Datenschutz.

1. Verantwortlicher

Verantwortlich im Sinne von Art. 4 Abs. 7 DSGVO ist:
Celestial Haven — Max Mustermann GmbH
Musterstraße 1, 12345 Musterstadt, Deutschland
Telefon: +49 123 4567890
E-Mail: max@mustermann.de

Ein betrieblicher Datenschutzbeauftragter ist nicht bestellt, da hierzu keine gesetzliche Pflicht besteht (Art. 37 DSGVO, § 38 BDSG).

2. Allgemeines zur Datenverarbeitung

Wir erheben und verwenden personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen (Zimmerbuchung, Kundenkonto) erforderlich ist. Die Erhebung und Verwendung erfolgt regelmäßig nur nach Einwilligung des Nutzers oder auf Basis einer gesetzlichen Rechtsgrundlage. Eine Ausnahme gilt, soweit eine vorherige Einholung einer Einwilligung aus tatsächlichen Gründen nicht möglich ist und die Verarbeitung der Daten durch gesetzliche Vorschriften gestattet ist.

3. Server-Logfiles (Hosting)

Bei jedem Aufruf unserer Website erfasst unser Hosting-System automatisch Daten und Informationen des aufrufenden Rechnersystems (z. B. IP-Adresse, Datum und Uhrzeit der Anfrage, angeforderte Datei, Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL). Diese Daten werden ausschließlich zur Gewährleistung eines störungsfreien Betriebs sowie zur Absicherung unserer Systeme verarbeitet (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse) und nicht mit anderen Datenquellen zusammengeführt. Die Logfiles werden aus Sicherheitsgründen (z. B. zur Aufklärung von Missbrauchsfällen) für maximal 7 Tage gespeichert und danach gelöscht.

4. Registrierung / Kundenkonto

Bei der Erstellung eines Kundenkontos erheben wir folgende Daten: Vorname, Nachname, E-Mail-Adresse, Passwort (als Hash gespeichert, nie im Klartext), Telefonnummer sowie Adresse (Straße, PLZ, Ort, Land). Diese Daten werden ausschließlich in unserer eigenen, selbst gehosteten Datenbank gespeichert — es findet keine Weitergabe an Dritte oder an externe Cloud-/CRM-Dienste statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. vorvertragliche Maßnahmen). Passwörter werden mit einem kryptografischen Hash-Verfahren (bcrypt) gesichert und sind für uns selbst nicht einsehbar.

5. Buchungen

Im Rahmen einer Zimmerbuchung verarbeiten wir zusätzlich: gewählte Suite, An- und Abreisedatum, Anzahl der Gäste, gewählte Verpflegungsart, optionalen Shuttle-Service sowie freiwillige Anmerkungen im Freitextfeld. Auch diese Daten verbleiben ausschließlich in unserer eigenen Datenbank und werden Ihrem Kundenkonto zugeordnet. Rechtsgrundlage ist ebenfalls Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Bitte geben Sie im Anmerkungsfeld keine sensiblen Daten (z. B. Gesundheitsdaten) an, die für die Buchung nicht erforderlich sind.

6. Cookies

Wir setzen ausschließlich ein technisch notwendiges Sitzungs-Cookie (auth_token) zur Anmeldung und Aufrechterhaltung Ihrer Sitzung. Es enthält ein signiertes Token mit Nutzer-ID, Benutzername, Vor-/Nachname und Rolle — niemals Ihr Passwort. Das Cookie ist httpOnly (per JavaScript nicht auslesbar), wird nur über verschlüsselte Verbindungen übertragen (secure, im Produktivbetrieb) und ist gegen Cross-Site-Angriffe abgesichert (SameSite=Lax). Es ist je nach Rolle 7 Tage (Gäste) bzw. 1 Tag (Hausleitung) gültig oder bis Sie sich abmelden. Da dieses Cookie zwingend erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst (Login) bereitzustellen, ist gemäß § 25 Abs. 2 Nr. 2 TDDDG keine gesonderte Einwilligung erforderlich; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wir setzen keine Tracking-, Marketing- oder Analyse-Cookies und keine Cookies Dritter.

7. Eingebundene Drittanbieter (Admin-Bereich)

Der öffentliche Bereich dieser Website bindet ausschließlich lokal gehostete Schriftarten ein — es findet dabei keine Verbindung zu externen Servern statt. Der passwortgeschützte Verwaltungsbereich (/admin), der ausschließlich der Hausleitung vorbehalten ist, lädt Schriftarten live von Google Fonts (fonts.googleapis.com, fonts.gstatic.com) nach. Dabei kann die IP-Adresse des zugreifenden Geräts an Google LLC bzw. Google Ireland Limited übertragen werden, was eine Datenübermittlung in ein Drittland (USA) einschließen kann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer technisch einfachen und performanten Verwaltungsoberfläche). Da dieser Bereich ausschließlich intern von der Hausleitung genutzt wird, sind hiervon keine Gäste-Endnutzer betroffen.

8. Empfänger und Auftragsverarbeiter

Eine Übermittlung Ihrer personenbezogenen Daten an Dritte findet nicht statt. Wir nutzen keine externen Buchungs-, CRM-, Analyse- oder Newsletter-Dienste. Sämtliche Kunden- und Buchungsdaten verbleiben ausschließlich in unserer selbst betriebenen Datenbank.

9. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die genannten Zwecke erforderlich ist bzw. wie es gesetzliche Aufbewahrungsfristen (insbesondere handels- und steuerrechtlich, z. B. §§ 147 AO, 257 HGB, i. d. R. 6 bzw. 10 Jahre für buchungsrelevante Unterlagen) verlangen. Kundenkonten können auf Wunsch jederzeit gelöscht werden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

10. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder unbefugten Zugriff zu schützen: Passwörter werden ausschließlich als bcrypt-Hash gespeichert, die Anmeldung erfolgt über ein signiertes, httpOnly-gesichertes Sitzungs-Cookie, und der Verwaltungsbereich ist serverseitig durch eine Rollenprüfung (nur „Hausleitung“) geschützt.

11. Keine automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO ein.

12. Ihre Rechte

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft, Empfänger und den Zweck der Datenverarbeitung (Art. 15 DSGVO) sowie ein Recht auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Sofern die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Wenden Sie sich hierzu bitte an max@mustermann.de.

13. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist z. B. das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.