Datenschutz
ADD Agentur für Digitale Dienste UG (haftungsbeschränkt) · Stand: 28. Oktober 2026 · Bezug: Veranstalter-AGB V2.1 vom 28.10.2026
Informationen nach Art. 12–14 DSGVO zur Nutzung des Partnerportals, zur Vermittlung unverbindlicher Reiseanfragen sowie zur Abrechnung der Portalprovision.
1. Verantwortlicher und Datenschutzkontakt
Verantwortlich für die nachstehend beschriebenen Verarbeitungen ist:
ADD Agentur für Digitale Dienste UG (haftungsbeschränkt) Greifswalder Str. 87 10409 Berlin, Deutschland Telefon: 030 99 40 40 177 E-Mail: [email protected] Webseite: www.busreise.deDatenschutzbeauftragte: Frau Rossitsa Stoyanova Mihova. Sie ist über die genannte Postanschrift mit dem Zusatz „Vertraulich – zu Händen der Datenschutzbeauftragten“ sowie über [email protected] mit demselben Betreff erreichbar. Nachrichten an die Datenschutzbeauftragte sind organisatorisch vertraulich an sie weiterzuleiten.
Für die Datenverarbeitung bei der Durchführung einer vermittelten Reise ist der jeweils im Reiseangebot bezeichnete Reiseveranstalter eigenständig verantwortlich. Diese Erklärung beschreibt nicht dessen gesamte Kundenverarbeitung.
2. Geltungsbereich und betroffene Personen
Diese Erklärung richtet sich an Reiseveranstalter, Reiseanbieter und sonstige Geschäftspartner, die über busreise.de Angebote veröffentlichen oder Buchungsanfragen bearbeiten, sowie deren Inhaber, Vertreter, Beschäftigte, Administratoren und Ansprechpartner. Sie informiert zugleich über den auf das Vermittlungsverfahren begrenzten Umgang mit erforderlichen Daten von anfragenden Reisenden und weiteren betroffenen Personen, soweit die Verarbeitung im Partner- oder Abrechnungssystem stattfindet.
Die gesonderten Hinweise für Reisekunden sind unter https://busreise.de/index.php?page=legal&type=privacy abrufbar. Bei Widersprüchen ist die tatsächliche Verarbeitung anhand beider Hinweise und der geltenden Verträge richtigzustellen.
3. Rollen von Portal und Veranstalter
Das Portal vermittelt im derzeit eingesetzten Standard ausschließlich unverbindliche Buchungsanfragen. Reiseverträge kommen nicht durch das Absenden einer solchen Anfrage auf dem Portal zustande, sondern werden gegebenenfalls später mit dem konkret benannten Veranstalter geschlossen. Das Portal veranstaltet durch diesen Vermittlungsvorgang keine eigene Reise und zieht keine Reisepreiszahlungen für den Veranstalter ein. Gesetzliche Pflichten des Portals, die sich aus seiner tatsächlichen Tätigkeit ergeben, bleiben hiervon unberührt.
Portal und Veranstalter entscheiden für ihre eigenen Vermittlungs-, Reisevertrags-, Abrechnungs-, Kommunikations- und Sicherungszwecke grundsätzlich jeweils selbst über Zwecke und Mittel und sind insoweit eigenständige Verantwortliche. Der Veranstalter verantwortet insbesondere seine Reisevertragsdurchführung, Teilnehmerverwaltung, Reisedienstleister, Zahlungseingänge, Stornierungen, Reisebetreuung, Kundenservice sowie eigene Kundenwerbung.
Die rechtliche Einstufung richtet sich nach tatsächlichen Abläufen und nicht nach einer Vertragsüberschrift. Soweit in einem gesonderten Prozess tatsächlich Auftragsverarbeitung (Art. 28 DSGVO) oder gemeinsame Verantwortlichkeit (Art. 26 DSGVO) vorliegt, ist hierfür vor Beginn eine entsprechende gesonderte Vereinbarung zu schließen und die erforderliche Information bereitzustellen.
4. Datenkategorien
Abhängig vom jeweiligen Vorgang verarbeiten wir:
• Partnerstammdaten: Firma, Unternehmensform, Sitz, Anschrift, Registernummer, gewerbliche Nachweise, Steuer- und Umsatzsteuerdaten sowie Daten natürlicher Unternehmer, Inhaber und vertretungsberechtigter Personen.
• Kontakt- und Nutzerdaten: Name, Funktion, geschäftliche E-Mail-Adresse, Telefonnummer, Benutzerkennung, Rollen, Rechte, Anmeldedaten in sicherer Form sowie erforderliche Login- und Änderungsprotokolle.
• Angebots- und Freigabedaten: Reiseinformationen, Angebots-IDs, Ansprechpartner, Urheberkennzeichnungen, Bearbeitungs- und Freigabevermerke.
• Vermittlungsdaten: Anfragenummer, angefragte Reise, Terminauswahl, gewünschter Zustieg, für die Rückmeldung notwendige Kontaktdaten und gegebenenfalls weitere vom Anfragenden bereitgestellte Angaben.
• Provisions- und Zahlungsdaten: Veranstalter-Buchungsnummer, Abschluss- und Reisedaten, Status, tatsächlich entrichtete Reisepreise, Storno- und Erstattungsinformationen, Rechnung, Geschäftskonto und SEPA-Mandatsdaten.
• Kommunikationsdaten: Nachrichten, Supportfälle, Beschwerdeunterlagen, Meldungen zu rechtswidrigen Inhalten und notwendige rechtliche Nachweise.
• Technische Daten: IP-Adresse, Zeitstempel, Geräte- und Browserinformationen, aufgerufene Seiten, Sicherheitsereignisse, Session-Kennungen und – bei wirksamer gesonderter Zustimmung – Analysedaten.
Die Verarbeitung vollständiger Teilnehmerlisten, Identitätsdokumente oder Gesundheitsangaben ist kein genereller Standard für eine bloße Vermittlungsanfrage oder Provisionsabrechnung. Daten werden nur erhoben, wenn der konkrete rechtmäßige Zweck sie erfordert.
5. Herkunft der Daten und Informationen gemäß Art. 14 DSGVO
Angaben stammen von den betroffenen Personen selbst, dem jeweiligen Veranstalter oder dessen befugten Mitarbeitern, aus vom Veranstalter freigegebenen Importen und Schnittstellen, aus Anfragen von Reisenden oder aus der Kommunikation zur Reise- und Abrechnungsabwicklung. Zur Prüfung der Unternehmensidentität und erforderlicher Absicherungen können öffentlich zugängliche Register, Unternehmenswebseiten und geeignete Nachweise ausgewertet werden.
Erhalten wir Daten eines Beschäftigten oder Ansprechpartners nicht unmittelbar von ihm, informieren wir die Person im erforderlichen Umfang nach Art. 14 DSGVO grundsätzlich spätestens innerhalb eines Monats oder gegebenenfalls bei der ersten Kontaktaufnahme beziehungsweise Offenlegung, soweit keine gesetzliche Ausnahme eingreift. Eine öffentlich verfügbare E-Mail-Adresse ist keine generelle Werbeeinwilligung.
