Datenschutzerklärung.

Zwei Gesellschaften sind Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO, jede für ihre eigene Verarbeitung:

Verantwortlicher für den Betrieb dieser Website — Hosting, Server-Protokolle, Cookie-Banner und Analyse (§ 3, § 7):

Medikant GmbH i.G.
Hausweinberg 127
71334 Waiblingen
Deutschland

Telefon: +49 152 2929 8484
E-Mail: kontakt@flughafentransfer-stuttgart.de
Geschäftsführer: Furkan Bakir

Verantwortlicher für Preisanfrage, Buchung, Zahlung, E-Mails, Stornierung, Rechnung, Disposition und Anfragen — Ihre Vertragspartnerin (siehe § 1 der AGB):

Stuttgart Taxi FB GmbH
Austraße 107
70376 Stuttgart
Deutschland

Telefon: +49 152 2929 8484
E-Mail: kontakt@flughafentransfer-stuttgart.de
Geschäftsführer: Furkan Bakir

Die beiden Gesellschaften sind getrennt Verantwortliche. Soweit sie Daten gemeinsam verarbeiten, ist das Wesentliche ihrer Vereinbarung auf Anfrage über die oben genannten Kontaktdaten erhältlich. „Wir“ bezeichnet in dieser Erklärung jeweils den für die Verarbeitung Verantwortlichen.

Datenschutzbeauftragter. Ein gesetzlich vorgeschriebener Datenschutzbeauftragter nach Art. 37 DSGVO / § 38 BDSG ist derzeit nicht erforderlich: Jede der beiden Gesellschaften beschäftigt weniger als 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, und unsere Kerntätigkeit besteht nicht in einer umfangreichen, regelmäßigen Überwachung oder in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten. Für alle datenschutzbezogenen Anfragen erreichen Sie uns unter kontakt@flughafentransfer-stuttgart.de mit dem Betreff „Datenschutzanfrage“.

Wir erheben bewusst nur die Daten, die zur Erfüllung eines Festpreis-Beförderungsvertrags und zur Einhaltung der steuerlichen Aufbewahrungspflichten erforderlich sind. Die nachstehenden Kategorien entsprechen den Spalten der Tabelle bookings bei unserem Datenbank-Auftragsverarbeiter (siehe § 4) sowie den Zugriffsprotokollen unseres Hosting-Anbieters.

• Identitätsdaten: Vor- und Nachname.
• Kontaktdaten: E-Mail-Adresse, Mobilfunknummer.
• Buchungsdaten: Abhol- und Zieladresse (Straße, Ort und Postleitzahl, zusätzlich Längen-/Breitengrad zur Routenberechnung), Abholdatum und -uhrzeit (Europe/Berlin), Fahrzeugklasse (Standard / Van / Premium), Anzahl der Fahrgäste, Anzahl der Gepäckstücke, optionale Flugnummer und Terminal, optionaler Hinweis an den Fahrer. Koordinaten, die wir von der Google Maps Platform erhalten, löschen wir nach 29 Tagen; die Orts-Kennung bleibt, damit die Adresse erneut aufgelöst werden kann.
• B2B-/Rechnungsdaten (optional): Firmenname, deutsche oder EU-USt-IdNr., postalische Rechnungsanschrift.
• Kundenstammdaten (Disposition, optional): Für Stammkunden kann unsere Disposition Stammadressen, eine Telefonnummer, Firmen- und Rechnungsdaten (USt-IdNr., Rechnungsanschrift, Kostenstelle, Sammelrechnung) und eine kurze interne Dispositionsnotiz hinterlegen, damit eine neue Fahrt weniger Eingaben braucht. Das ist kein Kundenkonto und hat keinen Login. Der Datensatz wird zusammen mit der Anonymisierung der letzten Buchung gelöscht, spätestens drei Jahre nach der letzten Fahrt (siehe § 6).
• Zahlungsdaten: Wir sehen und speichern keine vollständigen Kartennummern. Stripe (siehe § 4) verarbeitet die Karte direkt; wir erhalten lediglich einen nicht sensiblen Auszug — Kartenmarke (z. B. „Visa“) und die letzten vier Ziffern — sowie die Stripe-PaymentIntent-ID, den autorisierten Betrag und den Einzugsstatus. Dieser Auszug ist nach PCI-DSS als nicht sensibel eingestuft und darf nach den Branchenstandards gespeichert werden.
• Buchungsstatusdaten: interne Zustandswerte des Statusautomaten (ausstehend, bestätigt, in Durchführung, abgeschlossen, storniert, Nichterscheinen), Zeitstempel, interne Dispositionsnotizen (nur für die Disposition sichtbar, niemals an den Kunden zurückgegeben).
• Stornierungs-Token: ein kryptografisch zufälliger Token von 24 Byte (192 Bit Entropie), der die Stornierung durch Gäste ohne Kundenkonto autorisiert. Der Token ist an eine einzelne Buchung gebunden und ohne die zugehörige Buchungs-ID nutzlos.
• Hotel-Attribution (B2B-Partner): Wenn Sie über einen Partnerhotel-Link mit einem Abfrageparameter wie ?hotel=marriott gekommen sind, wird die Partnerkennung zur Provisionsabrechnung bei der Buchung gespeichert. Es werden keine weiteren hotelseitigen Daten verarbeitet.
• Server-Zugriffsprotokolle: IP-Adresse (in gekürzter/gehashter Form für Analysezwecke; vollständig zur Sicherheitsüberwachung), User-Agent, Zeitstempel, angeforderte URL, HTTP-Status, Antwortgröße, Referer. Speicherung 7 Tage zur Betrugs- und Missbrauchserkennung.

