Datenschutzerklärung

E-Mail: info@nighthopper.de

Der Verantwortliche hat keine Niederlassung in der Europäischen Union. Als Vertreterin nach Artikel 27 DSGVO ist benannt:

An diese Vertreterin können sich betroffene Personen und Aufsichtsbehörden zusätzlich zum Verantwortlichen wenden.

Die Schriften der Seite liefern wir selbst aus; nur die Karten holen die Schrift für ihre Ortsnamen zusammen mit den Kartenbildern von OpenFreeMap (siehe unten). Besuche zählen wir selbst, ohne etwas auf deinem Gerät zu speichern (siehe „Reichweitenmessung“). Google Analytics, Google Ads und den Bewertungsknopf von Trustpilot setzen wir nur ein, wenn du im Banner zustimmst (siehe „Google Analytics und Google Ads“ und „Bewertungsknopf von Trustpilot“); ohne Zustimmung lädt nichts von Google oder Trustpilot. Mit deiner Zustimmung zur „Eigenen Auswertung mit IP-Adresse“ speichern wir außerdem selbst deine IP-Adresse (siehe dort). Ansonsten liegt im Browser nur, was eine Funktion braucht, die du selbst nutzt.

Die Fahrzeugfotos in der Mietwagensuche gehören unseren Partnern, werden aber über unseren eigenen Server ausgeliefert — dein Browser verbindet sich dorthin nicht. Dasselbe gilt seit dem 21.09.2026 für die Hotelfotos. Bei der Suche bleiben zwei Ausnahmen, sie stehen unten genauer: Für die Flugsuche auf nighthopper.de schickt unser Server deine IP-Adresse an unser Partnernetzwerk Travelpayouts in Hongkong; für Hongkong gibt es keinen Angemessenheitsbeschluss der EU (siehe „Eine Ausnahme: Aviasales“ und „Übermittlung in ein Drittland“). Außerdem laden die Karten (in der Hotelsuche und „Wohin für … €?“) die Kartenbibliothek MapLibre von unpkg.com und die Kartenbilder samt Schrift und Symbolen von OpenFreeMap; beide Dienste erfahren dabei deine IP-Adresse und den Kartenausschnitt. Die Kartenbilder legt dein Browser in seinem Zwischenspeicher ab, damit die Karte beim nächsten Mal schneller erscheint (siehe „Was im Browser gespeichert wird“).

Für unsere iPhone-App gilt dasselbe, mit den Unterschieden im Abschnitt „Die Nighthopper-App für iPhone“. Sie enthält keine Software Dritter für Statistik, Werbung oder Absturzberichte und liest keine Werbe-ID aus; Mitteilungen schickt sie nur, wenn du sie einschaltest. Von sich aus verbindet sich die App mit Dritten nur für die Kartenbilder von Apple Maps und Mitteilungen über Apple; deine Suchen laufen über unseren Server. Für Seiten, die sie im Browserfenster öffnet, gilt, was zur Website steht.

Schreibst du in der KI-Suche (auf der Website oder in der App), geht deine Nachricht zur Beantwortung an Anthropic (Claude); wir speichern die Unterhaltung ohne Bezug zu deinem Konto bis zu 48 Stunden vollständig, danach geschwärzt, und löschen sie spätestens nach 31 Tagen (siehe „KI-Suche“). Öffnest du die KI-Suche in der App über die KI-Blase, gehen mit deinen Nachrichten auch die Angaben der angesehenen Suche mit.

Wie bei jedem Aufruf einer Website übermittelt dein Browser technische Angaben, die beim Betrieb anfallen: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übermittelte Datenmenge, Browser- und Betriebssystemangabe. Sie dienen dazu, die Seite auszuliefern und Störungen sowie Angriffe zu erkennen.

Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 Buchst. f DSGVO). Diese Protokolle werden nicht mit anderen Daten zusammengeführt; mit deiner Zustimmung zur „Eigenen Auswertung mit IP-Adresse“ speichern wir einen Teil dieser Angaben zusätzlich selbst (siehe dort). Sie entstehen als Protokolle bei unserem Hoster und werden dort automatisch gelöscht, spätestens nach 30 Tagen.

Wir zählen, wie oft unsere Seiten aufgerufen werden. Für das Zählen der Aufrufe wird auf deinem Gerät nichts gespeichert und nichts ausgelesen — kein Cookie, kein Speicher im Browser, keine Abfrage von Geräteeigenschaften, kein Zählskript. Deshalb fragen wir dich dafür auch nicht um Einwilligung: § 25 Abs. 1 TDDDG betrifft genau das Speichern auf und das Auslesen von Endgeräten, und beides findet hier nicht statt.

Ausgewertet wird nur, was dein Browser beim Aufruf ohnehin mitschickt: die aufgerufene Adresse, die Seite, von der du kamst (nur deren Domain, nie die vollständige Adresse), die Browserkennung, die bevorzugte Sprache und deine IP-Adresse. Aus der IP-Adresse bestimmt unser Hoster Vercel Land, Bundesland bzw. Region und Ort samt ungefähren Koordinaten dieses Orts, bevor die Anfrage bei uns ankommt; wir übernehmen diese Angaben, fragen aber keinen eigenen Ortsdienst. Diesen ungefähren Standort nutzen wir außerdem, um in der Flugsuche den nächstgelegenen großen Flughafen als Abflughafen vorzuschlagen (ohne Koordinaten den des Bundeslands) und bei den Pauschalreisen, wenn du über einen Link mit Reiseziel kommst, die Flughäfen deiner Region vorzuwählen. Dafür speichern wir nichts — weder die IP-Adresse noch den Standort noch den vorgeschlagenen Flughafen (es bleibt bei den Protokollen unseres Hosters, siehe „Beim Aufruf der Seite“); unser Server rechnet nur die Entfernung zu den Flughäfen aus, und du kannst den Flughafen jederzeit ändern. Grundlage ist unser berechtigtes Interesse, dir die Suche zu erleichtern (Art. 6 Abs. 1 Buchst. f DSGVO). Kommst du von einer anderen unserer Seiten, zählen wir das als Wechsel zwischen unseren Seiten; gespeichert wird dabei, wie bei jeder Herkunft, nur die Domain der Seite, von der du kamst.

Kommst du über einen gekennzeichneten Link zu uns, etwa aus einer Anzeige oder einem Newsletter, speichern wir die Kampagnenangaben aus der Adresse (utm-Parameter wie Quelle, Kampagne und Suchbegriff der Anzeige) und den Namen des Werbenetzes, dessen Klickkennung dort stand (z. B. „Google Ads“). Die Klickkennung selbst speichern wir nicht. Den Ort zählen wir nur als Tagessumme (Tag, Land, Ort, Anzahl), getrennt von allen anderen Angaben und ohne Kennung.

Ohne deine Zustimmung speichern wir die IP-Adresse nicht. (Hast du der „Eigenen Auswertung mit IP-Adresse“ zugestimmt, siehe dort.) Sie wird zusammen mit der Browserkennung und einem Zufallswert, der sich täglich ändert, in eine Kennung umgerechnet. Damit lässt sich erkennen, dass zwei Aufrufe am selben Tag zusammengehören — mehr nicht; nur wenn am selben Tag dein Konto entsteht, schlagen wir über diese Kennung einmal nach, auf welchem Weg du gekommen bist, und halten diesen Weg (nicht die Kennung) an deinem Konto fest (siehe „Konto, Meine Reise und Packliste“). Klickst du am selben Tag weiter zu einem unserer Partner, ordnen wir den Klick über diese Kennung dem Weg zu, auf dem du gekommen bist (etwa „Suchmaschine“ oder „Anzeige“); beim Klick gespeichert werden nur dieser Weg und, als festes Wort, von welcher Stelle unserer Seite der Klick kam — etwa „Konto“, wenn du über einen Link in „Mein Konto“ gekommen bist, oder „Hotelliste“, wenn du bei den Pauschalreisen direkt in der Hotelliste auf „Zur Buchung“ tippst, oder „Deals“, wenn du unter einem Flug-Deal auf „Hotels in …“ getippt hast und dann in der Hotelsuche weiterklickst — nicht die Tageskennung und nicht, welches Konto. Nach zwei Tagen löschen wir den Zufallswert und die Kennung und kürzen die Uhrzeit auf die volle Stunde; danach kann auch niemand bei uns die Zeilen noch jemandem zuordnen. Nach 180 Tagen werden sie ganz gelöscht. Das gilt für die Zählung ohne Zustimmung; was wir mit deiner Zustimmung zur „Eigenen Auswertung mit IP-Adresse“ zusätzlich speichern, steht dort — in dieser Zeit lassen sich deine Aufrufe auch über die IP-Adresse einander zuordnen.

Einzelne Schritte auf dem Weg zu einem Angebot zählen wir ebenfalls ohne die Kennung: Unsere Seite meldet den Schritt dafür mit einem festen Wort an unseren Server, und wir speichern nur eine Tagessumme mit dem Weg, auf dem du gekommen bist (Kanal, Kampagne, Anzeigengruppe), und der Geräteklasse (Handy, Tablet oder Computer, aus der Browserkennung). Auf deinem Gerät wird dafür nichts gespeichert. Gezählt wird,

• wenn bei den Pauschalreisen die Hotelliste eines Reiseziels mit Terminen erscheint und wenn du die Termine eines Hotels öffnest;
• wenn du eine Mietwagensuche startest oder die Angebote eines Autos öffnest;
• wenn du in der Hotelsuche eine Unterkunft öffnest, und ob es für deine Reisedaten ein Angebot unserer Partner gab;
• wenn du auf das Herz tippst, um etwas zu merken (mit oder ohne Konto), wenn du einen Teilen-Knopf antippst (auch wenn du danach abbrichst) oder einen der Wege unter „Für später“ wählst („Per Mail an mich“, „In den Kalender“, „Teilen“), und wenn dir nach der Rückkehr von einem Anbieter ein kurzer Hinweis erscheint („Noch am Überlegen?“ bzw. „Noch unentschlossen?“) und ob du darin etwas antippst.

Die Mail an dich selbst verschickt dein Mailprogramm, die Kalenderdatei erzeugt dein Browser: Wir erfahren nicht, ob oder an wen du eine Mail schickst, und speichern weder ihren Text noch die Kalenderdatei. So sehen wir, an welcher Stelle Besucher abspringen und welche Funktionen helfen. Nach 180 Tagen löschen wir diese Zahlen.

Teilst du über unseren Teilen-Knopf einen Link, zählen wir das als Tagessumme: welche Art von Link (etwa ein Pauschalreise-Angebot), mit welcher Geräteklasse, aus welchem Bundesland bzw. welcher Region (abgeleitet aus der IP-Adresse, die wir dabei nicht speichern) und auf welchem Weg du gekommen bist, ohne Kennung und ohne zu erfahren, an wen oder mit welcher App du teilst; geteilte Links tragen dafür den Zusatz „geteilt=…“ mit der Art des Links, und Besuche über einen solchen Link zählen wir als Besuche über einen geteilten Link.

