quartavo

Datenschutzerklärung

Stand: 06.10.2026

1. Wer verantwortlich ist

Verantwortlich für die Verarbeitung deiner Daten auf der Plattform Quartavo — Website und App — ist:

Steven Bohm Media Solutions
Detmolder Str. 317, 33175 Bad Lippspringe, Deutschland
E-Mail: hallo@quartavo.com

Für alle Fragen zum Datenschutz und für die Ausübung deiner Rechte (Abschnitt 21) genügt eine E-Mail an diese Adresse.

2. Das Wichtigste in Kürze

  • Wir verarbeiten deine Daten, um dir Unterkünfte zu vermitteln: Konto, Inserate, Buchungen, Zahlungen, Nachrichten. Dazu kommen gesetzliche Pflichten, vor allem im Steuerrecht.
  • Wir setzen keine Analyse-, Werbe- oder Tracking-Werkzeuge ein und verkaufen keine Daten. Werbung Dritter gibt es auf Quartavo nicht; Erinnerungen an deine Suche schicken wir nur, wenn du sie einschaltest (Abschnitt 14).
  • Wer bei wem bucht, sieht vom anderen nur, was für die Buchung nötig ist. Genaue Adresse und Telefonnummer werden erst nach bestätigter und bezahlter Buchung freigegeben.
  • Einige Dienstleister sitzen außerhalb der EU (Zahlungen, Push-Nachrichten, Karten). Welche das sind und wie die Übermittlung abgesichert ist, steht in Abschnitt 17 und 18.
  • Dein Konto kannst du jederzeit selbst löschen (Abschnitt 20). Was wir aus gesetzlichen Gründen behalten müssen, sagen wir dort genau.

3. Aufruf der Website und der App

Wenn du Quartavo aufrufst, verarbeitet unser Server technisch notwendige Daten: deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Browser bzw. die App-Version und das Betriebssystem. Das ist nötig, um die Seite auszuliefern und Angriffe zu erkennen.

  • Server: Die Plattform läuft auf einem Server von Server4You GmbH in Deutschland. Auch E-Mail-Versand und Echtzeit-Verbindungen (z. B. neue Nachrichten ohne Neuladen) laufen über diesen Server, nicht über fremde Dienste.
  • Fehlerprotokolle enthalten die IP-Adresse nur, wenn sie für die Fehlersuche nötig ist, und werden nach 14 Tagen gelöscht.
  • Sitzung: Solange du angemeldet bist, speichern wir zu deiner Sitzung IP-Adresse und Browserkennung, damit wir eine gekaperte Sitzung erkennen können. Die Sitzung endet zwei Stunden nach der letzten Aktivität und wird dann gelöscht.
  • Schutz vor Missbrauch: Fehlgeschlagene Anmeldeversuche zählen wir je E-Mail-Adresse und IP-Adresse für wenige Minuten, um Passwort-Raten zu bremsen.
  • Land aus der IP-Adresse: Um dir die passende Währung vorzuschlagen, ermitteln wir aus der IP-Adresse das Land. Das geschieht mit einer Datenbank auf unserem eigenen Server (GeoLite2 von MaxMind); an MaxMind wird dabei nichts übermittelt. Wir speichern nur das Land, nicht die IP-Adresse.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Cookies und Speicher auf deinem Gerät

Wir verwenden nur technisch notwendige Cookies:

  • ein Sitzungs-Cookie, das dich angemeldet hält (es endet mit der Sitzung),
  • ein Sicherheits-Cookie gegen gefälschte Anfragen (CSRF),
  • ein Cookie, das dich auch nach dem Schließen des Browsers angemeldet lässt — nur, wenn du beim Anmelden „Angemeldet bleiben“ wählst; es endet mit der Abmeldung, spätestens nach 400 Tagen.

Im lokalen Speicher deines Browsers legen wir außerdem nur ab, was du selbst einstellst oder auslöst:

  • ob der Benachrichtigungston an ist,
  • wann du den Hinweis auf unsere App geschlossen hast, damit er 30 Tage lang nicht wieder erscheint.

