Datenschutzhinweise

Stand: Oktober 2026

Das Wichtigste in Kürze

Verantwortlich für die Verarbeitung Ihrer Daten ist die studiomuc Apartment Rental Service GmbH in Regensburg. Wir verarbeiten Ihre Daten vor allem, um Anfragen zu beantworten, Buchungen abzuwickeln und Ihren Aufenthalt zu ermöglichen, und um gesetzliche Pflichten wie den Meldeschein für ausländische Gäste und die steuerliche Aufbewahrung zu erfüllen. Statistik- und Werbedienste setzen wir auf unserer Website derzeit nicht ein; Google Maps lädt erst, wenn Sie es zulassen. Ihre Einwilligung können Sie jederzeit über den Link „Cookie-Einstellungen“ am Ende jeder Seite ändern oder widerrufen. Einige Anbieter übermitteln Daten in Länder außerhalb der EU, vor allem in die USA; die rechtliche Grundlage nennen wir beim jeweiligen Dienst. Sie haben Rechte auf Auskunft, Berichtigung und Löschung, und Sie können Werbung jederzeit ohne Begründung widersprechen (Abschnitt 3). Anrufe nimmt zum Teil ein KI-Telefonassistent entgegen (Abschnitt 5.1). Eine automatisierte Entscheidung, die Sie rechtlich betrifft, findet nicht statt.

1. Geltungsbereich

Diese Datenschutzhinweise gelten für die Website revo-club.com.

Sie gelten außerdem für Buchungen und Aufenthalte in unserem Haus in der Carl-Wery-Straße 35, 81739 München.

Die Hinweise erklären nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO), welche personenbezogenen Daten wir verarbeiten, wofür, auf welcher Rechtsgrundlage und wie lange, und welche Rechte Sie haben. Für Websites anderer Anbieter, auf die wir verlinken, gelten deren eigene Datenschutzhinweise. Das betrifft auch Buchungsportale und soziale Netzwerke.

Namen und Laufzeiten der einzelnen Cookies finden Sie in unserer Cookie-Richtlinie: https://p-badxlh.project.space/cookie-richtlinie-eu/

2. Verantwortlicher und Datenschutzbeauftragte

2.1 Verantwortlicher

studiomuc Apartment Rental Service GmbH
Dr.-Gessler-Straße 37
93051 Regensburg
Deutschland

Geschäftsführung: Dipl.-Kfm. Univ. Stephan Schimpel, Sabina Schimpel
Registergericht: Amtsgericht Regensburg, HRB 7874
E-Mail für Datenschutzanfragen: communication@revo-club.com

2.2 Datenschutzbeauftragte

Unsere externe Datenschutzbeauftragte erreichen Sie unter:

LiiDU GmbH
Neupfarrplatz 10
93047 Regensburg
E-Mail: info@liidu.de

4. Besuch unserer Website

4.1 Hosting und Server-Logfiles

Unsere Website liegt bei der Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4-6, 32339 Espelkamp, im eigenen Rechenzentrum von Mittwald in Espelkamp. Mittwald und die Agentur, die die Website technisch betreut, arbeiten als unsere Auftragsverarbeiter (Art. 28 DSGVO).

Bei jedem Aufruf protokolliert der Server: IP-Adresse, Zeitpunkt des Abrufs, aufgerufene Seite und Hostname, Statuscode, übertragene Datenmenge, die zuvor besuchte Seite (Referrer) sowie Browser und Betriebssystem. Das dient der Auslieferung der Website, der Sicherheit und der Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

In den Zugriffsprotokollen wird die IP-Adresse gekürzt gespeichert. Diese Protokolle werden nach 60 Tagen gelöscht. Fehlerprotokolle, die die vollständige IP-Adresse enthalten können, werden nach sieben Tagen gelöscht.

4.2 Verschlüsselung

Unsere Website nutzt eine TLS-Verschlüsselung. Sie erkennen sie an „https://“ in der Adresszeile Ihres Browsers. Daten, die Sie über die Website an uns senden, etwa in Formularen, können Dritte dadurch nicht mitlesen.

4.3 Cookies, Einwilligung und Cookie-Einstellungen

Cookies sind kleine Textdateien, die Ihr Browser speichert; vergleichbar sind der lokale Speicher des Browsers und Zählpixel. Nach § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) dürfen wir Informationen auf Ihrem Endgerät nur mit Ihrer Einwilligung speichern oder auslesen, es sei denn, das ist für einen von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich.

Ohne Einwilligung aktiv sind nur:

• die Speicherung Ihrer Auswahl im Cookie-Banner,
• die Speicherung Ihrer Sprachwahl für einen Tag,
• die Zwischenspeicherung Ihrer Suchangaben in der Buchungsmaske (Abschnitt 6.1),
• Sicherheits- und Sitzungscookies, soweit technisch nötig.

Alle anderen Dienste, die Informationen auf Ihrem Gerät speichern oder auslesen, laden erst nach Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Wo ohne Einwilligung Inhalte eines anderen Anbieters geladen werden, nennen wir das beim jeweiligen Dienst (Newsletter-Formular, Abschnitt 4.6; Buchungsfunktion, Abschnitt 6.1; Tagungs- und Gruppenbuchungen, Abschnitt 7.6).

