Datenschutz

Verantwortlicher

Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten ist Hotel Kastellatz d. Thöni Michael, Prämajur 51, 39024 Mals (BZ), Italien. Die vollständigen Kontaktdaten finden Sie im Impressum.

Einen Datenschutzbeauftragten haben wir nicht bestellt; dazu sind wir nach Art. 37 DSGVO nicht verpflichtet. Für alle Anliegen zum Datenschutz erreichen Sie uns unter den im Impressum genannten Kontaktdaten.

Welche Daten wir verarbeiten und wozu

Buchung und Anfrage. Anrede und Name, E-Mail-Adresse, Telefonnummer, An- und Abreisedatum, Zahl der Reisenden und Alter mitreisender Kinder, mitreisende Hunde, Zimmerwunsch sowie Ihre Nachricht an uns. Diese Daten brauchen wir, um Ihre Anfrage zu beantworten und den Beherbergungsvertrag zu schließen und zu erfüllen, Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Freiwillige Frage „Wie haben Sie uns gefunden?“. Bei einer Anfrage oder Buchung fragen wir freiwillig, wie Sie auf uns aufmerksam wurden; Ihre Antwort wird mit Ihrer Anfrage gespeichert und dient der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Sie können die Frage unbeantwortet lassen, Ihre Anfrage oder Buchung ist davon unabhängig. Bitte nennen Sie im Freitext keine persönlichen Daten.

Zahlung. Betrag, Zeitpunkt, Zahlungsstatus und eine Zahlungsreferenz. Ihre Kartendaten sehen wir nie, sie werden ausschließlich von unserem Zahlungsdienstleister verarbeitet (Art. 6 Abs. 1 lit. b DSGVO).

Nachrichten und Bestätigungen. Um Ihnen Eingangsbestätigung, Buchungsbestätigung, Zahlungslink und Erinnerungen zu senden, verarbeiten wir Ihre E-Mail-Adresse und Telefonnummer (Art. 6 Abs. 1 lit. b DSGVO).

Angebote per E-Mail. Haben Sie bei uns übernachtet, senden wir Ihnen an die dabei angegebene Adresse gelegentlich Angebote unseres Hauses für ähnliche Aufenthalte (Art. 130 Abs. 4 D.Lgs. 196/2003). Sie können dem bei jeder Mail mit einem Klick widersprechen. Alle übrigen Empfänger erhalten den Newsletter nur nach Anmeldung mit Bestätigungslink (Art. 6 Abs. 1 lit. a DSGVO).

Keine Öffnungsmessung. Wir messen nicht, ob Sie eine Mail öffnen. Links tragen eine Kampagnenkennung, damit wir Buchungen einer Aussendung zählen können, nicht einer Person.

Fragebogen nach dem Aufenthalt. Nach Ihrer Abreise senden wir Ihnen per E-Mail einen Link zu einem kurzen Fragebogen (eine Gesamtnote, vier Themennoten, zwei freie Fragen). Die Teilnahme ist freiwillig. Wir ordnen Ihre Antworten Ihrer Buchung zu und werten sie im Haus aus, um unser Angebot zu verbessern (Art. 6 Abs. 1 lit. f DSGVO); bei einer niedrigen Gesamtnote erhält das Haus einen Hinweis mit der Buchungsnummer. Nach dem Absenden zeigen wir Ihnen Links zu Bewertungsportalen, unabhängig von Ihrer Note. Ob Sie dort bewerten, entscheiden Sie allein; die Portale erhalten von uns keine Daten, und mit dem Klick gilt deren Datenschutzerklärung.

Kastellatz-Concierge (digitaler Assistent, Chat). Wenn Sie den Chat nutzen, verarbeiten wir Ihre Nachrichten, um Ihre Fragen zu beantworten. Der Chat überträgt erst mit dem Absenden Ihrer ersten Nachricht Daten; darin liegt Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Bitte geben Sie im Chat keine besonderen Kategorien personenbezogener Daten ein, etwa Gesundheitsangaben.

Gästebilder. Bilder, die uns Gäste per E-Mail schicken, speichern wir auf dem Server des Hauses und sortieren sie. Mit Ihrer Einwilligung zeigen wir ausgewählte Bilder auf unserer Website („Momente unserer Gäste“) und in sozialen Medien (Art. 6 Abs. 1 lit. a DSGVO); Speicherung und Sortierung stützen wir auf unser berechtigtes Interesse, eingesandte Bilder zu verwalten (Art. 6 Abs. 1 lit. f DSGVO). Beschreibung und Sortierung übernimmt ein KI-Dienst des unter „An wen wir Daten weitergeben“ genannten Anbieters xAI (USA), auf Grundlage der Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Erkennbare Personen zeigen wir nur mit deren Einwilligung. Sie können Ihre Einwilligung jederzeit per E-Mail widerrufen; wir nehmen das Bild dann binnen 30 Tagen von der Website und aus unseren Systemen. Gespeichert bleibt das Bild bis zu Ihrem Widerruf.

