Datenschutzerklärung
Version: 1.1 Stand: 08.10.2026
Datenschutzerklärung für die Website und die App LinkYourTicket
Kurzübersicht
Wir betreiben eine Buchungsplattform für Ausflüge und Aktivitäten. Damit wir dich vermitteln und dein Ticket ausstellen können, verarbeiten wir deinen Namen, deine E-Mail-Adresse, deine Mobilnummer und die Angaben zu deiner Buchung. Deine Kartendaten sehen wir nicht – sie liegen ausschließlich bei unserem Zahlungsdienstleister. Push-Nachrichten, Standortverlauf, Reichweitenmessung auf der Website und Werbe-E-Mails gibt es nur, wenn du sie jeweils einzeln erlaubst. Du kannst jede dieser Erlaubnisse jederzeit in den Einstellungen wieder zurücknehmen. Absturzberichte der App kannst du dort jederzeit abschalten. Deine Buchungsdaten werden in der Regel 60 Tage nach dem Termin automatisch anonymisiert. Die Einzelheiten stehen unten.
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:
Frank Arlt,
Bankstraße 14 B,
47441 Moers,
Deutschland
Telefon: +49 175 7413461
E-Mail: <info@linkyourticket.com>
Umsatzsteuer-Identifikationsnummer: DE461572575
Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen. Für Anliegen zum Datenschutz erreichst du uns unter der oben genannten E-Mail-Adresse mit dem Zusatz „Datenschutz".
Ein Vertreter nach Art. 27 DSGVO ist nicht zu benennen, weil wir in der Europäischen Union niedergelassen sind.
2. Allgemeines und Gegenstand unseres Angebots
LinkYourTicket ist eine mobile und webbasierte Buchungsplattform für Ausflüge, Events und touristische Aktivitäten. Wir vermitteln zwischen Ausflugsanbietern, Wiederverkäufern, Reiseleitern und Endkunden; Veranstalter der Aktivität ist stets der jeweilige Anbieter, nicht wir.
Unser Angebot umfasst die Website linkyourticket.com und die App für iOS und Android.
Wir verarbeiten deine Daten nur im Rahmen der Erforderlichkeit und zu den in dieser Erklärung genannten Zwecken.
3. Deine Rechte
Du hast uns gegenüber folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten:
- Auskunft nach Art. 15 DSGVO. Du kannst in den Einstellungen unter „Datenschutz und Einwilligungen" deine Einwilligungshistorie einsehen und einen vollständigen Datenexport anfordern.
- Berichtigung nach Art. 16 DSGVO, unmittelbar über die Kontobearbeitung in den Einstellungen.
- Löschung nach Art. 17 DSGVO. Du kannst dein Konto in den Einstellungen selbst löschen; die Löschung wird sofort ausgelöst. Deinen Standortverlauf kannst du gesondert über die Schaltfläche „Verlauf löschen" entfernen.
- Einschränkung der Verarbeitung nach Art. 18 DSGVO. Wende dich hierfür an die oben genannte E-Mail-Adresse.
- Datenübertragbarkeit nach Art. 20 DSGVO. Du erhältst deine Daten als ZIP-Datei über einen Downloadlink, der sieben Tage gültig ist.
- Widerruf von Einwilligungen nach Art. 7 Abs. 3 DSGVO, jederzeit und ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird. Die einzelnen Schalter findest du in den Einstellungen.
- Beschwerde bei einer Aufsichtsbehörde nach Art. 77 DSGVO. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf.
4. Widerspruchsrecht nach Art. 21 DSGVO
Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner personenbezogenen Daten Widerspruch einzulegen, die aufgrund von Art. 6 Abs. 1 lit. f DSGVO erfolgt.
Das betrifft bei uns die Absturzberichte, die Server- und Zugriffsprotokolle, die Speicherung von Profilbildern und Veranstaltungsbildern sowie die maschinelle Übersetzung von Katalogtexten. Legst du Widerspruch ein, verarbeiten wir diese Daten nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen.
Werden deine Daten verarbeitet, um Direktwerbung zu betreiben, hast du das Recht, jederzeit und ohne Angabe von Gründen Widerspruch einzulegen. Danach verwenden wir deine Daten nicht mehr für diesen Zweck.
Den Widerspruch kannst du formfrei an info@linkyourticket.com richten oder die entsprechenden Schalter in den Einstellungen verwenden.
