Datenschutzerklärung

Sie können diesen ganzen Index lesen, ohne uns etwas zu geben und ohne irgendetwas zuzustimmen: kein Konto, keine Adresse, nichts. Es gibt keine Werbe-Cookies, keine Tracking-Pixel und keinen Analysedienst. Vier Dinge sind freiwillig und ausgeschaltet, bis Sie sie wählen: die Messung, welche Seiten gelesen werden, die Karte auf einer Hotelseite, die Auswahl per E-Mail und ein Konto, das Ihre Merkliste zwischen Geräten mitnimmt.

S Grade Hotels, Inhaber Tim Schander

Spessartstraße 9, 53119 Bonn, Deutschland, info@sgradehotels.com

Ein Datenschutzbeauftragter ist nicht benannt. Die Schwellen des Art. 37 DSGVO und des § 38 BDSG erreicht ein Einzelunternehmen dieser Größe nicht.

Die Seite wird über das Netz von Cloudflare ausgeliefert. Dafür ist technisch Ihre IP-Adresse nötig, und der Hosting-Anbieter führt kurzlebige Betriebsprotokolle, um die Seite auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse). Wir werten diese Protokolle nicht selbst aus und verknüpfen sie mit nichts anderem.

Der Index liegt in einer PostgreSQL-Datenbank in Frankfurt am Main, die unser Hosting-Anbieter für uns betreibt. Wenn Sie suchen oder filtern, läuft die Abfrage auf unserem Server gegen diese Datenbank. Suchbegriffe werden nicht mit Ihrer Person gespeichert; den einzigen Fall, in dem ein Begriff überhaupt festgehalten wird, nennt der Abschnitt zur Messung weiter unten.

Zwei Dinge auf dieser Seite stellt ein Sprachmodell zusammen: den Absatz „Was die Prüfer hervorheben“ auf der Seite eines Hauses, der die Auszeichnungen dieses Hauses zusammenfasst, und die Ausstattungsliste daneben. Beide entstehen aus dem Eintrag des Hauses selbst, also aus Name, Land, Auszeichnungen und der Beschreibung, die wir führen, und keiner von beiden sagt etwas, das nicht in diesem Eintrag steht. Beide sagen das auch dort, wo sie stehen: Der Absatz trägt eine Zeile zu seiner Herkunft, und die Ausstattungsliste sagt, ob sie von der Website des Hauses gelesen oder von einer KI zugeordnet wurde.

Das Modell ist Google Gemini, erreicht über das KI-Gateway unseres Hosting-Anbieters. Nichts über Sie wird dorthin geschickt. Nicht Ihre Suchbegriffe, nicht Ihre Merkliste, nicht Ihre E-Mail-Adresse, nicht Ihre Buchungsanfrage, nicht Ihre IP-Adresse. Die Anfrage enthält Hoteldaten und sonst nichts. Unser Server stellt sie, wenn die Seite eines Hauses zum ersten Mal aufgerufen wird, und das Ergebnis wird beim Haus gespeichert. Das geschieht also einmal und für dieses Haus nie wieder.

Ihre Buchungsanfragen liest und beantwortet ein Mensch. Keine Entscheidung über Sie wird automatisiert getroffen.

Wenn Sie es erlauben, halten wir fest, welche Seiten innerhalb eines Besuchs in welcher Reihenfolge gelesen werden. Das läuft auf unseren eigenen Servern und in unserer eigenen Datenbank. Kein Analysedienst ist beteiligt, und nichts wird weitergegeben.

Was festgehalten wird: der Pfad der Seite, die Position innerhalb des Besuchs, eine grobe Geräteklasse (Telefon, Tablet oder Rechner), der Host der Seite, von der Sie kamen (zum Beispiel „google.com“, nie die volle Adresse mit Ihrer Suchanfrage), und auf einer Hotelseite, um welches Haus es ging. Suchbegriffe werden nur festgehalten, um zu sehen, was gesucht und nicht gefunden wird; sie werden kleingeschrieben und ohne jede Verbindung zu einer Person gespeichert.

