Datenschutzbelehrung

1. Verantwortlicher

onlysoul GmbH
Aachener Straße 326–328
50933 Köln
Vertreten durch: David Werhahn
E-Mail: contact@onlysoul.de

Für alle Fragen zum Datenschutz erreichst du uns unter dieser Adresse.

2. Das Wichtigste in Kürze

• Cookies und Dienste zur Messung oder Werbung von Dritten laden wir nur mit deiner Einwilligung.
• Wie viele Menschen unsere Seiten besuchen, zählen wir auf unserem eigenen Server, ohne Cookies und ohne Weitergabe an Dritte. Du kannst jederzeit widersprechen (Abschnitt 11).
• Wenn du eine Reise anfragst, geht deine Anfrage an uns und an die Gastgeber:innen dieser Reise (Abschnitt 7).
• Unsere Website und unsere Daten liegen bei OVHcloud in der EU. Dienste, die Daten in Länder außerhalb der EU übertragen können, nennen wir unten einzeln.

3. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, etwa über „Cookie-Einstellungen“ in der Fußzeile jeder Seite oder über den Abmeldelink im Newsletter. Der Zählung deiner Besuche widersprichst du mit einem Klick (Abschnitt 11.1).

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

4. Hosting und Auslieferung der Website

Unsere Website läuft auf einem Server von OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich, im Rechenzentrum Gravelines (Frankreich). Bilder, Videos und Dokumente liefern wir direkt aus einem Speicher von OVHcloud in Frankfurt am Main aus. Unser Werkzeug zur Reichweitenmessung (Umami, Abschnitt 11) betreiben wir selbst auf demselben Server.

Beim Aufruf einer Seite verarbeitet der Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die zuvor besuchte Seite sowie Browser und Betriebssystem. Ohne diese Daten lässt sich die Seite nicht ausliefern und nicht vor Angriffen schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO). Zugriffe protokolliert unser Server nicht. Technische Fehlermeldungen können eine IP-Adresse enthalten; sie werden laufend überschrieben und nicht ausgewertet. Mit OVH besteht ein Vertrag zur Auftragsverarbeitung.

5. Schriften (Adobe Fonts)

Für die Schriften unserer Seite nutzen wir Adobe Fonts von Adobe Systems Software Ireland Limited, 4–6 Riverwalk, Citywest Business Campus, Dublin 24, Irland. Beim Aufruf lädt dein Browser die Schriften von Servern von Adobe. Dabei erhält Adobe deine IP-Adresse und die Information, dass unsere Seite aufgerufen wurde. Adobe zählt die Aufrufe für die Lizenzabrechnung. Eine Übermittlung an Adobe Inc. in den USA ist möglich. Adobe ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist unser berechtigtes Interesse an einer einheitlichen Darstellung (Art. 6 Abs. 1 lit. f DSGVO).

6. Deine Cookie-Entscheidung

Wozu du im Cookie-Hinweis Ja oder Nein gesagt hast, speichern wir im Speicher deines Browsers (localStorage), zusammen mit dem Zeitpunkt. Diese Angabe verlässt deinen Browser nicht. Sie ist technisch notwendig, damit wir dich nicht auf jeder Seite neu fragen (§ 25 Abs. 2 TDDDG). Einzelheiten stehen in unserer Cookie-Richtlinie.

Widersprichst du der Zählung deiner Besuche (Abschnitt 11.1), setzen wir das Cookie „onlysoul-nicht-zaehlen“ für zwei Jahre. Es enthält nur diesen Wunsch und ist nötig, damit wir ihn beachten können (§ 25 Abs. 2 Nr. 2 TDDDG).

7. Anfragen, Kontakt und Rückruf

Wenn du über das Formular einer Reise anfragst, verarbeiten wir die gewählte Reise und den Termin oder die gewünschten Reisedaten, die Anzahl der Personen, deinen Vor- und Nachnamen, deine E-Mail-Adresse, deine Telefonnummer und deine Nachricht. Beim Kontakt- und Rückrufformular sind es Name, E-Mail-Adresse, Telefonnummer, auf Wunsch die Firma, der Betreff und die Nachricht. Außerdem speichern wir den Zeitpunkt deiner Zustimmung.

