Datenschutzerklärung

Sie informiert nach Art. 13 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir beim Besuch dieser Website verarbeiten, wozu, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange wir sie speichern. Für Zugriffe auf Ihr Endgerät, etwa Cookies, gilt zusätzlich § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Andere Websites der TuK und unsere Auftritte bei Drittanbietern haben eigene Hinweise; für unsere Social-Media-Auftritte gelten die Datenschutzhinweise für Social Media.

3. Allgemeines

Verschlüsselung. Die Verbindung zu dieser Website ist per TLS verschlüsselt (erkennbar an »https://«).

Empfänger. Ihre Daten verarbeiten bei uns nur die Stellen, die sie für den jeweiligen Zweck brauchen. Außerdem setzen wir Dienstleister ein, die in unserem Auftrag und nach unserer Weisung arbeiten (Auftragsverarbeiter nach Art. 28 DSGVO): unseren Hoster (Ziffer 4), unseren E-Mail-Anbieter und CleverReach als Versanddienst für Rundschreiben (Ziffer 5) und den Betreiber unseres Buchungssystems (Ziffer 15). Weitere Empfänger nennen wir bei der jeweiligen Verarbeitung, etwa den Versanddienstleister für Drucksachen (Ziffer 7). Für unseren Ticketshop sind wir mit der CTS EVENTIM AG & Co. KGaA gemeinsam verantwortlich (Ziffer 17). Eingebettete Dienste Dritter laden erst nach Ihrer Einwilligung (Ziffern 9 und 10); welche Daten dabei an wen gehen, steht bei dem jeweiligen Dienst. An Behörden geben wir Daten nur weiter, wenn eine Rechtsvorschrift uns dazu verpflichtet, etwa bei Ermittlungen nach einem Angriff auf unsere Systeme.

Drittländer. Einige Anbieter verarbeiten Daten auch außerhalb der EU. Wo das der Fall ist, nennen wir das Land und die Grundlage: für die USA den Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework vom 10.07.2023 (Art. 45 DSGVO), der nur für zertifizierte Unternehmen gilt, für die Schweiz den dortigen Angemessenheitsbeschluss. Der Beschluss zum Data Privacy Framework wurde vom Gericht der EU am 03.09.2025 bestätigt; ein Rechtsmittel dagegen ist beim Europäischen Gerichtshof anhängig (C-703/25 P). Wir verfolgen das Verfahren und passen diese Erklärung an, wenn sich die Rechtslage ändert.

Speicherdauer. Wir speichern Daten nur so lange, wie es der jeweilige Zweck erfordert, und löschen sie danach, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Konkrete Fristen nennen wir bei den einzelnen Verarbeitungen.

Pflicht zur Bereitstellung. Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne die technisch nötigen Zugriffsdaten (Ziffer 4) können wir die Website allerdings nicht ausliefern, und ohne die als Pflichtfeld markierten Angaben können wir eine Anfrage, Bestellung oder Anmeldung nicht bearbeiten.

Keine automatisierten Entscheidungen. Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen (Art. 22 DSGVO), und bilden kein Profiling.

Aufgaben außerhalb dieser Website. Soweit wir außerhalb der Website Daten nach Rechtsvorschriften verarbeiten, etwa für den Meldeschein oder die Kurabgabe, informieren wir dort gesondert. Für Bewerbungen gelten die Hinweise auf der Seite Stellenangebote.

Künstliche Intelligenz. Wie wir KI-Werkzeuge bei der Erstellung von Inhalten dieser Website einsetzen, beschreibt unsere Seite KI-Transparenz. Daten von Besucherinnen und Besuchern geben wir dabei nicht weiter.

4. Hosting und Zugriffsdaten

Wir betreiben die Website bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, mit Serverstandort in Deutschland. STRATO ist unser Auftragsverarbeiter; ein Vertrag nach Art. 28 DSGVO besteht.

Bei jedem Aufruf verarbeitet der Webserver die Daten, die Ihr Browser übermittelt:

• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite oder Datei, übertragene Datenmenge und Status (Erfolg oder Fehler)
• Browser, Betriebssystem und Gerätetyp (»User-Agent«)
• die zuvor besuchte Seite (Referrer)
• IP-Adresse

Diese Daten brauchen wir, um die Website auszuliefern, ihren Betrieb stabil und sicher zu halten und Fehlern oder Angriffen nachzugehen. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen und sicheren Internetauftritt (Art. 6 Abs. 1 lit. f DSGVO). Nach Angaben des Hosters wird die IP-Adresse in den Server-Protokollen gekürzt; die Protokolle werden nach sieben Tagen gelöscht. Zum Schutz vor missbräuchlichen Massenabrufen werten unsere Formulare die IP-Adresse kurzzeitig nur als Prüfwert aus, der mit einem täglich wechselnden geheimen Schlüssel gebildet wird und sich nach Ablauf des Tages nicht mehr Ihrer Adresse zuordnen lässt (Ziffern 6 und 7).

5. E-Mail-Kommunikation und Rundschreiben (CleverReach)

Wenn Sie uns eine E-Mail schreiben oder ein Formular absenden, verarbeiten wir Ihre Nachricht und Ihre Kontaktdaten, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder dessen Anbahnung geht, sonst unser berechtigtes Interesse an der Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. f DSGVO).

Unsere E-Mail-Postfächer betreibt die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Microsoft 365), als unser Auftragsverarbeiter auf Grundlage der Datenschutzbestimmungen für Microsoft-Produkte und -Dienste. Microsoft kann Daten auch an die Microsoft Corporation in den USA übermitteln; die Microsoft Corporation ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Ziffer 3).

