Datenschutz auf einen Blick

1. Das Wichtigste in Kürze

Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung auf dieser Website ist die Neupitz GmbH, Kohlgarten 1, 15755 Teupitz, vertreten durch den Geschäftsführer Stephan Gabler. E-Mail: hallo@neupitz.de, Telefon: +49 33766 594998.

Welche Daten wir verarbeiten

Beim Aufruf der Seite verarbeitet unser Hoster technisch notwendige Daten, zum Beispiel Ihre IP-Adresse und die aufgerufene Adresse. Ohne diese Daten lässt sich die Seite nicht ausliefern.
Wenn Sie uns über ein Formular eine Anfrage schicken, verarbeiten wir die Angaben, die Sie dort machen.
Wenn Sie einen Aufenthalt über unsere Buchungsseite buchen, verarbeiten wir Ihre Angaben aus dem Buchungsformular und die Daten zur Zahlung, um die Buchung durchzuführen und abzurechnen. Die Zahlung wickelt Stripe ab.
Wie viele Menschen unsere Website besuchen und woher sie kommen, zählen wir mit Umami, einer Software, die wir selbst betreiben. Umami setzt keine Cookies und speichert keine IP-Adressen.
Nur mit Ihrer Einwilligung setzen wir Dienste zur Analyse (Google Analytics, Aufzeichnungen mit Umami) und zum Marketing (Meta Pixel, lemlist) ein. Ohne Einwilligung werden diese Dienste nicht geladen.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung können Sie jederzeit widerrufen, auf dieser Website über den Link „Cookie-Einstellungen“ unten auf jeder Seite. Außerdem können Sie sich bei einer Aufsichtsbehörde beschweren. Einzelheiten stehen in Abschnitt 3. Bei Fragen zum Datenschutz schreiben Sie uns jederzeit an hallo@neupitz.de.

2. Hosting und Auslieferung der Website

Cloudflare

Diese Website wird über Cloudflare Pages ausgeliefert. Anbieter ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Wenn Sie die Website aufrufen, verarbeitet Cloudflare Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die zuvor besuchte Seite und Angaben zu Browser und Betriebssystem. Das ist nötig, um die Seite auszuliefern, sie schnell zu laden und vor Angriffen zu schützen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren und zuverlässigen Bereitstellung der Website. Mit Cloudflare besteht ein Vertrag über Auftragsverarbeitung. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission und ergänzend auf Standardvertragsklauseln. Mehr in der Datenschutzerklärung von Cloudflare .

Sanity (Inhalte, Bilder und Dateien)

Texte, Bilder und Dateien dieser Website, etwa unsere AGB als PDF, pflegen wir im Content-Management-System Sanity. Bilder und Dateien lädt Ihr Browser direkt vom Server von Sanity (cdn.sanity.io). Dabei wird Ihre IP-Adresse an Sanity übermittelt. Anbieter sind die Sanity AS, Oslo, Norwegen, und die Sanity US Inc., USA.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse liegt in einer schnellen und zuverlässigen Darstellung der Inhalte. Soweit Daten in die USA übermittelt werden, stützt sich das auf die Standardvertragsklauseln der EU-Kommission. Mehr in der Datenschutzerklärung von Sanity .

Schriften

Die Schriften dieser Website liegen auf unserem eigenen Server. Beim Laden der Seite wird keine Verbindung zu Google Fonts oder einem anderen Schriftenanbieter aufgebaut.

Verschlüsselung

Diese Website nutzt eine TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an „https://“ in der Adresszeile und am Schloss-Symbol Ihres Browsers. Daten, die Sie an uns übermitteln, etwa über ein Anfrageformular, können dann nicht von Dritten mitgelesen werden.

3. Allgemeine Hinweise und Pflichtinformationen

Speicherdauer

Soweit in dieser Datenschutzerklärung keine bestimmte Speicherdauer genannt ist, speichern wir Ihre Daten, bis der Zweck der Verarbeitung entfällt. Wenn Sie die Löschung verlangen oder eine Einwilligung widerrufen, löschen wir Ihre Daten, sofern wir sie nicht aus anderen rechtlichen Gründen aufbewahren müssen, etwa wegen steuer- oder handelsrechtlicher Aufbewahrungsfristen. In diesem Fall löschen wir sie, sobald diese Gründe entfallen.

