Working draft for legal review. This English text is a courtesy translation; the legally binding version is the German “Datenschutzerklärung”. Items marked “[Counsel]” must be confirmed before publication.
1. Controller
The controller responsible for data processing on this website is:
Edelweiss Oberstdorf GmbH & Co. KG
Beethovenstraße 16, 87435 Kempten, Germany
Phone: +49 171 8636085
Email: info@edelweiss.de
[Counsel] A data protection officer (DPO) is named here only if one is legally required. Please advise whether a DPO must be appointed and, if so, add their contact details.
2. General information and legal bases
We process personal data only where permitted by law. Depending on the case, the legal basis is your consent (Art. 6 (1) (a) GDPR), the performance of a contract or pre-contractual measures (Art. 6 (1) (b) GDPR), a legal obligation (Art. 6 (1) (c) GDPR), or our legitimate interests in the secure and efficient operation of this website (Art. 6 (1) (f) GDPR). The specific basis is stated in each section below.
3. Hosting
This website is hosted by an external service provider (processor). The provider processes data transmitted through the website — in particular technical access data (see “Server log files”) — on our behalf and on the basis of our legitimate interest in a reliable, secure online presence (Art. 6 (1) (f) GDPR) and a data processing agreement (Art. 28 GDPR).
[Counsel] The site is being migrated to Cloudflare Pages (Cloudflare, Inc., USA). Please confirm the final host and conclude the data processing agreement. Cloudflare provides standard contractual clauses and is certified under the EU–US Data Privacy Framework; this should be referenced for the international transfer (see section 15).
4. Server log files
When you visit our website, the hosting provider automatically collects and stores information in server log files that your browser transmits. This may include: the IP address, date and time of the request, the page or file requested, the referrer URL, your browser type and version, and your operating system. This data is not merged with other data sources and is processed on the basis of Art. 6 (1) (f) GDPR for the purpose of a secure, stable and functional website. The data is deleted as soon as it is no longer required for these purposes.
[Counsel] Confirm Turnstile remains in use and link to Cloudflare’s privacy policy. Please confirm whether prior consent under § 25 TDDDG is required, or whether storage/access on the device is strictly necessary for the security function.
6. Contact form
If you use our contact form, we process the data you enter — your email address, name, optionally your telephone number, and your message — in order to respond to your enquiry. Submission requires your explicit consent via the checkbox provided and is protected against automated abuse by Cloudflare Turnstile. The enquiry is received by our hosting provider Cloudflare and transmitted to our mailbox by the email service Resend (Resend, Inc., USA); both act as processors on our behalf under a data processing agreement (Art. 28 GDPR). The legal basis is your consent (Art. 6 (1) (a) GDPR) and, where the enquiry relates to a contract, Art. 6 (1) (b) GDPR. You may withdraw your consent at any time with effect for the future. As this involves processing in the USA, the safeguards described in section 15 apply. We retain the data until your request has been dealt with, after which it is deleted unless statutory retention periods apply.
[Counsel] The contact form is delivered via a Cloudflare Pages Function and the email service Resend (Resend, Inc., USA); Cloudflare Turnstile is used for spam protection. Please conclude a data processing agreement with Resend (and confirm the existing one with Cloudflare), confirm the US transfer mechanism (EU-US Data Privacy Framework / Standard Contractual Clauses, see section 15), and confirm the retention period.
7. Contact by email or telephone
If you contact us by email or telephone, your details will be processed for the purpose of handling your request. The legal basis is Art. 6 (1) (b) GDPR where the request relates to a contract, otherwise our legitimate interest in responding to enquiries (Art. 6 (1) (f) GDPR). This data is deleted once it is no longer required and no statutory retention obligations prevent deletion.
8. Bookings via Arbio
Reservations are not processed on this website. Our “Book now” buttons link to the external booking platform Arbio, which opens in a new tab. As soon as you follow such a link, you leave our website and any data you provide there (including booking and payment data) is processed by the operator of that platform as an independent controller under its own privacy policy. We have no influence over that processing.
[Counsel] Please confirm Arbio’s legal entity and insert a link to Arbio’s own privacy policy. Confirm that Arbio acts as an independent controller (as instructed) rather than as our processor.
9. Local storage (language preference)
To remember your selected language, we store a single value (“edelweiss-lang”) in your browser’s local storage. This is strictly necessary for the basic functionality you requested and does not involve tracking or transfer to third parties (§ 25 (2) TDDDG). It remains on your device until you clear your browser storage.
10. Cookies
We do not use tracking, analytics or advertising cookies. We do not run web-analytics software, and we do not embed advertising or social-media tracking pixels. Only the strictly necessary local storage described in section 9 is used.
[Counsel] This reflects the current build. If web analytics, embedded maps, or social/marketing tools are added later, a consent-management solution (cookie banner) will likely be required and this section must be updated.
11. Google Maps (link only)
We do not embed Google Maps on our pages. Our “Directions” function is a simple link that opens Google Maps in a new tab. No Google scripts, cookies or data transfers occur on our website until you choose to follow that link; from that point, Google’s own privacy policy applies.
