Legal
Privacy Policy
1. Verantwortliche
Petra Vonhausen und Klaus Vonhausen-Wittmann
gemeinsam tätig als Grundstücksgemeinschaft Vonhausen-Wittmann
Vertreten durch Petra Vonhausen
Gailkircherstraße 2, 81247 München, Deutschland
reservations@vonhausenresidence.com
Wir entscheiden gemeinsam über die beschriebene Datenverarbeitung. Datenschutzanfragen können Sie an diese Adresse richten; Ihre Rechte können Sie gegenüber jedem der beiden Verantwortlichen ausüben.
2. Website und Sicherheit
Für Betrieb und Sicherheit werden IP-Adresse, Zugriffszeit, aufgerufene Adresse, Browser- und Gerätedaten sowie gegebenenfalls die verweisende Seite verarbeitet. Zur Missbrauchsabwehr verwenden wir bei Anfragen einen pseudonymen Prüfwert aus der IP-Adresse. Grundlage ist unser berechtigtes Interesse an einem sicheren Angebot (Art. 6 Abs. 1 lit. f DSGVO). Wir nutzen keine Analyse- oder Werbedienste.
Ihre gewählte Sprache bleibt lokal gespeichert, bis Sie sie ändern oder Browserdaten löschen. Soweit Cloudflare den notwendigen Sicherheitscookie __cf_bm einsetzt, läuft dieser nach 30 Minuten Inaktivität ab. Grundlage: § 25 Abs. 2 Nr. 2 TDDDG und, soweit personenbezogene Daten betroffen sind, Art. 6 Abs. 1 lit. f DSGVO.
Im geschützten Gastgeberzugang werden Anmeldedaten wie Konto-ID, E-Mail und Name sowie Verwaltungsaktionen zur Zugangssicherung verarbeitet (Art. 6 Abs. 1 lit. f DSGVO). Gäste benötigen kein Benutzerkonto.
Zur technischen Betriebsüberwachung verwenden wir Google Apps Script und Healthchecks. Hierfür übermitteln wir technische Statuswerte und Zähler, keine Gästekontakte, Nachrichten oder Zahlungsdaten. Soweit dabei personenbezogene Daten anfallen, ist unser berechtigtes Interesse an einem zuverlässigen und sicheren Betrieb die Grundlage (Art. 6 Abs. 1 lit. f DSGVO).
3. Anfragen und Buchungen
Wir verarbeiten Kontaktangaben, Nachrichten, Reisedaten, Gästezahl sowie erforderliche Angebots-, Vertrags-, Rechnungs- und Zahlungsdaten zur Bearbeitung Ihres Anliegens und Durchführung des Aufenthalts (Art. 6 Abs. 1 lit. b DSGVO). Bei sonstigen Anfragen ist unser berechtigtes Kommunikationsinteresse maßgeblich (lit. f). Zeitpunkt und Fassung angenommener Buchungsbedingungen werden dokumentiert; die Kenntnisnahme dieser Datenschutzerklärung ist keine Einwilligung.
Im Kontaktformular sind Name, E-Mail und Nachricht erforderlich; Telefon und Betreff sind freiwillig. Für eine Buchung benötigen wir zusätzlich Reisezeitraum, Gästezahl und gegebenenfalls Rechnungsangaben. Ohne erforderliche Angaben können wir den jeweiligen Vorgang nicht bearbeiten. Eine Anfrage löst keine Zahlung aus. Vollständige Kartendaten werden ausschließlich beim Zahlungsdienst verarbeitet.
Für Buchhaltung und steuerliche Nachweise speichern wir außerdem erforderliche Belege und Abrechnungsunterlagen aus eigenen Vorgängen sowie von Banken, Zahlungsdiensten, Buchungsplattformen und Geschäftspartnern in einer geschützten internen Ablage. Grundlage sind gesetzliche Pflichten und unser berechtigtes Interesse an einer nachvollziehbaren Abrechnung (Art. 6 Abs. 1 lit. c und f DSGVO).
4. Dienstleister und Datenübermittlungen
Für Hosting und Datenspeicherung nutzen wir OpenAI Ireland Ltd mit Cloudflare, für Nachrichtenversand Resend (Plus Five Five, Inc., USA) und für E-Mail IONOS sowie GMX (1&1 Mail & Media GmbH). Sie erhalten die für den jeweiligen Dienst erforderlichen Zugriffs-, Kontakt-, Nachrichten- beziehungsweise Vertragsdaten.
