Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
TRAVELdress, Inhaber Marcus Föst
Talamtstraße 6, 06108 Halle / Saale
E-Mail: info@lombok.de

2. Grundsatz

Diese Website ist so gebaut, dass sie mit möglichst wenig personenbezogenen Daten auskommt. Ohne dein Zutun lädt die Seite nichts von fremden Servern nach — Schriften und Bilder kommen von unserem eigenen Server (Abschnitt 4). Werbe-Pixel setzen wir nicht ein.

Zwei Bereiche brauchen mehr Daten und laden deshalb erst nach deiner Einwilligung: die Buchungsmasken unserer Partner (Abschnitt 5) und die Reichweitenmessung mit Google Analytics (Abschnitt 6). Beide Einwilligungen sind voneinander unabhängig (Abschnitt 7).

3. Hosting und Server-Logfiles

Diese Website wird gehostet von der Vercel Inc., 600 California Street, San Francisco, USA. Vercel verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO und ausschließlich nach unserer Weisung. Die Auslieferung erfolgt über Server in der Europäischen Union (Region Frankfurt am Main).

Beim Aufruf dieser Website erhebt der Hosting-Anbieter automatisch Informationen, die dein Browser übermittelt (sogenannte Server-Logfiles):

• aufgerufene Adresse und Datum der Anfrage
• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer-URL
• übertragene Datenmenge und HTTP-Statuscode
• IP-Adresse

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im technisch fehlerfreien Betrieb und in der Sicherheit der Website. Die Daten werden nicht mit anderen Datenquellen zusammengeführt und nach sieben Tagen gelöscht. Ausgenommen sind Fälle, in denen wir einen Angriff oder eine Störung länger nachvollziehen müssen — dann bleiben die betroffenen Einträge bis zur Klärung erhalten.

Auch wenn die Auslieferung in der EU stattfindet, lässt sich ein Zugriff aus den USA — etwa im Rahmen von Wartung und Support — nicht ausschließen. Für diesen Fall haben wir mit Vercel die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO abgeschlossen. Ein Schutzniveau wie innerhalb der EU können wir damit nicht garantieren; insbesondere ist nicht auszuschließen, dass US-Behörden auf die Daten zugreifen.

4. Schriften und Bilder

Schriften liegen auf unserem eigenen Server. Es besteht keine Verbindung zu Google Fonts oder einem anderen Schriftdienst, es wird also auch keine IP-Adresse dorthin übertragen.

Ein Teil der Fotos stammt aus dem Bildarchiv von Unsplash. Auch diese Bilder holt dein Browser nicht bei Unsplash, sondern von unserer Domain: Unser Server lädt das Original einmal, rechnet es auf die passende Größe herunter und liefert es unter /_next/image aus (Bildoptimierung von Next.js). Deine IP-Adresse erreicht Unsplash dadurch nicht, und es wird kein Cookie von dort gesetzt.

5. Buchungsmasken unserer Partner

Unter /buchen binden wir Buchungsmasken unserer Partner ein. Sie werden erst geladen, nachdem du zugestimmt hast. Vorher geht keine Anfrage an den jeweiligen Anbieter, es wird also auch keine IP-Adresse übertragen.

Die Hotelsuche bettet nichts ein. Sie führt über einen Link zu Booking.com und braucht deshalb keine Einwilligung; mehr dazu unter „Partnerlinks“ (Abschnitt 9).

Stimmst du zu, werden beim Laden deine IP-Adresse und technische Angaben deines Browsers an den jeweiligen Anbieter übermittelt. Bei der Flugsuche wird zusätzlich ein Programm (JavaScript) der Ypsilon.Net AG geladen und in deinem Browser ausgeführt; es steuert die Darstellung der Suchmaske. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Welche Daten die Anbieter darüber hinaus verarbeiten — etwa wenn du eine Buchung abschließt —, liegt außerhalb unseres Einflusses. Dafür gelten deren eigene Datenschutzhinweise. Der Vertrag über eine Reise kommt nicht mit uns zustande, sondern mit dem jeweiligen Anbieter.

6. Reichweitenmessung mit Google Analytics

Stimmst du der Kategorie „Statistik“ zu, nutzen wir Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Ohne diese Zustimmung wird Google Analytics nicht geladen: Es geht keine Anfrage an Google, und es wird kein Cookie gesetzt.