Zu jeder Anfrage, jeder Nachricht über das Kontakt- oder Rückrufformular und jeder Newsletter-Anmeldung speichern wir außerdem, wie du zu uns gefunden hast: die Website, von der du gekommen bist (etwa Google oder Instagram), die erste Seite, die du bei uns aufgerufen hast, und Kampagnenkennungen aus dem Link, über den du gekommen bist. Dazu merkt sich unser Server diese Angaben, die dein Browser beim Aufruf ohnehin mitschickt, bis zu sechs Stunden lang unter einem nicht umkehrbaren Wert aus IP-Adresse und Browserkennung. Auf dein Gerät greifen wir dabei nicht zu. So sehen wir, welche Wege zu Anfragen führen. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Die Angabe bleibt so lange gespeichert wie die Anfrage selbst. Hast du der Zählung widersprochen (Abschnitt 11.1), speichern wir sie nicht.

Wir nutzen diese Angaben, um deine Anfrage zu beantworten und dir ein Angebot zu machen. Rechtsgrundlage sind vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und bei allgemeinen Anfragen unser berechtigtes Interesse, dir zu antworten (Art. 6 Abs. 1 lit. f DSGVO). Die Anfrage wird in unserem System bei OVHcloud gespeichert und per E-Mail an unser Team weitergeleitet. Eine Reiseanfrage geht außerdem an die Gastgeber:innen der jeweiligen Reise, also die Unterkunft oder den Veranstalter, damit sie dir Verfügbarkeit und Angebot nennen können. Welche Gastgeber:innen das sind, siehst du auf der Seite der Reise. Manche sitzen außerhalb der EU, derzeit in Großbritannien, Marokko und Sri Lanka (Abschnitt 18). Nachrichten aus dem Kontakt- und Rückrufformular gehen nur an unser Team. Du erhältst eine Bestätigung per E-Mail. Wir löschen Anfragen, sobald wir sie für die Bearbeitung nicht mehr brauchen und keine gesetzliche Aufbewahrungspflicht besteht. Was die Gastgeber:innen mit deiner Anfrage tun, richtet sich nach ihrer eigenen Datenschutzerklärung.

8. Buchung und Reisevertrag

Buchst du eine Reise, verarbeiten wir die Daten, die wir für Vertrag, Durchführung und Abrechnung brauchen (Art. 6 Abs. 1 lit. b DSGVO). Soweit es für die Reise nötig ist, geben wir sie an die beteiligten Leistungsträger weiter, etwa die Unterkunft oder die Lehrer:innen, und an unseren Insolvenzversicherer R + V Allgemeine Versicherung AG für den Sicherungsschein. Rechnungen und Buchungsunterlagen bewahren wir auf, solange das Handels- und Steuerrecht es verlangt, in der Regel sechs bis zehn Jahre (§ 257 HGB, § 147 AO; Art. 6 Abs. 1 lit. c DSGVO).

9. E-Mail

E-Mails, die unsere Website verschickt, etwa Bestätigungen und Benachrichtigungen, sowie unsere Postfächer laufen über IONOS SE, Elgendorfer Straße 57, 56410 Montabaur. Mit IONOS besteht ein Vertrag zur Auftragsverarbeitung.

10. Newsletter

Für unseren Newsletter brauchen wir deine E-Mail-Adresse und deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Nach der Anmeldung schicken wir dir eine E-Mail mit einem Bestätigungslink (Double-Opt-in). Erst nach der Bestätigung bist du eingetragen. Zum Nachweis speichern wir den Zeitpunkt der Anmeldung und der Bestätigung sowie die IP-Adresse.

Der Versand läuft über Mailjet SAS, 43 rue de Dunkerque, 75010 Paris, Frankreich. Mailjet misst, ob ein Newsletter geöffnet und welche Links angeklickt wurden, damit wir sehen, welche Inhalte interessieren. Abmelden kannst du dich jederzeit über den Link in jeder E-Mail. Dann löschen wir deine Adresse. Den Nachweis der früheren Einwilligung bewahren wir auf, solange wir ihn zur Abwehr von Ansprüchen brauchen.

