Datenschutzerklärung

Stand: 14.10.2026

Hier steht, welche personenbezogenen Daten FlutterHouses verarbeitet, wozu und wie lange - und welche Rechte du dabei hast. Kurz vorweg: Es gibt kein Tracking, keine Analyse-Tools und keine Werbung. Wir verarbeiten nur, was für Suche, Anfrage, Buchung und Abrechnung nötig ist.

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) für diese Plattform ist:

2. Plattform und Anbieter

FlutterHouses ist eine Vermittlungsplattform. Die Unterkünfte, Wohnwagen und anderen Objekte samt Zusatzleistungen werden von selbstständigen Anbietern eingestellt und vermietet. Der Mietvertrag kommt zwischen dir und dem jeweiligen Anbieter zustande, nicht mit uns.

Daraus folgt: Wir sind verantwortlich für den Betrieb der Plattform (Konto, Suche, Übermittlung von Anfragen und Nachrichten). Sobald du eine Anfrage an einen Anbieter schickst, erhält dieser die dafür nötigen Daten und verarbeitet sie in eigener Verantwortung für Vertragsabwicklung, Rechnungsstellung und gesetzliche Pflichten (etwa Meldepflichten für Übernachtungsgäste). Wer der Anbieter ist, siehst du auf der Objektseite und auf jeder Rechnung.

Ein Anbieter kann einzelne oder alle seine Objekte einem Verwalter freigeben, etwa einer Agentur oder einer Urlaubsvertretung. Der Verwalter sieht dann Buchungen, deine Kontaktdaten und den Nachrichtenverlauf zu diesem Objekt und handelt im Auftrag des Anbieters. Antwortet dir ein Verwalter, ist das im Chat an seinem Namen erkennbar. Wir als Betreiber sehen Buchungs- und Gastdaten eines Anbieters nur, wenn er uns dafür ausdrücklich einen befristeten Support-Zugriff erteilt; jeder solche Zugriff wird protokolliert.

3. Aufruf der Website und Server-Logs

Beim Aufruf jeder Seite überträgt dein Browser technisch bedingt Daten an unseren Server: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer sowie Browser und Betriebssystem. Diese Angaben landen in den Protokollen des Webservers.

Wir betreiben die Website selbst auf einem von uns gemieteten dedizierten Server (Root-Server) von STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Der Anbieter stellt die Hardware und die Anbindung bereit; auf die Inhalte des Servers hat er nur im Störungsfall Zugriff.

Zweck: Auslieferung der Seiten, Sicherheit und Fehlersuche, Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO - unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb. Server-Logs werden nach spätestens 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls gebraucht werden.

4. Cookies und Sitzung

Wir setzen ausschließlich Cookies, die für den Betrieb technisch erforderlich sind. Deshalb fragen wir nicht nach einer Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking- oder Werbe-Cookies gibt es nicht.

Zur Sitzung speichern wir serverseitig außerdem IP-Adresse, Browserkennung und den Zeitpunkt der letzten Aktivität. Das dient der Sicherheit deines Kontos (Art. 6 Abs. 1 lit. f DSGVO); abgelaufene Sitzungen werden automatisch entfernt.

Die Datumsauswahl und Kartenansicht laufen vollständig in deinem Browser; dabei werden keine Daten im lokalen Speicher des Browsers abgelegt.

5. Kundenkonto und Anmeldung

Für Anfragen brauchst du ein Konto. Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse und Passwort. Das Passwort speichern wir nur als kryptografischen Hash; im Klartext kennt es niemand, auch wir nicht.

Zweck: Du findest deine Anfragen, Buchungen, Rechnungen und Nachrichten wieder. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über die Plattform).

Meldet ein Anbieter nach der Abreise eine Beanstandung (übermäßige Verschmutzung, Schaden, Fehlendes), speichern wir sie mit deiner Buchung: Titel, Beschreibung, optionale Fotos, Zeitpunkt, wer sie gemeldet hat, und gegebenenfalls den nachberechneten Betrag. Fotos liegen nicht öffentlich und sind nur für dich und das Team des Anbieters abrufbar. Die Daten dienen der Geltendmachung und Abwehr von Ansprüchen aus dem Mietverhältnis (Art. 6 Abs. 1 lit. b und f DSGVO); ein nachberechneter Betrag steht auf der Rechnung und wird wie diese aufbewahrt. Zurückgezogene Beanstandungen bleiben als Verlauf bestehen, bis die Buchung gelöscht wird.