Google Analytics zeigt uns, wie die Website genutzt wird — welche Seiten gelesen werden, woher Besucher kommen und mit welchen Geräten. Dafür werden beim Aufruf einer Seite unter anderem diese Angaben an Google übertragen:

• aufgerufene Seite, Datum und Uhrzeit
• Referrer-URL, also die Seite, von der du kommst
• Browser, Betriebssystem, Gerätetyp und Bildschirmauflösung
• ungefährer Standort (Land, Region, Stadt), abgeleitet aus der IP-Adresse
• eine zufällig erzeugte Kennung, an der dein Browser wiedererkannt wird

Nach Angaben von Google wird die IP-Adresse bei Besuchen aus der EU nur zur Bestimmung des ungefähren Standorts verwendet, anschließend verworfen und nicht gespeichert. Die Kennung liegt in zwei Cookies in deinem Browser, _ga und _ga_2YBM56FXPK, mit einer Laufzeit von jeweils zwei Jahren. Google Signals und die Nutzung der Daten für personalisierte Werbung sind abgeschaltet.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; das Speichern und Auslesen der Cookies beruht auf § 25 Abs. 1 TDDDG. Google verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO. Daten auf Ebene einzelner Nutzer und Ereignisse löscht Google nach zwei Monaten; zusammengefasste Berichte bleiben davon unberührt.

Dabei kann es zu einer Übermittlung an die Google LLC in den USA kommen. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich damit auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO).

7. Einwilligung und Widerruf

Buchungsmasken (Abschnitt 5) und Statistik (Abschnitt 6) fragen wir getrennt ab; du kannst dem einen zustimmen und das andere ablehnen. Vorab ist nichts angekreuzt.

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Hast du einmal entschieden, steht am Ende jeder Seite der Knopf „Einwilligung ändern“. Er löscht deine gespeicherte Entscheidung, danach fragen wir erneut. Nimmst du die Statistik zurück, werden auch die Cookies von Google Analytics in deinem Browser gelöscht. Der Widerruf ist damit genauso einfach wie die Zustimmung (Art. 7 Abs. 3 DSGVO). Bereits übermittelte Daten kann er nicht zurückholen.

Deine Entscheidung wird ausschließlich lokal in deinem Browser gespeichert (Local Storage, Schlüssel lombok-de-consent). Sie verlässt dein Gerät nicht und wird nicht an uns übertragen.

8. Fahrerverzeichnis

Fahrer und Guides auf Lombok können sich unter drivers-and-guides ein Profil anlegen, das nach der Zahlung im Verzeichnis für Reisende erscheint. Dieser Abschnitt betrifft ausschließlich sie — als Reisender legst du kein Konto an und wirst hier nicht erfasst.

Anmeldung

Zur Anmeldung genügt eine E-Mail-Adresse. Wir schicken daran einen einmaligen Anmeldelink; ein Passwort gibt es nicht und wir speichern keines. Verarbeitet werden die E-Mail-Adresse sowie Zeitpunkt und Erfolg der Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -durchführung).

Damit über das Anmeldeformular niemand massenhaft E-Mails an fremde Adressen auslösen kann, merken wir uns zu jedem verschickten Anmeldelink einen Hashwert der Adresse — nicht die Adresse selbst — und den Zeitpunkt. Diese Einträge werden nach 24 Stunden gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Missbrauch.

Profildaten — öffentlich sichtbar

Für das Profil erheben wir: Anzeigename, Art des Angebots (Fahrer, Guide oder beides), Einsatzgebiete, gesprochene Sprachen, Tagessatz, Angaben zum Fahrzeug, eine Selbstbeschreibung, angebotene Touren sowie Kontakt-E-Mail und WhatsApp-Nummer.

Diese Angaben werden, sobald das Abo läuft, öffentlich auf lombok.de angezeigt und sind für jeden Besucher und für Suchmaschinen abrufbar — einschließlich der Kontakt-E-Mail und der WhatsApp-Nummer, denn Reisende sollen den Fahrer direkt erreichen können. Wer hier etwas einträgt, veröffentlicht es. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Genau diese Veröffentlichung ist die Leistung, die der Fahrer bei uns bucht. Solange das Profil den Status Entwurf hat oder das Abo nicht läuft, sieht es niemand außer dem Fahrer selbst und uns.

Nachweise — nicht öffentlich

Zur Anmeldung verlangen wir zwei Nachweise: Führerschein und Fahrzeugschein. Sie liegen in einem privaten, nicht öffentlich abrufbaren Bereich der Dateiablage. Zugriff haben ausschließlich der Fahrer selbst und wir; im Verzeichnis erscheinen sie nie.

