Datenschutzerklärung

Stand: 14. Oktober 2026

Diese Datenschutzerklärung gilt für semesterkur.com, einschließlich der dortigen Reiseinformationen, Buchungs- und Wartelistenformulare sowie der Anmeldung zu geschützten Bereichen. Sie erläutert die Verarbeitung personenbezogener Daten nach der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Für eigenständige, verlinkte Websites – auch semesterkur.de – gelten die dort veröffentlichten Datenschutzhinweise.

Verantwortlicher

Verantwortliche Stelle für die Datenverarbeitung auf dieser Website im Sinne der DSGVO ist:

Semesterkur UG (haftungsbeschränkt)
Ernst-Weyden-Straße 15
51105 Köln
Deutschland

Vertreten durch den Geschäftsführer: Andrés Mora
Telefon: +49 30 588 49 210
E-Mail: kontakt@semesterkur.de
Registereintrag: Amtsgericht Köln, HRB 125723
Link zum Impressum: Impressum

Datenschutzbeauftragter

Es ist kein Datenschutzbeauftragter bestellt. Bei Fragen zum Datenschutz und zur Ausübung deiner Rechte kannst du dich direkt an die oben genannte verantwortliche Stelle wenden.

Rechtsgrundlagen der Datenverarbeitung

Soweit in den nachfolgenden Abschnitten nicht spezifischer angegeben, verarbeiten wir personenbezogene Daten auf Basis folgender Rechtsgrundlagen:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Du hast uns deine ausdrückliche Einwilligung in die Verarbeitung bestimmter Daten für einen oder mehrere Zwecke erteilt.
• Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung ist für die Erfüllung eines Vertrages, dessen Vertragspartei du bist, oder zur Durchführung vorvertraglicher Maßnahmen (z. B. Reiseanfragen, Buchungsprozess) erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Pflicht erforderlich, der wir unterliegen (z. B. steuer- und handelsrechtliche Aufbewahrungspflichten).
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung unserer berechtigten wirtschaftlichen, technischen und organisatorischen Interessen oder der eines Dritten erforderlich, sofern nicht deine Interessen oder Grundrechte überwiegen.

Eine freiwillige Kontaktaufnahme, die Nutzung der Website oder die Kenntnisnahme dieser Erklärung ist nicht automatisch eine Einwilligung in zusätzliche Datenverarbeitungen. Wo eine Einwilligung erforderlich ist, muss sie gesondert erteilt werden.

Bereitstellung der Website und Server-Logfiles

Hosting über Cloudflare

Unsere Website wird über die Infrastruktur von Cloudflare gehostet und ausgeliefert (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Cloudflare fungiert als Content Delivery Network (CDN) und bietet Sicherheitsfunktionen wie DDoS-Schutz und SSL-Verschlüsselung.

Beim Aufruf unserer Website werden technisch erforderliche Verbindungsdaten verarbeitet. Für Betrieb, Fehleranalyse und Sicherheit können diese in technischen Protokollen erfasst werden. Dazu gehören insbesondere:

• IP-Adresse des zugreifenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei / Seite
• Übertragene Datenmenge und Zugriffsstatus (HTTP-Statuscode)
• Verwendeter Browsertyp nebst Version und Betriebssystem
• Referrer-URL (die zuvor besuchte Internetseite)

Zweck & Rechtsgrundlage: Die Erfassung dieser Daten erfolgt zur Gewährleistung der Verbindungsstabilität, der Systemsicherheit, zur Missbrauchs- und Fehleranalyse sowie zum Schutz vor böswilligen Angriffen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb unseres Online-Angebots (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Für die von uns geführten technischen Zugriffs-, Fehler- und Sicherheitsprotokolle gilt eine Löschfrist von 30 Tagen. Bei einem konkreten Sicherheitsvorfall können die für dessen Aufklärung oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlichen Protokollauszüge bis zum Abschluss des Vorgangs aufbewahrt werden. Die eigene Verarbeitung von Netzwerk- und Sicherheitsdaten durch Cloudflare richtet sich ergänzend nach den unten verlinkten Anbieterhinweisen; die 30-Tage-Frist ist keine Zusage für sämtliche internen Protokolle des Anbieters.

Weitere Informationen: Datenschutzhinweise von Cloudflare und Cloudflare Data Processing Addendum. Übermittlungen außerhalb des Europäischen Wirtschaftsraums werden im Abschnitt „Übermittlungen in Drittländer“ erläutert.