Weil es sonst nichts gibt, fragen wir auch nicht nach einer Einwilligung — es gibt keinen Cookie-Banner. Die App speichert deine Anmeldung verschlüsselt im sicheren Speicher des Geräts.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) und Art. 6 Abs. 1 lit. f DSGVO. Statistik- oder Marketing-Cookies setzen wir nicht; es gibt auch keine Dienste Dritter, die über unsere Seiten Cookies setzen.

5. Konto und Anmeldung

Für ein Konto brauchen wir Name, E-Mail-Adresse und ein Passwort. Das Passwort speichern wir nur als Hashwert, niemals im Klartext. Außerdem speichern wir Sprache, Zeitzone und Währung, deine Benachrichtigungs-Einstellungen und, welche Fassung der Nutzungsbedingungen du wann angenommen oder abgelehnt hast.

  • Zweiter Faktor: Für Buchungen, Inserate und Zahlungen ist ein zweiter Faktor Pflicht — ein Code aus einer Authenticator-App oder ein Passkey. Das Geheimnis der Authenticator-App und die Wiederherstellungscodes speichern wir verschlüsselt. Ein Passkey liegt auf deinem Gerät bzw. in deinem Passwortmanager (iCloud- Schlüsselbund, Google Passwortmanager); wir speichern nur seinen öffentlichen Teil.
  • Bestätigungscodes per E-Mail (Anmeldung, Passwort vergessen) sind 10 bis 15 Minuten gültig und nur als Hashwert gespeichert.
  • Angemeldete Geräte: Für jede App-Anmeldung speichern wir den Gerätenamen und den Zeitpunkt der letzten Nutzung. Die Anmeldung gilt, bis du dich abmeldest oder sie in den Einstellungen beendest.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), für die Sicherheitsmaßnahmen auch Art. 32 DSGVO.

6. Profil und was andere sehen

Freiwillig kannst du ein Profilbild, einen Text über dich, Wohnort, Beruf, Sprachen, Interessen und ein Traumziel angeben. Profilbilder speichern wir ohne eingebettete Metadaten wie Aufnahmeort.

Öffentlich sichtbar — auch ohne Anmeldung — sind auf deinem Profil: Vorname und Name, Profilbild, deine freiwilligen Angaben, Abzeichen (z. B. „Identität geprüft"), Bewertungen, die du erhalten hast, deine veröffentlichten Inserate und die Anbieterkennzeichnung, wenn du gewerblich vermietest (Abschnitt 8). Die Länder, in denen du über Quartavo übernachtet hast, zeigt das Profil nur, wenn du das in den Datenschutz-Einstellungen einschaltest; standardmäßig ist es aus.

Bewertungen erscheinen mit deinem Namen und Profilbild. Damit keine Seite auf die andere reagiert, werden beide Bewertungen einer Buchung erst sichtbar, wenn beide abgegeben sind oder 14 Tage nach der Abreise vergangen sind.

Teilst du eine Merkliste per Link, sieht der Empfänger nur deinen Vornamen.

Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO): Profile und Bewertungen sind der Kern einer Plattform, auf der Fremde einander vertrauen müssen.

7. Identitätsprüfung

Bevor du buchen oder vermieten kannst, prüfen wir deine Identität. Dazu lädst du ein Foto oder einen Scan deines Personalausweises, Reisepasses oder Führerscheins hoch.

  • Das Dokument wird bis zur Prüfung verschlüsselt gespeichert und ist nur für die wenigen Mitarbeitenden mit Prüfrecht einsehbar. Andere Nutzer sehen nur, dass deine Identität geprüft ist.
  • Sobald die Prüfung entschieden ist, löschen wir das Bild. Lehnen wir ein Dokument ab, löschen wir alles. Bestätigen wir es, behalten wir nur das Ergebnis (geprüft, mit welcher Art von Dokument, wann und von wem) und dein Geburtsdatum (verschlüsselt). Das Geburtsdatum brauchen wir, falls du vermietest: Es gehört zu den Angaben, die wir für die Steuermeldung geprüft haben müssen (Abschnitt 11).
  • Bitte schwärze vor dem Hochladen alle Angaben, die wir für die Prüfung nicht brauchen — insbesondere die sechsstellige Zugangsnummer (CAN) des Personalausweises, außerdem Ausweisnummer, Größe und Augenfarbe. Darauf weisen wir auch beim Hochladen hin.

Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, Betrug und Scheinidentitäten zu verhindern (Art. 6 Abs. 1 lit. f DSGVO); bei Gastgebern zusätzlich die Pflicht, ihre Identität für die Steuermeldung zu prüfen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem Plattformen-Steuertransparenzgesetz, PStTG). Das Hochladen des Personalausweises erfolgt mit deinem Einverständnis im Sinne von § 20 Abs. 2 PAuswG.

8. Inserate und Gastgeber

  • Adresse und Lage: Aus der Adresse deiner Unterkunft ermitteln wir die Koordinaten. Dazu sendet unser Server die Adresse an den Geodienst Nominatim der OpenStreetMap Foundation (Vereinigtes Königreich). Öffentlich zeigen wir nur eine ungefähre Lage (auf rund 1,3 km verschoben). Genaue Adresse und Lage erhält ein Gast erst, wenn seine Buchung bestätigt und bezahlt ist.
  • Fotos: Beim Hochladen entfernen wir eingebettete Metadaten wie den Aufnahmeort.
  • Anbieterkennzeichnung: Vermietest du gewerblich, zeigen Inserat und Profil die gesetzlich vorgeschriebenen Angaben (Name bzw. Firma, Anschrift, E-Mail, Telefon, Register, USt-IdNr.; § 5 DDG, Art. 30 DSA) öffentlich an.
  • Registrierungsnummer: Wo eine Gemeinde eine Registrierungsnummer für Kurzzeitvermietung vorschreibt, speichern und zeigen wir sie (Abschnitt 11).
  • Übersetzung: Titel, Beschreibung, Hausregeln und Tauschbedingungen können automatisch in andere Sprachen übersetzt werden (Abschnitt 12).
  • Suchmaschinen: Ob ein Inserat von Suchmaschinen gefunden werden darf, stellst du je Inserat in den Datenschutz-Einstellungen ein.

Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO), für die Anbieterkennzeichnung die gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO).

9. Buchungen

Für eine Buchung verarbeiten wir Unterkunft, Zeitraum, Anzahl der Gäste, Preis und Zahlungsstand, bei einer Tauschbuchung die vereinbarten Tauschbedingungen. Vor deiner ersten Buchung fragen wir einmal dein Wohnsitzland ab und speichern es in deinem Konto (nicht öffentlich, änderbar im Profil) — wir müssen es mit Aufenthalten in Gebieten mit Registrierungspflicht an die Behörde melden (Abschnitt 11).

  • Was der Gastgeber sieht: deinen Namen, dein Profilbild, ob deine Identität geprüft ist, wie viele Aufenthalte du schon hattest, und die Namen deiner Mitreisenden.
  • Mitreisende: Trägst du Mitreisende ein, speichern wir Vor- und Nachnamen. Gibst du eine E-Mail-Adresse an und hat die Person ein Konto, verknüpfen wir sie mit der Buchung. Du versicherst, die Angaben machen zu dürfen, und informierst die Mitreisenden über diese Datenschutzerklärung (§ 6 Abs. 5 der Nutzungsbedingungen); wir schreiben sie nicht selbst an (Art. 14 Abs. 5 lit. b DSGVO).
  • Nach Bestätigung und Zahlung erhalten Gast und Gastgeber gegenseitig die Telefonnummer (falls hinterlegt), der Gast zusätzlich die genaue Adresse.
  • Automatische Fristen: Eine unbezahlte oder unbeantwortete Anfrage verfällt automatisch nach der in den Nutzungsbedingungen genannten Frist.

Rechtsgrundlage ist der Nutzungsvertrag mit uns und die Anbahnung und Durchführung des Vertrags zwischen Gast und Gastgeber (Art. 6 Abs. 1 lit. b DSGVO).

10. Zahlungen und Auszahlungen

Zahlungen wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland).

