Datenschutzerklärung

1. Verantwortliche

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Katharina Gelbrecht, Theodor-Storm-Straße 20, 22926 Ahrensburg, Deutschland, E-Mail: anfrage@annasschwedenhaus.de.

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt.

2. Hosting

Die Website ist für den Betrieb auf der Infrastruktur von Vercel Inc., USA, vorgesehen. Vercel speichert und verarbeitet dabei technische Zugriffsdaten, soweit dies für die Auslieferung der Seiten erforderlich ist. Dazu gehören nach der öffentlichen Privacy Notice von Vercel insbesondere IP-Adresse, daraus abgeleitete grobe Standortangaben (Stadt/Land), aufgerufene Adressen und systembezogene Informationen.

Rechtsgrundlage für unser berechtigtes Interesse am sicheren Betrieb der Website ist Art. 6 Abs. 1 lit. f DSGVO. Vercel kann für Teile der Infrastruktur eigener Verantwortlicher sein. Ein Auftragsverarbeitungsvertrag (DPA) von Vercel ist öffentlich verfügbar; die accountseitige Annahme ist vor dem öffentlichen Go-live zu bestätigen. Vercel verarbeitet Daten auch in den USA. Als Transfermechanismus nennt Vercel Standardvertragsklauseln.

Wir setzen keine Vercel Analytics- und keine Speed-Insights-Produkte ein.

3. Serverlogs

Wir betreiben keine eigene Log-Datenbank. Technische Protokolle entstehen auf der Hosting-Infrastruktur. Die genaue Aufbewahrungsdauer dieser Hoster-Logs legen wir nicht selbst fest; sie richtet sich nach den Einstellungen und der Dokumentation von Vercel. Zweck ist der technische Betrieb, die Fehleranalyse und die Abwehr von Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Supabase

Buchungsanfragen, Belegungsdaten, Vertragsdaten, Gastzugänge und kurzfristige Rate-Limit-Kennungen speichern wir in einer von Supabase betriebenen Datenbank. Anbieter ist nach der öffentlichen DPA-Dokumentation Supabase. Die gewählte Projektregion ist Central EU (Frankfurt).

Der öffentliche Website-Code greift nicht unmittelbar auf die Tabellen zu. Buchungsanfragen werden über eine serverseitige Schnittstelle entgegengenommen. Lesezugriffe auf Belegungszeiten erfolgen ebenfalls serverseitig. Tabellen sind per Row Level Security standardmäßig gesperrt.

Supabase ist ein US-Unternehmen. Die Speicherung erfolgt vorrangig in der gewählten EU-Region; Backups, Logs oder Subprozessoren können weitere Orte berühren. Die öffentliche DPA sieht Standardvertragsklauseln vor. Die accountseitige Annahme der DPA ist vor Go-live zu bestätigen.

5. Buchungsanfragen

Über das Formular auf der Seite Verfügbarkeit könnt ihr uns eine unverbindliche Buchungsanfrage senden. Die Anfrage begründet keinen Vertrag und reserviert den gewünschten Zeitraum nicht.

Für die erste Anfrage erheben wir als Pflichtangaben: gewünschte Anreise und Abreise, Anzahl Erwachsene, Anzahl Kinder, Vorname, Nachname und E-Mail-Adresse. Optional könnt ihr Telefonnummer, Land und eine Nachricht angeben.

Straße, Postleitzahl, Ort und Kinderalter sind für die Erstanfrage nicht erforderlich. Diese Angaben können wir später erheben, wenn aus der Anfrage eine Buchung werden soll, insbesondere für den Mietvertrag.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf eure Anfrage). Eine Einwilligung in die zur Bearbeitung erforderliche Verarbeitung verlangen wir dafür nicht.

Ohne die Pflichtangaben können wir die Anfrage nicht bearbeiten. Die Daten speichern wir in unserer Datenbank und nutzen sie, um euch zu antworten. Kommt später ein Vertrag zustande, können die Daten in die Vertragsakte übernommen werden.

