Datenschutzerklärung

Stand: 12. Oktober 2026

Diese Erklärung zeigt dir, welche personenbezogenen Daten wir verarbeiten, wenn du unsere Website und unsere Leistungen nutzt, warum wir das tun, wer die Daten erhält und welche Rechte du hast. Wir verarbeiten personenbezogene Daten ausschließlich nach der EU-Datenschutz-Grundverordnung (DSGVO) und dem deutschen Datenschutzrecht (BDSG, TDDDG).

1. Wer ist verantwortlich?

Peter und Michael Hughes Sprachdienste GbR, Lindenthaler Straße 7, 04155 Leipzig, Deutschland
E-Mail: info@estudia-espana.eu, Telefon: +49 151 433 230 56
(„wir“, „Estudia-España“). Siehe auch unser Impressum.

Wir sind nicht verpflichtet, eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten zu benennen. Bei allen Fragen zu deinen Daten schreib uns bitte an die oben genannte E-Mail-Adresse.

2. Hosting und Server-Logfiles

Unsere Website wird bei ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, auf Servern in Deutschland gehostet. Mit dem Hoster haben wir einen Vertrag zur Auftragsverarbeitung geschlossen (Art. 28 DSGVO).

Wenn du die Website besuchst, übermittelt dein Browser automatisch Informationen, die der Server in Logfiles speichert: IP-Adresse, Datum und Uhrzeit, die aufgerufene Seite, die zuvor besuchte Seite, Browser und Betriebssystem. Diese Daten brauchen wir, um die Website auszuliefern und sicher zu betreiben (Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einer sicheren, funktionierenden Website). Die Logfiles werden nach spätestens 7 Tagen gelöscht, es sei denn, ein Sicherheitsvorfall muss aufgeklärt werden.

Zum Schutz unserer Formulare vor Missbrauch nutzen wir außerdem versteckte Spam-Fallen-Felder und einen Zähler, der die Zahl der Anfragen pro IP-Adresse begrenzt; der Zähler speichert die IP-Adresse etwa 10 Minuten lang (Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an sicheren Formularen, siehe auch Abschnitt 12).

3. Cookies und ähnliche Technologien

Die Tabelle zeigt, was unsere Website in deinem Browser speichert oder aus ihm ausliest und welche Dienste von Dritten beteiligt sind. Ohne deine Einwilligung verwenden wir nur, was technisch erforderlich ist (§ 25 Abs. 2 TDDDG). Alles von Google Analytics braucht deine Einwilligung (§ 25 Abs. 1 TDDDG).

Name	Anbieter	Zweck	Dauer
pll_language (Cookie)	Estudia-España (unsere Website)	Merkt sich die gewählte Sprache. Wird beim Besuch gesetzt.	1 Jahr
ee_consent (localStorage)	Estudia-España (unsere Website)	Merkt sich deine Auswahl im Cookie-Banner.	182 Tage (etwa 6 Monate)
_ga (Cookie)	Google Ireland Limited (Google Analytics, nur mit deiner Einwilligung)	Unterscheidet Besucher für die Nutzungsstatistik.	2 Jahre
_ga_<Container-ID> (Cookie)	Google Ireland Limited (Google Analytics, nur mit deiner Einwilligung)	Speichert den Stand deines Besuchs (Sitzung) für die Nutzungsstatistik.	2 Jahre
_gid, _gat (Cookies)	Google Ireland Limited (nur mit deiner Einwilligung)	Nur, wenn unser Google-Tag-Manager-Container sie setzt (je nach GTM-Container): Statistik, Begrenzung der Anfragen.	_gid: 1 Tag, _gat: 1 Minute
Cloudflare Turnstile (kein Cookie)	Cloudflare, Inc., USA	Spamschutz in den Anfrage- und Buchungsformularen. Er startet, wenn du zum ersten Mal in das Formular klickst, tippst oder in seine Nähe scrollst, ohne Auswahl im Cookie-Banner, weil er eine Sicherheitsmaßnahme ist. Deine IP-Adresse und Browserdaten gehen an Cloudflare. Es wird kein Cookie gesetzt (siehe Abschnitt 12).	Kein Cookie; nichts in deinem Browser gespeichert
Google Maps (Cookies von Google)	Google Ireland Limited	Karte auf Schulseiten, erst nach deinem Klick auf „Karte anzeigen“ (siehe Abschnitt 11).	Von Google festgelegt
YouTube (youtube-nocookie.com)	Google Ireland Limited	Schulvideos, erst nach deinem Klick auf das Video (erweiterter Datenschutzmodus, siehe Abschnitt 11a).	Von Google festgelegt

Deine Auswahl kannst du jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite ändern. Wenn du ablehnst oder deine Einwilligung widerrufst, werden die Google-Analytics-Cookies auf dieser Website gelöscht.