  • Gäste: Für die Zahlung übermitteln wir Stripe Name, E-Mail-Adresse, Betrag, Währung und eine Buchungsreferenz. Kartendaten gibst du direkt bei Stripe ein; wir sehen sie nie. Speicherst du im Bezahlfenster eine Zahlungsmethode für später, liegt sie bei Stripe. Stripe teilt uns das Land deiner Rechnungsadresse und das Ausstellungsland der Karte mit.
  • Gastgeber: Für Auszahlungen legst du über Stripe ein Auszahlungskonto an (Stripe Connect). Dabei prüft Stripe deine Identität und Bankverbindung nach den Regeln gegen Geldwäsche in eigener Verantwortung; wir übermitteln nur deine E-Mail-Adresse und ob du privat oder gewerblich handelst. Schuldest du uns Geld, das nicht mit einer Auszahlung verrechnet werden kann, erhältst du eine Rechnung über Stripe (Name, E-Mail-Adresse, Betrag).
  • Betrugsschutz: Stripe prüft Zahlungen auf Betrug und verwendet dafür auch Geräte- und Verbindungsmerkmale. Das geschieht in Stripes eigener Verantwortung (https://stripe.com/de/privacy).
  • Bei uns gespeichert werden Betrag, Status, Erstattungen und für jede Zahlung das Land der Rechnungsadresse, das Ausstellungsland der Karte und das aus der IP-Adresse ermittelte Land (nicht die IP-Adresse selbst) als Nachweis für die umsatzsteuerliche Einordnung.

Stripe verarbeitet Daten auch in den USA (Abschnitt 18). Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO), für die Nachweise und Aufbewahrung die steuerrechtlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

11. Steuerliche und behördliche Pflichten

  • Meldung von Gastgeber-Einkünften (DAC7): Als Plattformbetreiber müssen wir Einkünfte von Gastgebern jährlich an das Bundeszentralamt für Steuern melden. Dazu erheben wir von Gastgebern Name, Anschrift, Geburtsdatum, Steuer- Identifikationsnummer, gegebenenfalls USt-IdNr. und Handelsregisternummer, die IBAN sowie je Unterkunft Adresse, Grundbuch- bzw. Registernummer, Einkünfte, einbehaltene Gebühren und Anzahl der Übernachtungen. Steuer-ID und IBAN speichern wir verschlüsselt. Fehlen die Angaben nach zwei Erinnerungen, müssen wir Auszahlungen zurückhalten, bis sie vorliegen. Grundlage ist das PStTG; wir bewahren diese Angaben zehn Jahre nach Ablauf des Meldezeitraums auf. Gastgeber mit steuerlichem Wohnsitz außerhalb der EU (etwa in der Schweiz) melden wir nur für ihre Unterkünfte in der EU. Wer nur Unterkünfte außerhalb der EU anbietet, wird nicht gemeldet — Steuer-ID und IBAN fragen wir dann nicht ab.
  • Prüfung der USt-IdNr.: Hinterlegt ein Gastgeber eine USt-IdNr., prüfen wir sie beim MwSt-Informationsaustauschsystem der EU-Kommission (VIES) und beim Bundeszentralamt für Steuern — bei der qualifizierten Prüfung zusammen mit Firma und Anschrift. Das Ergebnis bestimmt, wie wir unsere Gebühr versteuern.
  • Kurzzeitvermietung (Verordnung (EU) 2024/1028): Für Aufenthalte in Unterkünften in Gebieten mit Registrierungspflicht übermitteln wir nach der Abreise über die zentrale digitale Zugangsstelle des jeweiligen Staates (in Deutschland bei der Bundesnetzagentur) an die zuständige Behörde je Aufenthalt: Anschrift und Registrierungsnummer der Unterkunft, den Link zum Inserat, An- und Abreise, die Zahl der Gäste und das Wohnsitzland des Buchenden (für Mitreisende „unbekannt") — ohne Namen. Ändert sich ein gemeldeter Aufenthalt oder wird er storniert, melden wir das nach. Was wir übermittelt haben, bewahren wir als Nachweis so lange auf wie die zugehörigen Buchungsbelege.
  • Aufbewahrung: Rechnungen, Zahlungs- und Buchungsbelege bewahren wir nach Handels- und Steuerrecht auf (§ 147 AO, § 257 HGB, § 14b UStG), je nach Unterlage bis zu zehn Jahre.
  • Anfragen von Behörden: Auf eine rechtlich begründete Anordnung (z. B. nach Art. 10 DSA oder der Strafprozessordnung) geben wir Daten an Gerichte und Behörden heraus, und nur die angeordneten.