Rundschreiben an Gastgeber und Partner. Gastgebern, deren Unterkünfte wir vermitteln, und weiteren Partnern aus dem Ort schicken wir Rundschreiben per E-Mail, etwa zu Saisonterminen, zur Kurabgabe oder zu unserem Buchungssystem. Dafür verarbeiten wir Name, Betrieb und geschäftliche E-Mail-Adresse. Die Angaben stammen aus dem Vertrag, aus Ihrer Anmeldung oder von Ihnen selbst; bei Partnern ohne Vertrag können sie auch aus öffentlich zugänglichen Quellen wie der Website Ihres Betriebs stammen (Art. 14 DSGVO). Rechtsgrundlage ist bei unseren Vertragspartnern die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), bei den übrigen Partnern unser berechtigtes Interesse, die touristischen Betriebe im Ort zu informieren (Art. 6 Abs. 1 lit. f DSGVO). Jedes Rundschreiben enthält einen Link zur Abmeldung. Melden Sie sich ab, setzen wir Ihre Adresse auf eine Sperrliste, damit Sie keine Rundschreiben mehr erhalten; gelöscht wird sie, wenn die Zusammenarbeit endet. Ob ein Rundschreiben geöffnet oder ein Link angeklickt wird, messen wir nicht. Rundschreiben, die wir bis zum 16.10.2026 versandt haben, enthalten noch ein unsichtbares Zählbild und Zähllinks von CleverReach; öffnen Sie ein solches Rundschreiben, kann CleverReach das weiterhin erfassen (Art. 6 Abs. 1 lit. f DSGVO). Diese Zahlen werten wir nicht mehr aus. Für den Versand setzen wir die CleverReach GmbH & Co. KG, Schafjückenweg 2, 26180 Rastede, als Auftragsverarbeiter ein (Art. 28 DSGVO); die Daten werden in Deutschland verarbeitet.

Wir löschen E-Mails, sobald Ihr Anliegen erledigt ist. Ausgenommen sind Nachrichten, die wir als Handels- oder Geschäftsbriefe aufbewahren müssen (bis zu sechs Jahre, § 257 HGB), sowie Buchungsbelege (Ziffer 15).

Möchten Sie uns etwas Vertrauliches mitteilen, empfehlen wir eine verschlüsselte E-Mail oder den Postweg.

6. Formulare

Unsere Formulare laufen auf unserem eigenen Server; sie laden keine Inhalte Dritter und setzen keine Cookies außer dem Sitzungs-Cookie (Ziffer 9). Pflichtangaben sind markiert. Eine Einsendung wird bei uns gespeichert und per E-Mail an die zuständige Stelle zugestellt (Ziffer 5). Gegen automatisierte Spam-Einsendungen nutzen wir ein für Menschen unsichtbares Prüffeld und eine Mengenbegrenzung, die Ihre IP-Adresse nur als Prüfwert verarbeitet, der mit einem täglich wechselnden geheimen Schlüssel gebildet wird und sich nach Ablauf des Tages nicht mehr Ihrer Adresse zuordnen lässt (Art. 6 Abs. 1 lit. f DSGVO); den Prüfwert löschen wir spätestens nach einem Tag, bei der Einsendung speichern wir ihn nicht. Ihre Angaben verknüpfen wir nicht mit anderen Daten.

Die per E-Mail zugestellte Einsendung löschen wir nach Ziffer 5. Kommt aus einer Bewerbung ein Vertrag zustande, bewahren wir die Vertrags- und Abrechnungsunterlagen nach den gesetzlichen Fristen auf (§ 257 HGB, § 147 AO).

7. Prospektbestellung

Über unser Bestellformular können Sie kostenfreie Drucksachen anfordern, etwa das Urlaubsmagazin. Für Bearbeitung und Versand verarbeiten wir Vor- und Nachname, Versandanschrift (bei Auslandsversand mit Land) sowie die gewählten Drucksachen und Stückzahlen; eine freiwillig angegebene E-Mail-Adresse nutzen wir nur für die Bestellbestätigung. Rechtsgrundlage ist die Durchführung der von Ihnen angeforderten Zusendung (Art. 6 Abs. 1 lit. b DSGVO). Die Bestelldaten erhalten intern die versendende Stelle und die Deutsche Post bzw. der beauftragte Versanddienstleister.

Wir löschen Ihre Bestelldaten 30 Tage nach dem Versand; Bestellungen, die nicht versandt werden konnten, spätestens sechs Monate nach Eingang. Zum Schutz vor automatisierten Mehrfachbestellungen verarbeiten wir Ihre IP-Adresse nicht im Klartext, sondern als Prüfwert, der mit einem täglich wechselnden geheimen Schlüssel gebildet wird; wir löschen ihn nach 24 Stunden, danach lässt er sich Ihrer Adresse nicht mehr zuordnen (Art. 6 Abs. 1 lit. f DSGVO). Für unsere Planung zählen wir die Bestellungen außerdem anonym, etwa nach Bundesland; diese Zählung lässt keinen Rückschluss auf Sie zu.

8. Blätterkatalog (Urlaubsmagazin)

Das Urlaubsmagazin stellen wir als digitalen Blätterkatalog und als PDF bereit. Beides kommt vollständig von unserem eigenen Server, lädt keine Inhalte Dritter und setzt außer dem Sitzungs-Cookie (Ziffer 9) keine Cookies. Wir zählen nur, wie oft der Katalog je Tag und Ausgabe insgesamt aufgerufen wird, ohne IP-Adressen und ohne sonstige Merkmale, die auf einzelne Personen schließen lassen. Im Übrigen gilt Ziffer 4.

