Entwurf — noch nicht rechtlich geprüft

Dieser Text ist ein Arbeitsentwurf und enthält offene Platzhalter sowie interne Anmerkungen. Er ersetzt keine Rechtsberatung und darf so nicht veröffentlicht werden. Quelle: recht/datenschutz.md (Lücke L7).

ENTWURF — keine Rechtsberatung. Vor Go-Live von einer fachkundigen Person prüfen lassen.

Datenschutzerklärung — Entwurf

Gilt für die Website des Ferienhauses Hintersee. Rechtsgrundlage: Datenschutz-Grundverordnung (DSGVO/GDPR) und österreichisches Datenschutzgesetz (DSG). Verantwortlicher im Sinn von Art. 4 Nr. 7 DSGVO ist der Vermieter als Privatperson — siehe Platzhalter unten.

1 · Verantwortlicher

[PLATZHALTER: Vollständiger Name des Vermieters] [PLATZHALTER: Anschrift] E-Mail: [PLATZHALTER: Kontakt-E-Mail] Telefon: [PLATZHALTER: Telefonnummer, optional]

Ein Datenschutzbeauftragter ist voraussichtlich nicht zu bestellen (private Kleinvermietung, keine umfangreiche/systematische Überwachung, keine Kerntätigkeit mit besonderen Datenkategorien). Das ist keine Rechtsberatung — im Zweifel prüfen.

2 · Grundsätzliches

Diese Erklärung beschreibt, welche personenbezogenen Daten beim Besuch dieser Website und bei einer Buchungsanfrage verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange. Sie wird ergänzt, sobald sich am eingesetzten Tech-Stack etwas ändert.

3 · Hosting und Server-Logfiles

Die Website ist eine statische Seite (Astro) und wird bei einem Hosting-Anbieter mit Sitz in der EU betrieben ([PLATZHALTER: Hoster final wählen, siehe PROJEKT.md Lücke L13]). Es wird serverseitig keine Datenbank und keine Anwendungssoftware betrieben; ausgeliefert werden ausschließlich vorab erzeugte Dateien.

Verarbeitete Daten: IP-Adresse, Datum/Uhrzeit der Anfrage, aufgerufene Seite, Referrer, User-Agent (Browser/Betriebssystem) — automatisch in Server-Logfiles.
Zweck: technischer Betrieb, Sicherheit, Fehleranalyse.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und funktionsfähigen Betrieb der Website).
Speicherdauer: [PLATZHALTER: konkrete Logfile-Speicherdauer beim gewählten Hoster — beim Hoster erfragen und hier eintragen].
Auftragsverarbeitung: Mit dem Hoster ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen (siehe Checkliste).

4 · Kontaktformular

[PLATZHALTER: Dieser Abschnitt gilt nur, wenn ein Kontaktformular eingesetzt wird — offen, siehe PROJEKT.md Lücke L14. Ohne Formular entfällt er ersatzlos; Anfragen laufen dann über die angegebene E-Mail-Adresse und die Smoobu-Anfrage.]

Verarbeitete Daten: Name, E-Mail-Adresse, Nachrichtentext sowie ggf. weitere freiwillige Angaben (Reisezeitraum, Personenzahl).
Zweck: Bearbeitung der Anfrage.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme/Anbahnung eines Mietvertrags) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen, soweit keine Buchungsanbahnung vorliegt).
Speicherdauer: [PLATZHALTER: konkrete Löschfrist festlegen, z. B. nach abgeschlossener Anfrage/Buchung plus Aufbewahrungsfrist].

5 · Buchung über die Smoobu-Booking-Engine

Auf der Seite „Preise & Verfügbarkeit” ist die Buchungs-Engine des Anbieters Smoobu GmbH eingebunden (Custom-HTML-Embed, siehe PROJEKT.md Abschnitt 6/7). Über dieses Formular werden echte Buchungen inkl. Zahlung abgewickelt — „Smoobu ist die Wahrheit” (PROJEKT.md, Leitprinzip).