Rechtsgrundlagen

Haben Sie eingewilligt, verarbeiten wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Betrifft die Einwilligung das Speichern von Informationen in Ihrem Endgerät oder den Zugriff darauf, etwa durch Cookies, gilt zusätzlich § 25 Abs. 1 TDDDG. Sind Ihre Daten für einen Vertrag oder vorvertragliche Maßnahmen nötig, etwa für ein Angebot auf Ihre Anfrage, verarbeiten wir sie auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Daten, die wir für eine rechtliche Pflicht brauchen, verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Außerdem kann eine Verarbeitung auf unserem berechtigten Interesse nach Art. 6 Abs. 1 lit. f DSGVO beruhen. Welche Rechtsgrundlage im Einzelfall gilt, steht in den folgenden Abschnitten.

Empfänger und Übermittlung in Drittländer

Wir geben personenbezogene Daten nur weiter, wenn das für einen Vertrag nötig ist, wenn wir gesetzlich dazu verpflichtet sind, wenn wir ein berechtigtes Interesse daran haben oder wenn Sie eingewilligt haben. Dienstleister, die Daten in unserem Auftrag verarbeiten, setzen wir nur auf Grundlage eines Vertrags über Auftragsverarbeitung ein. Einige der genannten Anbieter sitzen in den USA oder übermitteln Daten dorthin. Für nach dem EU-US Data Privacy Framework zertifizierte Unternehmen gilt der Angemessenheitsbeschluss der EU-Kommission, für andere stützen wir die Übermittlung auf Standardvertragsklauseln.

Widerruf Ihrer Einwilligung

Viele Verarbeitungen sind nur mit Ihrer Einwilligung möglich. Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, auf dieser Website über „Cookie-Einstellungen“ unten auf jeder Seite. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

Widerspruchsrecht (Art. 21 DSGVO)

Beruht eine Verarbeitung auf Art. 6 Abs. 1 lit. e oder f DSGVO, haben Sie jederzeit das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einzulegen. Das gilt auch für ein darauf gestütztes Profiling. Nach einem Widerspruch verarbeiten wir Ihre Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 21 Abs. 1 DSGVO).

Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dem jederzeit widersprechen. Das gilt auch für ein Profiling, soweit es mit solcher Direktwerbung zusammenhängt. Nach Ihrem Widerspruch verwenden wir Ihre Daten nicht mehr für Direktwerbung (Art. 21 Abs. 2 DSGVO).

Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow.

Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit

Sie haben im Rahmen der gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten Daten, deren Herkunft und Empfänger und den Zweck der Verarbeitung, außerdem ein Recht auf Berichtigung oder Löschung. Sie können verlangen, dass wir die Verarbeitung einschränken, etwa solange wir prüfen, ob Ihre Daten richtig sind, oder wenn Sie die Daten für Rechtsansprüche brauchen, wir sie aber löschen würden. Daten, die wir auf Grundlage Ihrer Einwilligung oder eines Vertrags automatisiert verarbeiten, händigen wir Ihnen oder einem Dritten auf Wunsch in einem gängigen, maschinenlesbaren Format aus. Für all das genügt eine E-Mail an hallo@neupitz.de.

4. Einwilligung und Cookies

Cookies und ähnliche Techniken

Cookies sind kleine Textdateien, die Ihr Browser speichert. Ähnliche Techniken sind etwa der lokale Speicher oder der Sitzungsspeicher des Browsers. Technisch notwendige Cookies, etwa das Speichern Ihrer Entscheidung im Banner, setzen wir auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO. Alle anderen Cookies setzen wir nur mit Ihrer Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. In Ihrem Browser können Sie Cookies jederzeit löschen oder blockieren. Dann funktionieren unter Umständen einzelne Teile der Website nicht mehr.

