Data protection

1. Controller

Cozy Corners GmbH, Eichendorffstraße 3, 92655 Grafenwöhr, Germany, represented by the managing directors Melissa Mead and Eric Mead. Phone +49 175 7235641, e-mail eric@cozycornersgraf.com. We have not appointed a data protection officer because we are not required to under Art. 37 GDPR and § 38 BDSG.

2. Hosting and server logs

This website is hosted by Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. When you visit, Vercel processes technical data in server logs to deliver the site and keep it secure: your IP address, date and time of the request, the page requested, referrer, browser type and operating system. Legal basis: Art. 6 (1) f GDPR, our legitimate interest in a secure and reliable website. Log data is deleted or anonymised by the hosting provider within a short period; we do not evaluate it ourselves.

We have a data processing agreement with Vercel under Art. 28 GDPR. Our server functions (including the reservation form) are configured to run in Frankfurt, Germany; Vercel may nevertheless process data in the USA, for example for global delivery and support. Vercel is certified under the EU-US Data Privacy Framework, so transfers to the USA are covered by the European Commission's adequacy decision of 10 July 2023 (Art. 45 GDPR); in addition, the EU standard contractual clauses apply.

3. Reservation request form

When you send a reservation request we process the details you enter: first and last name, e-mail address, phone number, requested check-in and check-out dates, number of occupants, preferred apartment, whether you travel on orders (optional), and your message. We use this data only to answer your request, check availability, prepare a quote and, if you book, to carry out your stay. Legal basis: Art. 6 (1) b GDPR (steps prior to entering into a contract).

The form is transmitted encrypted (TLS) to our server and forwarded to us by e-mail. If our e-mail delivery service is active, this forwarding is handled by Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA, as our processor under Art. 28 GDPR with EU standard contractual clauses; otherwise the request opens in your own e-mail program and is sent by you directly. The form contains a hidden anti-spam field that is never shown to visitors and stores no data about you.

Requests that do not lead to a booking are deleted no later than six months after our last contact. Data belonging to a booking is kept for the duration of the contract and afterwards for the statutory retention periods of commercial and tax law (§ 257 HGB, § 147 AO: six years for business letters, eight years for accounting records).

The mailbox that receives the request is hosted by an e-mail and IT service provider acting on our behalf as processor.

4. Contact by phone or e-mail

If you call or e-mail us, we process the details you provide to handle your enquiry. Legal basis: Art. 6 (1) b GDPR where the enquiry concerns a stay, otherwise Art. 6 (1) f GDPR, our legitimate interest in answering enquiries. E-mails are deleted when the enquiry is settled, unless retention periods apply.

5. Guest registration during your stay

German law requires us to record a registration form (Meldeschein) at check-in for every guest who is not a German citizen: name, date of birth, nationality, address, dates of stay and, for guests from outside the EU, the number of the identity document (§§ 29, 30 Bundesmeldegesetz). Legal basis: Art. 6 (1) c GDPR. Registration forms are kept for one year from the day of arrival and then destroyed within three months (§ 30 (4) BMG). This does not happen on the website, but we mention it so you know what to expect.

6. Cookies and tracking

This website sets no cookies and uses no analytics, advertising or tracking service. Only when you actively load the satellite map (see 7) does an external provider come into play. Because no information is stored on or read from your device except what is technically necessary, no consent banner is required (§ 25 (2) TDDDG).

7. Google Maps satellite view (only with your consent)

The location section shows a schematic map drawn by us. When you choose “Satellite”, we first show a notice; only when you then click “Load satellite map” is an interactive map from Google Maps embedded. At that moment Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (for users in the EU) receives your IP address, the page you are viewing and technical browser data, and may set cookies on your device; data may be transferred to Google LLC in the USA under the EU-US Data Privacy Framework. Legal basis: your consent given by clicking “Load satellite map”, Art. 6 (1) a GDPR and § 25 (1) TDDDG. We store nothing on your device about this choice; it applies only until you leave or reload the page. You can withdraw it at any time with the “Withdraw consent” button below the map (this removes the embedded map) or by reloading the page; withdrawal does not affect the lawfulness of processing before it. Data already received by Google is subject to Google's own privacy policy. Google's privacy policy: policies.google.com/privacy.