Verarbeitete Daten: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Reisedaten, Personenzahl, Zahlungsdaten (Verarbeitung der Zahlung selbst erfolgt über den von Smoobu eingesetzten Zahlungsdienstleister — [PLATZHALTER: welcher Zahlungsdienstleister ist in Smoobu hinterlegt?]).
Zweck: Abschluss und Abwicklung des Mietvertrags über das Ferienhaus, inkl. Zahlungsabwicklung, Gästekommunikation und – soweit gesetzlich vorgesehen – Meldung an das Gästemeldewesen (siehe Abschnitt 9).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/-anbahnung); für gesetzliche Meldepflichten Art. 6 Abs. 1 lit. c DSGVO.
Rolle von Smoobu: Smoobu bietet nach eigenen Angaben einen Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) nach Art. 28 DSGVO an. Ob im konkreten Fall Smoobu als Auftragsverarbeiter oder als gemeinsam Verantwortlicher (Art. 26 DSGVO) einzuordnen ist, hängt davon ab, wie weit Smoobu die Daten auch für eigene Zwecke nutzt (z. B. für Portal-Synchronisierung mit Airbnb/Booking.com) — das muss eine fachkundige Person anhand des tatsächlichen Smoobu-Vertrags klären. Quelle zum Smoobu-DPA: Smoobu Data Processing Agreement; Smoobu Privacy Policy.
Speicherdauer: richtet sich nach den steuer- und meldewesenrechtlichen Aufbewahrungspflichten (siehe Abschnitt 9) sowie den Smoobu-eigenen Löschfristen. [PLATZHALTER: konkrete Fristen aus dem Smoobu-AVV übernehmen].

6 · Google Analytics 4 (GA4) und Google Ads

Zur Reichweitenmessung und für Conversion-Tracking von Buchungsanfragen sind GA4 und ein Google-Ads-Conversion-Tag vorgesehen (PROJEKT.md Abschnitt 6).

Verarbeitete Daten: pseudonyme Nutzungsdaten (z. B. besuchte Seiten, Verweildauer, Gerätetyp, ggf. gekürzte IP-Adresse), Conversion-Ereignisse (z. B. „Buchung abgeschlossen”).
Zweck: Reichweitenmessung, Optimierung der Website, Erfolgsmessung von Google-Ads-Kampagnen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — ausschließlich nach vorheriger, aktiver Einwilligung über den Cookie-Banner. Ohne Einwilligung werden GA4 und Google Ads nicht geladen.
Consent Mode v2: Seit 6. März 2024 ist der Einsatz von Google Consent Mode v2 für Werbetreibende im EWR verpflichtend, wenn GA4/Google Ads weiter uneingeschränkt genutzt werden sollen. Ohne Einwilligung werden dabei nur anonyme „Consent-Pings” ohne Cookies übertragen (Basic- oder Advanced-Modus). Quelle: Consent Mode v2 Pflicht ab März 2024 — dotflow; Google Consent Mode v2 — dataguard.
Empfänger: Google Ireland Limited bzw. Google LLC (USA) als Auftragsverarbeiter; Datenübermittlung in die USA im Rahmen des EU-US Data Privacy Framework bzw. Standardvertragsklauseln — aktuellen Status des Data Privacy Framework zum Zeitpunkt des Go-Live prüfen, da sich die Rechtslage zu internationalen Datentransfers ändern kann.
Auftragsverarbeitung: „Data Processing Terms” von Google (Art. 28 DSGVO) müssen im Google-Analytics- bzw. Google-Ads-Konto akzeptiert werden. Quelle: Google Ads Data Processing Terms — Google-Support.
Widerruf: jederzeit über den Cookie-Banner möglich (siehe Abschnitt 8).

Für einen optionalen Newsletter ist Brevo (vormals Sendinblue), ein E-Mail-Marketing-Anbieter mit Sitz/Verarbeitung in der EU, vorgesehen (PROJEKT.md Abschnitt 6).

Verarbeitete Daten: E-Mail-Adresse, ggf. Name; technische Metadaten zum Versand (Öffnungs-/Klickrate — sofern aktiviert).
Zweck: Versand des Newsletters.
Verfahren: Double-Opt-in — die Anmeldung wird erst nach Bestätigung über einen Link in einer Bestätigungs-E-Mail wirksam.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Widerruf: jederzeit über den Abmeldelink in jeder Newsletter-E-Mail.
Auftragsverarbeitung: Brevo integriert den Auftragsverarbeitungsvertrag nach eigenen Angaben in seine AGB (Anhang 3) — separater Abschluss ist laut Brevo nicht nötig, sollte aber geprüft und die Vereinbarung im Konto abgerufen/dokumentiert werden. Quelle: Brevo DPA, Brevo GDPR.

