Datenschutzerklärung

Verantwortliche

Sarah Hirt, Gubener Straße 1, 10243 Berlin, info@railcation.de

Das Wichtigste in Kürze

• Ein Nutzerkonto ist freiwillig. Ohne Konto liegen Merkliste und letzte Suche nur in deinem Browser.
• Mit Konto speichern wir deine Mail-Adresse, deine Merklisten und den Bahnhof oder die Stadt deiner letzten Suche auf unserem eigenen Server in Deutschland.
• Cookies setzen wir nur für die Anmeldung, nicht zur Werbung oder Reichweitenmessung.
• Die Buchung findet immer beim jeweiligen Buchungspartner statt. Ab dem Klick auf dessen Angebot gelten dessen Datenschutzregeln.

Hosting und Server-Protokolle

Railcation läuft auf einem eigenen Server bei der Hetzner Online GmbH (Rechenzentrum Falkenstein, Deutschland), die Seite selbst ebenso wie die Orts-, Fußweg- und Fahrplandienste der Suche. Beim Aufruf verarbeitet der Server technisch notwendige Verbindungsdaten, insbesondere deine IP-Adresse, Zeitpunkt und aufgerufene Adresse sowie Browser-Kennung, um die Seite auszuliefern und Angriffe abzuwehren. Diese Protokolle löscht der Server automatisch nach 30 Tagen. Der Zeitraum ist so bemessen, dass sich auch langsam aufbauende Angriffsmuster und Fehler noch nachvollziehen lassen. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag; deine Daten verlassen dabei nicht die EU. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Reichweitenmessung (Umami)

Wir nutzen Umami, eine selbst betriebene Software zur Reichweitenmessung, um zu sehen, welche Seiten wie oft aufgerufen und welche Funktionen wie oft genutzt werden. Umami läuft auf demselben eigenen Server in Deutschland, arbeitet ohne Cookies und erstellt keine geräteübergreifenden Profile; es fließen keine Daten an Dritte. Umami speichert je Besuch eine pseudonyme Sitzungskennung ohne IP-Adresse sowie Land, Stadt, Gerät, Browser und die aufgerufenen Seiten mit ihrer vollen Adresse. Bei einer Suche stehen darin auch Start und Ziel samt Koordinaten, der Reisezeitraum und die Zahl der Gäste. Außerdem zählt Umami einzelne Klicks, zum Beispiel auf ein Angebot oder auf „Ticket auf bahn.de“, das Merken einer Unterkunft, die Wahl im Fenster zum Konto, das Teilen eines Links, das Öffnen der Filter oder die Wahl eines Reisezeitraums. Als Merkmale eines Klicks schicken wir Umami nur feste Werte wie die Stelle auf der Seite, den Anbieter oder die Region, nie etwas, was du eingibst. Die Zählwerte bewahren wir 14 Monate auf und löschen sie danach. Rechtsgrundlage ist unser berechtigtes Interesse an einer Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO).

Nutzerkonto

Wenn du ein Konto anlegst, speichern wir deine Mail-Adresse, deine Merklisten mit den gemerkten Unterkünften (Abschnitt „Deine Merklisten“) und wann das Konto angelegt und zuletzt geändert wurde. Außerdem halten wir fest, wann du das Konto zuletzt benutzt hast und wann wir dir die Bestätigungsmail nach dem Anlegen oder eine Mail vor dem Löschen geschickt haben. Einen Namen speichern wir nicht, auch wenn Google ihn uns schickt.

Zu jeder Anmeldung legen wir eine Sitzung an: eine zufällige Kennung, ihr Ablaufdatum und wann sie angelegt und zuletzt verlängert wurde. Abgelaufene Sitzungen löschen wir, spätestens zusammen mit deinem Konto. Deine IP-Adresse und die Kennung deines Browsers speichern wir dabei nicht.

