Datenschutzerklärung

Stand: 06.09.2026

Diese Erklärung informiert nach Art. 13 DSGVO darüber, welche personenbezogenen Daten wir bei der Nutzung der Online-Kleinbusvermietung unter kleinbusvermietung.dornburg-reisen.de verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange und wer sie erhält.

1. Verantwortlicher

Dornburg-Reisen GmbH & Co. KG
Im Eichwald 19
65599 Dornburg
Telefon: +49 (0)6436 / 910 910
E-Mail: info@dornburg-reisen.de
Vertreten durch: Julian Schmitz, Ulrike Schmitz, Bruno Heger-Schmitz

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt; eine Benennungspflicht nach Art. 37 DSGVO bzw. § 38 BDSG besteht nicht. Anfragen zum Datenschutz richten Sie bitte an die oben genannten Kontaktdaten.

3. Verarbeitungen im Einzelnen

3.1 Aufruf der Website (Server-Logfiles)

Daten: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Statuscode, Browser- und Betriebssystem-Kennung (User-Agent), Referrer.
Zweck: Auslieferung der Seite, Betriebssicherheit, Erkennung und Abwehr von Angriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb).
Speicherdauer: Die Logfiles werden vom Hoster erzeugt und dort 6 Monate aufbewahrt, danach automatisch gelöscht.

3.2 Buchung und Vertragsabwicklung

Daten: Anrede, Vor- und Nachname, ggf. Firma, Anschrift, E-Mail-Adresse, Telefonnummer, gewünschter Mietzeitraum, gebuchter Fahrzeugtyp, gebuchte Zusatzleistungen, Buchungsnummer, Preis- und Statusangaben.
Zweck: Prüfung der Verfügbarkeit, Abschluss und Durchführung des Mietvertrags, Kommunikation zur Buchung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen).
Erforderlichkeit: Ohne diese Angaben können wir keinen Mietvertrag schließen.

Freiwillig: Im Buchungsformular können Sie uns zusätzlich eine Nachricht hinterlassen (Freitext, z. B. abweichender Abholer oder besondere Wünsche). Die Angabe ist nicht erforderlich; ohne sie kommt der Mietvertrag genauso zustande. Sie dient allein der Vorbereitung der Übergabe (Art. 6 Abs. 1 lit. b DSGVO) und wird zusammen mit der Buchung gespeichert und gelöscht. Bitte geben Sie dort keine Gesundheitsdaten oder andere besonders sensiblen Angaben ein.

Zusätzlich bei Buchungen über diese Website: Wir speichern die IP-Adresse, von der die Buchung abgeschickt wurde, zusammen mit der Buchung.
Zweck: Missbrauchsvermeidung und Aufklärung. Eine Buchung mit Zahlung per Überweisung reserviert das Fahrzeug sofort und blockiert es bis zum Ablauf der Zahlungsfrist, ohne dass bereits eine Zahlung eingegangen ist. Ohne dieses Merkmal ließen sich mit erfundenen Angaben beliebig viele Fahrzeuge blockieren; wir begrenzen damit die Zahl gleichzeitig offener, unbezahlter Reservierungen je Anschluss und können einen Missbrauchsfall nachvollziehen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Verfügbarkeit unserer Fahrzeuge und am Schutz vor missbräuchlichen Reservierungen. Eine Auswertung zu Werbe- oder Profilbildungszwecken findet nicht statt; die Adresse wird nicht mit externen Datenquellen zusammengeführt.
Speicherdauer: zusammen mit der jeweiligen Buchung (siehe Ziffer 7). Bei Buchungen, die eine Mitarbeiterin oder ein Mitarbeiter telefonisch im System anlegt, wird keine IP-Adresse gespeichert.

3.3 Fahrerdaten und Führerscheinprüfung

Daten: Name, Vorname und Geburtsdatum der eingetragenen Fahrer; bei der Übergabe zusätzlich Führerscheinnummer, Führerscheinklasse und Gültigkeitsdatum sowie der Zeitpunkt der Prüfung.
Zweck: Nachweis, dass das Fahrzeug nur berechtigten Personen überlassen wird; Erfüllung der Halterpflichten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Mietvertrags) sowie Art. 6 Abs. 1 lit. c i. V. m. § 21 Abs. 1 Nr. 2 StVG (gesetzliches Verbot, das Führen eines Fahrzeugs durch Unberechtigte anzuordnen oder zuzulassen) und ergänzend Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beweisbarkeit der erfolgten Prüfung).
Umfang der Prüfung: Der Führerschein wird bei der Übergabe ausschließlich in Augenschein genommen. Es wird keine Kopie, kein Scan und kein Foto des Führerscheins angefertigt oder gespeichert — erfasst werden nur Nummer, Klasse und Gültigkeitsdatum sowie das Prüfdatum.

