Datenschutzerklärung

Hier steht, welche Daten Qurayo verarbeitet, wofür und wer dabei hilft. Kurz gesagt: Wir verarbeiten nur, was für deine Reiseplanung nötig ist, setzen keine Werbe- oder Analyse-Cookies und verkaufen keine Daten.

1. Verantwortlicher

[Vor- und Nachname bzw. Firma inkl. Rechtsform], [Straße und Hausnummer], [PLZ und Ort]
E-Mail: hallo@qurayo.com
Einen Datenschutzbeauftragten müssen wir derzeit nicht benennen; Fragen gehen an die obige Adresse.

2. Konto und Anmeldung

Für ein Konto speichern wir deine E-Mail-Adresse, ein Passwort (nur als Hash) oder melden dich per Link per E-Mail an, außerdem freiwillig Vorname, Heimatort, Heimatflughafen, Sprache und deine Einstellungen. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldung mit Google: Wählst du „Mit Google fortfahren“, erhalten wir von Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland) deinen Namen, deine E-Mail-Adresse und eine Konto-Kennung. Google erfährt dabei, dass du dich bei Qurayo anmeldest. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3. Reiseplanung mit KI

Deine Reiseangaben (Ziel, Zeitraum, Anzahl Reisende, Interessen, Tempo, Budgetrahmen, Ernährungs- und Mobilitätswünsche, Notizen, Ideen und – falls du sie hochlädst – Screenshots) sowie bisherige Pläne, Bewertungen und dein Geschmacksprofil werden an Anthropic übermittelt, um Pläne, Packlisten, Reiseinfos, Optimierungen und Rückblicke zu erstellen. Name und E-Mail-Adresse senden wir nicht mit.

Anbieter: Anthropic Ireland, Limited (Dublin, Irland) bzw. Anthropic, PBC (San Francisco, USA) als Auftragsverarbeiter. Die Verarbeitung kann in den USA stattfinden; Grundlage sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag. Anthropic verwendet Daten aus der API nicht zum Training seiner Modelle. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Hinweis zu KI-Inhalten: Reisepläne, Zusammenfassungen und Vorschläge in Qurayo werden von einer KI erstellt und als solche gekennzeichnet. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt.

Für Abrechnung, Missbrauchsschutz und unsere Kostenbremse protokollieren wir zu jedem KI-Aufruf Zeitpunkt, Zweck, Modell, Tokenzahl, Dauer und Kosten mit deiner Konto-ID – nicht den Inhalt (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: Kostenkontrolle und Schutz vor Missbrauch). Diese Protokolle löschen wir nach 13 Monaten.

4. Gemeinsam reisen und Vorlagen

Lädst du Mitreisende ein, sehen sie die Reise, deinen Vornamen, Abstimmungen, Wünsche, Ausgaben und Tagebucheinträge, die für alle bestimmt sind. Geteilte Links zeigen den Plan ohne deine Kontodaten. Veröffentlichst du eine Reise als Vorlage, ist sie öffentlich sichtbar – mit deinem Vornamen nur, wenn du das auswählst. Du kannst die Veröffentlichung jederzeit zurücknehmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. Social-Import (TikTok, Instagram, YouTube & Co.)

Teilst du einen Link zu einem Beitrag auf TikTok, Instagram, YouTube, Pinterest, Reddit oder Google Maps, ruft unser Server die öffentlichen Angaben zu diesem Beitrag (Titel, Beschreibung, Konto-Name, Vorschaubild) beim jeweiligen Anbieter ab. Dabei wird nur der Link übermittelt, keine Daten über dich; der Anbieter sieht die Anfrage unseres Servers. Für YouTube nutzen wir die YouTube Data API von Google (Google Ireland Limited). Den Beitragstext lässt Qurayo von der KI (Abschnitt 3) auf konkrete Orte auswerten. Vorschaubilder, deren Links ablaufen, speichern wir in unserem Speicher (Supabase, Frankfurt). Öffnest du den Original-Beitrag, gelten die Datenschutzbestimmungen der Plattform. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Buchungsbestätigungen per E-Mail

Jede Reise hat eine eigene Weiterleitungsadresse (…@in.qurayo.com). E-Mails an diese Adresse nimmt Brevo (siehe Abschnitt 7) für uns entgegen. Wir speichern Absender, Betreff und Text, lassen die KI daraus die Buchungsdaten auslesen (Art der Buchung, Daten, Uhrzeiten, Buchungsnummer, Orte, Preis) und speichern nur diese in der Reise. Den Text der E-Mail löschen wir unmittelbar nach dem Einlesen, spätestens nach drei Versuchen. E-Mails von Absendern, die nicht zur Reise gehören, werden erst nach Bestätigung durch den Reisebesitzer übernommen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. E-Mails von Qurayo

Für Anmelde-E-Mails, Preisalarme, Bestätigungen und Antworten auf weitergeleitete E-Mails nutzen wir Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) als Auftragsverarbeiter, Server in der EU. Preisalarm-E-Mails kannst du im Konto abbestellen. Anmelde-E-Mails verschickt außerdem unser Datenbank-Anbieter Supabase (Abschnitt 10). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Schreibst du uns an eine @qurayo.com-Adresse, wird die E-Mail über ImprovMX (Reflectiv SAS, 128 Rue la Boétie, 75008 Paris, Frankreich) an unser Postfach bei Google (Google Ireland Limited) weitergeleitet. Wir verarbeiten deine Nachricht, um sie zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO).

