1. Controller
Vistaro Living GmbH, Steinweg 16, 38100 Braunschweig, Germany
Represented by Colin Singh, Managing Director
Email: colin@vistaro-living.de · Phone: +49 176 44503334
No data protection officer has been appointed, as the legal requirements for doing so are not met.
2. Visiting the website (server log files)
When you visit our website, our hosting provider Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, USA, processes technically necessary data: IP address, date and time of access, page requested, volume of data transferred, referrer, browser type and operating system. The legal basis is Art. 6 (1) (f) GDPR; our legitimate interest lies in the secure and stable operation of the website. Delivery takes place via servers within the European Union; transfer to the USA is nevertheless not excluded. A data processing agreement pursuant to Art. 28 GDPR is in place with Netlify; the transfer to the USA is based on the European Commission's standard contractual clauses and on Netlify's certification under the EU-US Data Privacy Framework. The access logs are deleted after 30 days.
3. Getting in touch
If you contact us via the contact form, by email or by telephone, we process the data you provide in order to deal with your enquiry. The legal basis is Art. 6 (1) (b) GDPR where the enquiry relates to a contract, and otherwise Art. 6 (1) (f) GDPR. We delete the data as soon as it is no longer required for that purpose and no statutory retention periods stand in the way.
The contact form is processed via the „Netlify Forms“ service of our hosting provider Netlify, Inc. Your entries are stored there and forwarded to us by email. No further service provider is involved. To ward off automated submissions, the form contains a field that is invisible to you and only filled in by programs; the only thing evaluated is whether that field is empty. There is no captcha and no other analysis of your behaviour.
4. Bookings via Hostaway
For displaying availability, taking bookings and managing them we use the booking system of Hostaway Oy, Bulevardi 21, 00180 Helsinki, Finland.
Availability calendar. The free dates, prices and minimum stays shown on the apartment pages are retrieved from Hostaway by our own server and presented to you by it. Your browser does not connect to Hostaway in the process; no personal data is transmitted to Hostaway for this purpose. The legal basis is Art. 6 (1) (f) GDPR; our legitimate interest lies in showing current availability.
Buchungsstrecke. Das Buchungsformular von Hostaway ist auf dieser Website nicht eingebunden – weder in einem Fenster noch in einem Rahmen noch auf sonstige Weise. Klicken Sie auf „Jetzt buchen“ beziehungsweise „Verfügbarkeit prüfen“, öffnet sich ein neuer Tab mit der Buchungsseite von Hostaway. Erst dieser Klick stellt eine Verbindung zu Hostaway her; solange Sie ihn nicht ausführen, nimmt Ihr Browser keine auf. In der Adresse der Buchungsseite übergeben wir ausschließlich die gewählte Wohnung, den gewählten Zeitraum und die Anzahl der Gäste – keine Angaben zu Ihrer Person. Alles Weitere geschieht auf der Seite von Hostaway: Dort werden Ihre IP-Adresse und Browserangaben verarbeitet und dort speichert Hostaway eigene Cookies. Es gilt dann die Datenschutzerklärung der Hostaway Oy, die Ihnen auf dieser Seite angezeigt wird. Soweit in der Weiterleitung selbst eine Verarbeitung durch uns liegt, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, da sie der Anbahnung des Beherbergungsvertrags dient. Zum lokalen Speicher und zur früheren Einwilligungsabfrage finden Sie Näheres unter Ziffer 7.
Booking. When you make a booking we process your name, address, contact details, travel dates, number of guests and payment information in order to perform the contract. The legal basis is Art. 6 (1) (b) GDPR. A data processing agreement pursuant to Art. 28 GDPR is in place with Hostaway.
5. Payment processing
Payments are made by bank transfer, by invoice, via PayPal or — for direct bookings made through the booking window described under section 4 — via Stripe. With a direct booking you enter your payment data directly with Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Ireland; all we learn from them is that a payment was made and its amount. For bank transfers and invoices we process the details required to identify and book the incoming payment. If you choose PayPal, the payment data is processed directly by PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, 2449 Luxembourg; all we learn from them is that a payment was made and its amount. The payment data is used solely to settle the payment. The legal basis is Art. 6 (1) (b) GDPR.
6. Fonts and external content
All fonts used are served from our own server. No connection is made to Google Fonts or any other font provider; your IP address is not passed to anyone for this purpose.