The buttons “Directions in Google Maps”, “Apple Maps” and “Open in Google Maps” are plain links that open the respective service in a new window only when you click them.

8. Fonts and images

Fonts are delivered from our own hosting; no request is sent to Google Fonts or any other font service. All photographs are stored on our own hosting.

9. Recipients

Apart from the processors named above (Vercel, Resend when active, our e-mail and IT service providers, Google only after your consent), we pass personal data on only when we are legally obliged to, for example to the registration authority under the Bundesmeldegesetz or to tax authorities.

10. Your rights

You have the right to access your data (Art. 15 GDPR), to rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on Art. 6 (1) f GDPR (Art. 21). Where processing is based on consent, you may withdraw it at any time with effect for the future (Art. 7 (3)). To exercise your rights, contact us at eric@cozycornersgraf.com. You may also lodge a complaint with a supervisory authority, in particular in the EU member state where you live or work or where the alleged infringement took place (Art. 77 GDPR); the authority responsible for us is the Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Germany, www.lda.bayern.de.

Right to object (Art. 21 GDPR). Where we process your data on the basis of legitimate interests (Art. 6 (1) f GDPR; see sections 2 and 4), you may object at any time on grounds relating to your particular situation. Send an e-mail to eric@cozycornersgraf.com; we will then stop that processing unless we can show compelling legitimate grounds or it serves the establishment, exercise or defence of legal claims.

11. Obligation to provide data and automated decisions

You are not obliged to provide personal data on this website. Without the details marked as required in the reservation form we cannot answer your request. We do not use automated decision-making or profiling.

12. Security and changes

The site is delivered over HTTPS only. Please note that e-mail communication can have security gaps; do not send us payment card data by e-mail. We update this notice when our website or the legal situation changes; the current version is always available on this page.

Deutsche Fassung: Datenschutzerklärung

Stand: 1 October 2026. Diese Fassung gilt vorrangig für die Auslegung gegenüber deutschen Behörden.

1. Verantwortlicher

Cozy Corners GmbH, Eichendorffstraße 3, 92655 Grafenwöhr, vertreten durch die Geschäftsführer Melissa Mead und Eric Mead. Telefon +49 175 7235641, E-Mail eric@cozycornersgraf.com. Ein Datenschutzbeauftragter ist nicht bestellt, da keine Pflicht nach Art. 37 DSGVO, § 38 BDSG besteht.

2. Hosting und Server-Logfiles

Hosting durch Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Beim Aufruf werden IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browsertyp und Betriebssystem in Server-Logfiles verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren Bereitstellung der Website). Mit Vercel besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; Unsere Serverfunktionen (einschließlich des Reservierungsformulars) sind für den Standort Frankfurt am Main konfiguriert; eine Verarbeitung in den USA, etwa bei der weltweiten Auslieferung oder im Support, kann dennoch erfolgen. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss vom 10.07.2023, Art. 45 DSGVO), ergänzend gelten die EU-Standardvertragsklauseln.

3. Reservierungsanfrage

Verarbeitet werden Vor- und Nachname, E-Mail-Adresse, Telefonnummer, gewünschte An- und Abreise, Personenzahl, gewünschtes Apartment, Angabe zu Dienstreiseorders (freiwillig) und Ihre Nachricht, ausschließlich zur Bearbeitung der Anfrage, Verfügbarkeitsprüfung, Angebotserstellung und Durchführung des Aufenthalts. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Übermittlung erfolgt TLS-verschlüsselt und wird uns per E-Mail zugestellt; bei aktivem Versanddienst durch Resend Inc., San Francisco, USA, als Auftragsverarbeiter (Art. 28 DSGVO, EU-Standardvertragsklauseln), sonst über Ihr eigenes E-Mail-Programm. Das Formular enthält ein unsichtbares Spamschutzfeld ohne Personenbezug. Anfragen ohne Buchung löschen wir spätestens sechs Monate nach dem letzten Kontakt; Buchungsdaten bewahren wir für die Vertragsdauer und anschließend nach § 257 HGB und § 147 AO auf (sechs Jahre für Geschäftsbriefe, acht Jahre für Buchungsbelege). Das Postfach, das die Anfrage empfängt, wird von einem E-Mail- und IT-Dienstleister als unserem Auftragsverarbeiter betrieben.

