Datenschutzerklärung

ENTWURF — anwaltlich/kundenseitig freizugeben. Neufassung für die neue Website (Stand 24.10.2026). Alle mit [PRÜFEN] markierten Stellen sind vor der Veröffentlichung von Loftstyle bzw. der Rechtsberatung zu bestätigen oder zu ergänzen.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Loftstyle GmbH
Hagenwiesen 70
73105 Dürnau
Geschäftsführer: Matthias Dobler
E-Mail: geschaeftsfuehrung@loftstyle-hotels.de

Die beiden Hotels erreichen Sie direkt: LOFTSTYLE Hotel Hannover, Gradestraße 22, 30163 Hannover, info@hannover.loftstylehotels.de, Telefon +49 511 2002960 · LOFTSTYLE Hotel Gerlingen, Dieselstraße 31, 70839 Gerlingen, info@gerlingen.loftstylehotels.de, Telefon +49 7156 17 71 0.

[PRÜFEN] Werden beide Häuser von der Loftstyle GmbH betrieben, oder ist für ein Haus (z. B. Gerlingen) eine andere Gesellschaft verantwortlich? Dann sind Verantwortliche und ggf. gemeinsame Verantwortung (Art. 26 DSGVO) hier zu nennen.

2. Datenschutzbeauftragter

Sevgi Saglik
Hagenwiesen 70
73105 Dürnau
S.Saglik@dobler.info

[PRÜFEN] Aus der bisherigen Erklärung übernommen: Ist die Benennung noch aktuell?

3. Das Wichtigste vorab

• Diese Website setzt ohne Ihre Einwilligung keine Analyse- oder Marketingdienste ein. Gespeichert wird dann nur, was technisch nötig ist (Ihre Einwilligungswahl, ein geschlossener Hinweis, die Sitzung des Vorschau-Zugangs).
• Eingebettet ist nur eine Karte von Google Maps je Hotel, und sie lädt erst nach Ihrer Einwilligung (Abschnitt 10). Es gibt keine Videos, Bewertungs- oder Social-Media-Widgets. Schriften und Bilder kommen von unserem eigenen Server. Die Google-Bewertung der Häuser ruft unser Server bei Google ab, ohne Daten über Sie zu übertragen (Abschnitt 11).
• Buchungen laufen über die Buchungsstrecken der Häuser auf fremden Websites. Daten gehen dorthin erst, wenn Sie auf „Buchen" klicken (Abschnitt 9).

4. Hosting und Server-Protokolle (Vercel)

Die Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, betrieben. Die Server-Funktionen laufen in der Region Frankfurt am Main (fra1); statische Dateien liefert das Vercel-Netz aus. Beim Aufruf der Website verarbeitet Vercel die technisch nötigen Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser und Betriebssystem (User-Agent), Statuscode und übertragene Datenmenge.

Zweck ist die sichere und stabile Auslieferung der Website, die Abwehr von Angriffen und die Fehleranalyse. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) einschließlich der EU-Standardvertragsklauseln; Vercel ist unter dem EU-US Data Privacy Framework zertifiziert. Ein Zugriff aus den USA (z. B. durch den Support) ist nicht ausgeschlossen. Die Protokolle werden nach der Aufbewahrungsfrist des Vercel-Tarifs automatisch gelöscht und nicht mit anderen Daten zusammengeführt.

[PRÜFEN] Auftragsverarbeitungsvertrag im Vercel-Konto abgeschlossen? Aufbewahrungsdauer der Protokolle laut gebuchtem Tarif ergänzen.

Zum Schutz vor Missbrauch hält der Server bei Formularanfragen und beim Zugang zur Vorschau die IP-Adresse höchstens eine Stunde im Arbeitsspeicher, um die Zahl der Anfragen je Absender zu begrenzen; danach wird sie verworfen (Art. 6 Abs. 1 lit. f DSGVO).

5. Inhalte der Website (CMS, Supabase)

Texte und Bilder der Website pflegen wir in einem Content-Management-System. Dessen Datenbank und Dateispeicher betreibt Supabase Inc. in der Region Frankfurt am Main (AWS eu-central-1) als Auftragsverarbeiter. Ihr Browser verbindet sich dabei nicht mit Supabase: unser Server holt die Inhalte ab. Anfragen aus den Formularen werden dort nicht gespeichert.

[PRÜFEN] Anschrift von Supabase laut Auftragsverarbeitungsvertrag ergänzen; AVV abgeschlossen?

6. Kontaktformular und Tagungsanfrage

Wenn Sie uns über das Kontaktformular oder die Tagungsanfrage schreiben, verarbeiten wir Ihre Angaben: Anrede, Firma, Name, E-Mail-Adresse, Telefon, Fax, Anschrift, Ihre Nachricht und bei Tagungen zusätzlich Anreise, Abreise, Personenzahl sowie die gewünschten Tagungsräume, Zimmer und Gruppenräume. Pflichtfelder sind gekennzeichnet.