Zweck ist, dass diese Papiere überhaupt vorliegen: Wer sie nicht hinterlegt, kommt nicht ins Verzeichnis. Eine inhaltliche Prüfung findet nicht statt. Wir sehen sie uns an, wenn es einen Anlass gibt — etwa eine Beschwerde —, und nehmen ein Profil dann gegebenenfalls aus dem Verzeichnis. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse und das der Reisenden liegt darin, dass hinter einem Profil eine benennbare Person mit diesen Papieren steht.

Datenbank und Dateiablage

Profile, Touren und Nachweise liegen bei Supabase (Supabase Inc., USA) als Auftragsverarbeiter nach Art. 28 DSGVO. Das von uns genutzte Projekt läuft auf Servern in Frankfurt am Main. Für einen möglichen Zugriff aus einem Drittland — etwa bei Wartung und Support — gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

E-Mail-Versand

Den Anmeldelink und die Nachrichten zu deinem Profil — etwa wenn es online gestellt oder abgelehnt wurde — verschicken wir über Resend (Plus Five Five, Inc., USA) als Auftragsverarbeiter nach Art. 28 DSGVO. Resend erhält dafür deine E-Mail-Adresse und den Inhalt der Nachricht. Die Verarbeitung findet auch in den USA statt; Grundlage sind die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Zahlung

Ein Profil kostet einen festen Monatsbeitrag. Die Zahlung wickeln wir über Stripe ab (Stripe Payments Europe Ltd., Dublin, Irland; für die technische Abwicklung auch Stripe, Inc., USA, auf Grundlage der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO).

Die Zahlungsdaten selbst — Kartennummer, Bankverbindung, Rechnungsanschrift — werden unmittelbar bei Stripe eingegeben und dort in eigener Verantwortung verarbeitet. Wir sehen keine Kartendaten. Für diese Verarbeitung gilt die Datenschutzerklärung von Stripe. Bei uns gespeichert werden nur die von Stripe vergebene Kunden- und Abonnementnummer, der Zustand des Abos und das Ende der laufenden Abrechnungsperiode. Diese Angaben brauchen wir, um zu entscheiden, ob ein Profil sichtbar bleibt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer

• Profil, Touren und Konto — bis zum Ende des Abos. Danach wird das Profil aus dem Verzeichnis genommen und gelöscht, sobald keine offenen Vorgänge mehr bestehen.
• Nachweise — solange das Profil besteht; sie werden zusammen mit ihm gelöscht.
• Rechnungen und Zahlungsbelege — zehn Jahre, weil § 147 AO und § 257 HGB uns dazu verpflichten. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. c DSGVO. Diese Unterlagen sind der Löschung entzogen; sie werden nur noch für die Aufbewahrung vorgehalten.

9. Kontaktaufnahme per E-Mail

Schreibst du uns eine E-Mail, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f bzw. lit. b DSGVO. Die Daten werden gelöscht, sobald der Vorgang abgeschlossen ist und keine Aufbewahrungspflichten entgegenstehen.

10. Partnerlinks

Diese Website enthält Links zu Partnern, die mit „Anzeige“ gekennzeichnet sind. Klickst du einen solchen Link an, verlässt du unsere Seite. Ab diesem Zeitpunkt gilt die Datenschutzerklärung des jeweiligen Anbieters. Ob und wie dort Cookies gesetzt werden, liegt außerhalb unseres Einflusses. Wir übermitteln keine personenbezogenen Daten an diese Anbieter.

Dazu gehört die Hotelsuche: Sie öffnet Booking.com in einem neuen Fenster. In der Adresse stehen nur Angaben zur Suche — Reiseziel und, falls du sie eingibst, Termin und Zahl der Reisenden —, dazu unsere Partnerkennung und ein Vermerk, von welcher Stelle unserer Seite der Link kommt. Angaben zu deiner Person sind nicht darunter, und die Adresse der Seite, von der du kommst, geben wir nicht weiter.

Dazu gehört auch der Link zum Visum-Service von bali-visum.de: Er öffnet die Seite der Agentur in einem neuen Fenster. In der Adresse stehen nur unsere Partnerkennung und ein Vermerk, dass der Link von lombok.de kommt; die Adresse der Seite, von der du kommst, geben wir auch hier nicht weiter.

11. Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

Wende dich dafür formlos an info@lombok.de.

12. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren. Zuständig ist die Landesbeauftragte für den Datenschutz Sachsen-Anhalt.

13. SSL-/TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du an der Adresszeile deines Browsers, die mit https:// beginnt.