Damit niemand in kurzer Zeit sehr viele Anmeldemails anfordert oder Codes errät, zählt der Server Anfragen je IP-Adresse und je Mail-Adresse bis zu 24 Stunden im Arbeitsspeicher mit; abgelegt wird das nicht. Greift diese Bremse, steht im Betriebsprotokoll ein gekürzter Prüfwert der Mail-Adresse oder das gekürzte Netz der IP-Adresse, nicht die vollen Angaben (30 Tage, siehe Hosting). Rechtsgrundlage dafür ist unser berechtigtes Interesse, Missbrauch abzuwehren (Art. 6 Abs. 1 lit. f DSGVO).

Wir brauchen diese Daten, um dir das Konto zu geben, um das du gebeten hast: deine Merklisten auf allen Geräten. Rechtsgrundlage ist die Erfüllung des Vertrags über das Konto (Art. 6 Abs. 1 lit. b DSGVO). Die Nutzungsbedingungen stehen bei den Nutzungshinweisen. Ohne Mail-Adresse können wir dir kein Konto geben. Alles andere auf Railcation geht auch ohne Konto.

Die Daten liegen in einer Datenbank auf unserem eigenen Server bei der Hetzner Online GmbH in Deutschland, demselben Server wie die übrige Seite.

Du kannst dein Konto jederzeit auf der Seite „Konto“ löschen. Dann löschen wir sofort dein Konto, deine Sitzungen, die Verbindung zu Google oder Apple, deine Merklisten, deinen Start, deine Angabe „Deutschlandticket: ja“ (dann suchen wir immer nur im Nahverkehr), deine Erinnerungen und deinen Kontakt bei Brevo (Abschnitt „Mails mit Reiseideen und Neuem von Railcation“). Übrig bleiben der Nachweis deiner Zustimmungen (Abschnitt „Nachweis deiner Zustimmung“), für bis zu 14 Tage die Sicherungskopie (Abschnitt „Sicherungen“) und bei Brevo die Protokolle der Mails, die wir dir geschickt haben. Konten, die 24 Monate nicht benutzt wurden, löschen wir; 30 Tage vorher schreiben wir dir eine Mail.

Löschst du dein Konto auf der Seite „Konto“ oder bittest du uns per Mail darum, schicken wir dir danach eine Mail an die Adresse des Kontos, dass es gelöscht ist. Darin stehen der Tag, was wir mit dem Konto gelöscht haben, was übrig bleibt und wohin du schreibst, wenn du das Löschen nicht wolltest. Deine Mail-Adresse nutzt unser Server dafür nach dem Löschen nur noch, um diese eine Mail an Brevo zu übergeben (Abschnitt „Mails zum Konto (Brevo)“); gespeichert wird sie dafür nicht. Rechtsgrundlage ist die Erfüllung des Vertrags über das Konto, zu der auch sein Ende gehört (Art. 6 Abs. 1 lit. b DSGVO). Löschen wir ein Konto, weil es 24 Monate nicht benutzt wurde, schicken wir diese Mail nicht.

Deine Merklisten

Mit Konto kannst du mehrere Merklisten führen. Zu jeder Liste speichern wir in deinem Konto ihren Namen, die Kennungen der Unterkünfte darin mit dem Datum, an dem du sie gemerkt hast, wann die Liste angelegt wurde und wann zuletzt eine Unterkunft dazukam. Gibst du für eine Liste einen Reisezeitraum, Personen und Zimmer oder einen Start an, speichern wir auch das. Als Start speichern wir nur einen Bahnhof oder eine Stadt (Name und Koordinaten), nie eine Adresse. So stehen deine Listen auf all deinen Geräten bereit. Rechtsgrundlage ist die Erfüllung des Vertrags über das Konto (Art. 6 Abs. 1 lit. b DSGVO).

Eine gemerkte Unterkunft löschen wir 180 Tage nach dem Merken aus der Liste. Hat die Liste einen Reisezeitraum, bleibt die Unterkunft mindestens bis zum Abreisetag darin. Eine Liste kannst du jederzeit mit allen Unterkünften darin löschen. Nur die Liste „Merkliste“ lässt sich nicht löschen, sie gehört zu jedem Konto. Mit dem Konto löschen wir alle Listen.

