## 1. Verantwortlicher

Gerda Hipp-Gruner
Marienstr. 62
72827 Wannweil
Deutschland

Telefon: 07121 57 64 69
E-Mail: [email protected]

Datenschutz-Anfragen formlos an obige E-Mail-Adresse.

## 2. Hosting und Server-Logs

Diese Website wird bei Cloudflare Inc. (101 Townsend St, San Francisco, CA 94107, USA) gehostet. Cloudflare verarbeitet IP-Adresse, User-Agent, angefragte URL und Zeitstempel zur Bereitstellung der Website und zum Schutz vor Missbrauch (Server-Logs).

Speicherdauer: max. 30 Tage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Drittland-Transfer: Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Standard-Auftragsverarbeitungs-Vertrag (AVV) liegt vor.

Datenschutz Cloudflare: https://www.cloudflare.com/privacypolicy/

## 3. SSL-/TLS-Verschlüsselung

Alle Verbindungen zu dieser Website werden über HTTPS (TLS 1.2+) verschlüsselt.

## 4. Cookies und lokale Speicherung

Im öffentlichen Bereich dieser Website werden keine Cookies gesetzt. Cookies kommen ausschließlich in folgenden, gesondert aufgerufenen Bereichen zum Einsatz:

- Admin-Session-Cookie (`vm_session`): nur im CMS-Bereich (separate Subdomain), HttpOnly, Secure, SameSite, 30 Tage Laufzeit.
- Page-Access-Cookie (`vm_page_access_*`): nur bei passwortgeschützten Seiten, 24 Stunden Laufzeit. Wird gesetzt, nachdem Sie das Seitenpasswort eingegeben haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (technisch notwendig nach § 25 Abs. 2 Nr. 2 TDDDG).

Lokale Speicherung im Browser (Local Storage)

Unabhängig von Cookies werden folgende Angaben lokal in Ihrem Browser abgelegt bzw. gelesen. Sie sind technisch notwendig, um von Ihnen selbst getroffene Entscheidungen zu respektieren, und werden nicht an uns übertragen:

- `vm_banner_*`: merkt sich, dass Sie eine Hinweisleiste geschlossen haben. Bleibt gespeichert, bis Sie die Browserdaten löschen.
- `vm_page_access_*`: speichert bei passwortgeschützten Seiten den Zugangs-Token, damit Sie das Seitenpasswort nicht bei jedem Seitenwechsel erneut eingeben müssen. Nur vorhanden, wenn Sie eine solche Seite freigeschaltet haben.
- `plausible_ignore`: wird nur gelesen. Sie können diesen Wert selbst setzen, um der Reichweitenmessung zu widersprechen (siehe Abschnitt 11).
- `vm_consent_v1`: speichert Ihre Auswahl, falls ein Einwilligungs-Banner aktiviert ist. Derzeit ist kein solches Banner aktiv.

Zu Gamification- oder Marketing-Zwecken speichern wir nichts auf Ihrem Endgerät.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) i. V. m. Art. 6 Abs. 1 lit. f DSGVO.

Ein Cookie-Banner ist nicht erforderlich, da weder einwilligungspflichtige Cookies gesetzt noch einwilligungspflichtige Daten auf Ihrem Endgerät gespeichert oder ausgelesen werden.

## 5. Schriftarten (selbst gehostet)

Die auf dieser Website verwendeten Schriftarten (Manrope, Poppins) werden selbst von unserem Server ausgeliefert. Es findet kein Abruf von Google Fonts oder einem anderen externen Dienst statt; Ihre IP-Adresse wird dabei an keinen Dritten übertragen.

Zweck: einheitliche und schnelle Darstellung der Schriften bei maximalem Datenschutz.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

## 6. Mediendateien

Bilder und sonstige Medieninhalte werden über Cloudflare R2 ausgeliefert. Beim Abruf wird die IP-Adresse an Cloudflare übertragen (siehe Abschnitt 2).

## 7. Online-Buchungs- und Reservierungsformular

Wenn Sie das Buchungs- oder Reservierungsformular auf dieser Website ausfüllen, verarbeiten wir folgende Daten:

Pflichtangaben:
- Vorname
- Nachname
- E-Mail-Adresse

Optionale Angaben:
- Telefonnummer
- Nachricht / Anmerkungen

Automatisch übermittelt:
- Gewählte Gartenvariante und Preis
- Datenschutz-Zustimmung (als Audit-Trail nach Art. 7 Abs. 1 DSGVO)
- IP-Adresse — pseudonymisiert mit täglich wechselndem Schlüssel gespeichert (siehe unten)
- User-Agent-String

