Datenschutzerklärung

1. Verantwortlicher

Hemkemeier & Awad GbR Mühlstraße 41, 71229 Leonberg, Deutschland E-Mail: team@sommeliero.com

Vertreten durch die Gesellschafter Jan Hemkemeier und Adrian Awad.

2. Gemeinsame Verantwortlichkeit mit den Betrieben

Sommeliero ist eine Buchungsplattform. Die Erlebnisse werden von den jeweiligen Betrieben angeboten und durchgeführt.

Für die Abwicklung Ihrer Buchung sind wir und der jeweilige Betrieb gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO. Wir haben die Zuständigkeiten wie folgt aufgeteilt:

Sie können Ihre Rechte gegenüber jedem von uns geltend machen (Art. 26 Abs. 3 DSGVO). Wenden Sie sich am einfachsten an uns – wir haben die technischen Mittel, Ihre Anfrage zu bearbeiten. Ein Betrieb, den Sie ansprechen, leitet Ihre Anfrage unverzüglich an uns weiter.

Für den Betrieb der Plattform selbst – Bereitstellung der Software, Abrechnung unserer Gebühr, Sicherheit und statistische Auswertungen über alle Betriebe hinweg – sind wir allein verantwortlich.

3. Welche Daten wir verarbeiten

3.1 Wenn Sie ein Erlebnis buchen

Vorname, Nachname, E-Mail-Adresse, optional Telefonnummer und eine Bemerkung, die Sie selbst eingeben. Dazu die Buchungsdaten: gewähltes Erlebnis, Termin, Personenzahl, Preis, Zahlungsstatus sowie der Weg, über den die Buchung zustande kam (etwa Buchungsseite oder eingebettetes Widget) – letzteres ohne Cookies und ohne geräteübergreifende Verfolgung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Erfüllung des Vertrags, den Sie mit dem Betrieb schließen.

Zur Bemerkung: Bitte geben Sie dort keine Gesundheitsdaten oder Angaben über andere Personen ein. Wenn Sie es doch tun, verarbeiten wir sie ausschließlich zur Durchführung Ihrer Buchung und löschen sie mit der Anonymisierung (Kapitel 6).

3.2 Wenn Sie einen Gutschein kaufen

Zusätzlich: Name der beschenkten Person und Ihre Widmung, sofern Sie sie angeben. Diese Angaben erscheinen auf dem Gutschein-Dokument.

3.3 Wenn Sie sich auf eine Warteliste setzen

Ihre E-Mail-Adresse und die gewünschte Personenzahl, bis der Platz vergeben oder der Termin vorbei ist.

3.4 Wenn Sie eine Bewertung abgeben

Ihre Sternebewertung, Ihr Text und der Anzeigename, den Sie wählen. Bewertungen sind öffentlich sichtbar. Der Anzeigename ist frei wählbar – wir empfehlen, nicht den vollen Namen zu verwenden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO – Ihre Einwilligung, die Sie mit dem Absenden erteilen.

3.5 Wenn Sie eine Bewertung melden

Ihre E-Mail-Adresse, der gewählte Meldegrund und Ihre Ergänzung. Die Adresse benötigen wir, um Ihnen unsere Entscheidung mitzuteilen; wir verwenden sie ausschließlich dafür.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse an einer funktionierenden Meldemöglichkeit sowie Ihres an einer Rückmeldung.

3.6 Wenn Sie ein Betriebskonto anlegen

Name, E-Mail-Adresse und ein Passwort, das wir ausschließlich als kryptografischen Hashwert (argon2id) speichern – im Klartext ist es uns nicht bekannt. Dazu die Angaben Ihres Betriebs und der Zeitpunkt und die Fassung der Dokumente, denen Sie zugestimmt haben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.6a Wenn Sie Neuigkeiten, Angebote und Aktionen erhalten möchten

Bei der Anmeldung können Sie freiwillig einwilligen, von uns Neuigkeiten, Angebote und Aktionen per E-Mail zu erhalten. Wir speichern dafür Ihre E-Mail-Adresse und den Zeitpunkt Ihrer Einwilligung – Letzteren, weil wir sie im Streitfall nachweisen können müssen.

