Datenschutz­erklärung

Stand: November 2026

Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Vertreten durch: Kutbettin Eroglu (Geschäftsführer)

Telefon

+49 30 24336560

E-Mail

eroglu@eroglumail.com

Die MonaLiving GmbH betreibt das Monalisa Hotel & Living (Eiswerderstraße 12, 13585 Berlin). Fragen zum Datenschutz und Anliegen zu deinen Rechten schickst du am besten per E-Mail an eroglu@eroglumail.com.

Das Wichtigste in Kürze

• Diese Website setzt keine Cookies und speichert selbst keine Daten in deinem Browser. Nur die Sicherheitsprüfung am Anfrageformular kann dort technisch notwendige Informationen ablegen (siehe „Sicherheitsprüfung mit Cloudflare Turnstile“).
• Für eine Besucherstatistik nutzen wir Cloudflare Web Analytics: ohne Cookies, ohne dich wiederzuerkennen und nur mit zusammengefassten Zahlen (siehe „Besucherstatistik mit Cloudflare Web Analytics“). Darüber hinaus nutzen wir keine Analyse-, Statistik- oder Werbedienste, keine Social-Media-Plugins, keine eingebetteten Karten oder Videos und keine Schriften von fremden Servern. Wir verfolgen nicht, wie du dich auf der Website bewegst. (Zum Zählpixel in der Eingangsbestätigung per E-Mail siehe „E-Mails über Brevo“.)
• Ein Cookie-Banner gibt es nicht: Wir setzen keine Cookies und keine Dienste ein, die dich wiedererkennen oder über Websites hinweg verfolgen.
• Personenbezogene Daten verarbeiten wir nur, um dir die Website auszuliefern und sie zu schützen, um zu zählen, wie viele Menschen sie besuchen, und um deine Anfrage zu beantworten, wenn du uns über das Formular schreibst. Dafür setzen wir Cloudflare (Hosting, Besucherstatistik, Datenbank, Sicherheitsprüfung) und Brevo (E-Mail-Versand) ein; deine Anfrage kommt im Postfach des Hotels bei Google (Gmail) an.

Hosting und Auslieferung der Website

Die Website wird über das weltweite Servernetz von Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA („Cloudflare“) ausgeliefert. Wenn du eine Seite aufrufst, verbindet sich dein Browser mit einem Rechenzentrum von Cloudflare, meist mit einem in deiner Nähe. Damit die Seite bei dir ankommt, verarbeitet Cloudflare die Daten, die dein Browser bei jedem Abruf technisch bedingt mitschickt:

• deine IP-Adresse,
• Datum und Uhrzeit des Abrufs,
• die aufgerufene Adresse (URL) und die Seite, von der du kommst (Referrer), soweit dein Browser sie sendet,
• Angaben zu Browser, Betriebssystem und Spracheinstellung (User-Agent und weitere Kopfzeilen),
• die übertragene Datenmenge und ob der Abruf erfolgreich war.

Zweck ist, die Seiten schnell und zuverlässig auszuliefern und die Website vor Angriffen und Überlastung zu schützen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und stabilen Betrieb der Website.

Cloudflare handelt dabei als unser Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Soweit Cloudflare Daten auch für eigene Zwecke verarbeitet, etwa um sein Netz gegen Angriffe abzusichern, ist Cloudflare dafür selbst verantwortlich. Wir selbst legen keine Protokolldateien über deine Seitenaufrufe an und werten keine Zugriffsdaten zu einzelnen Personen aus. Mehr dazu in der Datenschutzerklärung von Cloudflare.

Besucherstatistik mit Cloudflare Web Analytics

Um zu sehen, wie viele Menschen unsere Website besuchen und wie schnell die Seiten laden, nutzen wir Cloudflare Web Analytics. Anbieter ist Cloudflare, Inc. (Anschrift unter „Hosting und Auslieferung der Website“). Beim Aufruf einer Seite lädt dein Browser dafür ein kleines Skript von static.cloudflareinsights.com. Es misst die Lade- und Anzeigezeiten der Seite und schickt diese Messwerte zusammen mit der aufgerufenen Adresse und der Seite, von der du kommst (Referrer), an unsere eigene Domain, wo Cloudflare sie entgegennimmt. Wie bei jedem Abruf erhält Cloudflare dabei auch deine IP-Adresse und die Angaben deines Browsers (siehe „Hosting und Auslieferung der Website“).