Gesetzliche Meldepflichten. Als Beherbergungsbetrieb sind wir verpflichtet, die Daten unserer Gäste an die Behörden zu melden (Personenmeldung an die Questura über „Alloggiati Web“ nach Art. 109 TULPS, statistische Meldungen sowie die Erhebung und Abführung der Gemeinde-Aufenthaltsabgabe). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Rechnungen und Buchhaltung. Rechnungs- und Zahlungsdaten verarbeiten wir zur Erfüllung steuer- und handelsrechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Betrieb und Sicherheit der Website. Beim Aufruf werden IP-Adresse, Datum und Uhrzeit, angeforderte Seite, Browsertyp und Betriebssystem in Server-Protokollen gespeichert. Das dient der technischen Sicherheit und Stabilität (Art. 6 Abs. 1 lit. f DSGVO); unser berechtigtes Interesse besteht am störungsfreien und missbrauchssicheren Betrieb.

Reichweitenmessung. Wir messen anonym, wie dieses Portal genutzt wird, aufgerufene Seiten, Sprache, Gerätetyp, Herkunftsseite und die Schritte im Buchungsvorgang (etwa: Kalender geöffnet, Zimmer gewählt, Formular abgebrochen). Wir erfassen die Einstiegsseite sowie die Domain der verweisenden Seite als Ereigniseigenschaften; Kampagnenkennzeichen werden ohne Klick-Kennungen der Werbenetze verarbeitet. Dafür wird kein Cookie gesetzt und nichts auf Ihrem Gerät gespeichert. Statt einer Wiedererkennung bilden unsere Dienstleister aus Ihrer IP-Adresse und Ihrem Browsertyp eine Prüfsumme, die täglich verworfen wird; Ihre IP-Adresse selbst wird nicht gespeichert. Über mehrere Tage, mehrere Geräte oder mehrere Websites hinweg werden Sie dabei nicht wiedererkannt. Ihr Name, Ihre E-Mail-Adresse, Ihre Telefonnummer und der Inhalt Ihrer Nachrichten werden dabei nicht übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, zu erkennen, an welcher Stelle Gäste im Buchungsvorgang nicht weiterkommen. Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen.

Automatisierte Prüfung Ihrer Anfrage, und wo ein Mensch entscheidet

Ob ein Aufenthalt sofort buchbar ist, prüft unser System automatisch: Es gleicht Ihren Wunschzeitraum mit der Verfügbarkeit und mit unseren Aufenthaltsregeln ab, etwa damit ganze Ferienwochen nicht durch kurze Aufenthalte zerteilt werden.

Führt diese Prüfung nicht zu einer Sofortbuchung, entsteht eine Anfrage, über die die Familie Thöni persönlich entscheidet. Es findet also keine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet. Sie können jederzeit anrufen und mit uns sprechen.

An wen wir Daten weitergeben

Wir geben Ihre Daten nur weiter, soweit das zur Erfüllung des Vertrags, aufgrund gesetzlicher Pflicht oder auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO erforderlich ist. Ein Verkauf von Daten findet nicht statt.

Blue Hospitality, Betrieb dieses Buchungsportals und des zugehörigen Verwaltungssystems, als Auftragsverarbeiter nach Art. 28 DSGVO.

Hetzner Online GmbH, Gunzenhausen (Deutschland), Hosting und Serverbetrieb innerhalb der EU.

Stripe Payments Europe, Ltd., Dublin (Irland), Abwicklung der Kartenzahlung. Stripe ist für die Zahlungsdaten eigenständig verantwortlich; es gilt zusätzlich die Datenschutzerklärung von Stripe.

Resend, Versand unserer E-Mails, auch des Newsletters und der Einladung zum Fragebogen; die Zustellung erfolgt über die europäische Region des Anbieters. In unseren E-Mails messen wir, ob eine E-Mail geöffnet wurde (Zählpixel) und welche Links darin angeklickt wurden; dafür führen Links in unseren E-Mails über die Adresse e.kastellatz.it (Resend) auf die Zielseite. Zweck ist das Nachfassen und die Erfolgsmessung unserer Angebote.