Die Einwilligung ist keine Voraussetzung für die Anmeldung: Ohne sie können Sie ein Betriebskonto genauso anlegen und nutzen.

Sie können jederzeit widerrufen – formlos an die in Abschnitt 1 genannte Adresse oder über den Abmeldeverweis in jeder solchen E-Mail. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Nach dem Widerruf löschen wir den Zeitpunkt Ihrer Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 7 Abs. 2 Nr. 3 UWG.

3.7 Automatisch beim Besuch

Zugriffsdaten, die jeder Webserver verarbeitet: IP-Adresse, Zeitpunkt, aufgerufene Seite, übertragene Datenmenge. Dazu ein technisch notwendiges Sitzungs-Cookie, sobald Sie sich anmelden.

Ohne Ihre Einwilligung setzen wir keine Cookies zu Werbe- oder Analysezwecken ein und binden keine Dienste ein, die Ihr Verhalten über unsere Seiten hinaus verfolgen. Haben Sie eingewilligt, gilt zusätzlich Abschnitt 3.9.

Während einer Buchung speichert Ihr Browser Ihre Eingaben (Name, E-Mail-Adresse, gegebenenfalls Telefonnummer und Bemerkung) vorübergehend lokal auf Ihrem Gerät, damit sie beim Wechsel zur Bezahlseite und zurück nicht verloren gehen. Diese Speicherung verlässt Ihr Gerät nicht, gilt nur für den geöffneten Browser-Tab und wird nach Abschluss der Buchung gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am sicheren Betrieb; für das Sitzungs-Cookie und die Speicherung im Browser § 25 Abs. 2 Nr. 2 TDDDG, da für den von Ihnen gewünschten Dienst unbedingt erforderlich.

3.8 Wenn Sie eine Einrichtung anfragen

Über das Formular „Einrichten lassen" erheben wir: Name Ihres Betriebs, Ihren Namen, Ihre E-Mail-Adresse sowie – wenn Sie sie angeben – Telefonnummer, Website und Ihre Nachricht. Wir verwenden diese Angaben ausschließlich, um Ihre Anfrage zu beantworten und die Einrichtung vorzubereiten. Es entsteht dabei kein Konto; die Anfrage erreicht uns als E-Mail, und Sie erhalten eine Eingangsbestätigung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – die Anfrage ist eine vorvertragliche Maßnahme, die auf Ihre Anfrage hin erfolgt.

3.9 Wenn Sie in Analyse und Werbung einwilligen

Wir möchten verstehen, welche unserer Seiten weiterhelfen, und Ihnen passende Inhalte zeigen. Dafür binden wir den Google Tag Manager ein, ein Werkzeug der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Über ihn werden Google Analytics und, soweit eingerichtet, weitere Werkzeuge zur Personalisierung und Werbung geladen.

Erst nach Ihrer Zustimmung. Solange Sie nicht zugestimmt haben, wird von Google nichts geladen und nichts gespeichert – auch keine IP-Adresse übertragen. Beim ersten Besuch fragen wir Sie; Ihre Antwort speichern wir in einem Cookie (sommeliero_einwilligung, sechs Monate), damit wir sie nicht erneut stellen müssen. Dieses eine Cookie setzen wir auch bei einer Ablehnung – ohne es wüssten wir nicht, dass Sie abgelehnt haben.

Nicht auf der Website Ihres Betriebs. Öffnen Sie die Buchung aus dem Buchungsfenster heraus, das ein Betrieb auf seiner eigenen Website eingebunden hat, fragen wir dort nicht und laden dort nichts – über die Seite des Betriebs entscheidet dieser selbst.