5. Erforderlichkeit der Bereitstellung
Die Angabe von Name, E-Mail-Adresse und Mobilnummer ist für den Abschluss und die Durchführung des Buchungsvertrages erforderlich; ohne diese Angaben können wir dir kein Ticket ausstellen und keine Buchungsbestätigung zusenden. Die Angabe von Abholhotel und Zimmernummer ist nur erforderlich, wenn du einen Hoteltransfer wünschst. Alle weiteren Angaben sind freiwillig; ihre Nichtbereitstellung hat keine Folgen außer der Einschränkung der betreffenden Funktion.
Anbieter, Wiederverkäufer und Reiseleiter müssen zusätzlich die Angaben zu ihrem Unternehmen bereitstellen, weil wir sie für die Abrechnung und zur Erfüllung unserer steuerlichen Pflichten benötigen.
6. Keine automatisierte Entscheidungsfindung
Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet grundsätzlich nicht statt, und wir erstellen keine Nutzungsprofile zu Werbezwecken. Ausgenommen ist die Prüfung zum Schutz vor Missbrauch bei Registrierung und Anmeldung nach Abschnitt 17a: Eine Registrierung über eine anonymisierende Verbindung oder aus einem Land, in dem wir die Plattform nicht anbieten, wird automatisch abgelehnt. In diesem Fall kannst du dich an info@linkyourticket.com wenden; wir prüfen deine Registrierung dann persönlich, und du kannst deinen Standpunkt darlegen.
7. Konto, Anmeldung und Sicherheit
Zweck: Identifikation, Zugriffskontrolle, Kontoverwaltung.
Daten: Vorname, Nachname, E-Mail-Adresse, Mobilnummer, Sprache, Rolle, Kennzeichen der Freischaltung und Verifizierung, Passwort als Hashwert, Zugangs- und Erneuerungstoken. Ein Profilbild speicherst du freiwillig. Nutzt du die Anmeldung über Apple oder Google, speichern wir die entsprechende Kennung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: Bis zur Löschung deines Kontos. Die Löschung erfolgt endgültig. Der Zugangstoken gilt standardmäßig eine Stunde, der Erneuerungstoken 30 Tage.
Sicherheit: Passwörter werden ausschließlich als Hashwert gespeichert und niemals im Klartext. Alle Zugriffe erfolgen verschlüsselt über HTTPS.
8. Buchung, Ticket und Warenkorb
Zweck: Erfassung und Abwicklung deiner Buchung, Ausstellung des Tickets, Abstimmung mit dem Anbieter, Bearbeitung von Stornierungen.
Daten: Name, E-Mail-Adresse, Mobilnummer, Name des Hotels, Zimmernummer, Abholzeit und Abholstatus, Ticketnummer, Termin, Preis und Währung.
Warenkorb ohne Konto: Für eine Buchung über die Plattform brauchst du ein Konto; den Warenkorb kannst du aber schon vorher zusammenstellen. Bucht ein Anbieter oder eine Verkaufsstelle vor Ort für dich, speichern wir E-Mail-Adresse, Name und Sprache unmittelbar am Buchungsdatensatz und nicht an einem Nutzerkonto. Für den Warenkorb vor der Anmeldung erzeugt die App eine pseudonyme Gerätekennung, die wir an der vorgemerkten Reservierung speichern. Sie dient allein dazu, deinen Warenkorb deinem Gerät zuzuordnen und die Reservierung nach einer späteren Anmeldung auf dein Konto zu übernehmen. Bis zur Buchung besteht kein Bezug zu deinem Klarnamen; unbezahlte Vormerkungen verfallen automatisch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, auch für die Gerätekennung als vorvertragliche Maßnahme.
Empfänger: Der Anbieter, der die Aktivität durchführt, erhält die Buchungsdaten einschließlich deines Namens und – bei Transfer – des Abholhotels, weil er die Leistung sonst nicht erbringen kann.
Speicherdauer: Wir anonymisieren die personenbezogenen Teile deiner Buchung automatisch nach Ablauf einer Frist, die der Anbieter zwischen 14 und 120 Tagen nach dem Termin festlegt. Die Voreinstellung beträgt 60 Tage. Löschst du dein Konto, läuft die Frist ab dem Löschdatum. Gelöscht werden dabei dein Name, deine E-Mail Adresse, deine Mobilfunknummer, Abholhotel, Zimmernummer und Abholzeit sowie die Verknüpfung zu deinem Konto.