8. Pro-Abo und Zahlung

Bezahlungen wickelt Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Dublin 2, Irland) ab. Stripe verarbeitet deine Zahlungsdaten (z. B. Karte, Name, Rechnungsanschrift, E-Mail) in eigener Verantwortung, auch zur Betrugsprävention; dabei kann es zu Übermittlungen in die USA kommen (Stripe ist nach dem EU-US Data Privacy Framework zertifiziert). Wir erhalten von Stripe nur eine Kunden-Kennung, Tarif, Abo-Status, Laufzeit und Rechnungen – keine vollständigen Kartendaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Aufbewahrungspflichten).

9. Live-Daten und Partner-Links

Wetter (MET Norway), Flugpreise und Städtenamen (Travelpayouts/Aviasales) sowie Öffnungszeiten (OpenStreetMap/Nominatim) fragt unser Server ab. Übermittelt werden nur Orte, Flughafencodes und Reisedaten, keine Angaben zu deiner Person.

Mit „Anzeige“ gekennzeichnete Links führen über unseren Server (/go) zu Travelpayouts (Go Travel Un Limited, Hongkong) und von dort zum Anbieter (z. B. Booking.com, GetYourGuide, Aviasales). Wir zählen den Klick mit einer Kennung der Reise (ohne Namen oder E-Mail), um Provisionen zuzuordnen (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: Finanzierung des Dienstes). Travelpayouts und der Anbieter können dabei Cookies setzen; hierfür gelten deren Datenschutzhinweise.

10. Hosting, Datenbank und Server-Protokolle

Datenbank, Anmeldung und Dateispeicher stellt Supabase bereit (Supabase Inc. als Auftragsverarbeiter, Serverstandort Frankfurt am Main; Standardvertragsklauseln für etwaige Zugriffe aus den USA). Die Web-App läuft bei Cloudflare, Inc. (USA) als Auftragsverarbeiter, ausgeliefert über das Cloudflare-Rechenzentrum in deiner Nähe; Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Beim Aufruf verarbeiten die Server technisch notwendige Daten wie IP-Adresse, Zeitpunkt, abgerufene Seite und Browser-Kennung in Protokollen, die nach spätestens 30 Tagen gelöscht werden (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: sicherer Betrieb).

Reichweitenmessung ohne Cookies: Wir zählen Seitenaufrufe pro Tag – gespeichert werden nur die Seite (ohne Reise-IDs oder Links), die Domain der verweisenden Website beim ersten Aufruf und der Gerätetyp (Handy, Tablet, Computer). Wir speichern dabei weder IP-Adresse noch Cookies oder eine Kennung; einzelne Besuche oder Personen lassen sich nicht wiedererkennen. Die Zahlen löschen wir nach 25 Monaten (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: Verbesserung des Angebots).

Fehlerberichte: Stürzt eine Seite ab, schickt der Browser die Fehlermeldung, die betroffene Seite, die Browser-Kennung und die App-Version an uns – ohne Konto oder IP-Adresse. Wir löschen sie nach 90 Tagen (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse: Fehlerbehebung).

Feedback: Schickst du uns über „Feedback“ eine Nachricht, speichern wir sie mit deinem Konto, der Seite und dem Gerätetyp, um sie zu bearbeiten und dir ggf. zu antworten (Art. 6 Abs. 1 lit. b und f DSGVO). Erledigtes Feedback löschen wir nach zwei Jahren.

11. Cookies und lokaler Speicher

Qurayo setzt keine Analyse- oder Werbe-Cookies und nutzt kein Tracking über Websites hinweg. Im Browser gespeichert werden nur deine Anmeldesitzung sowie Sprache und Darstellung – das ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Schriftarten laden wir von unserem eigenen Server.

12. Speicherdauer

Deine Konto- und Reisedaten speichern wir, bis du sie oder dein Konto löschst. Kontolöschung entfernt alle Reisen, Ausgaben, Ideen und Abstimmungen sofort. Rechnungs- und Zahlungsbelege bewahren wir nach den gesetzlichen Fristen (bis zu zehn Jahre, § 147 AO, § 257 HGB) auf. Zwischenspeicher für Wetter, Preise, Orte und Social-Beiträge laufen nach Stunden bis Wochen ab und werden spätestens nach 90 Tagen gelöscht. Weitergeleitete Buchungs-E-Mails (ohne Text) löschen wir nach 90 Tagen. Kündigungen, Widerrufe und Meldungen zu Vorlagen bewahren wir als Nachweis drei Jahre auf (regelmäßige Verjährungsfrist, § 195 BGB).

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) – insbesondere gegen Verarbeitungen auf Grundlage berechtigter Interessen. Eine Kopie deiner Daten kannst du unter Konto als Datei herunterladen, dort kannst du dein Konto auch selbst löschen. Für alles andere genügt eine E-Mail an hallo@qurayo.com.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: [zuständige Landesdatenschutzbehörde, z. B. ULD Schleswig-Holstein].

14. Mindestalter

Qurayo richtet sich an Personen ab 16 Jahren; das Pro-Abo können nur Volljährige abschließen.