Fremde Inhalte sind auf dieser Website überhaupt nicht eingebunden: kein Kartendienst, kein Analysewerkzeug, keine Social-Media-Schaltfläche, kein Werbenetzwerk, kein Captcha-Dienst, kein Video und kein Buchungsfenster. Beim Aufruf einer Seite lädt Ihr Browser ausschließlich von www.vistaro-living.de.
Nach außen führen allein gewöhnliche Links, und jeder setzt Ihren Klick voraus. Das sind: „Jetzt buchen“ und „Verfügbarkeit prüfen“ zur Buchungsstrecke von Hostaway (Ziffer 4), „In Karten öffnen“ auf den Apartmentseiten und die verlinkte Anschrift auf der Kontaktseite zu Google Maps der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, sowie die WhatsApp-Schaltflächen im Menü, in der Kontaktleiste am unteren Bildrand und auf einzelnen Seiten zu WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland. Alle öffnen einen neuen Tab; ab dort gilt die Datenschutzerklärung des jeweiligen Anbieters, auf die wir keinen Einfluss haben. Solange Sie nicht klicken, erfährt keiner dieser Anbieter, dass Sie bei uns waren.
7. Cookies und lokaler Speicher
Diese Website setzt keine Cookies — weder zu Analyse- noch zu Marketingzwecken, und auch keine technisch notwendigen. Es sind keine Analysewerkzeuge, Zählpixel, Tag-Manager oder Werbenetzwerke eingebunden, und auch keine Dienste Dritter, die solche Cookies setzen könnten (Ziffer 6). Aus diesem Grund erscheint beim Aufruf der Seite kein Einwilligungsbanner: Es gibt nichts, wofür eine Einwilligung einzuholen wäre.
Die Buchungsstrecke der Hostaway Oy speichert eigene Cookies. Das geschieht jedoch erst auf der Seite von Hostaway, die Sie mit Ihrem Klick in einem neuen Tab öffnen, und damit nicht auf dieser Website. Eine Einwilligung nach § 25 Abs. 1 TDDDG holen wir dafür nicht ein, weil von unserer Seite aus in Ihrem Endgerät nichts gespeichert oder ausgelesen wird. Wollen Sie ohne diese Seite buchen, erreichen Sie uns telefonisch oder per E-Mail.
Ein Eintrag im lokalen Speicher. Einen einzigen Eintrag kann Ihr Browser anlegen, und nur, wenn Sie selbst etwas tun: Schließen Sie das Hinweisfenster zu unserem E-Mail-Verteiler (Ziffer 10) oder tragen Sie sich dort ein, hinterlegt er unter dem Namen vl_nl_ruhe einen Zeitpunkt — 30 Tage nach dem Wegklicken, ein Jahr nach einer Anmeldung. Daran erkennt die Seite, dass sie das Fenster bis dahin nicht erneut zeigen soll. Der Eintrag besteht aus nichts als diesem Zeitpunkt: keine Kennung, keine Adresse, kein Rückschluss auf Ihre Person. Er verlässt Ihr Gerät nicht, wird von uns nicht ausgelesen und entsteht beim bloßen Aufruf einer Seite nicht. Er dient allein dem von Ihnen selbst geäußerten Wunsch, das Fenster nicht wiederzusehen, und ist dafür unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG. Löschen können Sie ihn jederzeit in den Einstellungen Ihres Browsers unter den Website- oder Cookie-Daten; danach erscheint das Fenster wieder.
Frühere Einwilligung. Bis zum 11.10.2026 war das Buchungsformular hier in einem Fenster eingebunden, und wir haben vorher um Einwilligung gebeten. Diese Abfrage gibt es nicht mehr, weil es nichts mehr gibt, wofür zu fragen wäre. Wer damals den Haken „Auswahl merken“ gesetzt hat, trägt möglicherweise noch den Eintrag vistaro:einwilligung:hostaway im lokalen Speicher. Er wird von der Seite nicht mehr verwendet und nicht mehr neu angelegt. Mit diesem Knopf können Sie ihn entfernen:
If services requiring consent are added in future, for instance audience measurement or advertising, they will only be loaded after you consent and will be described here.