9. Cookies und vergleichbare Techniken

Cookies sind kleine Textdateien, die Ihr Browser speichert; ähnlich arbeiten der lokale Speicher und der Sitzungsspeicher des Browsers (Local und Session Storage). Wir setzen solche Speicher nur ein, wenn sie für einen von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG) oder wenn Sie eingewilligt haben (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Ohne Einwilligung – unbedingt erforderlich, nur auf unserer eigenen Domain, ohne Weitergabe an Dritte:

• Sitzungs-Cookie (»PHPSESSID«): Unsere Seitensoftware setzt es bei jedem Aufruf. Es trägt den Sicherheitsschlüssel, mit dem wir Formulare und die Suche gegen untergeschobene Absendungen schützen, und wird beim Schließen des Browsers gelöscht.
• Einwilligungsspeicher (»cc_cookie«): speichert Ihre Entscheidung aus Ziffer 10, Zustimmung wie Ablehnung, sechs Monate; danach fragen wir erneut.
• Merker für Einwilligungen per Klick: speichern, welchen eingebetteten Inhalt Sie per Klick freigegeben haben, bis Sie widerrufen oder die Sitzung endet.
• Seitenverlauf: hält im Sitzungsspeicher die zuletzt aufgerufene Seite für die Navigation vor.
• Gästebefragung: zählt im Sitzungsspeicher die Seitenaufrufe, damit der Hinweis erst nach einiger Lesezeit erscheint, und merkt sich dort, falls Sie »Nicht jetzt« wählen (Ziffer 12).
• »Unser Tipp«: merkt sich, dass Sie den Veranstaltungshinweis geschlossen haben (Ziffer 13).
• Veranstaltungsband: merkt sich je Veranstaltung, dass Sie das Band über der Kopfzeile geschlossen haben, bis Sie den Eintrag in Ihrem Browser löschen.
• »Mag ich« (»gmMag«): speichert im lokalen Speicher die Kurzbezeichnungen der Veranstaltungen, die Sie gemerkt haben, ohne Kennung, bis Sie »Mag ich« zurücknehmen oder den Eintrag in Ihrem Browser löschen; vergangene Veranstaltungen entfernt der Kalender selbst (Ziffer 16).
• Mitsingen: speichert auf der Seite »Mitsingen« den von Ihnen eingestellten Zeitversatz zwischen Musik und Text, bis Sie den Eintrag in Ihrem Browser löschen.
• Widerspruch gegen die Webanalyse (»gm_analytics_optout«): nur auf Ihren Wunsch, drei Jahre (Ziffer 11).

Mit Einwilligung – eingebettete Inhalte Dritter: Karten (Ziffer 14), Online-Buchung (Ziffer 15), Film-Trailer von YouTube (Ziffer 16), Webcam (Ziffer 19). Diese Dienste können eigene Cookies oder Speichereinträge setzen und erhalten Ihre IP-Adresse, sobald sie laden.

Jeden Speicher mit Anbieter, Zweck, Kategorie, Speicherdauer, Herkunft, Rechtsgrundlage und Drittlandbezug führt die Cookie-Erklärung am Ende dieser Seite auf.

10. Einwilligungsverwaltung (Cookie-Einstellungen)

Ihre Einwilligung holen und verwalten wir mit einem eigenen Werkzeug, das auf unserem Server läuft. Es beruht auf der quelloffenen Bibliothek »CookieConsent« (MIT-Lizenz), die wir selbst ausliefern. Ein Drittanbieter ist nicht beteiligt; es gehen keine Daten an Dritte.

Beim ersten Besuch fragt ein Banner Ihre Entscheidung ab. »Ablehnen« und »Alle akzeptieren« stehen gleichrangig nebeneinander; vorausgewählt ist nur die Kategorie »Notwendig«. Unter »Einstellungen« entscheiden Sie je Kategorie und je Dienst. Bis Sie zustimmen, lädt Ihr Browser keine einwilligungspflichtigen Inhalte Dritter. Das sichert eine Inhaltsrichtlinie (Content-Security-Policy) ab, die bei jedem Seitenaufruf nur die Anbieter zulässt, denen Sie zugestimmt haben. Statt über das Banner können Sie auch direkt am einzelnen Inhalt zustimmen, etwa über »Karte laden«; dann lädt nur dieser eine Dienst.

Was gespeichert wird. Ihre Entscheidung liegt im Cookie »cc_cookie« auf Ihrem Gerät (sechs Monate): gewählte Kategorien und Dienste, Zeitpunkt, Fassung der Einstellungen und eine zufällig erzeugte Einwilligungs-ID, die keinen Rückschluss auf Ihre Person erlaubt. Zum Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO) protokollieren wir auf unserem Server je Entscheidung: Einwilligungs-ID, Zeitpunkt, Auswahl, Fassung der Einstellungen und ihrer Texte, Sprache und die Seite, auf der Sie entschieden haben. IP-Adresse und Browserkennung speichern wir dabei nicht. Gegen massenhafte Fehleinträge begrenzen wir die Zahl der Protokolleinträge je Absender; dazu verarbeiten wir Ihre IP-Adresse nur als Prüfwert, der mit einem täglich wechselnden geheimen Schlüssel gebildet wird und mit Ablauf des Tages verfällt. Das Protokoll bewahren wir bis zum Ende des dritten Kalenderjahres nach dem Jahr auf, in dem Ihre Einwilligung endet (regelmäßige Verjährung, §§ 195, 199 BGB), und löschen es danach automatisch.

Rechtsgrundlage. Für das Speichern Ihrer Entscheidung auf Ihrem Gerät: § 25 Abs. 2 Nr. 2 TDDDG. Für das Protokoll: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Nachweispflicht aus Art. 7 Abs. 1 DSGVO, hilfsweise unser berechtigtes Interesse am Nachweis (Art. 6 Abs. 1 lit. f DSGVO).