Was dann verarbeitet wird: gekürzte IP-Adresse, aufgerufene Seiten, Verweildauer, ungefährer Standort auf Stadtebene, verwendetes Gerät und Browser sowie die Seite, von der Sie kamen. Google setzt dafür Cookies (unter anderem _ga, _ga_*, _gid) mit einer Laufzeit von bis zu zwei Jahren. Wir verknüpfen diese Daten nicht mit Ihrer Buchung, Ihrem Namen oder Ihrer E-Mail-Adresse.

Übermittlung in die Vereinigten Staaten. Vertragspartner ist die Google Ireland Limited, die Daten können jedoch an die Google LLC in den Vereinigten Staaten übermittelt werden. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend haben wir die Standardvertragsklauseln der Europäischen Kommission vereinbart. Ein Zugriff US-amerikanischer Behörden ist dennoch nicht vollständig auszuschließen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG – Ihre Einwilligung. Für das Cookie, das Ihre Entscheidung festhält, § 25 Abs. 2 Nr. 2 TDDDG: Ohne es ließe sich Ihre Entscheidung nicht speichern.

Ihr Widerruf. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über „Cookie-Einstellungen" im Fußbereich jeder Seite. Wir löschen dann die von Google gesetzten Cookies und laden das Werkzeug nicht mehr. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

4. Zahlungsabwicklung

Zahlungen wickeln wir über die Stripe Payments Europe, Ltd. (Irland) ab. Wenn Sie bezahlen, werden Ihre Zahlungsdaten unmittelbar an Stripe übermittelt; Kartendaten erreichen unsere Server zu keinem Zeitpunkt.

Der abrechnende Händler ist der Betrieb: Ihre Zahlung entsteht unmittelbar auf seinem Stripe-Konto. Auf Ihrem Kontoauszug erscheint deshalb er und nicht wir.

An Stripe übermittelt werden: Zahlbetrag, Währung, Ihre E-Mail-Adresse und eine Buchungskennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzerklärung von Stripe: https://stripe.com/de/privacy

5. Wer sonst Ihre Daten erhält

Wir setzen Dienstleister ein, die Daten ausschließlich nach unseren Weisungen verarbeiten (Auftragsverarbeiter nach Art. 28 DSGVO):

Zum Drittlandbezug: Die ersten fünf Anbieter verarbeiten Ihre Daten in der Europäischen Union, gehören aber zu Unternehmen mit Sitz in den Vereinigten Staaten. Für Google gilt der eigene Hinweis aus Abschnitt 3.9 – dort wird tatsächlich in die Vereinigten Staaten übermittelt. Ein Zugriff aus einem Drittland ist damit nicht vollständig auszuschließen. Wir haben mit allen Anbietern Verträge nach Art. 28 DSGVO geschlossen und, soweit erforderlich, die Standardvertragsklauseln der Europäischen Kommission vereinbart.

Was wir an Sentry ausdrücklich nicht übermitteln: Wir haben die Erfassung von Nutzerangaben und Anfrageinhalten abgeschaltet. Zusätzlich entfernt ein Filter E-Mail-Adressen und Zugangs-Token aus jeder Fehlermeldung, bevor sie unser System verlässt.

Der Betrieb, bei dem Sie buchen, erhält die Angaben, die er zur Durchführung braucht: Ihren Namen, Ihre E-Mail-Adresse, gegebenenfalls Telefonnummer und Bemerkung sowie die Buchungsdaten.

Darüber hinaus geben wir Ihre Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

6. Wie lange wir Ihre Daten speichern

Buchungsdaten anonymisieren wir automatisch, sobald der gebuchte Termin vorbei und die vom Betrieb festgelegte Frist abgelaufen ist. Die Frist beträgt mindestens 30 und höchstens 365 Tage. Dabei werden Ihr Name, Ihre E-Mail-Adresse, Telefonnummer und Bemerkung durch neutrale Platzhalter ersetzt – die Buchung selbst bleibt als Geschäftsvorfall bestehen, ohne Bezug zu Ihnen.

