Datenschutzerklärung

Zuletzt aktualisiert: 1. März 2026  ·  Gemäß DSGVO, BDSG (neu) und anwendbarem deutschen Recht

1. Verantwortlicher

Soweit diese Datenschutzerklärung von einem „Datenschutzbeauftragten“ spricht: Es besteht gemäß Art. 37 DSGVO keine Pflicht zur Bestellung eines Datenschutzbeauftragten, da weder die Schwellenwerte nach Art. 37 Abs. 1 lit. b noch lit. c DSGVO erreicht werden. Datenschutzanfragen richten Sie bitte direkt an die oben genannte Adresse.

EU-Vertreter gemäß Art. 27 DSGVO

Da die HARBUSCH MARKETING SERVICES LLC ihren Sitz in den USA hat und personenbezogene Daten von Personen in der Europäischen Union verarbeitet, ist sie gemäß Art. 27 DSGVO verpflichtet, eine Vertreterin oder einen Vertreter in der EU zu benennen. Diese Pflicht besteht, sofern die Verarbeitung nicht nur gelegentlich erfolgt oder besondere Kategorien von Daten i. S. v. Art. 9 DSGVO betroffen sind.

Bis zur Benennung der EU-Vertreterin können sich betroffene Personen und Aufsichtsbehörden unmittelbar an den Verantwortlichen unter der oben genannten E-Mail-Adresse wenden.

2. Keine Cookies & kein Tracking

Diese Website verwendet keinerlei Cookies, weder technisch notwendige noch optionale. Es werden keine Tracking-Pixel, keine Analyse-Tools (z. B. Google Analytics, Matomo), keine Social-Media-Plugins (z. B. Facebook Pixel) und keine Werbenetzwerke eingebunden.

Es findet keine verhaltensbasierte Analyse von Websitebesuchern statt. Aus diesem Grund ist gemäß § 25 TTDSG sowie der DSGVO kein Cookie-Banner erforderlich.

3. Website-Hosting

3.1 Firebase Hosting (Google LLC)

Diese Website wird über Firebase Hosting bereitgestellt, einem Dienst der Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Bei jedem Aufruf einer Seite werden serverseitig technische Zugriffsdaten protokolliert (Server-Logs), die Ihr Browser automatisch übermittelt. Dies sind insbesondere:

• IP-Adresse des anfragenden Endgeräts (ggf. anonymisiert)
• Datum und Uhrzeit des Zugriffs
• URL der aufgerufenen Seite
• HTTP-Statuscode & übertragene Datenmenge
• Referrer-URL (verweisende Seite)
• Browser-Typ & Betriebssystem (User-Agent)

Diese Daten sind technisch notwendig, um die Website auszuliefern und die Sicherheit sowie Stabilität des Betriebs zu gewährleisten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: sicherer Websitebetrieb). Die Logs werden nach spätestens 30 Tagen automatisch gelöscht. Google LLC ist als Auftragsverarbeiter gemäß Art. 28 DSGVO vertraglich gebunden (Google Cloud Data Processing Addendum).

3.2 Google Cloud Storage (Bildauslieferung)

Bildmaterialien dieser Website werden über Google Cloud Storage (GCS) ausgeliefert, ebenfalls ein Dienst der Google LLC. Beim Laden von Bildern verbindet sich Ihr Browser direkt mit Googles Servern; dabei können die oben genannten Zugriffsdaten verarbeitet werden.

Die Nutzung von GCS ist technisch notwendig zur performanten und standortnah zwischengespeicherten (gecachten) Auslieferung von Bildinhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Websiteperformance).

3.3 Cloud Functions (Serverless Backend)

Funktionen wie der KI-Chat und das Kontaktformular werden über Google Cloud Functions (Region: europe-west1, Standort: Belgien) verarbeitet. Die Verarbeitung erfolgt innerhalb der EU. Google LLC ist auch hier als Auftragsverarbeiter vertraglich gebunden.

4. Kontaktformular & Erstgespräch-Anfrage

Wenn Sie über unser Formular ein Erstgespräch anfragen, erheben wir folgende Daten:

• Vor- und Nachname (Pflichtfeld)
• Hotelname (Pflichtfeld)
• E-Mail-Adresse (Pflichtfeld)
• Telefonnummer (optional)
• Anzahl der Zimmer (optional)
• Nachricht (optional)
• Zeitstempel der Anfrage & IP-Adresse (technisch, serverseitig)

Zweck: Bearbeitung Ihrer Anfrage und Kontaktaufnahme zur Terminvereinbarung für ein kostenloses Erstgespräch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Anfrage der betroffenen Person).

Speicherdauer: Anfragedaten werden in unserer Datenbank (Google Firestore) für 14 Tage gespeichert und danach automatisch und unwiderruflich gelöscht (technische Umsetzung über ein Firestore-TTL-Feld). Kommt ein Vertrag zustande, werden vertragsrelevante Daten nach den gesetzlichen Aufbewahrungsfristen (§ 257 HGB: 6 Jahre, § 147 AO: 10 Jahre) aufbewahrt.