Die Einwilligung verwalten wir mit dem WordPress-Plugin Complianz. Es läuft auf unserem eigenen Server und sendet keine Besucherdaten an den Hersteller. Das Banner unterscheidet technisch notwendige Dienste, die immer aktiv sind, von den Kategorien „Statistiken“ und „Marketing“. Auf der ersten Ebene können Sie alle Dienste mit einem Klick ablehnen. Ihre Auswahl speichern wir zwölf Monate in Cookies auf Ihrem Gerät; danach fragen wir erneut. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung) und § 25 Abs. 2 Nr. 2 TDDDG.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen, über den Link „Cookie-Einstellungen“ am Ende jeder Seite. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig.

Schriftarten und Hilfsprogramme wie den Datumswähler liefern wir von unserem eigenen Server aus. Dabei fließen keine Daten an Dritte.

4.4 Google Maps

Auf der Seite „Lage“ und auf der Startseite zeigen wir eine Karte von Google Maps. Die Karte lädt erst, wenn Sie im Platzhalter auf „Karte laden“ klicken oder in den Cookie-Einstellungen in „Marketing“ eingewilligt haben. Dann erhält Google Ihre IP-Adresse, die aufgerufene Seite und Angaben zu Ihrem Browser, und Google kann Cookies setzen. Google ist für Google Maps eigenständiger Verantwortlicher (https://business.safety.google/controllerterms/). Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Der Link „In Google Maps öffnen“ ist ein einfacher Link. Erst wenn Sie ihn anklicken, rufen Sie eine Seite von Google auf, für die die Datenschutzhinweise von Google gelten: https://policies.google.com/privacy?hl=de

4.5 Kontakt- und Anfrageformulare

Wir bieten Formulare für allgemeine und Presseanfragen, für längere Aufenthalte und für Studierende. Je nach Formular verarbeiten wir Name, E-Mail-Adresse, Art der Anfrage, An- und Abreise, Personenzahl, Aufenthaltsart, Rabattcode und Ihre Nachricht sowie den Zeitpunkt der Übermittlung. Die Formulare laufen über das WordPress-Plugin Gravity Forms. Die Einträge liegen in der Datenbank unserer Website bei Mittwald und gehen per E-Mail an unser Team; der Hersteller des Plugins erhält keine Formulardaten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu Buchungen und Aufenthalten und Art. 6 Abs. 1 lit. f DSGVO bei allgemeinen und Presseanfragen; unser berechtigtes Interesse ist die Beantwortung. Eine Einwilligung ist für das Absenden nicht nötig. Einträge löschen wir sechs Monate nach Eingang. Führt Ihre Anfrage zu einem Vertrag, gelten die Fristen in Abschnitt 13.

Spamschutz
Zum Schutz vor Spam enthalten die Formulare ein für Menschen unsichtbares Prüffeld (WordPress-Plugin WP Armour). Es läuft auf unserem eigenen Server; dabei werden keine Daten an Dritte übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor missbräuchlichen Eingaben.

4.6 Newsletter

Für unseren Newsletter mit Angeboten und Neuigkeiten aus unserem Haus brauchen wir nur Ihre E-Mail-Adresse. Nach der Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink; erst nach der Bestätigung nehmen wir Sie in den Verteiler auf (Double-Opt-in). Als Nachweis speichern wir den Zeitpunkt von Anmeldung und Bestätigung, die dabei verwendete IP-Adresse und den Wortlaut der Einwilligung.

Über ein Zählpixel und personalisierte Links werten wir aus, ob Sie den Newsletter öffnen und welche Links Sie anklicken. Darauf weisen wir bei der Anmeldung hin; die Auswertung ist Teil Ihrer Einwilligung.

Anmeldung, Versand und Auswertung übernimmt die Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, als unser Auftragsverarbeiter, nach eigenen Angaben mit Servern in Frankreich, Deutschland und Belgien. Zur Darstellung des Anmeldeformulars lädt Ihr Browser Programmcode von Servern von Brevo; dabei wird Ihre IP-Adresse übermittelt (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem funktionierenden Anmeldeformular).

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG), für den Nachweis Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO. Sie können die Einwilligung jederzeit widerrufen, über den Abmeldelink in jedem Newsletter oder per Nachricht an die Kontaktdaten in Abschnitt 2.1. Ihre Adresse speichern wir bis zur Abmeldung, den Nachweis bis zu drei Jahre danach. Damit Sie nach einer Abmeldung nichts mehr erhalten, bleibt Ihre Adresse auf einer Sperrliste (Art. 6 Abs. 1 lit. f DSGVO).

4.7 Links zu sozialen Netzwerken

Die Symbole für Instagram, Facebook und LinkedIn am Ende unserer Seiten und die Teilen-Schaltflächen in Blogartikeln sind einfache Links. Beim Aufruf unserer Website fließen dadurch keine Daten an diese Netzwerke. Erst wenn Sie einen Link anklicken, gelangen Sie auf die Seite des jeweiligen Anbieters.

5. Kontakt per E-Mail, Telefon und Direktnachricht

Wenn Sie uns per E-Mail, telefonisch oder per Direktnachricht auf Instagram oder Facebook kontaktieren, verarbeiten wir Ihre Angaben, etwa Name, Kontaktdaten, Nutzername und Inhalt der Nachricht, zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um eine Buchung oder Ihren Aufenthalt geht, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse an der Beantwortung von Anfragen).