4. Anfragen und Kontakt

Wenn du uns eine Anfrage schickst (Anfrageformular, Formular für Schulgruppen, E-Mail oder Telefon), verarbeiten wir die Daten, die du uns gibst – meist deinen Namen, deine Kontaktdaten, deine Reisepläne und deine Nachricht –, um dir zu antworten und ein Angebot vorzubereiten (Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen; sonst Art. 6 Abs. 1 lit. f DSGVO – unser Interesse, Anfragen zu beantworten). Führt deine Anfrage nicht zu einer Buchung, löschen wir sie spätestens nach zwei Jahren.

4a. WhatsApp-Chat

Unsere Website hat einen WhatsApp-Button. Er ist ein einfacher Link: Wenn du unsere Seiten öffnest oder den Button siehst, werden keine Daten an WhatsApp gesendet. Erst wenn du ihn anklickst und uns schreibst, startest du einen Chat mit uns über WhatsApp Business, einen Dienst der WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland (Meta-Konzern). Wir verarbeiten dann deine Telefonnummer, deinen WhatsApp-Profilnamen und den Inhalt deiner Nachrichten, um deine Frage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO – vorvertragliche Maßnahmen; sonst Art. 6 Abs. 1 lit. f DSGVO – unser Interesse, Anfragen schnell zu beantworten).

WhatsApp verschlüsselt Nachrichten Ende-zu-Ende, verarbeitet aber weitere Daten, etwa deine Telefonnummer und den Zeitpunkt deiner Nachrichten, nach der eigenen Datenschutzrichtlinie. WhatsApp gibt an, Daten in Länder außerhalb der EU zu übermitteln, auch in die USA, und zwar mit nach EU-Recht anerkannten Garantien (z. B. Angemessenheitsbeschlüsse oder Standardvertragsklauseln; siehe auch Abschnitt 10).

Chats und Kontaktdaten löschen wir spätestens nach 12 Monaten. Entsteht aus dem Chat eine Buchung, werden die Buchungsdaten wie in Abschnitt 5 beschrieben aufbewahrt. Bitte schick uns keine Gesundheitsangaben über WhatsApp, sondern nutze dafür das Buchungsformular. Wenn du WhatsApp nicht nutzen möchtest, erreichst du uns per E-Mail, Telefon oder über unsere Formulare.

5. Buchungen

Um deinen Sprachkurs und deine Unterkunft zu vermitteln, verarbeiten wir die Daten aus dem Buchungsformular: Namen, Geburtsdaten, Geschlecht (freiwillig), Staatsangehörigkeit (freiwillig), ob du ganz ohne Vorkenntnisse startest, Adresse und Kontaktdaten, deinen Kurs, Termine und Unterkunftswünsche, besondere Wünsche und deine Nachrichten sowie Zahlungen (Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung).

Ohne Namen, Geburtsdatum und Kontaktdaten können wir keine Buchung vermitteln. Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung für dich und erstellen keine Profile. Wenn du für eine andere Person buchst (zum Beispiel für dein Kind oder eine Begleitung), bestätigst du, dass du ihre Daten angeben darfst, und informierst sie über diese Erklärung. Ist die teilnehmende Person unter 18, bucht ein Elternteil oder eine erziehungsberechtigte Person und willigt in die Verarbeitung der Daten des Kindes ein, auch der Gesundheitsangaben.

