daten verarbeitet werden:

1. Stamm- und Kontaktdaten
2. Buchungs- und Aufenthaltsdaten
3. Daten mitreisender Personen
4. Kommunikationsinhalte und Anhänge
5. Check-in-Daten
6. Angaben zur Identitätsprüfung
7. technische Nutzungs- und Verbindungsdaten
8. Daten zur Erzeugung und Übermittlung eines Zugangscodes

Nach Anbieterangabe betreibt Guestway die Plattform auf AWS in der Europäischen Union, Region eu-west-1, Irland. Gästedaten werden dort gespeichert. Guestway verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Die Verarbeitung erfolgt zur Erbringung der vereinbarten Leistungen und nach dokumentierten Weisungen.

Die Verarbeitung erfolgt grundsätzlich zur Durchführung des Beherbergungsvertrags nach Art. 6 Abs. 1 lit. b DSGVO. Soweit gesetzliche Pflichten erfüllt werden, ist Art. 6 Abs. 1 lit. c DSGVO einschlägig.

9. Digitale Identitätsprüfung, Ausweis und Selfie

Sofern im Rahmen des Online-Check-ins eine digitale Identitätsprüfung angeboten wird, können Ausweisdaten, Aufnahmen der Vorder- und Rückseite des Ausweisdokuments, ein Selfie, technische Geräte- und Verbindungsdaten, Liveness-Informationen, Prüfresultate sowie Hinweise zur Missbrauchs- oder Betrugsprävention verarbeitet werden.

Soweit aus einem Gesichtsbild biometrische Merkmale zur eindeutigen Identifizierung abgeleitet und mit dem Ausweisbild verglichen werden, handelt es sich um besondere Kategorien personenbezogener Daten. Eine solche Verarbeitung erfolgt nur nach ausdrücklicher Einwilligung gemäß Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO.

Als Alternative ohne biometrischen Selfie-Abgleich wird eine Identitätsprüfung per Video-Call oder eine manuelle Prüfung angeboten. Die Ablehnung des biometrischen Verfahrens führt nicht zur Verweigerung des Aufenthalts, wenn die Identität auf einem alternativen Weg zuverlässig geprüft werden kann.

An der technischen Durchführung können Guestway und Didit Identity Spain, S.L. beteiligt sein. Didit wird dabei nach Anbieterangabe als Unterauftragsverarbeiter von Guestway eingesetzt. Nach Anbieterangabe werden die Daten in der Europäischen Union auf AWS verarbeitet. Ausweisbilder und biometrische Daten sollen nur vorübergehend verarbeitet werden. Grundsätzlich soll nur das Ergebnis der Verifikation gespeichert werden.

10. Gesetzliches Meldewesen

Für ausländische Gäste verarbeiten wir die nach §§ 29 und 30 Bundesmeldegesetz erforderlichen Meldescheindaten. Dazu können insbesondere Ankunft, voraussichtliche Abreise, Vor- und Nachname, Geburtsdatum, Staatsangehörigkeit, Anschrift, Angaben zu ausländischen Mitreisenden sowie die Seriennummer eines anerkannten und gültigen Passes oder Passersatzpapiers gehören.

Die erforderlichen Angaben werden im Rahmen des Online-Check-ins über das in Abschnitt 8 beschriebene Meldeformular in Guestway abgefragt. Die Angaben werden mit dem Identitätsdokument abgeglichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 29 und 30 BMG.

Meldescheindaten werden zwölf Monate ab dem Tag der Abreise aufbewahrt und innerhalb von drei Monaten nach Ablauf dieser Frist vernichtet oder gelöscht. Der Zugriff ist auf berechtigte Personen beschränkt.

Für deutsche Gäste besteht keine allgemeine besondere Meldescheinpflicht nach diesen Vorschriften. Ihre Daten werden verarbeitet, soweit dies für Vertrag, Zugang, Abrechnung, kommunale Abgaben oder andere gesetzliche Pflichten erforderlich ist.