Was nicht festgehalten wird: Ihre IP-Adresse, die Kennung Ihres Browsers (User-Agent), Cookies oder irgendeine Kennung, die das Schließen des Tabs überdauert. Die einzige Kennung ist eine Zufallszahl für die Dauer eines Besuchs, im Sitzungsspeicher Ihres Tabs. Sie ist weg, wenn der Tab geschlossen wird, und lässt sich weder mit einem anderen Besuch noch mit einer anderen Seite noch mit Ihnen verbinden.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Aufbewahrt für 400 Tage, dann gelöscht.

Hotelseiten können eine Karte zeigen. Die Kacheln kommen von Esri (Environmental Systems Research Institute, Inc., USA), das beim Zeichnen Ihre IP-Adresse erhält. Bei Esri wird nichts angefragt, solange Sie Karten nicht erlaubt haben, als Sie gefragt wurden. Haben Sie es nicht, wird keine Karte gezeichnet, und Sie werden auf der Seite nicht erneut gefragt; die Adresse des Hauses steht dann als Text da, und das ist die eigentliche Information. Sie können Ihre Wahl jederzeit im Fuß jeder Seite ändern.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework und der Standardvertragsklauseln von Esri. Wir haben keinen Vertrag mit Esri und nutzen einen öffentlich zugänglichen Dienst; betrachten Sie das als Übermittlung in ein Drittland und lassen Sie Karten ausgeschaltet, wenn Sie das nicht möchten.

Ein Druck auf „Reservieren“ öffnet ein Anfrageformular auf dieser Seite. Was Sie dort eingeben (E-Mail-Adresse, wahlweise Name und Telefonnummer, Reisedaten, Zahl der Gäste, die angefragten Häuser und eine Notiz), wird bei unserem Datenbankanbieter gespeichert (Supabase, als unser Auftragsverarbeiter nach Art. 28 DSGVO) und für genau eines genutzt: diese Anfrage mit Preisen, Verfügbarkeit und den Vorteilen zu beantworten, die wir arrangieren können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen auf Ihre Anfrage. Deshalb gibt es kein Kästchen zur Einwilligung: Diese Verarbeitung ist das, worum Sie gebeten haben, kein Zusatz.

Ihre Adresse wird nicht in den Newsletter aufgenommen und für nichts anderes verwendet. Eine Bestätigung und unsere Antwort gehen über einen E-Mail-Anbieter hinaus, der als unser Auftragsverarbeiter tätig ist. Anfragen werden gelöscht, sobald der Aufenthalt vorbei ist oder die Anfrage erkennbar zu nichts geführt hat, spätestens nach zwölf Monaten.

Wer eine Anfrage außerdem sieht. Solange Sie nur fragen, verlässt nichts diese Seite. Sobald Sie uns bitten, die Buchung vorzunehmen, gehen die dafür nötigen Angaben, also Ihr Name, die Daten, die Zahl der Personen und Ihre Wünsche zum Zimmer, an zwei Stellen: an das Hotel selbst und an Fora Travel (USA), die Gastagentur, über deren Akkreditierung die Reservierung gestellt wird. Keine der beiden erhält Ihre Daten für eigene Werbung.

Liegt das Hotel außerhalb der EU, stützt sich diese Übermittlung auf Art. 49 Abs. 1 lit. b DSGVO: Sie ist zur Erfüllung des Vertrags nötig, um den Sie gebeten haben, denn kein Haus kann ein Zimmer für einen Gast halten, dessen Namen es nicht kennt. Die Übermittlung an die Gastagentur stützt sich auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln. Möchten Sie nicht, dass wir Ihre Angaben weitergeben, sagen Sie es; die Folge ist schlicht, dass wir die Buchung nicht vornehmen können.

Eine Hotelseite verlinkt auf die Website des Hotels, damit Sie Preise und Zimmerarten an der Quelle ansehen können. Das ist ein gewöhnlicher Link: Er führt direkt dorthin, trägt keine Kennung und läuft über keine Weiterleitung auf unserer Domain. Wir erfahren nicht, dass Sie ihm gefolgt sind.