Ist dein Gerät auf deutsche, österreichische oder Schweizer Zeit eingestellt, zeigen wir auf dem iPhone und am Rechner (nicht auf Android-Geräten und iPads) oben auf der Seite einen Hinweis auf unsere iPhone-App. Ob er erscheint, prüft dein Browser selbst anhand von Browserkennung, Touch-Unterstützung und Zeitzone und daran, ob du ihn schon geschlossen hast; an uns geht dafür nichts. Schließt du den Hinweis, merkt sich dein Browser das (localStorage „nh-app-hinweis“), damit er nicht wiederkommt; das ist für diese von dir gewünschte Funktion nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Tippst du auf den Knopf zum App Store, meldet unsere Seite das an unseren Server, und wir zählen es nur als Tagessumme je Website (nighthopper.de oder billigflugkalender.de), ohne Kennung, ohne IP-Adresse und ohne Uhrzeit (es bleiben die Protokolle unseres Hosters, siehe „Beim Aufruf der Seite“). Browserkennung, Land und IP-Adresse wertet unser Server dabei nur aus, um Abrufe von Programmen, unsere eigenen Abrufe und zu viele Meldungen auszusortieren. Dafür hält er die IP-Adresse höchstens etwa eine Stunde, nur verschlüsselt (gehasht) und nur im Arbeitsspeicher; dauerhaft gespeichert wird davon nichts. So sehen wir, ob der Hinweis genutzt wird (Art. 6 Abs. 1 Buchst. f DSGVO). Nach 180 Tagen löschen wir diese Zahlen. Der Knopf öffnet die Seite der App im App Store von Apple. Apple erfährt dabei, wie bei jedem Link, deine IP-Adresse, deine Browserkennung, unsere Website als Herkunft und die Kennung der Leiste: Der Link trägt eine Kampagnen-Kennung („ct=nh-leiste“), damit wir in App Store Connect sehen, wie oft die App über diesen Hinweis geladen wird. Dort zeigt Apple uns nur Sammelzahlen. Was Apple ab dem App Store verarbeitet, regelt Apples Datenschutzrichtlinie. Bevor du tippst, lädt der Hinweis nichts von Apple; das App-Symbol liefern wir selbst aus.

Öffnest du ein Angebot über unsere Zwischenseite („Wir bringen dich zum Anbieter“), steht in ihrer Adresse unsere Kennung für diesen Wechsel (siehe „Weiterleitung zu Partnern“). Beim Aufruf dieser Seite speichern wir einen daraus berechneten Prüfwert — nicht die Kennung selbst — zusammen mit dem Partner, der vollen Stunde und dem Weg, auf dem du gekommen bist (Kanal, Kampagne, Anzeigengruppe, Werbenetz, Website). Dafür setzen wir kein Cookie und lesen nichts zusätzlich von deinem Gerät aus außer dem Cookie mit deiner Wahl im Banner; ausgewertet wird nur, was dein Browser beim Öffnen der Seite ohnehin schickt — die Adresse und, um den Weg zuzuordnen, wie bei jedem Partnerklick IP-Adresse und Browserkennung über die Tageskennung, die wir dabei nicht speichern; hast du der „Eigenen Auswertung mit IP-Adresse“ zugestimmt, speichern wir dabei zusätzlich deine IP-Adresse (siehe dort). Meldet uns ein Partnernetzwerk zu dieser Kennung eine Buchung, sehen wir so, welcher Weg zu ihr geführt hat (siehe „Meldungen unserer Partnernetzwerke“). Den Prüfwert löschen wir nach 90 Tagen; hast du der „Eigenen Auswertung mit IP-Adresse“ zugestimmt, steht er außerdem am Eintrag mit deiner IP-Adresse, so lange wie dieser. Die Kennung erzeugt unsere Seite beim Anzeigen oder Anklicken des Angebots; auf deinem Gerät liegt sie nur im geöffneten Tab und ist mit dessen Schließen weg — außer du legst die Reise ab (siehe „Was im Browser gespeichert wird“ und „Konto, Meine Reise und Packliste“).

Wählst du im Feld „Wohin soll’s gehen?“ auf der Startseite ein Land oder einen Ort, zählen wir, welches Ziel gewählt wurde (Tag, Ziel, Anzahl), ohne Kennung und ohne IP-Adresse; für das Zählen wird nichts auf deinem Gerät gespeichert. Die Wahl selbst merkt sich nur dein Browser-Tab (siehe „Deine aktuelle Suche“ unter „Was im Browser gespeichert wird“). So sehen wir, zu welchen Zielen wir als Nächstes einen Reiseführer schreiben sollten.

Auf der Startseite zählen wir außerdem, in welchem Bereich ein Link oder Formular benutzt wird (etwa „Live-Deals“ oder „Hotels nach Thema“) und welche Suche abgeschickt wird (Flug, Hotel, Mietwagen oder Pauschalreise). Gespeichert werden nur Tag, Bereich bzw. Suche, die Geräteklasse (Handy, Tablet oder Computer, aus der Browserkennung) und die Anzahl, ohne Kennung und ohne IP-Adresse; auf deinem Gerät wird dafür nichts gespeichert und nichts ausgelesen. So sehen wir, ob eine Änderung der Startseite hilft. Nach 400 Tagen löschen wir die Zahlen.

Rechtsgrundlage ist unser berechtigtes Interesse daran zu wissen, ob und woher Besucher kommen, an welcher Stelle sie abspringen, welche unserer Funktionen genutzt werden und welche Werbung zu Buchungen führt (Art. 6 Abs. 1 Buchst. f DSGVO). Wir setzen dafür kein Werkzeug Dritter ein, und es werden keine Daten an andere Unternehmen übermittelt — die Zahlen liegen in derselben Datenbank wie alles andere, in Frankfurt; zur Übermittlung nach Georgien siehe „Übermittlung in ein Drittland“.

Wenn du im Banner zustimmst, nutzen wir Google Analytics 4 (Statistik) und die Conversion-Messung von Google Ads (Werbung). Beides wählst du getrennt. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Bevor du zustimmst, lädt nichts von Google, und es wird dafür nichts auf deinem Gerät gespeichert.

Wozu: Mit „Statistik“ sehen wir, welche Seiten besucht werden, wie lange, woher die Besucher kommen (Suchmaschine, Anzeige, Link) und aus welcher Region. Auf der Startseite misst „Statistik“ seit Oktober 2026 auch, wie schnell sie lädt (Ladezeit, Verrutschen beim Laden, Reaktionszeit auf einen Klick). Mit „Werbung“ misst Google Ads, ob ein Klick auf eine unserer Anzeigen zu einem Besuch und zu einem Klick zu einem unserer Partner geführt hat. Personalisierte Werbung (Remarketing) nutzen wir nicht.

Welche Daten: eine zufällige Kennung in einem Cookie, aufgerufene Seiten und Zeitpunkte und die Seite, von der du kamst (jeweils nur der Pfad der Adresse, ohne Suchangaben wie Ziel, Reisedaten, Flugnummer oder Suchbegriffe — das kürzen wir, bevor die Messung dein Gerät verlässt), Kampagnenangaben und die Klickkennung einer Anzeige, Klicks zu Partnern (nur der Name und die Domain des Partners, nicht die Adresse des Angebots), Gerät, Browser, Sprache und der ungefähre Ort, den Google aus der IP-Adresse ableitet. Google Analytics 4 speichert nach Angabe von Google keine IP-Adressen.

Cookies: _ga und _ga_… (Statistik, bis zu zwei Jahre), _gcl_… (Werbung, bis zu 90 Tage). Deine Wahl selbst speichern wir sechs Monate im Cookie nh_einwilligung, danach fragen wir neu.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 Buchst. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: Cookie-Einstellungen, auch unten auf jeder Seite. Beim Widerruf löschen wir die Google-Cookies in deinem Browser.

USA: Google kann Daten an die Google LLC in den USA übermitteln. Google ist nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission am 10. Juli 2023 ein angemessenes Schutzniveau festgestellt hat (Art. 45 DSGVO). Für Google Analytics verarbeitet Google die Daten als Auftragsverarbeiter nach den Datenverarbeitungsbedingungen für Google-Werbeprodukte. Für die Conversion-Messung von Google Ads ist Google selbst Verantwortlicher (Google Ads Controller-Controller Data Protection Terms); dafür gilt auch die Datenschutzerklärung von Google.

Speicherdauer bei Google: Ereignisdaten löscht Google Analytics spätestens nach 14 Monaten. Mehr bei Google: policies.google.com/privacy.

Hast du im Banner der Eigenen Auswertung mit IP-Adresse zugestimmt (eine eigene Frage, unabhängig von „Statistik“; „Alle akzeptieren“ schließt sie ein), speichern wir selbst — nicht Google — bei jedem Seitenaufruf und wenn du über unsere Zwischenseite zu einem Partner wechselst: deine IP-Adresse, den Zeitpunkt, das Land, die Region und die Stadt, die unser Hosting-Anbieter Vercel aus ihr ableitet, Gerät, Browser und Betriebssystem (aus der Browserkennung), die aufgerufene Seite (nur der Pfad der Adresse) und den Weg deines Besuchs (Kanal, Kampagne, Anzeigengruppe bzw. Inhalt des Links). Beim Wechsel zu einem Partner kommen dessen Name und der Prüfwert unserer Kennung für diesen Wechsel dazu, nicht die Kennung selbst. Namen und E-Mail-Adressen gehören nicht dazu. Ein zusätzliches Cookie setzen wir dafür nicht; ob du zugestimmt hast, lesen wir aus dem Cookie mit deiner Wahl.

Wozu: um Programme und automatisierte Zugriffe (Bots) und Betrug zu erkennen, um gemeldete Buchungen und ihre Stornierungen zu prüfen und um zu sehen, welche Wege (Anzeigen, Suchmaschinen, KI-Dienste, Links) zu Buchungen führen. Über den Prüfwert lässt sich eine Buchung, die uns ein Partnernetzwerk meldet (siehe „Meldungen unserer Partnernetzwerke“), deinem Besuch zuordnen; über die IP-Adresse lassen sich deine Aufrufe in dieser Zeit einander zuordnen.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: Cookie-Einstellungen. Danach speichern wir nichts Neues mehr und löschen sofort alle Einträge mit der IP-Adresse, von der aus du widerrufst. Einträge unter einer anderen IP-Adresse löschen wir auf deinen Wunsch (siehe „Deine Rechte“). Ohne Zustimmung bleibt es bei der Reichweitenmessung oben, ohne IP-Adresse.

Speicherdauer: 90 Tage. Gehört ein Eintrag über den Prüfwert zu einer gemeldeten Buchung, bleibt er, solange die Buchung offen ist, und danach drei Monate ab der letzten Änderung ihrer Meldung (in der Regel ihre endgültige Abrechnung: bestätigt, storniert oder abgelehnt) — höchstens zwölf Monate nach dem Besuch. Gespeichert wird in unserer Datenbank in Frankfurt (Neon); zur Übermittlung nach Georgien siehe „Übermittlung in ein Drittland“.

Am Ergebnis der Entschädigungsprüfung und beim letzten Haken der Packliste zeigen wir den Knopf „Bewerten Sie uns auf Trustpilot“, wenn du im Banner „Externe Inhalte“ zustimmst. Anbieter ist die Trustpilot A/S, Pilestræde 58, 5. Etage, 1112 Kopenhagen K, Dänemark. Ohne Zustimmung steht dort nur ein Link zu Trustpilot, und beim Anzeigen der Seite geht nichts an Trustpilot. Unter einer vergangenen Reise in deinem Konto steht stattdessen nur ein Link zu Trustpilot; dafür lädt die Seite nichts von Trustpilot, erst dein Klick öffnet Trustpilot.

Welche Daten: Beim Laden des Knopfs erhält Trustpilot, was dein Browser bei jedem Abruf mitschickt (IP-Adresse, Browser, Gerät), dazu Sprache und Plattform deines Browsers. Damit Trustpilot nicht erfährt, auf welcher Seite du bist und was in ihrer Adresse steht (etwa Flugnummer und Datum), lädt der Knopf in einer eigenen, leeren Seite von uns: Trustpilot sieht als Adresse nur nighthopper.de/api/trustpilot-knopf und keine Herkunft. Erst ein Klick auf den Knopf öffnet Trustpilot in einem neuen Fenster; dort gelten die Bedingungen von Trustpilot.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 Buchst. a DSGVO). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: Cookie-Einstellungen, auch unten auf jeder Seite. Danach verschwindet der Knopf sofort. Deine Wahl speichern wir sechs Monate im Cookie nh_einwilligung; Trustpilot legt über uns nichts auf deinem Gerät ab.