Erhalten bleiben die Ticketnummer, die Aktivität, der Veranstalter, Termin und Buchungsdatum, die Teilnehmerzahl, der Check-in-Status, die Beträge, die Sprache und der vermittelnde Reiseleiter oder Wiederverkäufer. Außerdem bleibt die Kennung der Zahlung bei unserem Zahlungsdienstleister erhalten. Über sie lässt sich die Buchung bei Bedarf wieder einer Person zuordnen. Wir verwenden diesen Datensatz nur für Erstattungen, Abrechnung und Buchhaltung sowie für zusammengefasste Auswertungen ohne Personenbezug. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Nach Ablauf der gesetzlichen Aufbewahrungsfristen – spätestens zehn Jahre nach Ende des Kalenderjahres der Buchung - löschen wir die Zahlungskennung.
Die Durchsetzung der vom Veranstalter festgelegten Anonymisierungsfrist und den Versand von Mitteilungen über die Funktion „Abholzeit senden" übernehmen wir im Auftrag des Veranstalters. Insoweit gilt der Vertrag über die Auftragsverarbeitung nach Anlage 2 der Plattform-Nutzungsbedingungen B2B.
9. Ticket teilen über einen öffentlichen Link
Du kannst dein Ticket teilen. Dabei erzeugen wir einen zeitlich befristeten, nicht erratbaren Link auf ein auf unserem Server erzeugtes Ticket-Dokument. Wer diesen Link besitzt, kann das Ticket samt Ticketdaten und Prüfcode ohne Anmeldung abrufen – teile ihn daher nur mit Personen deines Vertrauens. Der Link in der Anwendung verfällt nach sieben Tagen, der Download-Link in der Buchungsbestätigung nach 180 Tagen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
10. Zahlungsabwicklung
Dienst: Stripe Payments Europe Limited, The One Building, 1 Lower Grand Canal Street, Dublin 2, Irland.
Zweck: Abwicklung deiner Kartenzahlung für das Ticket sowie der Abonnements unserer gewerblichen Nutzer und der Rückerstattungen bei Stornierungen.
Daten bei uns: Kundenkennung, Abonnementkennung, Kennung des verbundenen Kontos, Zahlungskennung, Betrag der Vermittlungsgebühr, Rückerstattungskennung.
Daten bei Stripe: Name, E-Mail-Adresse, Adresse, Kartendaten oder Bankverbindung, Umsatzsteuer-Identifikationsnummer, Rechnungsadresse, Transaktionshistorie.
Wir speichern keine Kartendaten und keine Bankverbindung: Die Kartendaten werden unmittelbar von Stripe im Eingabefeld erhoben und nach dem Sicherheitsstandard der Kartenindustrie bei Stripe gespeichert. Setzt du im Bezahlfeld das Häkchen zum Speichern, hinterlegt Stripe dein Zahlungsmittel für künftige Buchungen in deinem Kundenkonto; du kannst es dort jederzeit wieder entfernen. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. a DSGVO.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und, soweit Stripe die Identität unserer Anbieter prüft, Art. 6 Abs. 1 lit. c DSGVO.
Drittland: Stripe ist ein international tätiger Anbieter. Eine Verarbeitung personenbezogener Daten kann daher auch in Drittländern (insbesondere USA) erfolgen. Datenübermittlungen in Drittländer erfolgen nur unter Beachtung der Art. 44 ff. DSGVO, insbesondere auf Grundlage geeigneter Garantien (z. B. Standardvertragsklauseln) sowie des EU‑US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission für zertifizierte US‑Organisationen). Stripe ist nach dem EU-US Data Privacy Framework zertifiziert.
Speicherdauer: Stripe bewahrt Transaktionsdaten nach steuerrechtlichen Vorgaben typischerweise sieben Jahre auf.
11. Hosting, Datenbank und Protokolle
Dienst: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
Zweck: Betrieb unserer Schnittstelle, Speicherung der Datenbank und Protokollierung.
Ort der Verarbeitung: Ausschließlich innerhalb der Europäischen Union; Datenbank, Rechenleistung und Protokollspeicher liegen in der Region Frankfurt.
Daten in den Protokollen: Zeitpunkt des Zugriffs, aufgerufener Pfad, Antwortstatus, Antwortzeit und – bei angemeldeten Zugriffen – deine Nutzerkennung. Nicht protokolliert werden Zugangsdaten, Cookies, IP-Adresse, Zahlungssignaturen, Passwörter, Token, E-Mail-Adresse, Mobilnummer sowie Name, E-Mail-Adresse, Mobilnummer, Hotel und Zimmernummer aus Buchungen; diese Felder werden vor dem Schreiben des Protokolleintrags vollständig entfernt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im technischen Betrieb, in der Fehlerdiagnose sowie in der Abwehr von Missbrauch und Angriffen.