• Verfügbarkeitsanfrage bei der Schule. Wenn du eine Buchungsanfrage schickst, fragen wir bei der Schule nach, ob Kurs und Unterkunft verfügbar sind. Diese Anfrage enthält keine Namen und keine Kontaktdaten, sondern nur Kurs, Termine, Unterkunft, Alter, Geschlecht und Niveau (ganz ohne Vorkenntnisse oder nicht) der Teilnehmenden sowie deine besonderen Wünsche.
• Nach der Bestätigung. Die gebuchte Schule erhält die Daten, die sie für deine Anmeldung und deine Unterkunft braucht (z. B. Namen, Geburtsdatum, Geschlecht, Staatsangehörigkeit, Kontaktdaten, Anreise und besondere Wünsche; Art. 6 Abs. 1 lit. b DSGVO).
• Schulen außerhalb der EU. Einige unserer Partnerschulen liegen in Ländern außerhalb der EU (derzeit Argentinien, Costa Rica, Ecuador und Mexiko). Für Argentinien hat die EU-Kommission ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO). Für Costa Rica, Ecuador und Mexiko gibt es keine solche Entscheidung; wir geben deine Daten dann nur so weit weiter, wie es zur Durchführung der von dir gewünschten Buchung erforderlich ist (Art. 49 Abs. 1 lit. b DSGVO). Für ihre eigene Nutzung deiner Daten ist die Schule selbst verantwortlich (siehe nächster Punkt).
• Schulen und weitere Empfänger. Für die Daten, die die Schule zur Anmeldung und Organisation deines Aufenthalts erhält, ist die Schule selbst verantwortlich; sie hat eine eigene Datenschutzerklärung, die sie dir zur Verfügung stellt. Die Schule kann deine Daten an die Gastfamilie oder Residenz weitergeben, in der du wohnst. Außer den Schulen setzen wir die in dieser Erklärung genannten Dienstleister ein sowie unsere Banken, und wir geben Daten an Behörden weiter, wenn das Gesetz es verlangt.
• Gesundheitsangaben und Ernährung. Wenn du uns Allergien, gesundheitliche Einschränkungen, eine Behinderung oder Ernährungswünsche mitteilst, verwenden wir diese Angaben nur zur Abwicklung deiner Buchung: Wir geben sie an die Schule und deine Unterkunft weiter (auch außerhalb der EU) und lassen sie übersetzen (Abschnitt 6). Dafür bitten wir um deine ausdrückliche Einwilligung mit einem Kästchen im Buchungsformular, das erscheint, sobald du in das Feld für besondere Wünsche schreibst (Art. 9 Abs. 2 lit. a DSGVO). Ohne Haken nehmen wir keinen Text in diesem Feld an. Wir speichern deine Einwilligung mit Datum und Uhrzeit. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen.
• Angebot als PDF. Wenn du ein Angebot herunterlädst, wird der optionale Name „Erstellt für“ nur verwendet, um die Datei zu erstellen, und nicht gespeichert.
• Deine Buchungsseite. Jede Buchung hat eine private Seite (Link in unseren E-Mails), auf der du Status, Termine und Zahlungen siehst. Der Link enthält einen geheimen Code; bitte gib ihn nicht weiter.
• Speicherdauer. Buchungsanfragen, die nicht bestätigt oder bezahlt wurden: Wir löschen die Daten 12 Monate nach der Anfrage. Bezahlte Buchungen: Die Buchhaltungsunterlagen bewahren wir für die gesetzliche Frist auf (derzeit bis zu 8 Jahre, § 147 AO, § 257 HGB; Art. 6 Abs. 1 lit. c DSGVO); die übrigen Buchungsdaten, auch Gesundheitsangaben, löschen wir 12 Monate nach Kursende. Brauchen wir Daten zur Abwehr von Rechtsansprüchen, bewahren wir sie so lange auf, wie es nötig ist (Art. 6 Abs. 1 lit. f DSGVO).

6. Übersetzung besonderer Wünsche (OpenAI)

Wenn du deine besonderen Wünsche nicht auf Englisch schreibst, lassen wir sie für die Schule über die Schnittstelle (API) der OpenAI Ireland Limited, Dublin, Irland, ins Englische übersetzen; dabei können Daten in den USA verarbeitet werden. Übermittelt wird nur der Text deines Wunsches – nicht dein Name und nicht deine Kontaktdaten –, und wir entfernen daraus vorher automatisch E-Mail-Adressen, Weblinks, Telefonnummern und Bankkontonummern. Bitte schreib solche Angaben nicht in dieses Feld. Die Schule erhält immer auch deinen Originaltext.

OpenAI verarbeitet den Text in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) und verwendet über die API übermittelte Daten nach eigenen Angaben nicht zum Training seiner Modelle; sie werden nach kurzer Zeit gelöscht (derzeit bis zu 30 Tage). Übermittlungen in die USA stützen sich auf die EU-Standardvertragsklauseln (Art. 46 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Gesundheits- oder Ernährungsangaben deine ausdrückliche Einwilligung mit dem Kästchen im Buchungsformular (Art. 9 Abs. 2 lit. a DSGVO, siehe Abschnitt 5). Setzt du den Haken nicht, nehmen wir den Text nicht an und es wird nichts an OpenAI gesendet.

7. E-Mails

Buchungs-E-Mails, Verfügbarkeitsanfragen an Schulen und Bitten um Bewertungen verschicken wir über unser eigenes Postfach bei unserem Hoster (siehe Abschnitt 2). E-Mails werden transportverschlüsselt übertragen, soweit der empfangende Server das unterstützt.

