Datenschutzerklärung
Stand: 23.10.2026
1. Verantwortlicher und Kontakt
Hein Gerrit Alberto Agel · Vivago
Hüttenstraße 45, 40215 Düsseldorf, Deutschland
info@vivago.net · Telefon +49 152 23932129
Wir erläutern nachfolgend Zwecke, Rechtsgrundlagen, Empfänger und Aufbewahrung personenbezogener Daten. Die Bereitstellung von Kontodaten ist für ein Konto, die von Vertrags- und Zahlungsdaten für einen kostenpflichtigen Vertrag erforderlich; ohne diese Angaben können die jeweiligen Leistungen nicht erbracht werden. Eine Einwilligung in optionale Analyse ist dafür nicht erforderlich.
2. Websitebetrieb und Hosting
Die Anwendung wird bei Hetzner Online GmbH in Deutschland betrieben. Beim Abruf werden insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse sowie Browser- und technische Verbindungsinformationen verarbeitet. Dies ist für die Übertragung, Betriebssicherheit und Abwehr von Missbrauch erforderlich (Art. 6 Abs. 1 lit. f DSGVO; berechtigte Interessen: sicherer und funktionsfähiger Dienst).
Betriebs- und Fehlerprotokolle werden rollierend überschrieben. Die konkrete Vorhaltung hängt vom Protokollvolumen und der Erforderlichkeit zur Aufklärung von Störungen oder Sicherheitsvorfällen ab; relevante Ausschnitte können bis zur Klärung gesichert werden. Eine pauschale IP-Anonymisierung sämtlicher Serverprotokolle wird nicht zugesichert.
3. Konto und E-Mails
Wir verarbeiten E-Mail-Adresse, Benutzername, gegebenenfalls von dir ergänzte Namen, sichere Passwort-Prüfwerte (Hashes, keine im Klartext gespeicherten Passwörter), Bestätigungsstatus, Konto- und Anmeldezeitpunkte sowie Einstellungen. Zur Missbrauchsabwehr können Anmelde- und Registrierungsinformationen einschließlich IP-Adresse und technische Zugriffsbeschränkungen verarbeitet werden.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für das Konto und Art. 6 Abs. 1 lit. f DSGVO für die Absicherung. Technische Kontofaktoren wie bestätigte E-Mail-Adresse und Kontoalter können den Vertrauenswert von Bewertungen beeinflussen. Dies stellt keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO dar.
Transaktions-E-Mails, etwa zur Kontobestätigung, Passwortzurücksetzung oder zu Verträgen, werden über Resend (Resend, Inc., USA) versandt. Dabei werden Empfängeradresse, Nachrichteninhalt und erforderliche Versand-/Zustellinformationen verarbeitet. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, c oder f DSGVO je nach Nachrichtenzweck. Ein Newsletter wird derzeit nicht angeboten. Die Anwendung fügt keine eigenen Öffnungs-Zählpixel oder Analyse-Linkumleitungen in diese E-Mails ein.
Datenschutz und Verarbeitungsbedingungen des Versanddienstes: Resend Datenschutz, Resend DPA.
4. Bewertungen, Standort und Kartenpräferenzen
Für Bewertungen verarbeiten wir Kriterienwerte, gegebenenfalls Kommentare, den ausgewählten Kartenort mit Koordinaten, Zeitpunkte, Status, Gewichtung und die Zuordnung zum Konto. Veröffentlichte Beiträge und daraus gebildete Kartenergebnisse sind für andere Nutzer zugänglich; bei einzelnen Beiträgen kann der Benutzername sichtbar sein. Veröffentliche bitte keine vertraulichen oder fremden personenbezogenen Angaben.
Wenn du die Browser-Standortfunktion aktivierst, können Koordinaten zur Kartenpositionierung und gegebenenfalls Standortprüfung verwendet werden. Dein Browser fragt hierfür eine Berechtigung ab. Die Berechtigung kannst du in den Browser- oder Geräteeinstellungen widerrufen. Die technische Browserberechtigung ersetzt nicht die Information über die anschließende Datenverarbeitung.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für angeforderte Karten-, Bewertungs- und Speicherfunktionen sowie Art. 6 Abs. 1 lit. f DSGVO für Missbrauchsschutz und die Bereitstellung aggregierter Ergebnisse. Freiwillige Standortfreigaben werden auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO genutzt. Persönliche Filter, Gewichte und Darstellungspräferenzen können im Konto oder auf dem Gerät gespeichert werden.
Die Methodik erklärt insbesondere die Verwendung synthetischer Startdaten und die Grenzen der Auswertung.