Rechtsgrundlage ist jeweils die gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO).

12. Nachrichten, Support und Übersetzung

  • Nachrichten: Gäste, Gastgeber und Mitreisende können miteinander schreiben, auch in Gruppen. Wir speichern die Nachrichten, damit beide Seiten ihren Verlauf behalten — bis drei Jahre nach Ende des Jahres, in dem der Aufenthalt endete (oder die letzte Nachricht geschrieben wurde, wenn das später war), solange also noch Ansprüche aus der Buchung bestehen können; danach löschen wir den Verlauf. Chats mit dem Support löschen wir ebenso drei Jahre nach Ende des Jahres ihres Abschlusses. Bilder in Nachrichten werden ohne Metadaten und verschlüsselt gespeichert und nach 90 Tagen gelöscht, sofern sie nicht Teil einer Meldung sind (Abschnitt 13).
  • Support: Schreibst du uns über das Hilfe-Center oder per E-Mail, speichern wir deine E-Mail-Adresse, den Betreff, die Nachricht und Anhänge (verschlüsselt). Die Dringlichkeit einer Anfrage ordnen wir anhand von Stichwörtern automatisch vor; bearbeitet wird sie immer von einem Menschen. Anfragen löschen wir drei Jahre nach ihrem Abschluss.
  • Automatische Übersetzung: Sprichst du eine andere Sprache als dein Gegenüber, übersetzen wir Nachrichten, Support-Anfragen und Inseratstexte maschinell. Dazu übermitteln wir den Text — ohne Namen oder Kontaktdaten — an DeepL SE (Maarweg 165, 50825 Köln) oder an eine von uns selbst betriebene Übersetzungssoftware (LibreTranslate). Den Originaltext kannst du jederzeit einblenden.

Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, dass sich Gäste und Gastgeber verständigen können und Anfragen schnell beantwortet werden (Art. 6 Abs. 1 lit. f DSGVO).

13. Meldungen, Moderation und Sperren

Jeder kann Nachrichten, Inserate und Bewertungen melden, die gegen Gesetz oder unsere Nutzungsbedingungen verstoßen (Art. 16 DSA).

  • Was wir sichern: Bei der Meldung einer Nachricht frieren wir die gemeldete Nachricht und bis zu zehn Nachrichten davor und danach ein (mit Absendern), damit wir den Zusammenhang beurteilen können. Gemeldete Bilder bewahren wir 90 Tage auf, bei Verdacht auf Gewalt, sexuelle Inhalte oder Gefährdung von Kindern 180 Tage.
  • Entscheidung: Über eine Meldung entscheidet ein Mensch. Die betroffene Person erhält eine Begründung und kann widersprechen (Art. 17, 20 DSA). Einsicht in die gesicherten Inhalte wird protokolliert.
  • Speicherdauer: Meldungen und gesicherte Inhalte löschen wir zwei Jahre nach der Entscheidung, um wiederholten Missbrauch erkennen zu können (Art. 23 DSA).
  • Blockieren: Blockierst du jemanden, speichern wir das, damit er dir nicht mehr schreiben kann.

Rechtsgrundlage ist die gesetzliche Pflicht aus dem DSA (Art. 6 Abs. 1 lit. c DSGVO) und unser berechtigtes Interesse an einer sicheren Plattform (Art. 6 Abs. 1 lit. f DSGVO).

14. Benachrichtigungen

Wir benachrichtigen dich per E-Mail, in der App und per Push-Nachricht über Buchungen, Zahlungen, Nachrichten, Support-Anfragen und die Prüfung deiner Identität. Welche Kanäle du für welche Art von Benachrichtigung willst, stellst du in den Einstellungen ein.

