Datenschutzerklärung

Stand: Pilotphase 2026-09

Diese Datenschutzerklärung ist ein Entwurf für die Pilotphase von GuestM8. Sie beschreibt, welche Daten bei der Nutzung der Website und des Bestellprozesses verarbeitet werden. Wo rechtlich erforderliche Betreiberangaben noch fehlen, sind diese deutlich gekennzeichnet. Vor dem öffentlichen Livegang ist die Erklärung durch eine abschließende rechtliche Prüfung zu bestätigen.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist der Betreiber von GuestM8:
[VOR VERÖFFENTLICHUNG ERGÄNZEN: Firmenname, vertretungsberechtigte Person, Anschrift]
E-Mail: [VOR VERÖFFENTLICHUNG ERGÄNZEN: datenschutz@guestm8.de oder sonstige Datenschutz-Kontaktadresse]
Telefon: [VOR VERÖFFENTLICHUNG ERGÄNZEN]

2. Welche Daten wir verarbeiten

Bestelldaten: Name, E-Mail-Adresse, optional Telefonnummer, gewählte Produkte und Mengen, Bestellnummer, Bestellstatus.
Buchungs- und Aufenthaltsdaten: Ferienpark, Unterkunft, An- und Abreisedatum, Personenzahl, Buchungsreferenz (zur Zuordnung der Bestellung zu Ihrem Aufenthalt).
Lieferdaten: gewählte Lieferart (Unterkunft, Rezeption oder Selbstabholung), Liefertermin und Zeitfenster sowie bei Lieferung zur Unterkunft die von Ihnen angegebene Unterkunftsanschrift.
Zahlungsdaten: Zahlungsstatus, Transaktions- und Erstattungsdaten über unseren Zahlungsdienstleister. Wir speichern keine vollständigen Karten- oder Bankdaten auf unseren Systemen.
Kommunikationsdaten: Nachrichten, die Sie uns über die Kontakt- oder Supportwege senden.

3. Kundenkonto und Magic-Link-Zugriff

GuestM8 bietet zwei Zugriffswege auf Ihre Bestellungen an:

Kundenkonto: Wenn Sie sich mit Ihrer E-Mail-Adresse registrieren oder anmelden, verarbeiten wir Ihre E-Mail-Adresse zur Authentifizierung und Zuordnung Ihrer Bestellungen.
Magic-Link-Zugang: Ohne Konto können Sie per einmalem Zugangs-Link (Magic Link) auf Ihre Bestellung zugreifen. Der Link ist an eine konkrete Bestellung gebunden, läuft automatisch ab und wird nur zum Zweck dieses Zugriffs gespeichert.

Ein Magic-Link berechtigt ausschließlich zum Zugriff auf die jeweils verknüpfte Bestellung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4. Zwecke und Rechtsgrundlagen

Abwicklung von Bestellungen (Entgegennahme, Weitergabe an Partner, Lieferung, Erstattungen): Art. 6 Abs. 1 lit. b DSGVO.
Zahlungsabwicklung über Stripe: Art. 6 Abs. 1 lit. b DSGVO.
Versand von Bestell- und Status-E-Mails über Resend: Art. 6 Abs. 1 lit. b DSGVO.
Bereitstellung der Website und Sicherung des Betriebes (Hosting, Datenbank, Authentifizierung über Supabase): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Angebot).
Erfüllung gesetzlicher Pflichten (z. B. handels- und steuerrechtliche Aufbewahrung): Art. 6 Abs. 1 lit. c DSGVO.

5. Weitergabe von Bestelldaten an Lieferanten und Partner

Der jeweilige lokale Partner ist Verkäufer bzw. Leistungserbringer der von Ihnen bestellten Waren oder Dienstleistungen; GuestM8 vermittelt die Bestellung und stellt die technische Plattform bereit. Zur Ausführung Ihrer Bestellung geben wir die jeweils erforderlichen Daten — Name, E-Mail-Adresse, ggf. Telefonnummer, Lieferart und -termin, Unterkunftsangaben sowie die bestellten Artikel — an den beauftragten lokalen Lieferanten bzw. Partner (z. B. Bäckerei, Metzgerei, Verleiher) weiter. Der Partner verarbeitet diese Daten zur Erfüllung des zwischen ihm und Ihnen bestehenden Vertrags. Die Partner erhalten ausschließlich die Daten, die sie zur Erfüllung des Auftrags benötigen, und dürfen diese nicht für eigene Zwecke verwenden. Ebenso geben wir die erforderlichen Aufenthaltsdaten an den jeweiligen Ferienpark bzw. die Unterkunft weiter, soweit dies für die Zustellung oder Übergabe erforderlich ist.