Wer verantwortlich ist: Für das Einbinden auf unserer Seite sind wir verantwortlich, für alles Weitere Trustpilot als eigenständiger Verantwortlicher. Mehr bei Trustpilot: corporate.trustpilot.com/legal.

In deinem Konto, auf der Website wie in der App, steht unter „Bewertung auf Trustpilot“ der Knopf „Bewertung abgeben“. Direkt davor steht, was er auslöst. Erst wenn du ihn drückst, erfährt Trustpilot von dir.

So läuft es: Mit dem Knopf schicken wir dir sofort eine kurze E-Mail und senden dabei eine verdeckte Kopie (BCC) an eine Adresse von Trustpilot. Trustpilot entnimmt ihr deine E-Mail-Adresse und schickt dir eine einzige Einladung, in der Regel innerhalb einer Woche. Sonst geht nichts an Trustpilot: kein Name, keine Reise, kein Link. Antwortest du auf unsere E-Mail, erfährt Trustpilot davon nichts. Eine zweite Einladung über uns gibt es nicht.

Hast du vor dem 7. Oktober 2026 noch per Häkchen zugestimmt, geht die E-Mail wie damals beschrieben erst sieben Tage nach deiner Zustimmung raus; bis dahin kannst du sie im Konto auf der Website zurücknehmen.

Was wir speichern: wann du welchem Wortlaut zugestimmt hast (dem Satz am Knopf), ob und wann du zurückgenommen hast und wann die Einladung verschickt wurde, als Nachweis (Art. 7 Abs. 1 DSGVO). Das steht in „Meine Daten herunterladen“ und wird mit deinem Konto gelöscht.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO, § 7 Abs. 2 Nr. 2 UWG), die du mit dem Knopf erteilst. Du kannst sie jederzeit für die Zukunft widerrufen, etwa per E-Mail an uns. Weitere Mails von Trustpilot kannst du außerdem über den Abmeldelink in deren Mail abbestellen.

Empfänger: Trustpilot A/S, Pilestræde 58, 5. Etage, 1112 Kopenhagen K, Dänemark. Den Versand der Einladung erledigt Trustpilot in unserem Auftrag; schreibst du danach eine Bewertung, ist dafür Trustpilot selbst verantwortlich. Den Versand an dich übernimmt unser E-Mail-Anbieter (Abschnitt „Wer für uns arbeitet“).

Wir betreiben die Seite nicht auf eigenen Rechnern. Diese Dienstleister verarbeiten Daten ausschließlich in unserem Auftrag und nach unseren Weisungen:

• Vercel — Betrieb der Website. Die Seiten und Schnittstellen werden in der Region Frankfurt am Main ausgeführt. Die kurzen Videos im Titelbild der Startseite lädt dein Browser aus dem Dateispeicher von Vercel (Vercel Blob, Frankfurt am Main), am Handy in einer kleineren Fassung und nicht im Datensparmodus. Dabei erhält Vercel, wie beim Aufruf der Seite, deine IP-Adresse.
• Neon — die Datenbank, in der Konten, gemerkte Reisen und Packlisten liegen sowie die mit deiner Zustimmung gespeicherten IP-Adressen („Eigene Auswertung mit IP-Adresse“). Standort Frankfurt am Main.
• united-domains — unser E-Mail-Postfach, also alles, was du uns schreibst, und der Versand der Anmeldecodes für dein Konto.
• Anthropic (Anthropic Ireland, Limited, Dublin) — beantwortet die Nachrichten der KI-Suche mit seinem Sprachmodell Claude (siehe „KI-Suche“).

Vercel und Neon sind Unternehmen mit Sitz in den USA; ein Zugriff von dort ist technisch nicht ausgeschlossen. Grundlage dafür sind der Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework beziehungsweise die Standardvertragsklauseln der Europäischen Kommission. Anthropic lässt die Nachrichten der KI-Suche von Anthropic, PBC in den USA und gegebenenfalls in weiteren Ländern verarbeiten; Grundlage sind dort Standardvertragsklauseln (siehe „KI-Suche“).

Für die tägliche Auswertung unseres Postfachs und unserer Buchungen nutzen wir außerdem Claude von Anthropic (Anthropic, PBC, San Francisco, USA) über ein Abo. Dafür ist Anthropic nicht unser Auftragsverarbeiter, sondern verarbeitet die Daten nach seinen eigenen Bedingungen (siehe „Kontaktformular und E-Mail“). Daten aus deinem Konto gehen dabei nicht an Anthropic.

Ohne deine Zustimmung setzen wir keine Werbe- oder Statistik-Cookies. Im Speicher deines Browsers liegt nur, was eine Funktion braucht, die du nutzt:

• Darstellung — ob du hell oder dunkel eingestellt hast.
• Gemerkte Reisen — nur wenn du ohne Anmeldung selbst „Merken“ oder „Zur Reise hinzufügen“ wählst.Tippst du „Zur Reise hinzufügen“, nachdem du einen Flug, einen Mietwagen oder eine Unterkunft bei einem Anbieter geöffnet hast, legen wir dazu den Anbieter, den Zeitpunkt des Wechsels und bei Flug und Mietwagen den Link zu seinem Angebot und eine Kennung dieses Wechsels ab — damit wir eine Buchung, die uns ein Partnernetzwerk meldet, nach dem Anmelden deiner Reise zuordnen oder dich fragen können, ob du das warst. Bei einer Unterkunft legen wir ihren Namen, ihre Kennung bei Google, die Adresse ihres ersten Fotos, das Ziel deiner Suche, Gäste (mit dem Alter mitreisender Kinder), Zimmer und den angezeigten Preis ab. Hast du die Reise vorher schon gemerkt, ergänzen wir diese Angaben auch, wenn du danach zum Anbieter wechselst. Sie warten im Browser, bis du dich bei „Meine Reise“ anmeldest; dann liegen sie in deinem Konto und verschwinden aus dem Browser. Beim Abmelden löschen wir sie aus dem Browser. Wechselst du nur zu einem Anbieter, legen wir ohne Anmeldung nichts ab.
• Deine Merkliste — nur wenn du ohne Anmeldung (oder während wir dein Konto gerade nicht erreichen) auf das Herz an einem Flug, einer Unterkunft, einer Pauschalreise oder einem Mietwagen tippst: was du gemerkt hast (bei Flügen Strecke, Tage, Flugzeiten, Flugnummern und Airline, bei Unterkünften Name, Kennung, die Adresse ihres ersten Fotos, Ziel, Reisedaten, Gäste (mit dem Alter mitreisender Kinder) und Zimmer, bei Pauschalreisen Hotel und Termin, bei Mietwagen Abhol- und Rückgabeort, Zeitraum, Fahreralter, Wohnsitzland und Modell), die Suche dazu, den angezeigten Preis mit dem Anbieter (nicht bei Unterkünften) und wann du es gemerkt hast — keine Links zu Anbietern. Sie liegt in diesem Browser (localStorage „nighthopper:merkliste:v1“), bis du das Herz wieder antippst, den Eintrag unter „Mein Konto“ entfernst, die Websitedaten löschst oder dich anmeldest: Dann übernehmen wir sie in dein Konto und löschen sie aus dem Browser. Eine Hotel-Merkliste aus einer früheren Version dieser Seite (localStorage „nighthopper:hotel-merkliste:v1“) übernehmen wir einmal in diese Merkliste, sobald du wieder eine Seite mit Herz oder „Mein Konto“ öffnest, und löschen sie danach; bist du angemeldet, kommt sie dabei in dein Konto. Ohne Anmeldung zählt die Kopfzeile nur im Browser, wie viele Einträge dort liegen, und zeigt die Zahl am Konto-Zeichen; dafür wird nichts übertragen.
• KI-Suche — nur wenn du dort schreibst: die Kennung der Unterhaltung und ihr Verlauf (deine Nachrichten, die Antworten und die Karten dazu) im Speicher dieses Tabs (sessionStorage „nh-ki-unterhaltung-v1“), damit die Unterhaltung beim Wechsel der Seite weitergeht. Mit dem Schließen des Tabs ist er weg, „Neue Unterhaltung“ löscht ihn sofort.
• Deine Stimme in einer Urlaubsabstimmung — nur wenn du auf „Mein Favorit“ tippst: die Kennung der Abstimmung und die Nummer der Reise, die du gewählt hast. Sie liegt nur in diesem Browser (localStorage „nighthopper:abstimmung:v1“), bis du die Stimme zurücknimmst oder die Websitedaten löschst.
• Anmeldung — drei Cookies, nur wenn du dich anmeldest (bei „Meine Reise“, auf der Packliste, beim Preisalarm oder für die Deal-Mail): einer verbindet den Code mit diesem Browser (höchstens 15 Minuten), einer hält dich angemeldet (30 Tage oder bis du dich abmeldest). Diese beiden enthalten nur eine zufällige Kennung, keine Angaben über dich. Der dritte sagt der Kopfzeile nur „angemeldet“ (Wert 1), damit sie dir auf jeder Seite den Countdown zu deiner nächsten Reise und die Zahl deiner gemerkten Einträge zeigen kann und die Startseite Vorschläge zu dieser Reise; er läuft mit deiner Anmeldung ab und geht beim Abmelden weg. Auf unseren anderen Reiseseiten setzt jede Seite ihre eigenen Anmelde-Cookies dieser Art; sie gelten nur auf der Seite, die sie gesetzt hat.
• Deine letzten Hotelsuchen — nur wenn du unter der Hotelsuche „Letzte Suchen auf diesem Gerät merken“ anhakst: für jede Hotelsuche, die du hier öffnest (auch über einen Link), höchstens sechs, das Ziel (den Flughafen oder den Suchtext, wie du ihn eingegeben oder ausgewählt hast, bei einem Ort aus unserer Liste mit dessen Nummer, dazu den Namen, wie die Seite ihn zeigte), An- und Abreisetag, Gäste (mit dem Alter mitreisender Kinder) und Zimmer — keine Preise, keine Unterkünfte. Die Liste liegt nur in diesem Browser (localStorage „nighthopper:letzte-suchen:v1“) und wird nicht an uns übertragen. Erst wenn du eine Suche daraus öffnest, geht sie wie jede andere Suche an unseren Server und an die Preisquellen (siehe „Preise und Suchanfragen“). Einzelne Suchen entfernst du mit dem „ד; nimmst du den Haken heraus oder löschst du die Websitedaten, ist die Liste sofort weg.
• Deine aktuelle Suche — Start, Ziel (auch ein Land, eine Region oder ein Ort, wenn du es unter „Wohin soll’s gehen?“ auswählst), Daten und Reisende, damit Hotel, eSIM oder Transfer sie übernehmen und du sie nicht noch einmal eintippen musst, und damit dir die Startseite Flüge, Hotels, Mietwagen und Pauschalreisen zu diesem Ziel vorschlagen und ein Foto davon zeigen kann. Foto und Farbe dazu bestimmt die Seite jedes Mal neu, gespeichert wird nur deine Wahl. Kommst du über einen Link mit einem Reiseziel zu uns, etwa aus einer Anzeige, gilt dieses Ziel als deine Suche. Sie liegt nur für die Dauer des Tabs im Browser und ist weg, sobald du ihn schließt.
• Das zuletzt angeklickte Pauschalreise-Hotel — Name, Sterne, Lage, Bewertung und günstigstes Angebot, damit die Terminseite es beschreiben kann. Ebenfalls nur für die Dauer des Tabs.
• Kartenbilder — nur wenn eine Karte erscheint (in der Hotelsuche und bei „Wohin für … €?“): Die Kartenbilder und -symbole, die Schrift für die Ortsnamen und die Kartenbibliothek legt dein Browser wie andere Dateien aus dem Netz in seinem Zwischenspeicher (Cache) ab, damit die Karte beim nächsten Mal schneller erscheint. Wie lange, entscheidet dein Browser; OpenFreeMap erlaubt es für die Kartenbilder bis zu zehn Jahre. Das ist das gewöhnliche Verhalten deines Browsers; wir lesen davon nichts aus.
• App-Leiste — „nh-app-hinweis“ (localStorage) merkt sich, dass du den Hinweis oben auf der Seite geschlossen hast, damit er nicht wiederkommt. Der Eintrag entsteht erst, wenn du auf das „✕“ („Hinweis schließen“) tippst.