Direktnachrichten laufen über die Systeme von Meta und werden dort gespeichert; dafür gelten auch die Datenschutzhinweise von Meta. Bitte senden Sie vertrauliche Angaben wie Zahlungsdaten nicht per Direktnachricht.

Erledigte Anfragen löschen wir, sobald keine Aufbewahrungspflicht besteht. Nachrichten, die eine Buchung betreffen, bewahren wir als Geschäftsbriefe sechs Jahre auf (Abschnitt 13).

5.1 KI-Telefonassistent

Anrufe bei uns nimmt zum Teil ein KI-gestützter Telefonassistent entgegen. Darauf weisen wir zu Beginn des Gesprächs hin. Der Assistent beantwortet Fragen, nimmt Buchungen und Wünsche auf und leitet Anliegen, die er nicht lösen kann, an unser Team weiter.

Verarbeitet werden Ihre Telefonnummer, gegebenenfalls Ihr Name, Ihr Anliegen und Buchungsangaben wie Zimmernummer oder Reservierung, eine Textfassung des Gesprächs (Transkript), eine automatische Zusammenfassung sowie Datum und Dauer des Anrufs. Eine Audioaufzeichnung erfolgt nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um Buchungen und Ihren Aufenthalt geht, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die schnelle Bearbeitung telefonischer Anfragen.

Damit Sie bei einem erneuten Anruf nicht alles wiederholen müssen, ordnet der Assistent frühere Gespräche Ihrer Telefonnummer zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Sie können dem jederzeit widersprechen, auch direkt im Gespräch; Nachteile entstehen Ihnen dadurch nicht. Nennen Sie im Gespräch Angaben zu Ihrer Gesundheit, etwa Allergien, gilt Abschnitt 7.3.

Der Assistent trifft keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten. Technisch betreibt ihn die CODYCO GmbH, Ortlerstraße 1C, 81373 München, als unser Auftragsverarbeiter (Datenschutzkontakt: datenschutz@codyco.ai). Transkripte, Zusammenfassungen und die Zuordnung zu Ihrer Telefonnummer speichern wir bis zu 24 Monate, sofern Sie nicht vorher die Löschung verlangen.

6. Buchung

6.1 Buchungsmaske und Buchungsseite

In der Buchungsmaske unserer Website geben Sie Reisezeitraum, Zimmerart, Personenzahl und gegebenenfalls einen Aktionscode ein. Ihr Browser speichert diese Angaben lokal, damit sie beim Wechsel zur Buchung erhalten bleiben (§ 25 Abs. 2 Nr. 2 TDDDG).

Für die Buchungsfunktion lädt Ihr Browser beim Aufruf unserer Website Programmcode von Servern von SiteMinder; dabei wird Ihre IP-Adresse übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine funktionierende Buchungsfunktion.

Gebucht wird auf unserer Buchungsseite unter direct-book.com. Sie wird für uns von der SiteMinder Distribution Limited (England und Wales) als Auftragsverarbeiter betrieben. Dort geben Sie Name, Anschrift, E-Mail-Adresse, Telefonnummer, Reisedaten, gewählte Leistungen, Wünsche und Zahlungsangaben ein, etwa Kreditkartendaten zur Garantie der Buchung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne diese Angaben können wir die Buchung nicht annehmen.

Die Buchungsseite hat ein eigenes Cookie-Banner. Dort entscheiden Sie, ob Analyse- und Werbedienste von Google und Meta auf der Buchungsseite laufen. Ihre Auswahl auf unserer Website wird nicht übernommen. Mit Einwilligung setzt SiteMinder dort auch eigene Analysewerkzeuge ein (Google Analytics und Hotjar). Ohne Einwilligung laufen dort nur technische Dienste für Sicherheit und Fehlerüberwachung. Zur Übermittlung in Drittländer siehe Abschnitt 12.

6.2 Buchungen über Portale, Reisebüros und Firmen

Nicht alle Daten erhalten wir direkt von Ihnen (Art. 14 DSGVO). Buchen Sie über ein Buchungsportal wie Booking.com, ein Reisebüro, Ihren Arbeitgeber oder einen Veranstalter, übermitteln uns diese Ihren Namen, Kontaktdaten (bei Portalen oft eine Weiterleitungsadresse des Portals), Reisedaten, gebuchte Leistungen und Preise, besondere Wünsche und gegebenenfalls Zahlungsdaten. Wir verwenden die Daten zur Erfüllung des Beherbergungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Bucht ein Dritter für Sie, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Durchführung der Buchung.

Buchungsportale sind für ihre eigene Verarbeitung selbst verantwortlich; es gelten deren Datenschutzhinweise. Die Verbindung zwischen den Portalen und unseren Systemen stellt SiteMinder als Channel Manager und unser Auftragsverarbeiter her.

Buchungen, die vor dem 1. Oktober 2026 beim bisherigen Betreiber des Hauses eingegangen sind und in unserem Haus erfüllt werden, haben wir mit den dafür nötigen Angaben vom bisherigen Betreiber erhalten, um den Vertrag mit Ihnen zu erfüllen (Art. 6 Abs. 1 lit. b DSGVO).

6.3 Hotelsoftware und Zahlung

Buchungen, Gästedaten und Rechnungen verwalten wir in der Hotelsoftware der apaleo GmbH, Sandstraße 3, 80335 München, die als unser Auftragsverarbeiter arbeitet. Die Daten liegen nach Angaben von apaleo auf Servern von Amazon Web Services in Deutschland.