6. Vertragsdaten und Vertragsentwürfe

Wenn aus einer Anfrage eine bestätigte Buchung wird, speichern wir zusätzlich die für den Mietvertrag erforderlichen Angaben. Dazu können Anschrift (Straße, Postleitzahl, Ort, Land), vereinbarte Beträge als ganze Cent-Beträge sowie Check-in- und Check-out-Angaben gehören. Anschrift und Preise gehören nicht zur öffentlichen Erstanfrage.

Zu jeder bestätigten Buchung können versionierte HTML-Vertragsentwürfe gespeichert werden. Eine gespeicherte Fassung wird nicht nachträglich inhaltlich überschrieben, sondern durch eine neue Version ersetzt. Die Entwürfe sind intern und nicht öffentlich auffindbar.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Angaben der Vertragsvorbereitung oder -durchführung dienen.

7. Gastportal und Unterlagenversand

Nach einem erfolgreichen Versand der Unterlagen könnt ihr über einen persönlichen Link die zuletzt versendete Vertragsfassung einsehen. Der Link enthält ein zufälliges Token. Wir speichern nur den SHA-256-Prüfwert dieses Tokens (token_hash), nicht den Klartext. Der Klartext steht nur im Versandmoment in der E-Mail. Ungültige oder widerrufene Links führen zu keiner Inhaltsanzeige.

Zum Versandprotokoll gehören Empfängeradresse, Versandzeitpunkt und der technische Zustellstatus. Hausordnung und weitere Gastunterlagen werden nur angezeigt, wenn sie intern ausdrücklich freigegeben sind. Annas A–Z ist derzeit nicht öffentlich.

Wenn ihr im Gastportal eine versendete Vertragsfassung annehmt, speichern wir den angegebenen Unterzeichnernamen, den Zeitpunkt der Annahme, die Versionskennung der Annahmeerklärung und einen SHA-256-Prüfwert der angenommenen Vertragsfassung. Optional können gekürzte technische Prüfwerte (Hash von IP-Adresse bzw. User-Agent) zur Absicherung des Vorgangs gespeichert werden; die Roh-IP speichern wir dafür nicht. Die Annahme ist an genau die bereits versendete Vertragsfassung gebunden. Eine spätere neue Entwurfsversion übernimmt diese Annahme nicht.

Der Unterlagenversand nutzt denselben Mailweg (Resend) wie die Buchungsmails, sobald der Versand produktiv aktiviert ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

8. Verfügbarkeitskalender

Der Kalender zeigt voraussichtlich belegte und freie Zeiträume. Er ist eine Anzeige, keine verbindliche Zusage. Die öffentliche Schnittstelle liefert nur Start- und Enddaten belegter Intervalle, keine Namen und keine Buchungstexte.

9. iCal-Verarbeitung

Belegte Zeiträume können serverseitig aus iCal-Kalendern bestehender Vermietungsportale (vorgesehen: Stugknuten und Ferienhaus24) importiert werden. Aus den Kalenderdateien übernehmen wir nur eine technische Ereigniskennung sowie Start- und Enddatum. Namen, Beschreibungen oder sonstige Eventtexte speichern wir nicht.

Die Adressen der Kalenderfeeds bleiben serverseitig und werden nicht veröffentlicht. Eure Buchungsanfrage wird durch diesen Import nicht an die Portale übermittelt.

10. Ferienkalender / OpenHolidays

Optional könnt ihr deutsche Schulferien als Planungshilfe im Kalender einblenden. Euer Browser ruft dazu nur unsere eigene Serveradresse auf. Unser Server fragt anschließend die OpenHolidays-API mit Bundesland und Datumsfenster ab. Gastdaten, Namen oder Anfrageinhalte werden dabei nicht übertragen.

Die Ferienanzeige ändert die Verfügbarkeit des Hauses nicht und ist kein personenbezogener Buchungsprozess. Abgerufene Ferienperioden werden kurz im Serverspeicher vorgehalten (24 Stunden) und nicht in der Datenbank gespeichert.