Wir verarbeiten keine besonderen Kategorien personenbezogener Daten (Gesundheit, Religion, ethnische Herkunft, biometrische Daten) im Sinne des Art. 9 DSGVO. Wir nehmen kein Profiling vor und treffen keine automatisierten Entscheidungen mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO.

Jeder in § 1 genannte Verantwortliche setzt die folgenden Auftragsverarbeiter auf Grundlage schriftlicher Vereinbarungen gemäß Art. 28 DSGVO ein, jeweils auf eigene Weisung; die Zeile „Verantwortlicher“ je Eintrag sagt, welche Gesellschaft das ist. Jeder Auftragsverarbeiter ist verpflichtet, ausschließlich auf Weisung des Verantwortlichen zu handeln, dem Risiko angemessene technische und organisatorische Sicherheitsmaßnahmen anzuwenden und die Daten nach Beendigung zu löschen oder zurückzugeben.

Zwei Ausnahmen — WhatsApp und Google Maps Platform: beide stehen der Transparenz halber in der Liste, sind aber nicht unsere Auftragsverarbeiter. Schreibt Ihnen unsere Disposition per WhatsApp (nur wenn Sie uns eine Mobilnummer genannt haben, und stets als Alternative zur E-Mail), verarbeitet WhatsApp Ihre Nummer und die Nachricht als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung. Google Ireland Ltd verarbeitet die Adresssuche und die Fahrstrecke hinter dem Preis als eigener Verantwortlicher nach den Bedingungen der Google Maps Platform; unser Server übermittelt dabei nur den eingegebenen Adresstext, eine Orts-Kennung und eine je Suche neue, zufällige Sitzungskennung — nie Ihre IP-Adresse, Cookies oder sonst etwas, das Sie identifiziert (siehe den Eintrag unten und § 5).

Ausführende Partnerunternehmen: Jede Fahrt führt ein Unternehmen mit Genehmigung nach dem PBefG aus — ein Taxiunternehmen (§ 47 PBefG) oder ein Mietwagenunternehmen (§ 49 PBefG) —, das der für die Buchung Verantwortliche beauftragt. Wir übermitteln ihm die für die Fahrt nötigen Buchungsdaten (Name, Telefonnummer, Abhol- und Zieladresse, Abholzeit und ggf. Flugnummer), damit es die Beförderung durchführen und seine gesetzlichen Pflichten erfüllen kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Beförderungsvertrags). Das ausführende Unternehmen verarbeitet die Daten als eigener Verantwortlicher ausschließlich zur Durchführung der Fahrt und zur Erfüllung seiner gesetzlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Die gesamte primäre Datenverarbeitung findet in Rechenzentren in der EU/im EWR statt. Strukturelle Drittlandübermittlungen beschränken sich auf drei Auftragsverarbeiter sowie WhatsApp und erfolgen nur auf den nachstehend genannten Rechtsgrundlagen:

• Stripe (Zahlung): Die Zahlung wird von der Stripe Payments Europe Ltd in Irland verarbeitet; die Stripe Inc. (USA) handelt als Unterauftragsverarbeiter für Betrugspräventionssignale und Support-Eskalationen. Erforderlich zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO.
• Microsoft Clarity (Analyse): Anonymisierte Interaktionsdaten werden an die Microsoft Corporation (USA) zur Sitzungsaufzeichnung und Heatmap-Analyse übermittelt. Wird nur nach Ihrer ausdrücklichen Einwilligung geladen gemäß Art. 6 Abs. 1 lit. a DSGVO — siehe § 7 unten für den Einwilligungsmechanismus.
• Google Analytics 4 (Analyse): Pseudonyme Seitenaufruf- und Conversion-Daten werden an die Google LLC (USA) für aggregierte Website-Analysen übermittelt. Wird nur nach Ihrer ausdrücklichen Einwilligung geladen gemäß Art. 6 Abs. 1 lit. a DSGVO. Ohne Einwilligung laden wir GA4 nicht und senden auch keine cookielosen Analyse-Pings. Nach Ihrer Einwilligung können bestätigte Onlinezahlungen und tatsächlich ausgeführte Erstattungen zusätzlich serverseitig an GA4 gemeldet werden: mit pseudonymer Client-/Sitzungskennung, Buchungsnummer, Betrag, Fahrzeugklasse und Fahrtrichtung, ohne Name, Kontaktangaben, Abhol- oder Zieladresse und ohne Buchungszugriffstoken.
• WhatsApp (Nachrichten unserer Disposition, nur wenn Sie eine Mobilnummer genannt haben): WhatsApp Ireland Limited, mit Weiterübermittlung an die Meta Platforms Inc. (USA). Bestätigung eines Taxi-Auftrags und Fahrtdaten: Art. 6 Abs. 1 lit. b DSGVO. Bewertungsbitte und Rückfahrt-Angebot: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse an Rückmeldung und Folgeaufträgen) — Sie können jederzeit per Antwort auf die Nachricht widersprechen.

Diese Übermittlungen sind durch eine mehrstufige Garantie geschützt:

• Die Stripe Inc., die Microsoft Corporation, die Google LLC und die Meta Platforms Inc. sind sämtlich unter dem EU-US Data Privacy Framework (DPF) zertifiziert; die Europäische Kommission hat am 10. Juli 2023 einen Angemessenheitsbeschluss für das DPF erlassen (Durchführungsbeschluss (EU) 2023/1795).
• Jeder Auftragsverarbeiter unterhält zusätzlich Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO als Absicherung für den Fall, dass das DPF jemals für ungültig erklärt würde.
• Es besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Der vollständige Wortlaut ist abrufbar unter stripe.com/legal/dpa.

Ein Empfänger arbeitet als eigenständiger Verantwortlicher und teilweise außerhalb der EU/des EWR: Google Ireland Ltd (Google Maps Platform — Places API für die Adresssuche, Routes API für die Fahrstrecke hinter dem Preis). Jede Anfrage geht von unserem Server aus, nicht aus Ihrem Browser: Ihre IP-Adresse, Cookies oder sonstige Kennungen erreichen Google nie — nur der eingegebene Text, eine Orts-Kennung und eine je Suche neue, zufällige Sitzungskennung. Google LLC (USA) kann die Daten verarbeiten; die Übermittlung ist durch das EU-US Data Privacy Framework (Google LLC ist zertifiziert) und die Standardvertragsklauseln von Google abgedeckt. Die Orts-Kennung behalten wir, von Google erhaltene Koordinaten löschen wir nach 29 Tagen. Ist die Google Maps Platform nicht erreichbar, weicht unser Server für die Adresssuche auf Komoot (Photon, Deutschland) und für die Strecke auf Project OSRM (Zürich, Schweiz — angemessen nach der Kommissionsentscheidung 2000/518/EG, bestätigt in der Überprüfung vom 15. Januar 2024) aus; beide erhalten nur den eingegebenen Adresstext bzw. die beiden Koordinatenpaare einer Strecke, nie Ihre IP-Adresse. Kein weiterer Auftragsverarbeiter übermittelt Daten außerhalb der EU/des EWR.