Teilst du eine Liste, baut dein Browser einen Link mit den Kennungen der Unterkünfte, dem Namen der Liste und, falls du einen angegeben hast, ihrem Reisezeitraum. Personen und Zimmer, den Start und deine Mail-Adresse enthält der Link nicht. Zum Teilen speichern wir nichts. Wer den Link öffnet, sieht die Unterkünfte und darüber Namen und Zeitraum der Liste, auch ohne Konto. Der Link steht dann wie jede aufgerufene Adresse 30 Tage in unserem Server-Protokoll (Abschnitt „Hosting und Server-Protokolle“) und 14 Monate in unserer Reichweitenmessung (Abschnitt „Reichweitenmessung (Umami)“).

Dein Start

Bist du angemeldet, speichern wir in deinem Konto den Bahnhof oder die Stadt, ab der du zuletzt gesucht hast (Name und Koordinaten), wie viele Personen und Zimmer du angegeben hast und wann du beides zuletzt geändert hast. So steht beides auch auf deinen anderen Geräten bereit. Eine Adresse, die du als Start eingibst, speichern wir nicht im Konto; sie bleibt nur in deinem Browser. Rechtsgrundlage ist die Erfüllung des Vertrags über das Konto (Art. 6 Abs. 1 lit. b DSGVO). Du kannst Start und Personenzahl auf der Seite „Konto“ entfernen; mit dem Konto löschen wir beides ganz.

Hast du bei der Frage zum Deutschlandticket gewählt, dass wir dir immer nur Nahverkehr zeigen, speichern wir auch deine Angabe „Deutschlandticket: ja“ in deinem Konto, damit sie auf all deinen Geräten gilt, solange du angemeldet bist. Rechtsgrundlage ist auch hier die Erfüllung des Vertrags über das Konto (Art. 6 Abs. 1 lit. b DSGVO). Mit „Entfernen“ auf der Seite „Konto“ schaltest du sie wieder aus; mit dem Konto löschen wir sie ganz.

Erinnerung an den Fahrplan

Wenn du für einen Reisetag noch keinen Fahrplan bei uns findest, kannst du dich erinnern lassen. Dafür speichern wir in deinem Konto den Anreisetag, den Namen der Region, Unterkunft oder Suche, die Seite, auf der du warst (ohne deinen Start, aber zum Beispiel mit der Zahl der Gäste), und wann du die Erinnerung bestellt hast. Sobald unser Fahrplan diesen Tag abdeckt, schicken wir dir genau eine Mail über Brevo (Abschnitt „Mails zum Konto (Brevo)“) und löschen die Erinnerung danach. Kommt der Fahrplan bis zu deinem Reisetag nicht, löschen wir sie ohne Mail. Du kannst höchstens fünf Erinnerungen zugleich haben.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit widerrufen: mit „Rückgängig“ direkt nach dem Bestellen, auf der Seite „Konto“ oder über den Link in der Mail. Mit dem Konto löschen wir alle Erinnerungen. Dass du zugestimmt hast, protokollieren wir wie im Abschnitt „Nachweis deiner Zustimmung“ beschrieben.

Tippst du auf den Knopf, ohne angemeldet zu sein, merkt sich dein Browser die Erinnerung bis zu 30 Minuten, damit sie nach der Anmeldung ohne zweiten Tipp angelegt wird. Schließt du das Anmeldefenster, bevor du dich anmeldest oder eine Anmeldemail anforderst, vergisst er sie sofort.

Anmelde-Cookie

Nach der Anmeldung setzt unser Server ein Cookie namens __Secure-railcation-konto.session_token. Es enthält die Kennung deiner Sitzung, ist für Skripte auf der Seite nicht lesbar und wird nur über verschlüsselte Verbindungen geschickt. Es gilt 60 Tage. Benutzt du die Seite, verlängert es sich, höchstens einmal am Tag. Beim Abmelden und beim Löschen des Kontos entfernen wir es. Meldest du dich mit Google oder Apple an, setzt der Server für die Dauer der Weiterleitung ein zweites Cookie __Secure-railcation-konto.state, das nach 5 Minuten abläuft und nur prüft, dass die Rückkehr zu deiner Anfrage gehört.

