Diese Datenschutzerklärung gilt für die Nutzung von wowasist.com, dem in Hotel-Webseiten eingebetteten Wowasist-Widget, der Wowasist-PWA (Gäste-App) und der Wowasist-Plattform für Gastgeber.
Verantwortlicher im Sinne der DSGVO ist:
Peter Behninger
Dürrwanger Straße 5, 91550 Dinkelsbühl
E-Mail: peter.behninger@outlook.de
Wir verarbeiten personenbezogene Daten in folgenden Fällen:
| Kontext | Daten | Rechtsgrundlage |
|---|---|---|
| Aufruf der Website | IP-Adresse, User-Agent, Referer, Zeitstempel (Server-Logs) | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Betrieb & Sicherheit) |
| Registrierung als Gastgeber | E-Mail, Name des Hauses, Adresse; Zahlungsdaten erst, wenn es kostenpflichtige Tarife gibt (derzeit nicht) | Art. 6 Abs. 1 lit. b DSGVO (Vertrag) |
| Nutzungsmessung in Widget und Gäste-App (nur mit Ihrer Einwilligung, Abschnitt 5) | Zufällige Sitzungskennung (gilt für einen Seitenaufruf), Anzeige-, Klick-, Merk- und Verweildauerdaten | Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung) |
| Stempel in der Gäste-App (nur, wenn Sie stempeln) | Veranstaltung, zufällige Sitzungskennung des Seitenaufrufs | Art. 6 Abs. 1 lit. f DSGVO (die von Ihnen gewünschte Funktion) |
| Bot-Schutz beim Anmelden, Registrieren und Zurücksetzen des Passworts | Eine Rechenaufgabe und ihre Lösung. Keine Gerätemerkmale, kein Cookie, kein Fremdanbieter (Abschnitt 4) | Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten vor Missbrauch) |
| Newsletter / E-Mail (sofern aktiviert) | E-Mail, Name | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
Beim Aufruf werden vom Server automatisch Informationen erfasst, die der Browser übermittelt:
Diese Daten werden nach maximal 14 Tagen gelöscht oder anonymisiert. Eine Zusammenführung mit anderen Datenquellen erfolgt nicht.
Ohne Ihre Einwilligung legen wir in Ihrem Browser nur ab, was für eine von Ihnen gewünschte Funktion unbedingt nötig ist (§ 25 Abs. 2 Nr. 2 TDDDG). Kein anderer Anbieter bekommt davon etwas zu sehen.
| Was | Wo und wann | Wie lange |
|---|---|---|
Sitzungs-Cookie alcion_session (HttpOnly) | Nur Gastgeber, nach der Anmeldung im Dashboard | Bis zur Abmeldung, höchstens 12 Stunden |
alcion_auth_method und Mandanten-Kennung (Local-Storage) | Nur Gastgeber, nach der Anmeldung: merkt sich, dass die Seite es mit dem Sitzungs-Cookie versuchen soll | Bis zur Abmeldung oder bis die Sitzung abgelaufen ist |
Merkliste, Stempel, Bewertungen (Local-Storage: alcion_pwa_favs, alcion_pwa_stamps, alcion_pwa_ratings, im Widget alcion_favs_…) | Erst wenn Sie selbst eine Veranstaltung merken, stempeln oder bewerten | Bis Sie die Websitedaten löschen |
| Programmdateien der Gäste-App (Service-Worker-Cache) | Gäste-App, damit sie schnell und auch offline startet. Darin stehen keine Angaben über Sie. | Bis zur nächsten Version der App bzw. bis Sie die Websitedaten löschen |
Ihre Wahl in den Datenschutz-Einstellungen (Local-Storage wowasist_datenschutz: Fassung, Datum, ja/nein) | Sobald Sie im Dialog eine Wahl treffen. Keine Kennung. | 12 Monate, dann fragen wir neu |
Schlüssel der Vorführseite (Session-Storage wowasist-demo-key) | Nur auf der Beispiel-Hotelseite, wenn sie mit einem Vorführ-Link geöffnet wird. Enthält den Einbettungsschlüssel des Vorführ-Kontos, keine Angaben über Sie. | Bis der Tab geschlossen wird |
Bot-Schutz ohne Fremdanbieter: Beim Anmelden, Registrieren und Zurücksetzen des Passworts löst Ihr Browser eine kleine Rechenaufgabe, die unser Server stellt und prüft. Dabei werden keine Gerätemerkmale gelesen, nichts gespeichert und keine Daten an Dritte übermittelt. Bis zum 29.09.2026 setzten wir dafür Cloudflare Turnstile ein; das ist vollständig entfernt. Die Gäste-App hat keinen Bot-Schutz im Browser mehr.