Zur Bezahlung und Absicherung Ihrer Buchung verarbeiten wir Ihre Zahlungsdaten. Je nach Rate und Stornobedingungen prüfen wir Ihre Karte bei der Buchung, reservieren einen Betrag (Vorautorisierung) oder belasten sie, etwa bei Nichtanreise oder später Stornierung. Kartendaten verarbeitet unser Zahlungsdienstleister, die Adyen N.V., Simon Carmiggeltstraat 6-50, 1011 DJ Amsterdam, Niederlande. Adyen ist ein beaufsichtigtes Kreditinstitut und verarbeitet Zahlungsdaten zum Teil in eigener Verantwortung, etwa zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten; dafür gelten auch die Datenschutzhinweise von Adyen (https://www.adyen.com/policies-and-disclaimer/privacy-policy). Empfänger sind außerdem die beteiligten Banken und Kartenorganisationen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit wir oder unser Zahlungsdienstleister Zahlungen auf Betrugsanzeichen prüfen, beruht das auf Art. 6 Abs. 1 lit. f DSGVO. Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (Abschnitt 13).

7. Ihr Aufenthalt

7.1 Beherbergungsvertrag und Aufenthalt

Für Ihren Aufenthalt verarbeiten wir Name, Anschrift, Kontaktdaten, Reisedaten, Zimmer- oder Apartmentnummer, gebuchte und genutzte Leistungen, Rechnungsdaten, Ihre Wünsche und die Kommunikation mit Ihnen. Wir brauchen diese Daten für Check-in und Check-out, die vereinbarten Leistungen, die Abrechnung und die Bearbeitung von Anliegen und Beschwerden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für gesetzliche Pflichten Art. 6 Abs. 1 lit. c DSGVO. Bei längeren Aufenthalten schließen wir mit Ihnen einen Mietvertrag; für die dafür nötigen Angaben gilt dasselbe.

Damit wir Ihre Wünsche bei einem späteren Aufenthalt berücksichtigen können, führen wir ein Gästeprofil mit Ihren Kontaktdaten, früheren Aufenthalten und Vorlieben, etwa zur Zimmerwahl. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein persönlicher Service für wiederkehrende Gäste. Das Gästeprofil löschen wir drei Jahre nach Ihrem letzten Aufenthalt. Sie können dem Gästeprofil jederzeit widersprechen (Abschnitt 3).

Dauert Ihr Aufenthalt länger als sechs Monate, gilt für Sie die allgemeine Meldepflicht bei der Meldebehörde (§ 29 Abs. 1 BMG). Melden Sie bei uns einen Wohnsitz an, stellen wir Ihnen die Wohnungsgeberbestätigung nach § 19 BMG aus und verarbeiten dafür die dort vorgesehenen Angaben (Art. 6 Abs. 1 lit. c DSGVO).

Briefe für Sie nehmen wir an der Rezeption an. Dafür verarbeiten wir Ihren Namen, Ihre Zimmer- oder Apartmentnummer und Angaben zur Sendung (Art. 6 Abs. 1 lit. b DSGVO).

Pakete empfangen Sie über unsere Paketstation, eine myRENZbox der Erwin Renz Metallwarenfabrik GmbH & Co KG. Dafür registrieren Sie sich im Portal bzw. in der App von Renz, etwa mit Name und E-Mail-Adresse, und werden benachrichtigt, sobald eine Sendung für Sie eingegangen ist. Für die Verarbeitung im Portal und in der App gelten die Datenschutzhinweise von Renz, die Sie bei der Registrierung bestätigen. Wir verarbeiten die Zuordnung zu Ihrem Apartment, um Ihnen die Nutzung zu ermöglichen (Art. 6 Abs. 1 lit. b DSGVO).

Mieten Sie bei uns einen Stellplatz, verarbeiten wir die Buchungs- und Abrechnungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Eine Kennzeichenerfassung findet nicht statt.

7.2 Meldeschein

Wenn Sie nicht die deutsche Staatsangehörigkeit besitzen, müssen wir Sie bei der Ankunft einen besonderen Meldeschein ausfüllen und unterschreiben lassen (§§ 29, 30 Bundesmeldegesetz, BMG, in der seit 1. Januar 2025 geltenden Fassung). Für deutsche Staatsangehörige besteht diese Pflicht nicht mehr.

Der Meldeschein enthält ausschließlich: Tag der Ankunft und der voraussichtlichen Abreise, Familienname, Vornamen, Geburtsdatum, Staatsangehörigkeiten, Anschrift, Zahl und Staatsangehörigkeit mitreisender ausländischer Personen sowie die Seriennummer Ihres Passes oder Passersatzpapiers. Mitreisende Ehegatten, Lebenspartner und minderjährige Kinder werden nur der Zahl nach angegeben. Bei Reisegesellschaften von mehr als zehn Personen füllt nur die Reiseleitung den Meldeschein aus.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 29, 30 BMG. Wir bewahren den Meldeschein ein Jahr ab dem Tag Ihrer Abreise auf und vernichten oder löschen ihn innerhalb der folgenden drei Monate. Auf Verlangen müssen wir ihn den zuständigen Behörden vorlegen, etwa Polizei, Staatsanwaltschaft oder Gerichten (§ 30 Abs. 4 BMG).