8. Recipients and transfers to third countries
Your data is only passed on to service providers acting on our behalf, and where required by law. Specifically these are: Netlify, Inc. (hosting of the website and processing of form submissions), Hostaway Oy, Helsinki (booking system), Brevo GmbH, Berlin (dispatch of our e-mail lists), Stripe Payments Europe, Limited, Dublin (payment processing for direct bookings), PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg, where payment is made via PayPal and our tax advisers within the scope of statutory retention obligations.
Hostaway Oy is seated in Finland and therefore within the European Union. A transfer to a third country comes into question with Netlify, Inc. (USA). It is based on the European Commission's standard contractual clauses pursuant to Art. 46 (2) (c) GDPR and on the company's certification under the EU-US Data Privacy Framework pursuant to Art. 45 GDPR.
9. Registration obligations
As an accommodation business we are required by law to collect and retain guest registration data. The legal basis is Art. 6 (1) (c) GDPR in conjunction with the requirements of the German Federal Registration Act.
10. E-mail lists (advertising e-mails)
There are three places where you can sign up for our e-mails: the notice that appears when you leave the page, the narrow row above the footer, and the page „Request corporate rates“. The first two lead to our guest list, the third to our corporate list; they are kept apart for one reason only – so that you receive news that fits your situation. For this we process the details you provide: your e-mail address and – where you supply them – name, company and telephone number. The legal basis is your consent under Art. 6(1)(a) GDPR in conjunction with Section 7(2) No. 2 UWG.
Discount code. After you confirm, we send you a one-off voucher code for 5 % off your first direct booking. The code is an extra and not a condition: you can unsubscribe at any time without it lapsing. It is redeemed in the booking system described under section 4.
Confirmation procedure. Submitting the form stores nothing yet. You first receive an e-mail containing a confirmation link; until then your details exist only inside that link, cryptographically signed and invalid after seven days. The link leads to a short page with a button, and only that button creates the record. There is a reason for the extra step: the security filters of many company mailboxes open incoming links by themselves in order to check them. Without it, a “confirmation” would arise that no person had given. If you do not confirm, no record is created.
Proof of consent. In the event of a dispute we must prove that consent was given (Section 7 UWG, Art. 7(1) GDPR). We therefore record, for each entry: the time, IP address and browser identification of both the sign-up and the confirmation, the page you signed up from, and the version number and full wording of the text you agreed to. The legal basis is Art. 7(1) GDPR together with our legitimate interest in being able to furnish that proof under Art. 6(1)(f) GDPR.
Storage and dispatch. Entries are stored via “Netlify Forms” at Netlify, Inc. (see sections 2 and 8). The confirmation e-mail and later messages are sent via Brevo GmbH, Köpenicker Straße 126, 10179 Berlin. A data processing agreement under Art. 28 GDPR is in place with that provider. If an entry cannot be stored for technical reasons in an exceptional case, we record it in our hosting provider's function log so that the proof of your consent is not lost; that log is deleted along with the other access logs (section 2).
Withdrawal. You may withdraw your consent at any time with effect for the future – using the unsubscribe link at the end of every e-mail, using the unsubscribe button your e-mail program displays next to our sender name, or informally to colin@vistaro-living.de. For the same reason as above, the unsubscribe link leads to a page with a button; it does not expire. We remove you without asking and without requiring a reason.
Proof of withdrawal. We record the unsubscription as well, and separately from the consent: your e-mail address, the time, IP address and browser identification of the withdrawal, and the route by which it reached us. Without that record we could neither demonstrate later that we are right no longer to write to you, nor counter an accusation that we had disregarded an unsubscription. The legal basis is Art. 6 (1) (f) GDPR. After withdrawal we keep the proof of the consent given at the time for a further three years, since otherwise we could no longer demonstrate it retrospectively; after that we delete consent and withdrawal together.
No automated decision-making and no profiling take place. These details are not combined with your booking data.
11. Your rights
You have the right of access (Art. 15 GDPR), to rectification (Art. 16), to erasure (Art. 17), to restriction of processing (Art. 18), to data portability (Art. 20) and to object to processing based on legitimate interests (Art. 21). You may withdraw any consent given at any time with effect for the future.
You also have the right to lodge a complaint with a supervisory authority, for example the Landesbeauftragte für den Datenschutz Niedersachsen (the data protection authority for Lower Saxony), Prinzenstraße 5, 30159 Hannover, Germany.
12. Version
This privacy policy is dated 11 October 2026. We update it when our processing activities or the legal situation change.