Datenschutzerklärung

Samui Tourist Information Ltd. Partnership („Koh Sanuk“, „wir“, „uns“ oder „unser“) respektiert Ihre Privatsphäre und nimmt den Schutz Ihrer personenbezogenen Daten ernst. Wir erheben personenbezogene Daten von unseren Kunden, Partnern und Webseitenbesuchern, um Ausflüge, Yachtcharter und Transfers durchzuführen – und um Sie so über diese Angebote zu informieren, dass es Ihnen bei der Reiseplanung wirklich hilft.

Diese Datenschutzerklärung („Erklärung“) erläutert, welche Daten wir erheben, warum wir das tun, wie wir sie nutzen und weitergeben, wie lange wir sie speichern und welche Rechte sowie Wahlmöglichkeiten Sie haben. Sie gilt immer dann, wenn Sie eine Website von Koh Sanuk besuchen, uns per E-Mail, Telefon oder Messenger kontaktieren oder eine von uns angebotene Leistung buchen.

Diese Erklärung gilt auch für samuiphanganboat.com (Samui Phangan Boat), unsere Website für private Speedboat-Transfers rund um Koh Samui und Koh Phangan. Die dort eingegebenen Reisedaten wie Ihr Abholhotel und Ihre Flugnummer werden an kohsanuk.com übermittelt, wo Buchung und Zahlung abgeschlossen werden.

Wir überprüfen diese Erklärung regelmäßig, damit sie zu unseren betrieblichen Abläufen, den eingesetzten Technologien und den geltenden Vorschriften passt – insbesondere zum thailändischen Personal Data Protection Act B.E. 2562 (2019) („PDPA“) sowie, soweit anwendbar, zur Datenschutz-Grundverordnung der EU („DSGVO“). Wir können diese Erklärung von Zeit zu Zeit anpassen; die hier vorliegende Fassung ist die aktuell gültige. Grundlegende Änderungen weisen wir oben auf der Seite gut sichtbar aus, sobald sie in Kraft treten.

Im Sinne dieser Erklärung gilt:

„Personenbezogene Daten“ sind alle Informationen, die Sie direkt identifizieren oder mit denen Sie nach vernünftigem Ermessen identifiziert werden können – beispielsweise Ihr Name, Ihre Kontaktdaten oder Gerätekennungen – zusammen mit allen weiteren Angaben, die wir mit Ihrer Person verknüpfen.

„Sensible Daten“ sind personenbezogene Daten, die nach dem PDPA einem besonderen Schutz unterliegen: rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, sexuelle Orientierung oder sexuelles Verhalten, Vorstrafen, Gesundheits- und Behinderungsdaten, Gewerkschaftszugehörigkeit sowie genetische und biometrische Daten. Die einzige Angabe aus diesen Kategorien, die wir routinemäßig erfassen, ist Ihre Staatsangehörigkeit. Das thailändische Recht schreibt dies für die Unterlagen von Reiseveranstaltern vor, zudem benötigen manche Transferanbieter diese Information für ihre Passagierlisten.

1. Wie wir Ihre Daten erheben

   Wir erheben personenbezogene Daten im Wesentlichen über zwei Wege:

   1. Daten, die Sie uns direkt mitteilen – wenn Sie ein Anfrage- oder Buchungsformular ausfüllen, uns per E-Mail oder Chat schreiben, uns anrufen, in unser Büro kommen, ein Benutzerkonto anlegen oder in sozialen Netzwerken mit uns in Kontakt treten.
   2. Daten, die wir von Dritten erhalten – beispielsweise von unserem Zahlungsdienstleister (Omise) bei der Bezahlung einer Buchung, von unseren Partnern (Bootsbetreiber, Fahrdienste) bei der Bestätigung einer Reservierung, von unseren Hosting- und Webanalyse-Anbietern beim Besuch der Website sowie von allen Personen oder Unternehmen, die in einer rechtlichen Beziehung zu uns stehen und Daten berechtigterweise an uns weitergeben.
2. Welche Daten wir erheben

   Folgende Kategorien decken alle Angaben ab, die wir über die genannten Kanäle erfassen:

   1. Angaben zur Person – Anrede, Vorname, Nachname, Staatsangehörigkeit, Wohnsitzland und die Adresse Ihrer Unterkunft während der Reise (damit unsere Fahrer Sie finden).
   2. Kontaktdaten – Telefonnummer, E-Mail-Adresse und Ihr bevorzugter Messenger-Kontakt (WhatsApp, LINE, Telegram etc.), damit wir Ihre Buchung bestätigen und abwickeln können.
   3. Buchungsdaten – der gewünschte Ausflug oder Service, Termine, Gruppengröße, besondere Wünsche (Ernährung, Barrierefreiheit, Kindersitze) sowie alle Notizen, die Sie uns als Freitext senden.
   4. Zahlungsdaten – wir speichern keine Zahlungskartennummern, Prüfnummern (CVV) oder vollständigen Kartendaten auf unseren Servern. Kartenzahlungen wickelt Omise (zertifiziert nach PCI-DSS Level 1) direkt ab; wir erhalten lediglich eine verschlüsselte Referenz (Token), die letzten vier Ziffern, das Ausstellungsland und den Autorisierungsstatus.
   5. Technische Daten – IP-Adresse und daraus abgeleiteter ungefährer Standort, Browsertyp und Version, Betriebssystem, Gerätemodell, Referrer-URL, aufgerufene Seiten, Verweildauer, Cookie-Kennungen und vergleichbare Informationen des Geräts, mit dem Sie die Website aufrufen.
   6. Kontodaten – falls Sie ein Benutzerkonto anlegen: Benutzername, E-Mail-Adresse, ein sicher gehashtes Passwort (wir speichern Passwörter nie im Klartext) sowie Protokolldaten zu wichtigen Aktionen in Ihrem Konto (Registrierungen, Logins, Buchungen, Datenexporte).
   7. Nachrichten und Korrespondenz – der Inhalt Ihrer Mitteilungen an uns, Kopien des E-Mail-Verkehrs sowie Aufzeichnungen zu Reklamationen oder Feedback.
3. Warum wir Ihre Daten nutzen (Rechtsgrundlagen)

   Wir verarbeiten Ihre Daten nur, wenn hierfür eine gesetzliche Grundlage vorliegt. Nach dem PDPA und der DSGVO stützen wir uns auf folgende Rechtsgrundlagen:

   1. Vertragserfüllung – um gebuchte Touren, Charterfahrten oder Transfers durchzuführen, die Buchung mit Ihnen abzustimmen, Belege und Gutscheine auszustellen sowie Reklamationen oder Erstattungen zu bearbeiten.
   2. Erfüllung gesetzlicher Pflichten – um Aufbewahrungspflichten nach thailändischem Steuer-, Tourismus- und Buchführungsrecht nachzukommen (Vorgaben der TAT-Lizenz, Steuergesetzbuch/Revenue Code, Vorschriften zur Geldwäschebekämpfung) und behördliche Anfragen rechtmäßig zu beantworten.
   3. Berechtigte Interessen – um unsere Angebote zu verbessern (Auswertung aggregierter Nutzungsdaten, Fehlerbehebung, Tests neuer Funktionen), die Website vor Betrug und Missbrauch zu schützen und die allgemeine Geschäftsführung zu gewährleisten. Wir wägen diese Interessen stets gegen Ihre Rechte ab; automatisierte Entscheidungsfindungen mit wesentlicher Wirkung für Sie finden nicht statt.
   4. Einwilligung – für Werbemaßnahmen (E-Mail-Newsletter, Sonderangebote, Retargeting), für technisch nicht notwendige Cookies (im EWR, im Vereinigten Königreich und in der Schweiz; andernfalls auf Grundlage unserer berechtigten Interessen, gegen die Sie im Cookie-Banner Widerspruch einlegen können) sowie für alle anderen Nutzungen, um die wir Sie ausdrücklich bitten. Eine einmal erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
4. An wen wir Ihre Daten weitergeben

   Wir geben personenbezogene Daten nur weiter, soweit dies für die Erbringung unserer Leistungen oder aufgrund gesetzlicher Vorgaben erforderlich ist. Wir verkaufen Ihre Daten zu keinem Zeitpunkt. Zu den Empfängern gehören:

   1. Unser Team – Geschäftsführer, Angestellte und die in unseren offiziellen Unterlagen geführten Gesellschafter, streng beschränkt auf das zur Durchführung Ihrer Buchung nötige Maß.
   2. Tour-Veranstalter und Leistungsträger – Kapitäne, Fahrdienste, Restaurants, Tauchlehrer und Hotels, die die gebuchten Leistungen vor Ort tatsächlich ausführen. Sie erhalten ausschließlich die Daten, die für deren Teil der Durchführung nötig sind (in der Regel Name, Kontakt, Abholort und Personenanzahl).
   3. Zahlungsdienstleister – Omise (das lizenzierte Payment-Gateway für alle Online-Kartenzahlungen) sowie die beteiligten Kartennetzwerke (Visa, Mastercard, JCB etc.). Diese Anbieter erfassen die Zahlungsdetails über ihre sicheren Formulare direkt bei Ihnen; wir erhalten lediglich das Ergebnis der Zahlung.
   4. Technische Dienstleister – unsere Partner für Hosting, E-Mail-Versand, Webanalyse, Betrugsprävention und Kundenservice. Sie verarbeiten Daten in unserem Auftrag auf Basis von Verträgen, die sie zur Vertraulichkeit und zur Einhaltung von Sicherheitsstandards gemäß PDPA und DSGVO verpflichten.
   5. Berater – unsere Wirtschaftsprüfer, Steuerberater und Anwälte, sofern wir deren Beratung zwingend benötigen und diese Berufsgeheimnisträger sind oder entsprechenden Verschwiegenheitspflichten unterliegen.
   6. Behörden – thailändische Stellen für Steuern, Tourismus, Einwanderung und Strafverfolgung, sofern wir gesetzlich zur Offenlegung verpflichtet sind oder dies zum Schutz von Leben, Eigentum oder unserer Rechtsansprüche zwingend erforderlich ist.
   7. Von Ihnen autorisierte Dritte – beispielsweise Reisebüros, über die wir in Ihrem Auftrag Abstimmungen vornehmen sollen.
5. Google-Kontodaten für Tour-Anbieter

   Wenn Sie als Tour-Anbieter in Ihrer Koh-Sanuk-Konsole auf „Google verbinden“ klicken, gestatten Sie uns, in Ihrem Google-Konto ein Google-Cloud-Projekt anzulegen, dieses mit Ihrem Abrechnungskonto zu verknüpfen, den Dienst Vertex AI zu aktivieren und in diesem Projekt ein Dienstkonto (Service Account) mit einem Schlüssel zu erstellen. Wir verwenden diesen Schlüssel ausschließlich, um Ihre eigenen Touren zu übersetzen.

   Wir nutzen Ihren Google-Login nur ein einziges Mal während dieser Einrichtung und trennen die Verbindung unmittelbar danach; der Login wird nicht von uns gespeichert. Wir lesen keine weiteren Daten in Ihrem Google-Konto aus, geben nichts davon weiter und nutzen diese Daten zu keinem Zeitpunkt für Werbung.

   Die Nutzung und Weitergabe von Informationen, die Koh Sanuk über Google-APIs erhält, erfolgt im Einklang mit der Nutzerdatenrichtlinie für Google-API-Dienste, einschließlich der Bestimmungen zur eingeschränkten Nutzung (Limited Use).

   Sie können die Verknüpfung auf der Zugangsdaten-Seite jederzeit aufheben und das Projekt in Ihrer Google-Cloud-Konsole eigenständig löschen.

6. Internationale Datenübermittlungen

   Koh Sanuk hat seinen Sitz in Thailand, wo der Großteil Ihrer Daten verbleibt. Einige unserer Dienstleister (insbesondere für Hosting, E-Mail-Versand, Webanalyse und Zahlungsabwicklung) haben ihren Sitz jedoch in anderen Ländern oder leiten Daten darüber weiter – unter anderem im EWR, in den USA, in Singapur und in Indien. Übermitteln wir Daten in Länder außerhalb Thailands oder des EWR, nutzen wir mindestens eine der folgenden Absicherungen: einen Angemessenheitsbeschluss der zuständigen Behörde, Standardvertragsklauseln (SCC) oder Ihre ausdrückliche Einwilligung in die konkrete Übermittlung.

