Datenschutzerklärung.

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Stuttgart Taxi FB GmbH
Austraße 107
70376 Stuttgart
Deutschland

Telefon: +49 152 2929 8484
E-Mail: info@flughafen-transfer-stuttgart.de
Geschäftsführer: Furkan Bakir

Datenschutzbeauftragter. Ein gesetzlich vorgeschriebener Datenschutzbeauftragter nach Art. 37 DSGVO / § 38 BDSG ist derzeit nicht erforderlich: Wir beschäftigen weniger als 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, und unsere Kerntätigkeit besteht nicht in einer umfangreichen, regelmäßigen Überwachung oder in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten. Für alle datenschutzbezogenen Anfragen erreichen Sie uns unter info@flughafen-transfer-stuttgart.de mit dem Betreff „Datenschutzanfrage“.

Wir erheben bewusst nur die Daten, die zur Erfüllung eines Festpreis-Beförderungsvertrags und zur Einhaltung der steuerlichen Aufbewahrungspflichten erforderlich sind. Die nachstehenden Kategorien entsprechen den Spalten der Tabelle bookings bei unserem Datenbank-Auftragsverarbeiter (siehe § 4) sowie den Zugriffsprotokollen unseres Hosting-Anbieters.

• Identitätsdaten: Vor- und Nachname.
• Kontaktdaten: E-Mail-Adresse, Mobilfunknummer.
• Buchungsdaten: Abhol- und Zieladresse (Straße, Ort und Postleitzahl, zusätzlich Längen-/Breitengrad zur Routenberechnung), Abholdatum und -uhrzeit (Europe/Berlin), Fahrzeugklasse (Standard / Van / Premium), Anzahl der Fahrgäste, Anzahl der Gepäckstücke, optionale Flugnummer, optionaler Hinweis an den Fahrer.
• B2B-/Rechnungsdaten (optional): Firmenname, deutsche oder EU-USt-IdNr., postalische Rechnungsanschrift.
• Zahlungsdaten: Wir sehen und speichern keine vollständigen Kartennummern. Stripe (siehe § 4) verarbeitet die Karte direkt; wir erhalten lediglich einen nicht sensiblen Auszug — Kartenmarke (z. B. „Visa“) und die letzten vier Ziffern — sowie die Stripe-PaymentIntent-ID, den autorisierten Betrag und den Einzugsstatus. Dieser Auszug ist nach PCI-DSS als nicht sensibel eingestuft und darf nach den Branchenstandards gespeichert werden.
• Buchungsstatusdaten: interne Zustandswerte des Statusautomaten (ausstehend, bestätigt, in Durchführung, abgeschlossen, storniert, Nichterscheinen), Zeitstempel, interne Dispositionsnotizen (nur für die Disposition sichtbar, niemals an den Kunden zurückgegeben).
• Stornierungs-Token: ein kryptografisch zufälliger Token von 24 Byte (192 Bit Entropie), der die Stornierung durch Gäste ohne Kundenkonto autorisiert. Der Token ist an eine einzelne Buchung gebunden und ohne die zugehörige Buchungs-ID nutzlos.
• Hotel-Attribution (B2B-Partner): Wenn Sie über einen Partnerhotel-Link mit einem Abfrageparameter wie ?hotel=marriott gekommen sind, wird die Partnerkennung zur Provisionsabrechnung bei der Buchung gespeichert. Es werden keine weiteren hotelseitigen Daten verarbeitet.
• Server-Zugriffsprotokolle: IP-Adresse (in gekürzter/gehashter Form für Analysezwecke; vollständig zur Sicherheitsüberwachung), User-Agent, Zeitstempel, angeforderte URL, HTTP-Status, Antwortgröße, Referer. Speicherung 7 Tage zur Betrugs- und Missbrauchserkennung.