Speicherdauer: 90 Tage.
Übermittlung in Drittlänger: Google ist ein international tätiger Anbieter. Eine Verarbeitung personenbezogener Daten kann daher auch in Drittländern (insbesondere USA) erfolgen. Datenübermittlungen in Drittländer erfolgen nur unter Beachtung der Art. 44 ff. DSGVO, insbesondere auf Grundlage geeigneter Garantien (z. B. Standardvertragsklauseln) sowie des EU‑US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission für zertifizierte US‑Organisationen). Google ist nach dem EU-US Data Privacy Framework zertifiziert.
11a. E-Mail-Versand
Buchungsbestätigungen, Tickets, Stornierungen, Abholzeiten, Kontonachrichten und – mit deiner Einwilligung – Werbe-E-Mails versenden wir über den E-Mail-Dienst Private Email der Namecheap, Inc., 4600 East Washington Street, Suite 300, Phoenix, AZ 85034, USA. Übermittelt werden deine E-Mail-Adresse, dein Name und der Inhalt der Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Werbe-E-Mails Art. 6 Abs. 1 lit. a DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage von Standarddatenschutzklauseln (Art. 46 Abs. 2 lit. c DSGVO). Versandte Nachrichten werden beim Dienst nach den für E-Mail-Postfächer üblichen Fristen gespeichert.
12. Dateiablage und Bildauslieferung
Profilbilder und Veranstaltungsbilder speichern wir in einem Speicherbereich der Google Ireland Limited in der Region Frankfurt, also innerhalb der Europäischen Union. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der zuverlässigen Bereitstellung der Medien.
Zur schnellen Auslieferung der Veranstaltungsbilder, Profilbilder und Firmenlogos nutzen wir zusätzlich das Bildnetzwerk ImageKit. Der Ursprung der Dateien bleibt unser Speicherbereich bei Google. Beim Abruf eines Bildes wird deine IP-Adresse an ImageKit übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in einer schnellen und zuverlässigen Bildauslieferung.
13. Absturzberichte
Dienst: Functional Software, Inc., handelnd unter der Bezeichnung Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA.
Zweck: Überwachung der Stabilität und Eingrenzung von Fehlern.
Daten: Technische Fehlerberichte, eine pseudonyme Nutzerkennung und Angaben zum Gerät wie Betriebssystem, Anwendungsversion und Hersteller. Personenbezogene Klartextangaben werden vor dem Versand entfernt.
Einsatzbereich: Nur in der App und auf unserem Server, nicht auf der Website.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Stabilität der Anwendung. Du kannst die Übermittlung jederzeit in den Einstellungen unter „Absturzberichte" abschalten.
Ort der Verarbeitung und Drittland: Die Daten liegen auf Servern in Frankfurt und damit in der Europäischen Union. Unser Vertragspartner sitzt jedoch in den Vereinigten Staaten. Datenübermittlungen in Drittländer erfolgen nur unter Beachtung der Art. 44 ff. DSGVO, insbesondere auf Grundlage geeigneter Garantien (z. B. Standardvertragsklauseln) sowie des EU‑US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission für zertifizierte US‑Organisationen). Die Functional Software, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.
Speicherdauer: 90 Tage.
14. Push-Nachrichten
Wir senden Push-Benachrichtigungen über deine Buchungen, Stornierungen, Änderungen an Veranstaltungen und Abonnementvorgänge. Der Versand erfolgt nur mit deiner ausdrücklichen Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit in den Einstellungen widerrufen. Ohne Einwilligung erhältst du die für den Vertrag wesentlichen Mitteilungen stattdessen per E-Mail.
Daten: Ein pseudonymer Zustellschlüssel von etwa 70 Zeichen sowie der Inhalt der Nachricht.
Empfänger und Drittland: Die Zustellung läuft über den Vermittlungsdienst der 650 Industries, Inc., (Expo), 624 University Ave, Suite 1, Palo Alto, CA 94301-2019, Vereinigte Staaten (USA) und von dort über die Apple Distribution International Limited, Cork, Irland, für Geräte mit iOS beziehungsweise über den Nachrichtendienst der Google Ireland Limited für Geräte mit Android. Die Zustellinfrastruktur beider Dienste arbeitet weltweit, sodass eine Übermittlung in die Vereinigten Staaten erfolgt; sie ist jeweils über Standarddatenschutzklauseln abgesichert.
