Privacyverklaring

1. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke in de zin van art. 4 punt 7 AVG en van overige bepalingen inzake gegevensbescherming is:

Fewo-Tebben, Gästehaus Weserblick
Eigenaar: Sascha Tebben
Donnerschweer Str. 46, 26123 Oldenburg
Duitsland
Telefoon: +49 (0) 441-212132300
E-mail: home@fewo-tebben.de

Een functionaris voor gegevensbescherming is wettelijk niet vereist (minder dan 20 personen zijn permanent bezig met de verwerking van persoonsgegevens, § 38 lid 1 BDSG). Met vragen over gegevensbescherming kunt u zich rechtstreeks wenden tot de bovengenoemde contactgegevens.

2. Overzicht / toepassingsgebied

Deze privacyverklaring informeert u uitgebreid over de verwerking van persoonsgegevens bij het bezoeken en gebruiken van onze website https://fewo-tebben.de en de taalvarianten daarvan (/en, /nl). Zij heeft betrekking op de volgende verwerkingscontexten:

• Aanbieden van de website (paragrafen 4-6)
• Webanalyse met Google Analytics 4 en Google Ads / remarketing (paragraaf 7)
• Gebruiksanalyse met Microsoft Clarity (paragraaf 7a)
• Foutopsporing met Sentry (paragraaf 8)
• Contactopname per e-mail, formulier, telefoon, WhatsApp, website-chat (paragraaf 9)
• Online boeken en betalingsafhandeling met Stripe (paragraaf 10)
• Boekingsbeheer via ILOCA (paragraaf 11)
• Kaartintegratie via OpenStreetMap/Leaflet (paragraaf 12)
• Weergave van beoordelingen van Booking.com (paragraaf 13)
• Verzending van e-mail (paragraaf 14)

Optionele verwerkingen (met name Google Analytics en Microsoft Clarity) vinden uitsluitend plaats na uw uitdrukkelijke toestemming via onze cookiebanner. U kunt uw toestemming te allen tijde met ingang van de toekomst intrekken via de link „Cookie-instellingen“ in de footer.

3. Rechtsgrondslagen van de verwerking

Voor zover wij persoonsgegevens verwerken, komen de volgende rechtsgrondslagen in aanmerking (art. 6 AVG):

• Art. 6 lid 1 onder a AVG: toestemming (cookietoestemming, optionele functies).
• Art. 6 lid 1 onder b AVG: uitvoering van de overeenkomst en precontractuele maatregelen (boekingen, contactaanvragen die op een boeking zijn gericht).
• Art. 6 lid 1 onder c AVG: nakoming van wettelijke verplichtingen (fiscale en handelsrechtelijke bewaarplichten op grond van AO/HGB).
• Art. 6 lid 1 onder f AVG: behartiging van gerechtvaardigde belangen (IT-beveiliging, foutoplossing, opbouw van vertrouwen door de weergave van beoordelingen). Wij voeren bij elke verwerking een belangenafweging uit; de belangrijkste overwegingen zijn vastgelegd in de betreffende paragraaf over de verwerking.

Daarnaast geldt voor het plaatsen en uitlezen van informatie op uw eindapparaat § 25 TTDSG: technisch strikt noodzakelijke opslag- en toegangshandelingen zijn op grond van lid 2 nr. 2 zonder toestemming toegestaan; alle overige cookies en vergelijkbare technologieën alleen na toestemming (lid 1).

4. Hosting (Hetzner)

Deze website wordt gehost bij Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Duitsland. De serverlocatie is de Europese Unie (Hetzner-datacenter in Duitsland). Met Hetzner is een verwerkersovereenkomst gesloten (art. 28 AVG).

Verwerkte gegevens: IP-adres, tijdstip van toegang, opgevraagde URL, browsertype, HTTP-statuscode, referrer-URL, user-agent.

Rechtsgrondslag: art. 6 lid 1 onder f AVG (gerechtvaardigd belang bij het betrouwbaar aanbieden van de website).

5. Serverlogbestanden

Bij het opvragen van de pagina’s worden automatisch serverlogbestanden aangemaakt die de volgende informatie bevatten: browsertype en -versie, gebruikt besturingssysteem, referrer-URL, hostnaam van de benaderende computer, tijdstip van het serververzoek, IP-adres.