6. Rechtsgrundlagen und berechtigte Interessen
Verarbeitung: Vorvertragliche Schritte und Vertrag mit natürlichen Personen, insbesondere Einzelunternehmern Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
Verarbeitung: Geschäftskontakte und Nutzer juristischer Partnerunternehmen; Vermittlungs- und Abrechnungsnachweise; Missbrauchsabwehr; Beweisführung Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO nach Interessenabwägung
Verarbeitung: Handels-, Steuer-, berechtigte behördliche Informations-, Aufbewahrungs- und gegebenenfalls Plattformprüfpflichten Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der einschlägigen Rechtsnorm
Verarbeitung: Freiwillige Newsletter, freiwillige Analyse und nicht erforderliche Endgerätezugriffe Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, gegebenenfalls zusätzlich § 25 Abs. 1 TDDDG
Verarbeitung: Ausnahmsweise notwendige besondere Datenkategorien Rechtsgrundlage: Zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO; eine allgemeine Reiseanfrage genügt nicht
Unsere berechtigten Interessen umfassen die sichere und nachvollziehbare Vermittlung, Kommunikation mit zuständigen Geschäftspartnern, Angebots- und Zugangsprüfung, richtige Provisionsberechnung, Vertrags- und Rechtsverteidigung sowie die Abwehr von Betrug. Bei Daten von Reiseinteressenten sind gegebenenfalls die Voraussetzungen des Art. 6 Abs. 1 lit. b DSGVO für deren eigene Anfrage zusätzlich zu prüfen; hierüber informiert auch die Datenschutzerklärung für Reisekunden.
7. Partneranmeldung und Prüfung
Wir prüfen Identität, Vertretungsbefugnis, erforderliche Register-, Genehmigungs- und Insolvenzabsicherungsnachweise sowie die für Angebote, Kommunikation und Abrechnung notwendigen Angaben. Soweit rechtlich erforderlich, werden Unterlagen zur Überprüfung gewerblicher Anbieter und ihrer gesetzlichen Pflichten eingeholt. Die Aufnahme eines Veranstalters aus einem Staat außerhalb der EU oder des EWR kann zusätzliche Prüfung der rechtlichen Reiseabsicherung auslösen.
Eine erfolgreiche Freischaltung wird nicht als Garantie für die wirtschaftliche Leistungsfähigkeit des Veranstalters ausgegeben. Vollständige Kundenkarteien oder sachfremde Personaldokumente werden hierfür nicht verlangt. Notwendige Prüfungen werden dokumentiert und bei Änderungen oder Ablauf der Unterlagen erneut vorgenommen.
8. Partnerkonto, technische Benutzer und Sicherheitsprotokolle
Das Partner-Backend verwendet individuelle Benutzerkonten, geschützte Passwörter, rollenabhängige Berechtigungen und eine zusätzliche Zwei-Faktor-Authentifizierung. Zugriffe, sicherheitsrelevante Anmeldungen, Angebotsimporte, Freigaben und Änderungen können mit Nutzerkennung, Vorgang und Zeitstempel protokolliert werden, um die Bearbeitung nachvollziehbar zu machen, Fehlfunktionen aufzuklären und unberechtigte Zugriffe zu erkennen.
Die Protokollierung beschränkt sich auf erforderliche Vorgänge. Technische Sicherheitsprotokolle werden gelöscht oder anonymisiert, sobald sie für ihren Zweck nicht mehr benötigt werden; aufbewahrungspflichtige Geschäfts- und Freigabenachweise werden hiervon getrennt behandelt. Die konkreten Fristen ergeben sich aus der tatsächlichen Systemkonfiguration und dem betrieblichen Löschkonzept.
9. Angebote, Datenimport und Veröffentlichung
Der Veranstalter stellt Reiseinformationen manuell, per Datei, über Schnittstellen oder Katalogunterlagen zur Verfügung. Wir verarbeiten die dabei erforderlichen geschäftlichen Kontaktdaten, Freigaben, Bildnachweise und Änderungsmerkmale zur Angebotsdarstellung, Datenqualität und Nachweisführung. Rechtlich erforderliche Veranstalterangaben und die für die Kundenansprache freigegebenen Kontaktstellen können öffentlich angezeigt werden.
Private Ansprechpartner, Rechnungs- und Kontodaten, interne Belege oder Teilnehmerlisten werden durch einen Import nicht automatisch zur Veröffentlichung bestimmt. Automatische Formatierung, Strukturierung oder Übersetzungen von Angebotsinhalten ändern nicht die Pflicht zur Freigabe wesentlicher Leistungszusagen; die Verantwortung für vom Portal eigenständig erzeugte falsche Aussagen bleibt unberührt.
10. Automatisierte Aufbereitung und KI
Angebotsdaten können nach dem vereinbarten Verfahren automatisiert geordnet, klassifiziert oder technisch aufbereitet werden. Der Anbieter Brevo wird nach den derzeit vorliegenden Informationen für E-Mail- und Newsletterfunktionen eingesetzt; daraus folgt nicht, dass Brevo als KI-Dienst für Reiseangebote, Kundendialoge oder Modelltraining verwendet wird.
Eine Weitergabe personenbezogener Buchungs-, Kontakt- oder Kommunikationsdaten an externe KI-Anbieter zum Training allgemeiner KI-Modelle ist nicht Gegenstand des vorgesehenen Vermittlungsmodells. Falls später externe KI-Funktionen für personenbezogene Daten eingeführt werden, werden Anbieter, Zwecke, Rechtsgrundlagen, Empfänger, Schutzmaßnahmen und gegebenenfalls notwendige Einwilligungen vorab gesondert geprüft und erläutert.
11. Unverbindliche Reiseanfragen und Weiterleitung an Veranstalter
Im derzeitigen Verfahren sendet ein Reiseinteressent eine unverbindliche Buchungsanfrage, die unter einer Vorgangskennung an den zuständigen Veranstalter übermittelt wird. Wir verarbeiten hierfür nur die zur Beantwortung benötigten Kontaktdaten und Reiseauswahl, gegebenenfalls Reisezeit, Personenzahl und Zustiegswunsch. Soweit eine Vorprüfung ohne Identitätsangaben möglich ist, kann diese anhand der Vorgangskennung erfolgen.
Der Veranstalter erhält nur die ihn betreffenden Anfragen und bearbeitet seine anschließende Kundenbeziehung eigenverantwortlich. Eine verbindliche Annahme, Zahlungsaufforderung oder Reisevertragsbestätigung erfolgt nicht allein durch die Bestätigung des Anfrageeingangs beim Portal. Spätere verbindliche Buchungsfunktionen bedürfen einer gesonderten Anpassung der Daten- und Kundeninformationen.
12. Kundenerklärungen, Stornierungen und Betreuung
Erhalten wir zu einer über das Portal vermittelten Reise Rücktritts-, Änderungs-, Beschwerde- oder Mängelmitteilungen, dokumentieren wir ihren Eingang und leiten die für die Bearbeitung erforderlichen Angaben an den zuständigen Veranstalter weiter. Die in den Partner-AGB geregelte Empfangsvollmacht und gesetzliche Zugangswirkungen bleiben unberührt.