Eine Einwilligung braucht es dafür nicht: § 25 Abs. 2 Nr. 2 TDDDG erlaubt das Speichern auf deinem Gerät und das Auslesen dort, wenn es für einen Dienst, den du ausdrücklich nutzt, unbedingt erforderlich ist. Du kannst alles jederzeit löschen, indem du die Websitedaten in deinem Browser entfernst.

Die Packliste lag früher nur in deinem Browser. Seit dem 24. September 2026 gibt es sie nur mit Konto (siehe unten); einen alten Stand in deinem Browser löschen wir, sobald du eine unserer Seiten wieder öffnest.

Deine Reisen in „Meine Reise“ und die Packliste gibt es nur mit Konto; suchen, vergleichen, zu einem Anbieter wechseln, merken und eine Urlaubsabstimmung anlegen kannst du ohne. Du meldest dich mit deiner E-Mail-Adresse an: Wir schicken dir einen sechsstelligen Code, und mit dem ersten richtigen Code entsteht das Konto. Ein Passwort gibt es nicht.

Es ist ein Konto für nighthopper.de, die Nighthopper-App und unsere anderen Reiseseiten (die Liste steht unter „Unsere Reiseseiten“ im Fuß dieser Seite), die derselbe Verantwortliche betreibt; auf einer Seite wird es erst nutzbar, wenn sie es anbietet. Angemeldet wirst du auf jeder Seite einzeln, mit einem eigenen Code; meldest du dich dort mit derselben Adresse an, bist du im selben Konto. Meldest du dich ab, gilt die Regel unter „Wie lange wir etwas aufbewahren“: Auf unseren anderen Reiseseiten endet damit deine Anmeldung auf allen unseren Websites, auf nighthopper.de nur dann, wenn du auch auf einer anderen angemeldet bist; die Anmeldung in der App bleibt. Was eine andere Seite mit den Angaben tut, steht in deren Datenschutzerklärung.

Die E-Mail-Adresse brauchen wir, weil du dich damit anmeldest; ohne sie gibt es kein Konto und damit weder „Meine Reise“ noch die Packliste. Der Vorname ist freiwillig.

Gespeichert werden deine E-Mail-Adresse, freiwillig ein Vorname, wann das Konto angelegt und die Adresse bestätigt wurde und wann du dich zuletzt angemeldet hast. Dazu deine Reisen: Strecke oder Abholort, Daten, Zahl der Reisenden, Airline, Flugnummern und Flugzeiten, bei einer Unterkunft ihr Name, ihre Kennung bei Google, die Adresse ihres ersten Fotos, ihre Sterne, das Ziel deiner Suche, Gäste mit dem Alter mitreisender Kinder und Zimmer, die gewählten Leistungen mit den Preisen, wie sie angezeigt wurden, der Anbieter und der Link zu seinem Angebot, der Zeitpunkt des Wechsels dorthin, die Kennung der Weiterleitung (wechselst du für dieselbe Reise mehrmals zu Anbietern, jeder Wechsel mit Anbieter, Zeitpunkt, Kennung und dem Angebot, wie es dabei angezeigt wurde — Leistungen und Preise, Flüge, Airline, Rückflug, Zahl der Reisenden, Link zum Anbieter —, damit eine gemeldete Buchung auch zu einem früheren Wechsel findet und zeigt, was du dort gebucht hast), der Buchungsstand und — wenn uns das Partnernetzwerk oder eine eingefügte Bestätigung das mitteilt — Buchungsnummer und Betrag (übernimmst du eine Buchung in der App, die Buchungsnummer und wo du gebucht hast). Je Anmeldung halten wir fest, auf welcher unserer Seiten oder in der App sie stattfand, zu welcher Anmeldung mit Code sie gehört (damit sie gemeinsam enden können), wann sie begann, bis wann sie gilt, wann sie zuletzt benutzt wurde, bis wann ein eben eingegebener Code für das Löschen des Kontos zählt, und Browser und Betriebssystem in Kurzform (etwa „Safari auf iOS“). Beim ersten Code, mit dem dein Konto entsteht, halten wir außerdem einmal fest, woher du kamst: auf welcher unserer Seiten oder in der App du dich angemeldet hast, auf welcher Seite dort (nur ihr Pfad, etwa „/konto“ oder auf einer Streckenseite die Strecke — ohne den Abfrageteil der Adresse und ohne Kennungen) und über welchen Weg du zu uns gefunden hast, in grober Einteilung (etwa Suchmaschine, KI-Assistent, Anzeige, direkter Aufruf, eine andere unserer Seiten oder die App). Den Weg entnehmen wir dem Einstieg deines Besuchs in der Reichweitenmessung (siehe „Reichweitenmessung“), den wir dafür kurz über denselben Tageswert nachschlagen, den diese Messung ohnehin bildet; in deinem Konto bleiben nur Seite, Pfad und die grobe Einteilung, keine IP-Adresse und keine Kennung. Bei Konten, die vorher entstanden sind, gibt es diese Angabe nicht.

Für die Packliste speichern wir je Liste — eine allgemeine und je eine für jede Reise, die du packst — die Art der Reise (Strand, Stadt oder Kälte, auch mehrere zugleich), ob ein Mietwagen dabei ist, welche Punkte du abgehakt hast, eigene Punkte, die du der Liste hinzufügst (nur der Text, den du eintippst, höchstens 50 je Liste), zu welcher Reise die Liste gehört und wann du sie zuletzt geändert hast. Damit die Liste auf allen deinen Geräten gleich ist und je Punkt deine zuletzt gemachte Änderung gilt, merken wir uns außerdem je Punkt, wann du ihn zuletzt abgehakt, den Haken entfernt, angelegt oder gelöscht hast, und wann du zuletzt alle Haken entfernt und wann du zuletzt die Art der Reise oder den Mietwagen gewählt hast. Von einem gelöschten eigenen Punkt bleibt nur seine Kennung mit dem Zeitpunkt des Löschens, nicht sein Text (höchstens 200 je Liste; die ältesten fallen weg) — so holt ein Gerät, das das Löschen noch nicht kennt, ihn nicht zurück. Den Zeitpunkt schicken die Website und die App mit jeder Änderung mit, dazu die Uhrzeit beim Absenden; damit gleichen wir eine falsch gehende Uhr deines Geräts aus. Die Uhrzeit beim Absenden speichern wir nicht; die übrigen Zeitpunkte löschen wir mit der Liste. Angelegt wird eine Liste erst, wenn du dort etwas anklickst oder einträgst. Das Reiseland, nach dem sich „Besonders wichtig für …“ richtet, leiten wir bei jedem Öffnen aus dem Ziel deiner Reise ab; gespeichert wird es nicht.

Für die Merkliste speichern wir, was du mit dem Herz merkst — Flüge, Unterkünfte, Pauschalreisen und Mietwagen, in der App auch Deals: bei einem Flug Strecke, Tage, Flugzeiten, Flugnummern und Airline; bei einer Pauschalreise das Hotel mit Ort, Sternen und Foto und, wenn du einen Termin merkst, seine Tage, Verpflegung, Zimmer und den Abflughafen; bei einem Mietwagen Abhol- und Rückgabeort, Zeitraum, Fahreralter, Wohnsitzland, Modell und Vermieter; bei einer Unterkunft Name, Foto, Ziel, Reisedaten, Gäste (mit dem Alter mitreisender Kinder) und Zimmer; bei einem Deal sein Ziel. Dazu jeweils die Suche, mit der du es wieder öffnest, den Preis, der beim Merken angezeigt wurde, mit dem Anbieter, und wann du es gemerkt hast. Links zu Anbietern speichern wir dabei nicht. Höchstens 40 Einträge je Art; merkst du mehr, weicht der älteste. Ein Eintrag verschwindet, wenn du ihn entfernst, 30 Tage nach seinem letzten Reisetag, ohne Reisetag ein Jahr nach dem Merken — und mit deinem Konto sofort.

Für jede Anfrage nach einem Code speichern wir die Adresse, die Seite, auf der du ihn angefordert hast, einen Prüfwert des Codes (nicht den Code selbst), die Zahl der Eingaben und einen Hashwert deines Netzes, nicht deine IP-Adresse. Damit begrenzen wir, wie oft Codes angefordert und geraten werden können; außerdem sehen wir je Seite und Stunde als Zahl, wie viele Codes ungenutzt bleiben, um Missbrauch zu erkennen.

Rechtsgrundlage ist der Nutzungsvertrag über dein Konto mit „Meine Reise“, der Packliste und der Merkliste (Art. 6 Abs. 1 Buchst. b DSGVO); die Begrenzung der Code-Anfragen und der Beleg einer Löschung beruhen auf unserem berechtigten Interesse, Missbrauch zu verhindern und Löschungen nachweisen zu können (Buchst. f). Das Festhalten der Herkunft deiner Anmeldung beruht auf unserem berechtigten Interesse, zu sehen, über welche unserer Seiten und Wege Konten entstehen, und unser Angebot danach zu verbessern (ebenfalls Buchst. f). Wir verwenden die Angaben nur für „Meine Reise“, die Packliste, die Merkliste, den Preisalarm, beobachtete Pauschalreise-Termine, die Mitteilungen der App, den Jahresrückblick „Dein Reisejahr“, die von dir ausgelöste Bewertungseinladung von Trustpilot, die von dir bestellte Deal-Mail, die Anmeldung auf unseren anderen Reiseseiten und deine Nighthopper-Punkte und Prämienbestellungen (siehe unten), samt den Mails, die wir dir dafür schreiben; die Rechtsgrundlage steht jeweils im Abschnitt dazu. Daneben steht dein Konto in unserem internen Backoffice einzeln — mit Vorname, E-Mail-Adresse, dem Tag der Anlage und der letzten Anmeldung sowie der Zahl deiner Reisen, gebuchten Reisen und angemeldeten Geräte und, wo sie festgehalten wurde, der Herkunft deiner Anmeldung —, damit wir die Konten verwalten können; in den ersten 30 Tagen führt das Backoffice dein Konto außerdem als neues Konto auf, mit dem Zeitpunkt, zu dem es entstand, und einer gekürzten Form deiner E-Mail-Adresse, damit wir neue Konten bemerken (beides Buchst. f). Darüber hinaus werten wir die Angaben nicht über dich aus; für unsere Statistik zählen wir nur Gesamtzahlen (etwa Konten, in den letzten 30 Tagen aktive Konten, Reisen, gebuchte Reisen, Merklisten-Einträge, Beobachtungen und neue Konten nach Seite und Weg; Buchst. f). An Dritte für deren eigene Zwecke geben wir die Angaben nicht weiter. Verarbeitet werden sie von unseren Dienstleistern (siehe „Wer für uns arbeitet“), von Trustpilot mit deiner E-Mail-Adresse, wenn du die Einladung auslöst, und von Apple mit dem Text einer Mitteilung. Für den Preisalarm, beobachtete Termine und den Flugstatus gehen nur Angaben zur Reise selbst (Strecke oder Flugnummer, Hotel, Tage, Abflughafen, Zahl und Alter der Reisenden) ohne Bezug zu dir an die dort genannten Quellen. Werbung per Mail gibt es nur, wenn du die Deal-Mail ausdrücklich bestellst (siehe unten).