Einwilligungsbanner (Privado)

Ihre Einwilligung holen wir über das Banner von Privado ein, Anbieter ist die Privado, Inc., San Francisco, USA. Das Banner wird von einem Server von Privado geladen, dabei wird Ihre IP-Adresse übermittelt. Ihre Entscheidung speichern wir in den Cookies „preferences“ und „last_consent“ in Ihrem Browser. Zum Nachweis Ihrer Einwilligung übermittelt das Banner Ihre Entscheidung mit einer zufälligen Kennung und dem Zeitpunkt an Privado.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, weil wir eine Einwilligung nachweisen müssen (Art. 7 Abs. 1 DSGVO), und für die Cookies § 25 Abs. 2 Nr. 2 TDDDG.

Im Banner können Sie zwei Gruppen einzeln erlauben:

Analyse: Google Analytics und Aufzeichnungen mit Umami (Abschnitt 5)
Marketing: Meta Pixel und lemlist (Abschnitt 5)

5. Analyse und Marketing

Reichweitenmessung mit Umami

Um zu verstehen, wie viele Menschen unsere Website besuchen, woher sie kommen und welche Seiten sie aufrufen, nutzen wir Umami. Umami ist eine Open-Source-Software, die wir selbst betreiben; die Daten gehen an keinen Analyse-Anbieter. Umami setzt keine Cookies und speichert nichts auf Ihrem Gerät. Erfasst werden die aufgerufene Seite, die Seite, von der Sie kommen, Kampagnenangaben in der Adresse (etwa „utm_source“), Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache und das ungefähre Land und die Region, abgeleitet aus der IP-Adresse. Dazu zählen wir Ereignisse wie das Absenden einer Anfrage oder die Schritte einer Buchung mit dem Betrag, ohne Ihre Angaben im Formular. Ihre IP-Adresse wird nicht gespeichert. Damit ein Besuch mit mehreren Seiten als ein Besuch zählt, bildet Umami aus IP-Adresse, Browserkennung und einem Zufallswert, der jeden Monat wechselt, eine Kennung, aus der sich die IP-Adresse nicht zurückrechnen lässt.

Rechtsgrundlage ist unser berechtigtes Interesse, die Reichweite unserer Website datensparsam zu messen und sie zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Sie können jederzeit widersprechen (Abschnitt 3) oder die Zählung für Ihren Browser selbst abschalten, indem Sie www.neupitz.de/nicht-zaehlen öffnen. Die Daten speichern wir zwei Jahre, danach löschen wir sie.

Umami läuft auf Servern der Railway Corporation, 548 Market St PMB 68956, San Francisco, California 94104, USA, in einem Rechenzentrum in Amsterdam (Niederlande). Mit Railway haben wir einen Vertrag zur Auftragsverarbeitung geschlossen. Daten können an Railway in den USA übermittelt werden; Railway ist nach dem EU-US Data Privacy Framework zertifiziert. Mehr in der Datenschutzerklärung von Railway .

Aufzeichnungen mit Umami (nur mit Einwilligung)

Wenn Sie im Banner der Analyse zustimmen, zeichnet Umami zusätzlich auf, wie Sie die Seite bedienen: Mausbewegungen, Klicks, Scrollen und Seitenwechsel, höchstens 15 Minuten lang. Was Sie in Formularfelder eingeben, wird schon in Ihrem Browser unkenntlich gemacht und nie übertragen. Aus den Aufzeichnungen sehen wir, wo die Bedienung hakt, etwa im Buchungsformular, und erstellen Übersichten, wohin auf einer Seite geklickt und wie weit gescrollt wird (Heatmaps). Aufzeichnungen werden nach 30 Tagen gelöscht. Betrieb und Server wie oben beschrieben. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Dienste, die nur mit Einwilligung laden

Die folgenden Dienste laden erst, wenn Sie im Banner zugestimmt haben. Rechtsgrundlage ist jeweils Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite widerrufen.

Google Analytics

Wir nutzen Google Analytics 4, um zu verstehen, wie unsere Website genutzt wird: welche Seiten aufgerufen werden, wie lange, über welchen Weg Besucher kommen, mit welchem Gerät und aus welcher ungefähren Region. Wenn Sie eine Anfrage abschicken, zählen wir das als Ereignis, ohne den Inhalt Ihrer Anfrage. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google Analytics setzt die Cookies „_ga“ und „_ga_BC6P54PGE4“ mit einer Laufzeit von bis zu zwei Jahren. IP-Adressen werden in Google Analytics 4 nicht gespeichert.