Der Veranstalter ist für Reisebetreuung, Zahlungseinzug beim Reisenden, Stornobedingungen, Erstattungen, Beistand, Rechtsbehelfe und erforderliche Kommunikation seiner Reise verantwortlich. Soweit es um einen eigenen Übermittlungs- oder Buchungsfehler des Portals geht, bleibt unsere eigene Verantwortung bestehen.
13. Provisionsabrechnung, Stornonachweise und Zuordnung
Zur monatlichen Provisionsabrechnung verarbeiten wir die dem Portal zuzuordnenden Buchungsnummern, Abschlussdaten, Reisebeginn und tatsächlichen Antritt, endgültig beim Veranstalter eingegangene Reisepreisentgelte, vereinbarte Provisionshöhe, rechtmäßig vereinnahmte Stornoentschädigungen, Erstattungen, Korrekturen und notwendige Nachweise. Die Abrechnung der Reisen erfolgt nach den Partner-AGB grundsätzlich zum ersten Tag des Folgemonats nach der tatsächlichen Abreise; Stornoentschädigungen haben ihren gesondert geregelten Abrechnungszeitpunkt. Kunden-Reisepreiszahlungen erfolgen ausschließlich an den Veranstalter oder dessen berechtigten Zahlungsdienstleister.
Konkrete Portalvermittlungen können auch einem späteren unmittelbaren Abschluss beim Veranstalter zugeordnet werden, wenn die vertraglichen Voraussetzungen erfüllt sind. Der vereinbarte Zuordnungszeitraum beträgt grundsätzlich sechs Monate ab der letzten inhaltlichen Vermittlungshandlung. Daraus folgt keine allgemeine Überwachung unabhängiger späterer Reisen.
Storno- und Zahlungsbelege sind nach Möglichkeit durch Kennungen, Teilbelege und Schwärzung auf den Provisionszweck zu begrenzen. Gesundheitsdaten, unbeteiligte Kunden und vollständige fremde Buchungsbestände werden nicht allein für eine Provisionsprüfung verlangt. Gesetzliche Auskunfts- und Nachweisrechte bleiben bestehen.
14. SEPA-Provisionseinzug über Stripe
Für den Einzug unserer Provisionsforderungen gegenüber dem Veranstalter, nicht für die Vereinnahmung von Reisepreiszahlungen der Reisenden, setzen wir Stripe ein. Vertrags- und Zahlungsdaten können insbesondere Name des Kontoinhabers, Unternehmens- und Kontaktdaten, IBAN, Mandatskennung, erforderliche Identitätsangaben, Zahlungshöhe, Fälligkeit, Mandats- und Transaktionsstatus sowie Rücklastschrift- und Betrugspräventionsdaten umfassen.
Für in Deutschland geführte Stripe-Konten nennt Stripe als regelmäßige europäische Vertragspartei Stripe Payments Europe, Limited (Irland), gegebenenfalls zusammen mit Stripe Technology Europe, Limited je nach vereinbartem Produkt. Stripe verarbeitet Daten abhängig vom einzelnen Dienst teilweise in eigener Verantwortung, teilweise als Auftragsverarbeiter. Die geltenden Datenschutzbedingungen finden sich unter stripe.com/de/privacy und stripe.com/de/legal/dpa.
Der Einzug erfolgt auf Grundlage eines gesondert erteilten SEPA-Mandats. Für erforderliche personenbezogene Daten stützen wir uns auf Art. 6 Abs. 1 lit. b (bei natürlichem Vertragspartner), lit. f (ordnungsgemäßer Forderungseinzug, Ansprechpartner und Missbrauchsabwehr) und lit. c (gesetzliche Aufbewahrungs- und Zahlungsnachweispflichten) DSGVO. Die Erteilung eines SEPA-Mandats ist keine pauschale Werbe- oder Datenschutz-Einwilligung.
15. E-Mail, Support und geschäftliche Kommunikation
Für geschäftliche Korrespondenz verwenden wir E-Mail-Dienste von IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland, sowie die im Einzelfall erforderlichen internen Bearbeitungssysteme. Bei Kommunikation verarbeiten wir Absender, Empfänger, Zeitpunkte, Inhalte, Anhänge und notwendige technische Zustellangaben zur Bearbeitung von Anfragen, Support, Vertragsabwicklung, Rechnungsmitteilungen und Rechtsverfolgung.
Gespräche mit Veranstaltern werden nach den mitgeteilten Betriebsangaben nicht aufgezeichnet oder automatisch transkribiert. Ein externes KI-gestütztes Ticket- oder Telefoniesystem für diese Kommunikation ist nicht angegeben. Eine spätere Änderung wird vor einer entsprechenden Verarbeitung geprüft und erforderlichenfalls transparent erläutert.
16. Partnernewsletter und Brevo
Für den Versand von freiwilligen geschäftlichen Newslettern setzen wir Brevo ein (Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland). Hierzu verarbeiten wir insbesondere die E-Mail-Adresse, gegebenenfalls Namen, Firmenzugehörigkeit, Anmelde- und Bestätigungszeitpunkt, Einwilligungstext und Abmeldestatus. Die E-Mail-Werbung erfolgt grundsätzlich nur aufgrund wirksamer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; § 7 UWG), vorbehaltlich einer im Einzelfall vollständig erfüllten gesetzlichen Bestandskundenausnahme.
Einwilligungen können jederzeit für die Zukunft durch den Abmeldelink der Nachricht oder über [email protected] widerrufen werden. Die für die Vertragsabwicklung notwendigen nichtwerblichen Nachrichten werden unabhängig von einer Newsletter-Abmeldung versandt.
Brevo bietet personenbezogene Öffnungs- und Klickmessung an. Soweit eine solche personenbezogene Auswertung für Marketingzwecke genutzt wird, ist sie gesondert rechtlich zu prüfen und gegebenenfalls von einer entsprechenden Einwilligung abhängig zu machen. Die technisch verfügbare Option anonymisierter Öffnungs- und Klickstatistiken soll verwendet werden, wenn keine Einwilligung zur personenbezogenen Auswertung vorliegt. Weitere Informationen: Brevo-Datenschutzhinweise (https://www.brevo.com/de/legal/privacypolicy/).
17. Hosting, Serverdaten und IONOS
Unsere Website und das Partner-Backend werden nach den mitgeteilten Betriebsangaben bei Contabo GmbH, Welfenstraße 22, 81541 München, auf Servern am Standort Frankfurt am Main, Deutschland betrieben. Für die E-Mail-Kommunikation setzen wir außerdem IONOS ein (siehe Abschnitt 15).
Bei Website- und Backendzugriffen fallen zur Bereitstellung und Absicherung typischerweise IP-Adresse, Datum, Uhrzeit, aufgerufene Ressource, Referrer, Browser, Betriebssystem sowie Fehler- und Sicherheitsinformationen an. Sie werden zur Stabilität, Fehlerbehebung und Abwehr von Angriffen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet.
