x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x
Reiselust

Datenschutzerklärung

1. Verantwortlicher

Christopher Blake Hümmer, Taborstr. 19, 10997 Berlin, Deutschland
E-Mail: christopher.huemmer@posteo.de · Telefon: 0176 32219031

2. Übersicht

Reiselust (reiselust.io; auf Englisch und in weiteren Sprachen Mochilo, mochilo.io) ist eine Webanwendung zur gemeinsamen Planung von Reisen mit Freunden und Familie. Um den Dienst bereitzustellen, verarbeite ich personenbezogene Daten, die du bei der Registrierung und Nutzung angibst. Der Dienst richtet sich nicht an Personen unter 16 Jahren.

3. Registrierung und Nutzerkonto

Bei der Registrierung erhebe ich deine E-Mail-Adresse, ein von dir gewähltes Passwort (verschlüsselt gespeichert) und deinen Anzeigenamen, um dir ein Nutzerkonto bereitzustellen und dich bei der Anmeldung zu identifizieren. Optional kannst du zusätzlich deinen echten Namen angeben, falls dein Anzeigename ein Spitzname ist; dieser wird nur verwendet, damit die KI-Funktion (siehe Ziffer 12) dich auf einem hochgeladenen Dokument wiedererkennen kann, und nirgends in der App angezeigt. Da dieser Abgleich auf dem Gerät deiner Mitreisenden stattfindet, ist er für Mitreisende auf gemeinsamen Reisen technisch zugänglich, für niemanden sonst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anzeigename), lit. a DSGVO (echter Name, freiwillige Angabe). Seit dem 22. Oktober 2026 kannst du den Dienst direkt nach der Bestätigung deiner E-Mail-Adresse nutzen; bei Missbrauch kann ich ein Konto sperren. Bei der Registrierung prüfen wir die Domain deiner E-Mail-Adresse gegen eine öffentliche Liste von Wegwerf-Adressen; mit solchen Adressen ist keine Registrierung möglich. Weiterleitungsadressen von Datenschutz-Diensten (z. B. SimpleLogin oder Apple „E-Mail-Adresse verbergen“) sind erlaubt, werden aber in der Verwaltungsansicht gekennzeichnet und zählen nicht für das Einladungsprogramm. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Als Betreiber kann ich zu jedem Konto Nutzungszahlen einsehen, zum Beispiel die Anzahl angelegter und beigetretener Reisen, eingetragener Ausgaben und KI-Anfragen, den Zeitpunkt der letzten Anmeldung und ob die App auf einem iPhone oder Android-Gerät genutzt wird. Inhalte wie Reisen, Buchungen oder Ausgaben sehe ich dabei nicht. Ich nutze diese Zahlen, um den Dienst zu betreiben, Missbrauch zu erkennen und die App weiterzuentwickeln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Für ein Konto brauchst du eine E-Mail-Adresse und einen Anzeigenamen; ohne sie kannst du den Dienst nicht nutzen. Alle anderen Angaben sind freiwillig.

4. Profildaten

Optional kannst du ein Profilbild hochladen und einen PayPal.me-Namen hinterlegen (für den Kostenausgleich mit Mitreisenden). Profilbilder werden auf 256×256 Pixel verkleinert und in einem privaten Speicherbereich abgelegt, der nur für dich und Mitreisende auf gemeinsamen Reisen über zeitlich begrenzte Links zugänglich ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (freiwilliger Upload) bzw. lit. b (Vertragserfüllung für die PayPal-Funktion).

Ebenfalls optional kannst du eine IBAN mit Kontoinhaber:in hinterlegen. Diese Angaben sehen nur Mitreisende auf gemeinsamen Reisen, damit sie dir offene Beträge überweisen können; dafür erzeugt die App im Browser einen QR-Code (EPC-/GiroCode) mit IBAN, Name, Betrag und Verwendungszweck. Es werden keine Daten an eine Bank oder einen Zahlungsdienst übermittelt. Du kannst die Angaben jederzeit im Profil ändern oder löschen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (freiwillige Angabe).