Zum Schutz vor dem Durchprobieren von Passwörtern merken wir uns fehlgeschlagene Anmeldeversuche je Kombination aus E-Mail-Adresse und IP-Adresse für eine Minute (Art. 6 Abs. 1 lit. f DSGVO).

E-Mail-Bestätigung: Nach der Registrierung schicken wir dir einen Link, mit dem du bestätigst, dass die Adresse dir gehört. Dafür übergeben wir die Adresse an unseren E-Mail-Versanddienstleister; der Link ist drei Tage gültig. Gespeichert wird nur der Zeitpunkt der Bestätigung. Bis dahin kannst du stöbern, aber keine Buchung anfragen und dich nicht als Anbieter bewerben (Art. 6 Abs. 1 lit. b und f DSGVO, unser Interesse ist der Schutz vor Missbrauch fremder Adressen).

Passwort zurücksetzen: Fordest du einen Link an, senden wir ihn per E-Mail an die hinterlegte Adresse. Dafür übergeben wir die Adresse an unseren E-Mail-Versanddienstleister; der Link ist 60 Minuten gültig, die Anforderung wird auf fünf je Minute begrenzt (Art. 6 Abs. 1 lit. b und f DSGVO).

Benachrichtigungen per E-Mail: Zu deinen Buchungen schicken wir dir Mails, zum Beispiel wenn deine Anfrage eingegangen ist, der Anbieter sie bestätigt oder ablehnt, kurz vor der Anreise und bei neuen Chatnachrichten. Anbieter und ihr Team bekommen Mails zu neuen Anfragen, Chatnachrichten, Schadensmeldungen, Zusatzleistungs-Anfragen und, wenn sie einen Mindestbestand eingestellt haben, zu knappem Verbrauchsmaterial. Dafür verarbeiten wir deine E-Mail-Adresse und den Inhalt der jeweiligen Meldung (bei Chatnachrichten einen Auszug) und übergeben sie an unseren E-Mail-Versanddienstleister. Jede dieser Mails enthält einen Link zum Abbestellen; unter „Benachrichtigungen“ im Profilmenü wählst du je Ereignis, was du bekommst. Mails zu Einladungen, Provisionsabrechnungen, Mahnungen und zum Passwort lassen sich nicht abstellen, weil sie für das Vertragsverhältnis nötig sind (Art. 6 Abs. 1 lit. b DSGVO; für die übrigen Benachrichtigungen Art. 6 Abs. 1 lit. b und f DSGVO, unser Interesse ist, dass Anfragen zügig beantwortet werden).

Merkliste: Wenn du angemeldet bist und ein Objekt mit dem Herz merkst, speichern wir die Verknüpfung zwischen deinem Konto und dem Objekt samt Zeitpunkt, damit du sie auf jedem Gerät wiederfindest (Art. 6 Abs. 1 lit. b DSGVO). Die Liste ist nur für dich sichtbar, Anbieter erfahren nichts davon. Es wird dafür kein Cookie gesetzt; mit dem Löschen des Kontos oder des Objekts verschwindet der Eintrag.

Einblick für das Support-Team: Nur wenn du es in deinem Konto erlaubst, kann das Support-Team für 1, 3 oder 7 Tage deine Reisen ansehen (Objekt, Zeitraum, Stand; keine Nachrichten). Wir speichern, bis wann die Erlaubnis gilt, wann du sie beendet hast und wer zuletzt nachgesehen hat; du siehst das in deinem Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung, jederzeit widerrufbar).

Sicherheitsprüfung bei der Registrierung: Gegen automatisch angelegte Konten löst dein Browser beim Registrieren eine kleine Rechenaufgabe (ALTCHA). Die Software läuft auf unserem eigenen Server; es wird kein externer Dienst eingebunden, kein Cookie gesetzt und kein Verhalten ausgewertet. Die Aufgabe holt dein Browser von uns ab; dabei fällt wie bei jedem Seitenaufruf deine IP-Adresse an, die wir zur Begrenzung von Massenanfragen kurzzeitig zählen. Eine gelöste Aufgabe merken wir uns höchstens elf Minuten, damit sie nicht zweimal verwendet werden kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz der Plattform vor Missbrauch).