Zur IP-Adresse: Wir speichern Ihre IP-Adresse nicht im Klartext. Aus ihr wird ein Kurzwert berechnet, in den ein geheimer Schlüssel und das jeweilige Tagesdatum einfließen. Der Tagesschlüssel wird nirgends gespeichert, dieselbe IP-Adresse ergibt an zwei Tagen also zwei nicht miteinander verknüpfbare Werte. Es handelt sich um eine Pseudonymisierung nach Art. 4 Nr. 5 DSGVO; der Wert wird von uns weiterhin als personenbezogenes Datum behandelt. Zweck: Erkennung von Spam- und Mehrfach-Einsendungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Missbrauchsschutz (Rate-Limit): Um automatisierte Massen-Einsendungen zu unterbinden, zählen wir pro Zehn-Minuten-Fenster die Anzahl der Absendungen je Absender. Auch hierfür wird ausschließlich ein aus der IP-Adresse abgeleiteter Kurzwert verwendet, nicht die IP-Adresse selbst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Missbrauch).

Herkunft Ihrer Anfrage (Marketing-Attribution):

Damit wir erkennen können, auf welchem Weg Interessenten zu uns finden, speichern wir zusammen mit Ihrer Anfrage folgende Herkunftsangaben:

Bei jeder Anfrage:
- HTTP-Referrer — die Internetseite, von der aus Sie zu uns gelangt sind (z. B. eine Suchmaschine oder eine verlinkende Seite). Rufen Sie unsere Adresse direkt auf oder unterdrückt Ihr Browser die Angabe, bleibt dieser Wert leer.
- Landing-Page — die erste Seite, die Sie bei uns aufgerufen haben.

Zusätzlich, wenn Sie über einen Kampagnen-Link kommen (z. B. aus einer Anzeige, einem QR-Code oder einem Newsletter):
- `utm_source` (Quelle, z. B. „nussbaum“)
- `utm_medium` (Kanal, z. B. „print“)
- `utm_campaign` (Kampagnenname)
- `utm_content`, `utm_term` (optionale Detail-Parameter)

Aus diesen Angaben bilden wir eine zusammengefasste Kanal-Bezeichnung (z. B. „nussbaum / print“, „google.com (Verweis)“ oder „Direkt“). Sie steht in der internen Benachrichtigung über Ihre Anfrage und wird in unsere Kundenverwaltung übernommen. Ausgewertet wird ausschließlich diese zusammengefasste Form, und zwar als Anzahl je Kanal. Es entsteht daraus weder ein Profil noch ein seitenübergreifendes Tracking.

Diese Angaben werden nur dann gespeichert, wenn Sie eine Anfrage absenden. Während Ihres Besuchs werden sie ausschließlich im Arbeitsspeicher Ihres Browsers gehalten (kein Cookie, kein Local- oder Session-Storage, keine Speicherung auf Ihrem Endgerät) und sind spätestens mit dem Verlassen der Seite verworfen.

Zweck: Bearbeitung Ihrer Buchungsanfrage, Vertragsanbahnung, Versand von Pachtvertrag und Bestätigungs-E-Mail. Auswertung der Kampagnen-Wirksamkeit (Marketing-Attribution).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags auf Ihre Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Auswertung der Kampagnen-Wirksamkeit).

Speicherdauer: Anfragen werden 90 Tage nach Bearbeitungsabschluss (Status „archiviert“) gelöscht. Die zusammengefasste Kanal-Bezeichnung wird zusätzlich im zugehörigen Datensatz unserer Kundenverwaltung geführt und dort gemeinsam mit diesem gelöscht. Vertragsrelevante Daten aus zustande gekommenen Pachtverträgen werden separat im Vertrag geführt und nach den steuerrechtlichen Aufbewahrungsfristen des § 147 AO verwahrt (je nach Unterlagenart 8 bzw. 10 Jahre, gerechnet ab dem Ende des Kalenderjahres, in dem der letzte Eintrag erfolgt ist). Rechtsgrundlage der Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO.

## 8. Kontaktaufnahme per E-Mail, Telefon oder Fax

Wenn Sie uns über die im Impressum bzw. in Abschnitt 1 genannten Kontaktdaten erreichen, verarbeiten wir die dabei von Ihnen mitgeteilten Daten.

Verarbeitete Daten: bei E-Mail Ihre Absenderadresse, Betreff, Inhalt der Nachricht und Zeitpunkt sowie die technischen Kopfzeilen der E-Mail; bei Telefon oder Fax Ihre Rufnummer (sofern übermittelt), Zeitpunkt und die von Ihnen mitgeteilten Angaben, soweit wir uns dazu Notizen machen.