7.3 Allergien und andere Gesundheitsangaben

Teilen Sie uns Allergien, Unverträglichkeiten oder andere gesundheitsbezogene Wünsche mit, etwa für Speisen oder eine barrierefreie Ausstattung, verarbeiten wir diese Angaben nur, um Ihren Wunsch zu erfüllen. Weil es sich um Gesundheitsdaten handelt, brauchen wir dafür Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Die Angabe ist freiwillig, und Sie können die Einwilligung jederzeit widerrufen. Zugriff haben nur die Mitarbeitenden, die die Angaben brauchen. Nach Ihrem Aufenthalt oder der Veranstaltung löschen wir sie, es sei denn, Sie möchten ausdrücklich, dass wir sie für künftige Aufenthalte speichern.

7.4 Videoüberwachung

In ausgewählten Bereichen unseres Hauses setzen wir Videokameras ein. Die Bereiche sind vor Ort mit Hinweisschildern gekennzeichnet. Zwecke sind die Wahrnehmung des Hausrechts, der Schutz von Gästen, Mitarbeitenden und Eigentum sowie die Aufklärung von Straftaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in diesen Zwecken.

Die Aufnahmen speichern wir auf eigenen Systemen im Haus, ohne externen Dienstleister, und löschen sie nach 72 Stunden automatisch. Werden sie zur Aufklärung eines konkreten Vorfalls gebraucht, bewahren wir sie bis zu dessen Klärung auf und können sie an Polizei, Staatsanwaltschaft, Versicherer oder Rechtsanwälte weitergeben. Sie können der Videoüberwachung aus Gründen Ihrer besonderen Situation widersprechen (Abschnitt 3).

7.5 Gäste-WLAN

Unser Gäste-WLAN betreibt für uns die DATA PLEXX IT- und Telekommunikationslösungen GmbH, Hosnedlgasse 16A, 1220 Wien, Österreich. Beim Verbinden öffnet sich eine Startseite, auf der Sie die Nutzungsbedingungen akzeptieren; eine Registrierung mit persönlichen Angaben ist nicht nötig. Verarbeitet werden die technischen Verbindungsdaten, die für den Zugang nötig sind, etwa Gerätekennung, zugewiesene IP-Adresse sowie Beginn und Ende der Verbindung. Das dient der Bereitstellung des Zugangs als Teil Ihres Aufenthalts (Art. 6 Abs. 1 lit. b DSGVO) sowie der Sicherheit und Störungsbeseitigung in unserem Netz (Art. 6 Abs. 1 lit. f DSGVO, § 12 TDDDG). Inhalte Ihrer Kommunikation werten wir nicht aus. Die Verbindungsdaten werden gelöscht, sobald sie für diese Zwecke nicht mehr gebraucht werden.

7.6 Veranstaltungen, Tagungsräume, Gastronomie, Coworking und Gemeinschaftsräume

Buchen Sie bei uns eine Veranstaltung, einen Tagungsraum, einen Arbeitsplatz im Coworking-Bereich oder Leistungen unserer Gastronomie, verarbeiten wir Ihre Kontaktdaten, die Buchungsdetails, die Teilnehmerzahl, Ihre Wünsche und die Abrechnungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Erhalten wir von Ihnen oder Ihrem Arbeitgeber eine Teilnehmerliste, verwenden wir sie nur für die Durchführung der Veranstaltung (Art. 6 Abs. 1 lit. f DSGVO). Zu unserem Haus gehören Gemeinschaftsräume wie Bücherei, Kino, Gaming- und Dartraum sowie ein Fitnessraum. Reservieren Sie einen davon, verarbeiten wir Ihren Namen, Ihre Zimmer- oder Apartmentnummer und den Zeitraum der Reservierung (Art. 6 Abs. 1 lit. b DSGVO).

Für Anfragen zu Tagungsräumen und für den Abruf von Zimmern aus einem Gruppenkontingent nutzen wir Software der customice GmbH, Welfenstraße 22, 81541 München, als Auftragsverarbeiter. Der Tagungsraum-Konfigurator und die Seite für den Zimmerabruf auf unserer Website sind Inhalte von customice. Beim Laden erhält customice Ihre IP-Adresse und Angaben zu Ihrem Browser; Ihre Eingaben dort gehen direkt an customice. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für Ihre Anfrage oder Buchung und Art. 6 Abs. 1 lit. f DSGVO für das Laden der Inhalte; unser berechtigtes Interesse ist ein funktionierendes Anfrage- und Buchungsangebot.

7.7 Online-Check-in

Sie können vor Ihrer Anreise online einchecken. Dabei erfassen wir die Angaben für Ihren Aufenthalt, etwa Kontaktdaten, Anreisezeit und Rechnungsanschrift, und, wenn Sie nicht die deutsche Staatsangehörigkeit besitzen, die Angaben für den Meldeschein (Abschnitt 7.2). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für den Meldeschein Art. 6 Abs. 1 lit. c DSGVO. Das Check-in-System stellt ein Dienstleister als unser Auftragsverarbeiter bereit. Einen digitalen Zimmerschlüssel setzen wir nicht ein.