7. Wie lange wir Ihre Daten aufbewahren

   Wir bewahren Ihre Daten nicht länger auf als nötig. Im Einzelnen gilt:

   1. Buchungs- und Kundendaten – werden für sieben (7) Jahre nach Abschluss der Buchung aufbewahrt, um den Vorgaben des thailändischen Buchführungs- und Steuerrechts zu entsprechen (Revenue Code § 83/13 und § 93).
   2. Marketingdaten – bleiben gespeichert, bis Sie sich abmelden oder Ihre Einwilligung anderweitig widerrufen, je nachdem, was früher eintritt.
   3. Technische Daten und Cookies – werden bis zu 14 Monate lang in personenbezogener Form aufbewahrt und anschließend aggregiert.
   4. Kontodaten – bleiben während der Aktivität Ihres Benutzerkontos sowie für ein (1) Jahr nach dessen Schließung gespeichert, um etwaige nachträgliche Reklamationen oder Erstattungsansprüche klären zu können.
   5. Daten laufender Gerichts- oder Streitverfahren – bleiben bis zum Abschluss des Verfahrens und dem Ablauf der jeweiligen Verjährungsfristen gespeichert.

   Nach Ablauf der Fristen löschen wir die Daten sicher oder anonymisieren sie so, dass kein Rückschluss auf Ihre Person mehr möglich ist.

8. Wie wir Ihre Daten schützen

   Wir setzen branchenübliche technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen: TLS-Verschlüsselung für sämtlichen Web-Traffic, Passwort-Hashing (bcrypt), strenge Zugriffsbeschränkungen für Mitarbeiter, standortübergreifende verschlüsselte Backups, regelmäßige Sicherheitsprüfungen unserer Hosting-Infrastruktur sowie vertragliche Garantien mit allen Auftragsverarbeitern. Zahlungskartendaten speichern wir grundsätzlich nicht – diese laufen direkt über unseren PCI-DSS-zertifizierten Zahlungsdienstleister.

   Kein System ist unfehlbar. Sollte es zu einer Datenschutzverletzung kommen, die Ihre Rechte beeinträchtigt, informieren wir Sie und die zuständigen Aufsichtsbehörden unverzüglich im Einklang mit dem PDPA und der DSGVO.

9. Cookies

   Wir setzen auf unserer Website Cookies und ähnliche Technologien für drei Zwecke ein: technisch notwendige Cookies (die Sie eingeloggt halten, den Warenkorb verwalten sowie Sprach- und Währungseinstellungen speichern), Analyse-Cookies (die uns zeigen, welche Inhalte besonders hilfreich sind) und Marketing-Cookies (für Werbemaßnahmen und Retargeting, beispielsweise über Google Ads und Meta (Facebook, Instagram)). Bei Besuchern aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich und der Schweiz sind standardmäßig nur die technisch notwendigen Cookies aktiv; Analyse- und Marketing-Cookies laden wir dort erst nach Ihrer ausdrücklichen Einwilligung im Cookie-Banner. Für Besucher aus anderen Ländern sind Analyse- und Marketing-Cookies (Google Analytics, Google Ads und Meta) standardmäßig aktiviert; Sie können diese im Cookie-Banner jederzeit deaktivieren – Ihre Auswahl speichern wir ab.

   Sie können Ihre Cookie-Einstellungen jederzeit über den Link in der Fußzeile anpassen oder Cookies in Ihrem Browser löschen. Deaktivieren Sie technisch notwendige Cookies, funktionieren wesentliche Bereiche der Website (Login, Buchung, Währungsumrechnung) nicht mehr.

10. Ihre Rechte

    Gemäß PDPA, DSGVO und den meisten anderen maßgeblichen Datenschutzgesetzen stehen Ihnen bezüglich Ihrer bei uns gespeicherten Daten folgende Rechte zu. Wir bearbeiten Anfragen innerhalb von 30 Tagen, in den meisten Fällen kostenfrei.