Zweck: Beantwortung und Bearbeitung Ihres Anliegens sowie die damit verbundene Organisation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn sich Ihre Anfrage auf einen bestehenden Pachtvertrag oder dessen Anbahnung bezieht. Bei allen sonstigen Anliegen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Empfänger: Für die E-Mail-Kommunikation nutzen wir das Postfach unseres E-Mail-Anbieters. Eine Weitergabe Ihrer Nachricht an Dritte findet nicht statt.

Speicherdauer: Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Unterlagen, die der steuer- oder handelsrechtlichen Aufbewahrung unterliegen (§ 147 AO), bewahren wir für die dort vorgeschriebene Dauer auf; die Verarbeitung ist in diesem Fall auf die Aufbewahrung beschränkt.

Hinweis: Unverschlüsselte E-Mail ist kein sicherer Übertragungsweg. Bitte senden Sie uns auf diesem Weg keine besonders schützenswerten Daten (Art. 9 DSGVO).

## 9. E-Mail-Versand via Brevo

Für den Versand der Buchungs-Bestätigung und interner Benachrichtigungen nutzen wir den E-Mail-Dienstleister Brevo (Sendinblue SAS, 198 Avenue de France, 75013 Paris, Frankreich) als Auftragsverarbeiter.

Übermittelte Daten: Empfänger-E-Mail-Adresse, Betreff, Mail-Inhalt (inkl. Vorname und Variant-Details; bei den internen Benachrichtigungen an uns selbst zusätzlich die Herkunftsangaben nach Abschnitt 7), Versandzeitpunkt, Zustellungs-Status (delivered/bounced/spam).

Server-Standort: EU (Frankreich + Irland).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung).

Auftragsverarbeitung: Standard-AVV nach Art. 28 DSGVO mit Brevo geschlossen.

Datenschutz Brevo: https://www.brevo.com/legal/privacypolicy

## 10. YouTube-Videos (sofern eingebunden)

Eingebundene YouTube-Videos werden im erweiterten Datenschutzmodus (youtube-nocookie.com) per Click-to-Load geladen. Vor Ihrem Klick wird kein Inhalt von YouTube geladen und es werden keine Daten an YouTube/Google übertragen.

Nach Ihrem Klick baut Ihr Browser eine Verbindung zu den Servern von Google auf. Dabei werden insbesondere Ihre IP-Adresse, Angaben zu Ihrem Browser und Endgerät sowie die aufgerufene Seite an Google übermittelt. Sind Sie gleichzeitig bei einem Google-Konto angemeldet, kann Google die Nutzung Ihrem Konto zuordnen. Auf die Verarbeitung durch Google haben wir keinen Einfluss.

Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Für Nutzer außerhalb des EWR ist Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA verantwortlich.

Drittland-Transfer (Art. 13 Abs. 1 lit. f DSGVO): Mit der Aktivierung eines Videos können Daten an Server von Google LLC in die USA übermittelt werden. Die USA sind ein Drittland ohne generelles Datenschutzniveau im Sinne der DSGVO; insbesondere besteht die Möglichkeit des Zugriffs durch US-Behörden. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, sodass die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 gestützt wird. Ergänzend hat Google Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Klick), für den Drittlandtransfer zusätzlich Art. 49 Abs. 1 lit. a DSGVO.

Widerruf Ihrer Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können Ihre Einwilligung jederzeit für die Zukunft widerrufen. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Für den Widerruf genügt es, die Seite neu zu laden bzw. zu verlassen — das Video wird dann erst wieder nach einem erneuten Klick geladen. Bereits an Google übermittelte Daten können nur bei Google selbst gelöscht werden.

Datenschutzerklärung von Google: https://policies.google.com/privacy

## 11. Web-Analytics (Plausible Analytics)

Zur statistischen Auswertung der Seitenaufrufe (Zugriffszahlen, Top-Seiten, Geräteklasse, ungefähre Herkunft, Kampagnen-Quellen sowie Interaktions-Ereignisse: Klicks auf Schaltflächen und Links — jeweils mit deren Beschriftung und Zielpfad —, abgesendete Formulare, ausgehende Links und Datei-Downloads) nutzen wir Plausible Analytics, einen datenschutzfreundlichen Webanalysedienst.

Wichtige Eigenschaften:

- Cookieless: es werden weder Cookies gesetzt noch wird Local-Storage / Fingerprinting eingesetzt.
- Keine personenbezogenen Profile: es findet kein seitenübergreifendes Tracking statt; jede Sitzung wird isoliert und aggregiert ausgewertet.
- IP nur flüchtig: die IP-Adresse wird ausschließlich flüchtig zur Bildung eines täglich wechselnden, nicht rückrechenbaren Kennwerts verwendet und nicht gespeichert.
- Auslieferung über eigene Domain: Skript und Messdaten laufen über unseren eigenen Server (First-Party-Proxy); es wird kein Skript von einem Fremdserver nachgeladen.