ASA Hotelsoftware, unser hauseigenes Hotelprogramm, in das bestätigte Buchungen übernommen werden.

xAI (USA), Sprachmodell hinter dem Kastellatz-Concierge und KI-Dienst für die Beschreibung und Sortierung von Gästebildern. Nutzen Sie den Chat, werden Ihre Chat-Nachrichten in die Vereinigten Staaten übermittelt; dasselbe gilt für Bilder, die Sie uns als Gästebild schicken. Grundlage sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Wenn Sie das nicht möchten, nutzen Sie bitte Telefon oder E-Mail, der Chat ist für eine Buchung nie erforderlich.

PostHog, Reichweitenmessung ohne Cookies. Die Verarbeitung erfolgt ausschließlich auf Servern in der Europäischen Union (Frankfurt am Main). Der Anbieter hat seinen Sitz in den Vereinigten Staaten; für einen etwaigen Zugriff im Rahmen des technischen Supports gelten die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO.

Ahrefs Pte. Ltd., Singapur, Reichweitenmessung ohne Cookies. Der Dienst setzt keine Cookies, legt nichts auf Ihrem Gerät ab und erkennt Sie weder über mehrere Geräte noch über mehrere Websites hinweg wieder; jeder Messwert bleibt auf ein Gerät, diese Website und einen Tag beschränkt. Die dabei erhobenen Zählwerte werden in den Vereinigten Staaten verarbeitet und gespeichert. Grundlage sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO.

Darüber hinaus geben wir Daten an Behörden weiter, soweit wir dazu gesetzlich verpflichtet sind, sowie an unseren Steuerberater und gegebenenfalls an Banken zur Zahlungsabwicklung.

Wie lange wir Daten speichern

Anfragen, die zu keiner Buchung führen: bis zu zwölf Monate, damit wir bei einer erneuten Anfrage an den Vorgang anknüpfen können.

Buchungs- und Gästedaten: für die Dauer des Aufenthalts und danach, soweit steuer- und handelsrechtliche Aufbewahrungspflichten bestehen, in Italien regelmäßig zehn Jahre (Art. 2220 Codice Civile).

Behördliche Meldungen: nach den jeweils dafür geltenden gesetzlichen Fristen.

Server-Protokolle: wenige Tage, danach automatische Löschung.

Nutzungsstatistik bei PostHog: längstens 12 Monate, danach automatische Löschung.

Nutzungsstatistik bei Ahrefs: solange sie für die Auswertung der Reichweite erforderlich ist; eine feste Frist gibt der Anbieter nicht vor. Es handelt sich dabei um Zählwerte ohne Personenbezug.

Chat-Verläufe: längstens 90 Tage, danach automatische Löschung.

Newsletter: Ihre Anmeldedaten, solange Sie angemeldet sind. Den Nachweis Ihrer Bestätigung (Zeitpunkt und Textfassung) bewahren wir für die Dauer der Anmeldung und danach so lange auf, wie es zum Nachweis der Einwilligung erforderlich ist. Nach einer Abmeldung führen wir Ihre Adresse mit Grund und Datum auf einer Sperrliste, dauerhaft und allein, um Ihren Widerspruch zu beachten. Nicht bestätigte Anmeldungen löschen wir nach 30 Tagen.

Adressliste unseres früheren Newsletter-Dienstleisters: Adressen daraus nehmen wir nur auf, wenn die Anmeldung dort belegt ist; Abmeldungen und gesperrte Adressen bleiben gesperrt.

Externe Inhalte und Karten

Einige Seiten bieten Inhalte anderer Anbieter an: Karten zu Ausflugszielen und Wanderungen (Google Maps), die Wetterkarte (Windy), die Webcam der Bergbahn Watles und die Wanderkarte des Tourismusvereins Vinschgau. Statt dieser Inhalte zeigen wir zunächst einen Platzhalter; bis dahin wird keine Verbindung zum Anbieter aufgebaut.

Erst wenn Sie im Platzhalter auf den Knopf zum Laden oder auf „Immer erlauben“ klicken oder in den Cookie-Einstellungen „Externe Inhalte“ erlauben, lädt Ihr Browser den Inhalt direkt beim Anbieter. Dabei erhält der Anbieter mindestens Ihre IP-Adresse und die Adresse der aufgerufenen Seite; er kann eigene Cookies setzen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit in den Cookie-Einstellungen widerrufen können. Welche Inhalte Sie nur für den aktuellen Besuch freigegeben haben, merkt sich Ihr Browser bis zum Schließen des Tabs.

Google Maps wird betrieben von der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei können Daten an die Google LLC in den Vereinigten Staaten übermittelt werden; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Es gilt zusätzlich die Datenschutzerklärung von Google (policies.google.com/privacy). Der Knopf „Route in Google Maps“ ist ein gewöhnlicher Link: bis zum Klick fließt nichts, mit dem Klick verlassen Sie unsere Seite.