Serverprotokolle werden nur für die betriebsnotwendige Sicherheits- und Fehleranalyse aufbewahrt und anschließend gelöscht oder anonymisiert; bei konkreten Vorfällen können beweisrelevante Ausschnitte bis zur Aufklärung separat gesichert werden. Eine gesetzliche pauschale Aufbewahrungsfrist für sämtliche Server-Logs besteht nicht. Die konkret konfigurierte Löschfrist ist vor Veröffentlichung anhand des Hosting- und Betriebskonzepts zu verifizieren.
18. Technisch notwendige Cookies und Einwilligungen
Für Login, Sitzungserhaltung, Schutz vor missbräuchlichen Zugriffen und die sichere Nutzung des ausdrücklich angeforderten Partnerportals können technisch unbedingt erforderliche Cookies oder vergleichbare lokale Speicher eingesetzt werden. Diese können gemäß § 25 Abs. 2 TDDDG ohne gesonderte Endgeräte-Einwilligung zulässig sein; die Verarbeitung personenbezogener Daten richtet sich ergänzend nach Art. 6 DSGVO.
Google Analytics gehört nicht zu den technisch notwendigen Cookies. Soweit der Analysedienst im Partner- oder Endkundenbereich eingesetzt wird, ist eine eigenständige, informierte und freiwillige Einwilligung erforderlich, bevor Analyse-Tags geladen und entsprechende Daten übermittelt werden. Die Cookie-Auswahl muss ebenso leicht widerrufbar sein wie sie erteilt wurde.
Allgemeine Datenschutzinformationen sind unter Datenschutz auf busreise.de (https://busreise.de/index.php?page=legal&type=privacy) abrufbar. Diese Datenschutzseite ist nicht automatisch eine technisch funktionsfähige Oberfläche zur Änderung der Cookie-Einwilligung; soweit Analyse angeboten wird, muss ein tatsächliches Einwilligungs- und Widerrufsmodul bereitgestellt sein.
19. Google Analytics und Reichweitenmessung
Für statistische Auswertungen der Nutzung wird nach den Angaben des Portalbetreibers Google Analytics verwendet, angeboten von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, mit Einbindung weiterer Google-Unternehmen, insbesondere Google LLC, USA, nach den geltenden Bedingungen.
Bei aktivierter und eingewilligter Analyse können insbesondere aufgerufene Seiten, Interaktionen, technisch gekürzte oder sonstige Onlinekennungen, Gerätedaten, Browserinformationen und ungefähre Standortangaben verarbeitet werden. Ein Einsatz ausschließlich für aggregierte Nutzungsanalysen ist von individueller Werbung und personalisierten Anzeigen zu unterscheiden. Rechtsgrundlage für die einwilligungsabhängige Analyse ist Art. 6 Abs. 1 lit. a DSGVO, für entsprechende Endgerätezugriffe § 25 Abs. 1 TDDDG.
Für die rechtlich besonders klare Umsetzung soll Basic Consent Mode eingesetzt werden: Vor wirksamer Einwilligung wird kein Google-Analytics-Tag geladen und kein Analytics-Datenverkehr an Google ausgelöst. Google weist darauf hin, dass der erweiterte Consent Mode auch ohne Cookies noch Signale übermitteln kann. Die tatsächliche Einstellung ist vor Veröffentlichung zu kontrollieren. Weitere Informationen: Google-Datenschutzhinweise (https://policies.google.com/privacy?hl=de).
20. Weitere Empfänger und Datenzugang
Innerhalb unseres Unternehmens erhalten nur zur jeweiligen Aufgabe berechtigte Personen Zugriff. Als Empfänger kommen im erforderlichen Umfang der zuständige Veranstalter, dessen autorisierte Ansprechpartner, Hosting- und Kommunikationsdienstleister (Contabo, IONOS), der Newsletter-Dienstleister (Brevo), unser Provisions-Zahlungsdienstleister (Stripe), der Analysedienst (Google Analytics bei wirksamer Einwilligung), technische Dienstleister sowie gegebenenfalls Banken, Steuerberater, Rechtsanwälte, Wirtschaftsprüfer, Gerichte und rechtlich zuständige Behörden in Betracht.
Andere Veranstalter, gesellschaftsrechtlich verbundene Anbieter oder zusätzliche Vertriebspartner erhalten keine personenbezogenen Buchungsdaten fremder Veranstalter. Nach den mitgeteilten Betriebsangaben werden die Buchungsanfragen nur an den konkret betroffenen Veranstalter weitergegeben. Ein eigenständiger Datenverkauf findet im beschriebenen Modell nicht statt.
21. Drittlandtransfers und Garantien
Der Hauptserverstandort in Frankfurt bedeutet nicht, dass sämtliche eingesetzten Dienste ausschließlich innerhalb des EWR verarbeiten. Stripe beschreibt in seinen Datenschutzbedingungen ausdrücklich Datenübermittlungen an Stripe, LLC in den USA und an weitere internationale Unternehmen. Bei Google Analytics können Google-Unternehmen in den USA Empfänger sein. Brevo bezeichnet für seine primäre Datenhaltung EU-Standorte; internationale Fernzugriffe oder Unterauftragsverarbeiter müssen abhängig von der konkreten Konfiguration und den aktuellen Verträgen gesondert geprüft werden.
Für tatsächlich erforderliche Übermittlungen außerhalb des EWR gelten Art. 44 ff. DSGVO. Als Garantien kommen – je nach Empfänger – ein geltender Angemessenheitsbeschluss gemäß Art. 45 DSGVO, insbesondere das EU-US Data Privacy Framework bei nachgewiesener aktueller Zertifizierung des betreffenden Empfängers, oder EU-Standardvertragsklauseln mit erforderlichen ergänzenden Schutzmaßnahmen gemäß Art. 46 DSGVO in Betracht. Das Portal überprüft die für die konkrete Konfiguration gültige Transfergrundlage; Informationen und gegebenenfalls Kopien der Garantien können über den Datenschutzkontakt angefordert werden.
22. Daten bei Beschwerden, Bewertungen und Rechtsverteidigung
Wir verarbeiten im erforderlichen Umfang Angaben zu Meldungen, Beschwerden, Bewertungen, Angebotskorrekturen und Vertragsstreitigkeiten, um Vorwürfe zu prüfen, Dritte anzuhören, rechtliche Pflichten zu erfüllen und Ansprüche zu klären oder abzuwehren. Betroffene Veranstalter erhalten ausschließlich die hierfür erforderlichen Informationen; schutzbedürftige Daten unbeteiligter Personen werden geschwärzt oder nicht weitergegeben.
Bei Rechtsverstößen kann eine gesetzlich erforderliche Information an zuständige Behörden oder Gerichte erfolgen. Der Veranstalter bleibt für seine freigegebenen Angebotsinhalte und die eigene Kundenabwicklung verantwortlich; das Portal bleibt für seine eigenen Verarbeitungen und Entscheidungen verantwortlich.
23. Besondere Kategorien personenbezogener Daten
Diagnosen, Atteste, Angaben über Behinderungen, Allergien oder individuelle Unterstützungsbedürfnisse sollen für die konkrete Reiseplanung direkt und über einen sicheren Weg an den verantwortlichen Veranstalter gehen. Das Portal verwendet solche Informationen nicht für allgemeine Partnerstammdaten, Werbezwecke oder routinemäßige Provisionsprüfungen.