11. Zahlungsabwicklung

Für Direktbuchungen bieten wir aktuell PayPal sowie folgende über Stripe Connect abgewickelte Zahlungsarten an: Kreditkarte, iDEAL, Bancontact, EPS, Przelewy24 und Apple Pay. Andere in der Smoobu-Buchungsmaschine verfügbare Zahlungsarten sind derzeit nicht aktiviert.

11.1 Stripe

Bei einer Zahlung über Stripe werden die erforderlichen Daten an Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, übermittelt. Dazu können Name, Kontaktdaten, Rechnungsdaten, Zahlungsbetrag, Zahlungsinformationen, IP-Adresse, Geräteinformationen und Betrugspräventionsdaten gehören.

11.2 PayPal

Bei einer Zahlung über PayPal werden die erforderlichen Daten an PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, übermittelt. Dazu können Name, Kontaktdaten, Zahlungsbetrag, Transaktionsdaten und weitere von PayPal angeforderte Informationen gehören.

Die Verarbeitung erfolgt zur Zahlungsabwicklung nach Art. 6 Abs. 1 lit. b DSGVO. Soweit Zahlungsdienstleister gesetzliche Pflichten, Betrugsprävention oder eigene Risikoprüfungen durchführen, verarbeiten sie Daten in eigener Verantwortung.

12. Digitale Zugangscodes und Schließsystem

Zur Bereitstellung digitaler Zugänge nutzen wir Nuki. Dabei können insbesondere Buchungsbezug, Objekt, Zugangszeitraum, Zugangscode, Schloss- oder Gerätekennung sowie Zugriffs- und Ereignisdaten verarbeitet werden.

Die Verarbeitung erfolgt zur Durchführung des Beherbergungsvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO. Soweit Protokolle für Sicherheit, Missbrauchsprävention oder Fehleranalyse benötigt werden, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Zugangscodes können über das Gästeportal oder andere Kommunikationskanäle an Gäste übermittelt werden.

13. Reinigung, Wartung und betriebliche Dienstleister

Zur Vorbereitung und Durchführung von Aufenthalten sowie zur Bearbeitung technischer Störungen können erforderliche Daten an Mitarbeitende, Reinigungs- und Wartungsdienstleister weitergegeben werden. Dies betrifft in der Regel Objekt, Aufenthaltszeitraum, Belegungsstatus, Reinigungsstatus, besondere betriebliche Hinweise und nur dann Namen oder weitere Angaben, wenn diese für den Auftrag erforderlich sind.

Die Verarbeitung erfolgt zur Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO und zur ordnungsgemäßen Organisation, Sicherheit und Instandhaltung nach Art. 6 Abs. 1 lit. f DSGVO. Zugriffe werden nach dem Erforderlichkeitsprinzip begrenzt.

14. Buchhaltung, Rechnungen und steuerliche Pflichten

Zur Rechnungserstellung, Buchhaltung, Zahlungszuordnung und Erfüllung steuerlicher Pflichten verarbeiten wir Stamm-, Buchungs-, Rechnungs-, Zahlungs- und Kommunikationsdaten. Dabei können DATEV, Lexoffice, Banken und Steuerberatung eingesetzt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den einschlägigen steuer- und handelsrechtlichen Vorschriften. Soweit die Verarbeitung der Vertragsabwicklung oder ordnungsgemäßen Unternehmensorganisation dient, sind zusätzlich Art. 6 Abs. 1 lit. b und lit. f DSGVO einschlägig.

Aufbewahrungspflichtige Unterlagen werden je nach Art grundsätzlich sechs, acht oder zehn Jahre gespeichert. Eine längere Speicherung kann erforderlich sein, wenn Unterlagen für ein laufendes Steuer-, Prüfungs- oder Rechtsverfahren benötigt werden.

15. Bestpreisgarantie, Schäden und Rechtsverteidigung

Bei der Prüfung einer Bestpreisgarantie können zugesandte Links, Screenshots, Vergleichsangebote, Buchungsdaten und Kommunikation verarbeitet werden.