Bewaartermijn: serverlogbestanden worden maximaal 30 dagen bewaard en daarna automatisch verwijderd.

Doel: het in stand houden van de werking van de website, het herkennen en afweren van aanvallen (bijv. DoS/brute force).

Rechtsgrondslag: art. 6 lid 1 onder f AVG (gerechtvaardigd belang bij IT-beveiliging; overweging 49 AVG).

De logbestandgegevens worden niet samengevoegd met andere gegevensbronnen. Persoonsgebonden analyses (bijv. profilering via logbestanden) vinden niet plaats.

6. Cookies en vergelijkbare technologieën

Wij gebruiken cookies en vergelijkbare opslagtechnologieën (LocalStorage). Wij onderscheiden twee categorieën:

6.1 Noodzakelijke cookies / LocalStorage (zonder toestemming)

• Boekingssessie en winkelwagen: slaat de geselecteerde reisgegevens op bij het afrekenen (browsersessie).
• CSRF-token: bescherming tegen Cross-Site Request Forgery in formulieren (browsersessie).
• Taalinstelling: DE/EN/NL-keuze (LocalStorage, permanent tot handmatige verwijdering).
• Toestemmingsstatus: uw keuze in de cookiebanner (LocalStorage-sleutel cookie_consent, permanent).
• Website-chat: LocalStorage-sleutel ft_webchat: een willekeurig gegenereerd kenmerk en het nummer van uw chatgesprek, zodat de chat na het opnieuw laden van de pagina kan worden voortgezet. Wordt alleen ingesteld als u de chat op een pagina over vervangende of tijdelijke accommodatie daadwerkelijk start; bevat geen naam en geen telefoonnummer; vervalt na 30 dagen (zie paragraaf 9.3). Hiervoor wordt geen cookie geplaatst.
• Visitekaartjesvoordeel: cookie fewo_kartenvorteil: wordt alleen geplaatst als u de QR-code of de korte link fewo-tebben.de/vk op ons visitekaartje opent, zodat de daar toegezegde korting bij een latere boeking automatisch kan worden afgetrokken. Bevat alleen de naam van de kaartoplage, geen kenmerk van uw persoon; vervalt na 90 dagen.
• Stripe-antifraudecookies (bijv. __stripe_mid, __stripe_sid): worden pas geplaatst wanneer de betaalpagina wordt bereikt; dienen uitsluitend ter voorkoming van fraude en zijn vereist voor een veilige betalingsafhandeling (zie paragraaf 10).

Rechtsgrondslag: § 25 lid 2 nr. 2 TTDSG (technisch strikt noodzakelijk) juncto art. 6 lid 1 onder b AVG (uitvoering van de overeenkomst) resp. art. 6 lid 1 onder f AVG (gerechtvaardigd belang bij werking en beveiliging).

6.2 Optionele cookies (alleen na toestemming)

• Google Analytics 4: _ga (client-ID, levensduur 2 jaar), _ga_BVNLKJGKJK (sessiestatus, 2 jaar); zie paragraaf 7.
• Google Ads-kliktoewijzing: ft_gclid (first-party cookie, levensduur 90 dagen): slaat de Google-klik-ID op wanneer u via een van onze Google-advertenties op de website bent gekomen, zodat een latere boeking aan de advertentie kan worden toegewezen (conversiemeting); zie paragrafen 7 en 10.
• Herkomsttoewijzing: ft_ref (first-party cookie, levensduur 90 dagen): slaat bij het eerste bezoek de herkomstbron op (bijv. het domein van de zoekmachine of „direct“), de als eerste opgevraagde pagina en de datum, zonder zoektermen, klik- of gebruikers-ID’s, zodat een latere boeking aan het herkomstkanaal (bijv. zoeken, verwijzing, directe oproep) kan worden toegewezen.

Rechtsgrondslag: art. 6 lid 1 onder a AVG en § 25 lid 1 TTDSG (toestemming).

