Rechtliches

Datenschutzerklärung

Stand: 10. Oktober 2026

1. Verantwortlicher

Claudio Gusmini
Lustheimstraße 1
81247 München
Deutschland
E-Mail: [E-MAIL – folgt]

2. Überblick

Diese Website ist eine private, Login-geschützte Seite für Familie und Freunde rund um die Ferienwohnung Ca' Gusmini. Wir setzen keine Analyse-, Tracking- oder Werbedienste ein. Schriften, Kartenbibliothek (Leaflet) und Diagrammbibliothek (Chart.js) werden von unserem eigenen Server ausgeliefert; dabei werden keine Daten an Dritte übertragen. Externe Kartenkacheln von OpenStreetMap werden nur nach eurer Einwilligung geladen (siehe Abschnitt 7).

3. Hosting (Google Cloud)

Die Website wird bei Google Cloud (Dienst „Cloud Run“, Region europe-west1 / Belgien) betrieben. Vertragspartner ist die Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland. Google verarbeitet die Daten als Auftragsverarbeiter auf Grundlage des Cloud Data Processing Addendum (Art. 28 DSGVO). Die Anwendung und ihre Daten liegen in der EU-Region; ein Zugriff durch Google-Konzerngesellschaften außerhalb der EU (insbesondere Google LLC, USA) kann nicht vollständig ausgeschlossen werden. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

App-Daten und Sitzungen werden in Google Cloud Firestore, Dateien (z. B. Fotos und Unterlagen) in Google Cloud Storage gespeichert, beides in der Region europe-west1 (Belgien), mit täglichen Backups (98 Tage Aufbewahrung).

4. Server-Logfiles

Beim Aufruf jeder Seite werden durch die Hosting-Infrastruktur automatisch Zugriffsdaten protokolliert: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Referrer und Browser-Kennung (User-Agent). Diese Daten dienen der Auslieferung der Seite, der Fehleranalyse und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Sie werden in Google Cloud Logging gespeichert (Speicherort: von Google verwaltete globale Infrastruktur; Übermittlungen abgesichert wie in Abschnitt 3 beschrieben) und nach 30 Tagen automatisch gelöscht. Eine Zusammenführung mit anderen Daten findet nicht statt.

5. Login und Sitzungs-Cookie

Für den Login verarbeiten wir Benutzername und Passwort. Passwörter werden nur als kryptografischer Hash (bcrypt) gespeichert. Nach erfolgreicher Anmeldung setzen wir das Cookie ferien.sid. Es enthält nur eine zufällige Sitzungskennung, ist für Skripte nicht lesbar (HttpOnly), wird nur über HTTPS übertragen und läuft nach 7 Tagen oder beim Abmelden ab. Vor dem Login wird kein Cookie gesetzt (Ausnahme: kurzzeitig während einer von euch gestarteten Anmeldung mit Google, siehe Abschnitt 5a).

Zum Schutz vor Passwort-Ratenangriffen wird die IP-Adresse bei Anmeldeversuchen bis zu 15 Minuten im Arbeitsspeicher des Servers gezählt und danach verworfen.

Das Cookie ist für den von euch gewünschten, Login-geschützten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Zugangs) bzw. Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).

Statt mit Benutzername und Passwort könnt ihr euch auch über „Mit Google anmelden“ einloggen. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Verbindung zu Google entsteht nur, wenn ihr auf den Button klickt; vorher werden keine Daten an Google übertragen und keine Google-Skripte geladen.

Nach dem Klick werdet ihr zu Google weitergeleitet und meldet euch dort an. Google übermittelt uns anschließend nur eure E-Mail-Adresse (inkl. Bestätigung, dass sie verifiziert ist), euren Namen und eine pseudonyme Google-Konto-ID. Passwörter oder weitere Inhalte eures Google-Kontos erhalten wir nicht. Für die Dauer des Anmeldevorgangs (höchstens 10 Minuten) setzen wir das Sitzungs-Cookie ferien.sid (siehe Abschnitt 5), um den Vorgang gegen Missbrauch abzusichern.

Wir speichern E-Mail-Adresse und Google-ID bei eurem Nutzerkonto, um euch wiederzuerkennen. Meldet sich ein noch nicht freigeschaltetes Google-Konto an, speichern wir E-Mail-Adresse, Namen, Google-ID und Zeitpunkt als Freigabe-Anfrage, die nur der Eigentümer sieht; bis zur Freischaltung besteht kein Zugriff auf Inhalte. Abgelehnte oder gelöschte Anfragen entfernen wir auf Wunsch jederzeit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des von euch gewählten Zugangs). Bei der Anmeldung verarbeitet Google eigenverantwortlich Daten gemäß seiner Datenschutzerklärung; eine Übermittlung an Google LLC (USA) ist möglich und durch das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln abgesichert. Die Verknüpfung könnt ihr jederzeit durch eine Nachricht an uns aufheben lassen und unter myaccount.google.com/connections den Zugriff widerrufen.