• Buchungsunterlagen, Rechnungen, Zahlungsnachweise: 10 Jahre ab dem Ende des Kalenderjahres, in dem die Buchung abgeschlossen wurde (zwingend gemäß § 147 Abs. 1 AO und § 257 HGB), danach automatische Löschung.
• Stornierungs-Token: gelöscht bei Abschluss der Buchung oder 90 Tage nach der Abholung, je nachdem, was später eintritt.
• Kundenstammdaten (Disposition): bis zur Anonymisierung der letzten Buchung, spätestens 3 Jahre nach der letzten Fahrt (§ 195 BGB Regelverjährung); automatisch geprüft.
• Server-Zugriffsprotokolle: 7 Tage, danach rotiert und überschrieben.
• Stripe-Daten: Stripe bewahrt Zahlungsunterlagen für den nach EU- und US-amerikanischem Finanzdienstleistungsrecht erforderlichen Zeitraum (in der Regel 7 Jahre) auf. Details siehe Datenschutzerklärung von Stripe.
• E-Mail-Korrespondenz: aufbewahrt, so lange der zugehörige Geschäftsvorgang offen ist, zuzüglich 6 Jahre (handelsrelevante Korrespondenz gemäß § 257 Abs. 1 Nr. 4 HGB).
• Microsoft-Clarity-/Google-Analytics-Daten: nur erhoben, sofern Sie eingewilligt haben — Clarity-Sitzungen werden 90 Tage gespeichert, GA4-Daten auf Nutzerebene 14 Monate (Standard). Aggregierte Berichte werden unbefristet aufbewahrt. Die für unsere serverseitige Zustellungswarteschlange gespeicherten Client-/Sitzungskennungen verfallen spätestens nach 90 Tagen; bei Widerruf werden sie entfernt und ausstehende Meldungen gesperrt. Die gesetzlichen Aufbewahrungsfristen der Buchung bleiben davon unberührt.

Hinweis zur Bezeichnung: § 25 des deutschen Cookie-Einwilligungsgesetzes wurde am 14. Mai 2024 mit Inkrafttreten des Digital-Services-Act-Pakets aus dem ehemaligen TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) in das umbenannte TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) überführt. Die inhaltliche Vorschrift ist unverändert.

Cookie-Banner und die unten beschriebenen Analyse-Werkzeuge betreibt die Medikant GmbH i.G. als Verantwortliche für die Website (§ 1); der Buchungsablauf selbst braucht keine einwilligungspflichtige Speicherung.

Cookies und ähnliche Technologien zur Speicherung auf dem Endgerät fallen auf dieser Website in zwei Kategorien:

1. Unbedingt erforderlich — notwendig für die Funktion der Website (Buchungsformular, Zahlungs-Iframe, Spracheinstellung). Diese laufen ohne Einwilligung gemäß § 25 Abs. 2 Nr. 2 TDDDG.
2. Optionale Analyse — Microsoft Clarity und Google Analytics 4. Diese setzen Cookies und übermitteln Daten in die USA. Sie werden nur geladen, nachdem Sie ihnen aktiv zugestimmt haben in unserem Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO + § 25 Abs. 1 TDDDG). Bis zu Ihrer Zustimmung werden keine Analyseanfragen an diese Anbieter gesendet.

Widerruf der Einwilligung. Sie können Ihre Entscheidung jederzeit über den Link „Cookie-Einstellungen“ im Footer der Seite ändern. Der Widerruf wirkt für die Zukunft (Art. 7 Abs. 3 DSGVO) — er macht die während des Einwilligungszeitraums erfolgte Verarbeitung nicht ungültig, beendet jedoch die weitere Verarbeitung und löscht die Analyse-Cookies beim nächsten Seitenaufruf von Ihrem Endgerät.

Wenn Sie die Analyse im Banner ablehnen, werden weder Microsoft Clarity noch Google Analytics geladen; die Website verzichtet dann vollständig auf verhaltensbezogene Analyse. Sie können die Buchungsstrecke vollständig ohne jede Analyse-Einwilligung nutzen.

Wir setzen keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung Ihnen gegenüber im Sinne des Art. 22 DSGVO ein. Stripe führt im Schritt der Kartenautorisierung eine algorithmische Betrugserkennung durch; wird eine Transaktion aufgrund von Betrugssignalen abgelehnt, ziehen wir den Betrag nicht ein, verwenden dieses Signal aber auch nicht für eine Entscheidung, die über diesen einzelnen Versuch hinausgeht. Sie können jederzeit einen menschlichen Disponenten unter +49 152 2929 8484 erreichen, um die Buchung auf alternativem Weg abzuschließen.