Rechnungen und Belege bleiben zehn Jahre erhalten. Dazu sind wir nach § 147 Abgabenordnung verpflichtet. Sie enthalten Ihren Namen und sind von der Anonymisierung ausgenommen.

Weitere Fristen:

Unser internes Ereignisprotokoll (welcher Vorgang wann stattfand) bewahren wir aus handels- und steuerrechtlichen Nachweisgründen dauerhaft auf; personenbezogene Angaben werden darin mit der Anonymisierung (siehe oben) entfernt.

Gutscheine behalten Name und Widmung, solange sie einlösbar sind – sie sind der Nachweis Ihres Anspruchs – und für eine vom Betrieb festgelegte Kulanzfrist danach (30 bis 730 Tage). Anschließend werden auch sie anonymisiert.

7. Bewertungen

Bewertungen können nur Gäste abgeben, die tatsächlich gebucht haben und deren gebuchter Termin stattgefunden hat. Wir prüfen das automatisch anhand der Buchung.

Bewertungen können gemeldet werden. Über Meldungen entscheiden wir; blenden wir eine Bewertung aus, ist sie öffentlich nicht mehr sichtbar, bleibt aber gespeichert. Der Betrieb kann eine Bewertung zu seinem eigenen Angebot ebenfalls ausblenden.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO).

Haben Sie eingewilligt – etwa bei einer Bewertung oder in Analyse und Werbung –, können Sie die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; Analyse und Werbung über „Cookie-Einstellungen" im Fußbereich jeder Seite.

Wenden Sie sich an: team@sommeliero.com

Wir beantworten Ihre Anfrage innerhalb eines Monats. Sie können sich auch an den Betrieb wenden, bei dem Sie gebucht haben; er leitet Ihre Anfrage an uns weiter.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

9. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Betriebe informieren wir über wesentliche Änderungen; die jeweils geltende Fassung finden Sie stets auf dieser Seite.

Fassung: datenschutz-2026-09-01b · Stand: 01.09.2026

Änderungen gegenüber der Fassung datenschutz-2026-09-01: Der neue Abschnitt 3.9 beschreibt den Google Tag Manager samt Google Analytics, die dafür gesetzten Cookies, die Übermittlung in die Vereinigten Staaten und den Widerruf; er gilt ausschließlich nach erteilter Einwilligung (ADR-0053). Abschnitt 3.7 sagt deshalb nicht mehr „keine Cookies zu Werbe- oder Analysezwecken", sondern „ohne Ihre Einwilligung keine". Kapitel 5 führt Google als sechsten Empfänger, Kapitel 8 nennt den Widerrufsweg über die Cookie-Einstellungen. Im Buchungsfenster auf der Website eines Betriebs wird weder gefragt noch geladen (Fassung datenschutz-2026-09-01b).

Änderungen gegenüber der Fassung vom 26.08.2026: Abschnitt 3.6a beschreibt die freiwillige Einwilligung in Neuigkeiten, Angebote und Aktionen, die die Anmeldung seit dem 01.09.2026 anbietet (Fassung datenschutz-2026-09-01).

Änderungen gegenüber der Fassung vom 14.08.2026: Kapitel 5 nennt zusätzlich Railway – der Anbieter war von Beginn an im Einsatz und in der Auflistung versehentlich nicht aufgeführt; an der Verarbeitung selbst ändert sich nichts (Fassung datenschutz-2026-08-26). Mit der Freigabe ist der Entwurfs-Hinweis im Kopf entfallen (Fassung datenschutz-2026-08-26b). Ergänzt wurden das Kapitel zur Einrichtungsanfrage (3.8), die Browser-Speicherung während der Buchung (3.7) und der Buchungsweg (3.1); die Aufbewahrungsfristen in Kapitel 6 sind präzisiert, und Kapitel 7 beschreibt die Bewertungsvoraussetzung genauer (Fassung datenschutz-2026-08-26c).