Zweck ist die Bearbeitung Ihrer Anfrage und gegebenenfalls ein Angebot. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf eine Buchung oder einen Vertrag zielt, im Übrigen unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO).

Die Website speichert Ihre Anfrage in keiner Datenbank. Sie schickt sie als E-Mail an das zuständige Postfach des Hauses (Hannover: Kontakt an info@hannover.loftstylehotels.de, Tagungen an bankett@hannover.loftstylehotels.de; Gerlingen: info@gerlingen.loftstylehotels.de). Für den Versand nutzen wir Microsoft 365 (Exchange Online) der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, als Auftragsverarbeiter; die E-Mails werden in Rechenzentren in der EU verarbeitet. Ein Zugriff aus den USA (etwa im Support-Fall) ist nicht ausgeschlossen; Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln. Die Server-Protokolle der Website vermerken nur Art der Anfrage, Haus, Zeitpunkt und eine Vorgangsnummer, nie den Inhalt.

Ihre Anfrage bleibt im Postfach des Hauses, solange sie für die Bearbeitung nötig ist, und wird danach gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen (Handels- und Steuerrecht: bis zu sechs bzw. zehn Jahre, etwa wenn aus der Anfrage ein Vertrag wird).

[PRÜFEN] Microsoft 365: Versand über das Postfach no-reply@apollobase.com des Website-Betreuers APOLLOBASE GmbH: Auftragsverarbeitung (AVV mit APOLLOBASE, Microsoft als Unterauftragsverarbeiter, Microsoft Products and Services DPA), EU-Datengrenze des Kontos und Aufbewahrung im Ordner „Gesendete Elemente" bestätigen; Löschfristen der Hotelpostfächer bestätigen. Resend nur noch als Rückfallweg ohne SMTP-Konfiguration: wird er genutzt, diesen Absatz wieder um Resend ergänzen.

7. Einwilligungen und Speicherungen im Browser

Ihre Einwilligung holen wir mit einer eigenen Lösung ein, ohne Drittanbieter. Der Hinweis erscheint nur, wenn die Website einen einwilligungspflichtigen Dienst einsetzt. Ihre Auswahl (freigegebene Kategorien, Zeitpunkt, Stand der Abfrage) speichern wir im lokalen Speicher Ihres Browsers (ab-cookie-consent-record, dazu ab-cookie-consent) für 365 Tage; danach fragen wir erneut. Diese Speicherung ist unbedingt erforderlich, damit Ihre Wahl gilt und nachweisbar ist (§ 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO). Schließen Sie einen Hinweis der Website, merkt sich Ihr Browser das ohne Kennung (loftstyle-popup:…). Wählen Sie unter „Barrierefreiheit“ eigene Einstellungen (Schriftgröße, Kontrast, Animationen, Links, Schrift), speichert Ihr Browser sie ohne Kennung (loftstyle-a11y), bis Sie sie zurücksetzen; sie werden nicht übertragen. Solange die Website vor dem Start mit einem Vorschau-Zugang geschützt ist, setzt dieser nach der Anmeldung ein signiertes Sitzungs-Cookie ohne Nutzerkennung (site_gate, 30 Tage). Der Cookie-Hinweis nennt diese Speicherungen unter „Notwendig"; sie lassen sich dort nicht abwählen.

[PRÜFEN] Der Satz zum Vorschau-Zugang entfällt mit dem Go-Live, sobald der Zugangsschutz fällt.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen: über „Cookie-Einstellungen" am Fuß jeder Seite oder direkt unten auf dieser Seite. Die vollständige, automatisch erzeugte Liste aller Speicherungen steht unter diesem Text.

8. Webanalyse mit Google Analytics 4 (nur mit Einwilligung)

Mit Ihrer Einwilligung (Kategorie „Statistik") nutzen wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Vorher lädt die Website kein Google-Skript und stellt keine Verbindung zu Google her. Google Analytics wertet pseudonym aus, wie die Website genutzt wird (aufgerufene Seiten, Verweildauer, Gerät und Browser, ungefährer Standort). Dafür setzt es die Cookies _ga und _ga_… mit einer Laufzeit von bis zu zwei Jahren. Google Analytics 4 protokolliert oder speichert keine vollständigen IP-Adressen; Google Signals und personalisierte Werbung sind ausgeschaltet. Zusätzlich nutzen wir den Einwilligungsmodus von Google (Consent Mode v2): Bis zu Ihrer Wahl stehen alle Speicher- und Werbesignale auf „abgelehnt“; mit Ihrer Einwilligung wird nur die Analyse-Speicherung freigegeben, Werbesignale bleiben abgelehnt.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Eine Übermittlung an Google LLC in den USA ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die EU-Standardvertragsklauseln. Ihren Widerruf erklären Sie über „Cookie-Einstellungen": Danach lädt Google Analytics nicht mehr, die Seite wird neu geladen und die Analyse-Cookies werden gelöscht.

[PRÜFEN] Aufbewahrungsdauer der Ereignisdaten in der Property ergänzen; Auftragsverarbeitungsbedingungen von Google akzeptiert?