Ebenso freiwillig sind weitere Zahlungsarten: ein Venmo-, Monzo.me- oder Revolut-Name, ein britisches Bankkonto (Sort Code, Kontonummer, Kontoinhaber:in), eine Adresse für Interac e-Transfer oder eine PayID. Auch diese sehen nur Mitreisende auf gemeinsamen Reisen, und nur bei Reisen in einer Währung, in der die Zahlungsart zahlen kann. Tippt jemand auf einen Zahlungslink, öffnet sein Gerät die Seite des Anbieters (Venmo, Monzo oder Revolut) mit deinem Namen dort, dem Betrag und dem Reisenamen; wir selbst übermitteln nichts an diese Anbieter. Beim Schließen deines Kontos werden die Angaben gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (freiwillige Angabe).

Ebenfalls optional ist deine Staatsangehörigkeit (bei der Registrierung oder im Profil). Wir nutzen sie nur, um dir unter „Vor Ort“ anzuzeigen, ob du für ein Reiseland ein Visum brauchst (das ermitteln wir auf unserem Server aus einer mitgelieferten Liste, ohne Anfrage an Dritte), und um dir die passenden KI-Vorschläge für ein Reiseziel anzuzeigen (siehe Ziffer 12). Sie ist für niemanden sonst sichtbar und wird nicht an die KI übermittelt. Ohne Angabe bekommst du einfach keine Visum-Angabe und keine Vorschläge. Du kannst sie jederzeit im Profil ändern oder löschen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (freiwillige Angabe).

Optional kannst du im Profil auch dein Wohnland angeben. Wir nutzen es nur, um bei Reisen in dieses Land den Bereich „Vor Ort“ (Steckdosen, Verkehr, Notrufnummern, Wechselkurs, Ortszeit) auszublenden und bei Reisen ins Ausland anzuzeigen, ob dein Mobilfunktarif dort wie zuhause gilt (EU-Roaming). Die Berechnung läuft in deinem Browser. Es ist für niemanden sonst sichtbar und wird beim Schließen deines Kontos gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (freiwillige Angabe).

5. Reisedaten

Reisen, Stopps (inkl. Ortsnamen und Koordinaten), Unterkünfte, Flüge, Mietwagen, sonstige Transportmittel sowie zugehörige Buchungsbestätigungen werden gespeichert, um die gemeinsame Reiseplanung zu ermöglichen. Diese Daten sind nur für dich und die Mitglieder der jeweiligen Reise sichtbar, technisch durchgesetzt über Datenbankrichtlinien (Row Level Security). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Dokumente, die du im Tab „Dokumente“ einer Reise hochlädst (z. B. Tickets, Vouchers, Buchungsbestätigungen), sehen alle Mitglieder dieser Reise. Persönliche Dokumente auf deinem Dashboard und im Profil (z. B. eine Kopie deines Reisepasses) siehst nur du. Die Dateien liegen in einem nicht öffentlichen Speicher bei Supabase in der EU und werden nur über kurzlebige, signierte Links ausgeliefert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zur Reise gehört auch die Reise-Checkliste: Punkte, die Mitreisende anlegen (z. B. eine Impfung oder ein Visum), und wer sie bereits abgehakt hat. Ob du einen Punkt abhakst, entscheidest du selbst; das Häkchen ist für alle Mitglieder der Reise sichtbar. Betrifft ein Punkt deine Gesundheit (etwa eine Impfung), handelt es sich dabei um Gesundheitsdaten (Art. 9 DSGVO), die du freiwillig angibst. Rechtsgrundlage ist insoweit deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die du jederzeit widerrufen kannst, indem du das Häkchen wieder entfernst. Erinnerungen an offene Punkte werden als Benachrichtigung in der App und per E-Mail verschickt (über Resend, siehe Abschnitt 10).

