Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung in diesem Portal und auf unseren Reiseseiten ist:

Unternehmer-Reisen 360 GmbH
Jakobstal 18
89407 Dillingen
Telefon: 09071 5828790
E-Mail: info@unternehmer.reisen
Geschäftsführer: Fabian Vihl

2. Geltungsbereich und Zwecke der Datenverarbeitung

Diese Erklärung gilt für die Teilnehmer-Portale unserer Delegationsreisen, den KI-Concierge „Lucien“ (im Portal und über WhatsApp) sowie für öffentliche Reiseseiten, die über dieses System laufen (z. B. logistiker.reisen). Wir verarbeiten Ihre Daten für folgende Zwecke:

• Bearbeitung von unverbindlichen Anfragen („Platz anfragen“) und verbindlichen Anmeldungen über öffentliche Reiseseiten
• Bereitstellung der geschlossenen Teilnehmer-Portale für eingeladene bzw. bestätigte Teilnehmer
• Anmeldung im Portal per Einmal-Code (6-stelliger Code per E-Mail)
• Anzeige reisebezogener Inhalte (Programm, Teilnehmerliste, Marktdaten, Kulturhinweise, Dokumente)
• Vorbereitung und Durchführung der Reise (z. B. Hotel- und Flugbuchungen, Einreise)
• Betreuung durch den KI-Concierge „Lucien“, sofern Sie ihn nutzen (Abschnitte 14 und 15)
• Entgegennahme von Feedback und Bewertungen nach der Reise sowie freiwillige Uploads

Das Teilnehmer-Portal selbst ist auf eingeladene bzw. bestätigte Teilnehmer beschränkt. Eine Anfrage oder Anmeldung auf einer Reiseseite legt nicht automatisch einen Portal-Zugang an; diesen richten wir erst nach Bestätigung Ihrer Anmeldung ein.

3. Rechtsgrundlagen

Die Verarbeitung Ihrer Daten erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen – Bearbeitung von Anfragen und Anmeldungen, Durchführung der Reise, Reisebegleitung)
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung – bei der Nutzung von Lucien über WhatsApp, beim Live-Übersetzer, beim Nutzungs-Tracking, bei freiwilligen Uploads und Feedback)
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung – handels- und steuerrechtliche Aufbewahrung von Buchungsunterlagen)
• Art. 6 Abs. 1 lit. d und Art. 9 Abs. 2 lit. c DSGVO (lebenswichtige Interessen – Notfall-Benachrichtigung, Abschnitt 14)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb des Portals)

4. Erhobene Daten

• Anfrage- und Anmeldedaten (über öffentliche Reiseseiten): Name, Firma, Funktion, E-Mail, Telefon, Zimmerwunsch, Interesse am Gruppenflug, Nachricht; bei einer verbindlichen Anmeldung zusätzlich Rechnungsadresse und ggf. USt-IdNr. Als Nachweis speichern wir Zeitpunkt und Textfassung Ihrer Bestätigungen sowie einen nicht rückrechenbaren Hash-Wert Ihrer IP-Adresse (keine Klar-IP). Anfragen und Anmeldungen bearbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Kein Newsletter, keine Weitergabe an Kooperationspartner.
• Stammdaten im Portal: Vor- und Nachname, E-Mail-Adresse, Position, Firma, optional Profilbild und Profiltext, optional Mobilfunknummer (nur zur Zuordnung bei Nutzung von Lucien über WhatsApp)
• Reisedaten (nur für den Veranstalter sichtbar): z. B. Geburtsdatum, Reisepassnummer und Gültigkeit, ggf. Scan der Reisepass-Doppelseite, Flug- und Zimmerangaben; Ernährungs- und Gesundheitshinweise nur mit Ihrer ausdrücklichen Einwilligung
• Authentifizierungsdaten: Login-Zeitpunkte, Session-Tokens (technisch notwendig)
• Inhalte bei Nutzung von Lucien: Nachrichten, Sprachnachrichten (als Text), Fotos und Dokumente, Erinnerungen (Abschnitt 14)
• Freiwillige Inhalte: Bilder und Zusammenfassungen nach der Reise, Bewertungen und Feedback-Texte

Eine Selbstregistrierung für das Teilnehmer-Portal ist nicht vorgesehen. Werbung, Profiling oder eine Weitergabe zu Werbezwecken findet nicht statt.

