Datenschutzhinweise

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten ist:

Unternehmen

Kohlreiter Mobility OG

Adresse

Wasserfeld 1a, 6361 Hopfgarten im Brixental, Österreich

E-Mail

info@campervan-tyrol.com

Telefon

+43 664 75 11 3306

2. Zweck der Datenverarbeitung

Wir verarbeiten personenbezogene Daten zur:

• Anbahnung und Abwicklung von Mietverträgen,
• Identitäts- und Führerscheinkontrolle,
• Zahlungsabwicklung,
• Kautionsverwaltung,
• Fahrzeugübergabe und Rückgabe,
• Schadens- und Versicherungsabwicklung,
• Bearbeitung von Verkehrsverstößen, Mautvergehen und Behördenanfragen,
• Diebstahlprävention und Wiederauffindung des Fahrzeuges,
• Erfüllung gesetzlicher Aufbewahrungspflichten.

3. Verarbeitete Daten

Verarbeitet werden insbesondere:

• Name, Adresse, Kontaktdaten,
• Geburtsdatum,
• Führerscheindaten,
• Ausweisdaten,
• Zahlungsdaten,
• Buchungs- und Vertragsdaten,
• Übergabe- und Rückgabeprotokolle,
• Schadensfotos und Schadensberichte,
• GPS-Standortdaten im Anlassfall,
• Kommunikationsdaten.

Zur Bearbeitung einer Buchungsanfrage verarbeiten wir insbesondere: Geburtsdatum (zur Prüfung des Mindestalters) und Anschrift (Straße, PLZ, Ort, Land — für Rechnung und Mietvertrag). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -erfüllung). Diese Daten werden für die Dauer der gesetzlichen Aufbewahrungsfristen (Rechnungen: 7 Jahre) gespeichert. Die Rechnungsstellung und Zahlungsabwicklung erfolgt über Stripe, der E-Mail-Versand über Resend (siehe Punkt 5).

4. GPS-Tracking

Unsere Fahrzeuge sind mit GPS-Tracking-Systemen ausgestattet. Die GPS-Daten werden nicht zur dauerhaften Überwachung des Mieters verwendet. Eine Auswertung erfolgt nur anlassbezogen, insbesondere bei:

• Diebstahl oder Verdacht auf Diebstahl,
• erheblicher verspäteter Rückgabe,
• Verdacht auf unerlaubte Auslandsfahrt,
• Unfall, Panne oder Notfall,
• schwerwiegender Vertragsverletzung,
• behördlicher oder versicherungsrechtlicher Notwendigkeit.

Rechtsgrundlage ist unser berechtigtes Interesse am Schutz unseres Eigentums, an der Schadensprävention und an der Durchsetzung vertraglicher Ansprüche.

5. Weitergabe von Daten

Daten können, soweit erforderlich, weitergegeben werden an:

• Versicherungen,
• Behörden,
• Polizei,
• Rechtsanwälte,
• Steuerberater,
• Zahlungsdienstleister (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irland),
• Werkstätten,
• Maut- und Parkraumbetreiber,
• IT- und Hostingdienstleister (Cloudflare, Inc., 101 Townsend Street, San Francisco, USA — DSGVO-konforme Auftragsverarbeitung mit Standardvertragsklauseln),
• E-Mail-Versanddienstleister (Resend, Inc., San Francisco, USA — Standardvertragsklauseln).

Eine Weitergabe erfolgt nur, soweit dies zur Vertragsabwicklung, Schadensabwicklung, Rechtsdurchsetzung oder Erfüllung gesetzlicher Pflichten erforderlich ist.

6. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für Vertragsabwicklung, Schadensabwicklung, gesetzliche Aufbewahrungspflichten oder berechtigte Ansprüche erforderlich ist.

Buchungsanfragen, die nicht zu einem Vertrag führen (z. B. nicht angenommene oder abgelehnte Anfragen), werden spätestens nach 3 Monaten automatisch und vollständig gelöscht.

Buchhaltungs- und vertragsrelevante Daten werden gemäß § 132 BAO und § 212 UGB 7 Jahre aufbewahrt. GPS-Daten werden nur anlassbezogen ausgewertet und nicht länger als erforderlich gespeichert.

7. Rechte der betroffenen Personen

Betroffene Personen haben nach Maßgabe der DSGVO insbesondere das Recht auf:

• Auskunft,
• Berichtigung,
• Löschung,
• Einschränkung der Verarbeitung,
• Datenübertragbarkeit,
• Widerspruch gegen Verarbeitung,
• Beschwerde bei der Datenschutzbehörde.

Zuständige Aufsichtsbehörde: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien — dsb.gv.at.