  • Push-Nachrichten schicken wir nur, wenn du sie auf deinem Gerät erlaubt hast. Dafür speichern wir eine Gerätekennung und übermitteln sie zusammen mit Titel und Text der Nachricht — bei Chat-Nachrichten Name des Absenders und Anfang der Nachricht — an Firebase Cloud Messaging (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), auf iPhones zusätzlich an den Push-Dienst von Apple (Apple Distribution International Ltd., Irland). Beide verarbeiten Daten auch in den USA (Abschnitt 18). Firebase Analytics nutzen wir nicht.
  • Benachrichtigungen im Konto löschen wir nach zwölf Monaten.
  • Erinnerungen an deine Suche sind Werbung und kommen nur mit deiner Einwilligung: Sie sind ausgeschaltet, bis du sie in den Einstellungen unter „Erinnerungen an deine Suche“ einschaltest. Dann erinnern wir dich am Folgetag einmal an einen Ort, nach dem du gesucht hast, ohne zu buchen (in der App und, wenn du willst, per Push). Wann du sie ein- und ausgeschaltet hast, speichern wir als Nachweis drei Jahre über den Widerruf hinaus. Du kannst sie jederzeit wieder ausschalten; das berührt nicht, was bis dahin geschickt wurde.

Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO), für Push- Nachrichten deine Erlaubnis auf dem Gerät, für die Erinnerungen an deine Suche deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

15. Suche, Karten und Standort

  • Suchverlauf: Deine Suchen (Ort, Zeitraum, Gäste, Filter) speichern wir mit deinem Konto bzw. — ohne Anmeldung — mit der Sitzung, um dir deine letzten Suchen anzuzeigen und die Hinweise aus Abschnitt 14 zu senden. Wir löschen sie nach 180 Tagen und mit deinem Konto.
  • „In meiner Nähe": Nur wenn du auf der Website darauf tippst und es im Browser erlaubst, fragt der Browser deinen Standort ab. Wir verwenden ihn für diese eine Suche und speichern ihn nicht. Die App fragt keinen Standort ab.
  • Karten auf der Website: Kartenkacheln lädt dein Browser direkt von den Servern der OpenStreetMap Foundation (Vereinigtes Königreich); dabei erhält sie deine IP-Adresse. Auf Inseratsseiten lädt die Karte erst, wenn du sie öffnest.
  • Karten in der App: Auf dem iPhone zeigt die App die ungefähre Lage mit Apple Karten; Apple erhält dabei die Koordinaten des Kartenausschnitts. Auf Android und in der Kartenansicht der Suche lädt die App die Kartenkacheln von OpenStreetMap; die Kartensoftware selbst ist Teil der App.
  • Ortsnamen zur Karte: Um den Namen eines Kartenausschnitts anzuzeigen, fragt unser Server ihn bei Nominatim ab — mit den Koordinaten, ohne deine IP-Adresse.

Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO), für die Standortabfrage deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für den Suchverlauf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission.

16. Änderungsprotokoll zur Sicherheit

Änderungen an Konten, Inseraten, Buchungen, Zahlungen, steuerlichen Angaben und Identitätsprüfungen protokollieren wir: was geändert wurde (alter und neuer Wert), wann, von wem, von welcher IP-Adresse und mit welchem Browser. Passwörter, Zwei-Faktor-Geheimnisse, Steuer-ID, IBAN und das Geburtsdatum aus der Ausweisprüfung nehmen wir davon aus. Das Protokoll kann nachträglich nicht verändert werden.

Wir brauchen es, um Missbrauch und Kontoübernahmen aufzuklären und nachzuweisen, dass wir Daten ordnungsgemäß verarbeiten (Art. 5 Abs. 2, Art. 32 DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), bei Buchungen und Zahlungen auch die steuerrechtliche Pflicht zur Nachvollziehbarkeit (Art. 6 Abs. 1 lit. c DSGVO). Einträge löschen wir nach drei Jahren; Einträge zu Buchungen, Zahlungen und Abrechnungen so lange wie die zugehörigen Belege aufbewahrt werden müssen.

