Datenschutzerklärung

4.1 Zahlungen

Wie Sie bezahlen, wählen Sie selbst. Je nach Zahlungsart sind folgende Stellen beteiligt; Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Ihre Kartendaten und Zugangsdaten sehen wir nie.

Karte, Apple Pay, Google Pay und SEPA-Lastschrift: Stripe
Diese Zahlungen wickelt Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Dublin 2, Irland) auf einer eigenen, verschlüsselten Zahlungsseite ab. Wir übermitteln Stripe den Betrag, den Zahlungszweck, die Buchungsnummer, die Unterkunft und den Reisezeitraum sowie Ihre E-Mail-Adresse; Ihre Karten- oder Kontodaten geben Sie direkt bei Stripe ein. Von Stripe erhalten wir Zahlungsstatus, Betrag und Zahlungsart, bei Karten außerdem Kartenmarke, Kartentyp (Kredit-, Debit- oder Prepaidkarte) und Ausgabeland; das Ausgabeland nutzen wir, um bei Karten von außerhalb des Europäischen Wirtschaftsraums die Kartengebühr zu bestimmen und zu prüfen, und die Kartenangaben im Übrigen nur für die interne Auswertung unserer Zahlungskosten. Für die Betrugsprävention und eigene gesetzliche Pflichten, etwa zur Geldwäscheprävention, ist Stripe selbst Verantwortlicher. Stripe kann Daten an Stripe, LLC in den USA übermitteln; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert und nutzt zusätzlich Standardvertragsklauseln. Bei Apple Pay und Google Pay gelten außerdem die Datenschutzhinweise von Apple bzw. Google. Hinterlegen Sie die Kaution per Kartenreservierung, reserviert Stripe den Betrag nur auf Ihrer Karte. Damit die Kaution bis nach Ihrer Abreise abgesichert bleibt, kann Stripe Ihre Karte dafür speichern und die Reservierung bei Bedarf automatisch über denselben Betrag erneuern; wir erhalten dazu nur eine Kennung der Karte bei Stripe, nie die Kartennummer. Die gespeicherte Karte nutzen wir ausschließlich für die Kaution dieser Buchung.

PayPal
Mit PayPal zahlen Sie direkt an unser PayPal-Konto (info@thebalearian.com). PayPal (Europe) S.à r.l. et Cie, S.C.A. (22-24 Boulevard Royal, L-2449 Luxemburg) wickelt die Zahlung als eigener Verantwortlicher nach seinen eigenen Datenschutzbestimmungen ab. Wir erhalten Ihren Namen, Ihre PayPal-E-Mail-Adresse, den Betrag, das Datum und Ihre Mitteilung zur Zahlung.

Banküberweisung, auch aus Wise oder Revolut
Sie überweisen auf unser Geschäftskonto bei der Banco Santander, S.A. oder, wenn auf der Zahlungsseite angegeben, auf unser Konto bei Wise (Wise Europe SA, Brüssel, Belgien) oder Revolut (Revolut Bank UAB, Vilnius, Litauen). Wir erhalten dabei nur den Namen des Kontoinhabers, die IBAN bzw. Kontonummer, den Betrag und den Verwendungszweck. Ihre eigene Bank oder App, zum Beispiel Wise oder Revolut, ist für die Verarbeitung Ihrer Daten selbst verantwortlich; dasselbe gilt für die Institute, bei denen wir unsere Konten führen.

4.2 Technische Dienstleister

Hosting und Server-Protokolle: Hetzner
Website und Buchungsverwaltung laufen auf einem Server der Hetzner Online GmbH (Gunzenhausen, Deutschland) in einem Rechenzentrum in der EU. Bei jedem Seitenaufruf speichert der Server IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode und Browserkennung. Das dient der Sicherheit und Fehlersuche (Art. 6 Abs. 1 lit. f DSGVO); dieses Protokoll löschen wir nach 14 Tagen. Schriften und Bilder liefern wir vom eigenen Server aus.

Datenbank: Supabase
Unsere Datenbank stellt Supabase Pte. Ltd. (Singapur) bereit. Die Daten liegen in einem Rechenzentrum in Frankfurt am Main (Deutschland). Für einen etwaigen Zugriff von außerhalb der EU, etwa im Support, gelten Standardvertragsklauseln.

E-Mail-Versand: MailerSend
E-Mails wie Buchungsbestätigungen, Zahlungslinks, die Bestätigungs-E-Mail zur Newsletter-Anmeldung, Willkommensgutscheine und, nur mit Ihrer Einwilligung, unseren Newsletter versenden wir über MailerSend, Inc. (New York, USA). Die Daten werden in der EU gespeichert; für Übermittlungen in die USA gelten Standardvertragsklauseln. Den Newsletter können Sie jederzeit über den Link in jeder Ausgabe abbestellen.