Bei Schäden, Sonderreinigung, Forderungen oder rechtlichen Auseinandersetzungen können insbesondere Fotos, Schadensbeschreibungen, Buchungs- und Zahlungsdaten, Kommunikation, Zeugenaussagen und weitere Nachweise verarbeitet werden.

Die Verarbeitung erfolgt zur Vertragsdurchführung nach Art. 6 Abs. 1 lit. b DSGVO sowie zur Geltendmachung, Ausübung oder Verteidigung von Ansprüchen nach Art. 6 Abs. 1 lit. f DSGVO.

16. WLAN

Soweit wir Gästen einen Internetzugang bereitstellen, können der eingesetzte Router oder Internetanbieter technische Verbindungsdaten verarbeiten. Dazu können insbesondere IP- und MAC-Adressen, Gerätebezeichnungen, Verbindungszeitpunkte und technische Fehlerdaten gehören.

Die Verarbeitung erfolgt zur Bereitstellung und Absicherung des Internetzugangs nach Art. 6 Abs. 1 lit. b und lit. f DSGVO.

17. Videoüberwachung am Objekt G1L

Am Objekt G1L setzen wir eine offene Videoüberwachung in ausgewählten Bereichen des Hausflurs und des Hofes ein. Wohnungsinnenräume werden nicht überwacht. Öffentlicher Straßenraum und fremde Grundstücke werden nicht erfasst. Vor Ort wird durch Hinweisschilder auf die Videoüberwachung aufmerksam gemacht.

Zwecke sind die Wahrnehmung des Hausrechts, der Schutz von Gästen, Mitarbeitenden, Eigentum und technischen Anlagen, die Prävention und Aufklärung von Schäden, unbefugtem Zutritt und Straftaten sowie die Nachvollziehung gemeldeter Vorfälle.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir verwenden UniFi Protect. Die Aufnahmen werden lokal auf einer Dream Machine SE gespeichert. Zugriff auf Livebilder und Aufzeichnungen haben ausschließlich berechtigte Personen der Knaust Operations GmbH.

Die reguläre Speicherdauer beträgt 14 Tage. Danach werden Aufnahmen automatisch gelöscht oder überschrieben. Wird ein konkreter Vorfall bekannt, können erforderliche Sequenzen bis zum Abschluss der Bearbeitung, Rechtsverfolgung oder Anspruchsabwehr gesondert gesichert werden.

Empfänger gesicherter Aufnahmen können, soweit erforderlich, Polizei, Staatsanwaltschaft, Gerichte, Versicherungen oder Rechtsberatung sein.

18. Daten von Mitreisenden und Minderjährigen

Bei Buchungen durch eine hauptbuchende Person oder über eine Plattform erhalten wir Daten mitreisender Personen gegebenenfalls nicht direkt von diesen. Wir verarbeiten nur die Angaben, die für Aufenthalt, Meldewesen, Abrechnung, Zugang und Sicherheit erforderlich sind.

Die hauptbuchende Person wird gebeten, mitreisende Personen auf diese Datenschutzerklärung hinzuweisen. Bei minderjährigen Personen werden nur die für den jeweiligen Zweck erforderlichen Angaben verarbeitet. Rechtsgrundlagen sind je nach Zweck Art. 6 Abs. 1 lit. b, lit. c oder lit. f DSGVO.