Ist eine ausnahmsweise Verarbeitung solcher Daten durch das Portal erforderlich, sind neben Art. 6 DSGVO eine passende Ausnahme nach Art. 9 Abs. 2 DSGVO, Datensparsamkeit, Zugriffsbeschränkungen und die erforderliche Transparenz sicherzustellen. Ein Kunde erteilt durch eine Anfrage nicht automatisch wirksame Einwilligungen für sämtliche Mitreisenden.
24. Speicherfristen und Vertragsende
Daten werden gelöscht oder – soweit geeignet – anonymisiert, wenn ihr Zweck entfällt und keine gesetzliche Aufbewahrung, konkrete Anspruchssicherung oder sonstige Rechtsgrundlage mehr besteht. Dabei gelten getrennte Löschregeln:
• Partnerkonto und Stammdaten: während der Geschäftsbeziehung und danach nur, soweit für offene Reisevorgänge, Abrechnung, Ansprüche oder Pflichten nötig.
• Angebote und Freigaben: während der Veröffentlichung und danach im Umfang nötiger Nachweise für vermittelte oder noch abzuwickelnde Reisen.
• Rechnungen und steuerliche Buchungsbelege: soweit anwendbar acht Jahre für Buchungsbelege, sechs Jahre für Handels- und Geschäftsbriefe sowie zehn Jahre für Bücher und Jahresabschlüsse; maßgeblich sind insbesondere § 257 HGB und § 147 AO, jeweils mit gesetzlichem Fristbeginn und möglichen Verlängerungen.
• Stornonachweise und Rechtsstreitigkeiten: solange für offene Abrechnungen oder die Geltendmachung, Ausübung oder Verteidigung von Ansprüchen erforderlich; die regelmäßige Verjährung beträgt häufig drei Jahre ab dem gesetzlichen Fristbeginn, kann aber abweichen.
• Newsletter: bis zur Abmeldung/Widerruf; erforderliche minimale Nachweise von Einwilligung oder Werbewiderspruch bleiben begrenzt zur Rechenschaft beziehungsweise zur Verhinderung weiterer Werbung erhalten.
• Server-, Benutzer- und Bearbeitungsprotokolle: nach den erforderlichen und dokumentierten Sicherheits- und Beweiszwecken; keine pauschale gesetzliche Standardfrist für sämtliche Protokolle.
• Backups: im dokumentierten technischen Rotationszyklus; bei Wiederherstellung werden zwischenzeitliche Löschungen erneut umgesetzt, soweit technisch und rechtlich erforderlich.
Nach Beendigung des Partnervertrags werden die dem Veranstalter nach AGB zustehenden relevanten Angebots-, Buchungs- und Abrechnungsdaten mindestens 30 Tage zum Export bereitgestellt. Für laufende Reisen bleibt der erforderliche Datenzugang erhalten. Der Exportzeitraum ist keine allgemeine Löschfrist und kein dauerhafter Archivservice. Bei einer sicherheitsbedingten Kontosperre erfolgt die notwendige Bereitstellung über einen anderen sicheren Weg.
25. Datensicherheit und Datenschutzvorfälle
Wir setzen angemessene organisatorische und technische Schutzmaßnahmen nach Art. 32 DSGVO ein. Zu den bestätigten Grundmaßnahmen gehören verschlüsselte Datenübertragung, sichere Passwortverarbeitung, individuelle Nutzerzugänge, rollenbasierte Berechtigungen und eine Zwei-Faktor-Authentifizierung. Weitere Schutzmaßnahmen betreffen Zugriffsbeschränkung, Aktualisierung, Protokollierung, Sicherung und möglichst datensparsame Übermittlung.
Betreffen Datenschutzvorfälle auch Vorgänge des Veranstalters, unterstützen wir die erforderliche Aufklärung und informieren uns gegenseitig ohne schuldhaftes Zögern. Für die erste gegenseitige Meldung gilt im Partnervertrag als organisatorisches Ziel 24 Stunden nach hinreichender Kenntnis; gesetzliche Meldepflichten, insbesondere Art. 33 und 34 DSGVO, bleiben für die jeweils verantwortliche Stelle eigenständig bestehen.
26. Datenbereitstellung und Folgen fehlender Angaben
Es besteht keine generelle gesetzliche Pflicht, sämtliche hier beschriebenen Daten bereitzustellen. Ohne notwendige Unternehmens-, Vertretungs-, Kontakt-, Sicherheits- oder Abrechnungsangaben können eine Partnerfreischaltung, die Bearbeitung einer konkreten Anfrage oder ein gesetzlich erforderlicher Nachweis nicht vollständig erfolgen.
Werbeeinwilligungen und nicht notwendige Analysetechnologien sind keine Voraussetzung für die Partnerschaft. Beschäftigte eines Veranstalters werden durch die Backendnutzung nicht automatisch persönliche Vertragspartner des Portals.
27. Rechte betroffener Personen
Betroffene natürliche Personen haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft und Datenkopie (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Ferner besteht das Recht auf Beschwerde bei einer Datenschutzaufsichtsbehörde nach Art. 77 DSGVO.
Zur Ausübung genügt eine Nachricht an [email protected]. Wir beantworten Anfragen grundsätzlich innerhalb eines Monats; eine gesetzlich zulässige Verlängerung wird rechtzeitig begründet. Das Portal darf eigene Auskunftspflichten nicht mit einem pauschalen Verweis auf den Veranstalter ablehnen; für Daten, für die der Veranstalter zuständig ist, wird die Anfrage sachgerecht abgegrenzt und gegebenenfalls weitergeleitet.
28. Besonderes Widerspruchsrecht
Wird die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt, können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen. Wir verarbeiten die betroffenen Daten dann nicht weiter, sofern keine zwingenden schutzwürdigen Gründe überwiegen oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.
Der Verarbeitung personenbezogener Daten zu Zwecken der Direktwerbung können Sie jederzeit und ohne Angabe von Gründen widersprechen. Nach einem solchen Widerspruch werden die Daten nicht mehr für diese Werbezwecke verarbeitet.
29. Datenschutzaufsichtsbehörde
Die für den Berliner Firmensitz zuständige Datenschutzaufsichtsbehörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, Telefon: 030 13889-0, E-Mail: [email protected], Internet: www.datenschutz-berlin.de.
Sie können sich auch an die Datenschutzaufsicht Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden. Eine vorherige Beschwerde beim Portal ist nicht erforderlich.
30. Automatisierte Entscheidungen und Profilbildung
Technische Plausibilitäts-, Sicherheits- und Angebotsprüfungen können automatisiert unterstützt werden. Die Partner-AGB sehen für streitige Beschwerden eine sachkundige menschliche Prüfung vor. Die abschließende Entscheidung über eine rechtlich oder ähnlich erheblich wirkende Maßnahme gegenüber einer natürlichen Person darf nicht allein aufgrund dieser Erklärung einer unkontrollierten Automatik zugewiesen werden.
