Datenschutz

Datenschutzhinweise für die TourAPI-Konsole und die TourAPI-Schnittstelle

Verantwortlicher
eMind Software GmbH, Otto-Wels-Straße 12, 52477 Alsdorf, Deutschland
Telefon: +49 2404 5966810, E-Mail: info@emind.de

Datenschutzbeauftragter
Meschke-Datenschutzbeauftragter, Am Haarberg 27, 52080 Aachen, E-Mail: info@datenschutz-aachen.de

Zweck
TourAPI ist eine Plattform für Reiseveranstalter zur Pflege von Hotel- und Vertragsdaten und zu deren Abruf durch Vertriebspartner. Wir verarbeiten personenbezogene Daten nur, soweit das für den Betrieb, die Sicherheit und die Nachvollziehbarkeit der Plattform nötig ist.

Welche Daten wir verarbeiten
- Benutzerkonto: Benutzername, Name, Rolle, zugeordneter Veranstalter, Passwort nur als sicherer Hash.
- Anmeldung und Sitzung: ein Sitzungs-Cookie (technisch notwendig, gültig höchstens 12 Stunden) und ein Geräte-Cookie, das ein bekanntes Gerät für den Schutz vor fremden Sperrversuchen erkennt (gültig bis zu 90 Tage; gespeichert wird bei uns nur ein Hash). Beide Cookies sind nur für diese Anwendung lesbar.
- Schutz vor Missbrauch: IP-Adresse und Zeitpunkt fehlgeschlagener Anmeldeversuche werden kurzzeitig im Arbeitsspeicher gehalten, um Angriffe zu bremsen.
- Änderungsprotokoll: Änderungen an Daten (wer, wann, was) werden protokolliert, damit Veranstalter Änderungen nachvollziehen können.
- Server-Protokolle: Beim Aufruf verarbeitet der Webserver technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode).
- Buchungsdaten, die Vertriebspartner über die Schnittstelle übermitteln, verarbeiten wir im Auftrag des jeweiligen Veranstalters.
- In Ihrem Browser speichert die Konsole zuletzt geöffnete Seiten lokal (localStorage); diese Angaben verlassen Ihren Browser nicht.

Hosting
Die Plattform läuft auf Servern der Hetzner Online GmbH in Deutschland. Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

API-Spielwiese auf tourapi.com
Die öffentliche Spielwiese setzt keine Cookies. Zum Schutz vor Missbrauch protokollieren wir je Anfrage Zeitpunkt, die gekürzte IP-Adresse (IPv4 auf /24, IPv6 auf /48 gekürzt), die gewählte Vorlage und das Ergebnis, nie die Eingaben im Formular. Testbuchungen der Spielwiese tragen feste Testnamen und enthalten keine Personendaten.

KI-Vertragsassistent (nur nach Freischaltung)
Hat ein Veranstalter den KI-Assistenten freigeschaltet, werden die Nachrichten im Chat und die dafür nötigen Vertragsdaten an ein Sprachmodell übermittelt. Die Übermittlung läuft über den Vermittlungsdienst Requesty (EU-Endpunkt) an ein Modell in einem Rechenzentrum in Deutschland; die Speicherung der Inhalte beim Modellanbieter ist abgeschaltet. Enthält eine Nachricht eine E-Mail-Adresse, Telefonnummer oder IBAN, sendet die Konsole sie nicht. Gespräche und Vorschläge speichern wir beim jeweiligen Veranstalter, damit er sie nachvollziehen kann.

Es werden keine Analyse- oder Werbedienste und keine Inhalte von Drittanbietern eingebunden. Die Übertragung erfolgt verschlüsselt (TLS).

Rechtsgrundlagen
Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit dem Veranstalter bzw. Vertriebspartner), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und nachvollziehbaren Betrieb), Art. 28 DSGVO für die Verarbeitung im Auftrag der Veranstalter.

Speicherdauer
Kontodaten, solange das Konto besteht; Änderungsprotokoll und Buchungsdaten, solange der Veranstaltervertrag besteht und gesetzliche Aufbewahrungsfristen es verlangen; Sitzungs- und Geräte-Cookies wie oben angegeben; Server-Protokolle des Webservers 14 Tage, Systemprotokolle 30 Tage.

Ihre Rechte
Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Wenden Sie sich dazu an die oben genannten Kontakte. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.