Kalender-Abo: Auf Wunsch erstellst du für eine Reise einen privaten Link, den deine Kalender-App (z. B. Apple Kalender, Google Kalender, Outlook) regelmäßig abruft. Der Link enthält einen zufälligen Schlüssel und liefert ohne Anmeldung die Reisedaten, die dich betreffen: Reisezeitraum, deine Flüge und sonstigen Verbindungen, Mietwagen, Unterkünfte mit Adresse und deine offenen Checklisten-Punkte mit Fälligkeit. Diese Daten werden dabei an den Anbieter deiner Kalender-App übermittelt und dort nach dessen Bedingungen gespeichert. Wer den Link kennt, kann diese Daten abrufen; du kannst ihn jederzeit zurücksetzen, dann funktioniert der alte Link nicht mehr. Verlässt du die Reise oder schließt du dein Konto, liefert der Link keine Daten mehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Offline auf dem Handy (nur in den Apps): Öffnest du eine Reise in der App, legt sie eine Kopie davon im Speicher der App auf deinem Handy ab (Stopps mit Unterkünften, Verbindungen mit Buchungsnummern, deine Checklisten-Punkte, die Mitreisenden; keine Beträge), damit du sie ohne Netz lesen kannst; höchstens sechs Reisen, jeweils bis 3 Tage nach Reiseende. Schaltest du ein Dokument auf „Offline“, lädt die App die Datei in ihren Speicher (höchstens 100 MB, von iCloud- und Google-Backups ausgenommen); sie wird entfernt, wenn das Dokument gelöscht wird, 3 Tage nach der Reise, beim Abmelden oder wenn sich ein anderes Konto anmeldet. Für das Widget auf dem Home-Bildschirm speichert die App im gemeinsamen Speicher von App und Widget deine aktuelle oder nächste Reise (Name, Daten, Stopps mit Unterkunft) und deine Flüge darauf (Flugnummer, Flughäfen, Zeiten, Boarding, Gate, Terminal, Gepäckband); beim Abmelden wird das gelöscht. Diese Kopien bleiben auf deinem Gerät und gehen an niemanden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Kostenaufteilung

Kosten (Beträge, Zahler, beteiligte Personen), die du zu Buchungen oder eigenen Ausgaben hinzufügst, werden gespeichert und den beteiligten Mitreisenden angezeigt, um eine gemeinsame Abrechnung zu ermöglichen. Zum Ausgleich offener Beträge kann ein Zahlungslink zu PayPal.me erzeugt werden; dabei werden Betrag und PayPal.me-Name des Empfängers in der Ziel-URL übertragen. Es findet keine direkte Anbindung an PayPal statt – der Link führt lediglich auf die Website von PayPal, deren eigene Datenschutzbestimmungen dann gelten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

SillyMoney (sillymoney.io), die Ausgaben-App desselben Betreibers, nutzt dasselbe Nutzerkonto. Du nutzt SillyMoney nur, wenn du dort beim ersten Besuch zustimmst. Mitreisende, die SillyMoney nutzen, können die Kosten einer gemeinsamen Reise dorthin übernehmen und abgleichen. Nutzt du SillyMoney nicht, erscheinst du dort nur mit deinem Anzeigenamen bei deinen Kosten, für die Mitglieder dieser Gruppe, die dieselben Angaben auch hier sehen; deine Zahlungsangaben werden dort nicht geteilt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (eine gemeinsame Abrechnung, die deine Mitreisenden nutzen).

7. Einladungen

Ein Mitglied einer Reise kann andere Nutzer per E-Mail-Adresse hinzufügen oder einen Einladungslink erzeugen. Dabei wird geprüft, ob zu einer eingegebenen E-Mail-Adresse bereits ein Konto existiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Für das Einladungsprogramm hat jedes Konto einen persönlichen Einladungslink, den du selbst teilst; wir verschicken keine Einladungs-E-Mails. Registriert sich jemand über einen solchen Link, speichern wir, über wessen Link das geschah. Die einladende Person sieht die Anzahl der Registrierungen über ihren Link und die Anzeigenamen derer, die bereits mindestens 3 Tage bei einer ihrer Reisen mitreisen, damit sie ihren Fortschritt verfolgen kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Teilnahme am Programm) und lit. f DSGVO (Nachvollziehbarkeit, Schutz vor Missbrauch).