Die Angaben liegen in unserer Datenbank bei Neon in Frankfurt am Main. Die Mail mit dem Code geht über unser Postfach bei united-domains hinaus; eine Kopie bewahren wir nicht auf. Wir schreiben dir den Anmeldecode, die Bestätigung einer Löschung und — mindestens vier Wochen vorher — geänderte Nutzungsbedingungen; dazu Meldungen deiner Preisalarme und die Deal-Mail, aber nur, wenn du sie angelegt oder bestellt hast. Forderst du einen Code auf einer unserer anderen Reiseseiten an, kommt die Mail im Namen dieser Seite (ihre Absenderadresse liegt auch dann bei nighthopper.de); dasselbe gilt für die Meldungen eines Preisalarms, den du dort angelegt hast.

In deinem Konto auf nighthopper.de und in der App kannst du jederzeit deine Daten als Datei herunterladen, die Packlisten und die Merkliste sowie deine geteilten Reisen eingeschlossen, deine Punkte und Prämien-Bestellungen, und dein Konto löschen — mit allen Reisen, Packlisten, der Merkliste, Preisalarmen, Punkten und Prämien-Bestellungen und Anmeldungen, sofort und auf allen unseren Seiten. Als Beleg der Löschung bewahren wir 180 Tage lang nur das Datum und eine gekürzte Form deiner E-Mail-Adresse auf.

In der Übersicht deines Kontos zeigen wir Reisen, deren Buchung uns ein Partnernetzwerk bestätigt hat, auch als Reisestempel: eine Erinnerung an die Reise mit einem Kürzel des Ziels, dem Ort, dem letzten Reisetag und der Art der Reise. Ist die Reise vorbei und hat das Netzwerk die Buchung nur gemeldet, noch nicht bestätigt, steht an der Stelle ein gestrichelter Platz mit „wird geprüft“; auch dein eigenes „Ja, gebucht“ oder eine eingefügte Buchungsbestätigung allein ergibt keinen Stempel. Er wird bei jedem Öffnen aus den Reisen berechnet, die du ohnehin im Konto hast, und aus dem Stand der Meldung deines Partnernetzwerks zu dieser Reise (nur der Stand, kein Betrag), die wir ohnehin speichern; dafür speichern wir nichts zusätzlich.

Mit „Countdown als Bild teilen“ in „Meine Reise“ entsteht ein Bild deiner nächsten Reise (Ziel, Tage bis zur Reise, Reisedaten). Es entsteht in deinem Browser und wird nicht an uns geschickt; nur Foto und Logo lädt dein Browser dafür wie jedes Bild der Seite von unserem Server. Wir speichern es nicht. Am Handy öffnet „Teilen“ das Teilen-Menü deines Geräts mit dem Bild und einem kurzen Satz, sonst lädt dein Browser das Bild herunter. An wen und mit welcher App du teilst, erfahren wir nicht; gezählt wird das nicht.

Den Preisalarm gibt es nur mit Konto. Legst du einen an, speichern wir die Strecke, den Abflugtag oder -monat, auf Wunsch den Rückflugtag, ob drei Tage davor und danach mitzählen, deine Preisgrenze, den Preis beim Anlegen, den zuletzt gesehenen Preis mit Tag und Uhrzeit der Prüfung, in welcher Sprache wir dir schreiben (die der Seite, auf der du ihn angelegt hast), auf welcher unserer Seiten du ihn angelegt hast und wann wir dir zuletzt geschrieben haben.

Einmal am Tag fragen wir für jeden Alarm den günstigsten zuletzt gefundenen Preis bei Travelpayouts (Aviasales) ab. Dorthin gehen nur Strecke und Tage — weder deine Adresse noch sonst etwas über dich. Fällt der Preis, schreiben wir dir über unser Postfach bei united-domains; eine Kopie der Mail bewahren wir nicht auf.

Legst du einen Alarm auf einer unserer anderen Reiseseiten an, ist es derselbe Alarm-Dienst: Alle deine Alarme zusammen sind höchstens zehn, die Meldung kommt im Namen der Seite, auf der du ihn angelegt hast, und ihre Links führen nur auf diese Seite. Du siehst einen solchen Alarm auch hier auf der Seite Preisalarm und in der App, und er zählt im Jahresrückblick „Dein Reisejahr“ mit. Beenden kannst du ihn dort, hier oder in der App, ohne Anmeldung auch mit dem Link in jeder Mail. Was diese Seite dazu verarbeitet, steht in ihrer Datenschutzerklärung.

Rechtsgrundlage ist der Nutzungsvertrag über dein Konto (Art. 6 Abs. 1 Buchst. b DSGVO). Einen Alarm löschst du auf der Seite Preisalarm oder mit dem Link in jeder Mail, ohne Anmeldung. Von selbst endet er nach dem Abflugtag; mit dem Konto ist er sofort weg.

Punkte gibt es nur mit Konto. Bist du beim Wechsel zu Aviasales, Kiwi.com oder QEEQ angemeldet, steht die Kennung dieses Wechsels ohnehin an deinem Konto (siehe „Konto, Meine Reise und Packliste“). Meldet uns das Netzwerk Travelpayouts zu dieser Kennung eine Buchung (siehe „Meldungen unserer Partnernetzwerke“), schreiben wir dir daraus Punkte gut. Dafür speichern wir an deinem Konto die Buchungskennung des Netzwerks, den Partner, die Art der Reise (Flug oder Mietwagen), die Punkte, die wir aus dem gemeldeten Buchungswert berechnen, den Stand der Meldung (vorgemerkt, gutgeschrieben, storniert), den Buchungstag, wann das Netzwerk die Buchung bestätigt hat, wie wir die Buchung deinem Konto zugeordnet haben, und gegebenenfalls, dass wir eine Gutschrift wegen Missbrauchs gesperrt haben. Den Buchungswert selbst speichern wir dafür nicht noch einmal; als Testbuchung markierte Meldungen bringen keine Punkte.

Bestellst du eine Prämie, speichern wir, welche Prämie, die eingelösten Punkte, den Stand der Bestellung (offen, verschickt, storniert) mit Datum und deine Lieferadresse (Name, Straße, Adresszusatz, Postleitzahl, Ort, Land) — verschlüsselt. Dass du mindestens 18 Jahre alt bist und den Teilnahmebedingungen zustimmst, bestätigst du mit zwei Haken; ein Geburtsdatum fragen wir nicht ab und die Haken speichern wir nicht einzeln; wir speichern aber, welche Fassung der Teilnahmebedingungen bei deiner Bestellung galt. Ohne die Haken nehmen wir die Bestellung nicht an. Die Adresse sehen nur wir, um den Umschlag zu beschriften und zu verschicken; wir geben sie an niemanden weiter außer dem Postdienst, der den Brief zustellt.

Rechtsgrundlage ist die Teilnahme an den Nighthopper-Punkten nach den Teilnahmebedingungen (Art. 6 Abs. 1 Buchst. b DSGVO). Die Lieferadresse löschen wir 90 Tage nach Versand oder Storno der Bestellung; Punkte und Bestellungen ohne Adresse bleiben als dein Punktestand im Konto, bis du es löschst — dann sofort. Bleibt eine Bestellung länger als 90 Tage offen, stornieren wir sie, schreiben dir die Punkte wieder gut und löschen die Adresse. Buchungen und Bestellungen auf Missbrauch zu prüfen, stützen wir auf unser berechtigtes Interesse, das Programm fair zu halten (Art. 6 Abs. 1 Buchst. f DSGVO).

Mit „Abstimmung starten“ unter „Meine Reise“ → „Gemerkt“ machst du aus zwei oder drei deiner gemerkten Pauschalreisen oder Unterkünfte einen Link, über den deine Mitreisenden für ihren Favoriten abstimmen. Ein Konto brauchst du dafür nicht; bist du angemeldet, verknüpfen wir die Abstimmung trotzdem nicht mit deinem Konto. Dafür legen wir einen Schnappschuss dieser Reisen an: bei einer Pauschalreise Hotel, Reiseziel, Termin, Abflughafen, Verpflegung, den Preis, der beim Merken angezeigt wurde, mit dem Tag des Merkens sowie Zeitraum und Zahl der Reisenden der Suche (bei Kindern deren Alter); bei einer Unterkunft ihren Namen, ihre Kennung bei Google und ihren Ort, den Preis, der beim Merken angezeigt wurde (und ob er aus dem Nachtpreis hochgerechnet war), mit dem Tag des Merkens sowie Reiseziel, An- und Abreise, Zahl der Reisenden und Zimmer der Suche (bei Kindern deren Alter), soweit du sie mit Reisedaten gemerkt hast. Dazu kommen eine zufällige Kennung, die im Link steht, der Zeitpunkt des Anlegens und der, bis zu dem die Abstimmung läuft. Wer den Link kennt, kann die Seite sehen und abstimmen — ein Konto braucht dafür niemand. Die Seite einer Abstimmung nehmen Suchmaschinen nicht in ihren Index auf, und den Mess-Pixel von OpenAI laden wir dort nicht.

Bei der Abstimmung zählen wir nur, wie oft jede Reise gewählt wurde. Wir speichern nicht, wer abgestimmt hat: keine Namen, keine IP-Adresse, keine Kennung des Geräts und keinen Zeitpunkt je Stimme. Damit dein Gerät sich merkt, was du gewählt hast, legt dein Browser nach dem Tippen auf „Mein Favorit“ die Kennung der Abstimmung und die Nummer deiner Wahl ab (siehe „Was im Browser gespeichert wird“) — nur auf deinen Wunsch, nur dort. Gegen Missbrauch begrenzt unser Server, wie oft aus einem Netz Abstimmungen angelegt werden (bist du angemeldet, zusätzlich je Konto und Netz) und wie oft ein Netz abstimmen und das Vorschaubild abrufen darf. Als Netz zählt deine IP-Adresse, bei IPv6 nur ihre vordere Hälfte (das /64-Netz); sie wird dafür sofort in einen Hashwert umgerechnet. Diese Zähler liegen nur im Arbeitsspeicher, werden nicht gespeichert und nach etwa einer Stunde verworfen.

Mitteilung bei neuen Stimmen (nur App). Legst du die Abstimmung in der App an, während dort unter Konto → Mitteilungen „Urlaubsabstimmungen“ eingeschaltet ist, speichern wir bei der Abstimmung zusätzlich die zufällige Kennung deiner App-Installation und die Sprache der App — nicht dein Konto und nicht das Gerätetoken — und zählen, wie viele Mitteilungen dazu am jeweiligen Tag schon verschickt wurden. Bei jeder neuen Stimme — nicht bei deiner eigenen in der App und höchstens 30-mal am Tag — schicken wir dir dann eine Mitteilung mit dem Stand: die Namen der Hotels bzw. Unterkünfte und wie viele Stimmen sie haben, nie, wer abgestimmt hat. Wie die Mitteilung zugestellt wird, steht unter „Mitteilungen der App“. Bist du in der App angemeldet, steht dieselbe Kennung bei uns auch beim Gerät neben deinem Konto (siehe dort); für die Abstimmung nutzen wir sie nur, um dir die Mitteilung zuzustellen. Schaltest du „Urlaubsabstimmungen“ aus, kommt keine Mitteilung mehr; die Kennung löschen wir mit der Abstimmung 30 Tage nach dem Anlegen.

Die Seite zeigt den Preis vom Merken, ohne bei Partnern nachzufragen; er kann sich seitdem geändert haben. Erst wenn du „Aktuellen Preis ansehen“ öffnest, gilt, was wir unter „Preise und Suchanfragen“ beschreiben. Ein Foto zeigt das Reiseziel, nie die Unterkunft selbst. Eine Abstimmung löschen wir samt Zählern 30 Tage nach dem Anlegen automatisch. Verschickst du den Link über das Teilen-Menü deines Geräts, bestimmst du, an wen er geht; welche App du dafür nimmst, erfahren wir nicht. Die Daten liegen in derselben Datenbank wie alles andere, in Frankfurt.

Rechtsgrundlage ist der von dir ausdrücklich gewünschte Dienst (Art. 6 Abs. 1 Buchst. b DSGVO); die Speicherung im Browser ist dafür erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und unterbleibt, solange du nicht abstimmst. Die Begrenzung gegen Missbrauch beruht auf unserem berechtigten Interesse, ihn zu verhindern (Art. 6 Abs. 1 Buchst. f DSGVO).