3.4 Zahlungsabwicklung

Daten: Zahlungsart, Zahlungsstatus, Betrag, Buchungs- und Rechnungsnummer; bei Überweisung zusätzlich Name des Kontoinhabers, IBAN und Verwendungszweck aus dem Kontoumsatz; bei Kartenzahlung die von Stripe vergebenen Vorgangskennungen (Session- und Payment-Intent-ID) sowie das Ablaufdatum einer Kautionsreservierung.
Keine Kartendaten bei uns: Kartennummer, Ablaufdatum und Prüfziffer werden ausschließlich bei Stripe eingegeben und verarbeitet. Diese Daten erreichen unsere Server zu keinem Zeitpunkt.
Zweck: Einzug und Zuordnung von Zahlungen, Kautionsabwicklung, Erstattungen, Buchhaltung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten).

3.5 Übergabe- und Rückgabeprotokoll

Daten: Kilometerstand, Tankstand, Bemerkungen, Fotos des Fahrzeugs (Außenrundgang, Schadstellen, Tacho, Tank, Innenraum), Unterschrift des Kunden und der Mitarbeiterin bzw. des Mitarbeiters sowie ein technischer Zeitstempel, eine Gerätekennung und eine Prüfsumme des Protokollinhalts.
Zweck: Beweissichere Dokumentation des Fahrzeugzustands bei Übergabe und Rückgabe; Grundlage für die Abrechnung von Mehrkilometern, Betankung, Reinigung und Schäden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Mietvertrags) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beweissicherung).
Fotografiert wird das Fahrzeug, nicht die Person. Die Fotos dienen der Zustandsdokumentation. Mitarbeitende sind angewiesen, Personen nicht abzubilden; kommt es unvermeidbar zu einer Abbildung, wird das Foto ersetzt.

3.6 E-Mail-Versand

Daten: E-Mail-Adresse, Betreff, Inhalt der Nachricht, Zeitpunkt und Versandstatus (Protokollierung im System).
Zweck: Buchungsbestätigung, Zahlungsinformation und -erinnerung, Abholinformation, Kautionslink, Rechnungsversand, Protokollversand sowie interne Benachrichtigungen an das Büro.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für Erinnerungen ergänzend Art. 6 Abs. 1 lit. f DSGVO. Es findet kein Newsletter- oder Werbeversand statt.

3.7 Rechnungsstellung

Daten: Rechnungsanschrift, Rechnungsnummer, Positionen, Beträge, Leistungszeitraum, Zahlungsstatus.
Zweck: Erstellung, Versand und Aufbewahrung von Rechnungen als elektronische Rechnung (Factur-X/ZUGFeRD) sowie Übermittlung an die Steuerkanzlei.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 14 UStG, § 147 AO, § 257 HGB.

3.8 Admin-Bereich (Mitarbeitende)

Daten: Benutzername, Name, dienstliche E-Mail-Adresse, Passwort-Hash, Zeitpunkt des letzten Logins; bei fehlgeschlagenen Anmeldungen zusätzlich IP-Adresse und Zeitpunkt.
Zweck: Zugangskontrolle und Schutz vor automatisierten Anmeldeversuchen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit), § 26 BDSG (Beschäftigungsverhältnis).
Speicherdauer: Fehlversuche werden nach 24 Stunden automatisch gelöscht.

4. Cookies und Reichweitenmessung

Mit Ihrer freiwilligen Einwilligung verwenden wir Matomo zur Reichweitenmessung und zur anonymisierten Auswertung des Buchungsablaufs. Matomo wird auf unserem eigenen Server unter dornburg-reisen.de/matomo betrieben; Analyseinformationen werden nicht an Werbenetzwerke weitergegeben. Vor Ihrer Zustimmung wird Matomo nicht geladen und es findet keine Reichweitenmessung statt. Rechtsgrundlage ist § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Ihre Auswahl können Sie jederzeit über die Schaltfläche „Datenschutz-Einstellungen“ am unteren Seitenrand ändern.

Ihre Entscheidung merken wir uns im Cookie kb_matomo_consent (Laufzeit 12 Monate, nur auf dieser Domain) — auch eine Ablehnung, damit die Abfrage nicht bei jedem Aufruf erneut erscheint. Rechtsgrundlage dafür ist § 25 Abs. 2 Nr. 2 TDDDG.

