Datenschutzerklärung

Not Just Tours, handelnd unter not just tours, ist Verantwortlicher für die hier beschriebenen personenbezogenen Daten — wir entscheiden also, wozu und wie sie verwendet werden. Wir sind ein Einzelunternehmen mit Sitz in Deutschland, keine Gesellschaft; die vollständigen gesetzlichen Angaben einschließlich der Postanschrift für formelle Korrespondenz stehen im Impressum.

Datenschutzanfragen: info@notjusttours.com

Da wir in Deutschland niedergelassen sind, gelten für alles hier Beschriebene die EU-Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) — unabhängig davon, von wo aus Sie buchen und wohin Sie reisen.

Wir liegen weit unter der Größe, ab der das deutsche Recht einen Datenschutzbeauftragten verlangt; eine Datenschutzanfrage geht daher an die obige Adresse und wird vom Inhaber beantwortet.

Diese Erklärung gilt für diese Website, den Buchungsvorgang und die Betreuung rund um Ihre Reise. Für verlinkte Websites Dritter gilt sie nicht — dort gelten deren eigene Erklärungen.

Nur was wir brauchen, um Ihnen eine Reise zu verkaufen und Sie auf sie zu bringen. Konkret:

• Ihr Konto — Ihre E-Mail-Adresse, Vor- und Nachname, Telefon- und WhatsApp-Nummer, Ihre Staatsangehörigkeit und Ihr Geburtsdatum, Sprache und Währung, Ihre gespeicherten Favoriten, die Aktivitätsniveaus sowie etwaige Ernährungs- oder Barrierefreiheitshinweise, die Sie hinterlegen, und die Angabe, ob Sie Werbung zugestimmt haben. Ihr Passwort wird als Einweg-Hash gespeichert und ist nie lesbar — auch nicht für uns.
• Ihre Buchung — wer mitreist, Ihre Hotel- oder Abholadresse, Ihre Flugnummer und die Antworten auf die Fragen, die das jeweilige Erlebnis stellt. Dieser letzte Teil unterscheidet sich je Erlebnis. Wo eine Stätte, ein Grenzübergang oder eine Fluggesellschaft es verlangt, kann das Formular nach Ausweisdaten fragen; diese stehen vollständig auf dem Voucher, den Sie herunterladen — wer ihn kontrolliert, muss sie lesen können.
• Zahlung — abgewickelt über Stripe. Wir erhalten das Ergebnis, den Betrag, die Kartenmarke und die letzten vier Ziffern. Ihre vollständige Kartennummer sehen und speichern wir nie.
• Support — die Nachrichten, die Sie uns schreiben, und alle Dateien oder Fotos, die Sie anhängen.
• Bewertungen — was Sie schreiben und wie Sie bewerten. Ihr Name erscheint nur, wenn Sie das beim Absenden gewünscht haben, und dann nur als Vorname mit Initiale; andernfalls ist die Bewertung anonym. Ihr Land veröffentlichen wir nicht.
• Wie die Website genutzt wird — welche Erlebnisse aufgerufen wurden, von welcher Geräteart, in welcher Sprache, aus welchem Land und ob der Besucher angemeldet war. Ihre IP-Adresse speichern wir nicht. Sie wird im Moment der Anfrage genutzt, um Anmeldeversuche zu begrenzen, und erscheint in den kurzlebigen Serverprotokollen unseres Hosters.

• Zur Durchführung Ihrer Buchung — Bestätigung, Erstellung Ihres Vouchers, Weitergabe der Angaben an Ihren Guide oder Fahrer und Betreuung vor und während der Reise. Grundlage: Erfüllung unseres Vertrags mit Ihnen.
• Zur Zahlungsabwicklung und Betrugsprävention. Grundlage: Vertrag sowie unser berechtigtes Interesse am Schutz vor betrügerischen Transaktionen.
• Zur Erfüllung gesetzlicher, steuerlicher und buchhalterischer Aufbewahrungspflichten. Grundlage: unsere rechtlichen Verpflichtungen.
• Um zu erkennen, welche Erlebnisse gesucht werden — welche aufgerufen werden, von welchem Gerät und aus welchem Land. Das läuft auf unseren eigenen Servern, speichert nichts auf Ihrem Gerät und erzeugt kein Profil über Sie. Grundlage: unser berechtigtes Interesse daran zu wissen, was wir anbieten sollen.
• Um mit Google Analytics zu messen, wie die Website funktioniert. Dies speichert Cookies auf Ihrem Gerät und läuft daher erst, nachdem Sie zugestimmt haben — vorher wird bei Google nichts angefragt. Grundlage: Ihre Einwilligung.
• Zum Versand von Werbung, wenn Sie zustimmen. Grundlage: Ihre Einwilligung. Wir halten fest, wann und durch welche Handlung Sie sie erteilt haben; widerrufen können Sie sie jederzeit in Ihrem Profil. Der Widerruf berührt nicht, was vorher versandt wurde.
• Um auf einen Gesundheits-, Ernährungs- oder Barrierefreiheitsbedarf einzugehen. Grundlage: Ihre ausdrückliche Einwilligung, erteilt mit der Mitteilung.