Mit „Reise teilen“ in einer Reise unter „Meine Reise“ machst du aus ihr einen Link für deine Mitreisenden — auf Wunsch zusammen mit Flug, Unterkunft und Mietwagen, die zeitlich dazugehören; was dazukommt, wählst du aus. Dafür brauchst du ein Konto, denn die Reise steht dort. Wir speichern dazu eine zufällige Kennung, die im Link steht, die Verbindung zu deinem Konto, welche deiner Reisen geteilt sind, den letzten Tag der Reise, einen Prüfwert, an dem wir Änderungen erkennen, und wann das Teilen angelegt und zuletzt geändert wurde. Die Reisen selbst kopieren wir nicht: Der Link zeigt immer den aktuellen Stand deines Kontos. Teilst du mehr als 20 Reisen, endet das Teilen der ältesten.

Wer den Link kennt, sieht ohne Konto auf nighthopper.de und in der App, was du geteilt hast: Reiseziel und Reisetage, Abflug-, Umsteige- und Zielflughafen, Airline, Flugnummern und geplante Zeiten, den Live-Status der Flüge ab zwei Tagen vor dem Abflug (siehe „Flugstatus und Entschädigungsprüfung“), die Zahl der Reisenden, bei einer Unterkunft Name, Foto, Sterne, Ort, Nächte, Zimmer und Gäste (bei Kindern deren Alter), beim Mietwagen Ort und Tage, den Stand der Buchung (etwa „Buchung bestätigt“), außerdem den Countdown, ein Foto des Reiseziels sowie Ortszeit und Sonnenuntergang dort. Preise, Anbieter, Buchungsnummern, deinen Namen und deine E-Mail-Adresse zeigen wir dort nie. Bedenke: Diese Angaben verraten, wann du wo bist — und wann du nicht zu Hause bist. Empfänger sind alle, denen du den Link gibst oder an die er weitergegeben wird; teile ihn nur mit Menschen, denen du das anvertraust und mit denen auch deine Mitreisenden einverstanden sind. Wer die Seite öffnet, speichern wir nicht mit der Reise; in unserer Besuchszählung und bei Google Analytics erscheint der Aufruf nur als „/reise“, ohne Kennung, und den Mess-Pixel von OpenAI laden wir auf dieser Seite nicht. Wie bei jedem Aufruf entstehen Protokolle bei unserem Hoster (siehe „Beim Aufruf der Seite“). Suchmaschinen nehmen die Seite nicht in ihren Index auf. Gegen Missbrauch begrenzt unser Server, wie oft ein Konto Reisen teilt, wie oft die Seite aus einem Netz aufgerufen wird und wie oft die App die Reise aus einem Netz bzw. von einer App-Installation abruft (nur im Arbeitsspeicher; IP-Adressen nur als Hashwert, nach etwa einer Stunde verworfen).

Wer in der App auf „Mitreisen“ tippt, hat die Reise danach in seinem „Meine Reise“ und in den Widgets „Countdown“ und „Nächste Reise“. Das merkt sich nur sein iPhone (höchstens zehn Reisen, die älteste fällt heraus), zusammen mit dem zuletzt geladenen Stand, bis er „Nicht mehr mitreisen“ wählt, du das Teilen beendest (die App bemerkt das beim nächsten Laden mit Internet), er sein Konto löscht oder „Alles auf diesem iPhone löschen“ wählt. Ist dort unter Konto → Mitteilungen „Geteilte Reisen“ eingeschaltet, speichern wir bei deiner geteilten Reise zusätzlich die zufällige Kennung dieser App-Installation und wann sie eingetragen wurde — keinen Namen, kein Konto, kein Gerätetoken; höchstens 20 Installationen je Reise — und schicken eine Mitteilung, wenn sich an der Reise etwas ändert (siehe „Mitteilungen der App“). Diese Kennung löschen wir, sobald dort „Nicht mehr mitreisen“ gewählt, „Geteilte Reisen“ ausgeschaltet, das Konto gelöscht oder alles auf dem iPhone gelöscht wird (beim nächsten Kontakt der App mit uns), spätestens mit der geteilten Reise. Wie viele Installationen eingetragen sind, siehst du bei deiner Reise; wer es ist, sehen weder du noch wir. In der Datei „Meine Daten herunterladen“ stehen deine geteilten Reisen (Link, welche Reisen, letzter Tag, Zeitpunkte, Zahl der eingetragenen Installationen) und — soweit wir es wissen, weil ein Gerät deines Kontos dafür Mitteilungen bekommt — die geteilten Reisen anderer, bei denen du mitreist (Link, Kennung der App-Installation, seit wann).

Du beendest das Teilen jederzeit mit „Teilen beenden“: Dann löschen wir Kennung und Einträge sofort, und der Link funktioniert nicht mehr. Sonst löschen wir alles 14 Tage nach dem letzten Tag der Reise automatisch — und mit deinem Konto. Löschst du eine Reise aus deinem Konto, verschwindet sie auch aus der geteilten Reise. Die Daten liegen in derselben Datenbank wie alles andere, in Frankfurt.

Rechtsgrundlage ist der von dir ausdrücklich gewünschte Dienst (Art. 6 Abs. 1 Buchst. b DSGVO) — für dich beim Teilen und für Mitreisende beim Mitreisen und bei den Mitteilungen. Soweit die Reise Angaben zu anderen Personen enthält (Zahl der Reisenden, Gäste und Alter von Kindern), beruht ihre Anzeige auf dem berechtigten Interesse, eine gemeinsame Reise gemeinsam planen zu können; Namen zeigen wir dafür nie (Art. 6 Abs. 1 Buchst. f DSGVO). Die Speicherung auf dem iPhone der Mitreisenden ist dafür erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die Begrenzung gegen Missbrauch beruht auf unserem berechtigten Interesse, ihn zu verhindern (Art. 6 Abs. 1 Buchst. f DSGVO).

Einen Termin einer Pauschalreise beobachten lassen kannst du nur mit Konto. Tust du es, speichern wir das Hotel mit Namen und Region, den Hin- und Rückreisetag, den Abflughafen, die Verpflegung, die Zahl der Erwachsenen und das Alter der mitreisenden Kinder, den Preis beim Anlegen, den zuletzt gesehenen Preis mit Tag und Uhrzeit der Prüfung, den zuletzt gemeldeten Preis mit dem Tag der Meldung, wie oft der Termin bei der Prüfung nicht mehr zu finden war, in welcher Sprache wir dir schreiben (die der Seite, auf der du den Termin beobachten lässt) und, wenn die Beobachtung von selbst endet, wann und warum.

Einmal am Tag fragen wir für jeden beobachteten Termin den Preis bei CHECK24 ab, je Lauf für höchstens 20 Termine. Dorthin gehen nur das Hotel, die Reisetage, der Abflughafen und die Zahl und das Alter der Reisenden — weder deine Adresse noch sonst etwas über dich. Fällt der Preis um mindestens 3 Prozent und 20 Euro, schreiben wir dir über unser Postfach bei united-domains; ist der Termin dreimal in Folge nicht mehr zu finden, schreiben wir dir einmal und beenden die Beobachtung. Eine Kopie der Mail bewahren wir nicht auf. Hast du in der App Mitteilungen zu Preisalarmen erlaubt, schicken wir dazu zusätzlich eine Mitteilung mit dem Namen des Hotels und dem Preis.

Rechtsgrundlage ist der Nutzungsvertrag über dein Konto (Art. 6 Abs. 1 Buchst. b DSGVO). Eine Beobachtung beendest du unter „Meine Reise“, mit der Glocke am Termin oder mit dem Link in jeder Mail, ohne Anmeldung; sie ist dann sofort gelöscht. Von selbst endet sie am Tag des Hinflugs oder wenn der Termin wegfällt; diese Einträge löschen wir 30 Tage danach. Mit dem Konto sind alle Beobachtungen sofort weg.

Die Deal-Mail ist Werbung: Einmal pro Woche schicken wir dir Flüge, die gerade deutlich unter dem üblichen Preis ihrer Strecke liegen und an denen wir über Partner Provision verdienen können. Wir schicken sie nur, wenn du sie mit Konto bestellst und dabei ausdrücklich zustimmst. Deine Adresse ist dann bereits durch den Anmeldecode bestätigt.

Wir speichern, dass und wann du zugestimmt hast und welchen Wortlaut du dabei gesehen hast, welche Abflughäfen du gewählt hast, in welcher Sprache wir dir schreiben und wann die letzte Deal-Mail an dich ging. Bestellst du sie ab, vermerken wir den Zeitpunkt und schicken nichts mehr; der Vermerk bleibt als Beleg, dass die früheren Mails eine Grundlage hatten, bis du das Konto löschst.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO, § 7 Abs. 2 UWG). Du kannst sie jederzeit widerrufen — mit dem Link in jeder Deal-Mail, ohne Anmeldung, oder auf der Seite Flug-Deals. Der Widerruf gilt für die Zukunft. Die Mail geht über unser Postfach bei united-domains; wir werten nicht aus, ob du sie öffnest oder anklickst.

Schickst du uns das Formular auf /kontakt ab, gehen dein Name, deine E-Mail-Adresse, der Betreff und dein Text als E-Mail in unser Postfach bei united-domains. Wir verwenden sie, um dir zu antworten, und für die Auswertung mit KI (unten); sonst geben wir sie niemandem weiter. Grundlage ist unser berechtigtes Interesse daran, erreichbar zu sein (Art. 6 Abs. 1 Buchst. f DSGVO) — und, wenn es um einen Vertrag mit uns geht, dessen Anbahnung (Art. 6 Abs. 1 Buchst. b DSGVO).

Damit das Formular nicht von Maschinen zugeschüttet wird, prüft unser Server beim Absenden kurz, wie oft von derselben Herkunft geschrieben wurde. Deine IP-Adresse wird dafür sofort in einen Hashwert umgerechnet; der Klartext wird nicht abgelegt, der Hashwert liegt nur im Arbeitsspeicher und ist nach spätestens einer Stunde weg. In der E-Mail steht er nicht.

Die Nachricht selbst bewahren wir so lange auf wie jede andere E-Mail an uns: bis die Sache erledigt ist, längstens drei Jahre.

Auswertung mit KI. Einmal am Tag wertet ein Programm auf unserem eigenen Rechner die Post des Vortags in unseren Postfächern aus, damit nichts liegen bleibt und wir sehen, was Kunden und Partner bewegt: Es fasst Anfragen zusammen und erkennt etwa Buchungsbestätigungen, Fristen und Probleme. Dafür nutzen wir Claude, den KI-Dienst von Anthropic. Von jeder Mail gehen dabei Zeitpunkt, Postfach und Ordner, der Name des Absenders, die Domain seiner Adresse, der Betreff und der Text an Anthropic, PBC in den USA, gekürzt auf 1.500 Zeichen und ohne Anhänge, höchstens 80 Mails am Tag; Unzustellbar-Meldungen bleiben draußen. Das schließt ein, was du selbst hineinschreibst; bei Nachrichten über das Formular steht dein Name im Text. Vorher schwärzen wir Mail-Adressen, Telefonnummern, IBAN und Kartennummern, Ausweis- und Buchungsnummern und Geburtsdaten, wenn ein Hinweiswort wie „Buchungsnummer“, „Bestätigung“ oder „geboren“ davorsteht, und häufige Wörter für Krankheiten und Behinderungen; das erkennt nicht alles, Namen und Anschriften schwärzen wir nicht — Gesundheitsangaben schick uns bitte nur, wenn sie für dein Anliegen nötig sind. Bei uns gespeichert wird nur das Ergebnis: eine kurze Zusammenfassung, in die keine Namen und Kontaktdaten übernommen werden sollen; Mail-Adressen und Telefonnummern filtern wir vor dem Speichern zusätzlich heraus, und nach 13 Monaten löschen wir sie, außer was wir daraus als Aufgabe übernehmen. Die Datei mit den Mails und die Antwort der KI löschen wir nach jedem Lauf.