Sicherheitsmeldungen. Versucht eine Seite, einen nicht freigegebenen Anbieter zu laden, meldet Ihr Browser das an unseren Server: nur den Namen des blockierten Anbieters, die Art der Regel und die aufgerufene Seite, ohne Kennung. So erkennen wir Fehler in unserer Einbindung (Art. 6 Abs. 1 lit. f DSGVO). Bis zur Übermittlung hält Ihr Browser die Namen der blockierten Anbieter kurz im Sitzungsspeicher vor. Die Meldungen enthalten keinen Bezug zu Ihnen; wir bewahren höchstens die 500 jüngsten auf. Zur Begrenzung der Meldungsmenge verarbeiten wir Ihre IP-Adresse nur als Prüfwert, der mit einem täglich wechselnden geheimen Schlüssel gebildet wird und mit Ablauf des Tages verfällt. Taucht ein bisher unbekannter Anbieter auf, benachrichtigt uns unser Server per E-Mail an ein internes Postfach, höchstens zehnmal am Tag; die Nachricht enthält nur dieselben Angaben (Anbieter, Art der Regel, Seite, Zeitpunkt).

Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft ändern oder widerrufen, über den Knopf »Cookie-Einstellungen« unten links auf jeder Seite oder den gleichnamigen Link in der Fußzeile. Das ist so einfach wie die Erteilung. Cookies und Speichereinträge der widerrufenen Dienste, die auf unserer Domain liegen, entfernen wir dabei aus Ihrem Browser. Cookies, die ein Anbieter auf seiner eigenen Domain gesetzt hat, können wir technisch nicht löschen; das ist über die Einstellungen Ihres Browsers möglich. Was vor dem Widerruf schon an einen Anbieter übermittelt wurde, bleibt davon unberührt. Mit Ihrer Einwilligungs-ID (angezeigt in der Cookie-Erklärung am Ende dieser Seite) nennen wir Ihnen auf Anfrage die dazu protokollierten Entscheidungen.

11. Webanalyse mit Matomo (serverseitig, ohne Cookies)

Um die Nutzung unserer Website statistisch auszuwerten, setzen wir die quelloffene Software Matomo ein. Sie läuft auf unserem Webspace bei STRATO (Ziffer 4); weitere Empfänger gibt es nicht, eine Übermittlung in Drittländer findet nicht statt.

Die Erfassung geschieht ausschließlich auf unserem Server: Er meldet den ausgelieferten Seitenaufruf selbst an Matomo. Ihr Browser lädt kein Analyse-Skript und baut keine Verbindung zur Statistik auf; auf Ihrem Gerät wird für die Zählung nichts gespeichert. Ausgewertet werden die aufgerufene Seite mit Titel, der Zeitpunkt, die Referrer-Adresse, die Browserkennung (daraus Gerätetyp, Browser und Betriebssystem), die Sprache Ihres Browsers und die aus der gekürzten IP-Adresse abgeleitete ungefähre Herkunft (Land, Region, Ort).

Ihre IP-Adresse kürzen wir auf unserem Server, bevor etwas an die Statistik geht: bei IPv4 die letzten beiden Blöcke (aus 198.51.100.42 wird 198.51.0.0), bei IPv6 alles nach den ersten 48 Bit. Matomo fasst die Aufrufe eines Besuchs über einen technischen Schlüssel zusammen; eine Nutzerkennung vergeben wir nicht, wir verknüpfen die Daten nicht mit anderen Quellen. Sendet Ihr Browser »Do Not Track« oder »Global Privacy Control«, erfassen wir Sie nicht.

Zweck ist, das Angebot fehlerfrei bereitzustellen und bedarfsgerecht weiterzuentwickeln. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Die Rohdaten löschen wir nach 180 Tagen; danach bleiben nur zusammengefasste Statistiken ohne Bezug zu einzelnen Personen.

Sie können der Erfassung jederzeit mit einem Klick widersprechen (Schaltfläche unten auf dieser Seite). Ihr Widerspruch wird im Cookie »gm_analytics_optout« gespeichert (drei Jahre, ohne Kennung). Zu Ihrem allgemeinen Widerspruchsrecht siehe Ziffer 25.

Ihre Besuche werden derzeit pseudonymisiert mitgezählt (serverseitig, ohne Analyse-Cookies, mit gekürzter IP-Adresse).

Der Webanalyse widersprechen (Opt-out)

12. Gästebefragung (anonyme Ein-Klick-Zählung)

Am unteren Bildschirmrand blenden wir zeitweise einen Hinweis auf unsere Gästebefragung ein. Klicken Sie dort eine Bewertung an, zählen wir den Klick anonym: gespeichert werden nur die Bewertungsstufe, Datum und Stunde, die aufgerufene Seite und der Zugangsweg (etwa »Website« oder »Plakat«). Cookies oder andere Merkmale, die auf Sie schließen lassen, werden weder gespeichert noch übertragen; gegen massenhafte Klicks verarbeitet eine Mengenbegrenzung Ihre IP-Adresse nur für die laufende Minute als Prüfwert mit täglich wechselndem geheimem Schlüssel (Ziffer 6). Für die Einblendung merkt sich Ihr Browser im Sitzungsspeicher die Zahl der aufgerufenen Seiten und, falls Sie »Nicht jetzt« wählen, diese Entscheidung (Ziffer 9). Die Befragung selbst findet auf der Website unseres Marktforschungsinstituts statt; Näheres auf der Seite Gästebefragung.