Contentoren, Backend und E-Mail-Infrastruktur

Unsere Buchungsdatenbank, die Anmeldedienste, die Rechnungsabwicklung, der E-Mail-Versand und die Medienauslieferung werden über unsere Contentoren-Infrastruktur betrieben. Contentoren ist eine Marke derselben Semesterkur UG (haftungsbeschränkt) und kein zusätzlicher externer Verantwortlicher. Die Betreiberangaben findest du im Contentoren-Impressum.

Für die Server-Infrastruktur nutzen wir Leaseweb als Hosting-Anbieter; für die Website-Auslieferung und die Wartelistenfunktionen nutzen wir außerdem Cloudflare Pages und Cloudflare D1. Hosting-Dienstleister können die für den technischen Betrieb erforderlichen Verbindungsdaten sowie die auf ihrer Infrastruktur gespeicherten Anwendungsdaten als Auftragsverarbeiter erhalten. Die Verarbeitung im Auftrag unterliegt Art. 28 DSGVO. Informationen zu Leaseweb findest du unter Leaseweb – Rechtliches und Datenschutz.

Als Datenbank- und Anwendungssoftware verwenden wir selbst gehostetes Convex; als Anmeldesoftware ZITADEL. Die Verwendung dieser Software ist nicht mit einer Nutzung der jeweiligen Cloud-Angebote gleichzusetzen und führt für sich genommen nicht zu einer Übermittlung deiner Buchungsdaten an deren Softwarehersteller. Zwecke, Datenkategorien und Speicherfristen richten sich nach den jeweiligen nachfolgenden Abschnitten.

Webanalyse und Tracking

Auf semesterkur.com ist derzeit kein clientseitiger Analysedienst wie Cloudflare Web Analytics, Google Analytics oder Meta Pixel eingebunden. Wir setzen keine Analyse- oder Marketing-Cookies und kein websiteübergreifendes Werbetracking ein. Davon zu unterscheiden ist die Verarbeitung technischer Verbindungs- und Sicherheitsdaten beim Hosting und bei der Auslieferung der Website. Eine pauschale Aussage, dass beim Websitebesuch keine personenbezogenen Daten verarbeitet werden, wäre deshalb unzutreffend.

Für die von dir aufgerufene externe Stripe-Zahlungsseite gelten zusätzlich die im Abschnitt „Zahlungsabwicklung“ beschriebenen Verarbeitungen.

Lokale Speicherung im Browser & Cookies

Technisch notwendige Speicherung (TDDDG)

Auf unserer Website verwenden wir keine Werbe-, Tracking- oder Marketing-Cookies.

Zur Gewährleistung bestimmter technischer Funktionen setzen wir technisch erforderliche Mechanismen ein:

• Freiwillige Speicherung des Buchungsformulars (LocalStorage): Nur wenn du die standardmäßig deaktivierte Auswahl „Buchungsentwurf auf diesem Gerät speichern“ aktivierst, speichern und lesen wir unter semesterkur:booking:<Reisetermin> den gewählten Termin, eine technische Kennung zur Vermeidung doppelter Buchungsanfragen, Reisendenangaben einschließlich ausgewählter Optionen und Zusatzantworten sowie die Rechnungsadresse. Der Entwurf enthält außerdem eine Kennzeichnung deiner erteilten Einwilligung. Ohne Auswahl bleiben deine Eingaben nur im laufenden Formular und werden nicht als dauerhafter Browserentwurf gespeichert. Beim erneuten Aufruf kannst du die Speicherung wieder aktivieren, um einen vorhandenen Entwurf fortzusetzen; bereits neu eingegebene Angaben werden nicht überschrieben. Die Buchung ist auch ohne diese Auswahl möglich.
• Löschung und Widerruf des Browserentwurfs: Deaktivieren der Auswahl widerruft deine Einwilligung für die Zukunft, beendet die Speicherung und löscht die lokale Kopie, ohne deine aktuellen Formulareingaben zu verwerfen. Auch bei erfolgreicher Übernahme des Formulars in einen serverseitigen Buchungsentwurf wird die lokale Kopie gelöscht – nicht erst nach Zahlung. Bei Abbruch oder fehlgeschlagener Übermittlung bleibt eine mit deiner Einwilligung gespeicherte Kopie sonst bis zur Löschung erhalten; eine automatische zeitliche Löschung erfolgt derzeit nicht. Du kannst sie jederzeit über die Websitedaten für semesterkur.com in deinem Browser entfernen. Alte Browserentwürfe ohne die Einwilligungskennzeichnung werden nicht wiederhergestellt. Die serverseitige Speicherung nach dem Absenden wird im Abschnitt „Reisebuchung und Vertragsabwicklung“ erläutert.
• Wartelisten (LocalStorage): eventkomitee_waitlist_private_token_v1 und ersti_skifahrt_waitlist_private_token_v1 enthalten eine private Zugangskennung, mit der du deinen eigenen Eintrag erneut aufrufen und ändern kannst. Sie bleiben gespeichert, bis sie entfernt oder die Websitedaten im Browser gelöscht werden. Behandle diese Kennungen wie einen Zugangsschlüssel.
• Anmeldung (Cookies): Bei der Nutzung geschützter Bereiche speichert semesterkur-session die Anmeldesitzung mit einer maximalen Laufzeit von 30 Tagen. Das Cookie __Host-contentoren-oidc-transaction sichert den Anmeldevorgang ab und läuft nach 10 Minuten ab bzw. wird bei dessen Abschluss entfernt. Diese Cookies sind gegen JavaScript-Zugriffe geschützt (HttpOnly), werden auf HTTPS-Verbindungen als Secure-Cookies übertragen und nutzen SameSite=Lax. Es handelt sich nicht um reine Cookies, die zwingend beim Schließen des Browsers verfallen.