Rechtsgrundlage ist unser berechtigtes Interesse, Anfragen und Geschäftspost vollständig und schnell zu bearbeiten und unser Angebot danach auszurichten (Art. 6 Abs. 1 Buchst. f DSGVO). Du kannst widersprechen: Schreib uns an info@nighthopper.de; dann setzen wir deine Adresse auf eine Sperrliste, und ab dem nächsten Lauf danach gehen Mails von ihr — auch als Antwortadresse oder über das Formular — nicht mehr in die Auswertung. Mails, die als Widerspruch erkennbar sind — sicher, wenn „Widerspruch“ im Betreff steht —, nehmen wir schon vorher aus. Anthropic ist dafür nicht unser Auftragsverarbeiter: Wir nutzen ein Abo von Claude, und Anthropic verarbeitet die Daten nach seinen Bedingungen für Abos und seiner Datenschutzerklärung. Die Nutzung zum Training seiner Modelle haben wir abgeschaltet; dann bewahrt Anthropic Ein- und Ausgaben nach eigenen Angaben 30 Tage auf. Erkennen seine Schutzsysteme einen Verstoß gegen die Nutzungsrichtlinien, bleiben Ein- und Ausgaben bis zu zwei Jahre und die Bewertungen der Schutzsysteme bis zu sieben Jahre, länger, wenn ein Gesetz es verlangt. Anthropic, PBC ist nicht nach dem EU-US Data Privacy Framework zertifiziert, und Standardvertragsklauseln haben wir für dieses Abo mit Anthropic nicht geschlossen. In den USA ist deine Mail deshalb womöglich weniger geschützt als in der EU, etwa vor dem Zugriff von Behörden. Mehr bei Anthropic: anthropic.com/legal/privacy.

Du kannst den Text einer Buchungsbestätigung einfügen, damit die Reise ergänzt wird. Aus dem Text lesen wir Buchungsnummer, Anbieter, Strecke, Flugnummern, Datum und Betrag heraus. Den Text selbst speichern wir nicht — nur die erkannten Angaben, an der Reise in deinem Konto. Namen, auch von Mitreisenden, legen wir nicht ab.

Buchst du nach einer Weiterleitung bei einem Partner, meldet uns dessen Netzwerk, dass zu einer unserer Kennungen eine Buchung zustande gekommen ist. Eine solche Meldung enthält die Kennung, den Status (gemeldet, bestätigt, storniert), den Buchungswert, manchmal eine Buchungsnummer und je nach Netzwerk Angaben wie Land, Stadt, Gerät, Reisedaten und die Seite, von der aus du zum Anbieter gewechselt bist — keinen Namen. Wir erhalten diese Angaben also nicht von dir, sondern vom Netzwerk (Art. 14 DSGVO).

Beim Netzwerk Travelpayouts (etwa für Aviasales, Kiwi.com, QEEQ, Klook, Welcome Pickups, Airalo) rufen wir diese Meldungen selbst aus dessen Statistik ab. Je Buchung sind das Kennungen, Status, Buchungswert und Buchungszeitpunkt und, je nach Partner, Strecke oder Ort, Reisetag, Zahl der Reisenden, Airline und die Stelle, bei der gebucht wurde. Seit dem 18.10.2026 fragen wir dort außerdem die Geräteart ab und je Buchung die Buchungsdetails mit unserer Provision, dem Land und, soweit genannt, der Stadt des Kunden, dem Betriebssystem und, je nach Partner, Reisetag und Ziel. Namen, Kontaktdaten und IP-Adressen übernehmen wir dort nicht: Aus den Buchungsdetails lesen wir nur die genannten Angaben; was das Netzwerk sonst mitschickt, verwerfen wir sofort, ohne es zu speichern. Leiten wir dich zu Aviasales weiter, speichern wir die Kennung, die Aviasales diesem Klick gibt, und die Kennung der Suche, aus der das Angebot stammt, neben unserer.

Für unsere eigene Auswertung übernehmen wir diese Buchungen und rufen die Meldungen außerdem bei CJ (für Booking.com) und Awin (für Sunny Cars und Urlaubspiraten) über deren Schnittstellen ab; ebenso übernehmen wir die Buchungen aus den Partnerberichten von Expedia und Trip.com und, seit dem 18.10.2026, aus den Partnerbereichen von CHECK24 und DiscoverCars, seit dem 21.10.2026 auch aus dem Partnerbericht von KAYAK, der schon den Weiterklick bei KAYAK zu einem Anbieter meldet. Je Buchung speichern wir dafür Netzwerk, Partner und Programm, Bereich, Status, Buchungszeitpunkt, Buchungswert mit Währung, die Provision, wenn das Netzwerk sie nennt, die Kennung, unter der das Netzwerk die Buchung führt (bei Expedia, Trip.com, KAYAK, CHECK24 und DiscoverCars nur einen aus der Buchungsnummer berechneten, gekürzten Prüfwert), unsere Kennung für den Wechsel und, soweit das Netzwerk sie nennt, Land und Stadt des Kunden (nur der Ortsname – keine Straße, keine Postleitzahl), die Geräteart (etwa Handy oder Rechner), das Betriebssystem, Reisebeginn und Ziel sowie die Seite, von der aus du zum Anbieter gewechselt bist (nur die Domain und, bei unseren eigenen Seiten, der Pfad – ohne angehängte Parameter); bei CHECK24 außerdem, ob der Wechsel über unsere Google-Anzeige kam — keine Namen, Kontaktdaten oder IP-Adressen. Über unsere Kennung ordnen wir die Buchung dem Wechsel zum Anbieter zu und vermerken an ihr den Weg, auf dem du zu uns gekommen bist (Kanal, Kampagne, Anzeigengruppe, Website, Stunde; siehe „Reichweitenmessung“). Hast du der „Eigenen Auswertung mit IP-Adresse“ zugestimmt, lässt sich die Buchung über den Prüfwert außerdem mit deiner IP-Adresse verbinden (siehe dort). So sehen wir, welche Werbung und welche unserer Seiten zu Buchungen führen, und können Werbung, Inhalte und Angebote nach Ländern, Städten, Geräten und Reisezeiten planen. Angaben aus deinem Konto nutzen wir dafür nicht. Warst du angemeldet oder übernimmst du die Reise später in dein Konto, steht dieselbe Kennung allerdings auch an der Reise in deinem Konto; solange sie an der Buchung steht, ließe sich die Buchung darüber deinem Konto zuordnen — bei Buchungen über Travelpayouts auch danach über die Buchungskennung des Netzwerks, solange die Reise in deinem Konto besteht, längstens bis wir die Zeile nach 400 Tagen löschen. Wir werten die Zuordnung nur je Buchung und je Weg aus, nicht je Konto. Ausnahme: Für deine Nighthopper-Punkte ordnen wir Buchungen über Aviasales, Kiwi.com und QEEQ deinem Konto zu, um Punkte gutzuschreiben, zu bestätigen oder wieder abzuziehen (siehe Abschnitt „Nighthopper-Punkte“). Unsere Kennung und die Stadt des Kunden löschen wir 180 Tage nach der Buchung, die ganze Zeile samt Land, Gerät und Reisedaten 400 Tage nach der Buchung. Rechtsgrundlage ist unser berechtigtes Interesse, den Erfolg unserer Werbung zu messen und unser Angebot danach auszurichten (Art. 6 Abs. 1 Buchst. f DSGVO). Für unsere Übersicht geben wir außerdem einzelne Buchungen ohne Kennungen, Namen und Stadt des Kunden an denselben KI-Dienst: Tag, Netzwerk, Partner, Bereich, Stand, Betrag, Provision, Kanal und Kampagne, Land und Geräteart, in unseren Notizen und Auswertungen zu einer Buchung auch Reisebeginn, Ziel, Betriebssystem und die Seiten unserer Website, über die sie kam. Das geschieht einmal am Tag (siehe „Auswertung mit KI“ unter „Kontaktformular und E-Mail“).

Wir tragen die Meldung an der Reise mit dieser Kennung in deinem Konto ein, damit du den Stand auf jedem Gerät siehst. Warst du beim Wechsel zum Anbieter nicht angemeldet, wartet die Meldung, bis die Reise nach dem Anmelden in dein Konto kommt; findet sich 180 Tage lang keine Reise dazu, löschen wir sie. Rechtsgrundlage ist für die Anzeige in deinem Konto der Nutzungsvertrag (Art. 6 Abs. 1 Buchst. b DSGVO), für die Abrechnung unserer Vermittlung unser berechtigtes Interesse (Buchst. f).

Trägt eine Buchung keine unserer Kennungen, passen aber Partner, Zeitpunkt (bis drei Tage nach deinem Wechsel), Strecke oder Ort und Reisetag zu deiner Reise, zeigen wir sie dir als Vorschlag: „Warst du das?“. Den Buchungswert zeigen wir dabei nicht. Erst wenn du bestätigst, gehört die Buchung zu deiner Reise; sagst du „Nein“, merken wir uns das, damit der Vorschlag nicht wiederkommt. Einen Vorschlag, der auf mehrere Kunden passen könnte, zeigen wir nur, wenn Strecke oder Tag ihn bestätigen.

Deine Suche (Strecke oder Ort, Datum, Anzahl der Reisenden, Klasse, bei Mietwagen auch Uhrzeiten und Fahreralter, an QEEQ und DiscoverCars zudem das Wohnsitzland) wird an unsere Preisquellen übermittelt, damit sie Angebote liefern können — je nach Bereich sind dasAviasales (Travelpayouts), Kiwi.com (unter anderem für den Preiskalender der Suchmaske), Duffel, QEEQ, DiscoverCars, CHECK24, Sunny Cars, Kiwitaxi, Airalo und für Hotels die Google-Hotelsuche (Google Ireland Limited, Irland), die unser Server direkt abfragt, und nur ersatzweise, wenn Google nicht antwortet, SerpApi (SerpApi, LLC, USA); dorthin gehen Reiseziel, Reisedaten, Zahl der Erwachsenen und das Alter mitreisender Kinder. Diese Abfragen laufen über unseren Server: Die Anbieter sehen weder deine IP-Adresse noch deinen Namen oder sonst etwas, woran sie dich erkennen könnten. Grundlage ist unser berechtigtes Interesse daran, eine funktionierende Suche anzubieten (Art. 6 Abs. 1 Buchst. f DSGVO).

Eine Ausnahme: Aviasales. Für die Flugsuche über Aviasales (Netzwerk Travelpayouts) schicken wir zusammen mit deiner Suche deine IP-Adresse mit. Travelpayouts verlangt sie für jede Suche und begrenzt damit, wie oft von einer Adresse aus gesucht werden kann; ohne sie teilten sich alle unsere Besucher ein einziges Kontingent, und die Suche fiele bei viel Betrieb aus. Wir speichern die Adresse dafür nicht. Grundlage ist unser berechtigtes Interesse an einer Flugsuche, die auch bei vielen Besuchern funktioniert (Art. 6 Abs. 1 Buchst. f DSGVO).

Hotelfotos. Die Bilder in der Unterkunftssuche (aus der Google-Hotelsuche) und die Logos der Anbieter werden über unseren eigenen Server ausgeliefert. Dein Browser verbindet sich dafür nicht mit Google, und Google erfährt weder deine IP-Adresse noch, welches Bild du gesehen hast.