6. Einsatz von Stripe (Zahlungsabwicklung)

Die Abwicklung von Zahlungen und Erstattungen erfolgt über Stripe Payments Europe Ltd. Wir übermitteln an Stripe die zum Zweck der Zahlungsabwicklung erforderlichen Daten (Bestellbetrag, Währung, Zahlungsreferenz). Die Verarbeitung Ihrer Zahlungsinstrumentdaten (z. B. Kartendaten) erfolgt direkt durch Stripe; GuestM8 erhält hierzu keine vollständigen Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Informationen zum Datenschutz bei Stripe: https://stripe.com/de/privacy

7. Einsatz von Supabase (Hosting, Datenbank, Authentifizierung)

Diese Website sowie die zugehörigen Datenbanken und Authentifizierungsdienste werden über Supabase betrieben (Supabase Inc. bzw. deren EU-Subverarbeiter). Personendaten werden dort gespeichert und verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.[VOR VERÖFFENTLICHUNG ERGÄNZEN: Speicherregion der Supabase-Instanz (z. B. EU-Region) und Auftragsverarbeitungsvertrag mit Supabase bestätigen.]

8. Einsatz von Resend (E-Mail-Versand)

Bestellbestätigungen und Status-E-Mails versenden wir über Resend. Hierzu übermitteln wir an Resend Ihre E-Mail-Adresse sowie den Inhalt der jeweiligen E-Mail. Resend verarbeitet diese Daten als Auftragsverarbeiter ausschließlich zum Zweck des Versands. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.[VOR VERÖFFENTLICHUNG ERGÄNZEN: Bestätigung, dass für den E-Mail-Versand eine EU-konforme Region bzw. ein Auftragsverarbeitungsvertrag mit Resend genutzt wird.]

9. Cookies und lokale Speicherung

Diese Website verwendet ausschließlich technisch notwendige Speicherung:

Login-/Sitzungsdaten: Wenn Sie angemeldet sind, speichert Ihr Browser ein Sitzungs-Token (lokale Speicherung), damit Sie angemeldet bleiben können. Der Magic-Link-Zugang nutzt ebenfalls ein lokal gespeichertes Token.
Bestellungen ohne Konto: Solange Sie nicht angemeldet sind, können Bestellentwürfe ausschließlich lokal in Ihrem Browser gespeichert werden (Hinweis: „nur in diesem Browser gespeichert"). Diese Daten verlassen Ihr Gerät nicht und werden beim Leeren des Browser-Caches gelöscht.

Tracking- oder Marketing-Cookies setzen wir nicht ein. Rechtsgrundlage: § 25 Abs. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

10. Speicherdauer

Bestell- und Zahlungsdaten werden für die Dauer der gesetzlichen Aufbewahrungsfristen (regelmäßig 6 bzw. 10 Jahre nach HGB/AO) gespeichert und danach gelöscht. Magic-Links und dazugehörige Tokens werden nach Ablauf ihrer Gültigkeit gelöscht. Lokal in Ihrem Browser gespeicherte Daten verbleiben dort, bis Sie diese löschen.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen die Verarbeitung (Art. 21). Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Wohnsitzes.

12. Datensicherheit

Die Übertragung erfolgt verschlüsselt über TLS. Zugriff auf Personendaten ist auf die hierfür berechtigten Personen beschränkt.

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder die eingesetzten Dienste ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

14. Kontakt zum Datenschutz

Fragen zum Datenschutz richten Sie bitte an die in Abschnitt 1 genannte Kontaktadresse oder über unsere Kontakt-/Support-Seite.