Rechtsgrundlage: Die freiwillige Speicherung und Wiederherstellung des Buchungsformulars erfolgt auf Grundlage deiner Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Die für den ausdrücklich gewünschten Zugriff auf deinen Wartelisteneintrag und für eine sichere Anmeldung erforderlichen Zugangsschlüssel bzw. Cookies werden nach § 25 Abs. 2 Nr. 2 TDDDG gespeichert und ausgelesen. Die Verarbeitung der entsprechenden Anwendungsdaten beruht bei der Buchungsanbahnung auf Art. 6 Abs. 1 lit. b DSGVO und bei der Absicherung von Zugängen auf Art. 6 Abs. 1 lit. f DSGVO. Nicht erforderliche Speicherung oder Zugriffe erfolgen nicht ohne vorherige Einwilligung.

Du kannst Cookies und Websitedaten in den Einstellungen deines Browsers löschen oder deren Speicherung einschränken. Dadurch können gespeicherte Eingaben und Zugänge verloren gehen. Nutze auf gemeinsam verwendeten Geräten insbesondere nach einer Buchung oder Anmeldung die Abmeldung und lösche verbleibende Websitedaten.

Anmeldung und Zugriffsverwaltung

Wenn du dich für einen geschützten Bereich über Contentoren anmeldest, verarbeiten wir die vom Anmeldedienst bestätigte Nutzer- und Anbieterkennung, Namen, Benutzernamen, verifizierte E-Mail-Adresse und gegebenenfalls Profilbild bzw. Profilangaben. Dazu kommen die für den Zugang erforderliche Organisationszugehörigkeit, Berechtigungen und Rollen sowie Sitzungskennungen, Anmeldemethode, Gültigkeits- und Bearbeitungszeitpunkte. Die Verarbeitung findet nicht allein beim Besuch einer öffentlichen Informationsseite statt, sondern im Zusammenhang mit der Anmeldung und Nutzung des geschützten Zugangs.

Zweck und Rechtsgrundlage: Identifizierung berechtigter Personen, sichere Anmeldung, Zuordnung von Zugriffsrechten und Missbrauchsabwehr auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Soweit ein Zugang Teil einer mit dir vereinbarten Leistung ist, erfolgt die dafür erforderliche Verarbeitung nach Art. 6 Abs. 1 lit. b DSGVO. Ohne die erforderlichen Identifizierungs- und Berechtigungsdaten können wir den geschützten Zugang nicht bereitstellen.

Speicherdauer: Kontodaten und Berechtigungen werden so lange benötigt, wie der betreffende Zugang besteht. Nach dessen Beendigung werden nicht mehr erforderliche Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder konkreten Rechtsansprüche entgegenstehen. Eine Abmeldung beendet die Nutzung der betreffenden Sitzung, ist aber keine Löschung des Nutzerkontos. Auch die Sperrung oder das Ablaufen einer Sitzung ist nicht zwingend mit der sofortigen Entfernung des zugehörigen Datenbankeintrags verbunden. Die Laufzeiten der Browser-Cookies sind oben beschrieben; für eigene technische Sicherheitsprotokolle gilt die 30-Tage-Frist.

Schriftarten, Bilder und Videos

Schriftarten (Inter und Bricolage Grotesque), Bilder und Videos laden wir über unseren Medienservice unter assets-service-public.contentoren.de. Dabei werden technisch erforderliche Verbindungsdaten, insbesondere deine IP-Adresse, die angeforderte Datei, der Zugriffszeitpunkt und Browserinformationen, an die ausliefernde Infrastruktur übermittelt. Für Betreiber, Hosting und technische Protokolle gelten die oben beschriebenen Hinweise. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die zuverlässige und einheitliche Darstellung unseres Angebots.