Zur Fehlersuche protokollieren wir Empfängeradresse und Betreff der letzten E-Mails 30 Tage lang in unserer Datenbank (höchstens die letzten 300 E-Mails). Nur Administratoren können dieses Protokoll lesen.

8. Bewertungen

Einige Tage nach deinem Kurs bitten wir dich einmal per E-Mail um eine Bewertung der Schule, deines Kurses, deiner Unterkunft (wenn über uns gebucht) und der Stadt (Art. 6 Abs. 1 lit. f DSGVO und § 7 Abs. 3 UWG; unser Interesse an verlässlichen Bewertungen von Menschen, die wirklich bei uns gebucht haben). Wir speichern deine Bewertungen, deine Kommentare, den Namen und den Wohnort, die du angibst, deine Sprache und die Buchungsnummer. Nach einer kurzen Prüfung veröffentlichen wir deine Bewertung der Schule und deinen Kommentar dazu mit dem Namen und dem Wohnort, die du angibst, auf unserer Website. Deine übrigen Bewertungen und Kommentare nutzen wir intern; sie können nach Freigabe später veröffentlicht werden. Wir dürfen einen Kommentar kürzen, ändern aber nie seine Aussage. Der E-Mail kannst du jederzeit widersprechen, indem du darauf antwortest; wir nehmen deine Adresse dann in eine Sperrliste auf (gespeichert wird nur eine verschlüsselte Form) und fragen nicht mehr. Du kannst jederzeit verlangen, dass wir deine Bewertung entfernen. Wir löschen dann deine Kommentare, deinen Namen, deinen Wohnort und die Verknüpfung mit deiner Buchung; nur die Sternebewertungen bleiben ohne Bezug zu dir als Teil der Qualitätsdaten der Schule erhalten. Wir bewahren Bewertungen auf, bis du ihre Entfernung verlangst. Der Bewertungslink in der E-Mail gilt 90 Tage nach deinem Kurs.

9. Newsletter (Brevo)

Wenn du das Newsletter-Kästchen ankreuzt, schicken wir dir Neuigkeiten und Angebote per E-Mail (Art. 6 Abs. 1 lit. a DSGVO – deine Einwilligung). Unser Newsletter-Dienst ist Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich), der deine E-Mail-Adresse, deinen Namen und die Liste, in die du dich eingetragen hast, in unserem Auftrag auf Servern in der EU speichert (Art. 28 DSGVO). Du kannst dich jederzeit über den Link in jedem Newsletter oder mit einer Nachricht an uns abmelden; dann löschen wir deine Adresse aus der Liste. Wir haben die Öffnungs- und Klickmessung in Brevo abgeschaltet: Wir messen nicht, ob du unsere E-Mails öffnest oder Links darin anklickst. Wir speichern deine Einwilligung zusammen mit der Anfrage oder Buchungsanfrage, einschließlich des Datums. Du kannst das Kästchen in den Anfrageformularen und im Buchungsformular ankreuzen; wir schicken dir dann zuerst eine Bestätigungs-E-Mail (Double-Opt-in) und nehmen dich erst nach deiner Bestätigung in die Newsletter-Liste auf.

10. Webanalyse: Google Tag Manager und Google Analytics 4 (nur mit deiner Einwilligung)

Mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) nutzen wir Google Analytics 4, um zu verstehen, wie unsere Website genutzt wird – zum Beispiel, welche Seiten gelesen werden und woher die Besucher kommen –, und um sie zu verbessern. Geladen wird es über den Google Tag Manager. Beides sind Dienste der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Ohne deine Einwilligung wird keines von beiden geladen. Wir nutzen den Google Consent Mode: Unsere Website teilt den Google-Tools mit, welche Einwilligungen du erteilt hast; Werbefunktionen bleiben in jedem Fall ausgeschaltet. Mit deiner Einwilligung setzt Google Analytics Cookies (_ga und _ga_<Container-ID>, je bis zu 2 Jahre; siehe Tabelle in Abschnitt 3) und verarbeitet Nutzungsdaten wie besuchte Seiten, Gerät, Browser und ungefähren Standort; IP-Adressen werden nicht gespeichert. Die Daten werden 14 Monate aufbewahrt. Google kann Daten in die USA übermitteln; die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission ein angemessenes Datenschutzniveau festgestellt hat (Art. 45 DSGVO).