11. Reichweitenmessung mit Umami

Um zu verstehen, welche Reisen gefragt sind und wie Menschen zu uns finden, nutzen wir Umami. Umami betreiben wir selbst auf unserem Server bei OVHcloud (Abschnitt 4). Die Daten gehen an niemanden sonst. Umami setzt keine Cookies.

11.1 Zählung auf unserem Server

Wenn du eine Seite aufrufst oder ein Formular abschickst, meldet unser Server das an Umami. Dazu nutzen wir nur, was dein Browser bei jedem Seitenaufruf ohnehin mitschickt: die aufgerufene Adresse, die Seite, von der du kommst, Kampagnenkennungen in Links, Browser, Betriebssystem, Sprache und deine IP-Adresse. Auf dein Gerät greifen wir dabei nicht zu.

Umami leitet aus der IP-Adresse das Land ab und bildet aus IP-Adresse und Browserkennung einen regelmäßig wechselnden, nicht umkehrbaren Wert, um Seitenaufrufe zu einem Besuch zusammenzufassen. Die IP-Adresse selbst wird nicht gespeichert. Bei einer Anfrage zeichnen wir außerdem auf, welche Reise, welche Gastgeber:innen, welcher Reisemonat und wie viele Personen angefragt wurden, aber nichts zu deiner Person.

Zweck ist, unsere Seiten zu verbessern, zu sehen, welche Wege zu Anfragen führen, und unseren Gastgeber:innen zusammengefasste Zahlen zu ihren Reisen zu nennen. Rechtsgrundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Die Daten löschen wir nach 24 Monaten.

Widerspruch: Wenn du nicht gezählt werden möchtest, klicke auf Nicht mitzählen. Wir setzen dann das Cookie aus Abschnitt 6, und dein Browser wird nicht mehr gezählt. Rückgängig machen kannst du das hier. Hast du in deinem Browser „Global Privacy Control“ oder „Do Not Track“ eingeschaltet, zählen wir dich von vornherein nicht.

11.2 Ergänzende Messung im Browser (nur mit Einwilligung)

Wenn du im Cookie-Hinweis „Statistiken“ erlaubst, lädt dein Browser zusätzlich ein kleines Skript von unserem Server analytics.onlysoul.de. Es ergänzt die Zählung um das, was der Server nicht sieht: Seitenwechsel innerhalb unserer Seite, die Bildschirmgröße, Klicks auf „Unverbindlich anfragen“, die Nutzung der Filter in unseren Übersichten und Klicks auf unsere Profile in sozialen Netzwerken. Auch dieses Skript setzt keine Cookies und gibt nichts an Dritte weiter. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Widerrufen kannst du sie über „Cookie-Einstellungen“ in der Fußzeile.

12. Reichweitenmessung mit Google Analytics (nur mit Einwilligung)

Wenn du im Cookie-Hinweis „Statistiken“ erlaubst, nutzen wir außerdem Google Analytics 4 von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. So sehen wir, welche Reisen gesucht und gelesen werden. Deine IP-Adresse wird gekürzt. Die Werbefunktionen von Google (Google Signals, personalisierte Anzeigen) sind abgeschaltet, solange du nicht zusätzlich „Marketing“ erlaubst. Cookies: _ga und _ga_*, Laufzeit bis zu zwei Jahre. Die Daten werden nach höchstens 14 Monaten gelöscht. Eine Übermittlung an Google LLC in den USA ist möglich. Google ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

13. Werbung mit Google Ads (nur mit Einwilligung)

Wenn du „Marketing“ erlaubst, messen wir mit Google Ads (Google Ireland Limited, Anschrift wie oben), ob eine unserer Anzeigen zu einer Anfrage, einem Rückruf, einer Kontaktaufnahme oder einer Newsletter-Anmeldung geführt hat. Cookies: _gcl_au sowie IDE auf der Domain doubleclick.net. Eine Übermittlung in die USA ist möglich, Google ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