Die Schriftarten werden nicht von Google Fonts abgerufen. Die Videos werden als Mediendateien bereitgestellt, nicht als eingebettete YouTube- oder Vimeo-Player. Links auf externe Angebote sind davon zu unterscheiden.

Reisebuchung und Vertragsabwicklung

Wenn du über unsere Website eine Reise (z. B. Surf- oder Skireise) buchst oder ein Angebot anforderst, erheben und verarbeiten wir die dafür notwendigen personenbezogenen Daten.

Verarbeitete Datenkategorien:

• Buchungskontakt / Rechnungsadresse: Vor- und Nachname, Anschrift, E-Mail-Adresse, Telefonnummer
• Reisende Personen: Vor- und Nachname, Geburtsdatum, Geschlecht, E-Mail-Adresse und Telefonnummer, soweit das konkrete Buchungsformular diese Angaben abfragt
• Statusangaben: Studierendenstatus und, abhängig vom Reiseangebot, Studierendennummer, Hochschule oder erforderliche Nachweise
• Reisedetails & Optionen: Gewählter Reisezeitraum, Unterkunft, gebuchte Extras (z. B. Kurse, Leihausrüstung, Skipass, Flexi-Buchung)
• Zusatzangaben und Unterlagen: Antworten auf die beim jeweiligen Angebot angezeigten Zusatzfelder sowie von dir eingereichte Reiseunterlagen
• Abwicklungsdaten: Buchungs- und Zahlungskennungen, Preis, Zahlungs- und Bearbeitungsstatus, Rechnungen sowie die zugehörige Kommunikation

Welche Angaben erforderlich sind, erkennst du am jeweiligen Formular. Die Bereitstellung ist nicht allgemein gesetzlich vorgeschrieben; ohne die zur Buchung und Reiseabwicklung erforderlichen Angaben können wir die betreffende Leistung jedoch nicht anbieten. Freiwillige Angaben sind keine Voraussetzung für die Buchung. Buchst du für andere Personen, informiere sie über diese Datenschutzerklärung und übermittle nur Angaben, zu deren Weitergabe du berechtigt bist.

Zweck und Rechtsgrundlagen:

1. Durchführung des Reisevertrags (Art. 6 Abs. 1 lit. b DSGVO): Wir verarbeiten deine Daten zur Entgegennahme der Buchung, Bestätigung, Organisation und Durchführung der gebuchten Reiseleistungen, Bereitstellung von Reiseunterlagen sowie zur Betreuung vor Ort.
2. Gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): Erfüllung einschlägiger steuer-, handels- und melderechtlicher Pflichten.
3. Sicherheit und Nachweisführung (Art. 6 Abs. 1 lit. f DSGVO): Vermeidung doppelter oder missbräuchlicher Buchungen, Zuordnung von Zahlungen und Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Bitte übermittle in allgemeinen Freitextfeldern keine Gesundheitsdaten oder andere besonders geschützte Angaben. Sollte eine konkrete Reiseleistung solche Angaben benötigen, sind hierfür gesonderte Informationen und eine Rechtsgrundlage nach Art. 9 DSGVO erforderlich; eine erforderliche ausdrückliche Einwilligung wird gesondert eingeholt und nicht durch die Buchung oder diese Erklärung ersetzt.

Speicherdauer: Für nicht abgeschlossene serverseitige Buchungsentwürfe gilt eine Aufbewahrungsfrist von höchstens 30 Tagen. Das Ablaufen einer Platzreservierung ist nicht gleichbedeutend mit der sofortigen Löschung des Entwurfs. Wird daraus eine Buchung, gelten die nachfolgend beschriebenen Fristen für Vertrags- und Abrechnungsunterlagen. Für lokale Entwürfe in deinem Browser gelten die abweichenden Speicherhinweise oben.

Weitergabe an Leistungsträger:

Zur Erfüllung des Reisevertrags übermitteln wir erforderliche Daten an die an der Durchführung deiner Reise beteiligten Leistungsträger:

• Unterkünfte / Hotels zur Zimmerbelegung
• Verleihstationen für Sportausrüstung (Ski/Snowboard/Surfen)
• Lokale Skischulen / Surfschulen für die Kurseinteilung
• Beförderungsunternehmen bei optional gebuchter Busanreise oder Shuttles

Eine Weitergabe erfolgt strikt zweckgebunden und nur in dem für die Leistungserbringung zwingend erforderlichen Umfang.