8. Hosting, Server-Logfiles, Cookies und externe Dienste

Beim Aufruf unserer Website werden durch unseren Hosting-Dienstleister automatisch Zugriffsdaten in sogenannten Server-Logfiles verarbeitet. Dazu zählen insbesondere: gekürzte bzw. anonymisierte IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite bzw. Datei, die übertragene Datenmenge, die zuvor besuchte Seite (Referrer) sowie Browsertyp, Betriebssystem und Gerätedaten. Diese Verarbeitung ist technisch erforderlich, um die Website stabil und sicher auszuliefern, Angriffe (z. B. DDoS) abzuwehren und Störungen zu beheben. Die Daten werden nur für einen kurzen Zeitraum gespeichert und anschließend gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und zuverlässigen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).

Unsere Website wird bei Cloudflare gehostet (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA). Cloudflare stellt Hosting, ein Content-Delivery-Network (CDN) sowie Schutz vor Angriffen bereit und verarbeitet die genannten Zugriffsdaten in unserem Auftrag. Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Eine etwaige Übermittlung von Daten in die USA ist durch EU-Standardvertragsklauseln sowie die Zertifizierung von Cloudflare unter dem EU-US Data Privacy Framework abgesichert. Weitere Informationen: cloudflare.com/privacypolicy.

Zum Schutz des Buchungsformulars vor automatisierten Zugriffen verwenden wir Cloudflare Turnstile. Turnstile verarbeitet zur Missbrauchserkennung technische Verbindungs-, Geräte- und Interaktionsdaten. Der Dienst ist für die sichere Bereitstellung des von Ihnen aufgerufenen Buchungsformulars erforderlich; Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Technisch notwendige Speicherung: Wir speichern die Sprachauswahl und Ihre Einwilligungsentscheidung im LocalStorage Ihres Browsers. Die Einwilligungsentscheidung enthält nur die freigegebenen Kategorien, eine Versionsnummer und Zeitstempel und wird für 6 Monate gespeichert. Zusätzlich können nach einer bestätigten Buchung lokale, pseudonyme Einträge zur Vermeidung mehrfacher Konversionsmeldungen gespeichert werden; diese werden für höchstens 6 Monate gespeichert. Der technisch notwendige Buchungsstatus-Cookie ist auf den jeweiligen Buchungsvorgang beschränkt. Diese Speicherungen sind für die von Ihnen angeforderten Funktionen bzw. die Verwaltung Ihrer Datenschutzwahl erforderlich.

Optionale Analyse- und Marketingdienste: Google Tag Manager, Google Analytics 4, Google Ads und Meta Pixel werden erst geladen, wenn Sie die jeweilige Kategorie ausdrücklich freigeben. Bei Ablehnung werden keine Skripte dieser Anbieter geladen und keine Daten oder Einwilligungssignale an sie übertragen (Basic Consent Mode). Rechtsgrundlage ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 165 Abs. 3 TKG 2021. Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen“ ändern oder widerrufen. Der Widerruf gilt für die Zukunft und berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht.

• Google Tag Manager (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) verwaltet die nach Ihrer Auswahl freigegebenen Tags. Der Tag Manager wird nicht vor einer optionalen Einwilligung geladen.
• Google Analytics 4 dient der pseudonymen Auswertung von Seitenaufrufen und Buchungsschritten. Dabei können insbesondere Geräte-/Browserdaten, Referrer, Interaktionen, ungefähre Standortdaten, IP-Adresse und Online-Kennungen verarbeitet werden. Die Aufbewahrung von Nutzer- und Ereignisdaten ist in GA4 auf 2 Monate eingestellt.
• Google Ads misst nach Marketing-Einwilligung, ob eine Anzeige zu einer Buchungsanfrage oder bestätigten Buchung geführt hat. Zum Start werden keine Remarketing-Zielgruppen aufgebaut.
• Meta Pixel (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland) misst nach Marketing-Einwilligung Seitenaufrufe und Buchungskonversionen. Zum Start werden keine Remarketing-Zielgruppen aufgebaut.

Bei freigegebenen Diensten können unter anderem Cookies wie _ga, _gcl_*, _fbp oder _fbc gesetzt werden. An die Tracking-Dienste übermitteln wir keine Namen, E-Mail-Adressen, Telefonnummern, Anschriften, Geburtsdaten, Buchungsreferenzen oder Eigentums-Token. Die Buchungsstatus-Seite entfernt Referenz und Token vor dem Laden optionaler Tags aus der sichtbaren URL. Bei einer bestätigten Buchung können ausschließlich Buchungswert und Währung übermittelt werden.

Google und Meta können Daten auch in Drittländern, insbesondere den USA, verarbeiten. Übermittlungen werden nach Angaben der Anbieter insbesondere auf Angemessenheitsbeschlüsse (EU-US Data Privacy Framework) und/oder Standardvertragsklauseln gestützt. Weitere Informationen: Google-Datenschutzerklärung und Meta-Datenschutzerklärung.