5. Empfänger der Daten

Ihre Daten verarbeiten ausschließlich wir und die in Abschnitt 16 genannten Auftragsverarbeiter (Art. 28 DSGVO). Für Ihre Reise geben wir die jeweils nötigen Angaben an Leistungsträger weiter (z. B. Hotels, Fluggesellschaften, Agenturen vor Ort), soweit das für die Durchführung erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO). Kooperationspartner einer Reise (z. B. Verbände oder Unternehmen, die auf eine Reise hinweisen) erhalten keine Daten aus Anfragen oder Anmeldungen.

Eine Weitergabe an Behörden oder Dritte in China oder anderen Reiseländern findet über das Portal nicht statt; Einreiseformalitäten erledigen Sie selbst bzw. mit unserer Anleitung.

6. Speicherdauer

Wir speichern Ihre Daten nur so lange, wie es für die genannten Zwecke erforderlich ist:

• Unverbindliche Anfragen ohne Buchung: bis 12 Monate nach Ende der angefragten Reise; auf Ihren Wunsch auch früher
• Anmeldungen und Buchungsunterlagen (Rechnungen, Reisebestätigung): nach den gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB, bis zu 10 Jahre)
• Portal-Konto und Stammdaten: solange Sie das Portal nutzen (einschließlich Alumni-Bereich), bis Sie die Löschung veranlassen (Abschnitt 18)
• Reisepassdaten und Passkopie: bis zum Abschluss der Reise, spätestens 12 Monate nach Reiseende
• Chat-Verläufe mit Lucien: bis spätestens 12 Monate nach Ende Ihrer letzten Reise; vorher jederzeit auf Ihren Wunsch (Abschnitt 18)
• Sprachnachrichten: WhatsApp-Audio wird nicht gespeichert; Audio aus dem Portal-Chat wird nach 30 Tagen automatisch gelöscht; Audio aus dem Tagebuch bleibt, bis Sie es löschen
• Sprachausgabe- und Übersetzungs-Audio: spätestens nach einem Tag automatisch gelöscht
• Luciens Gedächtnis: kurzfristige Notizen 24 Stunden, mittelfristige 30 Tage; langfristige Notizen (z. B. Vorlieben, die Sie Lucien mitteilen) bis zur Löschung auf Ihren Wunsch
• Datensicherungen des Lucien-Servers: 7 Tage rollierend
• Sicherheits- und Löschprotokolle (ohne Inhalte): bis zu 12 Monate

7. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf Ihrer Einwilligung (Art. 7 Abs. 3 DSGVO)

Sie können diese Rechte jederzeit durch eine Nachricht an info@unternehmer.reisen geltend machen. Eingeloggte Teilnehmer können ihre Daten jederzeit selbst über /portal/profil als JSON-Datei exportieren (Auskunftsrecht Art. 15 DSGVO).

8. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (Abschnitt 17).

9. Cookies und vergleichbare Technologien

Wir setzen ausschließlich technisch notwendige Cookies ein, die für den Betrieb des Portals erforderlich sind (insbesondere Session-Cookies für die Anmeldung). Tracking-Cookies kommen nicht zum Einsatz. Auf den Reiseseiten werden keine Cookies für Werbung oder Analyse gesetzt.

Das optionale Nutzungs-Tracking (Abschnitt 13) funktioniert cookie-frei: Die Zuordnung erfolgt über einen pseudonymisierten Hash, gespeichert ausschließlich serverseitig in unserer eigenen Datenbank – keine Browser-Cookies, kein Cross-Site-Tracking, kein Drittanbieter-Pixel.

10. SSL/TLS-Verschlüsselung

Portal und Reiseseiten nutzen eine SSL/TLS-Verschlüsselung, erkennbar am „https://“ in der Adresszeile. Damit sind alle übertragenen Daten vor dem Zugriff Dritter geschützt.

11. Hosting und Datenspeicherung

Portal und Reiseseiten werden bei Vercel Inc. gehostet. Die serverseitige Verarbeitung erfolgt in Frankfurt (Region fra1). Statische Inhalte (HTML, CSS, JavaScript, Bilder) werden über ein weltweites Content Delivery Network ausgeliefert; sie enthalten keine personenbezogenen Daten.