Sollte ein Verfahren im Sinne von Art. 22 DSGVO tatsächlich eingeführt werden, sind dessen Zulässigkeit, gegebenenfalls Logik, Tragweite, Auswirkungen und erforderliche Rechte gesondert zu regeln und zuvor mitzuteilen.
31. Gegebenenfalls gesetzliche Plattform- und Steuerpflichten
Je nach tatsächlichem Funktionsumfang und Anwendbarkeit können gesetzliche Identitäts-, Händlerprüf-, Dokumentations- und Meldepflichten des Digital Services Act oder des Plattformen-Steuertransparenzgesetzes (PStTG) bestehen. Die derzeitige Funktion als Plattform für unverbindliche Anfragen ist bei der Einordnung gesondert zu berücksichtigen; die besondere DSA-Händlerprüfung für Plattformen, die Verbrauchern den Abschluss von Fernabsatzverträgen ermöglichen, ist nicht allein wegen der Veröffentlichung von Reiseangeboten automatisch anwendbar.
Vermittelt werden neben Pauschalreisen auch einzelne Beförderungsleistungen, Tagesfahrten und Busanmietungen. Die steuerliche Einordnung nach PStTG hängt von der konkreten Tätigkeit und Vergütung ab. Soweit eine Melde- oder Sorgfaltspflicht rechtlich tatsächlich besteht, werden nur die hierfür erforderlichen Anbieter-, Geschäfts- und Vergütungsinformationen erhoben, auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO an die zuständige Stelle übermittelt und entsprechend der einschlägigen Spezialfristen aufbewahrt.
32. Aktualisierung dieser Erklärung
Wir passen diese Erklärung an, wenn sich Angebote, technische Dienste, Datenflüsse oder die maßgebliche Rechtslage ändern. Die notwendige rechtzeitige Information über neue Datenzwecke und gegebenenfalls eine neue Einwilligung werden dadurch nicht ersetzt. Diese Erklärung regelt Informationspflichten gegenüber betroffenen Personen und begründet keine zusätzlichen Freistellungen oder Haftungsbeschränkungen zu Lasten von Reisenden.
Datenschutz- und DatenaustauschvereinbarungVertragsanlage – nur bei ausdrücklicher Einbeziehung verbindlich
Anlage 5 zum Partnervertrag · Bezug: Veranstalter-AGB V2.1 vom 28.10.2026 · Stand: 28. Oktober 2026
Aufgabenverteilung und Pflichten beim Austausch von Angebots-, Vermittlungs-, Kunden- und Abrechnungsdaten zwischen Portal und Veranstalter.
1. Vertragsparteien, Einbeziehung und Geltungsrang
Diese Anlage wird zwischen der ADD Agentur für Digitale Dienste UG (haftungsbeschränkt), Greifswalder Str. 87, 10409 Berlin, als Portalbetreiber und dem jeweils im Partnerantrag identifizierten Veranstalter vereinbart. Sie konkretisiert Ziffer 15 der Veranstalter-AGB (Vertragsfassung 2.1 vom 28.10.2026) sowie, soweit einschlägig, Ziffern 6, 9–14, 16, 17, 20 und 22.
Die Anlage begründet vertragliche Pflichten nur, wenn sie im Partnervertrag ausdrücklich einbezogen oder gesondert vereinbart wird. Eine bloße Veröffentlichung als Bestandteil der Datenschutzerklärung ersetzt die erforderliche vertragliche Einbeziehung nicht. Individuelle Abreden gehen vor; zwingendes Datenschutz-, Reise-, Wettbewerbs- und Verbraucherrecht bleibt unberührt.
2. Rollenverständnis und Grenzen der Zuordnung
Bei den jeweils eigenständig festgelegten Zwecken handelt jede Partei grundsätzlich als eigenständiger Verantwortlicher: das Portal für Anfragevermittlung, technische Bereitstellung, eigene Kommunikation, Sicherheit, Provisionsabrechnung und Rechtsverteidigung; der Veranstalter für seine eigenen Reiseangebote, Vertragsannahme, Reiseabwicklung, Reisepreisinkasso, Teilnehmerverwaltung, Beschwerden, Erstattungen und sein weiteres Kundenmarketing.
Die tatsächlich festgelegten Zwecke und Mittel sind entscheidend. Ergibt die Prüfung eines konkreten Sonderprozesses Auftragsverarbeitung nach Art. 28 oder gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, wird der Prozess bis zum Abschluss der erforderlichen gesonderten Vereinbarung nicht entsprechend betrieben. Diese Anlage ist keine pauschale Vereinbarung nach Art. 28 oder 26 DSGVO.
3. Beschränkung auf unverbindliche Anfragen
Im derzeit vorgesehenen Standard ermöglicht das Portal nur unverbindliche Buchungsanfragen. Der Veranstalter entscheidet über Annahme, Reisevertrag, Bestätigung und Vertragsdurchführung. Eine verbindliche Buchungsmaske, Portalinkasso, verbundene Reiseleistungen oder vom Portal zusammengestellte Pauschalreisen werden erst nach gesonderter rechtlicher, datenschutzrechtlicher und technischer Freigabe aktiviert. Gesetzliche Pflichten aufgrund des tatsächlichen Verhaltens bleiben bestehen.
4. Datenschnittstellen, Zwecke und Mindestumfang
Übermittelt werden grundsätzlich nur die zur jeweiligen Anfrage, zu deren Status und zur Provisionsabrechnung erforderlichen Daten. Eine Vorprüfung kann mit Vorgangskennung statt vollständiger Identität erfolgen. Der Veranstalter sendet bei späteren Buchungen und Stornierungen die Portal- und Veranstalter-ID, Reise, maßgebliche Termine, Status, provisionspflichtige Beträge und zur Prüfung notwendige Belege.
Unnötige Ausweiskopien, vollständige Kundendatenbanken, Diagnosen oder umfassende E-Mail-Verläufe werden nicht abgefragt. Soweit ein aussagekräftiger geschwärzter Beleg, eine Kennung oder aggregierte Information den Zweck erfüllt, geht dies einer personenbezogen detaillierteren Übermittlung vor. Die gegenseitigen Meldungen erfolgen über vereinbarte geschützte Wege.
5. Verantwortung für die Kundenbeziehung
Der Veranstalter gewährleistet für den eigenen Verantwortungsbereich die rechtmäßige Erhebung und Nutzung der für Reiseabschluss und -durchführung notwendigen Daten, die Erfüllung seiner Informationspflichten, die Rechtmäßigkeit seiner eingebundenen Leistungsträger, die sichere Kommunikation mit Reisenden, die Bearbeitung von Betroffenenrechten sowie die gesetzeskonforme Verarbeitung zu Marketingzwecken.
Eine einmalige Portalvermittlung begründet für den Veranstalter keine pauschale Rechtsgrundlage für Newsletter, Telefonwerbung, Profilbildung, Datenhandel oder die Weitergabe an unbekannte Anbieter. Für eigenständige Werbung ist der Veranstalter für die Voraussetzungen nach DSGVO und § 7 UWG verantwortlich; notwendige Reiseabwicklung und werbliche Folgeverwendung sind zu trennen.