9. Buchung über die Buchungsstrecken der Häuser

Die Buchungsleiste und die „Buchen"-Schaltflächen führen zu externen Buchungssystemen. Die Leiste setzt den Link nur in Ihrem Browser zusammen; vor Ihrem Klick wird nichts übermittelt. Mit dem Klick öffnet sich die Buchungsseite in einem neuen Tab, und Ihre gewählten Reisedaten (Anreise, Abreise, Zahl der Erwachsenen und Kinder, Zimmer) werden als Teil der Adresse an den jeweiligen Anbieter übertragen. Dort gelten dessen Datenschutzhinweise.

• Gerlingen: Buchungsstrecke von Best Western auf bestwestern.de, BWH Hotels Central Europe GmbH. Der Link enthält feste Kennungen (z. B. sob, etcc_med), mit denen Best Western Buchungen dieser Website zuordnet; sie enthalten keine Angaben zu Ihrer Person. [PRÜFEN] Anschrift und Rolle der BWH (eigene Verantwortliche oder Auftragsverarbeiterin des Hotels).
• Hannover: Buchungsstrecke onepagebooking.com (HotelNetSolutions); Ihr Vertragspartner bei der Buchung ist das Hotel. [PRÜFEN] Anbieter, Anschrift und Rolle (Auftragsverarbeiter des Hotels).
• Tageszimmer: Links zu dayuse.de. [PRÜFEN] Anbieter und Anschrift.

Rechtsgrundlage für die Weiterleitung ist Art. 6 Abs. 1 lit. b DSGVO (Ihre Buchungsanfrage).

10. Karten von Google Maps (nur mit Einwilligung)

Auf den Seiten zu Anfahrt und Kontakt sowie auf den Startseiten der Häuser zeigen wir eine Karte des jeweiligen Hotels von Google Maps, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Karte lädt erst, wenn Sie einwilligen: im Cookie-Hinweis (Kategorie „Externe Medien") oder mit „Karte laden" auf der Karte selbst; diese Freigabe gilt dann für Google Maps auf dieser Website. Vorher zeigt die Website nur ein eigenes Vorschaubild und stellt keine Verbindung zu Google her. Der Link „In Google Maps öffnen" unter jeder Karte ist ein einfacher Link (Abschnitt 11).

Beim Laden der Karte überträgt Ihr Browser Daten an Google, insbesondere Ihre IP-Adresse, die Adresse der aufgerufenen Seite sowie Angaben zu Browser und Gerät. Google kann dabei Cookies oder ähnliche Speicherungen auf eigenen Domains setzen und auslesen; sind Sie bei Google angemeldet, kann Google den Aufruf Ihrem Konto zuordnen. Zweck ist die Darstellung des Standorts und die Routenplanung.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Eine Übermittlung an Google LLC in den USA ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO), ergänzend gelten die EU-Standardvertragsklauseln. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, über „Cookie-Einstellungen" am Fuß jeder Seite; danach lädt die Karte nicht mehr. Mehr dazu in der Datenschutzerklärung von Google: policies.google.com/privacy.

[PRÜFEN] Rolle von Google bei der Kartendarstellung (eigene Verantwortliche oder gemeinsame Verantwortung nach Art. 26 DSGVO) bestätigen; die beim Laden gesetzten Cookies im Browser messen und in der Cookie-Übersicht nachtragen.

11. Links zu Karten, Bewertungen und sozialen Netzwerken

Die Links „In Google Maps öffnen" und weitere Anfahrts-Links (Google Maps), der Link „Auf Google ansehen" bei der Google-Bewertung und die Links zu Facebook und Instagram sind einfache Links. Erst wenn Sie einen davon anklicken, verbindet sich Ihr Browser mit dem jeweiligen Anbieter; dann gelten dessen Datenschutzhinweise.

Die Google-Bewertung im Fuß der Hausseiten (Durchschnitt und Anzahl der Bewertungen) ruft unser Server höchstens einmal am Tag über die Places API von Google (Google Ireland Limited, Abschnitt 10) ab und zeigt sie als Text an. Dabei werden keine Daten der Besucherinnen und Besucher an Google übertragen, und Ihr Browser stellt dafür keine Verbindung zu Google her.

12. Schriften und Bilder

Die Schriften (Barlow) und alle Bilder liefert unser eigener Server aus. Es besteht keine Verbindung zu Google Fonts oder anderen externen Diensten.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3). Wenden Sie sich dafür an die oben genannten Kontakte.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.

14. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa an Ihrem Wohnort oder an unserem Sitz. Für die Loftstyle GmbH ist das der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart (Postanschrift: Postfach 10 29 32, 70025 Stuttgart).

15. Verschlüsselung

Die Website wird ausschließlich verschlüsselt übertragen (HTTPS/TLS), erkennbar an „https://" und dem Schloss-Symbol im Browser.

16. Änderungen

Wir passen diese Erklärung an, wenn sich die Website oder die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung.