Datenschutzerklärung

Stand: 04.10.2026

Hier steht, welche personenbezogenen Daten FlutterHouses verarbeitet, wozu und wie lange — und welche Rechte du dabei hast. Kurz vorweg: Es gibt kein Tracking, keine Analyse-Tools und keine Werbung. Wir verarbeiten nur, was für Suche, Anfrage, Buchung und Abrechnung nötig ist.

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) für diese Plattform ist:

[Name / Firma fehlt — LEGAL_* in der .env]
[Straße fehlt — LEGAL_* in der .env]
[PLZ fehlt — LEGAL_* in der .env] [Ort fehlt — LEGAL_* in der .env]
E-Mail: [E-Mail fehlt — LEGAL_* in der .env]

2. Plattform und Anbieter

FlutterHouses ist eine Vermittlungsplattform. Die Unterkünfte, Wohnwagen und anderen Objekte samt Zusatzleistungen werden von selbstständigen Anbietern eingestellt und vermietet. Der Mietvertrag kommt zwischen dir und dem jeweiligen Anbieter zustande, nicht mit uns.

Daraus folgt: Wir sind verantwortlich für den Betrieb der Plattform (Konto, Suche, Übermittlung von Anfragen und Nachrichten). Sobald du eine Anfrage an einen Anbieter schickst, erhält dieser die dafür nötigen Daten und verarbeitet sie in eigener Verantwortung für Vertragsabwicklung, Rechnungsstellung und gesetzliche Pflichten (etwa Meldepflichten für Übernachtungsgäste). Wer der Anbieter ist, siehst du auf der Objektseite und auf jeder Rechnung.

Ein Anbieter kann einzelne oder alle seine Objekte einem Verwalter freigeben, etwa einer Agentur oder einer Urlaubsvertretung. Der Verwalter sieht dann Buchungen, deine Kontaktdaten und den Nachrichtenverlauf zu diesem Objekt und handelt im Auftrag des Anbieters. Antwortet dir ein Verwalter, ist das im Chat an seinem Namen erkennbar. Wir als Betreiber sehen Buchungs- und Gastdaten eines Anbieters nur, wenn er uns dafür ausdrücklich einen befristeten Support-Zugriff erteilt; jeder solche Zugriff wird protokolliert.

3. Aufruf der Website und Server-Logs

Beim Aufruf jeder Seite überträgt dein Browser technisch bedingt Daten an unseren Server: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer sowie Browser und Betriebssystem. Diese Angaben landen in den Protokollen des Webservers.

Die Website wird betrieben bei: [Hosting-Anbieter fehlt — LEGAL_* in der .env]. Der Hoster verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO).

Zweck: Auslieferung der Seiten, Sicherheit und Fehlersuche, Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb. Server-Logs werden nach spätestens 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls gebraucht werden.

4. Cookies und Sitzung

Wir setzen ausschließlich Cookies, die für den Betrieb technisch erforderlich sind. Deshalb fragen wir nicht nach einer Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking- oder Werbe-Cookies gibt es nicht.

Cookie	Zweck	Laufzeit
`fox-flutter-session`	Hält deine Sitzung zusammen, z. B. dass du angemeldet bist.	120 Minuten ohne Aktivität
`XSRF-TOKEN`	Schutz vor gefälschten Formularübermittlungen (CSRF).	wie die Sitzung
`remember_web_…`	Nur wenn du „Angemeldet bleiben“ wählst oder dich registrierst: hält dich angemeldet. Wird beim Abmelden gelöscht.	bis zu 400 Tage

Zur Sitzung speichern wir serverseitig außerdem IP-Adresse, Browserkennung und den Zeitpunkt der letzten Aktivität. Das dient der Sicherheit deines Kontos (Art. 6 Abs. 1 lit. f DSGVO); abgelaufene Sitzungen werden automatisch entfernt.

Die Datumsauswahl und Kartenansicht laufen vollständig in deinem Browser; dabei werden keine Daten im lokalen Speicher des Browsers abgelegt.

5. Kundenkonto und Anmeldung

Für Anfragen brauchst du ein Konto. Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse und Passwort. Das Passwort speichern wir nur als kryptografischen Hash; im Klartext kennt es niemand, auch wir nicht.

Zweck: Du findest deine Anfragen, Buchungen, Rechnungen und Nachrichten wieder. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über die Plattform).

Zum Schutz vor dem Durchprobieren von Passwörtern merken wir uns fehlgeschlagene Anmeldeversuche je Kombination aus E-Mail-Adresse und IP-Adresse für eine Minute (Art. 6 Abs. 1 lit. f DSGVO).

Sicherheitsprüfung bei der Registrierung: Gegen automatisch angelegte Konten löst dein Browser beim Registrieren eine kleine Rechenaufgabe (ALTCHA). Die Software läuft auf unserem eigenen Server; es wird kein externer Dienst eingebunden, kein Cookie gesetzt und kein Verhalten ausgewertet. Die Aufgabe holt dein Browser von uns ab; dabei fällt wie bei jedem Seitenaufruf deine IP-Adresse an, die wir zur Begrenzung von Massenanfragen kurzzeitig zählen. Eine gelöste Aufgabe merken wir uns höchstens elf Minuten, damit sie nicht zweimal verwendet werden kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Plattform vor Missbrauch).

Sperrung: Bei Missbrauch (etwa Scheinanfragen, Belästigung im Chat oder Betrug) können wir ein Konto sperren. Wir speichern dann Zeitpunkt und Grund der Sperre. Ein gesperrtes Konto kann sich nicht mehr anmelden; seine Buchungen und Rechnungen bleiben erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Möchtest du dein Konto löschen lassen, schreib uns an die oben genannte Adresse. Daten, die wir aus steuer- oder handelsrechtlichen Gründen aufbewahren müssen (siehe Rechnungen), sperren wir statt sie zu löschen.

6. Buchungsanfragen und Buchungen

Wenn du ein Objekt anfragst, verarbeiten wir: Name und E-Mail-Adresse aus deinem Konto, An- und Abreisedatum, Anzahl der Erwachsenen und Kinder, den berechneten Preis, deine Nachricht an den Anbieter und — falls du sie angibst — deine Rechnungsanschrift (Straße, PLZ, Ort, Land).

Diese Daten gehen an den Anbieter des angefragten Objekts, damit er die Anfrage prüfen, bestätigen und abrechnen kann. Andere Anbieter sehen sie nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Mietvertrags).

Name und E-Mail-Adresse werden zum Zeitpunkt der Anfrage in die Buchung kopiert. Änderst du später dein Konto, bleibt die Buchung so, wie sie angefragt wurde — der Anbieter muss nachvollziehen können, mit wem er den Vertrag geschlossen hat.

Buchst du zu einer Buchung Zusatzleistungen dazu (etwa eine Kaffeemaschine oder einen Saunaabend), speichern wir die gewählte Leistung, Tag, Anzahl, Preis, deinen optionalen Hinweis und den Zeitpunkt der Bestellung. Sie gehen an denselben Anbieter und erscheinen auf seiner Rechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Nachrichten an Anbieter

Zu jeder Buchung kannst du mit dem Anbieter schreiben. Wir speichern Inhalt, Absendername und Zeitpunkt jeder Nachricht sowie, ob sie gelesen wurde. Lesen können sie nur du, der jeweilige Anbieter und von ihm freigegebene Verwalter (siehe Abschnitt 2). Bitte schick über den Chat keine Ausweis- oder Zahlungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Nachrichten werden zusammen mit der Buchung gelöscht.

8. Rechnungen

Rechnungen stellt der Anbieter über die Plattform aus. Sie enthalten Name und Anschrift des Gastes, Zeitraum, Objekt und Beträge. Diese Angaben werden in die Rechnung kopiert und danach nicht mehr verändert, damit eine ausgestellte Rechnung immer zeigt, was zum Zeitpunkt der Ausstellung galt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14 UStG, § 147 AO und § 257 HGB. Ausgestellte Rechnungen müssen zehn Jahre aufbewahrt werden; in dieser Zeit können wir sie nicht löschen, nur sperren. Entwürfe, die nie ausgestellt wurden, werden gelöscht.

9. Daten von Anbietern

Für Anbieter, Verwalter und deren Mitarbeitende, die den Verwaltungsbereich nutzen, verarbeiten wir Name, E-Mail-Adresse, Passwort-Hash, Logo, Rechnungsanschrift, Umsatzsteuer-ID, die vereinbarte Provision sowie, ob das Konto vermietet, verwaltet oder beides. Name, Anschrift und Logo erscheinen auf den Rechnungen an Gäste, die Provision nicht.