U kunt uw toestemming te allen tijde met ingang van de toekomst intrekken via de footerlink „Cookie-instellingen“. De intrekking heeft geen invloed op de rechtmatigheid van de tot dan toe uitgevoerde verwerking.

7. Webanalyse met Google Analytics 4 en Google Ads

Op deze website gebruiken wij, uitsluitend na uw uitdrukkelijke toestemming, Google Analytics 4 (GA4), een dienst van Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland („Google Ireland“). Moederbedrijf is Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Verwerkte gegevens: ingekort IP-adres (anonymize_ip: true is ingesteld: Google kort het IP-adres binnen de EU/EER in vóór de doorgifte naar de VS), een gepseudonimiseerde client-ID (cookie _ga), apparaat- en browserinformatie, referrer-URL, verblijfsduur, opgevraagde pagina’s, klikken op bepaalde UI-elementen (boekingsknoppen, telefoon- en WhatsApp-klikken, taalwisselingen), prestatie-indicatoren (Web Vitals). Een koppeling van een user-ID aan een Google-account vindt niet plaats.

Google Consent Mode v2: vóórdat u toestemming geeft, staan alle opslagparameters (analytics_storage, ad_storage, ad_user_data, ad_personalization) op denied. In deze toestand worden geen identificerende cookies geplaatst; Google ontvangt uitsluitend anonieme pingsignalen zonder persoonsgegevens.

Koppeling met Google Ads (conversiemeting en remarketing): onze GA4-property is gekoppeld aan ons Google Ads-account. Alleen als uw toestemming is verkregen (ad_storage, ad_user_data, ad_personalization op granted), worden GA4-gebeurtenissen (bijv. afgeronde boekingen als „purchase“-gebeurtenis) en GA4-doelgroeplijsten doorgegeven aan Google Ads en daar gebruikt voor het meten van het succes van onze advertenties, voor rapporten en voor gepersonaliseerde reclame (remarketing). Komt u via een van onze Google-advertenties op de website, dan slaat uw browser bovendien, eveneens uitsluitend na toestemming, de Google-klik-ID op als first-party cookie ft_gclid (90 dagen), waarmee wij een latere boeking aan de advertentie toewijzen. Zonder toestemming blijven doorgifte, personalisatie en kliktoewijzing volledig achterwege.

Advertenties in ChatGPT (OpenAI Ads): wij plaatsen advertenties in ChatGPT. Komt u via een dergelijke advertentie op onze website en hebt u ingestemd met het marketinggebruik, dan laden wij het meetscript van OpenAI (OpenAI Ireland Ltd., 1 Grand Canal Street Lower, Dublin 2, Ierland; moederbedrijf OpenAI, L.L.C., San Francisco, USA). Dit slaat de door de advertentie doorgegeven klikreferentie op als first-party cookies __oppref en __obref (30 dagen) en meldt aan OpenAI of de klik tot een aanvraag (gids, contactformulier) of een boeking (boekingsreferentie, bedrag) heeft geleid, zodat wij het succes van de advertenties kunnen meten. Contactgegevens worden daarbij, indien al, uitsluitend als SHA-256-hash doorgegeven. Zonder toestemming wordt het script niet geladen. Los daarvan onthouden wij de klikreferentie en de campagnegegevens uit de adresbalk gedurende uw bezoek in de sessionStorage van uw browser (geen cookie), om een aanvraag of boeking intern aan de advertentie toe te wijzen; deze waarden geven wij niet door aan OpenAI. Rechtsgrondslag: art. 6 lid 1 onder a AVG, § 25 lid 1 TDDDG (toestemming) resp. art. 6 lid 1 onder f AVG voor de interne toewijzing. Voor OpenAI gelden de EU-standaardcontractbepalingen als waarborg voor de doorgifte naar een derde land.

Doorgifte naar derde land VS: met Google is een verwerkersovereenkomst gesloten (art. 28 AVG). Er vindt doorgifte naar de VS plaats. Rechtsgrondslagen voor de doorgifte naar een derde land:

• EU-US Data Privacy Framework (adequaatheidsbesluit van de Europese Commissie van 10.07.2023; Google LLC is gecertificeerd).
• EU-standaardcontractbepalingen (art. 46 lid 2 onder c AVG) als aanvullende waarborg.

