Datenschutz­erklärung.

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und sonstiger nationaler Datenschutzgesetze der Mitgliedstaaten sowie weiterer datenschutzrechtlicher Bestimmungen ist:

TakeMeTo Inc.

(nachfolgend „wir", „uns" oder „TakeMeTo")

126 East 30th Street, Apt. 1D

New York, NY 10016, USA

Betrieb der Plattform: www.takemeto.ai

Allgemeine Anfragen: [email protected]

Datenschutz und Betroffenenrechte: [email protected]

Datenschutzbeauftragter: Claudius Herz, [email protected]

Ein Impressum mit weiteren Angaben (Geschäftsführung) finden Sie unter www.takemeto.ai/impressum.

2. Geltungsbereich und Überblick

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten (nachfolgend kurz „Daten") innerhalb unseres Onlineangebots und der damit verbundenen Webseiten, Funktionen, Inhalte, mobilen Apps sowie externen Onlinepräsenzen (z. B. Social-Media-Profile), nachfolgend gemeinsam bezeichnet als „Onlineangebot".

TakeMeTo ist eine KI-gestützte Reiseplanungs- und Buchungsplattform, die es Ihnen ermöglicht, personalisierte Reisen zu planen, Ihre individuelle Travel DNA zu erstellen, Inhalte zu teilen und Buchungen bei Drittanbietern (Fluglinien, Hotels, Aktivitäts- und Transferanbietern) durchzuführen.

Die verwendeten Begrifflichkeiten (z. B. „personenbezogene Daten" oder deren „Verarbeitung") verstehen wir im Sinne der Definitionen in Art. 4 DSGVO.

3. Rechtsgrundlagen der Verarbeitung

Nach Maßgabe des Art. 13 DSGVO teilen wir Ihnen die Rechtsgrundlagen unserer Datenverarbeitungen mit:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. Analyse-Cookies einschließlich Google Analytics, Sitzungsaufzeichnung, Marketing, Newsletter, Social-Media-Integration)
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen (z. B. Registrierung, KI-Chat und Reiseplanung, Kartendarstellung, Buchungsvorgänge)
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen (z. B. handels- und steuerrechtliche Aufbewahrung)
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen (z. B. Betrieb, Sicherheit, Reichweitenmessung, Zuordnung von Registrierungen zu Werbekanälen)
• Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung, soweit im Einzelfall besondere Kategorien personenbezogener Daten verarbeitet werden

Zusätzlich beachten wir die Vorgaben des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG; seit Mai 2024 Nachfolger des TTDSG), insbesondere § 25 TDDDG für Cookies und vergleichbare Zugriffe auf Ihr Endgerät, sowie die Anforderungen der KI-Verordnung (VO (EU) 2024/1689, „AI Act"), soweit diese auf unsere KI-Systeme anwendbar sind.

4. Kategorien verarbeiteter Daten

Wir verarbeiten folgende Datenkategorien:

• Bestandsdaten: z. B. Namen, Adressen
• Kontaktdaten: z. B. E-Mail, Telefonnummern
• Inhaltsdaten: z. B. Texteingaben, Fotografien, hochgeladene Reiseinhalte
• Vertragsdaten: z. B. Vertragsgegenstand, Laufzeit, Kundenkategorie
• Zahlungsdaten aus dem Altbestand: Buchungsbelege aus der Zeit, in der TakeMeTo kostenpflichtige Leistungen angeboten hat; neue Zahlungsdaten entstehen nicht mehr
• Kontingentdaten: Zahl der je Kalendertag gesendeten Nachrichten, je Konto und bei Nutzung ohne Konto je Gerät oder Sitzung
• Nutzungsdaten: z. B. besuchte Webseiten, Interesse an Inhalten, Zugriffszeiten
• Meta-/Kommunikationsdaten: z. B. Geräteinformationen, IP-Adressen
• Reise- und Präferenzdaten: Travel DNA: Reisestimmung, Zielwünsche, Budget, Reisemonate, Reisestil, Dauer, Anzahl Reisender
• KI-Konversationsdaten: Chat-Nachrichten, KI-Antworten, Sitzungsprotokolle
• Identitäts-Tags: z. B. „Gründer", „Familienreisender", abgeleitet aus Ihren Eingaben
• Standortdaten: sofern freigegeben
• Verbrauchs- und Kostendaten der KI-Funktionen: verwendetes Modell, Anzahl verarbeiteter Token, entstandene Kosten je Anfrage
• Herkunftsdaten zur Registrierung: Kampagnenparameter (UTM), Einstiegsseite, verweisende Domain, abgeleitetes Interessensegment, Sprache und Zeitpunkt des ersten Seitenaufrufs (Ziffer 14.11)

5. Betroffene Personen

Besucher und Nutzer des Onlineangebots (nachfolgend gemeinsam „Nutzer").

6. Zwecke der Verarbeitung

• Zurverfügungstellung des Onlineangebots und seiner Funktionen
• Registrierung, Authentifizierung, Login-Identifikation
• Erstellung und Pflege der persönlichen Travel DNA
• Erstellung von KI-gestützten Reiseplänen und -empfehlungen
• Durchführung von Buchungen bei Drittanbietern
• Kommunikation mit Nutzern
• Sicherstellung der Plattform-Sicherheit, Betrugs- und Missbrauchsprävention
• Reichweitenmessung, Produktverbesserung, Messung, welche Kanäle und Landingpages zu Registrierungen führen
• Erkennung und Behebung von Fehlern und Ausfällen
• Kosten- und Verbrauchskontrolle der KI-Funktionen sowie Begrenzung der täglichen Nutzung
• Newsletter und Produktinformationen (mit Einwilligung)
• Erfolgsmessung und Wiederansprache für unsere Werbung über Marketing-Partner (nur mit Einwilligung)
• Erfüllung gesetzlicher Pflichten

7. Registrierung, Nutzerkonto und Identifikation

Sie können sich auf unserer Plattform unter Angabe personenbezogener Daten registrieren. Welche Daten verpflichtend bzw. optional sind, ergibt sich aus den Eingabemasken. Wir verwenden diese Daten zur Authentifizierung (Login), zur Vertragsabwicklung und zur Kommunikation mit Ihnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

8. Travel DNA – Erstellung eines persönlichen Reiseprofils

Auf Grundlage der Daten, die Sie uns aktiv zur Verfügung stellen (Eingaben in Formularen, Chat-Dialoge mit unserem KI-Assistenten, Auswahl von Zielen, Interaktionen auf der Plattform), erstellen wir für Sie eine Travel DNA. Diese umfasst u. a.:

• bevorzugtes Reisetempo, -stil und -dauer
• Interessen, Themen und Aktivitätspräferenzen
• bevorzugte Unterkunftsarten
• ungefähre Budgetspanne
• bevorzugte Reisemonate und Abflugregion
• Reisenden-Identitäts-Tags (z. B. „Gründer", „Familienreisender")

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie – soweit darüber hinausgehend – Art. 6 Abs. 1 lit. a DSGVO.

Profiling (Art. 4 Nr. 4 DSGVO): Die Erstellung der Travel DNA stellt ein Profiling dar. Sie hat jedoch keine rechtliche Wirkung und keine in ähnlicher Weise erheblichen Beeinträchtigungen im Sinne des Art. 22 DSGVO. Sie dient ausschließlich der Personalisierung Ihrer Reisevorschläge.

Ihre Rechte: Sie können die Travel DNA in Ihren Profil-Einstellungen jederzeit einsehen, einzelne Tags und Attribute bearbeiten oder löschen. Sie können dem Profiling auch jederzeit widersprechen ([email protected]).