Auf der Buchungsseite zählen wir außerdem, wann jemand ein Zimmer auswählt, wann das Bezahlfeld geöffnet wird und wann eine Buchung abgeschlossen ist, beim Abschluss mit dem Gesamtbetrag. Name, E-Mail-Adresse und andere Angaben aus dem Formular übermitteln wir dabei nicht an Google.

Daten auf Ereignisebene werden nach zwei Monaten gelöscht, Daten zu einzelnen Nutzern nach 14 Monaten. Daten können an die Google LLC in den USA übermittelt werden. Google ist nach dem EU-US Data Privacy Framework zertifiziert. Mehr in der Datenschutzerklärung von Google .

Meta Pixel

Mit dem Meta Pixel messen wir, wie gut unsere Werbung auf Facebook und Instagram wirkt, und können Besuchern unserer Website dort Werbung zeigen. Wenn Sie eine Anfrage abschicken, meldet das Pixel das als Ereignis, ohne den Inhalt Ihrer Anfrage. Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Das Pixel setzt das Cookie „_fbp“ mit einer Laufzeit von drei Monaten. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta den Besuch Ihrem Konto zuordnen.

Für das Erheben und Übermitteln der Daten an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die Pflichten sind in einer Vereinbarung über die gemeinsame Verantwortlichkeit geregelt. Für die weitere Verarbeitung ist Meta allein verantwortlich. Daten können an die Meta Platforms, Inc. in den USA übermittelt werden, Meta ist nach dem EU-US Data Privacy Framework zertifiziert. Mehr in der Datenschutzerklärung von Meta .

lemlist

Mit lemlist erkennen wir, welche Unternehmen unsere Website besuchen, und können sie gezielt ansprechen. Dazu wird Ihre IP-Adresse mit öffentlichen Firmendaten abgeglichen. Anbieter ist die lempire SAS, 128 rue La Boétie, 75008 Paris, Frankreich.

6. Anfragen über unsere Formulare

Wenn Sie uns über ein Formular eine Anfrage schicken, verarbeiten wir Ihre Angaben, um die Anfrage zu beantworten und Ihnen ein Angebot zu machen: Name, Firma, E-Mail-Adresse, Telefonnummer, Anzahl der Gäste, Zeitraum, Ihre Nachricht und was Sie sonst angeben. Kamen Sie über einen Link mit Kampagnenangaben auf unsere Seite (etwa „utm_source“), senden wir diese zusammen mit der Einstiegsseite und der Seite, von der Sie kamen, mit der Anfrage mit, damit wir sehen, über welchen Weg Anfragen kommen. Über die gerade geöffnete Seite hinaus merken wir uns diese Angaben nur, wenn Sie im Banner Marketing erlaubt haben, und dann nur für die Dauer Ihres Besuchs im Sitzungsspeicher Ihres Browsers.

Die Anfrage geht an unser eigenes Buchungssystem. Es läuft bei der Railway Corporation, USA, auf Servern in den Niederlanden. Das Buchungssystem legt die Anfrage in unserer Kundendatenbank in Notion an (Notion Labs, Inc., San Francisco, USA) und schickt über den E-Mail-Dienst Resend (Resend, Inc., USA) eine Nachricht an unser Team und eine Eingangsbestätigung an Sie. Tritt dabei ein technischer Fehler auf, meldet das Buchungssystem ihn an den Dienst Sentry (Functional Software, Inc., USA); die Meldung kann im Einzelfall Ihre E-Mail-Adresse enthalten. Mit allen genannten Anbietern bestehen Verträge über Auftragsverarbeitung. Notion ist nach dem EU-US Data Privacy Framework zertifiziert; soweit bei den übrigen Anbietern Daten in die USA übermittelt werden können, stützt sich das auf die Standardvertragsklauseln der EU-Kommission.