Ab dem Moment, in dem Sie dort ankommen, gilt die Datenschutzerklärung dieses Hotels, und Ihr Browser spricht mit dessen Servern wie nach jedem anderen Link. Links auf Buchungsportale oder Affiliate-Links gibt es auf dieser Seite nirgends.

Wenn Sie sich eintragen, speichern wir Ihre E-Mail-Adresse, das Thema, unter dem Ihre Anmeldung geführt wird („Resort & Beach“ oder „City & Luxury“; das Formular fragt derzeit nicht danach, deshalb wird jede Anmeldung unter „City & Luxury“ geführt), den Zeitpunkt Ihrer Einwilligung und den genauen Wortlaut, dem Sie zugestimmt haben. Den Wortlaut speichern wir, weil wir die Einwilligung nach Art. 7 Abs. 1 DSGVO nachweisen können müssen.

Die Anmeldung läuft im Double-Opt-in: Es wird nichts verschickt, bevor Sie den Link in einer Bestätigungsmail anklicken. Klicken Sie ihn nie an, wird der Eintrag nach 30 Tagen gelöscht. Jede Nachricht enthält einen Abmeldelink, und wer ihn nutzt, dessen Adresse wird gelöscht und nicht bloß markiert. Übrig bleiben die Tatsache und der Zeitpunkt der Abmeldung, damit wir zeigen können, dass die Abmeldung umgesetzt wurde, und damit die Adresse nicht später erneut eingespielt wird.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Bestätigungsmails verschickt ein E-Mail-Anbieter als unser Auftragsverarbeiter nach Art. 28 DSGVO.

Sie können diesen ganzen Index ohne Konto lesen, durchsuchen und eine Merkliste führen. Legen Sie eines an, hat es einen einzigen Zweck: dass Ihre Merkliste Ihnen von einem Gerät zum anderen folgt.

Was wir speichern: Ihre E-Mail-Adresse, Ihr Passwort in verschlüsselter Form, den Zeitpunkt, zu dem das Konto angelegt und zuletzt genutzt wurde, und die kurzen Namen der Häuser, die Sie vorgemerkt haben. Das ist der ganze Datensatz. Kein Name, keine Postanschrift, keine Telefonnummer, kein Geburtsdatum, keine Zahlungsdaten: Wir fragen nicht danach, und es gibt keinen Platz dafür.

Die Anmeldung über Google ist freiwillig und geschieht nur, wenn Sie diesen Knopf drücken. Auf diesen Seiten läuft nichts von Google, also erreicht Google nichts, während Sie lesen; der erste Kontakt ist der Moment, in dem Sie ihn drücken und Ihr Browser auf deren Anmeldeseite geschickt wird. Google teilt uns dann Ihre E-Mail-Adresse mit und dass die Anmeldung geklappt hat. Mehr erhalten wir nicht, und wir schicken Google nichts darüber, was Sie hier lesen. Für das, was auf der Seite von Google geschieht, gilt deren Datenschutzerklärung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Erfüllung der Vereinbarung, die Sie mit dem Anlegen des Kontos eingehen. Aufbewahrt, bis Sie die Löschung verlangen; schreiben Sie an die Adresse oben, und das Konto verschwindet samt Merkliste. Ein Konto trägt Sie in keinen E-Mail-Verteiler ein, das ist eine eigene Wahl mit eigener Einwilligung.

Ein Druck auf den Schlüssel bei einem Haus setzt es auf eine Merkliste. Sie enthält die kurzen Namen der Häuser und den Zeitpunkt, zu dem Sie jedes vorgemerkt haben, sonst nichts.

Ohne Konto wird diese Liste in den Speicher Ihres eigenen Browsers geschrieben und bleibt dort. Sie wird nie an uns geschickt, und wir können nicht sehen, was jemand vorgemerkt hat. Mit Konto liegt eine Kopie in unserer Datenbank, damit die Liste Ihnen auf ein anderes Gerät folgt; nur dafür gibt es hier Konten. Wer ein Haus entfernt oder auf der Merkliste „Leeren“ drückt, löscht beide Kopien.