8. Werbung und Befragungen

8.1 Werbung per E-Mail an Gäste

Wenn Sie bei uns direkt gebucht und uns dabei Ihre E-Mail-Adresse gegeben haben, können wir Ihnen Informationen zu eigenen Angeboten senden, die Ihrer Buchung ähnlich sind, etwa zu weiteren Aufenthalten in unserem Haus. Das tun wir nur, wenn wir Sie bei der Erhebung Ihrer E-Mail-Adresse auf Ihr Widerspruchsrecht hingewiesen haben. Das erlaubt § 7 Abs. 3 UWG ohne gesonderte Einwilligung. Datenschutzrechtlich stützen wir uns zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO (Direktwerbung, Erwägungsgrund 47 DSGVO). Adressen, die wir über Buchungsportale erhalten, nutzen wir dafür nicht.

Sie können dieser Nutzung jederzeit widersprechen, ohne dass Ihnen andere als die Übermittlungskosten nach den Basistarifen entstehen: über den Abmeldelink in jeder E-Mail oder per Nachricht an die Kontaktdaten in Abschnitt 2.1.

8.2 Gästebefragungen und Bewertungen

Bitten wir Sie nach Ihrem Aufenthalt per E-Mail um eine Bewertung oder die Teilnahme an einer kurzen Befragung, gilt das rechtlich als Werbung. Wir senden eine solche Bitte deshalb nur unter den Voraussetzungen von Abschnitt 8.1 oder mit Ihrer Einwilligung. Die Teilnahme ist freiwillig. Für Versand und Auswertung nutzen wir die MARA Solutions GmbH, Tullastraße 15, 68161 Mannheim, als Auftragsverarbeiter. Öffentliche Bewertungen, die Sie auf Portalen abgeben, verantwortet das jeweilige Portal. Wir werten sie mit Unterstützung von MARA aus und beantworten sie; dabei verarbeiten wir die öffentlich sichtbaren Angaben wie Name oder Nutzername, Bewertung und Text (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Umgang mit Rückmeldungen unserer Gäste).

9. Unsere Profile in sozialen Netzwerken

Wir betreiben Profile auf Instagram, Facebook und LinkedIn, um über unser Haus zu informieren und mit Gästen und Interessierten in Kontakt zu treten. Die Plattformen verarbeiten Ihre Daten auch für eigene Zwecke, etwa für Werbung; darauf haben wir keinen Einfluss. Kommentare, Nachrichten und Reaktionen, die Sie an uns richten, verarbeiten wir zur Kommunikation mit Ihnen. Rechtsgrundlage für den Betrieb der Profile und die Kommunikation ist Art. 6 Abs. 1 lit. f DSGVO (Öffentlichkeitsarbeit und Kommunikation), bei Buchungsanfragen Art. 6 Abs. 1 lit. b DSGVO.

9.1 Instagram

Anbieter ist die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Meta stellt uns zusammengefasste Statistiken (Insights) zur Nutzung unseres Profils bereit, etwa Reichweite, Interaktionen und demografische Angaben. Für die Erhebung dieser Daten sind wir nach der Rechtsprechung des Europäischen Gerichtshofs gemeinsam mit Meta verantwortlich (EuGH, Urteil vom 5. Juni 2018, C-210/16). Meta hat die Einzelheiten zu Insights in der Seiten-Insights-Ergänzung geregelt (https://www.facebook.com/legal/terms/page_controller_addendum). Danach übernimmt Meta die Hauptverantwortung für die Verarbeitung der Insights-Daten und für die Erfüllung Ihrer Rechte. Sie können Ihre Rechte bei uns und bei Meta geltend machen; Anfragen zu Insights leiten wir an Meta weiter. Datenschutzhinweise von Instagram: https://privacycenter.instagram.com/policy

9.2 Facebook

Anbieter ist ebenfalls Meta. Für die Statistiken zu unserer Facebook-Seite sind wir mit Meta gemeinsam verantwortlich; es gilt die Seiten-Insights-Ergänzung (Link in Abschnitt 9.1). Informationen zu den Insights-Daten: https://www.facebook.com/legal/terms/information_about_page_insights_data. Über unsere Facebook-Seite schalten wir auch Anzeigen auf Facebook und Instagram. Datenschutzhinweise von Meta: https://www.facebook.com/privacy/policy

9.3 Anfrageformulare in Anzeigen auf Facebook und Instagram

In einigen Anzeigen auf Facebook und Instagram können Sie direkt ein Anfrageformular ausfüllen, etwa für Studentenapartments, längere Aufenthalte oder Relocation. Abgefragt werden Kontaktdaten sowie Angaben wie gewünschter Einzug, Aufenthaltsdauer und Hochschule. Meta füllt Felder wie Name und E-Mail-Adresse gegebenenfalls aus Ihrem Profil vor; Sie sehen die Angaben vor dem Absenden und können sie ändern. Nach dem Absenden stellt Meta uns Ihre Angaben bereit.

Wir nutzen die Angaben nur zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Für die Verarbeitung auf der Plattform ist Meta verantwortlich; es gelten die Datenschutzhinweise von Meta. Für die Speicherdauer gilt dasselbe wie für unsere Website-Formulare (Abschnitt 13).