Wir verarbeiten keine besonderen Kategorien personenbezogener Daten (Gesundheit, Religion, ethnische Herkunft, biometrische Daten) im Sinne des Art. 9 DSGVO. Wir nehmen kein Profiling vor und treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO.

Wir setzen die folgenden Auftragsverarbeiter auf Grundlage schriftlicher Vereinbarungen gemäß Art. 28 DSGVO ein. Jeder Auftragsverarbeiter ist verpflichtet, ausschließlich auf unsere Weisung zu handeln, dem Risiko angemessene technische und organisatorische Sicherheitsmaßnahmen anzuwenden und die Daten nach Beendigung zu löschen oder zurückzugeben.

Die gesamte primäre Datenverarbeitung findet in Rechenzentren in der EU/im EWR statt. Strukturelle Drittlandübermittlungen beschränken sich auf drei Auftragsverarbeiter und erfolgen nur auf den nachstehend genannten Rechtsgrundlagen:

• Stripe (Zahlung): Die Karte wird von der Stripe Payments Europe Ltd in Irland verarbeitet; die Stripe Inc. (USA) handelt als Unterauftragsverarbeiter für Betrugspräventionssignale und Support-Eskalationen. Erforderlich zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO.
• Microsoft Clarity (Analyse): Anonymisierte Interaktionsdaten werden an die Microsoft Corporation (USA) zur Sitzungsaufzeichnung und Heatmap-Analyse übermittelt. Wird nur nach Ihrer ausdrücklichen Einwilligung geladen gemäß Art. 6 Abs. 1 lit. a DSGVO — siehe § 7 unten für den Einwilligungsmechanismus.
• Google Analytics 4 (Analyse): Anonymisierte Seitenaufrufdaten werden an die Google LLC (USA) für aggregierte Website-Analysen übermittelt. Wird nur nach Ihrer ausdrücklichen Einwilligung geladen gemäß Art. 6 Abs. 1 lit. a DSGVO. Bis zur Erteilung der Einwilligung läuft GA4 im Modus „Consent Mode v2 Default-Deny“ von Google und sendet ausschließlich cookielose Ping-Ereignisse ohne Nutzerkennung.

Alle drei Übermittlungen sind durch eine mehrstufige Garantie geschützt:

• Die Stripe Inc., die Microsoft Corporation und die Google LLC sind sämtlich unter dem EU-US Data Privacy Framework (DPF) zertifiziert; die Europäische Kommission hat am 10. Juli 2023 einen Angemessenheitsbeschluss für das DPF erlassen (Durchführungsbeschluss (EU) 2023/1795).
• Jeder Auftragsverarbeiter unterhält zusätzlich Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO als Absicherung für den Fall, dass das DPF jemals für ungültig erklärt würde.
• Es besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Der vollständige Wortlaut ist abrufbar unter stripe.com/legal/dpa.

Kein weiterer Auftragsverarbeiter übermittelt Daten außerhalb der EU/des EWR mit Ausnahme von Nominatim (OpenStreetMap Foundation), dessen Betrieb im Vereinigten Königreich durch den erneuerten Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich vom 17. Dezember 2024 (Durchführungsbeschluss (EU) 2024/3300, der den ursprünglichen Angemessenheitsbeschluss vom 28. Juni 2021 ersetzt, welcher andernfalls am 27. Juni 2025 ausgelaufen wäre) abgedeckt ist.