11. E-Mailversand / Resend

Nach dem Speichern einer Buchungsanfrage ist vorgesehen, uns eine Benachrichtigung und euch eine Eingangsbestätigung per E-Mail zu senden. Technisch vorbereitet ist dafür der Dienst Resend (Plus Five Five, Inc., USA). Account, Absenderdomain und produktiver Versand sind derzeit noch nicht eingerichtet.

Sobald der Versand produktiv aktiviert ist, übermitteln wir an Resend die für die jeweilige Nachricht erforderlichen Angaben. An uns: Zeitraum, Gästeanzahl, Name, E-Mail und die übrigen in der Anfrage enthaltenen optionalen Angaben. An euch: Name, Zeitraum, Gästeanzahl und der Hinweis, dass noch keine Buchung vorliegt. Beim Unterlagenversand zusätzlich den persönlichen Zugangslink zur zuletzt versendeten Vertragsfassung. Nach einer elektronischen Vertragsannahme können wir euch eine kurze Eingangsbestätigung und uns eine Information über die Annahme senden. Über das allgemeine Kontaktformular der Startseite senden wir Name, E-Mail und Nachricht an anfrage@annasschwedenhaus.de; diese Kontaktnachricht wird nicht in der Buchungsdatenbank gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Nachricht der Bearbeitung eurer Anfrage dient. Resend stellt eine DPA mit Standardvertragsklauseln bereit. Subprozessoren von Resend sitzen unter anderem in den USA. Die accountseitige Annahme der DPA und die produktive Einrichtung sind Voraussetzungen für den Mailversand.

12. Spam- und Rate-Limit-Schutz

Um das Formular vor automatisiertem Missbrauch zu schützen, begrenzen wir die Zahl der Anfragen je IP-Adresse und je E-Mail-Adresse in einem kurzen Zeitfenster. Ein unsichtbares Formularfeld (Honeypot) wird nicht gespeichert; ausgefüllte Bot-Felder führen zum Abbruch ohne Speicherung.

Wir setzen kein Captcha und keinen reCAPTCHA-Dienst ein.

13. IP- und E-Mail-Hashing

Für das Rate-Limit lesen wir die IP-Adresse aus technischen Verbindungsangaben und verarbeiten außerdem die im Formular angegebene E-Mail-Adresse. Gespeichert werden nur SHA-256-Prüfwerte, nicht die Roh-IP. In der Buchungsanfrage selbst wird keine IP-Adresse abgelegt.

Die Hash-Einträge werden nach 24 Stunden gelöscht. Zweck ist die Missbrauchs- und Spamabwehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz des Formulars). Einem Widerspruch nach Art. 21 DSGVO können wir nachkommen, soweit der Schutz vor Missbrauch dem nicht entgegensteht; in der Praxis endet die Speicherung ohnehin nach 24 Stunden.

14. Externe Links

Auf einzelnen Seiten, insbesondere unter Småland entdecken, verlinken wir auf Websites Dritter. Erst beim Anklicken verlasst ihr unser Angebot. Für die dortige Datenverarbeitung sind die jeweiligen Betreiber verantwortlich.

Instagram wird auf der Startseite über einen Link zum Profil annas.schwedenhaus.im.glueck eingebunden. Der Inhalt von Instagram wird nicht automatisch geladen. Erst beim Anklicken verlasst ihr unser Angebot. Es gibt keine eingebetteten Videos, Karten oder sonstigen fremden Frames.

15. Schriften

Die Schriften Inter und Cormorant Garamond werden über next/font eingebunden. Die Dateien werden zur Erstellung der Website heruntergeladen und anschließend von unserem eigenen Host ausgeliefert. Beim Aufruf der Seiten sendet euer Browser nach der Dokumentation von Next.js keine Anfrage an Google Fonts.

16. Cookies und Speicher im Browser

Auf den öffentlichen Seiten setzen wir in der Anwendung keine eigenen Cookies und kein Tracking- oder Marketing-Werkzeug. Wir nutzen dort kein Local Storage und kein Session Storage. Ein Einwilligungsbanner für Cookies ist nach diesem Stand nicht erforderlich.