Ondanks het adequaatheidsbesluit blijven er restrisico’s bestaan door toegangsrechten van Amerikaanse overheidsinstanties (bijv. FISA 702). U kunt deze risico’s volledig vermijden door de toestemming voor analyse te weigeren.

Bewaartermijn: 14 maanden (standaardinstelling GA4).

Rechtsgrondslag: art. 6 lid 1 onder a AVG en § 25 lid 1 TTDSG (toestemming). Intrekking te allen tijde mogelijk via „Cookie-instellingen“ in de footer.

Privacyinformatie van Google: policies.google.com/privacy. Aanvullende browser-opt-out via de Google Analytics-opt-out-add-on: tools.google.com/dlpage/gaoptout.

7a. Gebruiksanalyse met Microsoft Clarity

Op deze website gebruiken wij, uitsluitend na uw uitdrukkelijke toestemming, Microsoft Clarity, een analysedienst van Microsoft Corporation, One Microsoft Way, Redmond, WA 98052-6399, USA („Microsoft“).

Doel: Clarity helpt ons te begrijpen hoe bezoekers onze website bedienen, met name waar het boekingsproces wordt afgebroken. Daartoe maakt de dienst sessie-opnames (session replays) en heatmaps (klik-, scroll- en bewegingspatronen). Een gedragsanalyse van afzonderlijke, identificeerbare personen voor reclamedoeleinden vindt door ons niet plaats.

Verwerkte gegevens: muisbewegingen, klikken, scrolldiepte, bezochte pagina’s en verblijfsduur, apparaat- en browserinformatie, besturingssysteem, schermgrootte en de geschatte locatie (afgeleid van het IP-adres). Microsoft kort het IP-adres naar eigen zeggen in of maskeert het vóór de opslag. Tekstinvoer en gevoelige inhoud worden door de geactiveerde maskeringsfunctie van Clarity standaard onherkenbaar gemaakt voordat zij aan onze opnames worden toegevoegd.

Cookies: Clarity plaatst na toestemming first-party cookies, onder meer _clck (ca. 1 jaar), _clsk (ca. 1 dag) en CLID (ca. 1 jaar), die sessies toewijzen aan een gepseudonimiseerd gebruikersprofiel.

Geen laden zonder toestemming: in tegenstelling tot Google Analytics verzendt Clarity vóór uw toestemming geen enkele gegevens: het Clarity-script wordt pas geladen na een klik op „Alles accepteren“. Kiest u „Alleen noodzakelijke“, dan vindt er geen overdracht aan Microsoft plaats.

Doorgifte naar derde land VS: met Microsoft is een verwerkersovereenkomst gesloten (Microsoft Data Processing Addendum, art. 28 AVG). Er vindt doorgifte naar de VS plaats. Rechtsgrondslag voor de doorgifte naar een derde land is het EU-US Data Privacy Framework (adequaatheidsbesluit van de Europese Commissie van 10.07.2023; Microsoft Corporation is gecertificeerd). Ondanks het adequaatheidsbesluit bestaan er restrisico’s door toegangsrechten van Amerikaanse overheidsinstanties (bijv. FISA 702). U kunt deze risico’s volledig vermijden door de toestemming voor statistieken te weigeren.

Bewaartermijn: sessie-opnames worden volgens de standaardinstelling van Microsoft na 30 dagen verwijderd; geaggregeerde analyses blijven daarna uitsluitend in niet tot personen herleidbare vorm bewaard.

Rechtsgrondslag: art. 6 lid 1 onder a AVG en § 25 lid 1 TTDSG (toestemming). Intrekking te allen tijde mogelijk via „Cookie-instellingen“ in de footer; na intrekking wordt Clarity niet meer geladen.

Privacyinformatie van Microsoft: privacy.microsoft.com/de-de/privacystatement. Meer informatie over Clarity: clarity.microsoft.com/terms en learn.microsoft.com/clarity.

8. Foutopsporing met Sentry

Voor het opsporen en verhelpen van technische fouten op de website gebruiken wij Sentry, een dienst van Functional Software, Inc. d/b/a Sentry, 132 Hawthorne Street, San Francisco, CA 94107, USA. Contractpartner in de EU: Sentry GmbH, Berlin.