Wartelisten

Bei den Wartelisten für das Eventkomitee und die Ersti-Skifahrt verarbeiten wir Vorname, Nachname und die gewünschte Anzahl an Plätzen (1 bis 5) sowie Erstellungs- und Änderungszeitpunkte. Der Eintrag wird in Cloudflare D1 gespeichert. Zur geschützten Wiedererkennung deines Eintrags speichern wir serverseitig den Hash einer privaten Zugangskennung; die Kennung selbst wird an deinen Browser übergeben. Mit dem Eintrag wird kein allgemeines Newsletter-Abonnement abgeschlossen.

Zweck und Rechtsgrundlage: Bearbeitung deines unverbindlichen Interesses an der jeweiligen Reise und Verwaltung der angefragten Plätze auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage); die Absicherung des Eintrags beruht auf Art. 6 Abs. 1 lit. f DSGVO. Die Teilnahme ist freiwillig. Ohne die abgefragten Angaben können wir deinen Eintrag nicht zuordnen.

Speicherdauer: Für serverseitige Wartelisteneinträge gilt eine Aufbewahrungsfrist von höchstens 30 Tagen. Du kannst die Löschung auch vorher über die oben genannten Kontaktdaten verlangen. Eine anschließende Reisebuchung ist eine eigene Verarbeitung mit den dafür geltenden Fristen. Das Löschen des Zugangsschlüssels im Browser allein löscht den serverseitigen Eintrag nicht.

Zahlungsabwicklung

Zur sicheren Abwicklung von Zahlungen bieten wir verschiedene Zahlungsmethoden an:

Stripe

Für Online-Zahlungen nutzen wir Stripe. Vertragspartner für die Zahlungsabwicklung im Europäischen Wirtschaftsraum ist Stripe Payments Europe, Limited, Irland. Bei eigenen Verarbeitungen von Stripe sind abhängig von der Leistung auch Stripe Technology Company, Limited, und Stripe Technology Europe, Limited, Irland, beteiligt. Die Zuständigkeiten erläutert das Stripe Privacy Center.

Wenn du die Online-Zahlung startest, werden über unsere Contentoren-Rechnungsabwicklung die erforderlichen Kontakt- und Rechnungsdaten (Name, E-Mail-Adresse, gegebenenfalls Telefonnummer und Anschrift), Buchungs- und Zahlungsreferenzen sowie Angaben zur gebuchten Leistung, Preis, Währung und Steuerberechnung an Stripe übermittelt. Anschließend wirst du auf die gehostete Zahlungsseite unter checkout.stripe.com weitergeleitet. Die dort angebotenen Zahlungsmethoden richten sich nach dem konkreten Zahlungsvorgang.

Kartendaten und andere Angaben zur gewählten Zahlungsmethode gibst du direkt auf der Stripe-Zahlungsseite ein. Wir speichern keine vollständigen Kartennummern oder Kartenprüfnummern. Wir erhalten die für die Zuordnung, Bestätigung und gegebenenfalls Erstattung der Zahlung erforderlichen Transaktionskennungen und Statusinformationen. Auf seiner Zahlungsseite kann Stripe zusätzlich Geräte- und Verbindungsdaten, Cookies und ähnliche Technologien zur Authentifizierung, Betrugsverhinderung und Verbesserung seiner Zahlungsdienste verarbeiten. Stripe wird nicht als Zahlungs- oder Analyseskript auf unseren allgemeinen Informationsseiten eingebunden.

Rechtsgrundlage: Die Datenverarbeitung erfolgt zur Erfüllung des Vertrages und Abwicklung des Zahlungsverkehrs gemäß Art. 6 Abs. 1 lit. b DSGVO sowie auf Grundlage unseres berechtigten Interesses an einer sicheren, reibungslosen und betrugsgeschützten Zahlungsabwicklung gemäß Art. 6 Abs. 1 lit. f DSGVO.

Stripe verarbeitet Daten teils in unserem Auftrag und teils als eigener Verantwortlicher, insbesondere zur Einhaltung seiner gesetzlichen Pflichten und zur Betrugsbekämpfung. Dabei können auch automatisierte Risikoprüfungen stattfinden. Für die eigene Speicherdauer, Empfänger, eingesetzte Technologien und internationale Übermittlungen gelten ergänzend die Datenschutzerklärung von Stripe, die Cookie-Hinweise und der Stripe-Datenübertragungszusatz.

Banküberweisung

Bei Zahlung per Banküberweisung verarbeiten wir deine Bankverbindungsdaten (IBAN, Kontoinhaber, Verwendungszweck mit Buchungsnummer), die uns durch deine Überweisung übermittelt werden, zur Zuordnung und Verbuchung des Reisepreises auf unserem Geschäftskonto (Art. 6 Abs. 1 lit. b DSGVO).