Wenn Sie einen angebotenen Zahlungsablauf nutzen, verarbeitet Stripe Kontakt-, Rechnungs-, Transaktions- und Gerätedaten. Zuständig sind je nach Dienst Stripe Payments Europe Limited, Stripe Technology Europe Limited und Stripe Technology Company Limited, Irland. Hosting und Versand erfolgen im Auftrag; Stripe und Resend verarbeiten bestimmte Daten außerdem in eigener Verantwortung, insbesondere für gesetzliche Pflichten und Sicherheit.
Auch berechtigte Hilfspersonen, Steuer- und Rechtsberatung, Buchhaltung, Zahlungsinstitute und gesetzlich berechtigte Behörden erhalten erforderliche Angaben. Maßgeblich sind Vertragsdurchführung, gesetzliche Pflichten oder berechtigte Sicherheits- und Rechtsverfolgungsinteressen (Art. 6 Abs. 1 lit. b, c und f DSGVO).
Resend verarbeitet Daten in den USA; bei OpenAI und Stripe sind Verarbeitungen außerhalb des EWR, insbesondere in den USA, möglich. Die verlinkten Vereinbarungen von OpenAI und Resend sehen EU-Standardvertragsklauseln vor, soweit kein Angemessenheitsbeschluss greift. Stripe stützt US-Übermittlungen auf das EU-US Data Privacy Framework und ergänzend auf EU-Standardvertragsklauseln. Eine Kopie der maßgeblichen Garantien erhalten Sie über unsere Kontaktadresse.
5. Buchungsplattformen und Bewertungen
Zur Vermeidung von Doppelbuchungen gleichen wir Belegungsdaten und pseudonyme Kalenderkennungen mit Airbnb sowie Vrbo / FeWo-direkt ab (Art. 6 Abs. 1 lit. b und f DSGVO). Dabei werden keine Kontaktdaten, Nachrichten oder Zahlungsdaten von Websitegästen übermittelt.
Die gezeigten Bewertungen stammen aus den öffentlichen Inseraten auf Airbnb und Vrbo / FeWo-direkt und enthalten Bewertungstext, Vornamen, gegebenenfalls Wohnort und Bewertungsmonat. Ihre Auswahl dient unserem berechtigten Interesse an der Darstellung von Gästeerfahrungen (Art. 6 Abs. 1 lit. f DSGVO). Sie bleiben veröffentlicht, solange dieser Zweck und die Interessenabwägung dies rechtfertigen. Verfasser können widersprechen oder eine Entfernung anfragen.
6. Freiwillige Google-Karte
Erst mit „Karte laden“ willigen Sie ein, dass Google Ireland Limited IP-Adresse, Geräteinformationen und Karteninteraktionen verarbeitet und gegebenenfalls Cookies verwendet (Art. 6 Abs. 1 lit. a DSGVO; § 25 Abs. 1 TDDDG). Übermittlungen an Google LLC in den USA beruhen laut Google insbesondere auf dem Data Privacy Framework und gegebenenfalls Standardvertragsklauseln. Es gilt die Google-Datenschutzerklärung.
Mit „Karte entfernen“ oder Neuladen widerrufen Sie die Einbindung für die Zukunft. Bereits gesetzte Cookies können Sie im Browser löschen. Ihre Entscheidung wird nicht gespeichert; die Website bleibt ohne Karte nutzbar.
7. Anreise und Meldeschein
Zur sicheren Übergabe prüfen wir Buchungsdaten und Übernahmeberechtigung (Art. 6 Abs. 1 lit. b DSGVO). Nur bei begründeten Identitätszweifeln kommt ein erforderlicher Abgleich am Originalausweis in Betracht; hierfür speichern wir keine Kopie oder Seriennummer (lit. f).
Für ausländische Gäste erheben wir die Pflichtangaben nach §§ 29 und 30 BMG: Aufenthaltsdaten, Name, Geburtsdatum, Staatsangehörigkeit, Anschrift und Dokumentnummer. Namentlich zu erfassende Personen unterschreiben bei Ankunft und legen einen gültigen Pass oder Passersatz vor; mitreisende ausländische Ehegatten, Lebenspartner und minderjährige Kinder werden nur nach Zahl und Staatsangehörigkeit erfasst. Dokumente werden geprüft, nicht kopiert. Grundlage ist Art. 6 Abs. 1 lit. c DSGVO. Für deutsche Staatsangehörige besteht diese Meldepflicht nicht; Ausweisnummern oder -kopien werden hierfür nicht erhoben.
8. Aufbewahrung
- Für Anfrage- und Buchungsdaten gilt keine einheitliche Aufbewahrungsfrist. Maßgeblich ist, ob die jeweilige Angabe noch zur Bearbeitung, Vertragsdurchführung, Abrechnung oder Klärung von Ansprüchen erforderlich ist.
- Gesetzliche Aufbewahrungsfristen für Belege rechtfertigen nicht automatisch dieselbe Aufbewahrung sämtlicher Kontaktdaten und Freitextnachrichten. Deren Erforderlichkeit ist gesondert zu prüfen.
- Nach Abschluss eines Vorgangs ist eine weitere Aufbewahrung nur zulässig, soweit gesetzliche Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern. Lösch- und Einschränkungsanfragen prüfen wir anhand dieser Voraussetzungen.
- Missbrauchsprüfwerte: 30 Tage; einzelne technische Versandrückmeldungen: 180 Tage. Zugehörige Zustellnachweise bleiben beim jeweiligen Vorgang.
- Meldescheine: ein Jahr ab Abreise, Vernichtung innerhalb weiterer drei Monate.
Gesetzlich erforderliche Unterlagen werden unabhängig davon grundsätzlich sechs Jahre (Geschäftsbriefe), acht Jahre (Rechnungen/Buchungsbelege) oder zehn Jahre (Bücher/Aufzeichnungen) ab dem gesetzlich maßgeblichen Jahresende aufbewahrt (§ 147 AO, § 14b UStG; gegebenenfalls § 257 HGB). Laufende Vorgänge, Verfahren oder gesetzliche Nachweispflichten können längere Fristen erfordern. Grundlagen sind Art. 6 Abs. 1 lit. b, c und f DSGVO.
Hostingprotokolle folgen den für Betrieb, Störungsaufklärung und Sicherheit erforderlichen Aufbewahrungsregeln des Anbieters. Resend nennt für Standardtarife 30 Tage für E-Mail-/Protokolldaten und sieben Tage für Sicherungskopien. Eine Löschung aus der Website löscht keine erforderlichen Originale in E-Mail- oder Buchhaltungssystemen.
9. Ihre Rechte
Sie haben unter den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 15–20 DSGVO). Eine Nachricht an unsere Kontaktadresse genügt. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Aufenthalts-, Arbeits- oder Verletzungsort; für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht.
Widerspruch: Verarbeiten wir Daten aufgrund berechtigter Interessen, können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen (Art. 21 DSGVO). Einwilligungen können Sie jederzeit für die Zukunft widerrufen; die vorherige rechtmäßige Verarbeitung bleibt unberührt. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet durch uns nicht statt.
Stand: 8. Oktober 2026.
1. Controllers
Petra Vonhausen and Klaus Vonhausen-Wittmann
acting jointly as Grundstücksgemeinschaft Vonhausen-Wittmann
Represented by Petra Vonhausen
Gailkircherstraße 2, 81247 Munich, Germany
reservations@vonhausenresidence.com
We jointly determine the processing described here. Please send privacy enquiries to this address. You may exercise your rights against either controller.
2. Website and security
Website operation and security involve processing IP addresses, access times, requested addresses, browser and device information and, where transmitted, the referring page. We use a pseudonymous value derived from the IP address to prevent abusive enquiries. The basis is our legitimate interest in a secure service (Art. 6(1)(f) GDPR). We use no analytics or advertising services.
Your selected language is stored locally until you change it or delete browser data. Where Cloudflare uses the necessary security cookie __cf_bm, it expires after 30 minutes of inactivity. The legal bases are section 25(2)(2) TDDDG and, where personal data are involved, Art. 6(1)(f) GDPR.
The protected host area processes sign-in information such as account ID, email and name, and administrative actions for access security (Art. 6(1)(f) GDPR). Guests do not need an account.
We use Google Apps Script and Healthchecks to monitor technical operation. We transmit technical status values and counters for this purpose, not guest contact details, messages or payment data. Where personal data are involved, the basis is our legitimate interest in reliable and secure operation (Art. 6(1)(f) GDPR).
3. Enquiries and bookings
We process contact details, messages, travel dates, guest numbers and necessary offer, contract, invoice and payment information to handle your request and provide the stay (Art. 6(1)(b) GDPR). Other enquiries are handled in our legitimate interest in communication (f). The time and version of accepted booking terms are recorded; acknowledging this privacy policy is not consent.
The contact form requires your name, email and message; telephone number and subject are optional. Bookings additionally require dates, guest numbers and any necessary invoice details. Without required information, we cannot handle the relevant matter. An enquiry does not initiate payment. Full card details are processed exclusively by the payment provider.
For accounting and statutory record-keeping, we also store necessary documents and statements from our own transactions, banks, payment services, booking platforms and business partners in a protected internal repository. The bases are statutory obligations and our legitimate interest in traceable accounting (Art. 6(1)(c) and (f) GDPR).
4. Providers and data transfers
We use OpenAI Ireland Ltd with Cloudflare for hosting and data storage, Resend (Plus Five Five, Inc., USA) for sending messages, and IONOS and GMX (1&1 Mail & Media GmbH) for email. They receive the access, contact, message or contract data needed for their respective services.