Das Skript setzt keine Cookies und legt nichts im Speicher deines Browsers ab. Nach eigenen Angaben erkennt Cloudflare dich nicht wieder, erstellt keinen Fingerabdruck deines Browsers und verwirft deine IP-Adresse im empfangenden Rechenzentrum, ohne sie zu speichern. Wir sehen nur zusammengefasste Zahlen, etwa Besuche und Seitenaufrufe, Herkunftsländer, verweisende Websites, Gerätetypen, Browser und Ladezeiten, und keine Angaben zu einzelnen Personen. Blockiert dein Browser das Skript, etwa mit einem Inhaltsblocker, funktioniert die Website ganz normal.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, zu erfahren, wie viele Menschen unsere Website nutzen, wie sie zu uns finden und ob die Seiten schnell genug laden. Cloudflare handelt dabei als unser Auftragsverarbeiter. Mehr dazu in der Datenschutzerklärung von Cloudflare.

Anfrageformular

Auf unserer Startseite kannst du uns über ein Formular eine Anfrage schicken. Dabei verarbeiten wir:

• deinen Namen und deine E-Mail-Adresse (Pflichtangaben),
• die Art des Aufenthalts, die du auswählst (Kurzaufenthalt, Langzeitaufenthalt, Gruppe / Firma oder Sonstiges),
• deine Reisedaten (Anreise, Abreise) und deine Nachricht – mindestens eins von beiden brauchen wir, um dir antworten zu können,
• freiwillig deine Telefonnummer und die Zahl der Personen,
• die Sprache der Seite, von der du die Anfrage sendest, damit wir dir in dieser Sprache antworten,
• Datum und Uhrzeit des Eingangs und eine zufällig erzeugte Referenznummer.

Mit dem Häkchen unter dem Formular bestätigst du, dass du diese Datenschutzerklärung gelesen hast. Das ist keine Einwilligung, und wir speichern das Häkchen nicht.

Zweck und Rechtsgrundlage

Wir verwenden deine Angaben, um deine Anfrage zu bearbeiten und dir zu antworten, zum Beispiel mit Informationen zu einem Aufenthalt oder einem Angebot. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Die Bearbeitung deiner Anfrage ist eine vorvertragliche Maßnahme, die auf deine Anfrage hin erfolgt. Betrifft deine Anfrage keinen Aufenthalt, etwa bei einer allgemeinen Frage, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, Anfragen an uns zu beantworten.

Speicherung in der Datenbank

Damit keine Anfrage verloren geht, auch wenn der E-Mail-Versand einmal scheitert, speichern wir jede Anfrage mit den oben genannten Angaben in einer Datenbank bei Cloudflare (Cloudflare D1), dazu einen Vermerk, ob die E-Mail an uns versendet wurde. Die Datenbank ist so eingerichtet, dass sie ausschließlich innerhalb der Europäischen Union betrieben wird und ihre Daten nur dort speichert.

Ein automatischer Ablauf löscht jede Anfrage 90 Tage nach ihrem Eingang aus der Datenbank. Derselbe Ablauf prüft einmal täglich, ob eine E-Mail nicht zugestellt wurde; seine Meldung enthält nur Referenznummer und Datum, keine Inhalte. Für die Wiederherstellung nach technischen Fehlern hält Cloudflare frühere Stände der Datenbank vor: Eine gelöschte Anfrage lässt sich deshalb noch bis zu 30 Tage lang wiederherstellen, danach ist sie endgültig entfernt. Wir nutzen das nur, um nach einem Fehler verloren gegangene Anfragen zu retten. Unser Server schreibt keine Inhalte aus dem Formular und keine IP-Adressen in seine Fehlerprotokolle, und diese Protokolle werden nicht dauerhaft gespeichert.

E-Mails über Brevo

Deine Anfrage schicken wir als E-Mail an das Postfach des Hotels. Die E-Mail enthält alle Angaben aus dem Formular; als Antwortadresse ist deine E-Mail-Adresse eingetragen, damit wir dir direkt antworten können. An die E-Mail-Adresse, die du angegeben hast, schicken wir außerdem eine kurze Eingangsbestätigung. Sie besteht aus einem festen Text und enthält keine deiner Angaben.