Verwerkte gegevens: wanneer een fout optreedt, wordt technische informatie vastgelegd (browser- en apparaattype, schermgrootte, URL van de foutieve pagina, stacktrace, tijdstempel, IP-adres). Wij hebben Sentry privacyvriendelijk geconfigureerd:

• sendDefaultPii: false: cookies, headers en body worden niet automatisch doorgegeven.
• Session replay is standaard uitgeschakeld (replaysSessionSampleRate: 0); bij fouten wordt maximaal 10 % van de sessies als replay vastgelegd om problemen te kunnen reconstrueren.
• Querystrings in breadcrumbs worden vóór de doorgifte verwijderd (beforeBreadcrumb-hook), om onbedoelde doorgifte van URL-parameters (bijv. ID’s) te voorkomen.
• Formulierinhoud, invoer in zoekvelden en invoer in platte tekst worden niet vastgelegd.

Doorgifte naar derde land VS: Sentry kan gegevens doorgeven aan Amerikaanse servers. Met Sentry is een verwerkersovereenkomst inclusief EU-standaardcontractbepalingen gesloten. Functional Software Inc. is gecertificeerd onder het EU-US Data Privacy Framework.

Bewaartermijn: 90 dagen (Sentry-standaard voor error-events).

Rechtsgrondslag: art. 6 lid 1 onder f AVG (gerechtvaardigd belang bij een foutloos, veilig webaanbod). Zonder foutopsporing zouden kritieke bugs (bijv. in het boekingstraject) onopgemerkt kunnen blijven en vermogensschade bij gebruikers kunnen veroorzaken.

Privacyinformatie van Sentry: sentry.io/privacy.

9. Contactopname

U kunt op verschillende manieren contact met ons opnemen. Afhankelijk van het gekozen kanaal worden verschillende gegevens verwerkt:

9.1 E-mail, contactformulier, telefoon

Verwerkt worden de door u verstrekte gegevens (naam, contactgegevens, eventueel adres, inhoud van de aanvraag). De verwerking vindt plaats ter behandeling van uw aanvraag.

Rechtsgrondslag: art. 6 lid 1 onder b AVG (precontractuele maatregelen resp. voorbereiding van een overeenkomst) resp. art. 6 lid 1 onder f AVG (gerechtvaardigd belang bij het beantwoorden van algemene aanvragen).

Bewaartermijn: 6 maanden na afronding van de aanvraag, voor zover geen boeking tot stand komt. Bij een tot stand gekomen boeking gelden de fiscale bewaartermijnen (zie paragraaf 15).

9.2 WhatsApp

Wanneer u via WhatsApp contact met ons opneemt, worden uw berichten, telefoonnummer, profielfoto en profielnaam doorgegeven aan WhatsApp Ireland Ltd. (4 Grand Canal Square, Dublin). WhatsApp Ireland geeft gegevens door aan het moederconcern Meta Platforms, Inc., 1601 Willow Road, Menlo Park, CA 94025, USA. WhatsApp versleutelt inhoud end-to-end; metadata (wie wanneer met wie) zijn voor WhatsApp echter toegankelijk.

Doorgifte naar derde land VS: via het EU-US Data Privacy Framework (Meta Platforms Inc. is gecertificeerd) en EU-standaardcontractbepalingen. Toch bestaan er restrisico’s door toegangsrechten van Amerikaanse overheidsinstanties.

Rechtsgrondslag: art. 6 lid 1 onder a AVG (toestemming door uw actieve keuze van het communicatiekanaal) en art. 6 lid 1 onder b AVG (voorbereiding van een overeenkomst).

Als u de voorkeur geeft aan contactopname zonder doorgifte naar de VS als derde land, kunt u ons ook bereiken per e-mail via home@fewo-tebben.de of telefonisch op +49 (0) 441-212132300.

10. Boeking en betalingsafhandeling (Stripe)

Voor de afhandeling van online betalingen gebruiken wij Stripe. Contractpartner voor klanten in de EU is Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ierland; aan het moederconcern Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA, kunnen gegevens worden doorgegeven.