Datenbank, Anmeldung und Dateispeicher laufen bei Supabase Inc. in Frankfurt (AWS eu-central-1). Die Daten sind bei der Übertragung und im Ruhezustand verschlüsselt.

Der KI-Concierge Lucien läuft auf einem Server der Hetzner Online GmbH im Rechenzentrum Nürnberg (Deutschland).

12. Server-Logdaten

Bei jedem Zugriff erfasst der Server automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser-Typ und Betriebssystem, Referrer-URL. Diese Daten dienen ausschließlich dem sicheren Betrieb und der Fehlerbehebung. Eine Zusammenführung mit anderen Datenquellen findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Portals).

13. Optionales Nutzungs-Tracking (Anker: tracking)

Wir bieten ein opt-in-basiertes Nutzungs-Tracking an, das uns hilft, die Plattform zu verbessern. Es ist standardmäßig deaktiviert und kann jederzeit unter /portal/profil → Privatsphäre & Tracking aktiviert oder widerrufen werden.

Was wir bei aktiver Einwilligung erheben:

• Aufgerufene Seiten innerhalb des Portals (z. B. /portal/programm)
• Klicks auf Modul-Kacheln (z. B. „Hotels“, „Pack-Liste“)
• Grobe Verweildauer pro Seite in drei Stufen: kurz (< 30 s), mittel (30–180 s), lang (> 180 s)
• Eine pseudonymisierte Session-ID (rotiert nach 60 Minuten Inaktivität)

Was wir nicht erheben:

• Keine Heatmaps, Mausbewegungen oder Scroll-Tiefen
• Keine IP-Adressen in den Tracking-Ereignissen
• Keine Browser-Fingerprints, kein Cross-Site-Tracking, keine Werbe-Pixel

Pseudonymisierung: Statt Ihrer User-ID speichern wir einen kryptographischen Hash SHA-256(user_id + monatlicher Salt + geheimer Pepper). Der Salt rotiert monatlich, sodass langfristige Nutzerprofile technisch nicht möglich sind.

Speicherdauer: 90 Tage, danach Löschung. Beim Widerruf der Einwilligung werden alle bisherigen Ereignisse sofort gelöscht (Art. 17 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Der Widerruf ist jederzeit möglich und berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

14. KI-Verarbeitung (Anker: ki-verarbeitung)

KI-Concierge „Lucien“. Lucien beantwortet Fragen zur Reise im Portal-Chat und – nach Ihrer Einwilligung bei der ersten Nachricht – über WhatsApp. Die Nutzung ist freiwillig. Lucien nutzt ausschließlich Google Cloud Vertex AI (Google Ireland Limited) in der EU-Region europe-west1 (Belgien). Eingesetzt werden:

• Gemini 2.5 Flash für Antworten, das Abschreiben von Sprachnachrichten, das Verstehen von Fotos und Dokumenten und die Prüfung auf Notfälle
• Gemini 2.5 Flash-Lite für die Einordnung der Anfrage
• Gemini 2.5 Pro für interne redaktionelle Aufgaben
• gemini-embedding-001 für die Wissenssuche und Luciens Gedächtnis
• Imagen 3 ausschließlich für Zitat-Karten zu LinkedIn-Posts auf Ihren Wunsch; Eingabe ist reiner Text, keine Fotos
• Google Cloud Text-to-Speech (EU-Endpunkt) für die Sprachausgabe

Ist das Rechenzentrum in Belgien überlastet, wird eine Anfrage einmal in der EU-Region europe-west4 (Niederlande) verarbeitet. Eine Verarbeitung außerhalb der EU ist technisch ausgeschlossen: Ist Vertex AI in der EU nicht erreichbar, antwortet Lucien nicht, statt auf andere Regionen auszuweichen. Andere KI-Anbieter (z. B. Anthropic, OpenAI) nutzt Lucien nicht. Google verwendet Eingaben und Antworten in Vertex AI nicht zum Training seiner Modelle (Google Cloud Data Processing Addendum).