Deine Einwilligung kannst du jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite widerrufen. Wir beenden dann die Analyse auf dieser Seite und löschen die Google-Analytics-Cookies. Auf den privaten Links zu deiner Buchung, zur Antwort der Schule und zum Bewertungsformular laden wir den Google Tag Manager nie, sodass diese Adressen nicht an Google gesendet werden.

11. Karten (Google Maps)

Auf Schulseiten kann die Schule auf einer Karte von Google Maps (Google Ireland Limited, siehe oben) angezeigt werden. Die Karte wird erst geladen, wenn du auf „Karte anzeigen“ klickst; bis dahin werden keine Daten an Google übermittelt. Wenn du sie lädst, erhält Google deine IP-Adresse und Informationen über deinen Browser und kann Cookies setzen (Art. 6 Abs. 1 lit. a DSGVO – deine Einwilligung durch den Klick). Daten können in die USA übermittelt werden (EU-US Data Privacy Framework, siehe Abschnitt 10).

11a. Videos (YouTube)

Auf Schulseiten können Videos von YouTube (Google Ireland Limited, siehe oben) gezeigt werden. Ein Video wird erst geladen, wenn du darauf klickst; bis dahin werden keine Daten an YouTube übermittelt. Wir nutzen den erweiterten Datenschutzmodus (youtube-nocookie.com). Wenn du ein Video abspielst, erhält Google deine IP-Adresse und Browserdaten und kann Informationen auf deinem Gerät speichern oder auslesen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG – deine Einwilligung durch den Klick). Daten können in die USA übermittelt werden (EU-US Data Privacy Framework, siehe Abschnitt 10).

12. Spamschutz (Cloudflare Turnstile)

Unsere Buchungs- und Anfrageformulare werden durch Cloudflare Turnstile (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) vor Spam und Missbrauch geschützt. Turnstile prüft im Hintergrund, ob ein Formular von einem Menschen abgeschickt wird. Normalerweise siehst du nichts; nur wenn die Prüfung deine Hilfe braucht, erscheint ein kleines Feld. Dazu verarbeitet Cloudflare Daten über deinen Browser und deine Interaktion mit der Seite (z. B. IP-Adresse, Browsermerkmale).

Die Prüfung startet, wenn du zum ersten Mal in eines dieser Formulare klickst, tippst oder in seine Nähe scrollst – nicht schon beim Öffnen der Seite und nur in den Buchungs- und Anfrageformularen. Sie läuft ohne Auswahl im Cookie-Banner, weil sie eine Sicherheitsmaßnahme für das Formular ist, das du nutzen möchtest. Es wird kein Cookie gesetzt und nichts in deinem Browser gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse, unsere Formulare und deine Daten vor Missbrauch zu schützen.

Cloudflare als Empfänger. Cloudflare, Inc. erhält die oben genannten Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Die Daten können in den USA verarbeitet werden; Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission ein angemessenes Schutzniveau festgestellt hat (Art. 45 DSGVO). Weitere Cloudflare-Dienste nutzen wir auf dieser Website nicht. Wenn du Turnstile in deinem Browser blockierst, erreichst du uns weiterhin per E-Mail, Telefon oder WhatsApp.

13. Schriftarten

Die Schriftarten dieser Website liegen auf unserem eigenen Server. Es wird keine Verbindung zu Schriftanbietern wie Google Fonts hergestellt.

14. Zahlungen

Zahlungen erfolgen per Banküberweisung. Deine und unsere Bank verarbeiten die Zahlungsdaten (Art. 6 Abs. 1 lit. b DSGVO). Wenn du den Restbetrag direkt an die Schule zahlst, verarbeiten die Schule und ihre Bank diese Zahlung.

15. Deine Rechte

Du hast das Recht,

• Auskunft über die personenbezogenen Daten zu erhalten, die wir über dich gespeichert haben (Art. 15 DSGVO);
• unrichtige Daten berichtigen zu lassen (Art. 16 DSGVO);
• deine Daten löschen (Art. 17 DSGVO) oder ihre Verarbeitung einschränken zu lassen (Art. 18 DSGVO), soweit wir sie nicht aufgrund gesetzlicher Pflichten aufbewahren müssen;
• deine Daten in einem gängigen, maschinenlesbaren Format zu erhalten (Art. 20 DSGVO);
• eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO);
• jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, der Verarbeitung auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) zu widersprechen, und der Direktwerbung ohne Angabe von Gründen (Art. 21 DSGVO);
• dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen: Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden.

Um deine Rechte auszuüben, schreib an info@estudia-espana.eu.

16. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Website oder unsere Leistungen ändern. Die aktuelle Fassung findest du immer auf dieser Seite.