Diese Cookies sind unbedingt erforderlich, damit du angemeldet bleibst, worum du gebeten hast (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung brauchen sie deshalb nicht. Die Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO.

Anmeldung mit Google

Du kannst dich mit deinem Google-Konto anmelden. Erst wenn du auf „Mit Google fortfahren“ tippst, leitet dich die Seite zu Google weiter; vorher lädt die Seite nichts von Google, kein Skript und kein Bild. Google fragt dich dort, ob du uns Zugriff auf deine Grunddaten gibst. Wir fragen genau drei Dinge an: deine Google-Kennung (openid), deine Mail-Adresse (email) und dein Basisprofil mit Name und Profilbild (profile). Google schickt uns außerdem, ob die Mail-Adresse bestätigt ist; ohne bestätigte Adresse legen wir kein Konto an.

Zum Konto speichern wir deine Google-Kennung. Die Zugangsschlüssel, die Google bei der Anmeldung ausgibt, deinen Namen und die Adresse deines Profilbilds speichern wir nicht. Gibt es zu deiner Google-Adresse schon ein Konto, verbinden wir beide.

Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Was Google bei der Anmeldung selbst verarbeitet, regelt Googles Datenschutzerklärung. Rechtsgrundlage für unsere Seite ist die Erfüllung des Vertrags über das Konto, für den du diesen Weg gewählt hast (Art. 6 Abs. 1 lit. b DSGVO). Google kann diese Daten auch in den USA verarbeiten. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; für die USA gilt damit der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Anmeldung mit Apple

Du kannst dich mit deiner Apple-ID anmelden. Erst wenn du auf „Mit Apple fortfahren“ tippst, leitet dich die Seite zu Apple weiter; vorher lädt die Seite nichts von Apple. Wir fragen bei Apple nur deine Mail-Adresse an, keinen Namen. Apple schickt uns außerdem, ob die Adresse bestätigt ist. Du kannst bei Apple wählen, dass wir statt deiner echten Adresse eine Weiterleitungsadresse von Apple bekommen. Apple leitet Mails an diese Adresse an dich weiter.

Zum Konto speichern wir deine Apple-Kennung, aber keine Zugangsschlüssel von Apple. Gibt es zu deiner Adresse schon ein Konto, verbinden wir beide.

Anbieter ist die Apple Distribution International Limited in Irland. Was Apple bei der Anmeldung selbst verarbeitet, regelt Apples Datenschutzerklärung. Rechtsgrundlage für unsere Seite ist die Erfüllung des Vertrags über das Konto (Art. 6 Abs. 1 lit. b DSGVO). Apple kann diese Daten auch in den USA verarbeiten. Nach Apples Datenschutzerklärung sind solche Übermittlungen aus der EU durch Standardvertragsklauseln abgesichert (Art. 46 Abs. 2 lit. c DSGVO).

Mails zum Konto (Brevo)

Die Anmeldemail mit Code und Link sowie die übrigen Mails zu deinem Konto, etwa die Bestätigung nach dem Anlegen, verschicken wir über Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin). Brevo bekommt dafür deine Mail-Adresse und den Inhalt der Mail. Code und Link gelten 10 Minuten; bei uns liegen sie nur verschlüsselt oder als Prüfwert. Brevo verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO). Die Mail schickt unser Server an Brevo, nicht dein Browser. Rechtsgrundlage ist die Erfüllung des Vertrags über das Konto (Art. 6 Abs. 1 lit. b DSGVO).

Brevo setzt in diese Mails ein unsichtbares Zählpixel und leitet die Links darin über eigene Adressen um. Wir haben Brevo angewiesen, Öffnungen und Klicks nur zusammengezählt zu erfassen, ohne Bezug zu dir. Wir werten diese Zahlen nicht aus.

Forderst du eine Anmeldemail an und meldest dich nicht an, entsteht kein Konto. Deine Adresse steht dann nur so lange in unserer Datenbank, bis Code und Link abgelaufen sind, und wird spätestens am nächsten Tag gelöscht. In den Sicherungen steht sie danach noch bis zu 14 Tage.