5b. Registrierung mit E-Mail und Passwort

Ihr könnt selbst ein Konto beantragen. Dabei verarbeiten wir Vorname, Nachname, E-Mail-Adresse und euer Passwort – das Passwort speichern wir ausschließlich als kryptografischen Hash (bcrypt), nie im Klartext. Die Anfrage sieht nur der Eigentümer; bis zur Freischaltung habt ihr keinen Zugriff auf Inhalte. Für die Dauer der Anfrage setzen wir das Sitzungs-Cookie ferien.sid (siehe Abschnitt 5). Zum Schutz vor Missbrauch wird die IP-Adresse bei Registrierungen bis zu einer Stunde im Arbeitsspeicher gezählt und danach verworfen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Bereitstellung des Zugangs). Nach Freischaltung werden die Angaben Teil eures Nutzerkontos (Abschnitt 8). Bei Ablehnung löschen wir Vor- und Nachnamen sofort; E-Mail-Adresse und Passwort-Hash bewahren wir nur noch auf, damit eine erneute Anmeldung den Hinweis „Konto nicht freigeschaltet“ zeigen kann, und löschen sie spätestens nach 30 Tagen automatisch – auf Wunsch sofort.

6. Speicherung eurer Cookie-Auswahl

Eure Auswahl im Banner „Cookies & externe Inhalte“ speichern wir im lokalen Speicher eures Browsers (localStorage, Eintrag cg-consent: Auswahl und Zeitpunkt). Diese Information verlässt euer Gerät nicht und ist erforderlich, damit wir die Auswahl respektieren können (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. c und f DSGVO). Ihr könnt sie jederzeit über „Cookie-Einstellungen“ im Seitenfuß ändern oder durch Löschen der Websitedaten im Browser entfernen.

7. Karten von OpenStreetMap (nur mit Einwilligung)

Auf einigen Seiten (Start, Ausflüge, „In der Nähe“) können Karten angezeigt werden. Die Kartenkacheln werden dabei direkt von Servern der OpenStreetMap Foundation, St John's Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich, geladen. Dabei werden eure IP-Adresse, die abgerufenen Kartenausschnitte, der Referrer und die Browser-Kennung an die OpenStreetMap Foundation übermittelt. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Weitere Informationen: Datenschutzerklärung der OpenStreetMap Foundation.

Die Karten werden nur geladen, wenn ihr im Banner „Karten erlauben“ wählt oder auf dem Karten-Platzhalter „Karte laden“ klickt. Rechtsgrundlage ist eure Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ihr könnt die Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ widerrufen.

8. Inhalte in der App

Für die Nutzung der App speichern wir auf dem Server:

Nutzerkonten: Benutzername bzw. interne Kennung, E-Mail-Adresse, ggf. Vor- und Nachname, Anzeigename, Rolle, Passwort-Hash; bei Nutzung der Google-Anmeldung zusätzlich Google-E-Mail-Adresse und Google-ID (siehe Abschnitt 5a).
Buchungsanfragen und Belegung: Name der Gäste, An- und Abreise, optionale Notiz, wer angefragt hat, Status und Zeitstempel.
Inhalte zur Wohnung: Beschreibung, Fotos, Tipps und Ausflüge.
Nur für den Eigentümer sichtbar: Einnahmen und Ausgaben, Belege und Unterlagen zur Wohnung.

Die Verarbeitung dient der Organisation der gemeinsamen Nutzung der Wohnung (Art. 6 Abs. 1 lit. b und f DSGVO). Zugriff haben nur angemeldete Nutzer im Rahmen ihrer Rolle; Finanzdaten und Unterlagen sieht ausschließlich der Eigentümer.

Speicherort: App-Daten und Sitzungen in Google Cloud Firestore, Dateien in Google Cloud Storage (nicht öffentlich), beides Region europe-west1 (Belgien), mit täglichen Backups (98 Tage Aufbewahrung); Auftragsverarbeitung wie in Abschnitt 3 beschrieben.

9. Speicherdauer

Server-Logs: 30 Tage. Sitzungs-Cookie: bis zum Abmelden, höchstens 7 Tage. Login-Schutz: höchstens 15 Minuten. Nutzerkonten, Buchungen und Inhalte: solange das Konto besteht bzw. solange sie für die Organisation der Wohnung benötigt werden; auf Wunsch löschen wir sie früher, soweit keine gesetzlichen Aufbewahrungspflichten (z. B. für Belege) entgegenstehen.

10. Eure Rechte

Ihr habt das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung könnt ihr jederzeit widerrufen (Art. 7 Abs. 3 DSGVO). Eine formlose Nachricht an die oben genannten Kontaktdaten genügt.

11. Beschwerderecht

Ihr habt das Recht, euch bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat eures Aufenthaltsorts, eures Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland (Postanschrift: Postfach 1349, 91504 Ansbach) · Telefon +49 981 180093-0 · www.lda.bayern.de.

12. Datensicherheit

Die Übertragung erfolgt verschlüsselt per HTTPS. Unterlagen und Finanzdaten sind nur nach Anmeldung mit Eigentümer-Rolle abrufbar.

13. Externe Links

Links zu Websites Dritter (z. B. Restaurants, Ausflugsziele) öffnen sich erst nach eurem Klick. Für die Datenverarbeitung auf diesen Seiten sind die jeweiligen Anbieter verantwortlich.