Registrierst du dich über einen Aktionslink mit Code (z. B. aus einem Forenbeitrag), merkt sich dein Browser den Code 30 Tage lang in einem Cookie, und wir speichern zu deinem Konto, welchen Code du genutzt hast und wie viele Extra-Credits du dafür bekommen hast. Das dient der Gutschrift und der Begrenzung pro Code und wird beim Schließen deines Kontos gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. Hosting und Auftragsverarbeitung

Diese Website wird bei folgenden Dienstleistern gehostet, mit denen jeweils Auftragsverarbeitung nach Art. 28 DSGVO vereinbart ist bzw. deren Standardvertragsklauseln gelten:

  • Supabase, Inc. (Datenbank, Authentifizierung, Datei-Speicher). Die Daten werden in der AWS-Region eu-west-3 (Paris, Frankreich) und damit innerhalb der EU gespeichert.
  • Vercel Inc. (Auslieferung der Website). Vercel kann Anfragen auch über Server außerhalb der EU verarbeiten; hierfür gelten entsprechende Garantien (u. a. EU-Standardvertragsklauseln).
  • Google Ireland Ltd. / Google LLC (Firebase Cloud Messaging) sowie Apple Inc. (Apple Push Notification Service), nur in den Apps für iPhone und Android, zum Zustellen von Push-Benachrichtigungen. Auch hier kann eine Verarbeitung außerhalb der EU stattfinden; es gelten die EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework.

Push-Benachrichtigungen (nur in den Apps): Erlaubst du sie beim ersten Anmelden in der App, speichern wir ein Geräte-Token, die Plattform (iOS/Android) und deine Sprache, damit wir dich über neue Einladungen, Kosten, an denen du beteiligt bist, Checklistenpunkte und Änderungen an deinen Reisen informieren können. Der Text der Benachrichtigung (z. B. Reisename, Name der Person, Betrag) wird dafür an Firebase Cloud Messaging und von dort an Apple bzw. Google übermittelt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit in den Einstellungen deines Geräts widerrufen kannst; für einzelne Reisen kannst du Benachrichtigungen außerdem stummschalten. Das Token wird gelöscht, wenn du dein Konto schließt oder der Push-Dienst es als ungültig meldet.

In deinem Profil legst du unter „Benachrichtigungen“ fest, welche Arten von Push-Mitteilungen du bekommst (Ausgaben, Reiseplanung, Reise-Erinnerungen, Neuigkeiten zur App). Reise-Erinnerungen sind ein Hinweis am Mittag vor Reisebeginn und, wenn du noch keine weitere Reise geplant hast, einer am Mittag nach dem Reiseende; damit sie zur richtigen Uhrzeit ankommen, speichern wir mit dem Geräte-Token die Zeitzone deines Geräts. „Neuigkeiten zur App“ sind gelegentliche Hinweise von uns auf neue Funktionen von Reiselust; sie erscheinen in deinen Benachrichtigungen in der App und als Push-Mitteilung, solange du den Schalter nicht ausschaltest (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO). Werbliche Mitteilungen („Angebote und Rabatte“, z. B. Angebote von Partnern oder Rabatte) senden wir nur, wenn du sie dort ausdrücklich einschaltest; wir speichern den Zeitpunkt deiner Einwilligung. Du kannst sie jederzeit mit demselben Schalter widerrufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 UWG.

Sicherheit: Alle Verbindungen sind per TLS verschlüsselt. Die Daten liegen in der EU (Paris). Wer welche Daten lesen und ändern darf, setzt die Datenbank selbst durch (Row Level Security); Dateien werden nur über kurzlebige, signierte Links ausgeliefert, und geheime Schlüssel liegen ausschließlich auf dem Server.

Lädst du die App aus dem App Store von Apple oder dem Google Play Store, verarbeiten Apple bzw. Google die Daten zum Download in eigener Verantwortung nach ihren Datenschutzbestimmungen.

9. Benachrichtigung bei Neuanmeldungen

Wenn du dich neu registrierst, werden dein Anzeigename und deine E-Mail-Adresse einmalig an den Dienst ntfy.sh übermittelt, um mich als Betreiber über die Neuanmeldung zu informieren, damit ich Missbrauch früh erkenne. Es gelten die eigenen Datenschutzbestimmungen von ntfy.sh. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz des Dienstes vor Missbrauch).