4. Kontakt per Telefon oder E-Mail

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Bezug auf einen Aufenthalt, sonst Art. 6 Abs. 1 lit. f DSGVO. Löschung nach Erledigung, soweit keine Aufbewahrungspflichten entgegenstehen.

5. Meldeschein beim Aufenthalt

Nach §§ 29, 30 Bundesmeldegesetz erfassen wir beim Check-in für jeden Gast, der nicht die deutsche Staatsangehörigkeit besitzt, einen Meldeschein (Name, Geburtsdatum, Staatsangehörigkeit, Anschrift, Aufenthaltsdaten, bei Nicht-EU-Gästen die Ausweisnummer). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO. Aufbewahrung ein Jahr ab Anreise, danach Vernichtung binnen drei Monaten (§ 30 Abs. 4 BMG).

6. Cookies und Tracking

Die Website setzt keine Cookies und nutzt keine Analyse-, Werbe- oder Trackingdienste. Ein Einwilligungsbanner ist daher nicht erforderlich (§ 25 Abs. 2 TDDDG).

7. Google Maps Satellitenansicht (nur mit Ihrer Einwilligung)

Wenn Sie „Satellite“ wählen, zeigen wir zunächst einen Hinweis; erst nach Klick auf „Load satellite map“ wird eine interaktive Karte von Google Maps eingebunden. Dann erhält Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, Ihre IP-Adresse, die aufgerufene Seite und technische Browserdaten und kann Cookies setzen; eine Übermittlung an Google LLC in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework. Rechtsgrundlage: Ihre Einwilligung durch den Klick auf „Load satellite map“, Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Wir speichern zu dieser Entscheidung nichts auf Ihrem Gerät; sie gilt nur, bis Sie die Seite verlassen oder neu laden. Sie können sie jederzeit über die Schaltfläche „Withdraw consent“ unter der Karte (die eingebettete Karte wird entfernt) oder durch Neuladen der Seite widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Die Routen-Schaltflächen sind reine Links, die den jeweiligen Dienst erst nach Klick öffnen.

8. Schriften und Bilder

Schriften und Fotos werden von unserem eigenen Hosting ausgeliefert; es erfolgt kein Aufruf von Google Fonts oder anderen Diensten.

9. Empfänger

Neben den genannten Auftragsverarbeitern (Vercel, ggf. Resend, unsere E-Mail- und IT-Dienstleister, Google nur nach Ihrer Einwilligung) geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. Meldebehörde, Finanzbehörden).

10. Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f (Art. 21) sowie Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO). Beschwerden können Sie bei jeder Aufsichtsbehörde einreichen, insbesondere im Mitgliedstaat Ihres Aufenthalts- oder Arbeitsorts oder des Orts der mutmaßlichen Verletzung (Art. 77 DSGVO). Für uns zuständig: Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

Widerspruchsrecht (Art. 21 DSGVO). Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO; siehe Nr. 2 und 4), können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Eine E-Mail an eric@cozycornersgraf.com genügt; wir beenden die Verarbeitung dann, es sei denn, wir weisen zwingende schutzwürdige Gründe nach oder sie dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

11. Bereitstellungspflicht und automatisierte Entscheidungen

Es besteht keine Pflicht zur Bereitstellung von Daten; ohne die Pflichtfelder des Formulars können wir Anfragen nicht beantworten. Automatisierte Entscheidungsfindung oder Profiling findet nicht statt.

12. Sicherheit und Änderungen

Die Website wird ausschließlich über HTTPS ausgeliefert. Bitte übermitteln Sie keine Zahlungskartendaten per E-Mail. Diese Erklärung passen wir bei Änderungen der Website oder der Rechtslage an.