12. Fonts and external resources
Fonts are hosted locally on our own server and are not loaded from external font services (such as Google Fonts), so no connection to third-party font servers is established when you visit our site. The JavaScript libraries used for animations and image sliders are also served from our own domain rather than from a third-party content delivery network.
13. Your rights
Under the GDPR, you have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20), and to object to processing (Art. 21). Where processing is based on consent, you may withdraw that consent at any time with effect for the future. To exercise your rights, please contact us using the details in section 1.
14. Right to lodge a complaint
You have the right to lodge a complaint with a supervisory authority. The authority responsible for the controller is:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach, Germany
15. International data transfers
Some of the service providers named above are based in, or may process data in, the United States. Where personal data is transferred to a third country, this is safeguarded by an adequacy decision, the EU Standard Contractual Clauses, and/or the recipient’s certification under the EU–US Data Privacy Framework.
16. Data security
This website uses TLS/SSL encryption for transmission, recognisable by “https://” and the padlock symbol in your browser, to protect the confidentiality of the data you transmit to us.
17. Changes to this privacy policy
We may update this privacy policy to reflect changes to our website or to legal requirements. The version published here applies to your current visit.
Arbeitsentwurf zur rechtlichen Prüfung. Die deutsche Fassung ist rechtlich verbindlich. Mit „[Anwalt]“ markierte Punkte sind vor der Veröffentlichung zu bestätigen.
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Edelweiss Oberstdorf GmbH & Co. KG
Beethovenstraße 16, 87435 Kempten, Deutschland
Telefon: +49 171 8636085
E-Mail: info@edelweiss.de
[Anwalt] Ein Datenschutzbeauftragter wird nur benannt, sofern gesetzlich erforderlich. Bitte mitteilen, ob ein DSB zu bestellen ist, und ggf. Kontaktdaten ergänzen.
2. Allgemeines und Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten nur im gesetzlich zulässigen Rahmen. Rechtsgrundlage ist je nach Fall Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) oder unser berechtigtes Interesse am sicheren und effizienten Betrieb dieser Website (Art. 6 Abs. 1 lit. f DSGVO). Die jeweils einschlägige Grundlage ist in den nachstehenden Abschnitten genannt.
3. Hosting
Diese Website wird bei einem externen Dienstleister (Auftragsverarbeiter) gehostet. Der Anbieter verarbeitet die über die Website übermittelten Daten — insbesondere technische Zugriffsdaten (siehe „Server-Logfiles“) — in unserem Auftrag und auf Grundlage unseres berechtigten Interesses an einer zuverlässigen und sicheren Bereitstellung unseres Onlineangebots (Art. 6 Abs. 1 lit. f DSGVO) sowie eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).
[Anwalt] Die Website wird zu Cloudflare Pages (Cloudflare, Inc., USA) migriert. Bitte den finalen Hoster bestätigen und den Auftragsverarbeitungsvertrag abschließen. Cloudflare stellt Standardvertragsklauseln bereit und ist unter dem EU-US Data Privacy Framework zertifiziert; hierauf ist für die Drittlandübermittlung zu verweisen (siehe Abschnitt 15).
4. Server-Logfiles
Beim Besuch unserer Website erhebt und speichert der Hosting-Anbieter automatisch Informationen in sogenannten Server-Logfiles, die Ihr Browser übermittelt. Dies können sein: die IP-Adresse, Datum und Uhrzeit der Anfrage, die angeforderte Seite bzw. Datei, die Referrer-URL, Browsertyp und -version sowie Ihr Betriebssystem. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zum Zweck einer sicheren, stabilen und funktionsfähigen Website verarbeitet. Die Daten werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind.
[Anwalt] Einsatz von Turnstile bestätigen und auf die Datenschutzerklärung von Cloudflare verlinken. Bitte prüfen, ob eine vorherige Einwilligung nach § 25 TDDDG erforderlich ist oder ob der Zugriff auf das Endgerät für die Sicherheitsfunktion unbedingt erforderlich ist.
6. Kontaktformular
Wenn Sie unser Kontaktformular nutzen, verarbeiten wir die von Ihnen eingegebenen Daten — Ihre E-Mail-Adresse, Ihren Namen, optional Ihre Telefonnummer sowie Ihre Nachricht — zur Beantwortung Ihrer Anfrage. Der Versand setzt Ihre ausdrückliche Einwilligung über das vorgesehene Kontrollkästchen voraus und ist durch Cloudflare Turnstile gegen automatisierten Missbrauch geschützt. Die Anfrage wird von unserem Hosting-Anbieter Cloudflare entgegengenommen und über den E-Mail-Dienst Resend (Resend, Inc., USA) an unser Postfach übermittelt; beide handeln als Auftragsverarbeiter in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie, sofern die Anfrage einen Vertrag betrifft, Art. 6 Abs. 1 lit. b DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Da hiermit eine Verarbeitung in den USA verbunden ist, gelten die in Abschnitt 15 beschriebenen Garantien. Wir speichern die Daten, bis Ihr Anliegen bearbeitet ist; danach werden sie gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
[Anwalt] Das Kontaktformular wird über eine Cloudflare Pages Function und den E-Mail-Dienst Resend (Resend, Inc., USA) versendet; zur Spam-Abwehr wird Cloudflare Turnstile eingesetzt. Bitte einen Auftragsverarbeitungsvertrag mit Resend abschließen (und den bestehenden mit Cloudflare bestätigen), den Mechanismus der USA-Übermittlung bestätigen (EU-US Data Privacy Framework / Standardvertragsklauseln, siehe Abschnitt 15) sowie die Speicherdauer bestätigen.