10. Genehmigungs-E-Mail

Wird ein Konto von Hand freigeschaltet (bei Konten aus der Zeit vor dem 22. Oktober 2026, als neue Konten noch manuell freigeschaltet wurden), sende ich einmalig eine E-Mail darüber über den Dienst Resend (Plus Five Five, Inc., USA). Dabei werden deine E-Mail-Adresse und dein Anzeigename an Resend übermittelt. Die Verarbeitung erfolgt in den USA; es gelten die in die Auftragsverarbeitung nach Art. 28 DSGVO einbezogenen EU-Standardvertragsklauseln sowie die Zertifizierung von Resend nach dem EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) bzw. lit. f (berechtigtes Interesse an einem funktionierenden Registrierungsprozess).

11. CAPTCHA-Schutz

Um Massen-Registrierungen durch Bots zu verhindern, wird beim Registrieren, Anmelden und erneuten Anfordern der Bestätigungs-E-Mail ein CAPTCHA-Widget von Cloudflare (Turnstile) eingebunden. Dabei werden deine IP-Adresse und bestimmte Browsersignale an Cloudflare, Inc. (USA) übertragen und dort ausgewertet, um zu prüfen, ob eine echte Person oder ein Bot die Anfrage stellt. Turnstile setzt dabei keine Tracking-Cookies für werbliche Zwecke ein. Die Verarbeitung erfolgt in den USA auf Grundlage von EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch und automatisierten Registrierungen).

12. KI-Assistent

Konten mit freigeschaltetem Zugang zur optionalen KI-Funktion können auf der Reiseseite und im Dashboard frei formulierten Text eingeben (z. B. eine Reisebeschreibung), um daraus automatisch Vorschläge für Reisedaten (Stopps, Unterkünfte, Flüge, Mietwagen, sonstige Transportmittel, Kosten, Punkte für die Reise-Checkliste) bzw. die Eckdaten einer neuen Reise zu erhalten. Bestehende Checklisten-Punkte und wer sie abgehakt hat werden dabei nie an die KI übermittelt; neue Punkte entstehen nur aus dem, was du selbst eingibst. Auf der Reiseseite kann zusätzlich eine PDF-Datei mit einem bestehenden Reiseplan angehängt werden, aus der Reisedaten extrahiert werden; die Datei wird zur Verarbeitung ebenfalls an Anthropic übermittelt, von uns selbst jedoch nicht gespeichert, sondern nur für diese eine Anfrage gelesen und danach verworfen. Ebenso kann im Dashboard-Bereich „Gerade unterwegs“ ein Foto eines Belegs (oder eine kurze Notiz) übermittelt werden, um daraus eine einzelne Ausgabe vorzuschlagen; das Foto wird vorher in deinem Browser verkleinert und ebenfalls nicht von uns gespeichert. Dieser Text wird zusammen mit etwas Kontext der jeweiligen Reise (z. B. bereits vorhandene Stopp-Namen, Namen der Mitreisenden, Ziel-Währung) an Anthropic PBC (USA) übermittelt und dort verarbeitet, um den Vorschlag zu erzeugen; dieser wird dir vor der Übernahme zur Prüfung angezeigt und erst auf deinen Klick hin gespeichert. Anthropic verarbeitet die Anfrage ausschließlich zur Erzeugung der Antwort und nutzt sie nicht zum Training eigener Modelle. Anthropic löscht Ein- und Ausgaben nach eigenen Angaben innerhalb von 30 Tagen; als Verstoß gegen die Nutzungsrichtlinien markierte Anfragen kann Anthropic bis zu zwei Jahre aufbewahren. Kann das Standardmodell ein schwieriges Dokument nicht lesen, geht dieselbe Anfrage einmal an ein größeres Modell desselben Anbieters. Der eingegebene Text wird zusätzlich mit Zeitstempel und Nutzer-ID in unserer Datenbank protokolliert, um Missbrauch zu erkennen und die Funktion zu verbessern (bei einer angehängten Datei wird dabei nur vermerkt, dass eine Datei angehängt war, nicht deren Inhalt). Zu jeder Anfrage wird außerdem vermerkt, ob sie beantwortet, mit einer Rückfrage beantwortet oder abgelehnt wurde, ob sie Anweisungen an die KI enthielt (z. B. versteckte Befehle in einem Dokument) und wie viele Tokens sie verbraucht hat. Abgelehnte oder als auffällig markierte Anfragen kann ich als Betreiber einsehen, um Missbrauch zu erkennen, und bei Bedarf die KI-Funktion für ein Konto sperren. Der eingegebene Text wird nach 90 Tagen gelöscht; die übrigen Angaben (Zeitpunkt, Ergebnis, Tokenverbrauch) bleiben bis zur Schließung deines Kontos gespeichert (siehe Ziffer 15). Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Missbrauchsabwehr und Kostenkontrolle). Die Verarbeitung in den USA erfolgt auf Grundlage von EU-Standardvertragsklauseln. Die Funktion ist optional, nur für ausgewählte Konten freigeschaltet und wird nur bei aktiver Nutzung ausgelöst. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (du entscheidest bei jeder Eingabe selbst) bzw. lit. b (Vertragserfüllung für diese von dir angeforderte Funktion).