Buchungsplattformen: Channex
Buchen Sie über eine Plattform wie Airbnb oder Booking.com, erhalten wir die Buchungsdaten, die die Plattform weitergibt (z. B. Name, Reisedaten, Preis und Kontaktdaten), über unseren Channel-Manager Channex.io Ltd (Carmarthen, Vereinigtes Königreich). Channex speichert die Daten in der EU; für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Für die Plattform selbst gelten deren Datenschutzbestimmungen.

Bisherige Buchungssoftware: vOffice
Bis zur vollständigen Umstellung auf unser neues Buchungssystem speichern wir Buchungs- und Gästedaten auch in der Buchungssoftware der vOffice GmbH (Neustadt in Holstein, Deutschland).

KI-Funktionen: Anthropic
Für die KI-Villensuche auf dieser Website sowie für interne Antwortentwürfe und Übersetzungen nutzen wir das KI-Modell Claude von Anthropic (Anthropic Ireland, Limited, Dublin, Irland, und Anthropic, PBC, USA). Übermittelt wird nur der Text, den Sie in die Suche eingeben, bzw. für einen Antwortentwurf die Nachricht oder Bewertung, auf die wir antworten, mit den Eckdaten der Anfrage (Anrede und Name, Herkunftsland, gewünschte Unterkunft, Reisezeitraum, Personenzahl) und dem bisherigen Verlauf. E-Mail-Adressen und Telefonnummern machen wir vorher unkenntlich; Ihre IP-Adresse wird nie übermittelt. Anthropic verwendet diese Daten nicht zum Training seiner Modelle. Für Übermittlungen in die USA gelten Standardvertragsklauseln. Jeden Antwortentwurf prüfen und versenden wir selbst. Bitte geben Sie in die KI-Suche keine sensiblen Daten ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

Karte auf den Objektseiten: Google Maps
Auf den Objektseiten können Sie eine Karte von Google Maps anzeigen lassen (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Die Karte lädt erst, wenn Sie im Cookie-Banner Marketing erlaubt haben oder auf „Karte anzeigen“ tippen; diese Wahl merkt sich Ihr Browser auf diesem Gerät. Beim Laden erhält Google Ihre IP-Adresse sowie Geräte- und Browserangaben und kann eigene Cookies setzen; Daten können an Google LLC in den USA gelangen (EU-US Data Privacy Framework, Standardvertragsklauseln). Die Karte zeigt den Ort der Villa, nicht ihre Adresse. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie widerrufen sie über die Cookie-Einstellungen und löschen die gemerkte Wahl über die Website-Daten Ihres Browsers.

WhatsApp
Schreiben Sie uns über WhatsApp, laufen Ihre Nachrichten und Ihre Telefonnummer über WhatsApp Ireland Limited (Dublin, Irland), ein Unternehmen der Meta-Gruppe. Dabei können Daten in die USA übermittelt werden; es gelten die Datenschutzbestimmungen von WhatsApp. Wenn Sie das nicht möchten, erreichen Sie uns per E-Mail oder Telefon.

4.3 Gästemeldung an die Behörden

Das spanische Recht (Real Decreto 933/2021) verpflichtet uns, für jeden Aufenthalt die Daten aller Reisenden an das Innenministerium zu melden (Plattform SES.HOSPEDAJES, Ministerio del Interior). Gemeldet werden Name, Geschlecht, Ausweisdaten, Geburtsdatum, Staatsangehörigkeit, Anschrift, Kontaktdaten, Reisedaten sowie Art, Datum und Inhaber der Zahlung, bei Minderjährigen auch das Verwandtschaftsverhältnis zu einem mitreisenden Erwachsenen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO. Wie gesetzlich vorgeschrieben, bewahren wir diese Daten drei Jahre auf und löschen sie danach.

4.4 Übermittlung in Länder außerhalb der EU

Einige der genannten Dienstleister sitzen außerhalb der EU oder können Daten dort verarbeiten. Das geschieht nur, wenn die EU-Kommission ein angemessenes Datenschutzniveau festgestellt hat (z. B. für das Vereinigte Königreich oder für US-Unternehmen mit Zertifizierung nach dem EU-US Data Privacy Framework) oder wenn Standardvertragsklauseln der EU-Kommission vereinbart sind (Art. 45 und 46 DSGVO). Eine Kopie dieser Garantien erhalten Sie auf Anfrage an info@thebalearian.com.