7. Kontaktaufnahme per E-Mail oder Telefon
Wenn Sie uns per E-Mail oder Telefon kontaktieren, werden Ihre Angaben zur Bearbeitung Ihres Anliegens verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage einen Vertrag betrifft, ansonsten unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Diese Daten werden gelöscht, sobald sie nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
8. Buchungen über Arbio
Reservierungen werden nicht auf dieser Website verarbeitet. Unsere „Jetzt buchen“-Schaltflächen verweisen auf die externe Buchungsplattform Arbio und öffnen sich in einem neuen Tab. Sobald Sie einem solchen Link folgen, verlassen Sie unsere Website; die dort von Ihnen angegebenen Daten (einschließlich Buchungs- und Zahlungsdaten) werden vom Betreiber dieser Plattform als eigenständig Verantwortlicher nach dessen eigener Datenschutzerklärung verarbeitet. Auf diese Verarbeitung haben wir keinen Einfluss.
[Anwalt] Bitte die juristische Einheit von Arbio bestätigen und einen Link zur Datenschutzerklärung von Arbio einfügen. Bestätigen, dass Arbio — wie angewiesen — als eigenständig Verantwortlicher und nicht als Auftragsverarbeiter handelt.
9. Lokaler Speicher (Spracheinstellung)
Um Ihre gewählte Sprache zu speichern, legen wir einen einzigen Wert („edelweiss-lang“) im lokalen Speicher Ihres Browsers ab. Dies ist für die von Ihnen gewünschte Grundfunktion unbedingt erforderlich und umfasst keine Nachverfolgung und keine Übermittlung an Dritte (§ 25 Abs. 2 TDDDG). Der Wert verbleibt auf Ihrem Gerät, bis Sie den Browser-Speicher löschen.
10. Cookies
Wir verwenden keine Tracking-, Analyse- oder Werbe-Cookies. Wir setzen keine Webanalyse-Software ein und binden keine Werbe- oder Social-Media-Tracking-Pixel ein. Es wird ausschließlich der in Abschnitt 9 beschriebene, unbedingt erforderliche lokale Speicher genutzt.
[Anwalt] Dies entspricht dem aktuellen Stand. Falls später Webanalyse, eingebettete Karten oder Social-/Marketing-Tools hinzukommen, ist voraussichtlich eine Einwilligungslösung (Cookie-Banner) erforderlich und dieser Abschnitt anzupassen.
11. Google Maps (nur Verlinkung)
Wir binden Google Maps nicht auf unseren Seiten ein. Unsere „Anfahrt“-Funktion ist ein einfacher Link, der Google Maps in einem neuen Tab öffnet. Auf unserer Website werden keine Google-Skripte geladen, keine Cookies gesetzt und keine Daten übertragen, solange Sie diesem Link nicht folgen; ab diesem Zeitpunkt gilt die Datenschutzerklärung von Google.
12. Schriftarten und externe Ressourcen
Schriftarten werden lokal auf unserem eigenen Server gehostet und nicht von externen Schriftdiensten (etwa Google Fonts) geladen; beim Besuch unserer Seite wird daher keine Verbindung zu Schriftservern Dritter hergestellt. Auch die für Animationen und Bildslider verwendeten JavaScript-Bibliotheken werden von unserer eigenen Domain und nicht über ein Content-Delivery-Netzwerk Dritter ausgeliefert.
13. Ihre Rechte
Nach der DSGVO haben Sie das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie auf Widerspruch gegen die Verarbeitung (Art. 21). Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung Ihrer Rechte wenden Sie sich bitte an die in Abschnitt 1 genannten Kontaktdaten.
14. Beschwerderecht bei der Aufsichtsbehörde
Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Die für den Verantwortlichen zuständige Behörde ist:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach, Deutschland
15. Datenübermittlung in Drittländer
Einige der oben genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort. Soweit personenbezogene Daten in ein Drittland übermittelt werden, ist dies durch einen Angemessenheitsbeschluss, die EU-Standardvertragsklauseln und/oder die Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework abgesichert.
16. Datensicherheit
Diese Website nutzt eine TLS/SSL-Verschlüsselung für die Übertragung, erkennbar an „https://“ und dem Schloss-Symbol in Ihrem Browser, um die Vertraulichkeit der von Ihnen übermittelten Daten zu schützen.
17. Änderungen dieser Datenschutzerklärung
Wir können diese Datenschutzerklärung anpassen, um Änderungen unserer Website oder gesetzlicher Vorgaben Rechnung zu tragen. Es gilt die jeweils hier veröffentlichte Fassung für Ihren aktuellen Besuch.