Der KI-Assistent auf Reisen verbraucht Credits. Dafür speichern wir zu deinem Konto dein Guthaben und einen Verlauf: Startguthaben, Nachschub, für welche KI-Anfrage wie viele Credits abgebucht oder zurückerstattet wurden und manuelle Korrekturen durch den Betreiber. Der Verlauf ist für dich im Profil sichtbar und wird beim Schließen deines Kontos gelöscht. Ebenso speichern wir dein Paket (Daypack, Backpack, Explorer, Globetrotter) mit Herkunft und Zeitpunkt jeder Freischaltung sowie, für das Mitmach-Kontingent, bei welchen Reisen du in welchem Jahr beigetreten bist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir genutzten Funktion).

KI-Vorschläge für ein Reiseziel (Einreise, Visum, Impfungen, Versicherung) erzeugen wir vorab pro Land und Staatsangehörigkeit aus den öffentlichen Reise- und Sicherheitshinweisen des Auswärtigen Amts (für britische Pässe aus denen des britischen Außenministeriums auf GOV.UK), prüfen sie und speichern sie. Dabei werden keine personenbezogenen Daten an die KI übermittelt. Wenn du Vorschläge für ein Land öffnest, für das es noch keine gibt, speichern wir nur das Land und die Staatsangehörigkeit (ohne Bezug zu dir), damit wir sie ergänzen können.

Im KI-Feld auf dem Dashboard kannst du deinen Text auch diktieren. Dafür nutzen wir die Spracherkennung deines Browsers: Die Aufnahme geht nicht an uns, sondern je nach Browser an dessen Anbieter (in Chrome an Google, in Safari an Apple oder wird direkt auf dem Gerät erkannt), und nur der erkannte Text landet im Eingabefeld. Das Mikrofon wird erst nach deiner Freigabe und nur bei einem Tipp auf das Mikrofon-Symbol genutzt.

13. Eingebettete Inhalte Dritter

Die Karten laden ihre Kartendaten von OpenFreeMap (tiles.openfreemap.org), und die Ortssuche beim Anlegen eines Stopps fragt den Dienst Nominatim von OpenStreetMap ab, die Vorschläge beim Tippen den Dienst Photon der komoot GmbH (photon.komoot.io). Dabei wird deine IP-Adresse an den jeweiligen Dienst übertragen, bei der Ortssuche auch der eingegebene Suchbegriff und die Länder der Reise. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Wechselkurse (für Ausgaben in einer anderen Währung und die Angaben „Vor Ort“ auf einer Reise) ruft dein Browser bei open.er-api.com (ExchangeRate-API) ab. Dabei wird deine IP-Adresse übertragen und die Währung der Reise, keine Angaben zu dir oder der Reise. Ortszeit und Zeitunterschied berechnet dein Gerät selbst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Wenn du für eine Reise Flugalarme aktivierst, übermitteln wir kurz vor dem Abflug die Flugnummer und das Datum deiner Flüge an AeroDataBox, einen Anbieter von Flugstatus-Daten, und erhalten von dort Änderungen wie Verspätungen, Gate-Wechsel oder Annullierungen. Namen oder andere Angaben zu dir werden dabei nicht übertragen. Den Status speichern wir, bis der Flug vorbei ist, und zeigen ihn allen Mitreisenden der Reise an. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (eine von dir gewünschte Funktion); du kannst die Flugalarme jederzeit im Reiter Flüge ausschalten.