9. KI-Reiseplanung und Datenaustausch mit KI-Drittanbietern

Unsere Plattform (Web und mobile App) beinhaltet einen KI-gestützten Reiseplanungs-Chatbot, der Ihnen hilft, personalisierte Reisepläne und Empfehlungen zu erstellen. Hierzu geben wir bestimmte Daten an Drittanbieter von KI weiter sowie an Dienste, die die zugrunde liegenden Reiseinformationen beschaffen.

9.1 Zwecke der Verarbeitung

(a) Generierung personalisierter Reiseempfehlungen und Routen in Echtzeit anhand Ihrer Eingaben.

(b) Ableitung und Speicherung von Reisepräferenzen zur Verbesserung künftiger Vorschläge.

(c) Qualitätsüberwachung, Sicherheit und Verhinderung von Missbrauch.

9.2 Verarbeitete Datenkategorien

• Chat-Inhalt: Ihre Nachrichten im Travel-Planning-Chat sowie KI-generierte Antworten
• Sitzungs-Metadaten: Zeitstempel, Sitzungs-IDs, Interaktionsprotokolle
• Reisedetails: Zielort, Daten, Budget, Präferenzen, Anzahl Reisender
• Reiseplanungsparameter: Reisestimmung, Reisemonat, Abflugstadt, Budgetspanne
• Zielabgleich-Eingaben: Reisestil, Dauer, Anzahl Reisender, Budget pro Person, Reisemonat
• Reisenden-Identitäts-Tags: z. B. „Gründer", „Familienreisender"; editier- und löschbar in Profil-Einstellungen
• Meta-/Kommunikationsdaten: IP-Adresse, Geräte-/Netzwerkinformationen

9.3 Empfänger

• Google LLC (Gemini) – Standort USA; Sprachmodell für Chat, Reiseplanung und die dazugehörige Websuche. Übermittlungsmechanismus: EU-US Data Privacy Framework (DPF) gemäß Art. 45 DSGVO.
• Anthropic, PBC (Claude) – Hauptsitz USA; Sprachmodell für einzelne Chat- und Planungsschritte. Verarbeitung erfolgt – soweit vertraglich zugesichert – auf EU-Infrastruktur. Bei Drittlandtransfers: Standardvertragsklauseln (SCC).
• Groq, Inc. – Standort USA; Umwandlung Ihrer Spracheingabe in Text. Übermittelt wird ausschließlich die von Ihnen aufgenommene Audiodatei, kein Kontobezug.
• SerpAPI – Standort USA; Abruf von Suchergebnissen zu Orten, Unterkünften, Restaurants, Flügen und Veranstaltungen. Übermittelt werden die Suchbegriffe, kein Kontobezug.
• Firecrawl – Standort USA; Auslesen öffentlich zugänglicher Webseiten zur Ermittlung von Preisen und Verfügbarkeiten. Übermittelt werden ausschließlich die abzurufenden Webadressen, kein Kontobezug.
• Open-Meteo (Europa) – Wetterdaten zum Reiseziel. Übermittelt werden ausschließlich Koordinaten bzw. der Ortsname des Ziels, kein Kontobezug.
• OSRM-Routing-Dienst (router.project-osrm.org) – Entfernungen zwischen den Stationen einer Route. Übermittelt werden ausschließlich Koordinaten, kein Kontobezug.

Klarstellung: Wir setzen weder OpenAI/ChatGPT noch Perplexity ein. Frühere Fassungen dieser Erklärung nannten diese Anbieter; das war unzutreffend. Es gibt auch keine ChatGPT-App-Integration.

9.4 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Der KI-gestützte Reiseplanungs-Chat ist keine Zusatzfunktion, sondern die Leistung selbst, die Sie mit der Nutzung von TakeMeTo in Anspruch nehmen. Die Übermittlung Ihrer Eingaben an die in Ziffer 9.3 genannten Dienstleister ist zur Erbringung dieser Leistung erforderlich und daher nicht gesondert abwählbar — aus demselben Grund wie die Kartendarstellung (Ziffer 11.7).

Wir holen für den KI-Chat keine Einwilligung ein. Frühere Fassungen dieser Erklärung behaupteten das und stellten die Funktion als einwilligungsabhängig dar, obwohl es eine entsprechende Auswahl nie gab; das war unzutreffend. Wenn Sie mit dieser Verarbeitung nicht einverstanden sind, können Sie den Dienst nicht nutzen. Ihre Rechte auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit bleiben davon unberührt (Ziffer 9.6 und Ziffer 18).

9.5 Aufbewahrungsfristen

• Gesprächsdaten (Nachrichten, KI-Antworten, Sitzungsmetadaten): Einzelne Chats können Sie jederzeit selbst in der App löschen. Löschen Sie Ihr Konto, werden sie nach Ablauf der 90-tägigen Karenzzeit unwiderruflich entfernt (Ziffer 17.2). Solange Sie Ihr Konto behalten, bleiben Ihre Chats erhalten, damit Sie darauf zugreifen können.
• Abgeleitete Reisepräferenzprofile (Travel DNA): bis zur Kontolöschung oder bis Sie einzelne Einträge entfernen.
• Produkt-Ereignisprotokolle zu KI-Aktionen (Ziffer 14.3): 90 Tage, danach automatische Löschung.

9.6 Ihre Rechte und Kontrolle

• Eine Übermittlung an die in Ziffer 9.3 genannten Dienstleister findet nur statt, wenn Sie eine Anfrage stellen. Sie entscheiden, was Sie in den Chat eingeben.
• Datenminimierung vor jeder Übermittlung: Wir geben nur weiter, was für die jeweilige Anfrage erforderlich ist.
• Löschung des Chatverlaufs in den App-Einstellungen.
• Vollständiger Export: direkt in der App über die Schaltfläche „Daten exportieren" in Ihrem Profil. Sie erhalten eine JSON-Datei mit allen zu Ihrem Konto gespeicherten Daten. Alternativ genügt eine E-Mail an [email protected].
• Rechte an KI-Chat-Daten (Auskunft, Löschung, Portabilität): E-Mail an [email protected] mit Betreff „KI-Datenanfrage“. Antwort binnen 30 Tagen.

9.7 Schutzmaßnahmen

Wir schließen mit unseren KI- und Recherche-Dienstleistern Auftragsverarbeitungsverträge (Art. 28 DSGVO) ab und wenden geeignete Garantien für internationale Datenübermittlungen an (Google: DPF; Anthropic: EU-Verarbeitung, ergänzend SCC; übrige US-Dienstleister: SCC – siehe Ziffer 12). Datenminimierung ist Pflichtprinzip: An die Recherche-, Wetter- und Routing-Dienste (SerpAPI, Firecrawl, Open-Meteo, OSRM) übermitteln wir Suchbegriffe, Webadressen und Koordinaten, aber weder Ihren Namen noch Ihre Konto- oder Kontaktdaten.

10. Buchungsfunktionen

Sofern Sie die Buchungsfunktionen der Plattform nutzen, räumen Sie uns das Recht ein, die für die Buchung erforderlichen Reisedetails mit folgenden Empfängern zu teilen:

• Fluggesellschaften
• Hotel- und Unterkunftsanbieter
• Anbieter von Aktivitäten, Touren und Erlebnissen
• Transfer- und Mobilitätsdienste

Geteilt werden ausschließlich Daten, die zur Durchführung der jeweiligen Buchung notwendig sind (z. B. Name, Kontaktdaten, Reisedaten, Präferenzen, ggf. Ausweisdaten bei Flügen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Standort der Empfänger: variiert je nach Anbieter. Bei Drittlandübermittlung: Art. 49 Abs. 1 lit. b DSGVO bzw. SCC/Angemessenheitsbeschluss.