    1. Auskunftsrecht – Sie können eine Übersicht Ihrer bei uns gespeicherten personenbezogenen Daten in einem gängigen, maschinenlesbaren Format anfordern.
    2. Recht auf Berichtigung – Sie können die Korrektur unrichtiger, veralteter oder unvollständiger Daten verlangen.
    3. Recht auf Löschung („Recht auf Vergessenwerden“) – Sie können die Löschung Ihrer Daten fordern. Dem dürfen wir nur widersprechen, wenn uns gesetzliche Pflichten (etwa steuerliche Aufbewahrungsfristen) zur weiteren Speicherung verpflichten.
    4. Recht auf Einschränkung der Verarbeitung – Sie können verlangen, die Verarbeitung vorübergehend auszusetzen, während wir eine Berichtigung prüfen oder einen Widerspruch beurteilen.
    5. Widerspruchsrecht – Sie können Verarbeitungen widersprechen, die auf berechtigten Interessen beruhen (einschließlich Profiling für Marketingzwecke). Wir beenden die Verarbeitung, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können, die Ihre Rechte überwiegen.
    6. Recht auf Datenübertragbarkeit – Sie können Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen Format anfordern und verlangen, diese direkt an einen anderen Verantwortlichen zu übermitteln, soweit dies technisch machbar ist.
    7. Widerrufsrecht bei Einwilligungen – Sie können eine erteilte Einwilligung jederzeit widerrufen, etwa per Abmeldelink in unseren Marketing-Mails, über die Cookie-Einstellungen oder per Nachricht an uns. Bis zum Widerruf erfolgte Verarbeitungen bleiben davon unberührt.
    8. Beschwerderecht – Sie können Beschwerde bei einer Datenschutzaufsichtsbehörde einlegen: in Thailand beim Personal Data Protection Committee (pdpc.or.th), in der EU bei Ihrer nationalen Aufsichtsbehörde (eine Liste finden Sie unter edpb.europa.eu).

    Um Ihre Rechte auszuüben, schreiben Sie uns an die unten angegebenen Kontaktdaten. Zum Schutz Ihrer Daten bitten wir Sie vor der Auskunft unter Umständen um einen Identitätsnachweis, damit keine Daten an Unbefugte gelangen.

11. Minderjährige

    Unsere Angebote richten sich ausschließlich an Erwachsene. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Sollten Sie als Elternteil oder Erziehungsberechtigter feststellen, dass uns Ihr Kind ohne Zustimmung Daten übermittelt hat, informieren Sie uns bitte, damit wir diese unverzüglich löschen können.

12. Änderungen dieser Erklärung

    Nehmen wir wesentliche Anpassungen an dieser Erklärung vor, weisen wir auf der Seite deutlich darauf hin und kontaktieren Sie bei Bedarf direkt. Nutzen Sie unsere Dienste nach Inkrafttreten einer Änderung weiter, gilt dies als Zustimmung zur aktualisierten Erklärung.

13. So erreichen Sie uns

    Bei Fragen zu dieser Datenschutzerklärung, zur Wahrnehmung Ihrer Rechte oder zum allgemeinen Umgang mit Ihren Daten wenden Sie sich bitte an:

    Samui Tourist Information Ltd. Partnership
    135 Moo 3, Maret, Koh Samui, Surat Thani 84310, Thailand
    E-Mail: support@kohsanuk.com
    Telefon / WhatsApp: +66 82 279 4936

    Wir bestätigen Datenschutzanfragen in der Regel innerhalb von zwei Werktagen und beantworten Ihr Anliegen innerhalb von dreißig Tagen vollständig.

KI-Chat-Assistent. Der Chat-Assistent auf unserer Website wird von KI betrieben (Anthropic Claude, der KI-Dienst, den wir bereits für die Erstellung von Tourinhalten nutzen). Was Sie im Chat schreiben, wird zusammen mit der Seite, auf der Sie sich befinden, an Anthropic übermittelt, um die Antworten zu erstellen. Zu jedem Chat speichern wir außerdem technische Angaben zum Besuch: die Seite, auf der der Chat begonnen hat, Ihren Browsertyp und die anonyme Browser-Kennung, die unsere Website für Besucherstatistiken verwendet. Chats angemeldeter Kunden werden gespeichert, bis Sie uns per E-Mail an support@kohsanuk.com um Löschung bitten. Andere Chats werden 90 Tage nach ihrer letzten Nachricht gelöscht; ein Chat, der noch auf die Prüfung durch unser Team wartet, wird bis zur Prüfung aufbewahrt, jedoch nicht länger als 180 Tage. Zum Schutz des Chats vor Missbrauch verwenden wir Google reCAPTCHA: Es prüft, dass ein Besucher kein Roboter ist, und Google erhält dafür technische Informationen zu Ihrem Browser.

Wir nutzen außerdem unsere geschäftlichen WhatsApp-Chats mit Kunden, um Antworten auf häufige Fragen zu entwerfen: Zuvor werden Telefonnummern, E-Mail-Adressen, Links, Karten- und Buchungsnummern sowie die uns bekannten Namen entfernt, danach verarbeitet Anthropic Claude die Chats, und ein Mitglied unseres Teams prüft jeden Entwurf, bevor er verwendet wird.