E-Mail-Versand und Dokumentenzustellung

Wir nutzen unsere Contentoren-E-Mail-Infrastruktur (email.contentoren.de) für Buchungsbestätigungen, Rechnungen, Reiseunterlagen und organisatorische Hinweise. Dabei verarbeiten wir Empfängeradresse, gegebenenfalls Namen, Betreff, Nachrichteninhalt und Anhänge sowie technische Zustellinformationen. Der Versand zwischen unserer Anwendung und dem Mailserver erfolgt transportverschlüsselt. Auch dein E-Mail-Anbieter verarbeitet die zur Zustellung erforderlichen Daten.

Zweck & Rechtsgrundlage: Die Verarbeitung dient der Erfüllung unserer vertraglichen Pflichten aus dem Reisevertrag (Art. 6 Abs. 1 lit. b DSGVO).

Kontaktaufnahme und Kommunikation

Kontaktaufnahme per E-Mail oder Telefon

Wenn du uns per E-Mail oder Telefon kontaktierst, werden deine Angaben (z. B. Name, Rufnummer, E-Mail-Adresse und Inhalt deiner Anfrage) zum Zwecke der Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (sofern deine Anfrage auf den Abschluss oder die Durchführung eines Vertrages gerichtet ist) bzw. Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Beantwortung deiner Kontaktaufnahme).

WhatsApp & WhatsApp-Reisegruppen

Wir verlinken den Nachrichtendienst WhatsApp, angeboten in der europäischen Region von WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland. Eine Verbindung zum verlinkten WhatsApp-Angebot wird erst durch dessen Aufruf hergestellt. Zusätzlich bieten wir Links zu Reisegruppen an.

• Einzelkontakt via WhatsApp: Schreibst du uns über WhatsApp, übermittelst du uns deine Telefonnummer sowie deinen bei WhatsApp hinterlegten Profilnamen und den Inhalt der Nachricht.
• WhatsApp-Reisegruppe: Der Beitritt ist freiwillig. Andere Gruppenmitglieder können deine Telefonnummer, deinen Profilnamen, abhängig von deinen Einstellungen dein Profilbild und deine in der Gruppe geteilten Nachrichten sehen. Bereits von anderen gespeicherte Nachrichten oder Kontaktdaten werden durch einen späteren Austritt nicht zurückgerufen. Du kannst uns alternativ per E-Mail oder Telefon kontaktieren.
• Verarbeitung durch WhatsApp: WhatsApp verarbeitet insbesondere Konto-, Geräte-, Verbindungs- und Nutzungsdaten auch für eigene Zwecke und kann Daten an Unternehmen der Meta-Gruppe und Dienstleister außerhalb des Europäischen Wirtschaftsraums übermitteln. Die Ende-zu-Ende-Verschlüsselung von Nachrichten verhindert nicht die Verarbeitung dieser Metadaten. Weitere Informationen, auch zu Übermittlungsgarantien und Speicherfristen, findest du in der WhatsApp-Datenschutzerklärung.

Rechtsgrundlage: Wir bearbeiten deine über WhatsApp gestellte Anfrage auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit sie eine Buchung oder deren Vorbereitung betrifft; bei anderen Anliegen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Beantwortung deiner Anfrage über den von dir gewählten Kontaktkanal). Die freiwillige Teilnahme an einer Reisegruppe beruht auf Art. 6 Abs. 1 lit. a DSGVO; du kannst sie durch Austritt für die Zukunft beenden. Übermittle dort keine Gesundheitsdaten, Ausweiskopien oder vollständigen Zahlungsdaten.

Social-Media-Präsenzen

Wir unterhalten Profile in sozialen Netzwerken (Instagram, TikTok, Facebook), um dort unsere Angebote zu präsentieren und mit Interessierten in Kontakt zu treten:

• Instagram & Facebook: Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland.
• TikTok: TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland.

Auf unserer Website befinden sich ausschließlich einfache Hyperlinks (statische Links) zu unseren Profilen. Es sind keine Social-Plugins oder Tracking-Pixel eingebunden. Beim bloßen Besuch unserer Website werden daher keine Daten an die Betreiber der sozialen Netzwerke übermittelt. Erst wenn du einen solchen Link aktiv anklickst, wirst du auf die Seite des jeweiligen Anbieters weitergeleitet. Dort gelten die Datenschutzbestimmungen der jeweiligen Plattform.