Die verwendete Schriftart („Inter") wird lokal von unserem Server ausgeliefert (Self-Hosting). Es besteht dabei keine Verbindung zu Servern von Google; es werden keine IP-Adressen an Google LLC oder sonstige Dritte übermittelt.

Sofern künftig weitere externe Dienste oder neue Verarbeitungszwecke hinzukommen, aktualisieren wir diese Datenschutzerklärung und die Einwilligungskategorien vor deren Einsatz.

9. Soziale Medien

Wir unterhalten öffentlich zugängliche Profile auf Instagram und Facebook (Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland). Abgesehen vom einwilligungsabhängigen Meta Pixel gemäß Punkt 8 verlinken wir lediglich auf diese Profile — es sind keine Social-Media-Plugins, „Gefällt mir"-Buttons oder eingebetteten Inhalte eingebunden. Durch das bloße Setzen dieser Links werden keine zusätzlichen Daten an Meta übertragen.

Für die Verarbeitung durch die verlinkten Profile gilt: Erst wenn Sie auf einen dieser Links klicken bzw. die jeweilige Plattform besuchen, verarbeitet Meta dort Ihre personenbezogenen Daten in eigener Verantwortung. Die einwilligungsabhängige Pixel-Verarbeitung ist gesondert in Punkt 8 beschrieben. Es gelten die Datenschutzbestimmungen von Meta: facebook.com/privacy/policy.

Für die Verarbeitung jener Daten, die im Zusammenhang mit dem Besuch und der Interaktion auf unseren Social-Media-Profilen anfallen (z. B. Statistiken/„Insights"), sind wir gemeinsam mit Meta gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO. Rechtsgrundlage ist unser berechtigtes Interesse an Außendarstellung und Kommunikation (Art. 6 Abs. 1 lit. f DSGVO). Ihre Betroffenenrechte können Sie sowohl uns gegenüber als auch gegenüber Meta geltend machen.

Privacy notice

1. Controller

The party responsible for the processing of personal data is:

Company

Kohlreiter Mobility OG

Address

Wasserfeld 1a, 6361 Hopfgarten im Brixental, Austria

Email

info@campervan-tyrol.com

Phone

+43 664 75 11 3306

2. Purpose of data processing

We process personal data for:

• initiation and execution of rental contracts,
• identity and driver's licence verification,
• payment processing,
• deposit administration,
• vehicle handover and return,
• damage and insurance handling,
• processing of traffic offences, toll violations and official enquiries,
• theft prevention and vehicle recovery,
• compliance with statutory retention obligations.

3. Data processed

In particular we process:

• name, address, contact details,
• date of birth,
• driver's licence data,
• identity document data,
• payment data,
• booking and contract data,
• handover and return protocols,
• damage photos and reports,
• GPS location data on a case-by-case basis,
• communication data.

To process a booking request we additionally process: date of birth (to verify the minimum age) and address (street, postal code, city, country — for the invoice and rental contract). The legal basis is Art. 6(1)(b) GDPR (pre-contractual measures and performance of a contract). This data is stored for the duration of the statutory retention periods (invoices: 7 years). Invoicing and payment processing are handled via Stripe, email delivery via Resend (see point 5).

4. GPS tracking

Our vehicles are equipped with GPS tracking systems. GPS data is not used for ongoing surveillance of the renter. It is reviewed only on a case-by-case basis, in particular for:

• theft or suspicion of theft,
• significantly delayed return,
• suspicion of unauthorised cross-border travel,
• accident, breakdown or emergency,
• serious breach of contract,
• regulatory or insurance necessity.

The legal basis is our legitimate interest in protecting our property, preventing damage and enforcing contractual claims.

5. Disclosure of data

Data may, where necessary, be disclosed to:

• insurers,
• authorities,
• police,
• lawyers,
• tax advisers,
• payment service providers (Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Ireland),
• workshops,
• toll and parking operators,
• IT and hosting providers (Cloudflare, Inc., 101 Townsend Street, San Francisco, USA — GDPR-compliant data processing under Standard Contractual Clauses),
• email delivery providers (Resend, Inc., San Francisco, USA — Standard Contractual Clauses).

Disclosure occurs only to the extent necessary for contract execution, damage handling, legal enforcement or fulfilment of statutory obligations.

6. Retention period

Personal data is stored only as long as is necessary for contract execution, damage handling, statutory retention obligations or legitimate claims.

Booking enquiries that do not result in a contract (e.g. requests that are not accepted or are declined) are automatically and permanently deleted after no more than 3 months.

Accounting and contract-relevant data is retained for 7 years pursuant to § 132 BAO and § 212 UGB. GPS data is reviewed only on demand and not stored longer than necessary.