13. Hinweis »Unser Tipp«

Auf einzelnen Seiten weisen wir in einem Hinweisfenster auf eine Veranstaltung hin. Wir zählen, wie oft das Fenster je Seite erscheint und wie oft auf seine Links geklickt wird, ohne Cookies und ohne Kennung, mit derselben Mengenbegrenzung wie bei der Gästebefragung (Ziffer 12); die Zählung lässt keinen Rückschluss auf Sie zu. Schließen Sie das Fenster, merkt sich Ihr Browser das, damit es Sie nicht erneut stört: je nach Hinweis bis zum Ende der Sitzung oder für eine feste Zahl von Tagen, in der Regel sieben, höchstens 90 (Ziffer 9). Links zu Tickets, Videos oder Profilen führen zu Angeboten Dritter, die erst beim Klick Daten erhalten; für unseren eigenen Ticketshop gilt Ziffer 17.

14. Karten (OpenFreeMap)

Für interaktive Karten nutzen wir die quelloffene Software MapLibre GL und Kartendaten von OpenFreeMap (Hyperknot Software Kft., Ungarn) auf Grundlage von OpenStreetMap. Ein Dienst von Google wird nicht verwendet.

Die Karte lädt erst nach Ihrer Zustimmung, etwa per Klick auf »Karte laden«. Danach ruft Ihr Browser die Kartenkacheln ab und überträgt dabei Ihre IP-Adresse. OpenFreeMap liefert die Kacheln über das Netzwerk der Cloudflare, Inc. (USA) aus; Cloudflare verarbeitet Ihre IP-Adresse dabei auch in den USA und ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Ziffer 3). Nach Angaben von OpenFreeMap enthalten die regulären Protokolle keine IP-Adressen; Fehlerprotokolle mit IP-Adresse werden nach sieben Tagen gelöscht, bei Sicherheitsvorfällen höchstens 30 Tage vorgehalten. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Datenschutzhinweise: openfreemap.org

15. Online-Buchung (DS Destination Solutions)

Unterkunftssuche und -buchung laufen über das Buchungssystem der DS Destination Solutions GmbH, Breslauer Platz 4, 50668 Köln (»DS«). Eine Suchmaske binden wir auf der Startseite ein, die vollständige Buchungsstrecke auf der Seite »Online-Buchung«. Beides lädt erst nach Ihrer Einwilligung, über die Cookie-Einstellungen (Ziffer 10) oder auf der Buchungsseite über die Schaltfläche am Buchungsbereich. Vorher baut Ihr Browser keine Verbindung zu DS auf. Rechtsgrundlage für das Einbinden und Laden auf unserer Website ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Wir vermitteln die angebotenen Unterkünfte im Namen und auf Rechnung der Gastgeber (siehe unsere Allgemeinen Geschäftsbedingungen); Vertragspartner des Beherbergungsvertrags sind Gast und Gastgeber. Suchen oder buchen Sie, verarbeiten wir Ihre Angaben: bei der Suche Reisezeitraum und Personenzahl, bei einer Buchung zusätzlich Name, Kontaktdaten sowie Buchungs- und Zahlungsdaten. Verantwortlich dafür sind wir. Buchungsstrecke und Buchungssystem betreibt DS in unserem Auftrag als Auftragsverarbeiter (Art. 28 DSGVO); DS verarbeitet Ihre Daten nur nach unseren Weisungen. Der Gastgeber erhält die Buchung, um seinen Vertrag mit Ihnen zu erfüllen; für die Beherbergung ist er selbst verantwortlich. Rechtsgrundlage unserer Verarbeitung ist die Durchführung der gewünschten Buchung und unser berechtigtes Interesse an der Vermittlung (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

Nach Ihrer Einwilligung setzt das Buchungssystem eigene Speicher für Merkzettel, Suchverlauf, Sortierung und Buchungsschritt. Nach unserem Vertrag mit DS findet die Verarbeitung in Deutschland, der EU oder dem EWR statt. DS setzt dafür laut eigener Datenschutzerklärung unter anderem Amazon Web Services und Mittwald als Dienstleister ein; bei Amazon ist ein Zugriff aus den USA nicht ausgeschlossen (Amazon Web Services, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert). Davon ausgenommen sind die folgenden Google-Dienste: DS bindet in das Buchungssystem Google Analytics (Reichweitenmessung) und Google Ads (Messung von Werbeerfolgen) ein, ausgeliefert über einen serverseitigen Tag-Manager von DS. Dabei werden auch auf unserer Domain Cookies gesetzt (»_ga«, »_ga_…« bis zu zwei Jahre, »_gcl_au« drei Monate); die Conversion-Messung übermittelt Daten an Google in die USA. Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Für die Erhebung dieser Daten auf unserer Website sind wir mit DS gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung zu eigenen Zwecken ist DS allein verantwortlich (Art. 28 Abs. 10 DSGVO). Sie werden erst aktiv, wenn Sie dem Laden der Online-Buchung zugestimmt haben.