Wir verkaufen Ihre personenbezogenen Daten nicht und treffen über Sie keine automatisierten Entscheidungen mit rechtlicher Wirkung.

So wenig wie möglich, an so wenige wie möglich. Das ist die vollständige Liste.

• Der Anbieter, der Ihr Erlebnis durchführt — Guide, Bootsbetreiber oder Fahrer erhält die Namen der Reisenden, die Personenzahl, die Abholangaben und alles, was für die Sicherheit relevant ist. Nichts zu Ihrer Zahlung und nichts weiter.
• Stripe wickelt die Zahlung und etwaige Rückzahlungen ab.
• Google Cloud hostet diese Website, ihre Datenbank und die gespeicherten Dateien in der Region `europe-west1` in Belgien.
• Google Analytics erhält Nutzungsdaten der Website — und erst, wenn Sie Analyse-Cookies zugestimmt haben.
• Hostinger versendet unsere E-Mails; eine Nachricht an Sie läuft also über deren Server.
• Behörden, soweit das Gesetz es verlangt oder zur Begründung oder Verteidigung eines Rechtsanspruchs.
• Ein Erwerber, falls das Unternehmen einmal verkauft oder umstrukturiert wird — mit denselben Schutzvorkehrungen.

Alle auf dieser Liste verarbeiten Ihre Daten nach unseren Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags — ausgenommen die Behörden und ausgenommen der durchführende Anbieter, der für sein Handeln vor Ort selbst verantwortlich ist.

Ihre Daten liegen im Europäischen Wirtschaftsraum: Datenbank, gespeicherte Dateien und Backups befinden sich sämtlich in der Google-Cloud-Region `europe-west1`.

Zwei Dinge verlassen ihn.

• Was Ihr Anbieter im Zielgebiet braucht. Eine Reise kann nicht stattfinden, wenn die Durchführenden nicht wissen, wer kommt; daher gehen die Namen der Reisenden, die Abholangaben und alles Sicherheitsrelevante an den Anbieter im Zielgebiet — derzeit Ägypten, für das kein EU-Angemessenheitsbeschluss besteht. Wir übermitteln das Mindeste, das die Reise erfordert, und nur für diese Reise; als dauerhafte Grundlage schließen wir derzeit die EU-Standardvertragsklauseln der Europäischen Kommission mit unseren Anbietern ab.
• Was unsere Auftragsverarbeiter brauchen. Google ist unter dem EU-US Data Privacy Framework zertifiziert, sodass sich Übermittlungen dorthin auf den Angemessenheitsbeschluss der Kommission für die Vereinigten Staaten stützen. Für jeden Auftragsverarbeiter ohne Angemessenheitsbeschluss nutzen wir die Standardvertragsklauseln samt geeigneten technischen und organisatorischen Maßnahmen.

Länder außerhalb des EWR schützen Daten möglicherweise nicht auf dem Niveau des EU-Rechts, und in einigen haben Behörden weitergehende Zugriffsrechte. Sie können jederzeit erfragen, welche Garantien für eine bestimmte Übermittlung gelten.

Wir halten Cookies auf ein Minimum, und es gibt nur zwei Arten.

• Notwendige — dass Sie angemeldet sind, was im Warenkorb liegt, das Token, das das Absenden eines Formulars von anderswo verhindert, und Ihre Sprach- und Währungswahl. Ohne sie gibt es keine Buchung, also gibt es hier keine Wahl anzubieten.
• Analyse — Google Analytics, damit wir sehen, welche Seiten helfen und welche im Weg stehen. Wird nur gesetzt, wenn Sie zustimmen, und nie vorher.