Was gespeichert wird:

• Chat-Verlauf in unserer Datenbank; IBAN-, Karten-, Pass-, Steuer- und Telefonnummern werden dabei maskiert. Zusätzlich hält der Lucien-Server einen Verlauf für den Gesprächszusammenhang.
• Gedächtnis: Lucien merkt sich, was für Ihre Betreuung nützlich ist (Fristen siehe Abschnitt 6). Gesundheitsdaten werden nicht ins Gedächtnis übernommen.
• Erinnerungen, die Sie anlegen („Erinnere mich morgen um 7 an meinen Pass“), bis zur Ausführung bzw. Löschung.
• Mobilfunknummer zur Zuordnung bei WhatsApp (Abschnitt 4).

Sprachnachrichten:

WhatsApp-Sprachnachrichten werden nur im Arbeitsspeicher verarbeitet, von Gemini (Vertex AI, Belgien) in Text umgewandelt und nicht als Audio gespeichert; gespeichert wird der Text im Chat-Verlauf. Sprachnachrichten im Portal-Chat liegen im privaten Speicher des Portals und werden nach 30 Tagen automatisch gelöscht. Bei Plaud-Aufnahmen wird das Audio nur im Arbeitsspeicher verarbeitet; fällt Vertex AI aus, erfolgt die Umwandlung lokal auf unserem Server in Nürnberg (Open-Source-Modell Whisper). Gespeichert wird dann nur die Zusammenfassung.

Live-Übersetzer (Untertitel zum Mitlesen):

Im Modul „Live-Translator“ (nur für bestätigte Teilnehmer) wird Ihr Mikrofon-Audio – ausschließlich nach Ihrer ausdrücklichen Einwilligung vor dem Start – als Echtzeit-Stream an Google Vertex AI in der EU-Region europe-west1 (Belgien) übermittelt, bei Überlast an eine andere EU-Region (Niederlande, Italien, Polen oder Spanien), und dort in übersetzten Text umgewandelt. Es wird kein Audio und kein Transkript gespeichert. Die Untertitel sind KI-generiert und können Fehler enthalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Ohne Einwilligung startet die Aufnahme nicht.

Zusätzliche Funktionen auf Ihren Wunsch:

• Zusammenfassungen (z. B. von Plaud-Aufnahmen), Tiefenrecherchen (höchstens 2 pro Woche), LinkedIn-Posts und Blog-Artikel (höchstens 1 pro Woche)
• Alles, was Lucien für Sie erzeugt, ist nur für Sie sichtbar. Es gibt keinen automatischen Upload ins Portal.
• Fotos, die Sie Lucien schicken, landen nur in der Galerie, wenn Sie das ausdrücklich wählen. Wählen Sie „Gruppe“, sehen sie die Mitglieder derselben Reise.

Notfall (Anker: notfall):

Lucien prüft Nachrichten zuerst auf typische Notfall-Begriffe und danach mit Gemini (Vertex AI, EU). Erkennt Lucien einen Notfall, alarmiert er die Reiseleitung (Fabian Vihl) per WhatsApp mit Art des Notfalls, Ihrem Namen, Ihrer Telefonnummer und dem Text Ihrer Nachricht (bis 400 Zeichen); einen Standort übermittelt Lucien nicht. Wird die WhatsApp nicht zugestellt, geht eine E-Mail über Resend (Resend Inc.) an die Reiseleitung – mit Art des Notfalls, Name und Telefonnummer, ohne den Text der Nachricht. Sie erhalten sofort die Notrufnummern. Das geschieht auch ohne Ihre WhatsApp-Einwilligung, weil es um lebenswichtige Interessen geht (Art. 6 Abs. 1 lit. d, Art. 9 Abs. 2 lit. c DSGVO). Der Alarm wird nicht in Luciens Gedächtnis gespeichert.

KI-Funktionen im Portal:

Auf Ihren Klick formuliert das Portal Ihren Profiltext um bzw. erstellt aus Ihrer Bewertung einen Vorschlag für einen Referenztext. Dafür wird Ihre Eingabe an Gemini 2.5 Flash über Google Vertex AI in der EU-Region europe-west1 (Belgien) übermittelt. Der Vorschlag wird Ihnen nur angezeigt; gespeichert wird er erst, wenn Sie ihn übernehmen.