Speicherdauer und Datenlöschung

Wir verarbeiten und speichern deine personenbezogenen Daten nur so lange, wie es für die Erreichung des jeweiligen Speicherungszwecks erforderlich ist:

• Eigene technische Protokolle: Löschung nach 30 Tagen, vorbehaltlich erforderlicher Nachweise zu konkreten Sicherheitsvorfällen.
• Nicht abgeschlossene serverseitige Buchungsentwürfe und Wartelisteneinträge: Aufbewahrung für höchstens 30 Tage. Für lokale Browserspeicher und die eigene Verarbeitung externer Anbieter gelten die gesondert beschriebenen Fristen.
• Allgemeine Anfragen: Löschung, sobald der Sachverhalt abschließend geklärt ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.
• Reiseabwicklung: Aufbewahrung, solange die Daten für die Durchführung und Nachbereitung der Reise erforderlich sind. Nicht mehr benötigte Zusatzangaben und Unterlagen werden nicht allein wegen der Aufbewahrungspflicht einer Rechnung weiter gespeichert.
• Vertrags- und Abrechnungsunterlagen: Nach den einschlägigen gesetzlichen Pflichten aus § 147 AO und § 257 HGB gelten insbesondere 8 Jahre für Buchungsbelege einschließlich Rechnungen, 6 Jahre für Handels- und Geschäftsbriefe sowie 10 Jahre für Bücher und die dafür gesetzlich vorgesehenen Aufzeichnungen. Der Fristbeginn richtet sich nach der jeweiligen Vorschrift, regelmäßig dem Ende des maßgeblichen Kalenderjahres. Gesetzliche Sonderfälle können die Frist verlängern. Die Aufbewahrung einer Rechnung bedeutet nicht, dass sämtliche Reisendenangaben oder Browserentwürfe ebenso lange aufbewahrt werden.
• Rechtsansprüche: Soweit konkrete Ansprüche bestehen oder zu erwarten sind, bewahren wir die dafür erforderlichen Daten bis zum Abschluss des Vorgangs bzw. bis zum Ablauf einschlägiger Verjährungsfristen auf. Die regelmäßige Verjährungsfrist beträgt grundsätzlich drei Jahre, regelmäßig ab Ende des maßgeblichen Kalenderjahres; im Einzelfall gelten andere Fristen.

Nach Wegfall des Zwecks und Ablauf einschlägiger Fristen werden Daten gelöscht oder irreversibel anonymisiert. Daten, die nur noch wegen einer Aufbewahrungspflicht oder zur Rechtsverteidigung benötigt werden, werden nicht für andere Zwecke weiterverwendet. Löschungen aus laufenden Systemen können in abgeschotteten Sicherungskopien erst mit deren regulärem Überschreiben wirksam werden; solche Kopien dienen ausschließlich der Wiederherstellung und nicht der laufenden Nutzung.

Empfänger und Übermittlungen in Drittländer

Zugriff auf personenbezogene Daten erhalten nur die für den jeweiligen Zweck zuständigen Personen sowie erforderliche technische Dienstleister und Reiseleistungsträger. Weitere Empfänger können Zahlungsdienstleister und Banken, Steuer- und Rechtsberatung sowie Behörden oder Gerichte sein, soweit dies zur Vertragsabwicklung erforderlich ist, gesetzlich verlangt wird oder zur Rechtsverfolgung notwendig ist. Die jeweilige Rechtsgrundlage ist Art. 6 Abs. 1 lit. b, c oder f DSGVO, abhängig vom konkreten Zweck. Eine Einwilligung ist einzuholen, wenn für die betreffende Weitergabe keine andere Rechtsgrundlage besteht.

Übermittlungen in Drittländer

Insbesondere bei Cloudflare, Stripe und der freiwilligen Nutzung von WhatsApp können Daten außerhalb der EU bzw. des Europäischen Wirtschaftsraums verarbeitet werden, unter anderem in den USA. Eine Rechtsgrundlage nach Art. 6 DSGVO allein genügt für solche Übermittlungen nicht; zusätzlich müssen die Anforderungen der Art. 44 ff. DSGVO erfüllt sein.

Cloudflare und Stripe beschreiben in den oben verlinkten Datenschutz- und Datenverarbeitungsbedingungen die Nutzung des EU-US Data Privacy Framework für Übermittlungen an entsprechend zertifizierte US-Unternehmen sowie der Standardvertragsklauseln der EU-Kommission. Eine Übermittlung auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO setzt voraus, dass dieser für den konkreten Empfänger gilt und dessen Zertifizierung die betreffende Verarbeitung umfasst. Andernfalls sind geeignete Garantien nach Art. 46 DSGVO, insbesondere Standardvertragsklauseln und gegebenenfalls ergänzende Schutzmaßnahmen, erforderlich. Nicht jede US-Gesellschaft ist dadurch pauschal abgedeckt.