Kein fremder Server: Schriften, Bibliotheken, Veranstaltungsbilder und die Kartenkacheln im Dashboard liefern wir selbst aus. Die Kacheln holt unser Server bei OpenStreetMap und speichert sie zwischen; Ihr Browser kontaktiert OpenStreetMap nicht. Wir setzen keine Marketing- oder Analyse-Dienste ein (z. B. Google Analytics, Facebook Pixel).
Freiwillig ist genau eine Verarbeitung: die Nutzungsmessung (Abschnitt 5). Beim ersten Besuch von Startseite, Vorschau, Gäste-App oder Beispiel-Hotelseite fragt Sie ein Dialog „Datenschutz-Einstellungen“:
„Alle ablehnen“ und „Alle akzeptieren“ stehen gleichwertig auf der ersten Ebene; unter „Einstellungen“ wählen Sie einzeln. Bevor Sie zustimmen, wird nichts gemessen. Ihre Wahl speichern wir nur in Ihrem Browser (siehe Tabelle), nicht auf unserem Server. Nach 12 Monaten oder wenn sich diese Angaben ändern, fragen wir erneut.
Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) – über den Link „Datenschutz-Einstellungen“ unten auf jeder unserer Seiten, oder indem Sie die Websitedaten von app.wowasist.com in Ihrem Browser löschen.
Ist die Nutzungsmessung auf unserem Server abgeschaltet, bietet der Dialog sie nicht an und fragt nicht.
Auf der Website eines Gastgebers zeigt das Wowasist-Widget keinen eigenen Dialog. Es misst dort nur, wenn die Website des Gastgebers ihm meldet, dass Sie der Nutzungsmessung über deren Einwilligungswerkzeug zugestimmt haben; ohne diese Meldung misst es nichts. Ihre Wahl ändern Sie dort in den Datenschutz-Einstellungen der Website des Gastgebers. Die Merkliste des Widgets (Tabelle oben) funktioniert auch ohne Einwilligung.
Wenn Sie zustimmen, erfassen wir bei der Nutzung von Widget und Gäste-App pseudonyme Interaktionsereignisse, um die Auswahl der Veranstaltungen zu verbessern:
Ohne Ihre Einwilligung sendet Ihr Browser keine dieser Meldungen. Der Bildschirm im Haus eines Gastgebers (Kiosk) misst nichts.
Wir speichern dabei weder Ihre IP-Adresse noch Ihren Browsertyp — auch nicht in gehashter Form. Bis zum 20.08.2026 wurden beide als kryptographischer Hash mitgeschrieben. Wir haben sie ersatzlos entfernt, weil sie für den Zweck nie ausgewertet wurden und ein Hash einer IP-Adresse ohnehin nicht als anonym gelten kann.
Was bleibt, ist eine zufällige Sitzungskennung. Die Seite erzeugt sie beim Öffnen und hält sie nur im Arbeitsspeicher der geöffneten Seite; sie wird nicht in Ihrem Browser gespeichert und ist nach dem Schließen oder Neuladen der Seite verloren. Sie verbindet deshalb nur, was innerhalb eines Seitenaufrufs geschieht — Anzeige, Klick, Verweildauer —, nicht mehrere Besuche miteinander. Bei uns wird sie mit den Interaktionen gespeichert (Speicherdauer: Abschnitt 8). Schickt ein Browser keine Kennung mit, vergeben wir je Anfrage eine neue Zufallskennung; aus IP-Adresse oder Browsertyp leiten wir keine Kennung ab.
Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für das Senden aus Ihrem Browser § 25 Abs. 1 TDDDG). Bis zum 29.09.2026 lief die Messung ohne Einwilligung auf Grundlage unseres berechtigten Interesses; das haben wir umgestellt.
Gemeinsame Verantwortlichkeit: Messen wir im Widget auf der Website eines Gastgebers (nur mit Ihrer dort erteilten Einwilligung), sind dieser und wir für die Erhebung gemeinsam verantwortlich (Art. 26 DSGVO). Die Einwilligung holt der Gastgeber über seine Website ein; Ihre übrigen Rechte erfüllen wir, weil die Daten bei uns liegen. Sie können sich nach Art. 26 Abs. 3 DSGVO gleichwohl an jeden von uns beiden wenden. Das Wesentliche der Vereinbarung steht unter Gemeinsame Verantwortung.