14. Karten

Auf den Seiten unserer Reisen und Unterkünfte zeigen wir eine Karte. Die Kartenbilder lädt dein Browser von OpenFreeMap, betrieben von Hyperknot Software Kft., Ungarn. Dabei erhält der Anbieter deine IP-Adresse. Nach eigenen Angaben speichert er sie nicht in Zugriffsprotokollen; Fehlerprotokolle, die eine IP-Adresse enthalten können, löscht er nach 7 Tagen. Cookies setzt OpenFreeMap nicht. Zur Auslieferung kann der Anbieter Cloudflare einsetzen; dabei ist eine Übermittlung an Cloudflare, Inc. in den USA möglich, Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist unser berechtigtes Interesse, die Lage einer Unterkunft anschaulich zu zeigen (Art. 6 Abs. 1 lit. f DSGVO).

15. Links zu sozialen Netzwerken und Bewertungen

Auf unserer Seite verlinken wir auf unsere Profile bei Pinterest, Instagram, Facebook und YouTube sowie auf unsere Bewertungen bei Trustpilot und Google. Das sind einfache Links, keine eingebetteten Plugins. Solange du nicht darauf klickst, erfährt keiner dieser Dienste von deinem Besuch. Nach dem Klick gelten die Datenschutzhinweise des jeweiligen Anbieters. Mit deiner Einwilligung zählen wir den Klick in Umami (Abschnitt 11.2).

16. Verwaltungsbereich

Unser Redaktionsbereich setzt beim Anmelden ein Sitzungscookie, damit die Anmeldung bestehen bleibt. Das betrifft nur unser Team, nicht die Besucher:innen der Website.

17. Gastgeber:innen und Interessenten

Von unseren Gastgeber:innen und von Unternehmen, mit denen wir über eine Zusammenarbeit sprechen, speichern wir Firmendaten und die Kontaktdaten der Ansprechpersonen: Name, geschäftliche E-Mail-Adresse und Telefonnummer, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer und Notizen zu unseren Gesprächen. Die Firmendaten stammen aus unserem Austausch oder aus dem Impressum des Unternehmens. Wir nutzen sie, um die Zusammenarbeit anzubahnen und durchzuführen und Rechnungen zu stellen (Art. 6 Abs. 1 lit. b und f DSGVO, bei Rechnungen lit. c). Wir löschen sie, wenn die Zusammenarbeit endet und keine Aufbewahrungspflicht mehr besteht, Daten von Interessenten spätestens zwei Jahre nach dem letzten Kontakt.

18. Übermittlung in Länder außerhalb der EU

• USA: Bei Adobe (Abschnitt 5), Google (Abschnitte 12 und 13) und Cloudflare (Karten, Abschnitt 14) können Daten in die USA übertragen werden. Für die USA besteht seit dem 10.07.2023 ein Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework). Alle drei Anbieter sind danach zertifiziert. Ergänzend gelten die Standardvertragsklauseln der EU-Kommission.
• Großbritannien: Geht deine Anfrage an Gastgeber:innen in Großbritannien (Abschnitt 7), stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich.
• Andere Länder: Geht deine Anfrage an Gastgeber:innen in einem Land ohne Angemessenheitsbeschluss, derzeit Marokko und Sri Lanka, ist die Übermittlung zur Durchführung vorvertraglicher Maßnahmen erforderlich, die du mit deiner Anfrage wünschst (Art. 49 Abs. 1 lit. b DSGVO). In diesen Ländern kann das Datenschutzniveau niedriger sein als in der EU.

19. Sicherheit

Die Verbindung zu unserer Seite ist verschlüsselt (TLS). Unsere Daten und Sicherungen liegen bei OVHcloud in der EU. Zugang zum Server haben nur wenige Personen, geschützt mit Schlüsseln und Zwei-Faktor-Anmeldung. Der Redaktionsbereich ist nur für unser Team zugänglich.

20. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 17. Oktober 2026