Verwerkte gegevens: naam, e-mailadres, factuuradres, betaalgegevens (creditcard- of SEPA-incassogegevens), transactiebedrag, boekingsreferentie, IP-adres (voor fraudepreventie). De betaalgegevens worden niet via onze servers geleid, maar rechtstreeks ingevoerd in een Stripe-iFrame (Stripe Elements).

Positie: Stripe verwerkt de gegevens als zelfstandig verwerkingsverantwoordelijke (joint controller voor fraudepreventie).

Doorgifte naar derde land VS: via het EU-US Data Privacy Framework (Stripe Inc. is gecertificeerd) en EU-standaardcontractbepalingen.

Rechtsgrondslag: art. 6 lid 1 onder b AVG (uitvoering van de logiesovereenkomst).

Boekingsmetadata en advertentietoewijzing: bij het afronden van een online boeking slaan wij daarnaast uw IP-adres en de laatst opgevraagde pagina (referrer) op, evenals, voor zover u toestemming hebt gegeven voor marketingcookies, campagneparameters (UTM) en de Google-klik-ID (gclid, zie paragrafen 6 en 7). Doeleinden: traceerbaarheid en beveiliging van de boeking (fraudepreventie) en interne meting of een boeking via een van onze advertenties tot stand is gekomen. Deze gegevens worden verwerkt in onze interne boekingsmelding en een intern boekingslogboek en niet aan derden doorgegeven. Rechtsgrondslagen: art. 6 lid 1 onder b AVG (afhandeling van de boeking), art. 6 lid 1 onder f AVG (gerechtvaardigd belang bij fraudepreventie en het meten van de eigen reclame-effectiviteit); voor gclid/UTM art. 6 lid 1 onder a AVG (toestemming).

Privacyinformatie van Stripe: stripe.com/de/privacy.

11. Boekingsbeheer (ILOCA)

Voor het beheer van beschikbaarheid, boekingen en gastgegevens gebruiken wij het boekingssysteem ILOCA van BSE Software GmbH, Duitsland (iloca.de).

Verwerkte gegevens: naam, e-mailadres, telefoonnummer, postadres, reisperiode, aantal gasten, boekingsreferentie, eventueel medereizigers.

Serverlocatie: Duitsland. Met ILOCA is een verwerkersovereenkomst gesloten (art. 28 AVG). Er vindt geen doorgifte naar derde landen plaats.

Rechtsgrondslag: art. 6 lid 1 onder b AVG (uitvoering van de overeenkomst) en art. 6 lid 1 onder c AVG (meldplicht op grond van BundesmeldeG voor logiesverstrekkers).

12. Kaartweergave (OpenStreetMap / Leaflet)

Op afzonderlijke pagina’s (bijv. bestemmingen voor uitstapjes, routebeschrijving) integreren wij interactieve kaarten die zijn gebaseerd op gegevens van de OpenStreetMap Foundation (St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Verenigd Koninkrijk). De kaarttegels worden geladen van tile-servers van de OSM Foundation.

Verwerkte gegevens: bij het laden van de kaarttegels wordt uw IP-adres doorgegeven aan de tile-server van de OSM Foundation. Wij registreren deze doorgifte zelf niet.

Doorgifte naar derde land Verenigd Koninkrijk: het Verenigd Koninkrijk geldt na de brexit als derde land. De Europese Commissie heeft bij adequaatheidsbesluit van 28.06.2021 (verlengd in 2025) een passend beschermingsniveau vastgesteld. Een aanvullende waarborg is niet vereist.

Rechtsgrondslag: art. 6 lid 1 onder f AVG (gerechtvaardigd belang bij een aantrekkelijke weergave van de locatie). De kaarten worden technisch pas geladen wanneer ze in het zichtbare gebied worden gescrold (Intersection Observer); daarvoor vindt geen doorgifte plaats.

Privacyinformatie van de OSM Foundation: wiki.osmfoundation.org/wiki/Privacy_Policy.

13. Beoordelingen van Booking.com

Op de detailpagina’s van accommodaties tonen wij fragmenten uit openbaar toegankelijke gastbeoordelingen, die wij periodiek overnemen uit het partnerportaal van Booking.com (Booking.com B.V., Herengracht 597, 1017 CE Amsterdam, Nederland) en op onze website tijdelijk opslaan.