Unser Dienst richtet sich an erwachsene Reisende. Wir bewerben unseren Dienst wissentlich nicht gegenüber Personen unter 16 Jahren, die unabhängig von einem Elternteil oder Erziehungsberechtigten handeln, und nehmen von solchen Personen keine Buchungen entgegen, im Einklang mit Art. 8 Abs. 1 DSGVO. Sollten Sie feststellen, dass uns ein Minderjähriger ohne nachweisbare Einwilligung der Eltern personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte, damit wir den Datensatz löschen können.

Sie haben die folgenden Rechte, die Sie kostenlos ausüben können:

• Auskunftsrecht — Art. 15 DSGVO.
• Recht auf Berichtigung — Art. 16 DSGVO.
• Recht auf Löschung („Recht auf Vergessenwerden“) — Art. 17 DSGVO, vorbehaltlich der gesetzlichen Aufbewahrungspflichten gemäß §§ 147 AO, 257 HGB.
• Recht auf Einschränkung der Verarbeitung — Art. 18 DSGVO.
• Recht auf Datenübertragbarkeit — Art. 20 DSGVO (maschinenlesbarer Export der von Ihnen bereitgestellten Daten).
• Widerspruchsrecht — Art. 21 DSGVO (insbesondere gegen eine auf berechtigten Interessen beruhende Verarbeitung).
• Recht auf Widerruf der Einwilligung — Art. 7 Abs. 3 DSGVO, soweit die Verarbeitung auf einer Einwilligung beruht (in unserem Fall gilt dies nur, wenn Sie gesondert in einen Marketingkanal einwilligen; die standardmäßigen Buchungsabläufe beruhen auf der Vertragserfüllung und erfordern keine Einwilligung).
• Recht auf Beschwerde bei einer Aufsichtsbehörde — Art. 77 DSGVO.

Richten Sie jede Anfrage zur Ausübung Ihrer Rechte an kontakt@flughafentransfer-stuttgart.de mit dem Betreff „Datenschutzanfrage“. Wir antworten innerhalb eines Monats gemäß Art. 12 Abs. 3 DSGVO; bei komplexen oder zahlreichen Anfragen können wir die Frist um weitere zwei Monate verlängern und werden Sie innerhalb des ursprünglichen Monats darüber informieren.

Sie können bei jeder Datenschutz-Aufsichtsbehörde in der EU/im EWR Beschwerde einlegen, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes (Art. 77 DSGVO). Die für uns zuständige Behörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Königstraße 10a
70173 Stuttgart, Deutschland

Telefon: +49 711 615541-0
E-Mail: poststelle@lfdi.bwl.de
Web: www.baden-wuerttemberg.datenschutz.de

Wir wenden dem Risiko angemessene technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO an:

• TLS-1.3-Verschlüsselung für alle Datenübertragungen (ausschließlich HTTPS, HSTS aktiviert).
• Verschlüsselte Datenbank mit AES-256-Verschlüsselung im Ruhezustand (von Supabase verwaltetes Postgres).
• Stornierungs-Token, erzeugt mit gen_random_bytes(24) (192 Bit Entropie) — kryptografisch nicht erratbar.
• Geheimnisse (Supabase-Service-Role, Stripe-Schlüssel, SMTP-Zugangsdaten) ausschließlich als Umgebungsvariablen auf dem Server gespeichert, niemals im Quellcode-Repository.
• Server in Frankfurt am Main (eu-central-1) und Karlsruhe / Nürnberg (Netcup), in ISO-27001-zertifizierten Rechenzentren.
• HTTP-Basic-Auth im Dispositions-Panel (/dispo) vor jeder Geschäftslogik; keine öffentlich erreichbaren Pfade.
• Fortlaufende Überwachung der Abhängigkeiten und Sicherheits-Patching der eingesetzten Node.js-, Next.js- und Postgres-Versionen.
• Prinzip der geringsten Rechte für Backend-Zugriffe — nur autorisierte Mitarbeiter verfügen über Dispositions-Zugangsdaten.

Wir können diese Erklärung anpassen, um Änderungen unserer Verarbeitung oder der gesetzlichen Anforderungen abzubilden. Die jeweils aktuelle Fassung ist stets abrufbar unter https://flughafen-transfer-stuttgart.de/datenschutz. Das Datum „Zuletzt geprüft“ am Seitenanfang gibt die letzte inhaltliche Änderung wieder. Soweit Änderungen betroffene Personen wesentlich betreffen, informieren wir Kunden mit aktiven Buchungen per E-Mail.