Nachweis deiner Zustimmung

Bei jeder Anmeldung und wenn du einer neuen Fassung zustimmst, halten wir fest, welcher Fassung der Nutzungsbedingungen du zugestimmt hast, mit Zeitpunkt und einem Prüfwert des Texts, und welche Fassung dieser Datenschutzerklärung dabei verlinkt war. Dasselbe gilt, wenn du Mails mit Reiseideen und Neuem von Railcation bestellst, wenn wir dich daraufhin bei Brevo für diese Mails eintragen und wenn du sie auf der Seite „Konto“ abbestellst oder dein Konto löschst. Bestellst du sie über den Link in einer Mail ab, hält das Brevo fest. Ebenso halten wir fest, wenn du eine Erinnerung an den Fahrplan bestellst und wenn du sie wieder entfernst (Abschnitt „Erinnerung an den Fahrplan“). Statt deiner Mail-Adresse speichern wir dazu einen Prüfwert, den nur wir mit einem geheimen Schlüssel aus der Adresse bilden können.

Löschst du dein Konto, bleiben diese Einträge ohne Verbindung zum Konto stehen. Wir löschen sie drei Jahre nach dem letzten Eintrag zu deiner Adresse, weil Ansprüche in der Regel nach drei Jahren verjähren (§ 195 BGB). Solange wir Mails auf deine Einwilligung stützen, müssen wir sie nachweisen können (Art. 7 Abs. 1 DSGVO, Art. 6 Abs. 1 lit. c DSGVO). Danach und für die Zustimmung zu den Nutzungsbedingungen haben wir ein berechtigtes Interesse daran, sie bei einem Streit belegen zu können (Art. 6 Abs. 1 lit. f DSGVO).

Mails mit Reiseideen und Neuem von Railcation

Nach deiner ersten Anmeldung fragen wir dich: „Sollen wir dir ab und zu Reiseideen und Neues von Railcation schicken?“ Mit „Ja, gern“ stimmst du zu, mit „Nein danke“ nicht. Jederzeit geht das auch auf der Seite „Konto“ mit dem Knopf „Reiseideen bekommen“ unter „Mails mit Reiseideen und Neuem von Railcation“: „Schickt mir ab und zu Reiseideen und Neues von Railcation.“ Vorausgewählt ist dabei nichts. Stimmst du zu, tragen wir dich direkt für diese Mails ein, ohne Mail zum Bestätigen: Deine Adresse ist schon bestätigt, denn ein Konto bekommst du nur mit dem Code oder Link aus unserer Mail oder über Google oder Apple mit bestätigter Adresse. Dass du zugestimmt hast, belegen wir mit unserem Protokoll (Abschnitt „Nachweis deiner Zustimmung“). Deine Adresse steht dann bei Brevo auf unserer Liste für diese Mails. Dort bleibt sie, bis du die Mails abbestellst oder dein Konto löschst. Bestellst du auf der Seite „Konto“ ab, nehmen wir dich von der Liste; über den Link in einer Mail sperrt Brevo deine Adresse für diese Mails. In beiden Fällen bleibt deine Adresse bei Brevo als abgemeldeter Kontakt stehen, damit die Abbestellung wirkt und dir niemand versehentlich wieder schreibt. Löschst du dein Konto, löschen wir den Kontakt bei Brevo ganz. Möchtest du das schon vorher, genügt eine Mail an info@railcation.de.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit widerrufen: über den Knopf „Reiseideen abbestellen“ auf der Seite „Konto“, über den Link am Ende jeder Mail oder per Mail an info@railcation.de. Den Nachweis deiner Einwilligung bewahren wir danach noch drei Jahre auf (Abschnitt „Nachweis deiner Zustimmung“).