If you use an offered payment process, Stripe processes contact, billing, transaction and device data. Depending on the service, the entities involved are Stripe Payments Europe Limited, Stripe Technology Europe Limited and Stripe Technology Company Limited, Ireland. Hosting and message delivery are provided on our behalf; Stripe and Resend also process certain data as independent controllers, particularly for legal obligations and security.
Authorised helpers, tax and legal advisers, accounting services, payment institutions and legally authorised authorities also receive necessary information. The bases are contract performance, legal obligations or legitimate security and legal-claims interests (Art. 6(1)(b), (c) and (f) GDPR).
Resend processes data in the USA; OpenAI and Stripe may process data outside the EEA, particularly in the USA. The linked OpenAI and Resend agreements provide for EU Standard Contractual Clauses where no adequacy decision applies. Stripe relies on the EU-US Data Privacy Framework for US transfers and additionally on EU Standard Contractual Clauses. You may obtain a copy of the relevant safeguards through our contact address.
5. Booking platforms and reviews
To prevent double bookings, we synchronise occupancy dates and pseudonymous calendar identifiers with Airbnb and Vrbo / FeWo-direkt (Art. 6(1)(b) and (f) GDPR). This does not transmit website guests’ contact details, messages or payment data.
The displayed reviews come from the public listings on Airbnb and Vrbo / FeWo-direkt and contain review text, first name, location where provided and review month. Their selection serves our legitimate interest in presenting guest experiences (Art. 6(1)(f) GDPR). They remain published while that purpose and the balance of interests justify it. Authors may object or request removal.
6. Optional Google map
Only by selecting “Load map” do you consent to Google Ireland Limited processing your IP address, device information and map interactions and, where applicable, using cookies (Art. 6(1)(a) GDPR; section 25(1) TDDDG). According to Google, transfers to Google LLC in the USA rely particularly on the Data Privacy Framework and, where applicable, Standard Contractual Clauses. The Google Privacy Policy applies.
“Remove map” or reloading the page withdraws consent to the embedding for the future. Existing cookies can be deleted in your browser. Your choice is not stored; the website remains usable without the map.
7. Arrival and registration
For a secure handover, we check booking details and entitlement to collect the keys (Art. 6(1)(b) GDPR). Only where there are justified doubts about identity may a necessary comparison with the original identity document be considered; no copy or serial number is stored for this purpose (f).
For foreign guests, we collect the information required by sections 29 and 30 BMG: stay dates, name, date of birth, nationality, address and identity-document number. Persons who must be named sign on arrival and present a valid passport or passport substitute; accompanying foreign spouses, registered partners and minor children are recorded only by number and nationality. Documents are checked, not copied. The legal basis is Art. 6(1)(c) GDPR. German nationals are not subject to this registration duty; document numbers or copies are not collected for that purpose.
8. Retention
- Enquiry and booking data do not share a single retention period. Retention depends on whether each item is still needed to handle the matter, perform the contract, complete accounting or resolve claims.
- Statutory retention periods for documents do not automatically justify retaining all contact details and free-text messages for the same period. Their necessity must be assessed separately.
- Once a matter is completed, further retention is permitted only where required by statutory obligations or to establish, exercise or defend legal claims. We assess requests for erasure or restriction against these requirements.
- Abuse-prevention values: 30 days; individual technical delivery events: 180 days. Associated delivery records remain with the relevant matter.
- Registration forms: one year from departure, followed by destruction within three months.
Statutory documents are independently retained for generally six years (business correspondence), eight years (invoices/accounting vouchers) or ten years (books/records), measured from the legally relevant year-end (section 147 AO, section 14b UStG and, where applicable, section 257 HGB). Ongoing matters, proceedings or statutory evidence duties may require longer retention. The bases are Art. 6(1)(b), (c) and (f) GDPR.
Hosting logs follow the provider’s retention rules for operation, troubleshooting and security. Resend specifies 30 days for email/log data on standard plans and seven days for backups. Deletion from the website does not delete necessary originals in email or accounting systems.
9. Your rights
Subject to the statutory conditions, you have rights of access, rectification, erasure, restriction and data portability (Art. 15–20 GDPR). A message to our contact address is sufficient. You may also complain to a supervisory authority, particularly at your habitual residence, place of work or the alleged infringement; our competent authority is the Bavarian State Office for Data Protection Supervision.
Right to object: Where processing relies on legitimate interests, you may object at any time on grounds relating to your particular situation (Art. 21 GDPR). You may withdraw consent at any time for the future; prior lawful processing remains unaffected. We do not carry out automated decision-making, including profiling, under Art. 22 GDPR.
Last updated: 8 October 2026.