Sperrung: Bei Missbrauch (etwa Scheinanfragen, Belästigung im Chat oder Betrug) können wir ein Konto sperren. Wir speichern dann Zeitpunkt und Grund der Sperre. Ein gesperrtes Konto kann sich nicht mehr anmelden; seine Buchungen und Rechnungen bleiben erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Möchtest du dein Konto löschen lassen, schreib uns an die oben genannte Adresse. Daten, die wir aus steuer- oder handelsrechtlichen Gründen aufbewahren müssen (siehe Rechnungen), sperren wir statt sie zu löschen.

6. Buchungsanfragen und Buchungen

Wenn du ein Objekt anfragst, verarbeiten wir: Name und E-Mail-Adresse aus deinem Konto, An- und Abreisedatum, Anzahl der Erwachsenen und Kinder, den berechneten Preis, deine Nachricht an den Anbieter und - falls du sie angibst - deine Rechnungsanschrift (Straße, PLZ, Ort, Land), bei Objekten mit Kurtaxe-Befreiung die Zahl der Kinder unter der Altersgrenze (ohne Namen oder Geburtstage). Außerdem halten wir fest, welche Stornobedingungen und welchen Zahlungshinweis du bestätigt hast.

Diese Daten gehen an den Anbieter des angefragten Objekts, damit er die Anfrage prüfen, bestätigen und abrechnen kann. Andere Anbieter sehen sie nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung des Mietvertrags).

Name und E-Mail-Adresse werden zum Zeitpunkt der Anfrage in die Buchung kopiert. Änderst du später dein Konto, bleibt die Buchung so, wie sie angefragt wurde - der Anbieter muss nachvollziehen können, mit wem er den Vertrag geschlossen hat.

Buchst du zu einer Buchung Zusatzleistungen dazu (etwa eine Kaffeemaschine oder einen Saunaabend), speichern wir die gewählte Leistung, Tag, Anzahl, Preis, deinen optionalen Hinweis und den Zeitpunkt der Bestellung. Sie gehen an denselben Anbieter und erscheinen auf seiner Rechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Nachrichten an Anbieter

Zu jeder Buchung kannst du mit dem Anbieter schreiben. Wir speichern Inhalt, Absendername und Zeitpunkt jeder Nachricht sowie, ob sie gelesen wurde. Lesen können sie nur du, der jeweilige Anbieter und von ihm freigegebene Verwalter (siehe Abschnitt 2). Bitte schick über den Chat keine Ausweis- oder Zahlungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Nachrichten werden zusammen mit der Buchung gelöscht.

Bewertungen: Nach deiner Abreise kannst du die Unterkunft bewerten (Sterne und optional ein Text). Öffentlich sichtbar sind die Bewertung, dein Vorname mit der Initiale des Nachnamens (zum Beispiel „Anna K.“), der Monat der Abreise und eine eventuelle Antwort des Anbieters. Dein Konto, deine E-Mail-Adresse und die Buchung sind öffentlich nicht erkennbar. Der Anbieter kann eine Bewertung melden; ob sie ausgeblendet wird, entscheidet das Plattform-Team und sieht dafür die Bewertung samt Meldegrund. Einmal nach der Abreise schicken wir dir eine Einladungsmail (abschaltbar). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine freiwillige Bewertung), Widerruf jederzeit durch Löschung auf Anfrage.

8. Rechnungen

Rechnungen stellt der Anbieter über die Plattform aus. Sie enthalten Name und Anschrift des Gastes, Zeitraum, Objekt und Beträge. Diese Angaben werden in die Rechnung kopiert und danach nicht mehr verändert, damit eine ausgestellte Rechnung immer zeigt, was zum Zeitpunkt der Ausstellung galt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14 UStG, § 147 AO und § 257 HGB. Ausgestellte Rechnungen müssen zehn Jahre aufbewahrt werden; in dieser Zeit können wir sie nicht löschen, nur sperren. Entwürfe, die nie ausgestellt wurden, werden gelöscht.

9. Daten von Anbietern

Für Anbieter, Verwalter und deren Mitarbeitende, die den Verwaltungsbereich nutzen, verarbeiten wir Name, E-Mail-Adresse, Passwort-Hash, Logo, Rechnungsanschrift, Umsatzsteuer-ID, die vereinbarte Provision sowie, ob das Konto vermietet, verwaltet oder beides. Name, Anschrift und Logo erscheinen auf den Rechnungen an Gäste, die Provision nicht.