Bevor die Anfrage abgeschickt wird, prüft Cloudflare Turnstile unsichtbar, ob ein Mensch sie sendet. Anbieter ist die Cloudflare, Inc. (siehe Abschnitt 2). Das Skript von Cloudflare lädt erst, wenn Sie die Anfrage absenden. Turnstile wertet dafür technische Merkmale Ihres Browsers aus, unter anderem Ihre IP-Adresse, die Kennung Ihres Browsers (User-Agent) und Merkmale der verschlüsselten Verbindung. Cloudflare nutzt diese Daten nach eigenen Angaben nur, um Menschen von Bots zu unterscheiden. Für diese Prüfung arbeitet Cloudflare in unserem Auftrag; um Turnstile selbst zu verbessern, verarbeitet Cloudflare die Daten in eigener Verantwortung. Mehr im Datenschutzhinweis zu Turnstile . Rechtsgrundlage ist unser berechtigtes Interesse, das Formular vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Soweit dabei auf Informationen in Ihrem Browser zugegriffen wird, ist das für die von Ihnen gewünschte Anfrage unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Aus demselben Grund begrenzt unser Buchungssystem, wie viele Anfragen von einer IP-Adresse kommen dürfen. Dafür hält es die IP-Adresse höchstens 10 Minuten im Arbeitsspeicher und schreibt sie nirgends hin.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil Ihre Anfrage einen Vertrag vorbereitet, und im Übrigen unser berechtigtes Interesse an der Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Ihre Angaben speichern wir, bis die Anfrage erledigt ist. Kommt es zu einer Buchung, bewahren wir die Daten so lange auf, wie es die steuer- und handelsrechtlichen Fristen verlangen.

7. Buchung eines Aufenthalts

Welche Daten wir bei der Buchung verarbeiten

Wenn Sie über unsere Buchungsseite einen Aufenthalt buchen, verarbeiten wir:

Zeitraum, gewählte Zimmer und Belegung,
Vorname, Nachname und E-Mail-Adresse,
freiwillig Ihre Telefonnummer,
Ihre geplante Ankunftszeit,
Ihre Antwort auf „Wie hast du von uns erfahren?“ und, wenn Sie „Anderes“ wählen, Ihre eigene Angabe dazu,
freiwillig einen kurzen Satz über sich und einen Kommentar, etwa zu einem Hund oder zu Mitreisenden,
Ihre Bestätigung der AGB und der Hausordnung,
die Sprache, in der Sie buchen,
nach der Zahlung Ihre Rechnungsadresse und, wenn Sie einen angeben, einen Firmennamen, die Kennungen der Zahlung bei Stripe, den Betrag und den Zeitpunkt der Zahlung.

Kamen Sie über einen Link mit Kampagnenangaben auf unsere Seite (etwa „utm_source“), speichern wir diese Angaben zusammen mit der Einstiegsseite und der Seite, von der Sie kamen, mit Ihrer Buchung. Über die gerade geöffnete Seite hinaus merkt sich Ihr Browser diese Angaben nur, wenn Sie im Banner Marketing erlaubt haben (siehe Abschnitt 6).

Den Satz über sich lesen nur wir, damit wir wissen, wer zu uns kommt. Anderen Gästen zeigen wir ihn nicht. Schreiben Sie uns von sich aus etwas zu Ihrer Gesundheit, nutzen wir es nur, um es bei Ihrem Aufenthalt zu berücksichtigen, und löschen es mit dem Kommentar.

Ohne Namen, E-Mail-Adresse und Ankunftszeit können wir die Buchung nicht annehmen. Auch die Frage „Wie hast du von uns erfahren?“ ist Pflicht, weil wir nur so verlässlich sehen, wie Gäste zu uns finden. Alle anderen Angaben sind freiwillig.

Die Staatsangehörigkeit und Angaben zu Mitreisenden fragen wir bei der Buchung nicht ab. Gäste ohne deutsche Staatsangehörigkeit füllen bei der Ankunft vor Ort einen Meldeschein aus, weil das Bundesmeldegesetz das vorschreibt (§ 29 Abs. 2 BMG). Den Meldeschein bewahren wir ein Jahr ab der Abreise auf und vernichten ihn innerhalb der drei Monate danach (§ 30 Abs. 4 BMG). Auf Verlangen müssen wir ihn der Meldebehörde oder der Polizei vorlegen.