Buchungsbelege, die wir für Vermittlung und Abrechnung erhalten, bewahren wir acht Jahre auf (§ 257 HGB, § 147 AO; Art. 6 Abs. 1 lit. c DSGVO). Datenschutzerklärung von DS: ds-destinationsolutions.com

16. Veranstaltungskalender

Unseren Veranstaltungskalender erzeugen wir selbst. Die Angaben zu den Veranstaltungen – Titel, Termine, Orte, Beschreibungen, Preise, Fotos mit Urheberangabe sowie Name und Kontaktdaten der Veranstalter – beziehen wir von der MV Tourismus GmbH, Konrad-Zuse-Straße 2, 18057 Rostock, aus dem »Informationsnetz Mecklenburg-Vorpommern Urlaub«. Den Abruf übernimmt unser Server, die Fotos speichern wir auf unserem Server. Beim Aufruf des Kalenders und der Veranstaltungsseiten werden deshalb keine Daten an die MV Tourismus GmbH oder andere Dritte übertragen – ausgenommen Film-Trailer, die Sie selbst laden (siehe unten); es gelten die Angaben zur Protokollierung und zum Hosting (Ziffer 4). Der Kalender setzt außer dem Sitzungs-Cookie (Ziffer 9) keine Cookies. Klicken Sie bei einer Veranstaltung auf »Mag ich«, speichert Ihr Browser die Kurzbezeichnungen der gemerkten Veranstaltungen in seinem lokalen Speicher (localStorage). So erscheint der Knopf als »Gemerkt«, und Sie können Ihre Liste »Meine Termine« aufrufen. Der Eintrag enthält keine Kennung und bleibt in Ihrem Browser, bis Sie »Mag ich« zurücknehmen oder den Browserspeicher löschen; vergangene Veranstaltungen entfernt der Kalender selbst. Diese Speicherung ist für die von Ihnen gewünschte Merkfunktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Rufen Sie »Meine Termine« auf, sendet Ihr Browser die Liste an unseren Server, damit er die Termine anzeigen kann; wir speichern sie nicht (Art. 6 Abs. 1 lit. f DSGVO, Protokollierung siehe Ziffer 4). Jeden Klick auf »Mag ich« und jedes Zurücknehmen zählen wir nur als Veranstaltung, Tag und Plus oder Minus – ohne IP-Adresse, Gerätedaten oder Kennung, ein Rückschluss auf Sie ist nicht möglich (Protokollierung siehe Ziffer 4). Die Zähler löschen wir 30 Tage nach dem letzten Termin der Veranstaltung. Ab zehn Klicks zeigen wir die Zahl bei der Veranstaltung an. Die Redaktion nutzt sie als einen von mehreren Hinweisen bei der Auswahl von Tipps.

Film-Trailer (YouTube). Auf den Seiten unserer Kinovorführungen können Sie den Trailer des Films ansehen. Wir binden ihn über YouTube ein, einen Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und nutzen dafür die YouTube-API-Dienste (eingebetteter Player) im erweiterten Datenschutzmodus (youtube-nocookie.com). Wir zeigen nur Trailer aus den offiziellen Kanälen der Filmverleihe. Solange Sie nicht auf »Trailer laden« klicken, stellt Ihr Browser keine Verbindung zu YouTube her. Mit dem Klick willigen Sie ein, dass der Trailer geladen wird. Ihr Browser übermittelt dann an Google Ihre IP-Adresse, die Adresse unserer Website (ohne die aufgerufene Seite), den gewählten Trailer, Datum und Uhrzeit sowie Angaben zu Browser und Gerät. YouTube legt im Speicher Ihres Browsers Einträge an (Local Storage und IndexedDB, etwa »ytidb::LAST_RESULT_ENTRY_KEY«); Cookies haben wir bei unserer Prüfung nicht festgestellt. YouTube kann im Player Inhalte Dritter anzeigen, auch Werbung. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Für das Einbinden und die Übermittlung sind wir mit Google gemeinsam verantwortlich (Art. 26 DSGVO); für die weitere Verarbeitung, auch zu eigenen Zwecken, ist Google allein verantwortlich. Google kann Daten an die Google LLC in den USA übermitteln. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; dafür besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Ihre Einwilligung gilt, bis Sie sie in den Cookie-Einstellungen widerrufen; der Widerruf wirkt für die Zukunft. Einträge, die YouTube in Ihrem Browser angelegt hat, löschen Sie über die Einstellungen Ihres Browsers. Mit dem Laden eines Trailers gelten für dessen Nutzung die Nutzungsbedingungen von YouTube. Datenschutzerklärung von Google: google.com/policies/privacy

Angaben zu Veranstaltern und Fotografen. Namen und geschäftliche Kontaktdaten der Veranstalter sowie die Namen der Fotografinnen und Fotografen veröffentlichen wir so, wie sie dem Informationsnetz zur Veröffentlichung gemeldet wurden. Zweck ist, unsere Gäste über Veranstaltungen zu informieren und je Veranstaltung einen Ansprechpartner zu nennen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Vergangene Termine löschen wir 30 Tage nach dem Termin, Einträge, die das Informationsnetz nicht mehr liefert, spätestens 80 Tage nach dem letzten Abruf. Änderungen nehmen Veranstalter in ihrem Eintrag im Informationsnetz vor; wir übernehmen sie beim nächsten Abgleich. Einer Veröffentlichung können Sie jederzeit widersprechen (Ziffer 25).

Links zu anderen Anbietern. Einige Knöpfe führen zu anderen Anbietern: zum Ticketverkauf des Veranstalters (bei unseren eigenen Veranstaltungen zu unserem Ticketshop, Ziffer 17), »Route planen« zu Google Maps, »In meinen Kalender« zu Google Kalender oder Outlook.com und »Teilen« zu WhatsApp. Daten gehen erst an diese Anbieter, wenn Sie den Knopf anklicken; dann gelten deren Datenschutzhinweise. Die Kalenderdatei (.ics) laden Sie von unserem Server. Die Karte auf den Veranstaltungsseiten lädt erst nach Ihrer Zustimmung (Ziffer 14).