6. Angebotsinhalte und Veröffentlichung personenbezogener Daten
Der Veranstalter stellt vollständige rechtmäßige und freigegebene Reiseinformationen bereit und gewährleistet erforderliche Rechte an Fotografien, personenbezogenen Bildinhalten und Kontaktveröffentlichungen. Nur ausdrücklich als öffentlich benannte geschäftliche Ansprechpartner und rechtlich verpflichtende Veranstalterangaben werden veröffentlicht. Der Veranstalter kennzeichnet personenbezogene Daten, die nicht öffentlich sein dürfen.
Das Portal haftet für eigenständig veränderte, hinzugefügte oder unrichtig übertragene Inhalte nach den gesetzlichen und vertraglichen Regeln selbst. Eine automatische Klausel zur vollständigen Übertragung dieser Verantwortung wird nicht vereinbart.
7. Zahlung, SEPA-Mandat und Stripe
Der Veranstalter zieht Reisepreise vom Reisenden selbst oder durch seinen berechtigten Zahlungsdienstleister ein. Das Portal erhält keine Vollmacht zur Vereinnahmung von Reisepreiszahlungen. Für seine eigenen Provisionsforderungen verwendet das Portal Stripe im vereinbarten SEPA-Verfahren.
Der Veranstalter hinterlegt richtige und aktuelle Geschäftskontodaten, erteilt ein gesondertes SEPA-Mandat, bestätigt gegebenenfalls das Firmenlastschriftverfahren bei der Bank und meldet Änderungen unverzüglich. Die Parteien stellen sicher, dass nur erforderliche Geschäfts-, Mandats- und Transaktionsdaten an Stripe gelangen. Die eigenen gesetzlichen Datenschutzinformationen, Zahlungsdienstvorgaben und gegebenenfalls internationalen Datenübermittlungen von Stripe werden beachtet.
8. Provisionsstatus und Stornonachweise
Der Veranstalter übermittelt fristgerecht vollständige und richtige Abrechnungsdaten über tatsächlichen Reiseantritt, endgültig erhaltene Reisepreisentgelte, nachträgliche Zahlungen, berechtigt vereinnahmte oder einbehaltene Stornoentschädigungen sowie Erstattungen und Korrekturen. Eine Stornierung ist sach- und fachgerecht anhand geeigneter, soweit möglich geschwärzter Nachweise nach Ziffern 11 und 12 der AGB zu belegen.
Ein bloßer Status „storniert“ ersetzt keinen Nachweis; der wirtschaftliche und rechtliche Ausgang muss nachvollziehbar sein. Eine Stornierung entbindet nicht von Provision auf rechtmäßig einbehaltene Stornoentschädigungen, soweit dies nach den AGB und zwingendem Recht geschuldet ist. Der Portalbetreiber verarbeitet keine über diesen Zweck hinausgehenden fremden Kundenunterlagen.
9. Gesundheitsdaten und Mitreisende
Besondere Kategorien personenbezogener Daten werden grundsätzlich direkt beim Veranstalter über einen geeigneten sicheren Kanal erhoben, soweit dies für die Reise erforderlich ist. Das Portal verlangt sie nicht zur Provisionsprüfung. Gelangen ausnahmsweise solche Angaben über das Portal zum Veranstalter, ist vor der Verarbeitung eine tragfähige Rechtsgrundlage unter Art. 6 und eine Ausnahme nach Art. 9 DSGVO sicherzustellen.
Der Veranstalter stellt erforderliche Informationen gegenüber mitreisenden Personen sicher. Die Erklärung des Buchenden kann Einwilligungen anderer einwilligungsfähiger Personen nicht pauschal ersetzen.
10. Informationspflichten und Transparenz
Jede Partei erteilt die eigenen Informationen nach Art. 12–14 DSGVO und weist die jeweils zuständige Stelle zutreffend aus. Der Veranstalter stellt dem Portal rechtzeitig eine aktuelle, im Kundenprozess zugängliche eigene Datenschutzerklärung sowie den Stand seiner Reisebedingungen und Kontaktdaten zur Verfügung und aktualisiert sie bei relevanten Änderungen. Das Portal verlinkt den Veranstalter, soweit dies für eine rechtmäßige transparente Vermittlung erforderlich ist.
Fehlen rechtlich erforderliche Informationen, darf das Portal die Veröffentlichung oder Weiterleitung betroffener Anfragen verhältnismäßig bis zur Klärung aussetzen. Gesetzliche Rechte bereits anfragender oder gebuchter Reisender bleiben gewahrt.
11. Zugriffsrechte und Unterauftragnehmer
Jede Partei beschränkt Zugriffe auf befugte Personen; individuelle Accounts, starke Authentifizierung, Rollen und Protokolle werden risikogerecht eingesetzt. Der Veranstalter entzieht ausgeschiedenen Beschäftigten den Zugang unverzüglich und verhindert gemeinschaftlich unkontrollierte Kontonutzung.
Jede Partei stellt die erforderlichen Art.-28-Vereinbarungen mit ihren tatsächlichen Auftragsverarbeitern sicher. Der Veranstalter verantwortet die Auswahl und Kontrolle seiner Reise-, IT- und Kommunikationsdienstleister; das Portal die von ihm eingesetzten IT-, Hosting-, E-Mail-, Marketing- und Zahlungsdienstleister, soweit diesen jeweils eine Auftragsverarbeiterrolle zukommt. Unbekannte Dritte erhalten keinen allgemeinen Zugriff auf die Daten des anderen Vertragspartners.
12. Datenschutzvorfälle und Abstimmung
Eine Partei informiert die andere ohne schuldhaftes Zögern über einen bekannt gewordenen Datenschutzvorfall, der Daten aus der gemeinsamen Vermittlung oder die andere Partei betrifft. Organisatorisches Ziel ist eine erste Benachrichtigung innerhalb von 24 Stunden nach hinreichender Kenntnis; vorläufige Mitteilungen dürfen unvollständig sein und sind fortzuschreiben. Die Meldung soll Vorfall, Datenarten, Zeitraum, betroffene Systeme, Risiken und Erstmaßnahmen enthalten, soweit bekannt.
Die jeweils verpflichtete Partei verantwortet eine gesetzlich erforderliche Meldung an die Aufsichtsbehörde, insbesondere die 72-Stunden-Vorgabe aus Art. 33 DSGVO, und eine gegebenenfalls nötige Betroffenenbenachrichtigung nach Art. 34 DSGVO. Beide Parteien unterstützen sich im erforderlichen Umfang; die interne 24-Stunden-Regel verschiebt keine gesetzliche Frist.
13. Betroffenenrechte und Behördenanfragen
Geht ein Auskunfts-, Berichtigungs-, Löschungs- oder Widerspruchsbegehren ein, das auch die andere Partei betrifft, leitet die empfangende Partei die für eine fristgerechte Bearbeitung notwendigen Angaben unverzüglich und sicher an die betroffene Partei weiter, soweit zulässig. Jede Partei erteilt die Auskunft über ihre eigenen Daten und entscheidet eigenständig nach Gesetz.