11. Empfänger / Datenweitergabe an Dritte

Übersicht über die wichtigsten Empfängerkategorien, Rechtsgrundlagen und Übermittlungsmechanismen:

Empfänger

Daten

Rechtsgrundlage

Standort / Mechanismus

Hetzner Online GmbH (Server, Hosting)

Bestands-, Kontakt-, Inhalts-, Vertrags-, Nutzungs-, Meta-/Komm.-Daten

Art. 6 (1)(b) / (f) DSGVO

Deutschland

Supabase (Datenbank, Anmeldung, Dateispeicher) — von uns selbst auf der oben genannten Infrastruktur betrieben

dieselben Daten wie beim Hosting

Art. 6 (1)(b) / (f) DSGVO

Deutschland

Cloudflare, Inc. (Auslieferung der Website/CDN, Bot-Schutz „Turnstile", cookielose Web-Analyse)

IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-/Geräteinformationen

Art. 6 (1)(b) / (f) DSGVO

europäische Rechenzentren; Muttergesellschaft USA

Google LLC (Maps Platform)

IP-Adresse, Geräte-/Browserinformationen, Kartenausschnitte, Ortssuchbegriffe

Art. 6 (1)(b) DSGVO — notwendiger Bestandteil des Dienstes, siehe Ziffer 11.7

USA — DPF

Google LLC (Gemini)

Chat-Inhalte, Reiseplanungsdaten, Suchanfragen

Art. 6 (1)(b) DSGVO — notwendiger Bestandteil des Dienstes, siehe Ziffer 9.4

USA — DPF

Google LLC (Tag Manager)

Gerätedaten, IP-Adresse — nur nach Analyse- oder Marketing-Einwilligung geladen

Art. 6 (1)(a) DSGVO

USA — DPF

Google Ireland Limited (Google Analytics 4) — Auftragsverarbeiter

Nutzungsereignisse, zufällige Kennung aus Cookies, Geräte-/Browserinformationen, IP-Adresse — nur nach Analyse-Einwilligung, siehe Ziffer 14.9

Art. 6 (1)(a) DSGVO

Irland; mögliche Übermittlung an Google LLC, USA — DPF

Marketing-Partner: Google Ireland Limited (Google Ads), Meta Platforms Ireland Ltd. (Facebook, Instagram), TikTok Technology Limited (TikTok)

derzeit nur Ihre Einwilligungssignale an Google; Pixel sind noch nicht eingebunden — nur nach Marketing-Einwilligung, siehe Ziffer 14.10

Art. 6 (1)(a) DSGVO

USA — DPF (Google, Meta); TikTok: USA, Singapur, ggf. China — SCC

Anthropic, PBC (Claude)

Chat-Inhalte, Reiseplanungsdaten

Art. 6 (1)(b) DSGVO — notwendiger Bestandteil des Dienstes, siehe Ziffer 9.4

EU/DE, ergänzend SCC

Groq, Inc. (Spracherkennung)

Audioaufnahme Ihrer Spracheingabe — ohne Kontobezug

Art. 6 (1)(b) DSGVO

USA — SCC

SerpAPI (Suchergebnisse)

Suchbegriffe zu Orten, Unterkünften, Restaurants, Flügen, Veranstaltungen — ohne Kontobezug

Art. 6 (1)(b) / (f) DSGVO

USA — SCC

Firecrawl (Preis- und Verfügbarkeitsermittlung)

aufzurufende Webadressen — ohne Kontobezug

Art. 6 (1)(b) / (f) DSGVO

USA — SCC

Open-Meteo (Wetterdaten)

Koordinaten des Reiseziels — ohne Kontobezug

Art. 6 (1)(b) DSGVO

Europa

OSRM-Routing-Dienst (router.project-osrm.org)

Start- und Zielkoordinaten zur Berechnung von Entfernungen — ohne Kontobezug

Art. 6 (1)(b) DSGVO

offener Projektdienst; es werden ausschließlich Koordinaten übermittelt

PostHog, Inc. (Produktanalyse)

anonyme bzw. — nur mit Einwilligung — pseudonyme Nutzungsereignisse

Art. 6 (1)(f) / (a) DSGVO

europäische Infrastruktur (eu.i.posthog.com)

Resend (Versand von E-Mails, z. B. Bestätigungen, Einladungen, Newsletter)

E-Mail-Adresse, Inhalt der jeweiligen Nachricht

Art. 6 (1)(b) / (a) DSGVO

USA — SCC

Twilio (Benachrichtigungen per WhatsApp/SMS)

Telefonnummer, Inhalt der Benachrichtigung

Art. 6 (1)(a) / (b) DSGVO

USA — SCC

Buchungspartner (Airlines, Hotels, Aktivitäten)

Reisedetails

Art. 6 (1)(b) DSGVO

variiert je Anbieter

Finanz-/Rechtsberater

Finanz-, Vertragsdaten

Art. 6 (1)(c) / (f) DSGVO

EU

11.6 Werbe- und Marketingdienste nur mit Einwilligung

Analysewerkzeuge von Drittanbietern, Werbenetzwerke und Conversion-Pixel setzen wir ausschließlich mit Ihrer Einwilligung ein: Google Analytics 4 nur mit Einwilligung in die Kategorie „Analyse" (Ziffer 14.9), Marketing-Werkzeuge von Google, Meta und TikTok nur mit Einwilligung in die Kategorie „Marketing" (Ziffer 14.10). Ein Meta-Pixel, die Meta Conversions API, ein TikTok-Pixel und Google-Ads-Tags sind derzeit nicht eingebunden; bevor wir eines davon aktivieren, ergänzen wir diese Erklärung. Eine Sitzungsaufzeichnung durch Werbedienstleister findet nicht statt; SmartLook setzen wir nicht ein. Frühere Fassungen dieser Erklärung nannten eine gemeinsame Verantwortlichkeit mit Meta nach Art. 26 DSGVO — das war unzutreffend. Derzeit besteht keine gemeinsame Verantwortlichkeit.

11.7 Google Maps Platform — notwendiger Bestandteil des Dienstes

Karten, Ortssuche und die Darstellung von Orten und Routen werden über die Google Maps Platform der Google LLC (USA) bereitgestellt. Beim Laden einer Karte werden Ihre IP-Adresse sowie Geräte- und Browserinformationen an Google übertragen, bei einer Ortssuche zusätzlich der eingegebene Suchbegriff.

Bis zum 31. Juli 2026 war die Kartendarstellung im Cookie-Banner als eigene Einwilligungskategorie aufgeführt. Diese Auswahl haben wir entfernt, weil sie eine Wahl vorspiegelte, die das Produkt nicht eingelöst hat: Die Karte ist ein untrennbarer Bestandteil der Reiseplanung. Wir holen dafür keine gesonderte Einwilligung mehr ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Die damit verbundene Übermittlung in die USA lässt sich nicht abwählen — wenn Sie sie nicht wünschen, können Sie den Dienst nicht nutzen. Einzelheiten zum Übermittlungsmechanismus in Ziffer 12.

12. Verarbeitung außerhalb der EU/des EWR

Wir übermitteln Daten teilweise in Drittländer (insbesondere die USA). Dies erfolgt ausschließlich unter Einhaltung der Art. 44 ff. DSGVO.