17. Ticketverkauf (EVENTIM.Light)

Tickets für unsere eigenen Veranstaltungen, etwa das Graal‑Müritz-Quiz, verkaufen wir über einen Ticketshop auf der Plattform EVENTIM.Light der CTS EVENTIM AG & Co. KGaA, Hohe Bleichen 11, 20354 Hamburg (Postanschrift: Contrescarpe 75 A, 28195 Bremen), nachfolgend »EVENTIM«. Den Ticketshop binden wir nicht in unsere Website ein, wir verlinken ihn nur, etwa über die Schaltfläche »Tickets«. Solange Sie den Link nicht anklicken, erhält EVENTIM von unserer Website keine Daten. Auf unserer Website gibt es keine Cookies oder Skripte von EVENTIM.

Gemeinsame Verantwortung. Für die Kundendaten, die beim Ticketkauf im Ticketshop entstehen, sind wir und EVENTIM gemeinsam verantwortlich (Art. 26 DSGVO). Im Wesentlichen haben wir vereinbart: EVENTIM betreibt den Ticketshop, schließt die Ticketverträge in unserem Namen ab, wickelt Bestellung, Zahlung, Ticketversand und eine etwaige Rückabwicklung ab und informiert Sie im Ticketshop mit einer gemeinsamen Datenschutzinformation. EVENTIM ist gemeinsame Anlaufstelle für Ihre Rechte (service@eventim-light.de) und gibt Ihnen auf Verlangen den wesentlichen Inhalt unserer Vereinbarung heraus. Sie können sich ebenso an uns wenden (Ziffer 1); wir leiten Ihr Anliegen dann an EVENTIM weiter (Art. 26 Abs. 3 DSGVO). Allein verantwortlich ist EVENTIM für Nutzungsdaten im Ticketshop, also Cookies, Analyse und Werbung, die EVENTIM dort nach Ihrer Einwilligung einsetzt, auch mit Anbietern in den USA, sowie für Käufe über eigene Vertriebswege von EVENTIM, etwa eventim.de.

Ihre Bestellung. Beim Kauf verarbeitet EVENTIM Ihre Angaben aus der Bestellung, insbesondere Name, E-Mail-Adresse, die gebuchten Tickets sowie Zahlungs- und Bestelldaten. Ihr Ticket erhalten Sie elektronisch, als PDF oder Mobile Ticket mit QR-Code, versehen mit Ihrem Vor- und Nachnamen. Für die Zahlung gibt EVENTIM die nötigen Daten je nach Zahlungsart an Banken und Zahlungsdienstleister weiter, etwa an Kreditkartenunternehmen, PayPal, Apple Pay, Google Pay oder Klarna. Wir können die Kundendaten unserer Veranstaltungen in EVENTIM.Light abrufen und nutzen sie nur, um die Veranstaltung durchzuführen: für die Einlasskontrolle per QR-Code und um Sie bei Absage oder Verlegung zu informieren. Rechtsgrundlage ist die Durchführung Ihres Ticketkaufs (Art. 6 Abs. 1 lit. b DSGVO). Wozu EVENTIM die Daten darüber hinaus nutzt, etwa für Informations-E-Mails vor der Veranstaltung, steht in der Datenschutzinformation des Ticketshops.

Speicherdauer. Teilnehmerlisten, die wir aus EVENTIM.Light herunterladen, löschen wir spätestens 30 Tage nach der Veranstaltung. Abrechnungsunterlagen bewahren wir acht Jahre auf (§ 257 HGB, § 147 AO; Art. 6 Abs. 1 lit. c DSGVO). Wie lange EVENTIM Daten speichert, steht in der Datenschutzinformation des Ticketshops: eventim-light.com

18. Touren (Komoot)

Auf der Seite zum Kurwald verlinken wir eine Tour bei der komoot GmbH, Friedrich-Wilhelm-Boelcke-Straße 2, 14473 Potsdam. Das ist ein einfacher Link, kein eingebetteter Inhalt: Komoot erhält erst Daten, wenn Sie den Link anklicken; dann gelten die Datenschutzhinweise von Komoot: komoot.de

19. Webcam (Livespotting)

Auf der Webcam- und der Wetterseite zeigen wir einen Live-Stream der livespotting GmbH, Ackerstrasse 9, 8110 Bülach, Schweiz. Er lädt erst nach Ihrer Zustimmung. Danach verarbeitet Livespotting Ihre IP-Adresse, Zeitpunkt und Dauer des Abrufs, die gewählte Kamera und Angaben zu Ihrem Browser. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Nach Angaben des Anbieters werden interne Überwachungsdaten höchstens sieben Tage aufbewahrt. Datenschutzhinweise: livespotting.com

20. Wetterdaten (Open-Meteo)

Wetterdaten bezieht unser Server von der Open-Meteo GmbH, Schweiz, und speichert sie zwischen. Ihr Gerät baut keine Verbindung zu Open-Meteo auf; Ihre IP-Adresse geht nicht an Open-Meteo, dort tritt nur unser Server auf. Cookies werden dafür nicht gesetzt. Rechtsgrundlage ist unser berechtigtes Interesse an der Anzeige aktueller Wetterdaten (Art. 6 Abs. 1 lit. f DSGVO). Datenschutzhinweise: open-meteo.com

21. Graal‑Müritz-Quiz

Ergebnisse. Auf den Quiz-Seiten veröffentlichen wir die Ergebnisse der Quizabende: Teamname, Punkte, Platzierung und gegebenenfalls den Wert der Schätzfrage, in Saisontabellen, der ewigen Tabelle, Bestenlisten und Grafiken zu den einzelnen Abenden. Dieselben Grafiken zeigen wir auf unseren Auftritten bei Instagram und Facebook; dafür gelten zusätzlich unsere Datenschutzhinweise für Social Media. Namen einzelner Mitspielender veröffentlichen wir nie. Teamnamen sind in der Regel frei erfunden. Enthält ein Teamname einen echten Namen, etwa einen Familiennamen, weist die Quizleitung vorher darauf hin, dass er veröffentlicht wird. Zweck ist, das Quiz nach seinem Regelwerk nachvollziehbar zu führen und die Ergebnisse Teilnehmenden und Gästen zugänglich zu machen. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Ergebnisse bewahren wir ohne feste Frist auf, weil die ewige Tabelle alle Abende seit der ersten Ausgabe abbildet. Die Quiz-Seiten setzen außer dem Sitzungs-Cookie (Ziffer 9) keine Cookies.