Für das Wetter an den Stopps einer Reise (Vorhersage, typisches Wetter und Unwetterwarnungen) fragen unsere Server regelmäßig Apple Weather (WeatherKit, Apple Inc.) ab. Übertragen werden nur die auf etwa 11 km gerundeten Koordinaten der Stopps, Kalenderdaten und für Warnungen das Land, keine Namen, Adressen oder Angaben zu dir oder der Reise; Reisen an denselben Ort teilen sich die Daten. Orange und rote Warnungen schicken wir dir als Mitteilung, das kannst du im Profil abschalten. Beim Anzeigen lädt dein Browser das Apple-Weather-Logo von weatherkit.apple.com, dabei wird deine IP-Adresse übertragen. Sonnenauf- und -untergang berechnet dein Gerät selbst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Unter „Wandern“ bei den Stopps einer Reise öffnet „Touren auf komoot“ komoot (komoot GmbH, Schönefeld) mit dem Namen und den auf etwa 1 km gerundeten Koordinaten des Stopps, „Touren auf Wikiloc“ Wikiloc (Wikiloc Outdoor, S.L., Spanien) mit einem Kartenausschnitt um diese Koordinaten, jeweils ohne Partnerkennung und ohne Angaben zu dir. Was komoot oder Wikiloc nach dem Klick verarbeiten, regeln deren eigene Datenschutzerklärungen. Fügst du bei einer Aktivität einen komoot-Link ein, ruft unser Server diese eine Tour-Seite einmal ab, um Name, Länge, Dauer und Schwierigkeit zu übernehmen; übertragen wird nur die Adresse der Tour, keine Angaben zu dir. Links von Wikiloc und GetYourGuide lesen wir nur aus der Adresse selbst, ohne Abruf. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Partnerlinks: Unter „Was wollt ihr unternehmen?“ bei den Stopps einer Reise verlinken wir auf Suchen bei GetYourGuide (GetYourGuide Deutschland GmbH, Berlin). Diese Links sind als Partnerlinks gekennzeichnet: Buchst du darüber, erhalten wir eine Provision, für dich ändert sich der Preis nicht. Der Link enthält nur den Ort, die Reisedaten, unsere Partnerkennung und die gewählte Kategorie, keine Namen oder Angaben zu dir; wir erfahren nicht, ob oder was du buchst, nur die Provision insgesamt. Was GetYourGuide nach dem Klick verarbeitet, regelt dessen eigene Datenschutzerklärung. Bei Stopps ohne Unterkunft und auf der Unterwegs-Karte verlinken wir außerdem auf eine Unterkunftssuche über Stay22 (Stay22 Technologies Inc., Kanada), das an Anbieter wie Booking.com, Expedia oder Vrbo weiterleitet; dieser Link enthält die Koordinaten oder den Namen des Stopps, die Reisedaten, die Zahl der Mitreisenden, Sprache, Währung und unsere Partnerkennung, ebenfalls keine Namen oder Angaben zu dir. Für Kanada gilt ein Angemessenheitsbeschluss der EU-Kommission. „Restaurants in der Nähe“ öffnet Apple Karten bzw. Google Maps mit den Koordinaten des Stopps, ohne Partnerkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

14. Cookies

Diese Website verwendet ausschließlich technisch notwendige Cookies: eines zur Speicherung deiner Sprachauswahl, die Sitzungs-Cookies von Supabase zur Aufrechterhaltung deines Login-Status und, wenn du über einen Einladungslink (Cookie „ref“) oder einen Aktionslink (Cookie „promo“) kommst, eines mit dessen Code, damit die Einladung bzw. die Extra-Credits bei deiner Registrierung ankommen; es wird höchstens 30 Tage gespeichert (siehe Abschnitt 7). Es werden keine Tracking- oder Marketing-Cookies eingesetzt. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG bzw. Art. 6 Abs. 1 lit. b und f DSGVO.