Verwendete Übermittlungsmechanismen:

• Google LLC (Maps Platform, Gemini, Tag Manager) sowie Google Analytics 4 und Google Ads (Vertragspartner Google Ireland Limited, mögliche Übermittlung an Google LLC, USA): EU-US Data Privacy Framework (DPF).
• Meta Platforms Ireland Ltd. (mögliche Übermittlung an Meta Platforms Inc., USA): EU-US Data Privacy Framework (DPF); TikTok Technology Limited (Verarbeitung auch in den USA, in Singapur und ggf. in China): Standardvertragsklauseln (SCC). Beides nur nach Aktivierung des jeweiligen Marketing-Werkzeugs und nur mit Ihrer Marketing-Einwilligung (Ziffer 14.10).
• Anthropic, PBC: Verarbeitung auf EU-Infrastruktur, soweit vertraglich zugesichert; ergänzend Standardvertragsklauseln (SCC).
• Übrige Dienstleister mit Sitz in den USA (Cloudflare, Groq, SerpAPI, Firecrawl, Resend, Twilio, PostHog als Muttergesellschaft): Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO bzw. – soweit der Anbieter zertifiziert ist – das EU-US Data Privacy Framework.
• Open-Meteo verarbeitet in Europa; für den OSRM-Routing-Dienst übermitteln wir ausschließlich Koordinaten ohne Kontobezug.
• Die eigentliche Verarbeitung durch PostHog findet auf europäischer Infrastruktur statt; Cloudflare liefert unsere Inhalte über europäische Rechenzentren aus. Unsere eigene Datenbank und alle darin gespeicherten Konto-, Chat- und Protokolldaten liegen in Deutschland.

Nicht abwählbar: Sowohl die Kartendarstellung über die Google Maps Platform (Ziffer 11.7) als auch die KI-Reiseplanung über die in Ziffer 9.3 genannten Dienstleister (Ziffer 9.4) sind notwendige Bestandteile des Dienstes. Die damit verbundenen Übermittlungen erfolgen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit dem jeweils oben genannten Mechanismus und lassen sich nicht einzeln abwählen.

Der EU-US Privacy Shield, der in früheren Versionen dieser Richtlinie erwähnt wurde, wurde im Juli 2020 vom EuGH für ungültig erklärt und wird nicht mehr berücksichtigt.

Darüber hinaus können wir Daten in Einzelfällen außerhalb des EWR verarbeiten, um vertragliche Verpflichtungen zu erfüllen, auf Basis Ihrer Einwilligung, aufgrund gesetzlicher Anforderungen oder aus berechtigten Interessen heraus.

13. Cookies und ähnliche Technologien

13.1 Was sind Cookies?

Cookies sind kleine Textdateien, die beim Besuch unserer Website auf Ihrem Gerät gespeichert werden. Wir verwenden Cookies insbesondere, um Sessions zu speichern und die Funktionsfähigkeit der Plattform sicherzustellen.

13.2 Kategorien

Unser Cookie-Banner kennt genau vier Kategorien: notwendig (immer aktiv, nicht abwählbar), Analyse, Sitzungsaufzeichnung und Marketing. Weitere Auswahlmöglichkeiten gibt es nicht. Rechtlich ordnen sich die von uns eingesetzten Speicherungen und Messungen wie folgt ein:

• Technisch notwendige Speicherung (Sitzung, Login, Sicherheit, Bot-Schutz über Cloudflare Turnstile): § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 (1)(b)/(f) DSGVO. Keine Einwilligung erforderlich.
• Funktionale Speicherung (Sprache, Währung, Ihre Consent-Entscheidung selbst): § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 (1)(b)/(f) DSGVO. Diese Werte sind für den von Ihnen gewünschten Dienst erforderlich und werden nicht zu Analysezwecken ausgewertet.
• Zwischenspeicher der Startseite (Ihr getippter Reisewunsch bis zu 24 Stunden, angehängte Bilder und PDF-Dateien bis zu 7 Tage, ausschließlich auf Ihrem Gerät im Browserspeicher): § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 (1)(b) DSGVO. Keine Einwilligung erforderlich. Übertragen werden Text und Anhänge erst, wenn Sie sich anmelden, und dann wie in Ziffer 9 beschrieben verarbeitet. Melden Sie sich nicht an, verwirft Ihr Browser die Anhänge spätestens nach 7 Tagen, ohne dass wir sie je erhalten.
• Analyse mit Wiedererkennung (PostHog-Kennung im localStorage, Google Tag Manager, Google-Analytics-Cookies _ga und _ga_*): § 25 Abs. 1 TDDDG, Art. 6 (1)(a) DSGVO. Nur mit Ihrer Einwilligung.
• Sitzungsaufzeichnung (PostHog Session Replay): § 25 Abs. 1 TDDDG, Art. 6 (1)(a) DSGVO. Nur mit einer gesonderten, zusätzlichen Einwilligung; Eingabefelder werden dabei maskiert.
• Anonyme, cookielose Messung (PostHog-Basismessung, Cloudflare Web Analytics): Es werden keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen, daher ist § 25 TDDDG nicht einschlägig und es ist keine Einwilligung erforderlich (Art. 6 (1)(f) DSGVO) – siehe Ziffer 14.
• Marketing (Einwilligungssignale an Google; künftig Werbe-Cookies und Pixel von Google, Meta und TikTok): § 25 Abs. 1 TDDDG, Art. 6 (1)(a) DSGVO. Nur mit Ihrer gesonderten Einwilligung in die Kategorie „Marketing". Derzeit setzen wir keine Marketing- oder Werbe-Cookies ein (Ziffer 14.10).

13.3 Einwilligung und Widerruf

Vor jeder nicht notwendigen Speicherung auf Ihrem Endgerät und vor jeder wiedererkennbaren Analyse holen wir Ihre Einwilligung über unser Consent-Banner ein. Es gibt keine vorangekreuzten Kästchen, und „Alle ablehnen" ist auf der ersten Ebene erreichbar.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: über den Punkt „Cookie-Einstellungen" im Seitenfuß jeder Seite, über die Cookie-Einstellungen in der App oder formlos per E-Mail an [email protected]. Nach einem Widerruf teilen wir Google Ihre geänderte Auswahl über den Consent Mode mit (Ziffer 14.9), die erweiterte Messung endet und gespeicherte Kennungen werden entfernt, bei einem Widerruf der Analyse-Einwilligung einschließlich der Google-Analytics-Cookies.

Zwei Kategorien sind zum 31. Juli 2026 entfallen. Kartendarstellung: Die Karte ist ein notwendiger Bestandteil der Reiseplanung, eine Auswahl wäre daher nicht ehrlich gewesen — siehe Ziffer 11.7. Sprachausgabe: Die Funktion, KI-Antworten vorlesen zu lassen, haben wir eingestellt; ein Dienst zur Sprachsynthese wird nicht mehr eingebunden, weshalb es dafür auch nichts mehr einzuwilligen gibt. Die Spracheingabe — das Diktieren einer Nachricht in den Chat — ist davon nicht betroffen und besteht unverändert (Ziffer 9.3).

14. Produktanalyse, Reichweitenmessung und eigene Protokolle

Dieser Abschnitt beschreibt vollständig, was wir über die Nutzung unseres Dienstes erfassen — sowohl über externe Werkzeuge als auch auf unseren eigenen Servern. Analyse- und Werbedienste von Drittanbietern (Google Analytics 4, Marketing-Werkzeuge) setzen wir nur mit Ihrer Einwilligung ein (Ziffern 11.6, 14.9 und 14.10).