Interne Qualitätssicherung:

Wir prüfen Chat-Verläufe intern, um Lucien zu verbessern (z. B. Genauigkeit der Antworten, Fehlerkennungen). Das erfolgt durch Fabian Vihl als Geschäftsführer und gegebenenfalls durch namentlich dokumentierte technische Entwickler unter Vertraulichkeitsverpflichtung. Es findet kein automatisiertes Profiling statt, und es werden keine personenbezogenen Daten an Dritte zum Training weitergegeben.

KI-Hinweis (Art. 13 Abs. 2 lit. f DSGVO):

Antworten von Lucien werden durch ein generatives KI-Modell erzeugt und können Fehler enthalten. Lucien trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO. Lucien kann nicht reservieren oder buchen; verbindliche Aussagen (Buchungen, Stornierungen, Kosten) kommen von uns persönlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Reisebegleitung) für den Portal-Chat, Art. 6 Abs. 1 lit. a DSGVO für die Nutzung über WhatsApp. Die Nutzung ist freiwillig und kann jederzeit beendet werden, ohne Nachteile für die Reise-Teilnahme.

15. WhatsApp-Verarbeitung (Anker: whatsapp)

Wenn Sie Lucien über WhatsApp nutzen, gelten zusätzlich die Bedingungen der WhatsApp Business Platform (Meta Platforms Ireland Limited, Irland). Bei Ihrer ersten Nachricht fragt Lucien Ihre Einwilligung ab; ohne Einwilligung speichert Lucien nichts (Ausnahme: Notfall, Abschnitt 14).

• Meta Platforms Ireland (WhatsApp Cloud API) verarbeitet Ihre Nachrichten als Auftragsverarbeiter; für etwaige Übermittlungen in Drittländer gelten EU-Standardvertragsklauseln
• Meta sieht Ihre Telefonnummer, den Inhalt der Nachrichten, Zeitstempel und Empfänger
• Wir nutzen WhatsApp ausschließlich für die direkte Kommunikation mit Ihnen – keine Broadcasts, keine Listen, kein Marketing
• Lucien schreibt nicht von sich aus, außer Sie haben eine Erinnerung angelegt

WhatsApp ist optional. Den gesamten Funktionsumfang von Lucien können Sie auch im Portal-Chat (/portal/concierge) nutzen.

16. Auftragsverarbeiter (Art. 28 DSGVO)

Wir nutzen folgende Auftragsverarbeiter, alle mit Auftragsverarbeitungsvertrag:

Bei einem Wechsel oder einer Erweiterung der Anbieter passen wir diese Erklärung vorab an. Die TOM-Anlage (Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO) ist hier abrufbar: TOM-Anlage öffnen (auch als PDF druckbar). Auf Anfrage an datenschutz@unternehmer.reisen senden wir sie signiert per E-Mail.

17. Datenschutzbeauftragter (DSB) und Aufsichtsbehörde

Die Unternehmer-Reisen 360 GmbH unterschreitet die Schwellenwerte des Art. 37 Abs. 1 DSGVO i. V. m. § 38 BDSG (weniger als 20 Personen mit ständiger Datenverarbeitung). Es ist daher kein Datenschutzbeauftragter benannt.

Datenschutz-Anfragen jeder Art richten Sie bitte an:

Fabian Vihl (Geschäftsführer, verantwortlich für den Datenschutz)
E-Mail: datenschutz@unternehmer.reisen
Telefon: 09071 5828790

Zuständige Aufsichtsbehörde:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
lda.bayern.de

18. Löschung Ihrer Daten (Anker: loeschung)

Sie haben jederzeit das Recht auf Löschung Ihrer Daten (Art. 17 DSGVO). Die Anleitung mit zwei Wegen (Portal als empfohlener Weg, E-Mail als Alternative):

→ Daten löschen – Anleitung

Wir bestätigen Löschanfragen binnen 24 Stunden und schließen die Löschung binnen 7 Tagen ab. Eine Löschung über den WhatsApp-Chat ist bewusst nicht möglich (Schutz vor versehentlichen Auslösern); Lucien verweist bei entsprechenden Anfragen auf das Portal.