Industries, Inc. (Expo) ist ein international tätiger Anbieter. Eine Verarbeitung personenbezogener Daten kann daher auch in Drittländern (insbesondere USA) erfolgen. Datenübermittlungen in Drittländer erfolgen nur unter Beachtung der Art. 44 ff. DSGVO, insbesondere auf Grundlage geeigneter Garantien (z. B. Standardvertragsklauseln) sowie des EU‑US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission für zertifizierte US‑Organisationen). Industries, Inc. (Expo) ist nach dem EU-US Data Privacy Framework zertifiziert.
Speicherdauer: Bis zum Widerruf oder zur Löschung deines Kontos; nicht mehr genutzte Einträge entfernen wir nach 180 Tagen. Nachrichten verbleiben beim Vermittlungsdienst nur bis zur Zustellung und typischerweise weniger als eine Stunde.
15. Standort
Wir verwenden deine Koordinaten, um dir Veranstaltungen in deiner Umgebung anzuzeigen. Das geschieht nur während der Suche und wird nicht gespeichert; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil es zur Kernfunktion gehört.
Eine dauerhafte Speicherung deiner Orte – der Standortverlauf – erfolgt nur mit deiner ausdrücklichen Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO: Gespeichert werden dann Stadt, Land, eine Ortskennung und die formatierte Adresse als dein Favorit. Du kannst den Verlauf jederzeit in den Einstellungen vollständig löschen.
Übermittlung an Dritte: Zur Auflösung von Koordinaten in Ortsangaben und für Reisezielvorschläge nutzen wir Dienste der Google Ireland Limited. Übermittelt werden die Koordinaten und Suchbegriffe, nicht jedoch eine Kennung deines Kontos. Die Verarbeitung erfolgt auch in den Vereinigten Staaten und ist über Standarddatenschutzklauseln abgesichert.
Google ist ein international tätiger Anbieter. Eine Verarbeitung personenbezogener Daten kann daher auch in Drittländern (insbesondere USA) erfolgen. Datenübermittlungen in Drittländer erfolgen nur unter Beachtung der Art. 44 ff. DSGVO, insbesondere auf Grundlage geeigneter Garantien (z. B. Standardvertragsklauseln) sowie des EU‑US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission für zertifizierte US‑Organisationen). Google ist nach dem EU-US Data Privacy Framework zertifiziert.
Kartendarstellung: Auf der Website werden Karten erst nach deiner ausdrücklichen Einwilligung geladen; vorher wird keine Verbindung zum Kartenanbieter aufgebaut. In der App zeigen wir Treffpunkte, Abholorte und Hotels mit dem Kartendienst deines Betriebssystems an: unter iOS mit Apple Maps der Apple Distribution International Limited, Cork, Irland, unter Android mit Google Maps der Google Ireland Limited. Dabei werden deine IP-Adresse und der angezeigte Kartenausschnitt an den jeweiligen Dienst übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Kartenanzeige zur gebuchten Leistung gehört.
16. Bestätigung deiner Mobilnummer
Zur Prüfung deiner Mobilnummer senden wir dir einen einmaligen Bestätigungscode per Kurznachricht. Wir nutzen dafür die Twilio Ireland Limited, 25--28 North Wall Quay, Dublin 1, Irland. Übermittelt werden deine Mobilnummer und der sechsstellige Code. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Der Code wird unmittelbar nach der Prüfung oder mit Ablauf seiner Gültigkeit gelöscht. Teile der Verarbeitung erfolgen über Unterauftragsverarbeiter in den Vereinigten Staaten, abgesichert über Standarddatenschutzklauseln.
17. Schutz vor automatisierten Abrufen
Zum Schutz vor automatisierten Abrufen nutzen wir den Dienst Cloudflare Turnstile der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA.
Bevor die App Telefonnummer oder E-Mail-Adresse eines Veranstalters anzeigt, prüfen wir, ob die Anfrage von einem Menschen stammt. So schützen wir die Kontaktdaten vor dem massenhaften automatisierten Auslesen. Firmenname, Anschrift, Steuernummer und Registerangaben sind ohne diese Prüfung abrufbar.
Der Dienst wertet technische Merkmale deines Geräts und deiner Anwendung aus. Danach entscheidet er, ob eine sichtbare Prüfung nötig ist. In der Regel genügt ein Klick. Übermittelt werden deine IP-Adresse, diese technischen Merkmale und ein Prüfschlüssel.
Für den Zugriff auf dein Gerät stützen wir uns auf § 25 Abs. 2 Nr. 2 TDDDG, weil der Zugriff für die sichere Bereitstellung der von dir abgerufenen Kontaktdaten unbedingt erforderlich ist. Die weitere Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz unserer Veranstalter vor missbräuchlichen automatisierten Abrufen.
Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO).
Das Prüfergebnis wird von uns nicht gespeichert.
17a. Schutz vor Missbrauch bei Registrierung und Anmeldung
Bei der Registrierung und bei der Anmeldung prüfen wir deine IP-Adresse über den Dienst proxycheck.io (James Margetson, handelnd als proxycheck.io, 173 Cuckoo Hall Lane, London N9 8DT, Vereinigtes Königreich). Der Dienst teilt uns mit, ob die Verbindung über einen Proxy, ein VPN oder ein Rechenzentrum läuft und aus welchem Land sie stammt. Eine Registrierung über eine solche Verbindung oder aus einem Land, in dem wir die Plattform nicht anbieten, lehnen wir ab (siehe Abschnitt 6). Bei der Anmeldung speichern wir zusätzlich einen Risikohinweis zu deinem Gerät, etwa ob eine Kamera vorhanden ist und ob Push-Nachrichten eingerichtet sind; er dient allein der Erkennung missbräuchlicher Konten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht im Schutz der Plattform, unserer Nutzer und Veranstalter vor betrügerischen Konten. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Unauffällige IP-Adressen löscht der Dienst nach wenigen Minuten, auffällige nach 180 Tagen.
18. Übersetzung von Veranstaltungstexten
Die Beschreibungen der Veranstaltungen übersetzen wir maschinell mit dem Dienst der DeepL SE, Maarweg 165, 50825 Köln, Deutschland. Übermittelt werden ausschließlich die von den Anbietern eingestellten Katalogtexte und keine personenbezogenen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in der mehrsprachigen Darstellung unseres Angebots. Die Verarbeitung erfolgt auf Servern in Frankfurt und damit innerhalb der Europäischen Union. Die übermittelten Texte werden unmittelbar nach der Übersetzung gelöscht.
18a. Textvorschläge für Veranstalter
Veranstalter können sich beim Anlegen einer Veranstaltung Beschreibungstexte vorschlagen lassen. Dafür übermitteln wir die vom Veranstalter eingegebenen Angaben zur Veranstaltung an die Anthropic, PBC, 548 Market Street, San Francisco, CA 94104, USA. Daten von Endkunden werden nicht übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO gegenüber dem Veranstalter, der die Funktion aufruft. Die Übermittlung in die USA erfolgt auf Grundlage von Standarddatenschutzklauseln (Art. 46 Abs. 2 lit. c DSGVO).
19. Cookies und ähnliche Techniken
a) Grundsatz
Auf unserer Website setzen wir Cookies ein. Für Cookies, die für den von dir gewünschten Dienst unbedingt erforderlich sind, benötigen wir nach § 25 Abs. 2 Nr. 2 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes keine Einwilligung. Für alle übrigen Cookies und für unsere Reichweitenmessung fragen wir dich vorher um Erlaubnis. Du kannst diese Erlaubnis jederzeit über die Cookie-Einstellungen am Seitenende zurücknehmen.
In der App setzen wir keine Cookies. Die gewählte Sprache wird dort im verschlüsselten Schlüsselspeicher deines Geräts abgelegt.
b) Unbedingt erforderliche Cookies
| Name | Zweck | Laufzeit |
|---|---|---|
| lyt-lng | Speicherung der von dir gewählten Sprache | Sitzung |
| lyt-token-customer, lyt-token-customer-refresh | Anmeldung im Kundenbereich | Anmeldung bzw. 30 Tage |
| lyt-token, lyt-token-refresh | Anmeldung im internen Bereich | Anmeldung bzw. 30 Tage |
| lyt-device | Anonyme Gerätekennung für den Warenkorb | 12 Monate |
| lyt-guest-favourites | Merkliste ohne Konto | 12 Monate |
| lyt-place, lyt-region, lyt-tz | Ort, Region und Zeitzone | 12 Monate |
| lyt-consent | Speicherung deiner Cookie-Entscheidung | 12 Monate |
| Lyt-token-provider | Anmeldung des Veranstalters | Laufzeit des Zugangs |
| lyt-token-provider-refresh | Erneuerung dieser Anmeldung | 30 Tage |
| lyt-share-banner-hidden | ausgeblendeter Hinweisstreifen | 90 Tage |
| lyt-sid | Sitzungskennung für den Nachweis deiner Cookie-Entscheidung; mit deiner Einwilligung auch für die Reichweitenmessung (Buchstabe c) | Sitzung |
| lyt-cart-discounts | eingelöste Rabattcodes im Warenkorb | 1 Tag |
Rechtsgrundlage für die Verarbeitung der damit verbundenen personenbezogenen Daten ist Art. 6 Abs. 1 lit. b DSGVO, soweit sie der Durchführung des Vertrages dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an einem funktionsfähigen Angebot.