9.4 LinkedIn

Anbieter ist die LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland. Für die Statistiken zu unserer Unternehmensseite sind wir mit LinkedIn gemeinsam verantwortlich. Die Vereinbarung dazu finden Sie unter https://www.linkedin.com/legal/l/page-joint-controller-addendum. Datenschutzhinweise von LinkedIn: https://www.linkedin.com/legal/privacy/eu

10. Bewerbungen

Bewerbungen nehmen wir per E-Mail und über unsere Stellenanzeigen auf Hotelcareer und StepStone entgegen. Beide Portale betreibt die The Stepstone Group Deutschland GmbH, Völklinger Straße 1, 40219 Düsseldorf, die für die Verarbeitung auf ihren Plattformen selbst verantwortlich ist; es gelten deren Datenschutzhinweise. Wenn Sie sich bei uns bewerben, verarbeiten wir Ihre Angaben und Unterlagen, etwa Kontaktdaten, Lebenslauf, Zeugnisse und die Korrespondenz mit Ihnen, zur Durchführung des Bewerbungsverfahrens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Beschäftigungsverhältnisses). Freiwillige Angaben zu besonderen Kategorien, etwa zu einer Schwerbehinderung, verarbeiten wir nach Art. 9 Abs. 2 lit. b DSGVO. Zugriff haben nur die am Verfahren beteiligten Personen.

Kommt es zu einer Einstellung, übernehmen wir die erforderlichen Daten in die Personalakte. Nach einer Absage löschen wir Ihre Daten spätestens sechs Monate nach Zugang der Absage. Bis dahin bewahren wir sie nur auf, um mögliche Ansprüche nach dem Allgemeinen Gleichbehandlungsgesetz abwehren zu können (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO). In einen Bewerberpool nehmen wir Sie nur mit Ihrer Einwilligung auf, die Sie jederzeit widerrufen können.

11. Empfänger

Wir geben personenbezogene Daten nur weiter, soweit eine Rechtsgrundlage besteht. Empfänger sind:

• Auftragsverarbeiter, die weisungsgebunden für uns arbeiten: Hosting (Mittwald), die Agentur für die Betreuung der Website, Buchungstechnik und Channel Manager (SiteMinder), Hotelsoftware (apaleo), Online-Check-in, Newsletterversand (Brevo), Tagungs- und Gruppenbuchungen (customice), Telefonassistent (CODYCO), Gäste-WLAN (DATA PLEXX), Befragungen und Bewertungen (MARA) sowie IT-Dienstleister für E-Mail und Büro-IT;
• eigenständig oder gemeinsam mit uns Verantwortliche: Google (Google Maps), Meta (Instagram, Facebook), LinkedIn, Buchungsportale und Reisebüros, Stellenportale (Hotelcareer, StepStone), Erwin Renz (Paketstation);
• Zahlungsdienstleister (Adyen), Banken und Kartenorganisationen für die Zahlungsabwicklung;
• Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind (etwa beim Meldeschein, Abschnitt 7.2) oder ein Vorfall aufzuklären ist;
• Steuerberater, Wirtschaftsprüfer und Rechtsanwälte, die zur Verschwiegenheit verpflichtet sind, sowie Versicherer im Schadensfall.

Mit Auftragsverarbeitern schließen wir Verträge nach Art. 28 DSGVO.

12. Übermittlung in Drittländer

Einige Dienste verarbeiten Daten außerhalb der EU und des Europäischen Wirtschaftsraums (EWR). Wir übermitteln Daten in ein solches Drittland nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind:

• Google (Google Maps): Vertragspartner ist die Google Ireland Limited. Daten können an die Google LLC in den USA gehen. Sie ist nach dem EU-US Data Privacy Framework zertifiziert; dafür gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Ergänzend sehen die Vertragsbedingungen von Google Standardvertragsklauseln vor (Art. 46 Abs. 2 lit. c DSGVO).
• Meta (Instagram, Facebook, Anfrageformulare in Anzeigen): Vertragspartner ist die Meta Platforms Ireland Limited. Daten gehen an die Meta Platforms, Inc. in den USA, die nach dem EU-US Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss vom 10. Juli 2023).
• LinkedIn (Unternehmensseite): Daten können an die LinkedIn Corporation in den USA gehen, die nach dem EU-US Data Privacy Framework zertifiziert ist.
• Brevo (Newsletter): Brevo GmbH, Berlin, mit Servern in Frankreich, Deutschland und Belgien. Für einzelne Unterauftragnehmer in den USA stützt sich Brevo nach eigenen Angaben auf das Data Privacy Framework und Standardvertragsklauseln, für Unterstützung aus Indien auf Standardvertragsklauseln.
• SiteMinder (Buchungsfunktion und Buchungsseite): Vertragspartner ist die SiteMinder Distribution Limited im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der EU-Kommission gilt. SiteMinder speichert Daten nach eigenen Angaben bei Amazon Web Services in den USA; die Amazon.com, Inc. ist nach dem Data Privacy Framework zertifiziert. Konzerngesellschaften von SiteMinder sitzen in Australien, für das es keinen Angemessenheitsbeschluss gibt; SiteMinder setzt dafür nach eigenen Angaben Standardvertragsklauseln ein.
• apaleo (Hotelsoftware) nutzt nach eigenen Angaben Amazon Web Services mit Servern in Deutschland; die Amazon.com, Inc. ist nach dem Data Privacy Framework zertifiziert.
• Mittwald verarbeitet die Daten in Deutschland. Adyen (Niederlande), DATA PLEXX (Österreich), CODYCO und MARA (Deutschland) haben ihren Sitz in der EU.