14.1 PostHog (Produktanalyse, EU-Hosting)

Zur Reichweitenmessung und Produktverbesserung setzen wir PostHog ein (PostHog, Inc.; Verarbeitung über europäische Infrastruktur, eu.i.posthog.com). Der Einsatz erfolgt zweistufig:

• Anonyme, cookielose Messung (ohne Einwilligung): Solange Sie keine Analyse-Einwilligung erteilt haben, verarbeiten wir ausschließlich anonyme, aggregierte Ereignisse (z. B. Aufruf einer Landingpage, Absenden des Warteliste-Formulars). Dabei werden keine Cookies oder vergleichbaren Informationen auf Ihrem Endgerät gespeichert oder ausgelesen (Speicherung nur flüchtig im Arbeitsspeicher für die Dauer des Seitenbesuchs), es wird kein Personenprofil gebildet und die IP-Adresse wird verworfen und nicht gespeichert. Da kein Zugriff auf Ihr Endgerät erfolgt (§ 25 TDDDG nicht einschlägig) und keine personenbezogenen Daten gespeichert werden, ist hierfür keine Einwilligung erforderlich. Rechtsgrundlage, soweit überhaupt ein Personenbezug bestehen sollte: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anonymer Reichweitenmessung).
• Erweiterte Messung (nur mit Einwilligung): Erst mit Ihrer Einwilligung speichert PostHog eine wiedererkennbare Kennung in Ihrem Browser (localStorage), verknüpft Ereignisse über Sitzungen hinweg und erstellt – sofern Sie zusätzlich einwilligen – pseudonymisierte Sitzungsaufzeichnungen (Session Replay; Eingabefelder werden maskiert). Ebenfalls erst nach Einwilligung (Analyse oder Marketing) laden wir den Google Tag Manager (Ziffer 14.9). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über unser Consent-Tool widerrufen; die erweiterte Messung wird dann beendet und gespeicherte Kennungen werden entfernt. Die anonyme, cookielose Messung enthält keine personenbezogenen Daten.

14.2 Cloudflare (Auslieferung, Bot-Schutz, Web Analytics)

Unsere Website wird über Cloudflare ausgeliefert. Dabei verarbeitet Cloudflare technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, angefragte Adresse, Browser- und Geräteinformationen), um Inhalte auszuliefern und Angriffe sowie automatisierte Massenzugriffe abzuwehren. Beim Anmelden und bei Formularen prüft zusätzlich der Bot-Schutz „Turnstile", ob die Anfrage von einem Menschen stammt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Bereitstellung und Absicherung des Dienstes).

Cloudflare Web Analytics zählt darüber hinaus Seitenaufrufe. Dabei werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen; es entsteht keine geräteübergreifende Kennung und kein Personenprofil. Die Auswertung ist rein statistisch und wird ausschließlich von uns in unserem internen Dashboard eingesehen. § 25 TDDDG ist mangels Zugriffs auf Ihr Endgerät nicht einschlägig; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

14.3 Eigene Ereignisprotokolle auf unseren Servern

Unabhängig von externen Werkzeugen protokollieren wir auf unserer eigenen Infrastruktur (Datenbank in Deutschland), was in der Anwendung geschieht. Das erfolgt in zwei klar getrennten Stufen:

• Ohne Einwilligung — Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Absicherung des Dienstes): Wir speichern, welche Seite oder Ansicht aufgerufen wurde, welche Aktion ausgeführt wurde, ob diese Aktion erfolgreich war oder fehlgeschlagen ist, und im Fehlerfall einen Fehlercode. In dieser Stufe wird keine Gerätekennung gespeichert: Einzelne Einträge lassen sich weder zu einem Besuchsverlauf noch über Besuche hinweg zu einem Gerät zusammenführen. Sind Sie angemeldet, wird der Eintrag Ihrem Konto zugeordnet, weil wir Ihre Kontodaten ohnehin zur Erbringung des Dienstes verarbeiten. Diese Stufe ist nicht abwählbar — ohne sie würden wir Ausfälle und Fehler nicht bemerken. Sie können ihr nach Art. 21 DSGVO widersprechen.
• Mit Analyse-Einwilligung — Art. 6 Abs. 1 lit. a DSGVO: Zusätzlich zu denselben Angaben speichern wir eine Sitzungskennung. Damit können wir den Klickpfad innerhalb eines Browser-Besuchs nachvollziehen und erkennen, an welcher Stelle eine Funktion abbricht. Die Sitzungskennung wird je Besuch neu vergeben; sie ist keine dauerhafte, besuchsübergreifende Kennung.

Die Trennung ist technisch durchgesetzt, nicht nur organisatorisch: Unsere Datenbank nimmt eine Sitzungskennung ausschließlich dann an, wenn die Analyse-Einwilligung vorliegt. Ein Fehler in der Anwendung kann die untere Stufe deshalb nicht unbemerkt in die obere verwandeln. Alle Einträge werden nach 90 Tagen automatisch und endgültig gelöscht; dafür läuft täglich ein Löschjob.

Kampagnen- und Funnel-Zählungen: In der Stufe ohne Einwilligung halten wir außerdem fest, wie oft zentrale Schritte unseres Angebots erreicht werden, z. B. Aufrufe von Landingpages und Klicks auf deren Schaltflächen, der erste abgesendete Reisewunsch (nicht dessen Inhalt), erstellte Reisepläne, begonnene und abgeschlossene Registrierungen, angelegte Gruppenreisen, versendete und angenommene Einladungen, Newsletter-Anmeldungen, Klicks auf Buchungslinks sowie die Anzeige des Cookie-Banners und die dort gespeicherte Auswahl (nur, welche Kategorien gewählt wurden). Zu diesen Einträgen speichern wir zusätzlich das Interessensegment, die Einstiegsseite sowie Quelle und Name der Kampagne (utm_source, utm_campaign), über die Sie zu uns gekommen sind. Auch hier wird keine Gerätekennung gespeichert und nichts auf Ihrem Endgerät abgelegt. Wir werten diese Einträge ausschließlich zusammengefasst als Zählungen aus, um zu verstehen, welche Kanäle und Landingpages zu Nutzung und Registrierungen führen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; Sie können nach Art. 21 DSGVO widersprechen. Auch diese Einträge werden nach 90 Tagen gelöscht.

14.4 Kosten- und Token-Protokolle der KI-Funktionen

Für jede KI-Anfrage protokollieren wir, welches Modell verwendet wurde, wie viele Token verarbeitet wurden, welche Kosten dabei entstanden sind und auf welchen Chat sich das bezieht — jeweils bezogen auf Ihr Konto. Wir brauchen das zur Steuerung unseres Betriebs, zur Erkennung von Kostenausreißern und zur Erkennung von Missbrauch. Es dient nicht der Abrechnung: TakeMeTo ist kostenlos, es gibt kein Guthaben und keine Rechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, tragfähigen Betrieb und an der Erkennung von Missbrauch). Diese Protokolle enthalten Verbrauchs- und Kostenkennzahlen, nicht den Text Ihrer Nachrichten. Sie werden mit der endgültigen Kontolöschung entfernt (Ziffer 17.2).

14.5 Fehlerprotokolle der Verarbeitungskette

Schlägt ein Schritt unserer Reiseplanungs-Verarbeitung fehl, speichern wir einen Fehlereintrag mit Zeitpunkt, betroffenem Schritt, Fehlermeldung und Fehlertyp. Ein solcher Eintrag kann auch die auslösende Anfrage enthalten, also die darin übergebenen Angaben wie Zielort, Reisedaten oder Ihre Chat-Eingabe — anders lässt sich ein Fehler nicht reproduzieren. Zugangsdaten und Schlüssel werden dabei nicht mitgespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden Dienst). Wir bewahren solche Einträge nur so lange auf, wie dies zur Fehleranalyse erforderlich ist; bei einer Kontolöschung wird der Bezug zu Ihrem Konto entfernt, der Eintrag bleibt dann ohne Personenbezug bestehen. Zugriff haben ausschließlich Personen, die mit der Fehlerbehebung befasst sind.

14.6 Anonyme Verweildauer

Wir zählen je Seite und Tag zusammengefasst, wie oft und wie lange Seiten geöffnet waren. Dieser Zähler enthält keinerlei Kennung — weder zu Ihrem Konto noch zu Ihrem Gerät, keine IP-Adresse — und lässt keinen Rückschluss auf einzelne Personen zu. Er wird für eingewilligte und nicht eingewilligte Besuche identisch geführt, weil er keine personenbezogenen Daten im Sinne des Art. 4 Nr. 1 DSGVO enthält.