Eine Anfrage darf nicht allein wegen Vertragsstreitigkeiten liegen bleiben. Rechte Dritter, Geschäftsgeheimnisse und Datenminimierung werden bei der Antwort berücksichtigt. Jede Partei kooperiert bei rechtmäßigen behördlichen Anfragen im nötigen Umfang.
14. Sicherheitsmaßnahmen und Nachweispflichten
Die Parteien setzen Maßnahmen nach Art. 32 DSGVO entsprechend dem Risiko um. Dazu zählen verschlüsselte Übertragung, gesicherte Passwörter, begrenzte Nutzerrechte, Zwei-Faktor-Authentifizierung soweit vorgesehen, Patch-Management, Datensicherung, Vorfallverfahren, ordnungsgemäße Löschroutinen und Schutz vor unberechtigter Massenabfrage.
Auf begründete konkrete Anfrage stellt der Veranstalter die für seine eigenen Pflichten notwendigen Nachweise, insbesondere zu erforderlichen Datenschutzkontakten und Sicherheitsmaßnahmen, zur Verfügung. Das Portal darf keine flächendeckende unbeschränkte IT-Prüfung oder fremde Kundendaten allein für seine allgemeine Geschäftskontrolle verlangen. Gesetzliche Auskunfts- und Prüfungsrechte bleiben vorbehalten.
15. Werbung, Bewertungen und konzernbezogene Grenzen
Der Veranstalter verarbeitet vermittelte Kundendaten zu selbständigen Werbezwecken nur bei eigener rechtlicher Erlaubnis. Gesellschaftsrechtlich verbundene Veranstalter des Portals erhalten keine zusätzlichen Berechtigungen an fremden Buchungsdaten. Bewertungen und Beschwerden werden nach den geltenden Moderations-, Verbraucher- und Datenschutzregeln behandelt; eine notwendige Kundenrückzahlung darf nicht von der Entfernung einer zulässigen Bewertung abhängig gemacht werden.
16. Internationale Verarbeitungen
Jede Partei prüft vor dem Einsatz von Dienstleistern oder Unterauftragnehmern mit Zugriffsmöglichkeiten aus Drittstaaten die Voraussetzungen von Art. 44 ff. DSGVO und dokumentiert erforderliche Garantien. Ein Serverstandort in der EU oder die Registrierung des Dienstleisters in einem EU-Mitgliedstaat allein beweist keine ausschließlich europäische Verarbeitung.
Über rechtlich erhebliche Änderungen der eingesetzten Empfänger oder Datenübermittlung informiert die betroffene Partei die andere im erforderlichen Umfang. Eine Zusammenarbeit mit Veranstaltern außerhalb EU/EWR ist nach den besonderen reiserechtlichen Vorgaben der AGB gesondert freizugeben.
17. Aufbewahrung, Vertragsende und Export
Jede Partei bewahrt Unterlagen nach den für sie geltenden Fristen auf und löscht entbehrliche Daten, sobald der Verarbeitungszweck und jede Aufbewahrungsgrundlage entfallen. Es gibt keine einheitliche gesetzliche Speicherfrist für alle Serverlogs, Benutzerprotokolle und Backups. Die Parteien dokumentieren hierfür eigene angemessene Löschkonzepte.
Das Portal ermöglicht dem Veranstalter nach Vertragsende gemäß AGB mindestens 30 Tage lang den Export seiner relevanten Angebots-, Buchungs- und Abrechnungsdaten in einem gängigen Format; für laufende Reisen bleiben erforderliche Informationen und für spätere Provisionsrechnungen ein geeigneter sicherer Zugang erhalten. Ein allgemeiner dauerhafter Archivservice wird nicht geschuldet. Gesetzliche Aufbewahrung und Rechtsverteidigung bleiben unberührt.
18. DSA, PStTG und gesetzliche Sonderpflichten
Soweit für das jeweilige Geschäftsmodell tatsächlich gesetzliche Plattform-, Händlerprüf- oder steuerliche Meldepflichten bestehen, wirken die Parteien im rechtlich erforderlichen Umfang zusammen. Der Veranstalter stellt dann die konkret erforderlichen, zutreffenden Anbieter- und Tätigkeitsdaten bereit. Ob eine DSA-Pflicht oder das PStTG bei lediglich unverbindlichen Anfragen, Beförderungsleistungen, Busanmietungen oder bestimmten Pauschalreisen anwendbar ist, wird anhand der tatsächlichen Tätigkeit geprüft; eine generelle Annahme einer Meldepflicht wird nicht vereinbart.
Die Daten werden ausschließlich für nachgewiesene gesetzliche Zwecke und nach den jeweiligen Spezialfristen verarbeitet. Besonders schutzbedürftige Identitäts- und Steuerdaten werden nicht ohne Anlass veröffentlicht.
19. Haftung, Freistellung und Mitwirkung bei Ansprüchen
Die Haftung des Veranstalters richtet sich nach den gesetzlichen Vorschriften und den wirksamen Regelungen, insbesondere Ziffer 20 der AGB. Der Veranstalter stellt den Portalbetreiber von berechtigten Drittansprüchen insoweit frei, als diese auf einer ihm zurechenbaren schuldhaften Verletzung seiner datenschutzrechtlichen oder vertraglichen Pflichten beruhen. Er trägt die angemessenen erforderlichen Kosten sachgerechter Rechtsverteidigung im zulässigen Umfang; unverzügliche Information, Mitwirkung bei der Abwehr und Abstimmung von Anerkenntnissen und Vergleichen richten sich nach Ziffer 20 der AGB.
Ein eigener Verursachungs- oder Verantwortungsanteil des Portals ist zu berücksichtigen. Zwingende Betroffenenrechte, Art. 82 DSGVO, behördliche Zuständigkeiten und gesetzlich nicht abdingbare Haftung bleiben bestehen. Eine verschuldensunabhängige pauschale Erstattung sämtlicher Bußgelder, Sanktionen oder fremder Ansprüche wird nicht begründet.
20. Änderungen, Kommunikation und Fortgeltung
Änderungen der Datenaustauschverfahren und dieser Anlage erfolgen nach den AGB einschließlich der dort vorgesehenen Fristen und notwendigen Zustimmungen. Neue Zwecke, Empfänger, belastende wirtschaftliche Pflichten, Haftungsänderungen und gesondert einwilligungspflichtige Verarbeitungen werden nicht allein durch eine stille Aktualisierung einer Website wirksam.
Die notwendigen Geheimhaltungs-, Betroffenenrechts-, Abrechnungs-, Nachweis- und Sicherheitsbestimmungen gelten nach Vertragsende im erforderlichen Umfang fort. Hauptkontaktstelle für vertragliche Datenschutzvorfälle und Abstimmungen: [email protected]; die sichere Notfallkommunikation wird im Partner-Onboarding konkret vereinbart.
Einbeziehung: Diese Anlage ist Bestandteil des Partnervertrags, sofern die Annahmeerklärung des Partnerantrags oder eine beiderseitig bestätigte Änderungsvereinbarung die Anlage 5 in der bezeichneten Fassung ausdrücklich einbezieht. Die elektronische Zustimmung ist mit der zugehörigen Version, dem Zeitpunkt und der Identität der handelnden Person zu dokumentieren.