4.5 Analyse und Werbung (nur mit Ihrer Einwilligung)

Die folgenden Dienste setzen wir nur ein, wenn Sie im Cookie-Banner eingewilligt haben, getrennt nach „Analyse“ und „Marketing“. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für das Speichern und Auslesen von Informationen auf Ihrem Gerät Art. 22 Abs. 2 LSSI-CE bzw. § 25 Abs. 1 TDDDG). Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Seitenfuß widerrufen. Namen, E-Mail-Adressen, Telefonnummern und Nachrichten übermitteln wir an diese Dienste nie im Klartext, ebenso keine Suchtexte. Die Anbieter können Daten in die USA übermitteln; Google und Meta sind nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten Standardvertragsklauseln (Art. 45 und 46 DSGVO).

Analyse: Google Analytics 4
Anbieter ist die Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Google Analytics zeigt uns pseudonym, wie unsere Website genutzt wird: aufgerufene Seiten, Klicks auf Kontakt-, Such- und Anfrageelemente, Scrolltiefe, Verweildauer, angesehene Villen, Filter und Suchen (ohne Freitext), wiederkehrende Besuche sowie Gerät, Browser, Sprache und ungefährer Standort. Die IP-Adresse nutzt Google nach eigenen Angaben nur zur Bestimmung des Standorts und speichert sie in Google Analytics nicht. Cookies: _ga und _ga_<ID> (Laufzeit 2 Jahre). Die Auswertungsdaten bewahren wir 14 Monate auf. Mehr unter policies.google.com/privacy.

Werbung: Google Ads
Anbieter ist die Google Ireland Limited (Dublin, Irland). Mit Google Ads messen wir, ob nach dem Klick auf eine unserer Anzeigen eine Anfrage eingeht (Conversion), und zeigen Ihnen später passende Anzeigen auf Grundlage der besuchten Seiten und angesehenen Villen (Remarketing, Zielgruppen). Senden Sie eine Anfrage, übermitteln wir für eine genauere Messung (erweiterte Conversions) Ihre E-Mail-Adresse und Telefonnummer nur als SHA-256-Hashwert, der in Ihrem Browser berechnet wird und sich nicht zurückrechnen lässt; Google gleicht ihn mit eigenen Konten ab. Cookies: _gcl_au, _gcl_aw und _gcl_dc (Laufzeit 90 Tage). Dabei erhält Google mit jedem Ereignis Ihre IP-Adresse, Browser- und Geräteangaben sowie die Adresse der aufgerufenen Seite und der zuvor besuchten Seite (Referrer); zusätzlich kann Google eigene Cookies auf doubleclick.net und google.com lesen und setzen, z. B. IDE (Laufzeit bis 13 Monate). Mehr unter policies.google.com/technologies/ads.

Werbung: Meta-Pixel (Facebook und Instagram)
Anbieter ist die Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irland). Das Meta-Pixel meldet Meta Seitenaufrufe, angesehene Villen, Suchen, Kontaktklicks, geöffnete und gesendete Anfragen sowie das Signal „besonderes Interesse“. Meta nutzt das, um den Erfolg unserer Anzeigen auf Facebook und Instagram zu messen, Ihnen passende Anzeigen zu zeigen und Zielgruppen zu bilden. Bei einer Anfrage übermitteln wir E-Mail-Adresse und Telefonnummer nur als SHA-256-Hashwert (erweiterter Abgleich). Dieselben Ereignisse „Anfrage gesendet“ und „Newsletter bestätigt“ übermitteln wir zusätzlich von unserem Server an Meta (Conversions API), ebenfalls nur mit Ihrer Einwilligung, mit denselben Hashwerten, Ihrer IP-Adresse, Browserangaben und den Cookie-Werten _fbp und _fbc; eine Ereignis-ID sorgt dafür, dass Meta beides nur einmal zählt. Für die Erhebung und Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO; Vereinbarung unter facebook.com/legal/controller_addendum), für die weitere Verarbeitung ist Meta allein verantwortlich. Cookies: _fbp und _fbc (Laufzeit 90 Tage). Dabei erhält Meta mit jedem Ereignis Ihre IP-Adresse, Browser- und Geräteangaben sowie die Adresse der aufgerufenen Seite und der zuvor besuchten Seite (Referrer); zusätzlich kann Meta eigene Cookies auf facebook.com lesen und setzen, z. B. fr (Laufzeit 90 Tage). Mehr unter facebook.com/privacy/policy.

Besuchszähler in Ihrem Browser
Mit Ihrer Einwilligung in Analyse oder Marketing zählt unsere Website in Ihrem Browser, wie viele Villen Sie in dieser Sitzung angesehen haben und wann Sie uns in den letzten 30 Tagen besucht haben (sessionStorage und localStorage, höchstens 10 Zeitpunkte). Daraus entsteht nur das Signal „besonderes Interesse“, das an die von Ihnen erlaubten Dienste geht; die Zähler selbst verlassen Ihr Gerät nie. Beim Widerruf löschen wir sie.