Weil die Sitzungskennung nach dem Seitenaufruf nirgends mehr vorliegt, können wir bereits gespeicherte Interaktionen in der Regel keiner Person mehr zuordnen (Art. 11 DSGVO). Ein Widerruf wirkt deshalb für künftige Seitenaufrufe.
Folgende Dienstleister verarbeiten in unserem Auftrag Daten (Art. 28 DSGVO). Ihr Browser kontaktiert beim Besuch unserer Seiten keinen von ihnen; bis zum 29.09.2026 war Cloudflare (Bot-Schutz Turnstile) die Ausnahme.
| Anbieter | Zweck | Sitz |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server-Hosting (Rechenzentrum Helsinki, Finnland, EU) | Deutschland |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung für Gastgeber-Abonnements, sobald es sie gibt; derzeit werden keine Zahlungen abgewickelt. Zahlungsmittel geben Sie ausschließlich auf einer von Stripe betriebenen Seite ein — Karten- und Bankdaten berühren unsere Systeme nie. | Irland (Konzernunternehmen in den USA: Standardvertragsklauseln, EU-US Data Privacy Framework) |
| OpenRouter / Anthropic / Google (Text- und Bildgenerierung) — derzeit nicht im Einsatz | Abgeschaltet. Würde nur öffentliche Veranstaltungsdaten erhalten — keine personenbezogenen Gäste-Daten | USA (Standardvertragsklauseln) |
| Brevo (Sendinblue) — sofern aktiv | Versand von Transaktions- und Digest-E-Mails | Frankreich |
Derzeit übermitteln wir keine Daten von Besuchern in Drittländer. Stripe sowie die Text- und Bilddienste sind nicht im Einsatz; werden sie eingeschaltet, geht eine Übermittlung nur an diese Dienstleister, die sich entweder dem EU-US Data Privacy Framework angeschlossen oder mit uns Standardvertragsklauseln nach Art. 46 DSGVO geschlossen haben. Schreiben Sie uns eine E-Mail an die unten genannte Outlook-Adresse, liegt Ihre Nachricht beim Anbieter dieses Postfachs (Microsoft).
Diese Fristen sind nicht nur zugesagt, sondern technisch erzwungen: Server-Protokolle über die Rotationsfrist des Webservers, Interaktions- und Protokolldaten über einen täglichen Löschlauf.
Als Gastgeber können Sie zwei davon selbst ausüben, ohne uns zu schreiben: im Kontobereich Ihres Dashboards laden Sie unter Meine Daten exportieren alles herunter, was wir über Sie gespeichert haben (Art. 15 und Art. 20), und löschen unter Konto löschen Ihre Daten endgültig (Art. 17). Passwort- und Schlüssel-Hashes sind im Export bewusst nicht enthalten, damit er über eine fremde Sitzung nicht zum Einfallstor wird (Art. 15 Abs. 4).
Im Übrigen haben Sie gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:
Anfragen senden Sie bitte an peter.behninger@outlook.de.
Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist die Aufsichtsbehörde des Bundeslands, in dem Sie wohnen, arbeiten oder die mutmaßliche Verletzung stattgefunden hat. Für Bayern ist das das Bayerische Landesamt für Datenschutzaufsicht (BayLDA).
Zur Bereitstellung des Empfehlungsdienstes erfasst unser Crawler WowasistBot öffentlich zugängliche Veranstaltungsinformationen von Tourismus- und Kommunal-Webseiten. Wir verarbeiten dabei keine personenbezogenen Daten von Besuchern Dritter; lediglich die in den Veranstaltungsankündigungen enthaltenen Veranstalter-Namen können erfasst werden, soweit die Veranstalter diese selbst öffentlich publizieren.
Seit dem 20.08.2026 entfernen wir E-Mail-Adressen und Telefonnummern beim Einlesen automatisch aus den Veranstaltungstexten und speichern sie nicht. Anlass war eine Zählung im eigenen Bestand: rund 2.200 Veranstaltungen enthielten eine E-Mail-Adresse, davon etwa 800 erkennbar private. Für die Empfehlung werden sie nicht gebraucht — wer Näheres wissen will, folgt dem Verweis auf die Originalseite, wo die Angaben aktuell und im richtigen Zusammenhang stehen.
Widerspruch für Veranstalter: Wenn Sie nicht möchten, dass Ihre Veranstaltungen bei uns erscheinen, genügt eine formlose Nachricht. Wir setzen die Domain dann auf unsere Sperrliste (Art. 21 DSGVO): Unser Crawler ruft sie nicht mehr ab, bereits erfasste Veranstaltungen daraus zeigen wir nicht mehr an, und zwischengespeicherte Bilder löschen wir.
Details: Bot-Information.