Getoonde gegevens: voornaam (zoals de gast deze op Booking.com heeft opgegeven, meestal voornaam met de beginletter van de achternaam, bijv. „Markus W.“), land van herkomst, beoordelingsscore (1-10), datum, beoordelingstekst.

Positie: wij geven uitsluitend gegevens weer die de betreffende gasten bij Booking.com al zelf openbaar hebben gemaakt. Een aanvullende identificatie van personen via onze pagina is niet mogelijk (geen profielen, geen links naar Booking-profielen).

Rechtsgrondslag: art. 6 lid 1 onder f AVG (gerechtvaardigd belang bij transparantie en het opbouwen van vertrouwen; gasten hebben door de publicatie op Booking.com al ingestemd met een brede kenbaarheid).

Intrekking: mocht u bij ons te gast zijn geweest en uw beoordeling niet langer op onze website willen zien, neem dan vormvrij contact met ons op: wij verwijderen de vermelding onverwijld.

14. Verzending van e-mail

Voor de verzending van boekingsbevestigingen, annuleringsbevestigingen, facturen en supportantwoorden gebruiken wij een SMTP-mailserver in de Europese Unie. Doorgifte aan Amerikaanse aanbieders (bijv. Google Workspace / Gmail) vindt bij de verzending niet plaats.

Verwerkte gegevens: naam, e-mailadres, inhoud van het bericht (boekingsgegevens).

Rechtsgrondslag: art. 6 lid 1 onder b AVG (uitvoering van de overeenkomst).

Let op: zodra het bericht in uw mailbox is aangekomen, gelden de privacybepalingen van uw e-mailprovider. Als u zelf Gmail/Outlook enz. gebruikt, kan uw bericht door deze aanbieders worden verwerkt; daarop hebben wij geen invloed.

15. Bewaartermijn / bewaarplichten

Persoonsgegevens worden gewist of geblokkeerd zodra het doel van de opslag vervalt. Overzicht:

• Boekings- en factuurgegevens: 10 jaar (§ 147 AO, fiscaal)
• Contractuele correspondentie: 6 jaar (§ 257 HGB)
• Serverlogbestanden: max. 30 dagen (zie paragraaf 5)
• Sentry-foutgegevens: 90 dagen (zie paragraaf 8)
• Google Analytics-gegevens: 14 maanden (zie paragraaf 7)
• Microsoft Clarity-opnames: 30 dagen (zie paragraaf 7a)
• Contactaanvragen zonder boeking: 6 maanden (zie paragraaf 9)
• Website-chatgesprekken zonder boeking: 180 dagen na het laatste bericht (zie paragraaf 9.3)
• ILOCA-boekingsgegevens: gedurende de actieve contractuele relatie en de wettelijke bewaartermijn (10 jaar)
• Stripe-betaalgegevens: volgens de eigen bewaartermijn van Stripe (zie stripe.com/de/privacy; momenteel tot 10 jaar voor regelgevende doeleinden)

16. Overzicht doorgifte naar derde landen

De volgende verwerkingen omvatten een doorgifte van persoonsgegevens buiten de EU/EER:

Opmerking over restrisico’s in de VS: ondanks het EU-US Data Privacy Framework blijven er principiële bezwaren bestaan met betrekking tot toegangsrechten van Amerikaanse overheidsinstanties (FISA 702, EO 12333). Voor zover dit mogelijk was zonder functioneel verlies, hebben wij bewust gekozen voor EU-aanbieders (Hetzner voor hosting, ILOCA voor boekingsbeheer, Booking.com B.V. met zetel in Nederland, EU-SMTP voor het verzenden van e-mail).