Für die monatliche Provisionsabrechnung an Anbieter verarbeiten wir je beendetem, bestätigtem Aufenthalt das Objekt, An- und Abreisedatum, den vereinbarten Preis einschließlich Endreinigung, den Provisionssatz und den Provisionsbetrag — keine Namen oder Kontaktdaten von Gästen. Dazu kommen Zahlungsstand und Mahnstufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Anbieter), für die Aufbewahrung der Abrechnungen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB (zehn Jahre).

Erteilt ein Anbieter einem Verwalter oder dem Plattform-Support eine Freigabe, speichern wir, wer wem welches Objekt in welchem Umfang und bis wann freigegeben hat und wer die Freigabe erteilt oder widerrufen hat. Zu jedem Support-Zugriff protokollieren wir Name des Bearbeiters, Beginn und Ende; der Anbieter sieht dieses Protokoll in seinem Konto. Als Verwalter registrierte Konten erscheinen mit ihrem Namen in der Auswahlliste, aus der Anbieter Verwalter auswählen. In den Übergabe-Checklisten der Objekte speichern wir, wer eine Aufgabe wann abgehakt und wer die Liste zuletzt zurückgesetzt hat; sehen können das alle, die das Objekt bearbeiten. Sperrt der Betreiber ein Konto, speichern wir Zeitpunkt und Grund; das Konto sieht beides. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Plattformvertrag) und für Abrechnungsdaten Art. 6 Abs. 1 lit. c DSGVO.

10. Kartendarstellung (OpenStreetMap)

Auf der Such- und der Objektseite zeigen wir eine Karte. Die Kartenkacheln lädt dein Browser direkt von den Servern der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Dabei erhält die OpenStreetMap Foundation deine IP-Adresse, Browserangaben und den sichtbaren Kartenausschnitt. Andere Daten — etwa dein Konto oder deine Suchbegriffe — geben wir nicht weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, die Lage der Objekte anschaulich zu zeigen, ohne einen kommerziellen Kartendienst einzubinden. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Details: Datenschutzerklärung der OpenStreetMap Foundation.

11. Schriftarten

Auf den öffentlichen Seiten liefern wir die Schrift „Nunito“ von unserem eigenen Server aus; dabei wird keine Verbindung zu Dritten aufgebaut.

Im Verwaltungsbereich für Anbieter (/admin) wird die Schrift vom Dienst Bunny Fonts der BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien, geladen. Dabei erhält BunnyWay deine IP-Adresse; nach eigener Angabe speichert der Dienst keine personenbezogenen Daten und setzt keine Cookies. Die Verarbeitung findet in der EU statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (einheitliche, gut lesbare Darstellung).

12. Empfänger und Drittländer

Personenbezogene Daten erhalten nur:

der Anbieter des Objekts, das du anfragst oder buchst (siehe Abschnitt 6–8),
unser Hosting-Anbieter als Auftragsverarbeiter,
die OpenStreetMap Foundation und BunnyWay im oben beschriebenen Umfang,
Behörden, wenn wir gesetzlich dazu verpflichtet sind.

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Eine Übermittlung in Länder außerhalb der EU findet nur in das Vereinigte Königreich (OpenStreetMap) statt.

13. Speicherdauer

Konto: bis du die Löschung verlangst.
Anfragen, Buchungen und Nachrichten: solange das Konto besteht bzw. bis zum Ende der Verjährungsfrist für Ansprüche aus dem Mietvertrag (in der Regel drei Jahre zum Jahresende).
Ausgestellte Rechnungen: zehn Jahre ab Ende des Kalenderjahres der Ausstellung.
Sitzungen: bis zum Ablauf, siehe Cookies.
Server-Logs: höchstens 14 Tage.

14. Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
Berichtigung unrichtiger Daten (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht,
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), etwa der Behörde deines Wohnorts oder der für unseren Sitz zuständigen.

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für alle Anliegen genügt eine formlose Nachricht an die in Abschnitt 1 genannte Adresse. Betrifft dein Anliegen Daten, die ein Anbieter in eigener Verantwortung verarbeitet, kannst du dich auch direkt an ihn wenden; wir leiten deine Anfrage auf Wunsch weiter.

15. Pflicht zur Angabe, automatisierte Entscheidungen

Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten zu geben. Ohne Name, E-Mail-Adresse und Reisedaten können wir aber kein Konto anlegen und keine Anfrage weiterleiten. Die Rechnungsanschrift ist bei der Anfrage freiwillig; der Anbieter kann sie für die Rechnung später nachfordern.

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt. Ob eine Anfrage angenommen wird, entscheidet der Anbieter.