Sicherungen

Wir sichern die Konto-Datenbank jede Nacht auf unserem Server und bewahren die letzten 13 Sicherungen auf. Eine verschlüsselte Kopie jeder Sicherung legen wir zusätzlich in einem Speicher der Hetzner Online GmbH in Finnland (EU) ab. Ältere Sicherungen löschen wir an beiden Orten automatisch. Nach dem Löschen deines Kontos stehen deine Daten deshalb noch bis zu 14 Tage in diesen Sicherungen. Wir brauchen die Sicherungen nur, um die Datenbank nach einem Fehler wiederherzustellen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Speicherung in deinem Browser

Einige Funktionen speichern Daten nur in deinem Browser (localStorage oder sessionStorage). Was im sessionStorage liegt, verschwindet, wenn du den Tab schließt. Du kannst alles jederzeit über die Einstellungen deines Browsers löschen. Ohne Konto bleibt die Merkliste nur dort. Mit Konto gleicht dein Browser sie mit unserem Server ab (Abschnitt „Nutzerkonto“). Die Speicherung im Browser ist für die von dir gewünschten Funktionen erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Wenn du deine Merkliste öffnest, schickt dein Browser die Kennungen der gemerkten Unterkünfte und, falls vorhanden, den Zeitraum und die Personenzahl der Liste oder deiner letzten Suche an unseren Server, weil wir Preise und Verfügbarkeit nicht vorhalten dürfen und sie bei jedem Öffnen frisch beim Anbieter holen. Diese Angaben werden dafür nur verarbeitet, nicht gespeichert; kennt der Anbieter eine Kennung nicht, steht sie in einer Fehlerzeile unseres Betriebsprotokolls (30 Tage, siehe Hosting).

Standortabfrage

Nur wenn du auf „Mein Standort“ klickst und dein Browser zustimmt, verarbeiten wir deine Koordinaten, um daraus eine Startadresse zu ermitteln. Die Koordinaten gehen dafür an unseren Server und von dort als Suchanfrage an den Geocoding-Dienst; gespeichert werden sie bei uns nicht. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du im Browser jederzeit widerrufen kannst.

Suchanfragen an Datendienste

Für Suche und Anreise-Berechnung verarbeiten wir Suchparameter: Orte, Koordinaten, Reisedaten, Personenzahl. Ortsvorschläge, Fußwege und Bahnverbindungen berechnen unsere eigenen Dienste auf dem oben genannten Server; diese Daten verlassen unsere Systeme dafür nicht mehr. An externe Dienste gehen Suchparameter nur für Unterkünfte und Preise. Der erste ist Stay22. Von dort kommen Verfügbarkeit, Preise und die Angebote der Buchungsportale. Auch dabei übermitteln wir nicht deine IP-Adresse: Die Anfragen stellt unser Server, nicht dein Browser. Stay22 hat seinen Sitz in Kanada; die Suchparameter gehen damit in ein Land außerhalb der EU. Für Kanada hat die EU-Kommission einen Angemessenheitsbeschluss gefasst: Sie bescheinigt dem Land für kommerzielle Unternehmen, die dem kanadischen Datenschutzgesetz PIPEDA unterliegen, ein angemessenes Datenschutzniveau (Art. 45 DSGVO). Rechtsgrundlage ist die Erbringung der von dir angeforderten Funktion (Art. 6 Abs. 1 lit. b und f DSGVO).

Der zweite ist die Emerging Travel Group (RateHawk/ZenHotels), von der unser Unterkunfts-Katalog stammt. Die Namen, Beschreibungen und Ausstattungsangaben der Unterkünfte liegen als Datenbestand bei uns auf dem Server. Für Namen und Beschreibungen geht beim Stöbern keine Anfrage nach draußen. Ein Foto holt unser Server, wenn es zum ersten Mal angezeigt wird, einmal beim Anbieter ab, speichert es und zeigt es danach von dort, wie weiter unten beschrieben. Nur wenn du eine Unterkunft mit gewähltem Reisezeitraum öffnest, fragen wir für genau dieses eine Haus zusätzlich den Preis dort ab. Übermittelt werden dabei die Kennung dieser einen Unterkunft, der Reisezeitraum und die Zahl der Erwachsenen je Zimmer, dazu drei feste Angaben, die nichts über dich aussagen: Sprache Deutsch, Währung Euro und „Deutschland“ als angenommenes Wohnsitzland, von dem die Preise abhängen. Auch diese Anfrage stellt unser Server: Deine IP-Adresse, deine Startadresse und deine Kontaktdaten bekommt der Anbieter nicht. Unser Vertragspartner ist die Emerging Travel Inc. mit Sitz in Dover im US-Bundesstaat Delaware; auch diese Angaben gehen damit in ein Drittland. Die Anfrage selbst besteht, wie beschrieben, aus Angaben ohne Bezug zu deiner Person.