14.7 Zeitpunkt der letzten Aktivität

Zu jedem Konto speichern wir, wann es zuletzt aktiv war. Wir nutzen das, um inaktive Konten zu erkennen, den Umfang eines möglichen Sicherheitsvorfalls einzugrenzen und Kapazitäten zu planen. Gespeichert wird nur der jeweils letzte Zeitpunkt — er wird überschrieben, es entsteht keine Aktivitätshistorie. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

14.8 Tageskontingent

TakeMeTo ist kostenlos. Damit der Dienst für alle nutzbar bleibt, begrenzen wir die Zahl der Nachrichten pro Tag: 60 für angemeldete Nutzer, 5 für die Nutzung ohne Konto. Dafür speichern wir je Konto und Kalendertag die Zahl der gesendeten Nachrichten, bei der Nutzung ohne Konto je Gerät oder Sitzung. Zweck: Schutz vor Missbrauch und vor Lastspitzen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen Betrieb). Der Zähler enthält keine Inhalte Ihrer Nachrichten. Nach Ablauf des Tages zählen wir neu, ältere Tageswerte löschen wir spätestens nach 30 Tagen.

14.9 Google Analytics 4 und Google Consent Mode

Wenn Sie in die Kategorie „Analyse" einwilligen, nutzen wir zusätzlich Google Analytics 4, einen Webanalysedienst der Google Ireland Limited (Irland), den wir über den Google Tag Manager einbinden. Google Analytics speichert in Cookies (_ga, _ga_*) eine zufällige Kennung Ihres Browsers und erfasst, wie Sie unsere Seiten und die App nutzen: aufgerufene Seiten einschließlich Kampagnenparametern, die verweisende Seite, Interaktionen wie das Erstellen eines Reiseplans oder eine Registrierung, das Interessensegment und die Sprache sowie Geräte- und Browserinformationen und Ihre IP-Adresse. Namen, E-Mail-Adressen und Inhalte Ihrer Chats übermitteln wir nicht an Google. Wir nutzen die Auswertungen, um zu verstehen, welche Kanäle und Inhalte zu Nutzung und Registrierungen führen, und um unser Angebot zu verbessern.

Consent Mode: Wir setzen den Google Consent Mode (Version 2) im Basis-Modus ein. Vor Ihrer Entscheidung wird kein Google-Dienst geladen und kein Google-Cookie gesetzt. Nach Ihrer Entscheidung übermitteln wir Google Ihre Auswahl als Einwilligungssignale: für Analyse (analytics_storage) und für Marketing (ad_storage, ad_user_data, ad_personalization). Google Analytics läuft nur, wenn Sie in Analyse eingewilligt haben. Ändern oder widerrufen Sie Ihre Auswahl, senden wir die geänderten Signale; widerrufen Sie die Analyse-Einwilligung, löschen wir außerdem die Google-Analytics-Cookies.

Auftragsverarbeitung und Drittlandübermittlung: Google Ireland Limited verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO). Eine Übermittlung an die Google LLC in den USA ist dabei möglich; die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Ziffer 12). Google Signals ist deaktiviert, Ihre Nutzung wird also nicht über Google-Konten geräteübergreifend zusammengeführt; die Erfassung granularer Standort- und Gerätedaten ist ebenfalls deaktiviert.

Speicherdauer: Google Analytics löscht die erfassten Ereignisdaten nach 14 Monaten automatisch. Die Cookies _ga und _ga_* laufen nach 2 Jahren ab; widerrufen Sie Ihre Analyse-Einwilligung, löschen wir sie sofort.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Seitenfuß widerrufen (Ziffer 13.3).

14.10 Marketing (gesonderte Einwilligung)

Unser Cookie-Banner enthält die Kategorie „Marketing"; sie ist standardmäßig ausgeschaltet. Mit Ihrer Einwilligung in diese Kategorie dürfen wir Werkzeuge einsetzen, mit denen wir den Erfolg unserer Werbeanzeigen messen (z. B. ob nach dem Klick auf eine Anzeige eine Registrierung folgt) und Personen, die unsere Seiten besucht haben, auf den Plattformen der Anbieter erneut mit unserer Werbung ansprechen (Retargeting). Vorgesehene Empfänger sind:

• Google Ireland Limited (Google Ads und Einwilligungssignale des Google Consent Mode); mögliche Übermittlung an Google LLC, USA: EU-US Data Privacy Framework (DPF)
• Meta Platforms Ireland Ltd. (Facebook, Instagram); mögliche Übermittlung an Meta Platforms Inc., USA: DPF
• TikTok Technology Limited, Irland (TikTok); Verarbeitung auch in den USA, in Singapur und ggf. in China: Standardvertragsklauseln (SCC)

Derzeitiger Stand: Werbe-Pixel von Meta und TikTok sowie Google-Ads-Tags sind noch nicht eingebunden. Die Kategorie bewirkt derzeit nur, dass wir Ihre Entscheidung speichern und Google als Einwilligungssignal übermitteln (Ziffer 14.9); dafür laden wir den Google Tag Manager auch dann, wenn Sie nur in Marketing und nicht in Analyse eingewilligt haben. Google Analytics bleibt in diesem Fall ausgeschaltet. Ein Marketing-Werkzeug aktivieren wir nur, wenn Sie in diese Kategorie eingewilligt haben. Bevor wir eines davon einbinden, ergänzen wir diese Erklärung um die verarbeiteten Daten, die gesetzten Cookies, die Speicherdauer und – soweit einschlägig – eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Seitenfuß widerrufen; danach senden wir Google das geänderte Signal, laden keine Marketing-Werkzeuge mehr und entfernen die von ihnen gesetzten Cookies.

14.11 Herkunft Ihrer Registrierung (Erstkontakt-Zuordnung)

Wenn Sie ein Konto anlegen, speichern wir zu Ihrem Konto einmalig, über welchen Weg Sie zu uns gekommen sind. Das geschieht ohne Einwilligung auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) und umfasst ausschließlich:

• die Kampagnenparameter der Adresse, über die Sie auf unsere Seite gekommen sind (utm_source, utm_medium, utm_campaign, utm_content, utm_term), soweit vorhanden;
• die Einstiegsseite (z. B. eine bestimmte Landingpage) und die Domain der verweisenden Website (nur der Domainname, keine vollständige Adresse);
• das daraus abgeleitete Interessensegment (Gruppenreise, Flitterwochen oder sonstiges, ggf. mit einer Unterkategorie wie Junggesellenabschied) und woraus es abgeleitet wurde;
• die Sprache der Seite und den Zeitpunkt, zu dem Sie unsere Seite in dieser Sitzung zuerst aufgerufen haben.

Wir speichern dabei keine IP-Adresse, keine Geräte- oder Browserkennung und keine Freitexte und legen dafür nichts auf Ihrem Endgerät ab: Bis zur Registrierung werden die Angaben nur im Arbeitsspeicher der geöffneten Seite gehalten. Legen Sie kein Konto an, wird nichts davon gespeichert.

Zweck und berechtigtes Interesse: Wir wollen messen, welche Kanäle (z. B. soziale Netzwerke, Newsletter, Presse) und welche Landingpages tatsächlich zu Registrierungen führen, um unsere Werbung und unsere Inhalte gezielt einzusetzen. Die Angaben werden nur von uns intern und zusammengefasst ausgewertet, nicht an Werbepartner weitergegeben und nicht für Entscheidungen über Sie als Person verwendet. Weil es sich um wenige, nicht sensible Angaben handelt, die nur intern ausgewertet werden, überwiegen Ihre Interessen nach unserer Abwägung nicht.

Speicherdauer: solange Ihr Konto besteht. Die Angaben werden mit der endgültigen Löschung Ihres Kontos entfernt (Ziffer 17.2) und sind im Datenexport in Ihrem Profil enthalten (Ziffer 18).