Zweck und Rechtsgrundlagen

Ihre Angaben brauchen wir, um die Buchung anzulegen, die Zimmer für Sie freizuhalten, die Zahlung abzuwickeln, Ihnen Bestätigung und Rechnung zu schicken und Ihren Aufenthalt vorzubereiten. Rechtsgrundlage ist die Erfüllung des Vertrags und die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen und Buchungsunterlagen bewahren wir auf, weil Handels- und Steuerrecht das verlangen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB); dasselbe gilt für den Meldeschein (§§ 29, 30 BMG).

Ihre Ankunftszeit, die Antwort auf „Wie hast du von uns erfahren?“ und die Kampagnenangaben nutzen wir außerdem, um unseren Betrieb zu planen und zu verstehen, über welche Wege Gäste zu uns finden. Das ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Den freiwilligen Satz über sich und Ihren Kommentar verarbeiten wir, weil Sie sie uns geben, um Ihren Aufenthalt besser vorzubereiten (Art. 6 Abs. 1 lit. b und f DSGVO).

E-Mails zu neuen Terminen

Wenn Sie bei uns gebucht haben, schreiben wir Ihnen ab und zu an die E-Mail-Adresse aus Ihrer Buchung, wenn es neue Workation-Termine gibt. Darauf weisen wir Sie schon im Buchungsformular hin und in jeder dieser E-Mails wieder. Sie können dem jederzeit widersprechen, etwa mit einer kurzen E-Mail an hallo@neupitz.de, ohne dass Ihnen dafür andere Kosten entstehen als die Übermittlungskosten nach den Basistarifen. Rechtsgrundlage ist unser berechtigtes Interesse an Direktwerbung für eigene ähnliche Angebote (Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG). Unseren Newsletter bekommen Sie nur, wenn Sie ihn selbst bestellen.

Speicherung in Ihrem Browser

Damit Ihre Auswahl und Ihre Angaben nicht verloren gehen, wenn Sie die Seite neu laden oder kurz auf eine andere Seite wechseln, legt die Buchungsseite sie im Sitzungsspeicher Ihres Browsers ab (Session Storage): Zeitraum, Zimmer, Ihre Angaben im Formular und, sobald Sie zur Zahlung weitergehen, die Kennung der Bezahlsitzung. Diese Daten bleiben auf Ihrem Gerät, gelten nur für dieses Browserfenster und werden gelöscht, wenn Sie es schließen oder die Buchung abgeschlossen ist. Ihre Zustimmung zu AGB und Hausordnung speichern wir dort nicht. Die Speicherung ist für den von Ihnen gewünschten Buchungsvorgang unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Schutz vor automatisierten Buchungen (Cloudflare Turnstile)

Bevor die Zahlung startet, prüft Cloudflare Turnstile unsichtbar, ob ein Mensch bucht. Anbieter ist die Cloudflare, Inc. (siehe Abschnitt 2). Turnstile wertet dafür technische Merkmale Ihres Browsers aus, unter anderem Ihre IP-Adresse, die Kennung Ihres Browsers (User-Agent) und Merkmale der verschlüsselten Verbindung. Cloudflare nutzt diese Daten nach eigenen Angaben nur, um Menschen von Bots zu unterscheiden, nicht um Sie zu identifizieren oder Ihnen Werbung zu zeigen. Für diese Prüfung arbeitet Cloudflare in unserem Auftrag; um Turnstile selbst zu verbessern, verarbeitet Cloudflare die Daten in eigener Verantwortung. Mehr im Datenschutzhinweis zu Turnstile .

Rechtsgrundlage ist unser berechtigtes Interesse, die Buchungsseite vor Missbrauch und Scheinbuchungen zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Soweit dabei auf Informationen in Ihrem Browser zugegriffen wird, ist das für die von Ihnen gewünschte Buchung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Aus demselben Grund begrenzt unser Buchungssystem, wie viele Anfragen von einer IP-Adresse kommen dürfen. Dafür hält es die IP-Adresse höchstens 10 Minuten im Arbeitsspeicher und schreibt sie nirgends hin.