Inhalte anderer Anbieter

Zwei Arten von Inhalten lädt dein Browser direkt beim jeweiligen Anbieter, der dabei deine IP-Adresse erhält: Kartenkacheln von OpenFreeMap, sobald du eine Kartenansicht öffnest, und Fotos von den Bildservern der Buchungsportale, wenn ein Foto in den Suchergebnissen oder auf einer Unterkunftsseite von dort stammt. Rechtsgrundlage ist unser berechtigtes Interesse an der Darstellung der Inhalte (Art. 6 Abs. 1 lit. f DSGVO).

Drei weitere Arten von Inhalten holt unser Server bei der Quelle ab und reicht sie an deinen Browser weiter: die Fotos der Unterkünfte aus unserem Unterkunfts-Katalog, auf einer Unterkunftsseite die Vorschaubilder zu Sehenswürdigkeiten in der Umgebung (Bildserver upload.wikimedia.org der Wikimedia Foundation) und auf den Karten mit Relief die Höhendaten für die Reliefschattierung (ein Speicherdienst von Amazon Web Services). Diese Anbieter sitzen in den USA. Sie sehen dabei nur unseren Server: Deine IP-Adresse, die Kennung deines Browsers und deine Cookies bekommen sie nicht. Die Fotos der Unterkünfte speichern wir beim ersten Abruf auf unserem Server und zeigen sie danach von dort. Angaben über dich speichern wir dabei nicht. Vorschaubilder und Höhendaten speichern wir nicht. Dein Browser behält sie bis zu 30 Tage in seinem Zwischenspeicher, damit er sie beim nächsten Aufruf nicht neu laden muss. Ein Relief zeigen die Ergebniskarte der Suche, die beiden Karten einer Unterkunftsseite, der Kartenmodus der Reiseziele, die Reichweitenkarte und die Städtekarten des Deutschlandtickets.

Weiterleitung zu Partnern und zur Bahn

Klickst du auf ein Angebot oder auf „Ticket auf bahn.de“, öffnet sich die Seite des jeweiligen Anbieters (z. B. Booking.com oder bahn.de). Buchungs-Links enthalten eine Affiliate-Kennung, über die uns Buchungen zugeordnet werden, sowie eine Kennung der Fläche, von der du geklickt hast (z. B. Ergebnisliste, Regionsseite samt Listenplatz). Sie beschreibt unsere Seite, nicht dich. Die Anbieter setzen dabei eigene Cookies in eigener Verantwortung. Solche Links sind als „sponsored“ gekennzeichnet. Was ab dann mit deinen Daten passiert, regelt die Datenschutzerklärung des jeweiligen Anbieters.

Dasselbe gilt für Ausflüge: Auf den Reisezielseiten verweisen wir auf unseren Ausflugs-Partner GetYourGuide. Der Link führt zu einer Suche auf getyourguide.de und trägt neben dem Ortsnamen unsere Partnerkennung, damit uns ein Klick zugerechnet wird. Erst mit deinem Klick öffnet dein Browser die Seite dort, und erst dann erhält GetYourGuide deine IP-Adresse; vorher wird nichts von deren Servern geladen. Auch diese Links sind als „sponsored“ gekennzeichnet.

Mails an uns

Schreibst du uns an info@railcation.de, verarbeiten wir deine Mail-Adresse und den Inhalt deiner Nachricht, um sie zu beantworten. Unser Postfach liegt bei Apple (iCloud Mail); deine Nachricht wird dort verarbeitet und gespeichert. Apple kann sie dabei auch in die USA übermitteln und stützt solche Übermittlungen nach seiner Datenschutzrichtlinie auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Eine formlose Mail an info@railcation.de genügt. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig für uns ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Änderungen

Wenn Railcation neue Funktionen mit neuen Datenflüssen bekommt, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.