Keines dieser Cookies dient der Erstellung von Nutzungsprofilen, und Dritte haben auf diese Cookies keinen Zugriff.
c) Einwilligungsabhängige Reichweitenmessung
Mit deiner Einwilligung (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO) speichern wir in deinem Browser folgende Cookies, um dir zuletzt angesehene und gebuchte Veranstaltungen erneut anzeigen zu können:
| Name | Zweck | Laufzeit |
|---|---|---|
| lyt-viewed-events | Speicherung der zuletzt von dir aufgerufenen Veranstaltungen zur erneuten Anzeige | 30 Tage |
| lyt-booked-events | Speicherung der von dir gebuchten Veranstaltungen zur erneuten Anzeige | 30 Tage |
Außerdem messen wir mit deiner Einwilligung, wie unsere Website genutzt wird, etwa welche Seiten aufgerufen und welche Schritte bis zur Buchung durchlaufen werden. Dafür speichern wir auf unserem Server die aufgerufenen Seiten und Schritte zusammen mit der Sitzungskennung aus dem Cookie lyt-sid und – wenn du angemeldet bist – deiner Nutzerkennung. Wir setzen dafür keine Dienste Dritter ein. Die Messdaten löschen wir nach 180 Tagen. Bist du angemeldet, speichern wir außerdem die zuletzt angesehenen Veranstaltungen an deinem Konto, um sie dir erneut anzuzeigen; sie werden nach 90 Tagen gelöscht.
Diese Cookies sind für den Betrieb der Plattform nicht technisch erforderlich; die Kernfunktionen stehen dir auch ohne diese Cookies vollständig zur Verfügung. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen. Im Fall des Widerrufs werden die entsprechenden Cookies unverzüglich gelöscht.
Hinweis: Als technische Alternative können diese Informationen auch serverseitig in deinem Nutzerkonto gespeichert werden, sofern du eingeloggt bist; in diesem Fall erfolgt kein Gerätezugriff im Sinne von § 25 Abs. 1 TDDDG.
d) Nachweis deiner Entscheidung
Zum Nachweis nach Art. 7 Abs. 1 DSGVO speichern wir auf unserem Server den Zeitpunkt, deine Auswahl, die Version des Einwilligungstextes und deine IP-Adresse.
Zusätzlich speichern wir die Browserkennung und die Sitzungskennung. Die Speicherdauer der Nachweise ergibt sich aus Abschnitt 23.
e) Nicht eingesetzte Dienste
Wir setzen kein Google Analytics, keinen Tag Manager, kein Facebook-Pixel, kein TikTok-Pixel, kein Hotjar, kein PostHog und kein Mixpanel ein. Werbe- und Affiliate-Dienste nutzen wir nicht. Die Schriftarten unserer Website und App hosten wir selbst; eine Verbindung zu Servern Dritter wird dafür nicht aufgebaut. Im Bezahlfeld unseres Zahlungsdienstleisters wird derzeit eine Schriftart von Servern der Google Ireland Limited geladen. Dabei wird deine IP-Adresse an Google übermittelt.
20. Anmeldung über Anbieter Dritter
Du kannst dich mit deinem Google-Konto oder deiner Apple-ID anmelden. Google beziehungsweise Apple übermittelt uns dabei deinen Namen und deine E-Mail-Adresse; bei Apple kannst du statt deiner E-Mail-Adresse eine weitergeleitete Adresse wählen. Wir speichern zusätzlich die Kennung deines Kontos beim Anbieter, damit wir dich bei der nächsten Anmeldung wiedererkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Anmeldung der Bereitstellung deines Kontos dient. Die Nutzung ist freiwillig. Du kannst dich auch mit E-Mail-Adresse und Passwort anmelden.
21. Wenn wir Daten nicht von dir selbst erhalten
In drei Fällen erhalten wir Daten über dich nicht von dir, sondern von Dritten. Wir informieren dich hierüber nach Art. 14 DSGVO:
- Buchung durch einen Reiseleiter oder eine Verkaufsstelle: Buchst du nicht selbst in der App, sondern über einen Reiseleiter oder eine stationäre Verkaufsstelle, so erhalten wir deinen Namen, deine E-Mail-Adresse, deine Mobilnummer und die Buchungsangaben von diesem. Quelle ist der jeweilige Reiseleiter beziehungsweise die Verkaufsstelle. Zweck, Rechtsgrundlage, Empfänger und Speicherdauer entsprechen Abschnitt 8.