17. Empfänger

Deine Daten sehen nur die Mitarbeitenden, die sie für ihre Aufgabe brauchen. Darüber hinaus erhalten Daten:

Empfänger Wofür Sitz
Server4You GmbH Server, E-Mail (Auftragsverarbeiter) Deutschland
Stripe Payments Europe, Ltd. Zahlungen, Auszahlungskonten, Rechnungen an Gastgeber Irland, auch USA
Google Ireland Limited (Firebase Cloud Messaging) Push-Nachrichten Irland, auch USA
Apple Distribution International Ltd. Push-Nachrichten und Karten auf iPhones Irland, auch USA
DeepL SE Automatische Übersetzung Deutschland
OpenStreetMap Foundation Koordinaten zur Adresse, Kartenkacheln Vereinigtes Königreich
Bundeszentralamt für Steuern DAC7-Meldung, Prüfung der USt-IdNr. Deutschland
EU-Kommission (VIES) Prüfung der USt-IdNr. Belgien
Behörden für Kurzzeitvermietung (über die zentrale Zugangsstelle, in Deutschland die Bundesnetzagentur) Meldung je Aufenthalt nach VO (EU) 2024/1028 (Abschnitt 11) EU
Gast bzw. Gastgeber Was für die Buchung nötig ist (Abschnitt 9) —

Stripe (bei der Identitätsprüfung von Gastgebern und beim Betrugsschutz), Apple und Google (als Anbieter der App-Stores, über die du die App lädst) handeln in eigener Verantwortung. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

18. Übermittlung in Länder außerhalb der EU

Stripe, Google und Apple verarbeiten Daten auch in den USA. Alle drei sind nach dem EU-US Data Privacy Framework zertifiziert; für die USA gilt insoweit der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Ergänzend sind Standardvertragsklauseln der EU-Kommission vereinbart (Art. 46 Abs. 2 lit. c DSGVO). Für das Vereinigte Königreich (OpenStreetMap Foundation) gilt ein eigener Angemessenheitsbeschluss.

19. Wie lange wir Daten speichern

Wir löschen Daten, sobald wir sie für den Zweck nicht mehr brauchen und keine Aufbewahrungspflicht besteht. Im Überblick:

Daten Speicherdauer
Fehlerprotokolle des Servers 14 Tage
Sitzung mit IP-Adresse und Browser 2 Stunden nach der letzten Aktivität
Bilder in Nachrichten 90 Tage (bei Meldung bis 180 Tage)
Suchverlauf 180 Tage, spätestens mit dem Konto
Datenauskunft zum Herunterladen 7 Tage
Benachrichtigungen im Konto 12 Monate
Meldungen und gesicherte Inhalte 2 Jahre nach der Entscheidung
Nachrichten 3 Jahre nach Ende des Jahres, in dem der Aufenthalt endete oder die letzte Nachricht geschrieben wurde
Support-Anfragen 3 Jahre nach Abschluss
Änderungsprotokoll 3 Jahre, zu Buchungen und Zahlungen wie die Belege
Ausweisbild bis die Prüfung entschieden ist
Konto, Profil, Ergebnis der Ausweisprüfung mit Geburtsdatum bis zur Löschung des Kontos
Nachweise über Einwilligungen und Widersprüche 3 Jahre nach Widerruf bzw. Kontolöschung
DAC7-Angaben 10 Jahre nach Ablauf des Meldezeitraums
Rechnungen, Buchungs- und Zahlungsbelege bis zu 10 Jahre (§ 147 AO, § 257 HGB)

20. Löschung deines Kontos

Du kannst dein Konto jederzeit selbst löschen — in der App unter Profil, auf der Website unter Einstellungen → Datenschutz. Deine Inserate gehen sofort offline. Das Konto bleibt 30 Tage bestehen; meldest du dich in dieser Zeit an, kannst du die Löschung widerrufen. Solange eine Buchung läuft oder bevorsteht oder eine Auszahlung aussteht, ist die Löschung noch nicht möglich.