17. Uw rechten

U hebt tegenover ons de volgende rechten:

• Recht op inzage (art. 15 AVG)
• Recht op rectificatie (art. 16 AVG)
• Recht op gegevenswissing (art. 17 AVG)
• Recht op beperking van de verwerking (art. 18 AVG)
• Recht op overdraagbaarheid van gegevens (art. 20 AVG)
• Recht van bezwaar tegen verwerkingen op basis van gerechtvaardigde belangen (art. 21 AVG)
• Recht om een gegeven toestemming met ingang van de toekomst in te trekken (art. 7 lid 3 AVG): te allen tijde via „Cookie-instellingen“ in de footer
• Recht om een klacht in te dienen bij een toezichthoudende autoriteit (art. 77 AVG)

U kunt uw rechten vormvrij bij ons uitoefenen per e-mail aan home@fewo-tebben.de of per post. Wij behandelen verzoeken onverwijld, in elk geval binnen de wettelijke termijn van één maand (art. 12 lid 3 AVG; eventueel met twee maanden te verlengen bij complexe verzoeken).

Bevoegde toezichthoudende autoriteit: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.

18. Verplichting tot verstrekking van gegevens

De verstrekking van uw persoonsgegevens bij het bezoeken van onze website is wettelijk noch contractueel voorgeschreven. Er bestaat geen plicht tot het verstrekken van gegevens.

Bij een boeking is de verstrekking van de voor de uitvoering van de overeenkomst noodzakelijke gegevens (naam, adres, contactgegevens, betaalgegevens) echter vereist, zodat wij de logiesovereenkomst kunnen sluiten en uitvoeren. Zonder verstrekking kan geen boeking plaatsvinden. Daarnaast zijn wij wettelijk verplicht meldgegevens vast te leggen op grond van het Bundesmeldegesetz (BundesmeldeG).

19. Geautomatiseerde besluitvorming / profilering

Geautomatiseerde besluitvorming, met inbegrip van profilering, in de zin van art. 22 AVG vindt op deze website niet plaats. Boekingen worden handmatig resp. volgens vaste (niet op profielen gebaseerde) beschikbaarheidsregels in het boekingssysteem ILOCA behandeld. Het automatische eerste antwoord in de website-chat (paragraaf 9.3) stelt uitsluitend wedervragen en neemt geen beslissing; elke aanvraag wordt door het gastheerteam persoonlijk behandeld.

20. Technische en organisatorische maatregelen (TOM’s)

Wij treffen technische en organisatorische maatregelen op grond van art. 32 AVG ter bescherming van uw gegevens:

• Transportversleuteling (TLS 1.2/1.3) voor alle verbindingen tussen browser en server (HTTPS verplicht).
• Strikte Content Security Policy (CSP) in de HTTP-header tegen cross-site scripting en gegevensexfiltratie.
• Toegangsbeperking op need-to-know-basis (op rollen gebaseerd toegangsconcept, MFA voor beheerderstoegang).
• Regelmatige beveiligingsupdates van de server en de gebruikte softwarecomponenten.
• Dagelijkse versleutelde back-ups; gescheiden bewaring van back-up en productiesysteem.
• Verplichting van medewerkers tot gegevensgeheimhouding (art. 28 lid 3 onder b AVG bij verwerkers).

21. SSL-/TLS-versleuteling

Deze pagina gebruikt om veiligheidsredenen een SSL-/TLS-versleuteling. Een versleutelde verbinding herkent u eraan dat de adresbalk van de browser met „https://“ begint en een slotsymbool wordt getoond.

22. Bescherming van minderjarigen

Ons aanbod is niet specifiek gericht op personen jonger dan 16 jaar. Personen jonger dan 16 jaar mogen zonder toestemming van hun wettelijke vertegenwoordigers geen persoonsgegevens aan ons doorgeven en geen boeking verrichten (art. 8 AVG juncto § 110 BGB).

Mochten wij te weten komen dat een persoon jonger dan 16 jaar zonder de vereiste toestemming gegevens heeft doorgegeven, dan worden deze gegevens onverwijld gewist.

23. Wijzigingen van deze privacyverklaring

Wij behouden ons het recht voor deze privacyverklaring aan te passen, zodat zij altijd voldoet aan de actuele wettelijke eisen of om wijzigingen van onze diensten door te voeren (bijv. bij de invoering van nieuwe services). Bij uw volgende bezoek geldt dan de nieuwe privacyverklaring. Belangrijke wijzigingen delen wij actieve contractpartners bovendien per e-mail mee.