- Anmeldung über einen Drittanbieter: Quelle ist der jeweilige Anmeldedienst, siehe Abschnitt 20.
- Zahlungsabwicklung: Wir erhalten von unserem Zahlungsdienstleister Rückmeldungen über den Zahlungsstatus, Rückerstattungen und Rückbelastungen. Die Quelle ist Stripe.
22. Werbe-E-Mails und Reaktivierung
Werbe-E-Mails senden wir nur mit deiner ausdrücklichen Einwilligung. Du kannst sie jederzeit in den Einstellungen widerrufen. Ohne Einwilligung erhältst du weiterhin alle für den Vertrag wesentlichen Nachrichten wie Buchungsbestätigungen, Stornierungen und das Zurücksetzen des Passworts.
Löschen gewerbliche Nutzer ihr Konto, können sie zusätzlich und gesondert einwilligen, dass wir ihre E-Mail-Adresse, ihren Vornamen und ihre Spracheinstellung für Zwecke der Reaktivierung aufbewahren. Diese Einwilligung ist freiwillig und keine Bedingung der Löschung. Rechtsgrundlage sind Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 3 UWG. Wir speichern zum Nachweis die Version des Einwilligungstextes, die IP-Adresse, die Browserkennung und den Zeitpunkt. Die Daten werden sechs Monate nach Erteilung der Einwilligung automatisch endgültig gelöscht; eine Abmeldung führt zur sofortigen endgültigen Löschung.
23. Übersicht der Speicherfristen
| Datenkategorie | Frist |
|---|---|
| Kontodaten | bis Kontolöschung |
| Passwort-Hashwert | bis Kontolöschung oder Passwortwechsel |
| Zugangstoken | standardmäßig eine Stunde |
| Erneuerungstoken | standardmäßig 30 Tage |
| Buchungsdaten | 60 Tage nach Termin, 14--120 konfigurierbar |
| Rechnungen/steuerlich relevante Belege | bis zu zehn Jahre (§ 147 AO, § 257 HGB) |
| Zustellschlüssel für Push | bis Widerruf, inaktiv nach 180 Tagen |
| Standortverlauf | bis Widerruf oder Löschung |
| Freigabelink Ticket | 7 bzw. 180 Tage |
| Downloadlink Datenexport | sieben Tage |
| Server- und Zugriffsprotokolle | 90 Tage |
| Absturzberichte | 90 Tage |
| Gelesene Mitteilungen | 7 Tage nach Lesedatum (14 Tage bei buchungs- oder abonnementbezogenen Mitteilungen) |
| Ungelesene Mitteilungen | 365 Tage |
| Nachweis Cookie-Einwilligung | drei Jahre |
| Reichweitenmessung (Website) | 180 Tage |
| Zuletzt angesehene Veranstaltungen (Konto) | 90 Tage |
| Auffällige IP-Adressen bei proxycheck.io | 180 Tage |
| Reaktivierungsliste | sechs Monate |
| Bestätigungscode Mobilnummer | sofort nach Prüfung |
| Übersetzungstexte | null Tage |
| Zahlungskennung und Buchungsbelege (pseudonymisiert) | 10 Jahre ab Ende des Kalenderjahres der Buchung (§ 147 AO, § 257 HGB) |
24. Sicherheit
Wir schützen deine Daten unter anderem durch verschlüsselte Übertragung über HTTPS mit mindestens TLS 1.2, Verschlüsselung der Datenbank im Ruhezustand, tägliche Sicherungen mit Wiederherstellungsmöglichkeit, Zugangsprüfung an allen Schnittstellen, Prüfung der Berechtigung bei jedem Zugriff auf fremde Datensätze, Entfernung personenbezogener Felder vor jedem Protokolleintrag sowie automatische Anonymisierung von Buchungsdaten nach Fristablauf.
25. Änderungen dieser Erklärung
Wir halten diese Erklärung aktuell. Bei wesentlichen Änderungen, etwa neuen Verarbeitungszwecken, neuen Dienstleistern oder geänderten Speicherfristen, weisen wir dich bei der nächsten Nutzung darauf hin. Die aktuelle Fassung und alle vorherigen Fassungen kannst du in den Einstellungen unter „Datenschutz und Einwilligungen" einsehen.