Zahlung über Stripe

Die Zahlung wickelt Stripe ab. Anbieter ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Das Bezahlfeld von Stripe wird erst geladen, wenn Sie auf der Buchungsseite zur Zahlung kommen. Im Bezahlfeld geben Sie Ihre Rechnungsadresse, auf Wunsch einen Firmennamen und Ihre Zahlungsdaten direkt bei Stripe ein. Ihre vollständigen Kartendaten sehen wir nicht. Stripe übermittelt uns nach der Zahlung Name, Rechnungsadresse, Firmenname, E-Mail-Adresse, Betrag, Zahlungsart und die Kennungen der Zahlung.

Stripe verarbeitet Ihre Daten zum Teil in unserem Auftrag und zum Teil in eigener Verantwortung, etwa um Betrug zu verhindern und gesetzliche Pflichten als Zahlungsdienstleister zu erfüllen, zum Beispiel zur Geldwäscheprävention. Dazu erfasst Stripe beim Laden des Bezahlfelds auch technische Daten zu Ihrem Gerät und Browser und setzt Cookies, etwa „__stripe_mid“ (ein Jahr) und „__stripe_sid“ (30 Minuten). Daten können an die Stripe, Inc. in den USA übermittelt werden; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert. Mehr in der Datenschutzerklärung von Stripe .

Zahlen Sie mit Apple Pay oder Google Pay, gelten zusätzlich die Datenschutzbestimmungen von Apple oder Google, die dabei in eigener Verantwortung handeln.

Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer sicheren Zahlungsabwicklung ohne Betrug (Art. 6 Abs. 1 lit. f DSGVO). Die Cookies von Stripe sind für die Zahlung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Unser Buchungssystem

Ihre Buchung legen wir in unserem eigenen Buchungssystem an. Dort sieht unser Team die Buchung, teilt die Zimmer zu und plant Reinigung und Heizung. Das Buchungssystem läuft bei der Railway Corporation, USA, auf Servern in den Niederlanden. Die Datenbank betreibt die Supabase, Inc., USA, auf Servern in Irland. Mit beiden Anbietern bestehen Verträge über Auftragsverarbeitung. Soweit dabei Daten in die USA übermittelt werden können, stützt sich das auf die Standardvertragsklauseln der EU-Kommission.

Über jede neue Buchung informieren wir unser Team außerdem kurz per E-Mail und in unserem internen Chat Slack, mit Buchungsnummer, Name, Zeitraum, Zimmern, Ankunftszeit und Betrag. Anbieter von Slack ist die Slack Technologies Limited, Dublin, Irland; Daten können an die Slack Technologies, LLC in den USA übermittelt werden. Damit das Team die Anreisen planen kann, erscheint Ihre Buchung mit Name, Zimmern, Ankunftszeit und Ihrem Kommentar zudem im internen Kalender unseres Teams. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Tritt im Buchungssystem ein technischer Fehler auf, meldet es ihn an den Dienst Sentry (Functional Software, Inc., USA), damit wir ihn beheben können. Die Meldung enthält die Buchungsnummer und die Fehlermeldung. Kontakt- und Zahlungsdaten schicken wir nicht mit; eine Fehlermeldung kann im Einzelfall aber eine E-Mail-Adresse enthalten, etwa wenn eine E-Mail nicht zugestellt werden konnte. Mit Sentry und Slack bestehen Verträge über Auftragsverarbeitung; die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage ist unser berechtigtes Interesse an einem fehlerfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Rechnung (sevdesk)

Die Rechnung über Ihren Aufenthalt erstellen wir mit der Buchhaltungssoftware sevdesk. Anbieter ist die sevdesk GmbH, Offenburg. Dafür übermittelt unser Buchungssystem Ihren Namen oder Firmennamen, Ihre Rechnungsadresse und E-Mail-Adresse sowie die gebuchten Leistungen und Beträge an sevdesk. Mit sevdesk besteht ein Vertrag über Auftragsverarbeitung. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unsere Pflicht, Rechnungen auszustellen und aufzubewahren (Art. 6 Abs. 1 lit. c DSGVO).

