DSGVO-Konformität
Zuletzt aktualisiert: 29. September 2026
Unser Engagement für die DSGVO
RiFa Holding & Advertising GmbH ("LobbyFlight", "wir", "uns" oder "unser") verpflichtet sich, Ihre personenbezogenen Daten zu schützen und Ihre Datenschutzrechte gemäß der Datenschutz-Grundverordnung (DSGVO) (EU) 2016/679 zu respektieren. Diese Seite beschreibt, wie wir die DSGVO-Anforderungen erfüllen und Ihre Rechte als betroffene Person schützen.
Ihre Rechte gemäß DSGVO
Als betroffene Person gemäß DSGVO haben Sie folgende Rechte bezüglich Ihrer personenbezogenen Daten:
1. Auskunftsrecht (Artikel 15)
Sie haben das Recht, eine Bestätigung darüber zu erhalten, ob wir Ihre personenbezogenen Daten verarbeiten, und wenn ja, Zugang zu den Daten und Informationen darüber, wie sie verarbeitet werden.
2. Recht auf Berichtigung (Artikel 16)
Sie haben das Recht, die Berichtigung unrichtiger personenbezogener Daten zu verlangen und unvollständige personenbezogene Daten vervollständigen zu lassen.
3. Recht auf Löschung/"Recht auf Vergessenwerden" (Artikel 17)
Sie haben das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen, wenn diese für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind, oder wenn Sie Ihre Einwilligung widerrufen.
4. Recht auf Einschränkung der Verarbeitung (Artikel 18)
Sie haben das Recht zu verlangen, dass wir die Verarbeitung Ihrer personenbezogenen Daten unter bestimmten Umständen einschränken.
5. Recht auf Datenübertragbarkeit (Artikel 20)
Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese an einen anderen Verantwortlichen zu übermitteln.
6. Widerspruchsrecht (Artikel 21)
Sie haben das Recht, der Verarbeitung Ihrer personenbezogenen Daten zu Direktmarketingzwecken oder auf Basis berechtigter Interessen zu widersprechen.
7. Rechte bei automatisierter Entscheidungsfindung (Artikel 22)
Sie haben das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet.
Rechtsgrundlagen für die Verarbeitung
Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:
- Einwilligung (Artikel 6(1)(a)): Wenn Sie ausdrücklich unserer Verarbeitung Ihrer personenbezogenen Daten für bestimmte Zwecke zustimmen
- Vertrag (Artikel 6(1)(b)): Wenn die Verarbeitung für die Erfüllung unserer Servicevereinbarung mit Ihnen erforderlich ist
- Rechtliche Verpflichtung (Artikel 6(1)(c)): Wenn wir gesetzlich verpflichtet sind, Ihre Daten zu verarbeiten
- Berechtigte Interessen (Artikel 6(1)(f)): Wenn die Verarbeitung für unsere berechtigten Interessen erforderlich ist, außer wenn Ihre Rechte überwiegen
Datenschutzmaßnahmen
Wir implementieren angemessene technische und organisatorische Maßnahmen, um die Sicherheit Ihrer personenbezogenen Daten zu gewährleisten:
Technische Maßnahmen
- • TLS-Verschlüsselung aller Daten bei der Übertragung
- • Sicheres Passwort-Hashing (bcrypt)
- • Regelmäßige Sicherheitsupdates und Patches
- • Firewall- und Intrusion-Detection-Systeme
- • Regelmäßige Datensicherungen
Organisatorische Maßnahmen
- • Mitarbeiterschulung zum Datenschutz
- • Zugangskontrolle und Autorisierung
- • Datenverarbeitungsvereinbarungen mit Partnern
- • Regelmäßige Datenschutz-Folgenabschätzungen
- • Verfahren zur Reaktion auf Vorfälle
Datenverarbeitungsaktivitäten
| Datenkategorie | Zweck | Rechtsgrundlage | Aufbewahrungsfrist |
|---|---|---|---|
| Kontoinformationen | Servicebereitstellung | Vertrag | Vertragsdauer + 6 Jahre |
| Zahlungsdaten | Abrechnung und Rechnungsstellung | Vertrag, Rechtliche Verpflichtung | 7 Jahre (österreichisches Steuerrecht, § 132 BAO) |
| Nutzungsdaten | Service-Verbesserung | Berechtigtes Interesse | 90 Tage |
| Marketingdaten | Newsletter, Promotionen | Einwilligung | Bis zum Widerruf der Einwilligung |
| Gästedaten (Flight Concierge) | Flugverfolgung und Gästebenachrichtigungen im Auftrag des Hotels | Auftragsverarbeitung für das Hotel (Art. 28 DSGVO); die Rechtsgrundlage bestimmt das Hotel | 30 Tage nach Abschluss oder Stornierung des Fluges |
| Support-Daten | Kundenservice | Vertrag, Berechtigtes Interesse | 3 Jahre |
Internationale Datenübermittlungen
Wenn wir personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR) übermitteln, stellen wir angemessene Schutzmaßnahmen sicher:
- EU-US Data Privacy Framework-Zertifizierung für US-Übermittlungen
- Standardvertragsklauseln (SCCs), die von der Europäischen Kommission genehmigt wurden
- Angemessenheitsbeschlüsse für Länder mit gleichwertigem Datenschutzniveau
Drittanbieter-Datenverarbeiter
Wir arbeiten mit den folgenden Auftragsverarbeitern und Dienstleistern zusammen. Die Unterauftragsverarbeiter für Gästedaten des Flight Concierge sind in Anlage 2 unseres Auftragsverarbeitungsvertrags aufgeführt.