7. Rights of data subjects

Under the GDPR, data subjects have the right to:

• access,
• rectification,
• erasure,
• restriction of processing,
• data portability,
• object to processing,
• lodge a complaint with the data protection authority.

Competent supervisory authority: Austrian Data Protection Authority (Datenschutzbehörde), Barichgasse 40-42, 1030 Vienna — dsb.gv.at.

8. Hosting, server logfiles, cookies and external services

When you access our website, our hosting provider automatically processes access data in so-called server logfiles. This includes in particular: shortened or anonymised IP address, date and time of access, the page or file requested, the volume of data transferred, the previously visited page (referrer), as well as browser type, operating system and device data. This processing is technically necessary to deliver the website reliably and securely, to defend against attacks (e.g. DDoS) and to resolve faults. The data is stored only for a short period and then deleted. The legal basis is our legitimate interest in the secure and reliable operation of the website (Art. 6(1)(f) GDPR).

Our website is hosted with Cloudflare (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA). Cloudflare provides hosting, a content delivery network (CDN) and protection against attacks, processing the access data described above on our behalf. A data processing agreement under Art. 28 GDPR is in place with Cloudflare. Any transfer of data to the USA is safeguarded by EU Standard Contractual Clauses and Cloudflare's certification under the EU-US Data Privacy Framework. Further information: cloudflare.com/privacypolicy.

We use Cloudflare Turnstile to protect the booking form against automated access. Turnstile processes technical connection, device and interaction data to detect abuse. The service is required to provide the booking form securely; the legal basis is our legitimate interest in preventing abuse (Art. 6(1)(f) GDPR).

Strictly necessary storage: We store your language selection and consent decision in your browser's LocalStorage. The consent record contains only the permitted categories, a version number and timestamps and is retained for 6 months. After a confirmed booking, local pseudonymous entries may also be stored to prevent duplicate conversion reports; these are retained for no more than 6 months. The strictly necessary booking-status cookie is limited to the relevant booking process. These storage operations are required for the functions you request and to administer your privacy choice.

Optional analytics and marketing services: Google Tag Manager, Google Analytics 4, Google Ads and Meta Pixel are loaded only after you expressly permit the relevant category. If you reject them, no scripts from these providers are loaded and no data or consent signals are transmitted to them (Basic Consent Mode). The legal basis is your consent under Art. 6(1)(a) GDPR in conjunction with § 165(3) TKG 2021. You can change or withdraw your choice at any time through “Cookie settings”. Withdrawal applies prospectively and does not affect the lawfulness of earlier processing.

• Google Tag Manager (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland) manages the tags permitted by your selection. Tag Manager is not loaded before optional consent.
• Google Analytics 4 provides pseudonymous analysis of page views and booking steps. This may process device/browser data, referrer, interactions, approximate location data, IP address and online identifiers. GA4 user and event-data retention is configured to 2 months.
• Google Ads measures, after Marketing consent, whether an advertisement resulted in a booking request or confirmed booking. No remarketing audiences are built at launch.
• Meta Pixel (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland) measures page views and booking conversions after Marketing consent. No remarketing audiences are built at launch.

When these services are permitted, cookies such as _ga, _gcl_*, _fbp or _fbc may be set. We do not transmit names, email addresses, phone numbers, postal addresses, dates of birth, booking references or ownership tokens to tracking services. The booking-status page removes the reference and token from the visible URL before optional tags load. For a confirmed booking, only booking value and currency may be transmitted.

Google and Meta may process data in third countries, particularly the United States. According to the providers, transfers rely in particular on adequacy decisions (EU-US Data Privacy Framework) and/or Standard Contractual Clauses. Further information: Google Privacy Policy and Meta Privacy Policy.

The font used ("Inter") is served locally from our own server (self-hosted). No connection is made to Google's servers and no IP addresses are transmitted to Google LLC or any third party.

If additional external services or new processing purposes are introduced in future, we will update this privacy notice and the consent categories before using them.

9. Social media

We maintain publicly accessible profiles on Instagram and Facebook (Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Ireland). Apart from the consent-dependent Meta Pixel described in point 8, we merely link to these profiles — no social media plugins, "Like" buttons or embedded content are integrated. Simply placing these links transmits no additional data to Meta.

For processing caused by the linked profiles: only once you click one of these links or visit the respective platform does Meta process your personal data there under its own responsibility. The consent-dependent Pixel processing is described separately in point 8. Meta's privacy policy applies: facebook.com/privacy/policy.

For the processing of data arising in connection with visits to and interaction with our social media profiles (e.g. statistics / "insights"), we are joint controllers together with Meta within the meaning of Art. 26 GDPR. The legal basis is our legitimate interest in public presentation and communication (Art. 6(1)(f) GDPR). You may exercise your data-subject rights both against us and against Meta.