Diese Website verwendet einen Cookie-Consent-Manager (Real Cookie Banner), über den technisch nicht notwendige Dienste (GA4, Google Ads, ggf. eingebettete Inhalte) erst nach aktiver Einwilligung geladen werden.

Kategorien: notwendig (immer aktiv, keine Einwilligung erforderlich) / Statistik (GA4) / Marketing (Google Ads) — [PLATZHALTER: endgültige Kategorienliste nach Konfiguration ergänzen].
Rechtsgrundlage notwendiger Cookies: Art. 6 Abs. 1 lit. f DSGVO bzw. § 165 Abs. 3 TKG 2021 (funktional erforderlich).
Rechtsgrundlage optionaler Cookies: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Widerruf/Änderung: über den jederzeit erreichbaren Cookie-Einstellungen-Link im Footer.
Details zur technischen Prüfung des Banners (Blockierung vor Einwilligung, Consent Mode v2) siehe recht/compliance-checkliste.md bzw. Aufgabe des Agenten smoobu-tracking.

9 · Ortstaxe, Gästemeldewesen und gesetzliche Aufbewahrungspflichten

Bei jeder Buchung fällt die Salzburger Nächtigungsabgabe (umgangssprachlich „Ortstaxe”) an. Nach dem Salzburger Nächtigungsabgabengesetz (SNAG) beträgt sie seit 1. Mai 2025 in Summe mit dem Mobilitätsbeitrag 3,50 € pro Nächtigung (deckt sich mit dem in PROJEKT.md hinterlegten Wert). Quelle: RIS, Salzburger Nächtigungsabgabengesetz, Gesetzesnummer 20001237.

Für die Abwicklung und Meldung ist in der Salzburger-Land-Region üblicherweise das elektronische Gästemeldesystem Feratel Deskline im Einsatz (Gästeregistrierung, Ausstellung der Gästekarte/ÖV-Ticket, automatisierte Abrechnung der Nächtigungsabgabe). Quelle: Feratel — Elektronisches Meldewesen, SalzburgerLand Tourismus — Feratel Deskline.

Verarbeitete Daten: Name, Geburtsdatum, Anschrift, Staatsangehörigkeit, Anzahl der Nächtigungen der Gäste — im Rahmen der gesetzlichen Melde- und Abgabenpflicht.
Zweck: Erfüllung der landesrechtlichen Meldepflicht und Abrechnung der Nächtigungsabgabe.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) — konkrete Meldepflicht-Norm (Meldegesetz/Fremdenverkehrsabgabenrecht Salzburg) vor Veröffentlichung von einer fachkundigen Person benennen lassen; hier bewusst nicht im Detail zitiert, da die genaue Grundlage (Meldegesetz vs. Gemeinde-/Tourismusabgabenrecht) über eine reine Websuche nicht abschließend verifiziert wurde.
Empfänger: zuständige Gemeinde/Tourismusverband, ggf. Feratel als technischer Dienstleister — falls Feratel eingesetzt wird, ist auch mit Feratel ein AVV zu prüfen (siehe Checkliste).
Speicherdauer: nach den jeweils einschlägigen abgaben- und meldewesenrechtlichen Aufbewahrungsfristen. [PLATZHALTER: konkrete Fristen bei der Gemeinde Faistenau/dem Tourismusverband erfragen].

10 · Betroffenenrechte

Jede betroffene Person hat nach der DSGVO das Recht auf:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch (Art. 21 DSGVO)
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Beschwerde bei der österreichischen Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, dsb.gv.at

Anfragen dazu bitte an: [PLATZHALTER: Kontakt-E-Mail des Verantwortlichen]

11 · Änderungen dieser Erklärung

Diese Erklärung wird angepasst, sobald sich der eingesetzte Tech-Stack ändert (z. B. neues Formular-Plugin, neuer Hoster, neue Tracking-Tools). Stand: [PLATZHALTER: Datum der letzten inhaltlichen Prüfung].