Nach 30 Tagen löschen wir: Name, E-Mail-Adresse, Telefonnummer, Profilangaben und Profilbild, Ausweisdokumente, Anmeldedaten, Passkeys, Geräte, Merklisten, Suchverlauf, Benachrichtigungen, Blockierungen, deine Anbieterkennzeichnung, deine Inseratsfotos (bis auf je ein Titelbild, damit frühere Gäste ihre Buchung wiedererkennen) und dein Kundenkonto bei Stripe samt gespeicherten Zahlungsmethoden.

Erhalten bleiben, weil andere ein berechtigtes Interesse daran haben oder das Gesetz es verlangt:

  • Bewertungen und Nachrichtenverläufe (diese bis zum Ablauf ihrer Frist, Abschnitt 12), damit die andere Seite ihre Buchungshistorie behält — dein Name wird dort durch „Gelöschter Nutzer" ersetzt;
  • Rechnungen, Buchungs- und Zahlungsbelege und DAC7-Angaben für die Dauer der gesetzlichen Aufbewahrung (Abschnitt 19). Rechnungen tragen Name und Anschrift, die zum Zeitpunkt der Rechnung galten; das ist gesetzlich vorgeschrieben;
  • Support-Anfragen, Meldungen, Einwilligungsnachweise und das Änderungsprotokoll für die in Abschnitt 19 genannten Fristen.

Eine erneute Registrierung mit derselben E-Mail-Adresse ist möglich. Einzelheiten und den Weg ohne Zugang zum Konto findest du unter Konto löschen, einzelne Daten entfernen lassen kannst du über Daten löschen.

21. Deine Rechte

Du hast das Recht,

  • Auskunft über deine Daten zu erhalten (Art. 15 DSGVO) — eine Kopie deiner Daten kannst du in den Datenschutz-Einstellungen selbst herunterladen,
  • falsche Daten berichtigen zu lassen (Art. 16),
  • Daten löschen zu lassen (Art. 17) oder ihre Verarbeitung einschränken zu lassen (Art. 18),
  • deine Daten in einem gängigen Format zu erhalten oder übertragen zu lassen (Art. 20),
  • eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3),
  • dich bei einer Aufsichtsbehörde zu beschweren (Art. 77) — zum Beispiel bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du dem aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine Einwilligung — etwa in die Erinnerungen an deine Suche (Abschnitt 14) — kannst du jederzeit ohne Angabe von Gründen widerrufen (Art. 7 Abs. 3 DSGVO).

Eine E-Mail an hallo@quartavo.com genügt. Wir antworten innerhalb eines Monats.

22. Automatisierte Entscheidungen

Wir treffen keine Entscheidungen, die allein auf automatisierter Verarbeitung beruhen und dich erheblich beeinträchtigen (Art. 22 DSGVO). Automatisch laufen nur Abläufe, deren Regeln feststehen und die du kennst: der Verfall unbezahlter Anfragen, die Zuordnung deiner Gebühr zu einer Steuerregel anhand deines Sitzes und deiner USt-IdNr., und das gesetzlich vorgeschriebene Zurückhalten von Auszahlungen, wenn DAC7-Angaben trotz zweier Erinnerungen fehlen (Abschnitt 11). Die Reihenfolge der Suchergebnisse ist zufällig oder folgt der Sortierung, die du wählst.

23. Musst du Daten angeben?

Ohne Name, E-Mail-Adresse und Identitätsprüfung können wir dir kein Konto bzw. keine Buchung anbieten; Gastgeber müssen außerdem die DAC7-Angaben machen, weil das Gesetz es verlangt. Alle Profilangaben über den Namen hinaus sind freiwillig.

Ein Konto anlegen und Quartavo nutzen dürfen nur Personen ab 18 Jahren (§ 3 der Nutzungsbedingungen). Daten von Mitreisenden, auch von Kindern, verarbeiten wir nur, soweit der Buchende sie angibt (Abschnitt 9).

24. Änderungen

Ändern sich die Plattform oder die Rechtslage, passen wir diese Erklärung an. Die jeweils aktuelle Fassung steht auf dieser Seite, mit dem Datum ihres Stands. Die Nutzungsbedingungen und das Impressum gelten ergänzend.