5. Externe Kartendienste und Bibliotheken
Beim Anzeigen der Hintergrundkarte ruft dein Browser Kartenbilder von CARTO ab. Dabei erhält der Dienst insbesondere IP-Adresse und technische Abrufinformationen; aus den angefragten Kartenkacheln lässt sich der betrachtete Kartenausschnitt ableiten. Die URL enthält unseren öffentlichen Basemap-API-Key, nicht deinen Kontoschlüssel. Anbieter ist CartoDB, Inc. (CARTO). Weitere Informationen: CARTO Datenschutz.
Für Ortsabfragen wird der öffentliche Nominatim-Dienst der OpenStreetMap Foundation verwendet. Suchbegriffe bzw. Koordinaten und technische Verbindungsdaten werden dazu an diesen Dienst übertragen. Verwende keine vertraulichen personenbezogenen Suchbegriffe. Informationen: OSMF Datenschutz.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für eine ausdrücklich angeforderte Karten-/Suchfunktion und Art. 6 Abs. 1 lit. f DSGVO für die Bereitstellung der öffentlichen interaktiven Karte; berechtigtes Interesse ist eine nutzbare geographische Darstellung. Die Kartenanbieter erhalten hierüber nicht deine Vivago-Zugangsdaten.
Die für die Oberfläche benötigten JavaScript- und CSS-Bibliotheken werden von Vivago selbst ausgeliefert. Google Web Fonts werden nicht als externer Schriftendienst eingebunden.
6. Zahlungen und Vertragserklärungen
Zahlungen erfolgen über Stripe Payments Europe, Limited, Irland, und die für die jeweilige Zahlungsabwicklung zuständigen Stripe-Gesellschaften. Stripe erhält insbesondere Kontakt-, Rechnungs-, Zahlungs- und Transaktionsdaten. Wir speichern Vertragsstatus, Tarif, Laufzeit, Stripe-Referenzen und Zahlungsinformationen, jedoch keine vollständigen Karten- oder Kontozugangsdaten. Grundlage sind Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Aufbewahrungspflichten. Informationen zu eigenen Verantwortlichkeiten und Übermittlungen: Stripe Datenschutz.
Bei Kündigungs- und Widerrufserklärungen verarbeiten wir Name, E-Mail-Adresse, Vertragsbezeichnung, Inhalt und Eingangszeitpunkt sowie gegebenenfalls Kündigungsgrund und gewünschten Beendigungszeitpunkt. Eine Anmeldung ist nicht erforderlich. Diese Angaben dienen der Entgegennahme, Bestätigung, Vertragsabwicklung und Nachweisführung (Art. 6 Abs. 1 lit. b und c DSGVO, insbesondere §§ 312k und 356a BGB).
Die Bestätigung ist über einen nicht öffentlich verlinkten, zufälligen Zugangscode abrufbar. Wer diesen Link kennt, kann die Bestätigung sehen; behandle ihn vertraulich. Die Bestätigungsansicht lädt keine Analyse- oder externen Dienste.
7. Cookies und Gerätespeicher
Erforderliche Cookies sichern Sitzungen und Formulare und speichern ausdrücklich gewählte Sprache, Land oder Einwilligungsentscheidungen. Rechtsgrundlage für erforderlichen Gerätezugriff ist § 25 Abs. 2 TDDDG, für die anschließende Verarbeitung je nach Zweck Art. 6 Abs. 1 lit. b, c oder f DSGVO.
sessionid: Sitzung bzw. Anmeldung, regulär bis zu 14 Tage;csrftoken: Schutz vor gefälschten Formularanfragen, regulär bis zu etwa einem Jahr;django_language,vivago_country: gewählte Sprache bzw. Land, bis zu einem Jahr;vivago_consent: Einwilligungsauswahl, bis zu 365 Tage.
Lokaler Speicher kann gewählte Kartendarstellung und Bedienpräferenzen enthalten und bleibt bis zum Zurücksetzen oder Löschen im Browser bestehen. Sitzungsbezogener Speicher wird mit der Browser-Sitzung beendet. Soweit Speicher für optionale Analyse verwendet wird, erfolgt dies erst nach Einwilligung (§ 25 Abs. 1 TDDDG; Art. 6 Abs. 1 lit. a DSGVO).
Die Einwilligungsverwaltung erfolgt mit selbst ausgeliefertem Klaro. Die Auswahl kann jederzeit über „Cookies“ in der Website-Navigation geändert werden. Ablehnen optionaler Dienste verhindert weder den Seitenaufruf noch eine Kündigung oder einen Widerruf. Ein Widerruf berührt nicht die Rechtmäßigkeit vorheriger Verarbeitung.