Beide E-Mails versenden wir über den E-Mail-Dienst Brevo. Unser Vertragspartner ist die Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland („Brevo“). Brevo handelt als unser Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO und speichert die Daten in Rechenzentren in der EU. Zu jeder versendeten E-Mail führt Brevo ein Versandprotokoll mit Empfängeradresse, Betreff, Zeitpunkt und Zustellstatus; der Betreff der E-Mail an uns enthält deinen Namen. In unserem Brevo-Konto ist eingestellt, dass diese Protokolle nach einem Monat gelöscht werden und Brevo keine Vorschau des E-Mail-Inhalts speichert. Mehr dazu in der Datenschutzerklärung von Brevo.

Brevo fügt E-Mails im HTML-Format technisch ein unsichtbares Zählpixel hinzu. Lädt dein E-Mail-Programm beim Öffnen der Eingangsbestätigung Bilder nach, ruft es dieses Pixel von einem Server von Brevo ab; Brevo erhält dabei deine IP-Adresse und Angaben zu deinem E-Mail-Programm und kann die Öffnung zählen. In unserem Brevo-Konto ist eingestellt, dass Öffnungen nicht dir zugeordnet, sondern nur anonym in einer Gesamtstatistik gezählt werden. Wir selbst werten nicht aus, ob oder wann du unsere E-Mails öffnest. Lädt dein E-Mail-Programm Bilder nicht automatisch nach, wird das Pixel nicht abgerufen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der zuverlässige Versand unserer E-Mails über einen darauf spezialisierten Dienst.

Im Postfach des Hotels bewahren wir die E-Mail auf, solange wir sie für deine Anfrage und einen daraus entstehenden Aufenthalt brauchen. Danach löschen wir sie, es sei denn, gesetzliche Aufbewahrungspflichten stehen dem entgegen, etwa nach Handels- und Steuerrecht, wenn aus deiner Anfrage eine Buchung wird.

Das Postfach des Hotels ist ein E-Mail-Konto bei Gmail. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google speichert die E-Mails auf seinen Servern, um uns das Postfach bereitzustellen, und verarbeitet dabei auch die Angaben aus deiner Anfrage. Mehr dazu in der Datenschutzerklärung von Google.

Sicherheitsprüfung mit Cloudflare Turnstile

Damit Programme das Formular nicht massenhaft mit Spam füllen, prüfen wir mit Cloudflare Turnstile, ob ein Mensch es absendet. Anbieter ist Cloudflare, Inc. (Anschrift unter „Hosting und Auslieferung der Website“). Turnstile wird nur auf der Startseite mit dem Formular geladen, und in der Regel erst, wenn du zum Formular scrollst oder es benutzt. Dann lädt dein Browser ein Skript und ein kleines Prüffenster von challenges.cloudflare.com. Die Prüfung läuft automatisch; nur in Einzelfällen bittet Turnstile dich, ein Kästchen anzuklicken.

Für die Prüfung erhebt Cloudflare Daten über deinen Browser und deine Verbindung, insbesondere deine IP-Adresse, die Kennung deines Browsers (User-Agent), technische Merkmale der verschlüsselten Verbindung (TLS-Fingerprint) sowie den Schlüssel und die Adresse unserer Website. Dafür liest Turnstile Informationen aus deinem Browser aus und kann Informationen im Speicher deines Browsers ablegen. Ergebnis der Prüfung ist ein Prüfzeichen (Token), das nur einmal gültig ist und mit dem Formular gesendet wird. Unser Server schickt das Token zusammen mit deiner IP-Adresse an Cloudflare, um es bestätigen zu lassen; ohne gültiges Token nehmen wir die Anfrage nicht an.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz des Formulars und unseres Postfachs vor automatisiertem Missbrauch. Das Auslesen und Ablegen von Informationen in deinem Browser ist nach § 25 Abs. 2 Nr. 2 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) ohne Einwilligung erlaubt, weil es unbedingt erforderlich ist, um den von dir ausdrücklich gewünschten Dienst bereitzustellen: das sichere Absenden deiner Anfrage.