4.6 Persönliche Beratung (Besuchsverlauf, nur mit Ihrer Einwilligung)

Wenn Sie im Cookie-Banner „Persönliche Beratung“ wählen, erfassen wir Ihren Besuch auf dieser Website selbst, ohne Drittanbieter. Verantwortlich ist die Balearian Hospitality Services S.L. (Abschnitt 1). Die Daten liegen auf unserem Server bei Hetzner und in unserer Datenbank bei Supabase in Frankfurt (Abschnitt 4.2). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für die Kennung in Ihrem Browser Art. 22 Abs. 2 LSSI-CE bzw. § 25 Abs. 1 TDDDG).

Was wir erfassen
Eine zufällige Kennung im Cookie balearian-jv, die nur unser Server lesen kann (Laufzeit wie Ihre Einwilligung, höchstens 180 Tage). Dazu je Besuch: aufgerufene Seiten ohne Suchparameter, angesehene Villen, geöffnete Galerien, Verfügbarkeits- und Preisabfragen mit Zeitraum und Gästezahl, gewählte Filter, Suchen, Ihre Merkliste, Klicks auf WhatsApp, Telefon oder E-Mail, Sprache und Gerätetyp. Bei der KI-Suche speichern wir nur die erkannten Suchkriterien (etwa Insel, Gästezahl, Zeitraum, Ausstattung) und die vorgeschlagenen Villen, nicht Ihren Suchtext. Zur Herkunft speichern wir die Kampagnenangaben der Adresse (utm-Parameter), ob Sie über eine Anzeige von Google, Microsoft oder Meta kamen (Klick-Kennungen wie gclid oder fbclid, im Original höchstens 90 Tage, danach nur noch die Art) und von welcher Website Sie kamen, etwa einer Suchmaschine, ChatGPT oder einem anderen KI-Assistenten (nur der Name der Website). Ob Sie eine Anzeige nur gesehen haben, erfahren wir nicht. Ihre IP-Adresse speichern wir dafür nicht.

Verbindung mit Ihrer Person
Senden Sie uns eine Anfrage, verbinden wir den Verlauf mit dieser Anfrage. Mit Ihrem Kontakt in unserer Kundendatenbank verbinden wir ihn erst, wenn Sie Ihre E-Mail-Adresse bei der Merkliste bestätigt haben, wenn aus Ihrer Anfrage eine Buchung wird oder wenn unser Team die Anfrage Ihrem Kontakt zuordnet. So sehen wir, welche Villen und Wünsche Sie interessieren, und können Sie gezielt beraten. Das ist eine Profilbildung; automatisierte Entscheidungen mit rechtlicher Wirkung treffen wir damit nicht. Weitergegeben werden diese Daten nicht.

Speicherdauer, Widerruf und Löschung
Einen Verlauf, der mit keiner Anfrage, keiner Buchung und keinem Kontakt verbunden ist, löschen wir 180 Tage nach Ihrem letzten Besuch. Einzelne Seitenaufrufe und Ereignisse löschen wir 13 Monate nach dem Besuch; danach bleibt bei einer Anfrage oder Buchung nur die Zusammenfassung der Herkunft (Kanal, Kampagne, Einstiegsseite, erster und letzter Kontakt), höchstens drei Jahre nach Ihrem letzten Besuch (bei einer Buchung sechs Jahre wie die Buchungsunterlagen) und nur, solange die Anfrage, die Buchung oder Ihr Kontakt bei uns gespeichert ist. Sie können die Einwilligung jederzeit über „Cookie-Einstellungen“ im Seitenfuß widerrufen. Dann löschen wir sofort die Kennung und den gesamten Besuchsverlauf, auch einen, der mit einer Anfrage, einer Buchung oder Ihrem Kontakt verbunden ist; an der Anfrage bleibt nur deren Herkunft nach Abschnitt 4.7. Einen Verlauf, der nicht mit Ihrem Namen verbunden ist, können wir Ihnen nicht zuordnen (Art. 11 DSGVO); löschen können Sie ihn jederzeit selbst über „Cookie-Einstellungen“ auf dem jeweiligen Gerät.

4.7 Herkunft Ihrer Anfrage (ohne Einwilligung)

Zu jeder Anfrage speichern wir, auch ohne Ihre Einwilligung, von welcher Seite unserer Website sie abgeschickt wurde, welche Kampagnenangaben (etwa utm-Parameter) in deren Adresse standen und den daraus abgeleiteten Kanal (etwa Google-Anzeige oder Newsletter). Diese Angaben übermittelt Ihr Browser mit der Anfrage; wir setzen dafür kein Cookie und speichern nichts in Ihrem Browser. Rechtsgrundlage ist unser berechtigtes Interesse, die Wirkung unserer Werbung zu kennen (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit widersprechen (Art. 21 DSGVO). Wir bewahren diese Angaben so lange auf wie die Anfrage.