Widerspruch. Ein Team kann der Nennung seines Namens jederzeit ohne Angabe von Gründen widersprechen, am Abend bei der Quizleitung oder formlos an die Adresse in Ziffer 1. Wir führen es dann unter einer Nummer weiter; Punkte und Platzierung bleiben für die Wertung erhalten. Grafiken auf Instagram und Facebook mit dem Teamnamen entfernen wir.

Tischreservierung. Reservieren Sie telefonisch oder per E-Mail, erhalten wir Namen, Telefonnummer oder E-Mail-Adresse, Teamnamen und Personenzahl. Wir nutzen die Angaben nur für die Reservierung und Rückfragen am Abend (Art. 6 Abs. 1 lit. b DSGVO) und löschen sie unmittelbar nach dem Quizabend.

Tickets. Für Tickets verlinken wir auf unseren Ticketshop bei EVENTIM.Light (Ziffer 17).

22. Social Media

In der Kopfleiste, im Menü, im Service-Bereich und in der Fußzeile verlinken wir auf unsere Auftritte bei Facebook, Instagram, YouTube und LinkedIn. Das sind einfache Links, keine eingebetteten Plugins; der Anbieter erhält erst Daten, wenn Sie einen Link anklicken. Was beim Besuch unserer Auftritte geschieht, wer dafür verantwortlich ist und welche Rechte Sie dort haben, erklären unsere Datenschutzhinweise für Social Media.

23. Kinder und Jugendliche

Unsere Website richtet sich an Erwachsene. Wer jünger als 16 Jahre ist, sollte uns personenbezogene Daten, etwa über ein Formular, nur mit Zustimmung der Eltern übermitteln. Willigen Kinder unter 16 Jahren in Cookies oder eingebettete Dienste ein, ist dafür die Zustimmung der Eltern nötig (Art. 8 DSGVO).

24. Ihre Rechte

Sie haben gegenüber uns das Recht auf

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit für Daten, die Sie uns auf Grundlage einer Einwilligung oder eines Vertrags bereitgestellt haben (Art. 20 DSGVO),
• Widerspruch (Art. 21 DSGVO, Ziffer 25).

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Für Cookies und eingebettete Dienste geht das über die Cookie-Einstellungen (Ziffer 10). Für alle übrigen Anliegen genügt eine formlose Nachricht an die Adresse in Ziffer 1. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

25. Widerspruchsrecht

Verarbeiten wir Ihre Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Webanalyse (Ziffer 11) können Sie ohne Angabe von Gründen widersprechen.

26. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern
Schloss Schwerin, Lennéstraße 1, 19053 Schwerin
Telefon: 0385 59494-0 · E-Mail: info@datenschutz-mv.de · www.datenschutz-mv.de

27. Verzeichnisse von Betrieben

Auf unserer Website führen wir Verzeichnisse von Betrieben: »A bis Z« mit Dienstleistern des Ortes, das Gastgeberverzeichnis, die teilnehmenden Häuser der Natur- und Wildwoche und die Partner der Gästekarten-Vorteile. Veröffentlicht werden nur betriebliche Angaben: Name, Anschrift, Lage auf der Karte, Telefon und Website, bei Gastgebern und den Häusern der Wildwoche auch die E-Mail-Adresse des Betriebs, dazu Beschreibungen, Öffnungszeiten, Angebote, Preise und Fotos mit Bildunterschrift. Namen von Ansprechpersonen, Kontaktdaten für Rückfragen und Einsendedaten bleiben bei uns.

Die Angaben stammen aus der Anmeldung oder dem Auftrag des Betriebs (Formular der Natur- und Wildwoche, Ziffer 6; Gastgeberpaket), oder wir erfassen und ergänzen sie aus eigenen Übersichtslisten, der Website des Betriebs und der Partnerübersicht der Gästekarte (Art. 14 DSGVO). Nehmen wir einen Betrieb neu auf, ohne dass er sich selbst gemeldet hat, informieren wir ihn über die Aufnahme und diese Hinweise. Zweck ist die Teilnahme oder die Vermittlung (Art. 6 Abs. 1 lit. b DSGVO) und die Information unserer Gäste über Angebote vor Ort (Art. 6 Abs. 1 lit. f DSGVO). Um einen Betrieb aus »A bis Z« auf der Karte einzutragen, senden wir seine Anschrift einmalig an den Geokodierdienst Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich; Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO).

Einträge der Natur- und Wildwoche löschen wir 90 Tage nach dem Ende der Aktion samt Fotos, Einsendung und Bearbeitungsverlauf. Die übrigen Einträge bleiben, bis der Betrieb den Eintrag abmeldet, der Vertrag endet oder der Betrieb erlischt. Jeder Betrieb kann Berichtigung oder Entfernung jederzeit verlangen (Ziffer 24). Aufrufe und Klicks zählen wir je Eintrag und Tag ohne Personenbezug; die Karte lädt erst nach Ihrer Zustimmung (Ziffer 14).

28. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die hier veröffentlichte Fassung; Stand und Version stehen oben. Ändern sich die Einwilligungstexte, fragen die Cookie-Einstellungen Ihre Entscheidung neu ab.

Cookie-Erklärung