Setzen weitere Dienstleister Stellen außerhalb der EU und des EWR ein, geschieht das nur unter den oben genannten Voraussetzungen. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage über die Kontaktdaten in Abschnitt 2.1.

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder eine gesetzliche Aufbewahrungspflicht besteht. Danach löschen wir sie. Besteht nur noch eine Aufbewahrungspflicht, schränken wir die Verarbeitung bis zum Fristende ein. Im Überblick:

• Server-Logfiles: Zugriffsprotokolle mit gekürzter IP-Adresse 60 Tage, Fehlerprotokolle sieben Tage
• Auswahl im Cookie-Banner: zwölf Monate
• Einzelne Cookies: siehe Cookie-Richtlinie
• Formulareinträge auf der Website und Anfragen aus Anzeigenformularen: sechs Monate nach Eingang
• Newsletter: E-Mail-Adresse bis zur Abmeldung, Nachweis der Einwilligung bis drei Jahre danach, Sperrliste solange nötig
• Meldeschein: ein Jahr ab Abreise, Vernichtung innerhalb der folgenden drei Monate (§ 30 Abs. 4 BMG)
• Rechnungen und sonstige Buchungsbelege: acht Jahre (§ 147 AO, § 257 HGB, § 14b UStG)
• Handels- und Geschäftsbriefe, etwa Buchungskorrespondenz: sechs Jahre (§ 147 AO, § 257 HGB)
• Bücher und Jahresabschlüsse: zehn Jahre (§ 147 AO, § 257 HGB)
• Transkripte und Zusammenfassungen des Telefonassistenten: bis zu 24 Monate
• Gästeprofil: drei Jahre nach dem letzten Aufenthalt
• Gesundheitsangaben: bis zum Ende des Aufenthalts oder der Veranstaltung, sofern Sie keiner längeren Speicherung zugestimmt haben
• Videoaufnahmen: 72 Stunden, bei einem Vorfall bis zu dessen Klärung
• WLAN-Verbindungsdaten: solange sie für Betrieb und Sicherheit des Netzes gebraucht werden
• Bewerbungen: sechs Monate nach Zugang der Absage

Die handels- und steuerrechtlichen Fristen beginnen mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.

14. Pflicht zur Bereitstellung von Daten

Sie können unsere Website nutzen, ohne Angaben zu Ihrer Person zu machen; technisch notwendige Daten wie die IP-Adresse fallen dabei trotzdem an. Für eine Anfrage, Buchung oder Bewerbung brauchen wir die als Pflichtfelder gekennzeichneten Angaben. Ohne sie können wir Ihr Anliegen nicht bearbeiten oder keinen Vertrag schließen. Gäste ohne deutsche Staatsangehörigkeit sind gesetzlich verpflichtet, den Meldeschein auszufüllen (§ 29 Abs. 2 BMG). Alle Einwilligungen sind freiwillig.

15. Automatisierte Entscheidungen und Profiling

Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Das gilt auch für unseren KI-Telefonassistenten: Er nimmt Anliegen auf und bearbeitet Standardanfragen nach unseren Vorgaben; Entscheidungen im Einzelfall trifft unser Team.

16. Ihre Rechte

16.1 Auskunft: Sie können Auskunft darüber verlangen, ob und welche Daten wir über Sie verarbeiten, und eine Kopie erhalten (Art. 15 DSGVO).

16.2 Berichtigung: Sie können die Berichtigung unrichtiger und die Vervollständigung unvollständiger Daten verlangen (Art. 16 DSGVO).

16.3 Löschung: Sie können die Löschung Ihrer Daten verlangen, soweit wir sie nicht mehr benötigen, keine Aufbewahrungspflicht besteht und keine andere Ausnahme nach Art. 17 Abs. 3 DSGVO greift (Art. 17 DSGVO).

16.4 Einschränkung der Verarbeitung: Sie können verlangen, dass wir Ihre Daten nur noch eingeschränkt verarbeiten, etwa solange die Richtigkeit bestritten ist (Art. 18 DSGVO).

16.5 Datenübertragbarkeit: Daten, die Sie uns bereitgestellt haben und die wir auf Grundlage Ihrer Einwilligung oder eines Vertrags automatisiert verarbeiten, erhalten Sie auf Wunsch in einem gängigen, maschinenlesbaren Format. Sie können auch verlangen, dass wir sie direkt an einen anderen Verantwortlichen übermitteln, soweit das technisch machbar ist (Art. 20 DSGVO).

16.6 Widerspruch: Ihr Widerspruchsrecht nach Art. 21 DSGVO ist in Abschnitt 3 beschrieben.

16.7 Widerruf von Einwilligungen: Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), bei Cookies über den Link „Cookie-Einstellungen“ am Ende jeder Seite, beim Newsletter über den Abmeldelink, im Übrigen per Nachricht an uns. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

16.8 Beschwerde: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Postanschrift: Postfach 1349, 91504 Ansbach
https://www.lda.bayern.de

So üben Sie Ihre Rechte aus: Wenden Sie sich an die Kontaktdaten in Abschnitt 2.1 oder an unsere Datenschutzbeauftragte (Abschnitt 2.2). Die Ausübung ist kostenlos. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Bestehen Zweifel an Ihrer Identität, können wir zusätzliche Angaben verlangen.

17. Änderungen dieser Hinweise

Wir passen diese Hinweise an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils auf unserer Website veröffentlichte Fassung.

Stand: Oktober 2026