Widerspruch: Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen, formlos per E-Mail an [email protected] unter Angabe der E-Mail-Adresse Ihres Kontos. Wir löschen die Herkunftsangaben zu Ihrem Konto dann unverzüglich, spätestens innerhalb von 30 Tagen; Ihr Konto bleibt davon unberührt.

15. Newsletter

Wir versenden Newsletter mit werblichen Inhalten nur mit Ihrer ausdrücklichen Einwilligung im Double-Opt-in-Verfahren.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG.
• Anmeldung: Protokollierung (Zeitpunkt, IP-Adresse, Bestätigung) zum Nachweis.
• Abmeldung: jederzeit über Link in jedem Newsletter oder per E-Mail an [email protected].

Einwilligungsnachweise werden bis zu drei Jahre nach Widerruf aufbewahrt.

15.1 Anmeldung über das Formular auf unserer Website

Auf unserer Startseite können Sie sich ohne Nutzerkonto für den Newsletter anmelden. Zweck der Verarbeitung ist ausschließlich der Versand des Newsletters mit Reiseideen, Produktneuigkeiten und Angeboten von TakeMeTo. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO (i. V. m. § 7 Abs. 2 Nr. 3 UWG).

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach Eingabe Ihrer E-Mail-Adresse senden wir Ihnen eine Bestätigungsmail mit einem Link, der 72 Stunden gültig ist. Erst wenn Sie diesen Link anklicken, nehmen wir Sie in den Verteiler auf. Klicken Sie ihn nicht, bleibt Ihre Adresse unbestätigt und wird für keinen Versand verwendet.

Gespeichert werden dabei: Ihre E-Mail-Adresse, die Sprache der Anmeldeseite, der Zeitpunkt der Anmeldung, der Zeitpunkt der Bestätigung sowie die Herkunft der Anmeldung (z. B. „landing"). Zum Schutz vor automatisierten Massenanmeldungen setzen wir Cloudflare Turnstile ein; dabei werden Ihre IP-Adresse und technische Angaben zu Ihrem Browser an die Cloudflare Inc. übermittelt.

Der technische Versand erfolgt über die Resend Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA, als Auftragsverarbeiter nach Art. 28 DSGVO. Dabei werden Ihre E-Mail-Adresse und der Inhalt der Nachricht in die USA und damit in ein Drittland übermittelt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO; ergänzend stützen wir uns auf die Zertifizierung von Resend unter dem EU-US Data Privacy Framework, soweit diese besteht. Trotz dieser Garantien lässt sich nicht ausschließen, dass US-Behörden auf die Daten zugreifen und dass Ihnen dagegen keine mit der EU vergleichbaren Rechtsbehelfe zur Verfügung stehen.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass dafür Kosten entstehen. Dazu genügt der Abmeldelink am Ende jeder Newsletter-Mail; alternativ reicht eine formlose Nachricht an [email protected]. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Nach dem Widerruf entfernen wir Ihre Adresse aus dem Verteiler; der Nachweis der ursprünglichen Einwilligung wird noch bis zu drei Jahre aufbewahrt.

Löschen Sie Ihr Nutzerkonto, löschen wir auch eine Newsletter-Anmeldung, die zu derselben E-Mail-Adresse gehört. Eine Auskunft nach Art. 15 DSGVO (Datenexport) enthält den Anmeldedatensatz ebenfalls.

Der technische Versand des Newsletters sowie aller Transaktions-E-Mails (z. B. Bestätigungen, Einladungen, Hinweise zu Ihrem Konto) erfolgt über unseren Dienstleister Resend; dorthin werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht übermittelt (siehe Ziffer 11). Benachrichtigungen per WhatsApp oder SMS versenden wir über Twilio; dorthin wird Ihre Telefonnummer übermittelt.

16. Social-Media-Integrationen (Instagram, TikTok, YouTube, Facebook)

16.1 Allgemeines

Beim Aufruf eingebetteter Inhalte (Videos, Posts, Buttons) können personenbezogene Daten (insbesondere IP-Adresse, Geräte-/Browserinformationen, Cookie-IDs) an die jeweiligen Anbieter übertragen werden. Wir verwenden – wo technisch möglich – 2-Klick-Lösungen, sodass Daten erst nach Ihrer Einwilligung übertragen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

16.2 Instagram

Anbieter: Meta Platforms Ireland Ltd., Ireland / Meta Platforms Inc., USA. Datenschutz: https://privacycenter.instagram.com/policy. Übermittlungsmechanismus USA: DPF.

16.3 TikTok

Anbieter: TikTok Technology Limited, Irland / TikTok Ltd.; zusätzlich Verarbeitung in USA, Singapur, ggf. China. Datenschutz: https://www.tiktok.com/legal/privacy-policy. Übermittlungsmechanismus: SCC.

16.4 YouTube

Anbieter: Google Ireland Limited; Google LLC, USA. Die Einbettung erfolgt über youtube.com und wird erst nach Ihrem Klick geladen. Datenschutz: https://policies.google.com/privacy. Übermittlungsmechanismus USA: DPF.

16.5 Facebook

Anbieter: Meta Platforms Ireland Ltd., Irland / Meta Platforms Inc., USA. Wir binden ausschließlich einzelne, von Nutzern geteilte Videobeiträge ein, und zwar erst nach Ihrem Klick. Ein Meta-Pixel, die Meta Conversions API oder eine Messenger-Anbindung setzen wir derzeit nicht ein; ein Meta-Pixel würde ausschließlich mit Ihrer Marketing-Einwilligung geladen (Ziffern 11.6 und 14.10). Datenschutz: https://www.facebook.com/privacy/policy. Übermittlungsmechanismus USA: DPF.

17. Aufbewahrung und Löschung von Daten

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist bzw. solange gesetzliche Aufbewahrungspflichten bestehen.

Kategorie

Richtwert

Nutzerkonto / Stammdaten

bis Kontolöschung

Vertrags- und Buchungsdaten

bis 10 Jahre (§ 147 AO, § 257 HGB)

Steuerrelevante Belege

10 Jahre

Kommunikationsdaten (geschäftlich)

6 Jahre (§ 257 HGB)

KI-Konversationsdaten (Chats)

bis Sie sie löschen; spätestens 90 Tage nach Kontolöschung

Travel DNA / Präferenzprofile

bis Kontolöschung

KI-Kosten- und Token-Protokolle (Ziffer 14.4)

bis Kontolöschung

Fehlerprotokolle der Verarbeitungskette (Ziffer 14.5)

solange zur Fehleranalyse erforderlich; bei Kontolöschung Entfernung des Personenbezugs

Anonyme Verweildauer-Zählung (Ziffer 14.6)

dauerhaft — enthält keinen Personenbezug

Tageskontingent-Zähler (Ziffer 14.8)

spätestens 30 Tage

Produkt-Ereignisprotokolle einschließlich Kampagnen- und Funnel-Zählungen (Ziffer 14.3)

90 Tage, danach automatische Löschung

Google Analytics 4 (Ziffer 14.9)

Ereignisdaten 14 Monate; Cookies bis zum Widerruf, höchstens 2 Jahre

Herkunft der Registrierung (Ziffer 14.11)

bis Kontolöschung

Buchungsbelege aus dem Altbestand (Ziffer 17.3)

10 Jahre (§ 147 AO, § 257 HGB) — nach Kontolöschung nur noch pseudonymisiert, siehe Ziffer 17.3

Log- und Sicherheitsdaten

30–90 Tage

Marketing-/Newsletter-Einwilligungen (Nachweis)

3 Jahre nach Widerruf

Nach Ablauf der Aufbewahrungsfristen werden Ihre Daten gelöscht oder anonymisiert.