Stripe (Zahlungsabwicklung)
Standort: USA | Garantie: EU-US Data Privacy Framework, Standardvertragsklauseln
Vercel (Hosting, Infrastruktur & Web-Analyse)
Standort: USA | Schutzmaßnahme: SCCs, ISO 27001; Web-Analyse nur mit Ihrer Einwilligung, ohne Cookies
Google Analytics & Google Ads (Analyse, Werbemessung)
Standort: USA | Garantie: EU-US Data Privacy Framework, Standardvertragsklauseln; nur mit Ihrer Einwilligung
AviationStack (Flugdaten-API)
Übermittelt werden nur Flugnummern, Daten und Flughafencodes | Es werden keine personenbezogenen Daten übermittelt
Resend (E-Mail-Versand)
Standort: USA | Garantie: Standardvertragsklauseln
Google Maps Platform (Fahrzeiten)
Standort: USA | Garantie: EU-US Data Privacy Framework, Standardvertragsklauseln
AeroDataBox über RapidAPI (Flugdaten)
Standort: USA | Garantie: Standardvertragsklauseln; übermittelt werden nur Flugnummern und -daten, keine Gästenamen
OpenWeatherMap (Wetterdaten)
Standort: Vereinigtes Königreich | Garantie: Angemessenheitsbeschluss der EU; übermittelt werden nur Orte, keine personenbezogenen Daten
Supabase (Datenbank)
Standort: USA (Supabase Inc.); Datenbankregion gemäß Projektkonfiguration | Garantie: Standardvertragsklauseln
Upstash über Vercel KV (Caching und Ratenbegrenzung)
Standort: USA (Upstash Inc.) | Garantie: Standardvertragsklauseln; IP-Adressen werden nur für die Dauer des Begrenzungsfensters gespeichert
Anthropic (Übersetzung von Info-Folien-Texten)
Standort: USA | Garantie: Standardvertragsklauseln; nur Folientexte, die ein Hotel übersetzen lässt, keine Gästedaten
Brevo (Newsletter)
Standort: Frankreich | Garantie: Verarbeitung in der EU; nur bei Newsletter-Anmeldung
PostHog (Produktanalyse)
Standort: USA (PostHog Inc.) | Garantie: Standardvertragsklauseln; nur mit Ihrer Einwilligung
Meta (Werbemessung)
Standort: Irland / USA | Garantie: EU-US Data Privacy Framework; nur mit Marketing-Einwilligung; E-Mail-Adressen werden nur als Hashwert übermittelt
Web-Push-Dienste (Gästebenachrichtigungen)
Standort: abhängig vom Browser des Gastes (z. B. Google, Apple, Mozilla, Microsoft) | Garantie: Inhalt der Benachrichtigungen Ende-zu-Ende-verschlüsselt; EU-US Data Privacy Framework / Standardvertragsklauseln, soweit anwendbar
Meldung von Datenschutzverletzungen
Im Falle einer Verletzung des Schutzes personenbezogener Daten werden wir:
- Die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden der Verletzung benachrichtigen
- Alle Verletzungen dokumentieren, einschließlich der Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen
- Betroffene Personen unverzüglich benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko zur Folge hat
- Vollständig mit den Aufsichtsbehörden bei deren Untersuchung zusammenarbeiten
Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
Wir implementieren Datenschutz-durch-Technikgestaltung-Prinzipien in all unseren Betriebsabläufen:
- Datenminimierung - wir erheben nur Daten, die für bestimmte Zwecke erforderlich sind
- Zweckbindung - Daten werden nur für die angegebenen Zwecke verwendet
- Datenschutzeinstellungen sind standardmäßig auf den höchsten Schutz eingestellt
- Regelmäßige Datenschutz-Folgenabschätzungen für neue Funktionen
- Pseudonymisierung und Verschlüsselung, wo möglich
Datenschutz für Kinder
Unsere Dienste richten sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Wenn wir erfahren, dass ein Kind unter 16 Jahren uns personenbezogene Daten bereitgestellt hat, werden wir Maßnahmen ergreifen, um diese Informationen zu löschen.
Ausübung Ihrer Rechte
Um eines Ihrer DSGVO-Rechte auszuüben, kontaktieren Sie uns bitte über die unten angegebenen Informationen. Wir werden auf Ihre Anfrage innerhalb eines Monats antworten, wobei komplexe Anfragen bis zu drei Monate dauern können.
Wichtig: Um Ihre Privatsphäre zu schützen, müssen wir möglicherweise Ihre Identität überprüfen, bevor wir Ihre Anfrage bearbeiten. Wir werden niemals eine Gebühr für die Ausübung Ihrer Rechte erheben, es sei denn, Anfragen sind offensichtlich unbegründet oder übermäßig.
Datenschutzbeauftragter
Wir haben einen Datenschutzbeauftragten (DSB) ernannt, um unsere DSGVO-Konformität zu überwachen:
Datenschutzbeauftragter
RiFa Holding & Advertising GmbH
E.v. Behringstraße 14
9500 Villach, Austria
E-Mail: info@lobbyflight.com
Aufsichtsbehörde
Sie haben das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen, wenn Sie glauben, dass Ihre Rechte verletzt wurden. Die federführende Aufsichtsbehörde für unsere Organisation ist:
Österreichische Datenschutzbehörde
Barichgasse 40-42
1030 Wien, Austria
Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Website: www.dsb.gv.at
Aktualisierungen dieser Richtlinie
Wir können diese DSGVO-Konformitätsinformationen von Zeit zu Zeit aktualisieren, um Änderungen unserer Praktiken oder rechtlichen Anforderungen widerzuspiegeln. Wir werden Sie über wesentliche Änderungen informieren, indem wir die neuen Informationen auf dieser Seite veröffentlichen und das Datum "Zuletzt aktualisiert" aktualisieren.