Anbieter: Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland (EU).

Server-Standort: EU. Es findet kein Drittland-Transfer statt. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Auswertung zur Verbesserung des Angebots; keine einwilligungspflichtigen Cookies nach § 25 Abs. 2 Nr. 2 TDDDG).

Speicherdauer: aggregierte Statistikdaten max. 24 Monate.

Widerspruch: Sie können der Erfassung jederzeit widersprechen, indem Sie in Ihrem Browser für diese Website den Wert `plausible_ignore` auf `true` setzen (localStorage) oder einen Werbe-/Tracking-Blocker verwenden. Siehe außerdem Abschnitt 14.

Datenschutzinformationen des Anbieters: https://plausible.io/data-policy

## 12. Auftragsverarbeiter im Überblick

| Anbieter | Zweck | Server-Standort | Schutzmaßnahme |
|---|---|---|---|
| Cloudflare Inc. (USA) | Hosting, CDN, DDoS-Schutz | EU + global | EU-US-DPF + AVV |
| Plausible Insights OÜ (EE) | Webanalyse / Reichweitenmessung | EU | AVV, kein Drittland-Transfer |
| Brevo / Sendinblue SAS (FR) | Transactional-E-Mail | EU (FR / IE) | Standard-AVV |

Google Ireland Ltd. / Google LLC ist kein Auftragsverarbeiter, sondern eigenständig Verantwortlicher für die Verarbeitung nach Aktivierung eines YouTube-Videos (siehe Abschnitt 10).

## 13. Ihre Rechte als betroffene Person

Nach DSGVO Art. 15 bis 22 haben Sie folgende Rechte:

- Auskunft (Art. 15): Welche Daten verarbeiten wir über Sie?
- Berichtigung (Art. 16): Korrektur unrichtiger Daten.
- Löschung (Art. 17): „Recht auf Vergessenwerden“.
- Einschränkung (Art. 18): Einschränkung der Verarbeitung.
- Datenübertragbarkeit (Art. 20): Erhalt der Daten in maschinenlesbarem Format.
- Widerspruch (Art. 21): siehe den gesonderten Hinweis in Abschnitt 14.

Soweit die Verarbeitung auf Ihrer Einwilligung beruht (Art. 6 Abs. 1 lit. a DSGVO), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Anfragen formlos an [email protected]. Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang Ihres Antrags (Art. 12 Abs. 3 DSGVO). Diese Frist kann sich um weitere zwei Monate verlängern, wenn Ihr Antrag komplex ist oder mehrere Anträge vorliegen; über eine solche Verlängerung und die Gründe unterrichten wir Sie innerhalb eines Monats.

## 14. Widerspruchsrecht

Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) erfolgt.

Das betrifft auf dieser Website: die Server-Logs (Abschnitt 2), die technisch notwendigen Cookies und lokalen Speicherwerte (Abschnitt 4), die Auslieferung der Schriftarten und Mediendateien (Abschnitte 5 und 6), die Spam-Abwehr und die Marketing-Attribution beim Buchungsformular (Abschnitt 7), die Bearbeitung allgemeiner Kontaktanfragen (Abschnitt 8) sowie die Reichweitenmessung mit Plausible (Abschnitt 11).

Legen Sie Widerspruch ein, verarbeiten wir Ihre personenbezogenen Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für den Widerspruch genügt eine formlose Nachricht an [email protected]. Der Reichweitenmessung können Sie zusätzlich jederzeit selbst und ohne Nachricht an uns widersprechen (siehe Abschnitt 11).

## 15. Beschwerderecht bei der Aufsichtsbehörde

Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
Tel: 0711 / 615541-0
https://www.baden-wuerttemberg.datenschutz.de

## 16. Automatisierte Entscheidungen / Profiling

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Es wird kein Profiling durchgeführt.

## 17. Pflichtangaben

Die Bereitstellung Ihrer Daten im Buchungsformular ist freiwillig. Ohne die Pflichtangaben (Vorname, Nachname, E-Mail) können wir Ihre Buchungsanfrage jedoch nicht bearbeiten. Die Kampagnen-Parameter (UTM) fallen nur an, wenn Sie über einen Kampagnen-Link zu uns kommen; durch direkten Aufruf unserer Internetadresse vermeiden Sie sie vollständig. Referrer und Landing-Page entstehen dagegen technisch bei jedem Aufruf — ein Referrer wird allerdings nicht übermittelt, wenn Sie unsere Adresse direkt eingeben, ein Lesezeichen verwenden oder Ihr Browser die Angabe unterdrückt.

## 18. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Erklärung anzupassen, sofern technische oder rechtliche Änderungen dies erfordern. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs auf dieser Seite veröffentlichte Fassung.

---

Stand: 25. August 2026