Datenschutzerklärung

1. Verantwortlicher

Urlaubsknopf — Patrick Aufmuth
Werner-von-Siemens-Str. 2-6. 76646 Bruchsal
E-Mail: info@urlaubsknopf.de

2. Übersicht: welche Daten wir verarbeiten

• Server-Logfiles (technisch erforderlich): IP-Adresse, User-Agent, aufgerufene URL, Zeitstempel — vom Hosting-Provider 7 Tage zur Abwehr von Angriffen gespeichert. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
• First-Party-Analytics (cookie-frei, anonym): aggregierte Tageszähler pro Seite und Affiliate-Klick — keine IPs, keine User-IDs.
• Konto-Daten (nur bei Registrierung): Name, E-Mail-Adresse, Passwort-Hash (bcrypt), optional Reiseprofil (Lieblings-Reiseziele, Budget, Reise-Stil).
• Newsletter-Daten (nur bei Anmeldung): E-Mail-Adresse + Zeitpunkt + IP-Adresse der Bestätigung (DOI-Nachweis nach UWG §7).
• AI-Finder-Eingaben: deine Such-Anfragen + ggf. Reiseprofil werden an Anthropic / OpenAI (siehe §7) zur KI-Verarbeitung gesendet. Anonymisierte Such-Logs + Embeddings speichern wir in unserer DB max. 90 Tage für Produktverbesserung und um wiederkehrende Anfragen schneller zu beantworten; danach werden sie automatisch gelöscht. Embeddings (Vektor-Repräsentationen ohne Klartext) bleiben 180 Tage zur semantischen Such-Optimierung.
• Keine automatisierten Einzelentscheidungen (Art. 22 DSGVO): Die KI-Empfehlungen sind unverbindliche Reise-Vorschläge — keine Entscheidung mit rechtlicher Wirkung dir gegenüber (kein Kreditscoring, keine Vertragsablehnung). Die finale Buchung erfolgt immer durch dich beim jeweiligen Reisepartner.
• Rate-Limit-Hashes (Missbrauchs-Schutz): Pseudonymisierter SHA256-Hash deiner IP + Salt, in-memory für maximal 1 Stunde gehalten — nicht persistent, kein Personenbezug.

3. Cookies & Tracking

Wir setzen keine eigenen Tracking-Cookies. Eingeloggte User bekommen ein Session-Cookie (HttpOnly, SameSite=Lax) als Login-Beweis; das ist rein technisch und nach Art. 6 Abs. 1 lit. b DSGVO gerechtfertigt. Anonyme AI-Finder-User bekommen ein Counter-Cookie für das Such-Limit (HttpOnly, kein Personenbezug).

Beim Klick auf einen Affiliate-Link (Booking, TUI, Expedia, etc.) setzen die Partner ihre eigenen Tracking-Cookies auf deren Domain. Damit wir die Provision für deine Buchung erhalten, fragen wir gemäß § 25 TDDDG vor jedem Affiliate-Klick deine Einwilligung ab (Cookie-Banner). Du kannst diese Einwilligung jederzeit im Footer unter „Cookie-Einstellungen" widerrufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Die Speicherung deiner Consent-Entscheidung selbst erfolgt im localStorage deines Browsers — dies ist gemäß § 25 Abs. 2 TDDDG einwilligungsfrei zulässig (unbedingt erforderlich für die Funktion).

4. First-Party-Analytics

Wir zählen Seitenaufrufe und Affiliate-Klicks selbst und ausschließlich in unserer eigenen Datenbank. Gespeichert wird pro Tag jeweils ein aggregierter Zähler — keine IP-Adressen, keine Geräte-IDs, keine Drittanbieter im Browser-Kontext. Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung in anonymer Form).

5. Konto-Registrierung (E-Mail-Verifizierung)

Beim Anlegen eines Kontos schicken wir dir einen Bestätigungslink an die angegebene E-Mail-Adresse. Erst nach Klick auf den Link wird das Konto aktiv. So stellen wir sicher, dass nur du selbst dich registrieren kannst. Unbestätigte Registrierungen löschen wir nach 7 Tagen automatisch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung).

6. Newsletter (Double-Opt-In)

Wenn du dich für unseren Wochen-Newsletter anmeldest, schicken wir dir zuerst eine Bestätigungsmail (Double-Opt-In, DSGVO-konform). Erst nach Klick auf den Link bekommst du tatsächlich Mails. In jeder Newsletter-Mail steht ein Abmelde-Link — ein Klick reicht. Rechtsgrundlage: Einwilligung, Art. 6 Abs. 1 lit. a DSGVO.