19. Empfänger personenbezogener Daten

Abhängig vom Vorgang können personenbezogene Daten insbesondere an folgende Empfänger übermittelt werden:

1. Buchungs- und Vermittlungsplattformen
2. Smoobu als Buchungs- und Channel-Management-Dienst
3. Guestway für Gästeportal, Kommunikation, Check-in und Identitätsprüfung sowie Didit Identity Spain, S.L. als Unterauftragsverarbeiter für die Identitätsprüfung
4. Zahlungsdienstleister und Banken
5. Anbieter digitaler Schließ- und Zugangssysteme
6. Hosting-, IT-, Kommunikations- und Analysedienstleister
7. Steuerberatung, Buchhaltung und Rechtsberatung
8. Reinigungs-, Wartungs- und Servicedienstleister
9. Behörden und kommunale Stellen bei gesetzlicher Verpflichtung
10. Polizei, Staatsanwaltschaft, Gerichte oder Versicherungen bei konkreten Vorfällen

Auftragsverarbeiter werden auf Grundlage eines Vertrags nach Art. 28 DSGVO eingesetzt, soweit dies gesetzlich erforderlich ist. Andere Empfänger verarbeiten Daten in eigener Verantwortung.

20. Verarbeitung außerhalb des Europäischen Wirtschaftsraums

Einige Dienstleister oder deren Unterauftragsverarbeiter können Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeiten, insbesondere in den USA.

Eine solche Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Dies kann insbesondere auf einem Angemessenheitsbeschluss, einer gültigen Zertifizierung nach dem EU-US Data Privacy Framework, Standardvertragsklauseln der Europäischen Kommission oder einer gesetzlichen Ausnahme beruhen. Soweit erforderlich, prüfen wir zusätzliche Schutzmaßnahmen.

Nach Anbieterangabe betreibt Guestway die Plattform auf AWS in der Europäischen Union, Region eu-west-1, Irland. Didit soll nach Angabe von Guestway Daten ebenfalls in der Europäischen Union auf AWS speichern.

21. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Maßgeblich sind insbesondere der Zweck der Verarbeitung, die Vertragsdauer, gesetzliche Aufbewahrungsfristen und die Notwendigkeit zur Geltendmachung oder Abwehr von Ansprüchen.

Soweit für einzelne Datenkategorien keine feste Frist angegeben ist, werden die Daten gelöscht, sobald der Verarbeitungszweck entfällt und keine gesetzlichen Aufbewahrungspflichten oder berechtigten Gründe für eine weitere Speicherung bestehen.

22. Pflicht zur Bereitstellung von Daten

Sie müssen nur diejenigen personenbezogenen Daten bereitstellen, die für den Abschluss und die Durchführung des Beherbergungsvertrags oder aufgrund gesetzlicher Vorschriften erforderlich sind. Ohne erforderliche Angaben können wir eine Buchung, Zahlung, Identitätsprüfung, Zugangserteilung oder gesetzlich vorgeschriebene Meldung gegebenenfalls nicht durchführen.

Die Einwilligung in einen biometrischen Selfie-Abgleich ist nicht verpflichtend, wenn die Identität über den angebotenen Video-Call oder eine manuelle Prüfung zuverlässig festgestellt werden kann.

23. Automatisierte Entscheidungen und Profiling

Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO.

24. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Dazu gehören insbesondere rollenbasierte Zugriffe, sichere Passwörter, Zwei-Faktor-Authentifizierung, verschlüsselte Übertragung, regelmäßige Überprüfung von Berechtigungen, beschränkte Weitergabe an Dienstleister sowie dokumentierte Lösch- und Vorfallprozesse.

Papiermeldescheine werden verschlossen aufbewahrt und nach Ablauf der gesetzlichen Frist sicher vernichtet.

25. Rechte betroffener Personen

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung der Verarbeitung nach Art. 18 DSGVO, Datenübertragbarkeit nach Art. 20 DSGVO, Widerspruch nach Art. 21 DSGVO und Widerruf einer Einwilligung nach Art. 7 Abs. 3 DSGVO.

Zur Ausübung Ihrer Rechte wenden Sie sich an [email protected].

Wenn wir Daten aufgrund berechtigter Interessen verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde am Unternehmenssitz ist grundsätzlich der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit. Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden.

26. Aktualisierung dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Leistungen, eingesetzten Systeme, Datenflüsse oder rechtlichen Anforderungen ändern.

Stand: 30. August 2026