Weil die Liste nur dazu da ist, etwas bereitzustellen, das Sie mit dem Druck auf den Schlüssel verlangt haben, fällt sie unter § 25 Abs. 2 Nr. 2 TDDDG und braucht keine Einwilligung, nach derselben Regel, nach der sich ein Laden einen Warenkorb merken darf. Ist die Messung eingeschaltet, wird gezählt, dass ein Haus vorgemerkt wurde; welche Häuser Sie vorgemerkt haben, nicht, weil nichts diese Zählung mit Ihnen oder Ihrem Konto verbindet.

Melden Sie sich nie an, setzt diese Seite überhaupt kein Cookie; stattdessen können vier Einträge im lokalen oder im Sitzungsspeicher Ihres Browsers abgelegt werden. Eine Anmeldung fügt zwei Cookies hinzu, beide von dieser Seite selbst und beide so gesetzt, dass kein Skript auf der Seite sie lesen kann. Die vollständige Liste mit Namen und Laufzeiten steht auf der Seite Was wir speichern.

Schriften kommen von dieser Domain. Während Sie eine Seite lesen, wird nichts bei Google Fonts, bei einem CDN oder bei sonst einem Dritten angefragt.

Sie können jede der freiwilligen Entscheidungen jederzeit ändern oder zurücknehmen, und der Widerruf ist so einfach wie die Einwilligung (Art. 7 Abs. 3 DSGVO). Der Widerruf berührt nicht die Rechtmäßigkeit dessen, was vorher geschehen ist.

Datenschutz-Einstellungen öffnen

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Für Bonn ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

Schreiben Sie an die Adresse oben. Anfragen werden von Hand bearbeitet, es gibt kein automatisches Selbstbedienungsportal, und das sagen wir lieber, als etwas anderes vorzugeben. Bitte rechnen Sie mit bis zu einem Monat (Art. 12 Abs. 3 DSGVO).

Eine ehrliche Einschränkung: Die Messdaten tragen keine Kennung, die sich auf Sie zurückführen ließe. Wir können „Ihre“ Zeilen darin also nicht finden und deshalb auch nicht einzeln herausgeben oder löschen. Das folgt daraus, so wenig wie möglich zu erheben, und ist keine Ausflucht: Es handelt sich von vornherein nicht um personenbezogene Daten einer bestimmbaren Person. Für Ihre E-Mail-Adresse, die ein personenbezogenes Datum ist, funktionieren Auskunft und Löschung ganz normal.

Die Einstellungen auf dieser Seite gelten für alle, egal wo Sie sind: Die freiwilligen Kategorien sind aus, bis sie eingeschaltet werden, aus welchem Land Sie auch kommen. Das ist strenger, als mehrere Rechtsordnungen verlangen, und für alle Leser gleich.

USA: Wir verkaufen keine personenbezogenen Informationen und geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter, so wie diese Begriffe im CCPA/CPRA bestimmt sind; deshalb gibt es keinen „Do Not Sell or Share“-Mechanismus, denn es gibt nichts, was er abschalten könnte. Einwohner Kaliforniens können ihre Rechte auf Auskunft und Löschung über die Kontaktadresse oben ausüben. Vereinigtes Königreich und Schweiz: Es gelten dieselben Rechte nach der UK GDPR und dem revidierten Schweizer DSG. Kanada, Australien, Brasilien, Japan: Die Rechte nach PIPEDA, dem Privacy Act 1988, dem LGPD und dem APPI werden über denselben Kontaktweg gewahrt.

Ändern sich die Kategorien, nach denen Sie gefragt werden, wird Ihre gespeicherte Wahl ungültig, und Sie werden neu gefragt, statt dass sie übernommen wird. Das Datum oben auf dieser Seite zeigt, wann der Text zuletzt geändert wurde.