Für die Anmeldung im internen Gastgeberbereich sind technisch notwendige Sitzungs-Cookies des Authentifizierungsdienstes (Supabase Auth) erforderlich. Das Gastportal arbeitet mit dem Token in der Adresse, nicht mit einem Gäste-Login-Cookie.

Technisch notwendige Vorgänge der Übertragung (etwa TLS) bleiben möglich. Ob der Hoster nach dem öffentlichen Deployment eigene Cookies setzt, prüfen wir an den dann sichtbaren Antworten.

17. Videoüberwachung am Ferienhaus

Am Ferienhaus in Schweden sind vier Kameras des Systems TP-Link Tapo installiert. Sie gehören nicht zur Website-Technik. Verwaltet werden sie über die Tapo-App.

Die Kameras erfassen derzeit folgende Bereiche:

• Vorderseitenkamera (Außenkamera): Haustür, Tür des Nebengebäudes und Parkplatz. Während Gästeaufenthalten aktiv. Erfasst bei Bewegung Bild und Ton.
• Gartenkamera (Außenkamera, Rückseite): Gartenbereich. Während Gästeaufenthalten aktiv. Erfasst bei Bewegung Bild und Ton.
• Nebengebäudekamera: Überwachung des Nebengebäudes. Während Gästeaufenthalten aktiv. Erfasst bei Bewegung Bild und Ton.
• Wohnzimmerkamera (Innenkamera): kann Wohnzimmer, Teile der Küche und den Außenbereich erfassen. Während Gästeaufenthalten steht diese Kamera auf Privat. Sie ist in dieser Zeit nicht zur Überwachung aktiv.

Die während Gästeaufenthalten aktiven Außenkameras erfassen bei Bewegung Bild und Ton. Aufzeichnungen werden lokal auf einer SD-Karte gespeichert. Eine Tapo-Cloudspeicherung (Tapo Care) wird nicht genutzt. Die Speicherdauer beträgt 24 Monate.

Zweck der Kameras ist der Schutz von Haus, Zugang und Grundstück. Die Verarbeitung ist nicht erforderlich, um einen Mietvertrag zu erfüllen. Eine an die Buchung gekoppelte Einwilligung ersetzen wir dafür nicht. Als Rechtsgrundlage kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht (berechtigtes Interesse am Schutz von Haus, Zugang und Grundstück). Ob die Tapo-App für Liveansicht oder Kontofunktionen Daten an TP-Link übermittelt, ist accountseitig nicht abschließend verifiziert. Zugriff auf die Aufzeichnungen hat die Betreiberin über die Tapo-App.

Vor Ort sind vor dem öffentlichen Betrieb Hinweisschilder zur Videoüberwachung anzubringen. Weiterführende Angaben stehen auf dieser Seite. Ihr könnt uns zu den Kameras unter den oben genannten Kontaktdaten erreichen und der Verarbeitung aus Gründen widersprechen, die sich aus eurer besonderen Situation ergeben.

18. Speicherdauer

• Buchungsanfragen: solange sie für die Bearbeitung, die Korrespondenz und – falls eine Buchung folgt – die Vertragsdurchführung erforderlich sind. Kommt keine Buchung zustande, löschen wir die Anfrage, sobald sie dafür nicht mehr benötigt wird. Eine feste Monatsfrist ist derzeit nicht festgelegt.
• Vertragsdaten, Vertragsentwürfe, Gastzugangs-Hashes, Versandprotokolle und elektronische Vertragsannahmen (Unterzeichnername, Zeitpunkt, Versions- und Snapshot-Prüfwert): solange sie für Vertrag, Nachweis und – soweit gesetzlich vorgeschrieben – Aufbewahrung erforderlich sind. Eine feste Monatsfrist ist derzeit nicht festgelegt.
• Rate-Limit-Hashes: 24 Stunden.
• OpenHolidays-Zwischenspeicher: 24 Stunden im Serverspeicher.
• iCal-Belegungsintervalle: solange die jeweilige Kalenderquelle aktiv ist; ohne Gastnamen.
• Hoster- und Mailprotokolle: nach den Regeln der jeweiligen Anbieter.
• Kameraaufzeichnungen: lokal auf SD-Karte; Speicherdauer 24 Monate. Die während Gästeaufenthalten aktiven Außenkameras speichern bei Bewegung Bild und Ton.

19. Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. b DSGVO: Bearbeitung der von euch selbst ausgelösten Buchungsanfrage, der dazugehörigen E-Mails sowie – nach Bestätigung – der Vertragsdaten, Vertragsentwürfe, des Unterlagenversands und der elektronischen Vertragsannahme.
• Art. 6 Abs. 1 lit. a DSGVO: allgemeines Kontaktformular der Startseite, soweit ihr der Verarbeitung eurer Angaben zur Bearbeitung der Nachricht zustimmt.
• Art. 6 Abs. 1 lit. f DSGVO: Betrieb der Website, Serverlogs, Spamabwehr, Verfügbarkeitsanzeige, serverseitige Ferienabfrage. Für die Videoüberwachung am Ferienhaus kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht (berechtigtes Interesse am Schutz von Haus, Zugang und Grundstück).

20. Empfänger

Empfänger können sein: die Betreiberin; Vercel als Hoster; Supabase als Datenbankdienst; Resend als Mailanbieter, sobald der Versand produktiv aktiviert ist; OpenHolidays nur mit technischen Ferienabfragen ohne Gastdaten; TP-Link/Tapo soweit die Kamera-App eine Übermittlung erfordert. Vermietungsportale erhalten eure Anfragedaten über diese Website nicht.

21. Auftragsverarbeiter

Als Auftragsverarbeiter vorgesehen sind Vercel (Hosting), Supabase (Datenbank) und – nach produktiver Einrichtung – Resend (E-Mail). Öffentliche DPAs liegen vor. Ob der jeweilige Vertrag accountseitig angenommen ist, ist vor Go-live zu bestätigen. OpenHolidays verarbeitet keine Gastdaten und ist insoweit kein Auftragsverarbeiter für eure Anfrage.

22. Drittlandtransfers

Vercel und Resend sind US-Unternehmen. Supabase speichert die Datenbank in Frankfurt, ist aber ebenfalls ein US-Konzern. Übermittlungen in die USA können stattfinden. Die genannten Anbieter stützen Transfers öffentlich auf Standardvertragsklauseln. Eine Zertifizierung nach dem EU-US Data Privacy Framework haben wir für diese Konten nicht selbst geprüft.

23. Eure Rechte

Ihr habt das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und – soweit die Verarbeitung auf einem Vertrag oder vorvertraglichen Maßnahmen beruht – auf Datenübertragbarkeit. Soweit wir uns auf berechtigte Interessen stützen, habt ihr ein Widerspruchsrecht aus Gründen, die sich aus eurer besonderen Situation ergeben. Zur Ausübung genügt eine Nachricht an die oben genannte E-Mail-Adresse.

24. Beschwerderecht

Ihr habt das Recht, euch bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns als Verantwortliche mit Sitz in Ahrensburg ist zuständig das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, https://www.datenschutzzentrum.de. Ihr könnt euch auch an die Aufsichtsbehörde an eurem Aufenthaltsort wenden.

25. Pflicht zur Bereitstellung

Die Nutzung der Website ist ohne Angabe personenbezogener Daten möglich, abgesehen von den technischen Daten des Seitenaufrufs. Für eine Buchungsanfrage sind die oben genannten Pflichtfelder erforderlich. Ohne sie können wir die Anfrage nicht bearbeiten. Es besteht keine gesetzliche Pflicht, eine Anfrage zu senden.

26. Keine automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO und kein Profiling ein. Der Kalender prüft nur, ob ein Zeitraum als belegt gespeichert ist.