E-Mails zur Buchung (Resend)

Die Buchungsbestätigung mit der Rechnung verschicken wir über den E-Mail-Dienst Resend; ebenso die Nachricht über Ihre Buchung an unser Team. Anbieter ist die Resend, Inc., USA. Resend verarbeitet dafür Ihre E-Mail-Adresse und den Inhalt der Nachricht in unserem Auftrag und speichert die Daten in den USA. Mit Resend besteht ein Vertrag über Auftragsverarbeitung; die Übermittlung in die USA stützt sich auf die Standardvertragsklauseln der EU-Kommission. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer

Rechnungen und alle Unterlagen, die zu einer Rechnung gehören, bewahren wir acht Jahre auf, Geschäftsbriefe wie Ihre Buchungsbestätigung und unsere E-Mails zur Buchung sechs Jahre (§ 147 Abs. 1 und 3 AO, § 257 Abs. 1 und 4 HGB). Die Fristen beginnen mit dem Ende des Jahres, in dem die Unterlage entstanden ist. So lange bleibt auch Ihre Buchung mit Zeitraum und Zimmern bei uns gespeichert.

Ihre Telefonnummer, Ihren Kommentar und den Satz über sich brauchen wir nur für Ihren Aufenthalt. Wir löschen sie sechs Monate nach Ihrer Abreise, im Buchungssystem und in der Benachrichtigung an unser Team. Ihre Ankunftszeit und Ihre Antwort auf „Wie hast du von uns erfahren?“ behalten wir nach sechs Monaten nur noch ohne Ihren Namen, für unsere Statistik.

Ihren Namen und Ihre E-Mail-Adresse nutzen wir für E-Mails zu neuen Terminen, bis Sie widersprechen.

Bricht jemand die Buchung vor der Zahlung ab oder läuft die Zahlung nach 30 Minuten ab, wird die Buchung abgesagt. Die Angaben aus dem Formular löschen wir dann nach 30 Tagen; wir behalten nur, dass eine Buchung abgebrochen wurde, ohne Namen und Kontaktdaten.

8. Newsletter

Unseren Newsletter verschicken wir mit Brevo. Anbieter ist die Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich. Die Anmeldung läuft über eine Seite von Brevo, die wir von unserer Website aus verlinken. Für den Newsletter brauchen wir Ihre E-Mail-Adresse. Nach der Anmeldung bekommen Sie eine E-Mail, in der Sie die Anmeldung bestätigen. Brevo speichert dabei Zeitpunkt und IP-Adresse der Anmeldung und Bestätigung als Nachweis und kann messen, ob Newsletter geöffnet und Links angeklickt werden.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sich jederzeit über den Link am Ende jedes Newsletters abmelden. Wir speichern Ihre Daten bis zur Abmeldung. Danach kann Ihre E-Mail-Adresse in einer Sperrliste bleiben, damit Sie keine Newsletter mehr bekommen. Mehr in der Datenschutzerklärung von Brevo .

9. Externe Inhalte und Links

Google Maps

Auf der Kontaktseite können Sie eine Karte von Google Maps anzeigen lassen. Die Karte lädt erst, wenn Sie auf „Externen Inhalt laden“ klicken. Dann werden Ihre IP-Adresse und weitere technische Daten an Google übermittelt, und Google kann Cookies setzen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Daten können an die Google LLC in den USA übermittelt werden, Google ist nach dem EU-US Data Privacy Framework zertifiziert.

Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). Mehr in der Datenschutzerklärung von Google .

Links zu sozialen Netzwerken

Auf unsere Profile bei Instagram, LinkedIn und Facebook verweisen wir nur mit einfachen Links. Beim Aufruf unserer Website werden keine Daten an diese Netzwerke übertragen. Erst wenn Sie einen Link anklicken, gelten die Datenschutzbestimmungen des jeweiligen Netzwerks.

10. Stand

Stand dieser Datenschutzerklärung: November 2026.