Ausnahme Satellitenbilder auf „Karte & Anreise“: Auf dieser einen Seite (/karte) lädt Ihr Browser die Satellitenbilder (im Kopf der Seite und in den Karten zu Ausflugszielen, Flughäfen und Anreise weiter unten) beim Aufruf direkt von Google (Maps Static API), ohne vorherigen Klick. Dabei erhält Google Ihre IP-Adresse, die Adresse unserer Website und technische Angaben Ihres Browsers. Rechtsgrundlage ist unser berechtigtes Interesse, Gästen die Lage des Hauses anschaulich zu zeigen (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem widersprechen; die Bilder laden nicht, wenn Sie die Seite nicht aufrufen oder Inhalte von maps.googleapis.com in Ihrem Browser blockieren. Die interaktiven Karten dieser Seite laden erst nach Ihrem Klick.

„Ihre Anreise“ auf „Karte & Anreise“: Wenn Sie dort einen Startort eingeben oder auf „Ab meinem Standort berechnen“ klicken, übermittelt unser Server diesen Ort (bei Ihrem Standort auf rund 100 m gerundet) an Google (Routes API und Geocoding API), um Strecke und Fahrzeit zu berechnen. Ihren Standort fragt Ihr Browser erst nach Ihrer Erlaubnis ab. Wir speichern den Ort nicht dauerhaft, sondern höchstens einen Tag als gerundeten Zwischenwert im Arbeitsspeicher, ohne Bezug zu Ihrer Person. Rechtsgrundlage ist Ihre Anfrage (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an einer hilfreichen Anreiseplanung (lit. f).

Windy wird betrieben von der Windyty, SE, Prag (Tschechien); die Webcam stellt die Bergbahn Watles bereit, die Wanderkarte der Tourismusverein Vinschgau. Für diese Inhalte gelten zusätzlich die Datenschutzhinweise des jeweiligen Anbieters.

Cookies und lokale Speicherung

Dieses Portal setzt keine Analyse-, Tracking- oder Werbe-Cookies. Es gibt kein Google Analytics, keinen Tag-Manager, keine Werbe-Pixel und keine Social-Media-Plugins.

Technisch notwendig und ohne Einwilligung zulässig sind: die Speicherung Ihrer Sprachwahl und Ihres Buchungsfortschritts im lokalen Speicher Ihres Browsers (damit Ihre Eingaben beim Zurückblättern nicht verloren gehen), einige technische Werte des Chatfensters für die Dauer Ihres Besuchs (eine zufällige Kennung Ihres Gesprächs sowie ob das Fenster geöffnet und vergrößert ist, damit Ihr Gespräch einen Seitenwechsel übersteht; der Gesprächstext selbst wird dort nicht abgelegt), sowie die von Stripe gesetzten Cookies, sobald das Zahlungsfeld geladen wird, sie dienen der Betrugsprävention und sind für eine sichere Zahlung erforderlich.

Drei Cookies setzen wir ebenfalls ohne Einwilligung, weil sie für die jeweilige Funktion erforderlich sind: kz_consent speichert Ihre Auswahl in den Cookie-Einstellungen (sechs Monate). kz_konto hält Sie in „Mein Kastellatz“ angemeldet (eine zufällige Sitzungskennung, die nur über HTTPS gesendet und von Skripten nicht gelesen werden kann; sie gilt bis zu 30 Tage nach Ihrem letzten Besuch und wird beim Abmelden gelöscht). Das Cookie wird auch gesetzt, wenn Sie den persönlichen Link aus Ihrer E-Mail (Angebot oder Buchungsbestätigung) öffnen; es gibt dann nur Zugang zu diesem einen Angebot bzw. dieser einen Buchung und gilt höchstens 30 Tage; mit „Abmelden“ löschen Sie es jederzeit. kz_lang merkt sich in der Gäste-App (/app) Ihre Sprache (de, it oder en) für ein Jahr; es enthält keine persönlichen Daten.

Die oben beschriebene Reichweitenmessung kommt ausdrücklich ohne Cookies und ohne jede Speicherung auf Ihrem Gerät aus.

Sie können den lokalen Speicher jederzeit über die Einstellungen Ihres Browsers löschen.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 21 DSGVO).

Haben Sie eine Einwilligung erteilt, können Sie sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Bitte richten Sie Ihr Anliegen formlos an die im Impressum genannte E-Mail-Adresse. Wir antworten unverzüglich, spätestens innerhalb eines Monats.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu, in Italien beim Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma (garanteprivacy.it).

Pflicht zur Bereitstellung

Die Angaben, die im Buchungsformular als erforderlich gekennzeichnet sind, brauchen wir, um den Vertrag zu schließen und zu erfüllen. Ohne sie können wir keine Buchung annehmen. Alle übrigen Angaben sind freiwillig.