Für die Prüfung handelt Cloudflare als unser Auftragsverarbeiter. Cloudflare nutzt die Daten außerdem in eigener Verantwortung, um die Bot-Erkennung von Turnstile zu verbessern. Einzelheiten stehen in den Datenschutzhinweisen von Cloudflare zu Turnstile (auf Englisch).

Schutz vor Missbrauch

Damit niemand das Formular mit massenhaften Einsendungen überlastet, nehmen wir von derselben IP-Adresse höchstens 5 Anfragen innerhalb von 60 Sekunden an. Bei IPv6-Adressen zählen wir dafür den /64-Adressblock, der meist zu einem einzelnen Internetanschluss gehört. Dazu nutzt unser Server die Ratenbegrenzung von Cloudflare: Die Adresse dient nur als Schlüssel eines Zählers, der nach 60 Sekunden verfällt. Wir speichern sie weder in unserer Datenbank noch in Protokollen.

Das Formular enthält außerdem ein Feld, das Menschen nicht sehen. Ist es ausgefüllt – das tun fast nur Programme –, verwerfen wir die Einsendung, ohne sie zu speichern oder weiterzuleiten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz des Formulars vor Missbrauch und Überlastung.

Externe Links

Unsere Seiten verlinken auf andere Websites, zum Beispiel mit „Route planen“ auf Google Maps. Das sind einfache Links: Solange du sie nicht anklickst, baut dein Browser keine Verbindung zu diesen Anbietern auf, und sie erhalten keine Daten. Erst wenn du einen Link anklickst, öffnet sich die andere Website. Der Anbieter erhält dann die üblichen Verbindungsdaten wie deine IP-Adresse und in der Regel die Adresse unserer Website, von der du kommst. Für „Route planen“ ist das Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Für die Verarbeitung auf diesen Websites ist der jeweilige Anbieter verantwortlich, und es gelten seine Datenschutzhinweise, für Google Maps die Datenschutzerklärung von Google.

Empfänger

Deine Daten erhalten nur:

• die Mitarbeitenden des Hotels, die deine Anfrage bearbeiten,
• Cloudflare als Auftragsverarbeiter für Hosting, Besucherstatistik, Datenbank, Sicherheitsprüfung und Ratenbegrenzung,
• Brevo als Auftragsverarbeiter für den E-Mail-Versand,
• Google als Anbieter des Postfachs des Hotels (Gmail), in dem deine Anfrage ankommt,
• IT-Dienstleister, die die Website in unserem Auftrag betreuen, soweit sie dafür Zugriff brauchen.

Unsere Auftragsverarbeiter setzen ihrerseits Unterauftragsverarbeiter ein, etwa Betreiber von Rechenzentren. Wir verkaufen deine Daten nicht und geben sie nicht für Werbung weiter. Anderen Stellen übermitteln wir Daten nur, wenn wir gesetzlich dazu verpflichtet sind, zum Beispiel auf Anordnung einer Behörde oder eines Gerichts.

Übermittlung in Drittländer

Cloudflare hat seinen Sitz in den USA und betreibt Rechenzentren auf der ganzen Welt. Beim Aufruf der Website, bei der Besucherstatistik, beim Absenden des Formulars und bei der Sicherheitsprüfung können Daten deshalb auch in den USA oder in anderen Ländern außerhalb der EU verarbeitet werden. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; Übermittlungen in die USA stützen sich damit auf den Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Für andere Drittländer gelten die Standardvertragsklauseln der Europäischen Kommission, die Teil unseres Vertrags mit Cloudflare sind (Art. 46 Abs. 2 lit. c DSGVO). Die Datenbank mit deinen Anfragen liegt dagegen ausschließlich in der EU.

Brevo speichert die Daten in Rechenzentren in der EU. Für Wartung und Support setzt Brevo auch Unternehmen der eigenen Gruppe und Dienstleister außerhalb der EU ein, unter anderem in den USA und in Indien. Soweit sie dabei Zugriff auf Daten erhalten, ist die Übermittlung durch das EU-US Data Privacy Framework oder durch Standardvertragsklauseln abgesichert.