Werbe-Cookies gibt es nicht, und wir messen keine Marketingkampagnen. Ihre Antwort können Sie jederzeit über den Cookie-Einstellungen-Link im Fußbereich ändern; widerrufen Sie die Analyse-Einwilligung, weisen wir das Tag zum Anhalten an und löschen die von ihm gesetzten Cookies.

Die Cookie-Richtlinie führt jedes Cookie namentlich auf, wofür es dient und wie lange es gilt.

• Buchungs-, Zahlungs- und Rechnungsunterlagen — solange das deutsche Steuer- und Handelsrecht es verlangt, also bis zu zehn Jahre ab Ende des Jahres, zu dem ein Beleg gehört. Früher können wir sie nicht löschen, auch nicht auf Ihre Bitte.
• Ihr Konto — solange Ihr Konto besteht. Bitten Sie uns um die Schließung, löschen oder anonymisieren wir alles, was wir nicht aufbewahren müssen.
• Support-Konversationen und deren Anhänge — nach Abschluss eines Falls, damit wir den Zusammenhang noch haben, wenn Sie darauf zurückkommen.
• Gesundheits-, Ernährungs- und Barrierefreiheitshinweise im Profil — von Ihnen jederzeit änderbar oder löschbar; sie verschwinden mit Ihrem Konto.
• Werbeeinwilligung — der Nachweis der Einwilligung und eines etwaigen Widerrufs bleibt auch nach dem Widerruf erhalten, denn der Nachweis rechtzeitiger Abmeldung braucht das Datum der Abmeldung.
• Nutzungsdaten der Website — aufbewahrt, um Entwicklungen über die Zeit zu verfolgen.

Endet eine Aufbewahrungsfrist, löschen wir die Daten oder anonymisieren sie unwiderruflich.

Sie haben das Recht,

• Auskunft über die zu Ihrer Person gespeicherten Daten zu erhalten und eine Kopie zu bekommen;
• Unrichtiges oder Unvollständiges berichtigen zu lassen — viel davon können Sie selbst in Ihrem Profil ändern;
• Ihre Daten löschen zu lassen, außer wo das Gesetz uns zur Aufbewahrung verpflichtet (siehe oben, wie lange wir sie aufbewahren);
• die Verarbeitung einschränken zu lassen oder ihr zu widersprechen, einschließlich alles, was wir auf ein berechtigtes Interesse stützen;
• Ihre Daten in einem maschinenlesbaren Format zu einem anderen Anbieter mitzunehmen;
• eine Einwilligung jederzeit zu widerrufen, ohne dass dies das vor dem Widerruf Geschehene berührt.

Wenn Sie meinen, wir seien mit Ihren Daten schlecht umgegangen, sagen Sie es bitte zuerst uns, damit wir es richtigstellen können. Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren — bei der Ihres Wohnorts oder bei der für uns zuständigen: der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

Der Verkehr zu und von dieser Website ist verschlüsselt. Passwörter werden als Einweg-Hashes gespeichert und sind nie lesbar. Kartendaten erreichen unsere Server nicht — sie gehen von Ihrem Browser zu Stripe. Administrativer Zugriff auf personenbezogene Daten erfordert ein eigenes Konto mit eigenen Berechtigungen, und was dieses Konto sehen darf, ist auf das für die Arbeit Nötige begrenzt.

Kein System ist vollkommen sicher. Sollte eine Verletzung des Datenschutzes Ihre Rechte gefährden, melden wir sie der Aufsichtsbehörde innerhalb von 72 Stunden und informieren Sie unverzüglich direkt.

Wir verkaufen an Erwachsene. Kinder reisen häufig mit uns, ihre Angaben erhalten wir aber stets von der erwachsenen Person, die bucht; Daten unmittelbar von einem Kind erheben wir nicht bewusst. Wenn Sie glauben, ein Kind habe uns Daten gegeben, melden Sie sich — wir entfernen sie.

Wir aktualisieren diese Erklärung, wenn sich unsere Leistungen oder das Recht ändern. Das Datum oben nennt den Stand der letzten Überarbeitung, und wir informieren Sie direkt, wenn eine Änderung die Verwendung Ihrer Daten wesentlich betrifft.

Schreiben Sie an info@notjusttours.com für alles auf dieser Seite oder an info@notjusttours.com für alles andere. Beides landet an derselben Stelle.

Unser Name und die Postanschrift für formelle Korrespondenz stehen im Impressum.

Sie können auch die Kontaktseite nutzen oder unsere Allgemeinen Geschäftsbedingungen und unsere Cookie-Richtlinie lesen.