17.1 Löschung einzelner Inhalte

Einzelne Chats, hochgeladene Inhalte und Einträge Ihrer Travel DNA können Sie jederzeit direkt in der App löschen. Diese Löschung wirkt sofort.

17.2 Kontolöschung: Karenzzeit und endgültige Löschung

Ihr gesamtes Konto löschen Sie in den Kontoeinstellungen. Die Löschung läuft in zwei Schritten ab:

• Sofort: Ihr Konto wird als gelöscht markiert und ist nicht mehr nutzbar. Ihre Profilangaben werden anonymisiert, Ihre E-Mail-Adresse wird für eine Neuanmeldung gesperrt, und von Ihnen veröffentlichte Inhalte werden vom Konto gelöst.
• Nach 90 Tagen: Ein täglich laufender automatischer Job entfernt Ihre personenbezogenen Daten unwiderruflich aus allen betroffenen Tabellen unserer Datenbank, einschließlich Ihres Anmeldekontos, Ihrer Chats, Ihrer Travel DNA und der Kosten- und Token-Protokolle. Innerhalb der 90 Tage können Sie die Löschung noch widerrufen; danach sind die Daten nicht wiederherstellbar — auch nicht durch uns.

17.3 Ausnahme: buchhalterische Aufzeichnungen aus dem Altbestand

TakeMeTo ist seit dem 15. September 2026 kostenlos, neue Zahlungsvorgänge, Guthabenbuchungen und Abonnement-Zuteilungen entstehen nicht mehr. Aus der Zeit davor liegen jedoch noch Buchungsbelege vor. Diese Aufzeichnungen aus dem Altbestand sind von der endgültigen Löschung ausgenommen, weil wir sie handels- und steuerrechtlich aufbewahren müssen (§ 147 AO, § 257 HGB); Art. 17 Abs. 3 lit. b DSGVO nimmt sie deshalb vom Recht auf Löschung aus.

Wir lösen sie stattdessen von Ihrer Person: Bei der endgültigen Löschung wird der Bezug zu Ihrem Konto entfernt und durch ein Pseudonym ersetzt, das keinen Rückschluss auf Sie zulässt. Die Aufzeichnungen bestehen danach nur noch als pseudonymisierte Buchungsbelege fort und werden ausschließlich zur Erfüllung dieser gesetzlichen Aufbewahrungspflicht verwendet — nicht für Analyse, Profilbildung oder Werbung.

18. Ihre Rechte als betroffene Person

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunftsrecht – Art. 15 DSGVO
• Recht auf Berichtigung – Art. 16 DSGVO
• Recht auf Löschung („Recht auf Vergessenwerden") – Art. 17 DSGVO
• Recht auf Einschränkung der Verarbeitung – Art. 18 DSGVO
• Recht auf Datenübertragbarkeit – Art. 20 DSGVO
• Recht auf Widerruf erteilter Einwilligungen – Art. 7 Abs. 3 DSGVO
• Recht auf Beschwerde bei einer Aufsichtsbehörde – Art. 77 DSGVO

Zur Ausübung dieser Rechte wenden Sie sich an [email protected] (Datenschutzanliegen) oder [email protected] (allgemeine Anfragen). Wir beantworten Ihre Anfrage innerhalb von 30 Tagen gemäß DSGVO.

Auskunft und Datenübertragbarkeit ohne Umweg über uns: In Ihrem Profil finden Sie eine Schaltfläche, mit der Sie einen vollständigen Export Ihrer Daten selbst auslösen können. Sie erhalten sofort eine JSON-Datei mit allen zu Ihrem Konto gespeicherten Daten — Konto- und Profilangaben, Chats, Travel DNA, Favoriten, Consent-Entscheidungen, die Herkunftsangaben zu Ihrer Registrierung (Ziffer 14.11) sowie die in Ziffer 14 beschriebenen Kosten- und Fehlerprotokolle. Wenn Sie den Export lieber per E-Mail erhalten möchten, genügt eine Nachricht an [email protected].

18.1 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. e oder lit. f DSGVO erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling.

Werden Ihre personenbezogenen Daten verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit Widerspruch gegen die Verarbeitung Sie betreffender personenbezogener Daten zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Widersprechen Sie der Verarbeitung für Zwecke der Direktwerbung, so werden Ihre personenbezogenen Daten nicht mehr für diese Zwecke verarbeitet.

Den Widerspruch können Sie formlos an [email protected] richten.

18.2 Zuständige Aufsichtsbehörde

Die für uns als nicht-öffentliche Stelle zuständige Datenschutz-Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Promenade 18

91522 Ansbach

Deutschland

Telefon: +49 (0) 981 180093-0

Telefax: +49 (0) 981 180093-800

E-Mail: [email protected]

Web: https://www.lda.bayern.de

Unbeschadet Ihres Rechts, sich an jede andere Aufsichtsbehörde in einem EU-Mitgliedstaat zu wenden, insbesondere an die Behörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 Abs. 1 DSGVO).

Nachrichtlich – für öffentlich-rechtliche Themen in Bayern:

Bayerischer Landesbeauftragter für den Datenschutz (BayLfD)

Wagmüllerstraße 18, 80538 München

E-Mail: [email protected]

Web: https://www.datenschutz-bayern.de

Hinweis: Für die TakeMeTo Inc. als privates Unternehmen ist das BayLDA in Ansbach die maßgebliche Aufsichtsbehörde; der BayLfD ist nur nachrichtlich aufgeführt.

19. Automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie ähnlich erheblich beeinträchtigt, findet nicht statt. Das Profiling im Rahmen der Travel DNA und der Zielabgleichung dient ausschließlich der Personalisierung Ihrer Reisevorschläge.

20. Einsatz generativer KI – Transparenz gemäß AI Act

Unsere Plattform nutzt KI-Systeme zur Generierung von Reiseinhalten und Vorschlägen. Gemäß den Transparenzpflichten nach Art. 50 VO (EU) 2024/1689 (AI Act) weisen wir darauf hin:

• Antworten unseres Reiseplanungs-Chatbots können KI-generiert sein.
• KI-Ausgaben können Fehler, Ungenauigkeiten oder fiktive Angaben enthalten; wesentliche Buchungsdetails sind vor Vertragsschluss zu prüfen.
• Wir führen keine biometrische Kategorisierung, Emotionserkennung oder Social Scoring im Sinne des AI Act durch.
• Wir setzen keine Hochrisiko-KI-Systeme im Sinne des Anhangs III AI Act und keine nach Art. 5 AI Act verbotenen Praktiken ein.
• KI-generierte Inhalte werden entsprechend Art. 50 AI Act sichtbar und/oder maschinenlesbar gekennzeichnet.

Meldungen zu KI-Fehlverhalten oder KI-bedingten Schäden richten Sie bitte an [email protected].

21. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO, um Ihre Daten vor zufälliger oder unrechtmäßiger Zerstörung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff zu schützen. Hierzu gehören insbesondere:

• Transportverschlüsselung (TLS 1.2+)
• verschlüsselte Datenbankspeicherung sensibler Felder
• Zugriffskontrollen nach dem Need-to-know-Prinzip
• regelmäßige Sicherheitsupdates und Penetrationstests
• Protokollierung kritischer Zugriffe

22. Minderjährige

Unser Onlineangebot richtet sich nicht an Personen unter 16 Jahren. Minderjährige dürfen uns keine personenbezogenen Daten ohne Zustimmung der Erziehungsberechtigten übermitteln. Werden wir auf eine entsprechende Verarbeitung aufmerksam, löschen wir die Daten unverzüglich.

23. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder an Änderungen des Dienstes bzw. der Datenverarbeitung anzupassen. Über wesentliche Änderungen informieren wir Sie rechtzeitig in geeigneter Form (z. B. per E-Mail oder Hinweis in der App).

Stand: 2. November 2026 · Version: 1.3