Informationen und eine Kopie der für eine konkrete Übermittlung maßgeblichen Garantien kannst du über kontakt@semesterkur.de anfordern. In Drittländern können abweichende Zugriffsrechte von Behörden und Rechtsschutzmöglichkeiten bestehen. Für die eigene Verarbeitung durch WhatsApp erläutert der Anbieter seine Garantien in den verlinkten Datenschutzhinweisen.

Deine Rechte

Dir stehen nach Maßgabe der jeweiligen gesetzlichen Voraussetzungen folgende Rechte zu:

1. Recht auf Auskunft (Art. 15 DSGVO): Du kannst jederzeit Auskunft darüber verlangen, ob und welche personenbezogenen Daten wir über dich verarbeiten, über die Verarbeitungszwecke, die Kategorien der Daten, die Empfänger sowie die geplante Speicherdauer.
2. Recht auf Berichtigung (Art. 16 DSGVO): Du hast das Recht, die unverzügliche Berichtigung unrichtiger oder die Vervollständigung deiner bei uns gespeicherten personenbezogenen Daten zu verlangen.
3. Recht auf Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner bei uns gespeicherten Daten verlangen („Recht auf Vergessenwerden“), sofern der Verarbeitung keine gesetzlichen Aufbewahrungspflichten oder berechtigte Gründe entgegenstehen.
4. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Du hast das Recht, die Einschränkung der Verarbeitung deiner Daten zu verlangen, wenn die Richtigkeit der Daten bestritten wird, die Verarbeitung unrechtmäßig ist, wir die Daten nicht mehr benötigen oder du Widerspruch eingelegt hast.
5. Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Du hast das Recht, Daten, die wir auf Grundlage deiner Einwilligung oder eines Vertrags automatisiert verarbeiten, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen übertragen zu lassen.
6. Widerspruchsrecht (Art. 21 DSGVO):
   Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) erfolgt. Verarbeiten wir Daten für Zwecke der Direktwerbung, hast du das Recht, jederzeit ohne Angabe von Gründen Widerspruch einzulegen.
7. Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO): Du hast das Recht, eine einmal erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt davon unberührt.
8. Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO): Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen die DSGVO verstößt.

Für die Ausübung deiner Rechte genügt eine Nachricht an kontakt@semesterkur.de. Bei einem Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen verarbeiten wir die betreffenden Daten nicht weiter, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Einer Verwendung für Direktwerbung kannst du jederzeit ohne Begründung widersprechen; diese Verwendung wird dann beendet.

Wir beantworten Betroffenenanfragen grundsätzlich innerhalb eines Monats nach Eingang. Bei einer gesetzlich zulässigen Verlängerung informieren wir dich innerhalb dieses Monats über die Gründe. Eine Beschwerde bei einer Aufsichtsbehörde setzt nicht voraus, dass du dich zuvor an uns wendest.

Zuständige Aufsichtsbehörde

Die für unseren Unternehmenssitz in Nordrhein-Westfalen zuständige Datenschutzaufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: +49 211 38424-0
Telefax: +49 211 38424-999
E-Mail: poststelle@ldi.nrw.de
Website: https://www.ldi.nrw.de

Du kannst dich ebenso an die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des vermuteten Verstoßes wenden. Beschwerdemöglichkeiten bei der LDI NRW.

Datensicherheit (SSL-/TLS-Verschlüsselung)

Diese Website nutzt HTTPS mit TLS-Verschlüsselung, um Daten während der Übertragung zu schützen. Geschützte Bereiche sind zugriffsbeschränkt. Transportverschlüsselung schützt nicht vor jedem Risiko, insbesondere nicht vor Zugriffen auf ein ungeschütztes Endgerät oder vor der Weitergabe bereits empfangener Nachrichten.

Automatisierte Entscheidungen

Wir selbst treffen keine ausschließlich automatisierten Entscheidungen im Sinne des Art. 22 DSGVO, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen. Automatisierte Risikoprüfungen durch Stripe sind im Abschnitt „Zahlungsabwicklung“ beschrieben; diese Aussage ist keine pauschale Zusicherung für die eigene Verarbeitung externer Zahlungsanbieter.

Aktualität und Änderung dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die tatsächlich eingesetzten Funktionen, Dienstleister oder rechtlichen Anforderungen ändern. Die aktuelle Fassung ist unter semesterkur.com/datenschutz abrufbar. Eine Änderung der Erklärung ersetzt keine für neue Verarbeitungen erforderliche Einwilligung.