Google kann die E-Mails im Postfach des Hotels auch auf Servern außerhalb der EU verarbeiten, insbesondere in den USA. Nach eigenen Angaben stützt Google solche Übermittlungen auf das EU-US Data Privacy Framework, nach dem die Google LLC zertifiziert ist, und auf Standardvertragsklauseln.

Speicherdauer

Zugriffsdaten beim Aufruf der Website

Wir speichern sie nicht selbst. Cloudflare bewahrt Protokolldaten nach eigenen Angaben nur so lange auf, wie es für den jeweiligen Zweck erforderlich ist.

Daten der Besucherstatistik

Deine IP-Adresse speichert Cloudflare dafür nicht. Die Messwerte bewahrt Cloudflare nach eigenen Angaben 7 Tage vollständig auf, danach nur noch als Stichprobe von etwa 10 %. Die zusammengefasste Statistik können wir 6 Monate lang abrufen.

Anfragen in der Datenbank

90 Tage nach Eingang automatisch gelöscht; danach noch bis zu 30 Tage in den Wiederherstellungsständen der Datenbank.

E-Mail im Postfach des Hotels

Bis deine Anfrage und ein daraus entstehender Aufenthalt abgeschlossen sind; länger nur, soweit gesetzliche Aufbewahrungsfristen gelten, etwa nach Handels- und Steuerrecht.

Versandprotokolle bei Brevo

Ein Monat. Öffnungen zählt Brevo nur anonym, ohne Bezug zu dir.

Zähler der Ratenbegrenzung

60 Sekunden.

Daten der Turnstile-Prüfung

Das Token gilt nur für eine Prüfung. Die Prüfdaten bewahrt Cloudflare nach eigenen Angaben nur so lange auf, wie es für den jeweiligen Zweck erforderlich ist.

Deine Rechte

Nach der DSGVO hast du das Recht,

• Auskunft über die Daten zu verlangen, die wir über dich verarbeiten (Art. 15),
• unrichtige Daten berichtigen zu lassen (Art. 16),
• die Löschung deiner Daten zu verlangen (Art. 17),
• die Einschränkung der Verarbeitung zu verlangen (Art. 18),
• zu erfahren, welchen Empfängern wir eine Berichtigung, Löschung oder Einschränkung mitgeteilt haben (Art. 19),
• die Daten, die du uns gegeben hast, in einem gängigen, maschinenlesbaren Format zu erhalten oder an eine andere Stelle übermitteln zu lassen (Art. 20),
• der Verarbeitung zu widersprechen (Art. 21, siehe unten).

Schreib uns dafür einfach an eroglu@eroglumail.com oder per Post an die Anschrift unter „Verantwortlicher“. Damit wir keine Daten an die falsche Person herausgeben, können wir dich bitten, deine Identität zu bestätigen.

Widerspruchsrecht

Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), kannst du dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerde bei einer Aufsichtsbehörde

Wenn du meinst, dass wir deine Daten nicht rechtmäßig verarbeiten, kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat, in dem du lebst oder arbeitest oder in dem der mutmaßliche Verstoß stattfand. Für uns zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59-61
10555 Berlin
Deutschland

Beschwerde bei der Berliner Beauftragten einreichen

Musst du uns Daten geben?

Du bist weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten zu geben. Ohne deinen Namen, deine E-Mail-Adresse und deine Reisedaten oder eine Nachricht können wir deine Anfrage aber nicht bearbeiten; alle weiteren Angaben im Formular sind freiwillig. Deine IP-Adresse wird beim Aufruf der Website und beim Absenden des Formulars technisch bedingt verarbeitet; ohne sie kann die Website nicht ausgeliefert werden.

Keine automatisierten Entscheidungen

Wir treffen keine ausschließlich automatisierten Entscheidungen einschließlich Profiling, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die automatische Sicherheitsprüfung und die Ratenbegrenzung schützen nur das Formular vor Missbrauch: Wird eine Einsendung abgewiesen, kannst du sie einfach erneut senden. Deine Anfrage selbst bearbeiten Menschen.

Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Website oder unsere Datenverarbeitung ändert, etwa wenn neue Funktionen hinzukommen. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung; das Datum am Anfang zeigt, wann wir sie zuletzt geändert haben.