Ihr Widerrufsrecht: Sie können jederzeit die Löschung Ihrer Anfragedaten vor Ablauf der 14-Tage-Frist verlangen, indem Sie uns unter legal@h-dxs.com kontaktieren und Ihren Namen, Ihre E-Mail-Adresse und das Anfrageatum angeben. Wir löschen Ihre Daten dann unverzüglich.

Datenweitergabe: Ihre Kontaktdaten werden nicht an Dritte weitergegeben. Ausnahme: Google LLC als Auftragsverarbeiter (Datenbankbetrieb, s. o.).

5. KI-Assistent (ChatGPT-Technologie)

Diese Website bietet einen KI-gestützten Assistenten an, der Ihnen Fragen zu unseren Leistungen und Themen rund um Hotel-Direktvertrieb beantwortet.

Technik: Ihre Texteingaben werden über unsere eigene serverseitige Cloud Function (eu-west1, Belgien) an die API von OpenAI, LLC (3180 18th Street, San Francisco, CA 94110, USA) übermittelt und dort zur Antwortgenerierung verarbeitet.

Was übermittelt wird: Ausschließlich der Inhalt Ihrer Chat-Nachrichten in der aktuellen Sitzung (kein Name, keine E-Mail, keine IP-Adresse wird an OpenAI weitergegeben).

Speicherung: Chat-Verläufe werden nicht dauerhaft gespeichert. Die Konversation existiert nur im Arbeitsspeicher Ihres Browsers und der Cloud Function für die Dauer der Anfrage. Nach Beendigung Ihrer Browser-Sitzung ist der Verlauf unwiderruflich gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung des Chat-Widgets). Die Nutzung des Assistenten ist vollständig freiwillig.

OpenAI gibt an, API-Daten nicht für das Training seiner Modelle zu nutzen (siehe OpenAI API Data Usage Policy). Weitere Informationen: openai.com/policies/privacy-policy

Widerruf: Da Chat-Daten nicht dauerhaft gespeichert werden, gibt es nach Sitzungsende keine persistenten Daten, die gelöscht werden könnten. Möchten Sie die Übermittlung an OpenAI verhindern, nutzen Sie den KI-Assistenten einfach nicht.

6. Datenübermittlung in Drittländer

Bei der Nutzung folgender Dienste werden Daten in die USA übermittelt, ein Drittland gem. Art. 44 ff. DSGVO:

Die EU-Standardvertragsklauseln (SCC) stellen ein geeignetes Schutzniveau gemäß Art. 46 Abs. 2 lit. c DSGVO sicher. Mit Urteil des EuGH vom 16. Juli 2020 („Schrems II“) wurden die SCCs als gültiges Instrument für Drittlandübermittlungen bestätigt.

7. Übersicht eingesetzter Dienstleister

8. Ihre Rechte als betroffene Person

Gemäß DSGVO stehen Ihnen folgende Rechte zu. Zur Geltendmachung wenden Sie sich an: legal@h-dxs.com

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die zu Ihrer Person gespeicherten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger personenbezogener Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO, “Recht auf Vergessenwerden”): Sie können die unverzügliche Löschung Ihrer Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Unter bestimmten Voraussetzungen können Sie die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) jederzeit widersprechen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung (z. B. Nutzung des KI-Chats) kann jederzeit ohne Angabe von Gründen widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsortes, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für Nutzer in Deutschland: Ihre zuständige Landesbehörde finden Sie unter bfdi.bund.de.

Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) — auch zuständig bei Unternehmen mit Sitz außerhalb der EU, die Dienstleistungen in Deutschland erbringen:
Graurheindorfer Str. 153, 53117 Bonn  ·  poststelle@bfdi.bund.de  ·  www.bfdi.bund.de

9. Datensicherheit

Diese Website wird ausschließlich über HTTPS ausgeliefert. Sämtliche Übertragungen zwischen Ihrem Browser und unseren Servern sind durch TLS/SSL verschlüsselt.

HTTP-Sicherheits-Header schützen vor häufigen Angriffsszenarien:

• Strict-Transport-Security — erzwingt HTTPS
• X-Frame-Options: DENY — verhindert Clickjacking
• X-Content-Type-Options: nosniff — verhindert MIME-Sniffing
• Referrer-Policy: strict-origin-when-cross-origin
• Permissions-Policy — deaktiviert ungenutzte Browser-APIs

Daten in Firestore werden im Ruhezustand (at rest) und während der Übertragung (in transit) von Google verschlüsselt. Datenbankzugriffe sind ausschließlich über das Admin-SDK aus unseren Cloud Functions möglich; kein direkter Client-Zugriff ist erlaubt.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren, um sie an geänderte Rechtslage, Dienste oder Verarbeitungstätigkeiten anzupassen. Das Datum der letzten Aktualisierung ist oben auf dieser Seite vermerkt.

Wesentliche Änderungen werden Ihnen, sofern Sie uns eine E-Mail-Adresse übermittelt haben und dies technisch zumutbar ist, per E-Mail mitgeteilt. Wir empfehlen, diese Seite regelmäßig aufzurufen.