Wenn Statistik erlaubt wurde, setzt Matomo eigene Analyse-Cookies (_pk_id, _pk_ses) ausschließlich auf der Domain kleinbusvermietung.dornburg-reisen.de — nicht für die übrige Website von Dornburg Reisen. Blockiert der Browser diese Cookies, arbeitet Matomo nach der erteilten Zustimmung ersatzweise ohne Analyse-Cookies. Die IP-Adresse wird in der Matomo-Instanz vor der Speicherung um zwei Bytes gekürzt. Übertragen werden nur Seitenpfade ohne Parameter: Buchungsnummer, Zugangs-Token und Zahlungs-Sitzungskennungen bleiben im Browser. Für die Auswertung abgeschlossener Buchungen erhält Matomo an Stelle der Buchungsnummer ein Pseudonym, das sich ohne den Schlüssel dieser Anwendung nicht auf die Buchung zurückführen lässt; eine Benutzerkennung wird nicht übermittelt.

Ohne Ihre Einwilligung wird — neben dem genannten Einwilligungs-Cookie — ausschließlich ein technisch notwendiges Session-Cookie (Name KBVERMIETUNG_SID) gesetzt. Es enthält nur eine zufällige Sitzungs-ID und wird gebraucht, um den Buchungsvorgang über mehrere Schritte hinweg zusammenzuhalten und um eine Admin-Anmeldung aufrechtzuerhalten. Das Cookie ist mit den Attributen HttpOnly, Secure und SameSite=Strict gesetzt und verfällt spätestens nach vier Stunden bzw. beim Schließen der Sitzung.
Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) i. V. m. Art. 6 Abs. 1 lit. b und f DSGVO.

Wird die Online-Zahlung genutzt, setzt Stripe auf seiner eigenen Bezahlseite eigene Cookies zur Betrugsprävention. Diese Verarbeitung findet auf der Stripe-Domain statt und unterliegt der Datenschutzerklärung von Stripe.

5. Schriftarten

Die verwendete Schriftart „PT Sans" wird lokal von unserem eigenen Server ausgeliefert. Beim Aufruf unserer Seiten wird keine Verbindung zu Servern von Google oder anderen Schriftarten-Anbietern aufgebaut; es werden dabei keine Daten an Dritte übertragen.

6. Empfänger und Auftragsverarbeiter

Innerhalb des Unternehmens erhalten nur die Mitarbeitenden Zugriff, die ihn zur Abwicklung der Vermietung benötigen. Darüber hinaus werden Daten an folgende Stellen übermittelt:

• ALL-INKL.COM – Neue Medien Münnich (Friedrichroda, Deutschland) — Hosting von Website, Anwendung und Datenbank. Auftragsverarbeitung nach Art. 28 DSGVO auf Grundlage des geschlossenen Auftragsverarbeitungsvertrags, Serverstandort Deutschland.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Zahlungsabwicklung und Kautionsverwaltung bei Kartenzahlung. Stripe verarbeitet Zahlungsdaten teils eigenverantwortlich (als Zahlungsdienstleister mit eigenen aufsichtsrechtlichen Pflichten), teils als Auftragsverarbeiter. Weitere Informationen: stripe.com/de/privacy.
• Microsoft Ireland Operations Ltd. (Dublin, Irland) — Microsoft 365 / Microsoft Graph für Postfächer und den Versand aller System-E-Mails. Auftragsverarbeitung nach Art. 28 DSGVO auf Basis der Microsoft Data Protection Addendum.
• Commerzbank AG — Zahlungsverkehr und Bereitstellung der Kontoumsätze für den Abgleich von Vorkasse-Überweisungen. Die Bank handelt insoweit als eigenständig Verantwortliche.
• Steuerberatung / DATEV eG — Übermittlung der Rechnungen zur Buchführung und Erfüllung steuerlicher Pflichten. Grundlage: Art. 6 Abs. 1 lit. c DSGVO.
• Interner Dienstplan (Deltaplan) — Zur Abstimmung der Fahrzeugbelegung wird der eigene Dienstplan-Server mit Buchungsdaten abgeglichen. Übertragen wird dabei bewusst nur der Nachname des Mieters, kein Vorname, keine Anschrift, keine Kontaktdaten. Der Server steht in den eigenen Räumen; eine Übermittlung an Dritte findet nicht statt.