7. Auftragsverarbeiter

• Brevo (Sendinblue SAS, Paris) — Versand von Transaktions- und Newsletter-Mails. AVV abgeschlossen. Server in der EU (Frankreich/Deutschland). DSGVO-Info bei Brevo.
• Anthropic, PBC (San Francisco, USA) — KI-Verarbeitung im AI-Finder ("Urlaubsknopf AI") und in der automatisierten Erstellung von Ratgeber- und Frage-Inhalten. Deine Such-Anfragen + ggf. dein Reiseprofil werden an Claude (Modelle: Haiku 4.5 / Sonnet 4.6 / Opus 4.8) übermittelt, um passende Empfehlungen zu generieren. Datenübertragung in die USA auf Basis von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) gemäß Anthropic Data Processing Addendum. Anthropic speichert API-Inputs maximal 30 Tage für Missbrauchs-Erkennung, nutzt sie nicht zum Modell-Training. Anthropic Privacy Policy · Anthropic DPA.
• OpenAI, L.L.C. ("ChatGPT-Anbieter", San Francisco, USA) — KI-Modelle (GPT-Familie + Embedding-Modelle) für semantische Suche, Query-Expansion bei Long-Tail-Anfragen und ergänzende Texterzeugung. Datenübertragung in die USA auf Basis von Standardvertragsklauseln gemäß OpenAI Data Processing Addendum. OpenAI nutzt API-Daten standardmäßig NICHT zum Modell-Training. OpenAI Privacy Policy · OpenAI DPA.
• AWIN AG (Berlin) und Commission Junction / Sovrn (USA) — Affiliate-Click-Tracking. Cookies werden erst beim Klick auf einen Partnerlink durch die Partner gesetzt, nicht beim Besuch unserer Site. Bei CJ findet eine USA-Übermittlung auf SCC-Basis statt.
• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) — Hosting unserer Webanwendung und Datenbank in deutschen Rechenzentren (Falkenstein/Nürnberg). AVV abgeschlossen, ausschließlich EU-Verarbeitung (keine Drittland-Übertragung). Hetzner AVV/DPA.

Rechtsgrundlage Anthropic/OpenAI: berechtigtes Interesse an einer funktionierenden KI-Suche, Art. 6 Abs. 1 lit. f DSGVO. Bei eingeloggten Usern mit Reiseprofil kommt zusätzlich Vertragserfüllung (Art. 6 Abs. 1 lit. b) hinzu.

8. Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eingeloggte User können ihren kompletten Datenbestand jederzeit unter [Account → Datenexport](/account/export) als JSON herunterladen und ihr Konto inklusive aller verknüpften Daten selbst löschen.

Beschwerderecht bei der Aufsichtsbehörde (Art. 77 DSGVO): zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, baden-wuerttemberg.datenschutz.de.

_Stand: 2026-06-28_

<!-- ai-act-2026-clause -->

Einsatz von Künstlicher Intelligenz (KI)

Verantwortlicher: Urlaubsknopf.de nutzt zur Beantwortung deiner Anfragen im AI-Finder, für Reise-Empfehlungs-Cards und bei der Erstellung von Ratgeber-Artikeln Künstliche Intelligenz. Als KI-Anbieter setzen wir das Sprachmodell Claude von Anthropic PBC (100 Pine Street, Suite 1250, San Francisco, CA 94111, USA) ein.

Verarbeitete Daten: Deine Eingaben (Chat-Prompt, Freitext-Suchen) werden an Anthropic's API-Endpunkte gesendet und dort verarbeitet, um eine passende Antwort zu generieren. Personenbezogene Daten werden dabei nicht dauerhaft gespeichert: Anthropic verarbeitet Prompts entsprechend seiner Enterprise-Datenschutz-Bestimmungen (siehe anthropic.com/legal/privacy) und nutzt sie nach eigener Aussage nicht zum Training seiner Modelle (Zero-Retention-Policy für API-Nutzung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung des angefragten KI-Dienstes) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer performanten Reiseberatung).

Datenübermittlung in Drittländer: Da Anthropic seinen Sitz in den USA hat, findet eine Datenübermittlung in ein Drittland statt. Anthropic ist unter dem EU-U.S. Data Privacy Framework zertifiziert — der Angemessenheitsbeschluss der EU-Kommission gewährleistet ein europäisches Datenschutzniveau.

Speicherdauer: Chat-Verläufe im eingeloggten Bereich werden 90 Tage aufbewahrt und können jederzeit über dein Konto gelöscht werden. Anonyme Suchanfragen werden nach 30 Tagen aggregiert und personenunabhängig verarbeitet.

Deine Rechte: Du kannst der KI-Verarbeitung jederzeit widersprechen — dann steht dir die Nutzung des klassischen Preisvergleichs (ohne Chat/KI-Empfehlungen) weiterhin offen. Ausübung unter patrick300494@gmail.com.

Kennzeichnung KI-generierter Inhalte: Gemäß Art. 50 EU AI Act sind alle KI-generierten Inhalte auf urlaubsknopf.de als solche gekennzeichnet — im AI-Finder-Chat durch das "Urlaubsknopf KI"-Label, bei Ratgeber-Artikeln durch einen "Mit KI erstellt"-Hinweis, bei WhatsApp-Bot-Antworten durch einen Disclosure-Satz beim ersten Kontakt.