Für die monatliche Provisionsabrechnung an Anbieter verarbeiten wir je beendetem, bestätigtem Aufenthalt das Objekt, An- und Abreisedatum, den vereinbarten Preis einschließlich Endreinigung, den Provisionssatz und den Provisionsbetrag - keine Namen oder Kontaktdaten von Gästen. Dazu kommen Zahlungsstand und Mahnstufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Anbieter), für die Aufbewahrung der Abrechnungen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB (zehn Jahre).

Erteilt ein Anbieter einem Verwalter oder dem Plattform-Support eine Freigabe, speichern wir, wer wem welches Objekt in welchem Umfang und bis wann angeboten hat, wer sie wann angenommen oder abgelehnt (samt einem freiwillig genannten Grund) und wer sie erteilt, widerrufen oder zurückgegeben hat. Ebenso halten wir fest, wann jemand in ein Team eingetreten, umgestuft oder ausgetreten ist und ob eine Einladung angenommen oder abgelehnt wurde; die Person sieht ihren eigenen Verlauf unter „Meine Mitgliedschaften“. Über jeden dieser Schritte informieren wir die Beteiligten per E-Mail und mit einer Meldung im Verwaltungsbereich; sie dient beiden Seiten als Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO). Zu jedem Support-Zugriff protokollieren wir Name des Bearbeiters, Beginn und Ende; der Anbieter sieht dieses Protokoll in seinem Konto. Als Verwalter registrierte Konten erscheinen mit ihrem Namen in der Auswahlliste, aus der Anbieter Verwalter auswählen. In den Übergabe-Checklisten der Objekte speichern wir, wer eine Aufgabe wann abgehakt und wer die Liste zuletzt zurückgesetzt hat; sehen können das alle, die das Objekt bearbeiten. Sperrt der Betreiber ein Konto, speichern wir Zeitpunkt und Grund; das Konto sieht beides. Schreibst du über das Hilfecenter das Support-Team an, speichern wir Betreff, Text, deinen Namen, das gewählte Konto und unsere Antwort; sie sind nur für dich und das Support-Team sichtbar. Textbausteine für den Chat (Chat-Vorlagen) gehören dem Konto und sind für dessen Team sichtbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Plattformvertrag) und für Abrechnungsdaten Art. 6 Abs. 1 lit. c DSGVO.

Reichen Anbieter oder Gäste (mit bestätigter E-Mail-Adresse) eine Idee, einen Bug oder eine Anpassung ein, speichern wir die Art (Vorschlag des Kontos und endgültige Einstufung des Betreibers), Titel, Beschreibung, den Namen der einreichenden Person, das Konto, die Entscheidung des Betreibers (samt einem genannten Grund) und - bei einer Freigabe und bei der Umsetzung - die Gutschrift auf der Provisionsabrechnung. Zur Planung übernimmt der Betreiber freigegebene Ideen ohne Konto- und Personenangabe in seine interne Aufgabenliste. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Teilnahme am Ideenprogramm, Gutschrift), für die Abrechnungsdaten Art. 6 Abs. 1 lit. c DSGVO.

Verbinden Anbieter ein Objekt mit einem Kalender-Portal, ruft unser Server stündlich den iCal-Link ab, den der Anbieter eingetragen hat, und übernimmt daraus nur die belegten Zeiträume als Sperrzeit. Namen, Beschreibungen und andere Angaben aus dem Kalender lesen und speichern wir nicht. Dabei sieht das Portal die IP-Adresse unseres Servers, keine Daten von Gästen. Umgekehrt kann der Anbieter einen geheimen Kalender-Link erzeugen, über den ein Portal die Belegung des Objekts („belegt“ von - bis, ohne Gäste, Preise und Gründe) abruft; das Portal erhält dabei nur diese Termine. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Plattformvertrag mit dem Anbieter).

10. Kartendarstellung (OpenStreetMap)

Auf der Such- und der Objektseite zeigen wir eine Karte. Die Kartenkacheln lädt dein Browser direkt von den Servern der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Dabei erhält die OpenStreetMap Foundation deine IP-Adresse, Browserangaben und den sichtbaren Kartenausschnitt. Andere Daten - etwa dein Konto oder deine Suchbegriffe - geben wir nicht weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO - unser berechtigtes Interesse, die Lage der Objekte anschaulich zu zeigen, ohne einen kommerziellen Kartendienst einzubinden. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Details: Datenschutzerklärung der OpenStreetMap Foundation.