8. Einwilligungsbasierte Produktanalyse
Nur bei entsprechender Einwilligung erfasst die Vivago-eigene Produktanalyse definierte Ereignisse, etwa Kartenaufruf oder Start einer Bewertung. Gespeichert werden Ereignis, Zeitpunkt, Seitenpfad ohne Suchparameter, begrenzte Funktionsinformationen, ein pseudonymer Sitzungsschlüssel und bei angemeldeten Nutzern gegebenenfalls die Konto-Zuordnung. Es handelt sich nicht um anonyme Daten.
Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO. Diese Ereignisdaten werden automatisiert nach spätestens 395 Tagen gelöscht. Sie werden für die Analyse der Bedienung und Angebotsverbesserung genutzt, nicht als Voraussetzung für den Vertragsabschluss.
9. Google Analytics
Bei Einwilligung in „Google Analytics“ laden wir Google Analytics von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei werden Nutzungsereignisse, Seitenaufrufe, Geräte-/Browserinformationen und Kennungen verarbeitet. Verbindungen zu Google entstehen für diesen Analysedienst erst nach Zustimmung. Rechtsgrundlagen: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.
Google-Analytics-Cookies wie _ga und _ga_* können bis zu zwei Jahre gespeichert werden. Die Aufbewahrung von Ereignisdaten und die Bildung längerfristiger aggregierter Berichte richten sich zusätzlich nach den Google-Analytics-Einstellungen und den dortigen Löschregeln. Angaben zu den konkreten kontoseitigen Einstellungen erhältst du auf Anfrage; eine Gleichsetzung der Cookie-Laufzeit mit der serverseitigen Aufbewahrung ist nicht zutreffend.
Ein Widerruf ist über „Cookies“ möglich. Zusätzlich kannst du Googles Browser-Add-on oder Browser-Schutzfunktionen verwenden. Informationen: Google Datenschutz, Google Analytics Datenverarbeitung.
Google Ads Conversion Tracking, Google-AdSense-Werbung, Newsletter-Marketing, Google-Anmeldung und AWS-Speicher sind im geprüften Produktivbetrieb derzeit nicht aktiviert. Vor einer Aktivierung weiterer Dienste sind Information und gegebenenfalls Einwilligung anzupassen.
10. Empfänger und Übermittlungen außerhalb des EWR
Zugriff erhalten befugte Personen beim Betreiber und erforderliche Dienstleister für Hosting, E-Mail, Karten, Analyse und Zahlungen. Bei Dienstleistern außerhalb des EWR, insbesondere Resend, CARTO sowie gegebenenfalls Google und Stripe, können Daten in Drittländer wie die USA gelangen.
Solche Übermittlungen benötigen eine Grundlage nach Kapitel V DSGVO, etwa einen einschlägigen Angemessenheitsbeschluss bei tatsächlich erfassten Empfängern oder geeignete Garantien wie EU-Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen. Die bloße Nennung eines Anbieters oder des EU-US Data Privacy Framework ersetzt die Prüfung seiner konkreten Teilnahme und des Vertragsumfangs nicht. Informationen zu den für einen konkreten Empfänger verwendeten Garantien und Kopien können über den obigen Kontakt angefordert werden.
11. Aufbewahrung und Löschung
Kontodaten bleiben für den Kontobetrieb erforderlich, bis das Konto tatsächlich gelöscht wird. Eine technische Kontodeaktivierung ist keine vollständige Datenlöschung. Löschanträge sind an info@vivago.net möglich. Wir prüfen dann auch Bewertungen, Kontozuordnungen und sonstige personenbezogene Daten und löschen oder anonymisieren sie, soweit keine vorrangigen gesetzlichen Gründe entgegenstehen.
Support-, Beschwerde- und Moderationsdaten werden bis zur abschließenden Bearbeitung und, soweit erforderlich, für die Durchsetzung oder Abwehr konkreter Ansprüche aufbewahrt. Vertragsnachweise können für die regelmäßige Verjährungsfrist von drei Jahren ab Ende des maßgeblichen Jahres erforderlich bleiben. Steuerlich relevante Unterlagen werden abhängig von der Dokumentart nach den gesetzlichen Fristen aufbewahrt, insbesondere regelmäßig acht Jahre für Buchungsbelege; andere vorgeschriebene Fristen bleiben unberührt. Danach sind personenbezogene Daten zu löschen, soweit kein weiterer dokumentierter Aufbewahrungsgrund besteht.
12. Deine Rechte
Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20 DSGVO). Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
Widerspruch: Gegen Verarbeitungen nach Art. 6 Abs. 1 lit. e oder f DSGVO kannst du aus Gründen deiner besonderen Situation Widerspruch nach Art. 21 DSGVO einlegen. Gegen Direktwerbung besteht ein jederzeitiges Widerspruchsrecht ohne Begründung.
Du kannst dich nach Art. 77 DSGVO bei einer Aufsichtsbehörde beschweren, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für unseren Sitz ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Postfach 20 04 44, 40102 Düsseldorf, zuständig.