Eine Drittlandübermittlung kann im Rahmen der Microsoft- und Stripe-Nutzung stattfinden. Beide Anbieter stützen sich hierfür auf das EU-US Data Privacy Framework und ergänzend auf EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Über die genannten Stellen hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (etwa Auskunft über den Fahrer gegenüber Bußgeldbehörden, § 31a StVZO) oder wenn es zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Versicherer, Rechtsanwälte, Inkasso).

7. Speicherdauer

• Buchungs-, Vertrags- und Rechnungsdaten: 10 Jahre nach Ablauf des Kalenderjahres, in dem der Vertrag abgewickelt wurde (§ 147 Abs. 1 AO, § 257 Abs. 4 HGB).
• Fotos und Unterschriften aus den Übergabe-/Rückgabeprotokollen: 24 Monate nach Mietende; die Löschung erfolgt automatisch durch einen nächtlichen Programmlauf. Gelöscht werden dabei sowohl die einzelnen Bilddateien als auch die Fotoanlage zum Protokoll (das PDF, in dem die Aufnahmen zusammengestellt sind) sowie die Unterschriften-Dateien. Ist zu der Anmietung ein Schadensfall offen, bleiben sie bis zu dessen Abschluss erhalten und werden erst danach gelöscht.
• Das Vertragsprotokoll selbst (unterschriebenes PDF mit Kilometerstand, Tankstand und Zustandsvermerken) ist Vertragsunterlage und wird wie die Buchungs- und Rechnungsdaten aufbewahrt, siehe erster Punkt. Es enthält keine Fotos: Schäden sind dort nur in Textform beschrieben, die Aufnahmen liegen ausschließlich in der oben genannten Fotoanlage und unterliegen deren kürzerer Frist.
• Führerscheindaten (Nummer, Klasse, Gültigkeit, Prüfdatum): zusammen mit dem zugehörigen Protokoll, siehe voriger Punkt.
• Nicht zustande gekommene Buchungen (Reservierung verfallen, Zahlung nicht eingegangen): Name, Kontakt- und Fahrerdaten werden 90 Tage nach dem Verfall automatisch anonymisiert, sofern zu dem Vorgang kein Zahlungsfluss und keine Rechnung existiert (sonst gelten die steuerlichen Aufbewahrungsfristen, siehe erster Punkt).
• Bank-Rohdaten (importierte Kontoumsätze zum Zahlungsabgleich): 10 Jahre, da sie Buchungsbelege im Sinne der AO darstellen.
• E-Mail-Protokoll (Empfänger, Betreff, Status, Fehlertext — ohne Inhalt der Nachricht): 24 Monate zur Nachvollziehbarkeit des Versands; die Löschung erfolgt automatisch durch denselben nächtlichen Programmlauf.
• Admin-Anmeldeversuche: 24 Stunden (automatische Löschung).

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht, soweit ihrer Löschung keine gesetzliche Aufbewahrungspflicht und keine Erforderlichkeit zur Geltendmachung oder Abwehr von Rechtsansprüchen entgegensteht.

8. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17) — soweit keine Aufbewahrungspflicht besteht
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21) — aus Gründen, die sich aus Ihrer besonderen Situation ergeben

Zur Ausübung genügt eine formlose Nachricht an info@dornburg-reisen.de.

Beschwerderecht: Sie können sich unabhängig davon bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

9. Pflicht zur Bereitstellung

Die Angabe von Kontakt-, Anschrift- und Fahrerdaten ist zum Abschluss und zur Durchführung des Mietvertrags erforderlich. Ohne diese Angaben können wir keine Buchung annehmen und kein Fahrzeug übergeben. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht — die Angaben sind allein vertraglich erforderlich.

10. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Insbesondere führen wir keine Bonitäts- oder Betrugsscorings durch. Die Prüfung, ob ein Fahrzeug übergeben wird, trifft in jedem Einzelfall ein Mensch.

11. Datensicherheit

Die Anwendung wird ausschließlich über eine TLS-verschlüsselte Verbindung (HTTPS) betrieben. Der Verwaltungsbereich ist passwortgeschützt; Passwörter werden nur als bcrypt-Hash gespeichert und sind auch für uns nicht lesbar. Wiederholte Fehlanmeldungen werden gebremst. Protokoll-Fotos, Unterschriften und Rechnungen liegen in Verzeichnissen, die vom Webserver für den direkten Abruf gesperrt sind; sie werden ausschließlich nach Anmeldung über eine geprüfte Schnittstelle ausgeliefert. Zahlungsdaten werden nicht auf unseren Servern gespeichert, sondern beim PCI-DSS-zertifizierten Zahlungsdienstleister verarbeitet.

12. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung; das Datum steht oben.