Reichweitenmessung: Um zu sehen, welche Seiten genutzt werden, zählen wir Seitenaufrufe mit Vercel Web Analytics (Vercel Inc.). Dabei werden keine Cookies gesetzt und nichts auf deinem Gerät gespeichert. Erfasst werden die aufgerufene Seite (ohne Parameter und ohne Einladungscodes), die verweisende Seite, Land, Browser, Betriebssystem und Gerätetyp. Besucher:innen werden nur über einen Hash unterschieden, der aus der Anfrage gebildet und täglich verworfen wird; deine IP-Adresse wird nicht gespeichert, und es entsteht kein Profil über mehrere Tage oder Websites. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer anonymen Nutzungsstatistik). Zur Verarbeitung außerhalb der EU siehe Abschnitt 8.

15. Speicherdauer und Löschung

Deine Daten werden gespeichert, solange dein Konto besteht bzw. du Mitglied einer Reise bist. Du kannst einzelne Reisen, Buchungen und Ausgaben jederzeit selbst löschen. Über „Konto schließen“ in deinem Profil kannst du dein Konto jederzeit selbst schließen: Anzeigename, Profilbild, PayPal-Name und Bankdaten werden dabei sofort entfernt; auf Reisen, an denen du beteiligt warst, bleibst du als „Gelöschtes Konto“ sichtbar, damit die Kostenaufteilung für deine Mitreisenden korrekt bleibt. Alternativ kannst du dich für eine vollständige Löschung auch jederzeit per E-Mail an mich wenden.

Die Dokumente einer Reise werden automatisch 90 Tage nach ihrem Enddatum gelöscht, bei einer archivierten Reise 30 Tage nach dem Archivieren, je nachdem, was früher eintritt. Die Mitglieder werden mindestens sieben Tage vorher benachrichtigt. Persönliche Dokumente bleiben, bis du sie löschst; beim Schließen deines Kontos werden sie innerhalb eines Tages gelöscht.

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Wende dich hierzu einfach per E-Mail an mich.

Widerspruchsrecht (Art. 21 DSGVO): Wo ich Daten auf Grundlage berechtigter Interessen verarbeite (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Das betrifft die Missbrauchsprüfung und Nutzungszahlen pro Konto (Abschnitte 3 und 12), die Benachrichtigung bei Neuanmeldungen über ntfy.sh (Abschnitt 9), den CAPTCHA-Schutz (Abschnitt 11), die Reichweitenmessung mit Vercel Web Analytics (Abschnitt 14) und die Nachverfolgung von Einladungen (Abschnitt 7). Eine E-Mail an mich genügt. Ich verarbeite die Daten dann nicht mehr, es sei denn, es gibt zwingende schutzwürdige Gründe, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen: Push-Mitteilungen in den Einstellungen deines Geräts, werbliche Mitteilungen mit dem Schalter „Angebote und Rabatte“ im Profil, Gesundheitsangaben in der Checkliste, indem du das Häkchen entfernst, und deinen echten Namen für den Dokumentenabgleich, indem du ihn im Profil löschst.

Ich treffe keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen, einschließlich Profiling (Art. 22 DSGVO). KI-Vorschläge werden erst gespeichert, wenn du sie bestätigst; über eine Sperre des KI-Zugangs entscheidet ein Mensch.

17. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstr. 219, 10969 Berlin (datenschutz-berlin.de).

18. Änderungen

Ich kann diese Datenschutzerklärung anpassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Es gilt jeweils die aktuelle, auf dieser Seite veröffentlichte Fassung.

Stand: November 2026

So funktioniert'sPreiseFAQImpressumDatenschutzNutzungsbedingungen