Im Anbieter-Bereich können Anbieter die Lage eines Objekts auf einer Karte setzen. Die Kacheln lädt der Browser wie oben beschrieben von der OpenStreetMap Foundation. Außerdem gibt es ein Suchfeld: nur wenn der Anbieter auf „Suchen“ klickt, sendet sein Browser den eingegebenen Suchbegriff (zum Beispiel Ort oder Straße) samt IP-Adresse an den Suchdienst Nominatim der OpenStreetMap Foundation. Die genaue Markierung setzt der Anbieter selbst; wir speichern nur die Koordinaten am Objekt, nicht den Suchbegriff. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Plattformvertrag mit dem Anbieter).

11. Schriftarten

Auf den öffentlichen Seiten liefern wir die Schrift „Nunito“ von unserem eigenen Server aus; dabei wird keine Verbindung zu Dritten aufgebaut.

Im Verwaltungsbereich für Anbieter (/admin) wird die Schrift vom Dienst Bunny Fonts der BunnyWay d.o.o., Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien, geladen. Dabei erhält BunnyWay deine IP-Adresse; nach eigener Angabe speichert der Dienst keine personenbezogenen Daten und setzt keine Cookies. Die Verarbeitung findet in der EU statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (einheitliche, gut lesbare Darstellung).

12. Empfänger und Drittländer

Personenbezogene Daten erhalten nur:

• der Anbieter des Objekts, das du anfragst oder buchst (siehe Abschnitt 6–8),
• der Betreiber des Rechenzentrums, in dem unser Server steht (STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin) (Zugriff auf Inhalte nur im Störungsfall),
• unser E-Mail-Versanddienstleister als Auftragsverarbeiter (Microsoft Ireland Operations Limited (Microsoft 365)); ihm übergeben wir Empfängeradresse und Inhalt der Systemmails (Passwort-Zurücksetzen, Einladungen, Benachrichtigungen),
• die OpenStreetMap Foundation und BunnyWay im oben beschriebenen Umfang,
• Behörden, wenn wir gesetzlich dazu verpflichtet sind.

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Eine Übermittlung in Länder außerhalb der EU findet nur in das Vereinigte Königreich (OpenStreetMap) statt. Beim E-Mail-Versand kann Microsoft Daten im Rahmen von Wartung und Support auch in Ländern außerhalb der EU verarbeiten; dies ist durch den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework bzw. durch Standardvertragsklauseln abgesichert.

13. Speicherdauer

• Konto: bis du die Löschung verlangst.
• Anfragen, Buchungen und Nachrichten: solange das Konto besteht bzw. bis zum Ende der Verjährungsfrist für Ansprüche aus dem Mietvertrag (in der Regel drei Jahre zum Jahresende).
• Bewertungen: solange die Unterkunft besteht; auf Wunsch löschen wir sie früher.
• Ausgestellte Rechnungen: zehn Jahre ab Ende des Kalenderjahres der Ausstellung.
• Sitzungen: bis zum Ablauf, siehe Cookies.
• Server-Logs: höchstens 14 Tage.

14. Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht entgegensteht,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), etwa der Behörde deines Wohnorts oder der für unseren Sitz zuständigen.

Für alle Anliegen genügt eine formlose Nachricht an die in Abschnitt 1 genannte Adresse. Betrifft dein Anliegen Daten, die ein Anbieter in eigener Verantwortung verarbeitet, kannst du dich auch direkt an ihn wenden; wir leiten deine Anfrage auf Wunsch weiter.

15. Pflicht zur Angabe, automatisierte Entscheidungen

Du bist weder gesetzlich noch vertraglich verpflichtet, uns Daten zu geben. Ohne Name, E-Mail-Adresse und Reisedaten können wir aber kein Konto anlegen und keine Anfrage weiterleiten. Die Rechnungsanschrift ist bei der Anfrage freiwillig; der Anbieter kann sie für die Rechnung später nachfordern.

Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt. Ob eine Anfrage angenommen wird, entscheidet der Anbieter.