• Buchungsunterlagen, Rechnungen, Zahlungsnachweise: 10 Jahre ab dem Ende des Kalenderjahres, in dem die Buchung abgeschlossen wurde (zwingend gemäß § 147 Abs. 1 AO und § 257 HGB), danach automatische Löschung.
• Stornierungs-Token: gelöscht bei Abschluss der Buchung oder 90 Tage nach der Abholung, je nachdem, was später eintritt.
• Server-Zugriffsprotokolle: 7 Tage, danach rotiert und überschrieben.
• Stripe-Daten: Stripe bewahrt Zahlungsunterlagen für den nach EU- und US-amerikanischem Finanzdienstleistungsrecht erforderlichen Zeitraum (in der Regel 7 Jahre) auf. Details siehe Datenschutzerklärung von Stripe.
• E-Mail-Korrespondenz: aufbewahrt, so lange der zugehörige Geschäftsvorgang offen ist, zuzüglich 6 Jahre (handelsrelevante Korrespondenz gemäß § 257 Abs. 1 Nr. 4 HGB).
• Microsoft-Clarity-/Google-Analytics-Daten: nur erhoben, sofern Sie eingewilligt haben — Clarity-Sitzungen werden 90 Tage gespeichert, GA4-Daten auf Nutzerebene 14 Monate (Standard). Aggregierte Berichte werden unbefristet aufbewahrt.

Hinweis zur Bezeichnung: § 25 des deutschen Cookie-Einwilligungsgesetzes wurde am 14. Mai 2024 mit Inkrafttreten des Digital-Services-Act-Pakets aus dem ehemaligen TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) in das umbenannte TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) überführt. Die inhaltliche Vorschrift ist unverändert.

Cookies und ähnliche Technologien zur Speicherung auf dem Endgerät fallen auf dieser Website in zwei Kategorien:

1. Unbedingt erforderlich — notwendig für die Funktion der Website (Buchungsformular, Zahlungs-Iframe, Spracheinstellung). Diese laufen ohne Einwilligung gemäß § 25 Abs. 2 Nr. 2 TDDDG.
2. Optionale Analyse — Microsoft Clarity und Google Analytics 4. Diese setzen Cookies und übermitteln Daten in die USA. Sie werden nur geladen, nachdem Sie ihnen aktiv zugestimmt haben in unserem Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO + § 25 Abs. 1 TDDDG). Bis zu Ihrer Zustimmung liest oder schreibt keines der Tools etwas über die cookielosen „Consent Mode v2 Default-Deny“-Pings von Google hinaus.

Widerruf der Einwilligung. Sie können Ihre Entscheidung jederzeit über den Link „Cookie-Einstellungen“ im Footer der Seite ändern. Der Widerruf wirkt für die Zukunft (Art. 7 Abs. 3 DSGVO) — er macht die während des Einwilligungszeitraums erfolgte Verarbeitung nicht ungültig, beendet jedoch die weitere Verarbeitung und löscht die Analyse-Cookies beim nächsten Seitenaufruf von Ihrem Endgerät.

Wenn Sie die Analyse im Banner ablehnen, werden weder Microsoft Clarity noch Google Analytics geladen; die Website verzichtet dann vollständig auf verhaltensbezogene Analyse. Sie können die Buchungsstrecke vollständig ohne jede Analyse-Einwilligung nutzen.

Wir setzen keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung Ihnen gegenüber im Sinne des Art. 22 DSGVO ein. Stripe führt im Schritt der Kartenautorisierung eine algorithmische Betrugserkennung durch; wird eine Transaktion aufgrund von Betrugssignalen abgelehnt, ziehen wir den Betrag nicht ein, verwenden dieses Signal aber auch nicht für eine Entscheidung, die über diesen einzelnen Versuch hinausgeht. Sie können jederzeit einen menschlichen Disponenten unter +49 152 2929 8484 erreichen, um die Buchung auf alternativem Weg abzuschließen.

Unser Dienst richtet sich an erwachsene Reisende. Wir bewerben unseren Dienst wissentlich nicht gegenüber Personen unter 16 Jahren, die unabhängig von einem Elternteil oder Erziehungsberechtigten handeln, und nehmen von solchen Personen keine Buchungen entgegen, im Einklang mit Art. 8 Abs. 1 DSGVO. Sollten Sie feststellen, dass uns ein Minderjähriger ohne nachweisbare Einwilligung der Eltern personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte, damit wir den Datensatz löschen können.

Sie haben die folgenden Rechte, die Sie kostenlos ausüben können:

• Auskunftsrecht — Art. 15 DSGVO.
• Recht auf Berichtigung — Art. 16 DSGVO.
• Recht auf Löschung („Recht auf Vergessenwerden“) — Art. 17 DSGVO, vorbehaltlich der gesetzlichen Aufbewahrungspflichten gemäß §§ 147 AO, 257 HGB.
• Recht auf Einschränkung der Verarbeitung — Art. 18 DSGVO.
• Recht auf Datenübertragbarkeit — Art. 20 DSGVO (maschinenlesbarer Export der von Ihnen bereitgestellten Daten).
• Widerspruchsrecht — Art. 21 DSGVO (insbesondere gegen eine auf berechtigten Interessen beruhende Verarbeitung).
• Recht auf Widerruf der Einwilligung — Art. 7 Abs. 3 DSGVO, soweit die Verarbeitung auf einer Einwilligung beruht (in unserem Fall gilt dies nur, wenn Sie gesondert in einen Marketingkanal einwilligen; die standardmäßigen Buchungsabläufe beruhen auf der Vertragserfüllung und erfordern keine Einwilligung).
• Recht auf Beschwerde bei einer Aufsichtsbehörde — Art. 77 DSGVO.

Richten Sie jede Anfrage zur Ausübung Ihrer Rechte an info@flughafen-transfer-stuttgart.de mit dem Betreff „Datenschutzanfrage“. Wir antworten innerhalb eines Monats gemäß Art. 12 Abs. 3 DSGVO; bei komplexen oder zahlreichen Anfragen können wir die Frist um weitere zwei Monate verlängern und werden Sie innerhalb des ursprünglichen Monats darüber informieren.

Sie können bei jeder Datenschutz-Aufsichtsbehörde in der EU/im EWR Beschwerde einlegen, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes (Art. 77 DSGVO). Die für uns zuständige Behörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Königstraße 10a
70173 Stuttgart, Deutschland

Telefon: +49 711 615541-0
E-Mail: poststelle@lfdi.bwl.de
Web: www.baden-wuerttemberg.datenschutz.de

Wir wenden dem Risiko angemessene technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO an:

• TLS-1.3-Verschlüsselung für alle Datenübertragungen (ausschließlich HTTPS, HSTS aktiviert).
• Verschlüsselte Datenbank mit AES-256-Verschlüsselung im Ruhezustand (von Supabase verwaltetes Postgres).
• Stornierungs-Token, erzeugt mit gen_random_bytes(24) (192 Bit Entropie) — kryptografisch nicht erratbar.
• Geheimnisse (Supabase-Service-Role, Stripe-Schlüssel, SMTP-Zugangsdaten) ausschließlich als Umgebungsvariablen auf dem Server gespeichert, niemals im Quellcode-Repository.
• Server in Frankfurt am Main (eu-central-1) und Karlsruhe / Nürnberg (Netcup), in ISO-27001-zertifizierten Rechenzentren.
• HTTP-Basic-Auth im Dispositions-Panel (/dispo) vor jeder Geschäftslogik; keine öffentlich erreichbaren Pfade.
• Fortlaufende Überwachung der Abhängigkeiten und Sicherheits-Patching der eingesetzten Node.js-, Next.js- und Postgres-Versionen.
• Prinzip der geringsten Rechte für Backend-Zugriffe — nur autorisierte Mitarbeiter verfügen über Dispositions-Zugangsdaten.

Wir können diese Erklärung anpassen, um Änderungen unserer Verarbeitung oder der gesetzlichen Anforderungen abzubilden. Die jeweils aktuelle Fassung ist stets abrufbar unter https://flughafen-transfer-stuttgart.de/datenschutz. Das Datum „Zuletzt geprüft“ am Seitenanfang gibt die letzte inhaltliche Änderung wieder. Soweit Änderungen betroffene Personen wesentlich betreffen, informieren wir Kunden mit aktiven Buchungen per E-Mail.