Beispiel-Hotels unter deinem Mail-Deal. Öffnest du unsere Flugsuche über den Link in einer Preisalarm- oder Deal-Mail, steht der Flug aus der Mail oben; findet die Suche ihn nicht, ein ähnlicher Flug an denselben Tagen. Den Abgleich machen unsere Seite in deinem Browser und unser Server mit den Angaben im Link (Fluggesellschaft, Tag, bei einem Preisalarm auch Uhrzeit), gespeichert wird dabei nichts. Direkt darunter zeigen wir Beispiel-Hotels am Zielort dieses Flugs. Die Reisedaten nehmen wir aus demselben Flug: Anreise am Tag der Landung, Abreise am Tag des Rückflugs, ohne Rückflug an einem späteren Tag drei Nächte später; liegt die Anreise schon zurück, zeigen wir keine Beispiele. Erst kurz bevor die Beispiele auf deinem Bildschirm erscheinen, fragt dein Browser unseren Server danach. Unser Server fragt dafür die Google-Hotelsuche (Google Ireland Limited, Irland) nach 4-Sterne-Unterkünften an diesem Ort (findet Google dort nichts, auch in der Umgebung) für diese Reisedaten und zwei Erwachsene, sortiert nach Preis, und prüft für die ersten sechs, welcher unserer Partner sie anbietet; einen anderen Anbieter fragt er dafür nicht. Google sieht dabei weder deine IP-Adresse noch sonst etwas zu deiner Person. Grundlage ist unser berechtigtes Interesse, dir passende Unterkünfte zu deinem Flug zu zeigen (Art. 6 Abs. 1 Buchst. f DSGVO). Das Ergebnis heben wir etwa 30 Minuten auf und zeigen es in dieser Zeit allen Besuchern mit derselben Suche. Damit niemand die Abfragen massenhaft auslöst, zählt unser Server eine Minute lang, wie oft von derselben IP-Adresse aus gefragt wird, nur als Hashwert im Arbeitsspeicher; darüber hinaus speichern wir dabei nichts zu deiner Person. Gezeigt werden bis zu vier Unterkünfte mit Angebot eines Partners, geordnet nach dem Nachtpreis des günstigsten Partnerangebots, die günstigste zuerst, jeweils mit dem Anbieter und in der Regel mit dem Zeitpunkt der Abfrage; die Fotos liefert unser Server aus. In deinem Browser wird dafür nichts gespeichert. Programmen, die sich als solche zu erkennen geben, zeigen wir keine Beispiele. Tippst du auf den Knopf oder ein Hotel, öffnet sich unsere Hotelsuche in einem neuen Tab; Reiseziel, An- und Abreise, zwei Erwachsene, vier Sterne und die Sortierung nach Preis stehen dann in ihrer Adresse, beim Hotel zusätzlich dessen Kennung. Ob und worauf du hier tippst, zählen wir nicht. Für die Hotelsuche, die sich dann öffnet, gilt, was diese Erklärung zu ihr sagt, auch zur Reichweitenmessung: Tippst du auf ein Hotel, öffnet sie gleich dessen Fenster und zählt das wie dort beschrieben.

Mietwagen unter deinem Mail-Deal. Landet der Flug aus der Mail an einem Flughafen, für den unsere Mietwagensuche gedacht ist, steht im selben Kasten über den Beispiel-Hotels ein Mietwagen-Vorschlag: der Flughafen, Abholung am Tag der Landung, Rückgabe am Tag des Rückflugs (ohne Rückflug an einem späteren Tag sieben Tage später), jeweils zu einer festen Standarduhrzeit, dazu, wenn vorhanden, ein Preis aus unserer eigenen regelmäßigen Stichprobe mit dem Tag, an dem wir ihn abgefragt haben, und Logos von Vermietern aus unseren Stichproben, die unser Server ausliefert. Für diesen Vorschlag liest unser Server nur seine eigene Datenbank; er fragt beim Laden der Seite keinen Partner und niemanden sonst an, und dazu wird nichts zu deiner Person gespeichert. Tippst du auf „Mietwagen suchen“ oder einen der Links zum Ändern von Zeiten und Fahreralter, öffnet sich unsere Mietwagensuche in einem neuen Tab; Flughafen (bei anderem Rückgabeort auch dieser), Abhol- und Rückgabetag mit Uhrzeit, ein übliches Fahreralter und technische Angaben zur Suche stehen dann in ihrer Adresse. Ob du hier tippst, zählen wir nicht. Für die Mietwagensuche, die sich dann öffnet, gilt, was diese Erklärung zu ihr sagt, auch zur Reichweitenmessung.

Die Karte in der Hotelsuche. Am großen Bildschirm steht sie neben der Liste, am Handy erscheint sie, wenn du „Karte“ antippst. Dafür lädt dein Browser die Kartenbibliothek MapLibre von unpkg.com und die Kartenbilder samt der Schrift für die Ortsnamen und der Kartensymbole von OpenFreeMap (tiles.openfreemap.org). Beide Dienste erfahren dabei deine IP-Adresse und welchen Kartenausschnitt du ansiehst, wie bei jedem Abruf einer Datei aus dem Netz. Es werden dafür keine Cookies gesetzt, und wir geben ihnen nichts weiter. Die Kartenbilder legt dein Browser in seinem Zwischenspeicher ab (siehe „Was im Browser gespeichert wird“). Grundlage ist unser berechtigtes Interesse, die Lage der Unterkünfte zeigen zu können (Art. 6 Abs. 1 Buchst. f DSGVO). Die Punkte für die Unterkünfte ohne Preis lädt die Karte von unserem eigenen Server; dabei geht nichts an Dritte.

Die Karte „Wohin für … €?“ zeigt dir unter „Flüge“, wohin du für dein Budget fliegen kannst. Dafür lädt dein Browser dieselbe Kartenbibliothek und dieselben Kartenbilder samt Schrift und Symbolen wie bei der Karte in der Hotelsuche (MapLibre von unpkg.com, OpenFreeMap) und legt sie ebenso in seinem Zwischenspeicher ab; beide Dienste erfahren dabei deine IP-Adresse und welchen Kartenausschnitt du ansiehst. Budget und Monat erfahren sie nicht; der Kartenausschnitt richtet sich zu Beginn grob nach dem Abflughafen. Die Ziele und Preise stellt unser Server in die Seite; er nutzt dafür die zuletzt gefundenen Preise aus der Daten-API von Travelpayouts, ohne Angaben zu deiner Person. Es werden dafür keine Cookies gesetzt, und deinen genauen Standort fragt die Karte nicht ab; den Abflughafen schlagen wir wie in der übrigen Flugsuche nach deinem ungefähren Standort aus der IP-Adresse vor (siehe „Reichweitenmessung“). Grundlage ist unser berechtigtes Interesse, dir die Ziele auf einer Karte zeigen zu können (Art. 6 Abs. 1 Buchst. f DSGVO).

Pauschalreisen. Reiseziele, Hotels, Termine und Preise auf der Seite „Pauschalreisen“ fragen wir bei CHECK24 ab (TARIFCHECK24 GmbH, CHECK24-Partnerprogramm). Auch das läuft über unseren Server: CHECK24 erhält deine Suche (Abflughafen, Zeitraum, Reisedauer, Zahl der Reisenden, das Alter mitreisender Kinder, Reiseziel, Hotel und die Filter, die du setzt — nie Namen), aber weder deine IP-Adresse noch sonst etwas zu deiner Person. Tippst du im Feld „Reiseziel“, geht das Getippte ab dem zweiten Buchstaben auf demselben Weg als Suchwort an CHECK24, damit wir dir passende Länder, Regionen, Orte und Hotels vorschlagen können; gleiche Suchwörter beantworten wir bis zu einem Tag aus einem Zwischenspeicher. Die Auswahl „Alle Länder“ liegt bei uns selbst und fragt niemanden. Klickst du ein Hotel an, merkt sich der Speicher dieses Browser-Tabs dessen Angaben (Name, Sterne, Lage, Bewertung, günstigstes Angebot), damit die Terminseite es beschreiben kann; beim Schließen des Tabs ist das weg. Die Hotelbilder stellt CHECK24 bereit; unser Server holt sie von CHECK24s Bildserver. Wo es keines gibt, stammen Fotos des Hauses von Wikimedia Commons und Luftbilder der Hotellage von amtlichen Vermessungsstellen (zurzeit nur aus Nordrhein-Westfalen, Berlin, Hessen und den USA; Einzelheiten im Bildnachweis); die Fotos der Reiseziele stammen von Pexels, Pixabay oder Wikimedia Commons. Alle Bilder kommen über unseren Server — dein Browser verbindet sich dafür weder mit CHECK24 noch mit Pexels, Pixabay, Wikimedia oder einer Behörde, und sie erfahren nichts über dich (Urheber und Lizenzen: Bildnachweis). Gleiche Suchen beantworten wir bis zu zehn Minuten aus einem Zwischenspeicher im Arbeitsspeicher unseres Servers, damit CHECK24 nicht mehrfach dasselbe gefragt wird; eine Person lässt sich daraus nicht erkennen. Erst mit „Zur Buchung“ wechselst du zu CHECK24 — ab dann gilt der nächste Abschnitt. Grundlage ist unser berechtigtes Interesse an einer funktionierenden Suche (Art. 6 Abs. 1 Buchst. f DSGVO).

In der KI-Suche beschreibst du deine Reise in eigenen Worten. Dafür schicken wir deine Nachricht und den bisherigen Verlauf dieser Unterhaltung an Anthropic, das sie mit seinem Sprachmodell Claude versteht und beantwortet. Öffnest du die KI-Suche in der App über die KI-Blase, gehen mit deinen Nachrichten auch die Angaben der Suche mit, die du dabei angesehen hast (siehe „Die Nighthopper-App für iPhone“, Punkt „KI-Suche“). Das Modell wählt, welche unserer Suchen es stellt; die Suchen laufen wie unter „Preise und Suchanfragen“ beschrieben, und an die Partner gehen nur die Suchangaben (etwa Orte, Tage, Zahl und Alter der Reisenden, Filter), nie deine Nachricht; anders als dort schicken wir Aviasales für die KI-Suche deine IP-Adresse nicht mit. Preise, Zeiten und Links auf den Karten stammen aus diesen Suchen, nicht vom Modell; jede Antwort prüft unser Server automatisch, bevor du sie siehst. Über dich wird dabei nichts entschieden, das dich rechtlich oder ähnlich erheblich betrifft. Die KI-Suche ist freiwillig; die normale Suche funktioniert ohne sie.

Die Unterhaltung (deine Nachrichten, die Antworten und die Suchergebnisse dazu) speichern wir in unserer Datenbank in Frankfurt am Main unter einer zufälligen Kennung — ohne Bezug zu deinem Konto und ohne IP-Adresse —, damit sie 24 Stunden lang weitergehen kann. Unser tägliches Aufräumen macht daraus spätestens 48 Stunden nach ihrem Beginn ein Protokoll: nur noch die Texte von dir und der KI, dazu die Namen der genutzten Suchen und die Kosten der Unterhaltung. Dabei schwärzen wir automatisch E-Mail-Adressen, Telefonnummern, IBAN und Kartennummern, Ausweis- und Buchungsnummern und Geburtsdaten, wenn ein Hinweiswort wie „Buchungsnummer“ oder „geboren“ davorsteht, und häufige Wörter für Krankheiten und Behinderungen. Das Schwärzen erkennt nicht alles; Namen und Anschriften schwärzt es nicht — bitte schreib sie nicht. Spätestens 31 Tage nach Beginn der Unterhaltung löschen wir das Protokoll. Wir nutzen es, um Fehler und Missbrauch zu erkennen und die KI-Suche zu verbessern (etwa ihre Anweisungen und Suchen); ein KI-Modell trainieren wir damit nicht, wir geben es nicht an Partner weiter und nutzen es nicht für Werbung.

„Neue Unterhaltung“ löscht die bisherige sofort, auch auf unserem Server. Weil wir eine Unterhaltung keiner Person zuordnen, finden wir sie sonst für Auskunft oder Löschung nur, wenn du uns Zeitpunkt und Inhalt beschreibst.

Angaben zu deiner Gesundheit oder der deiner Mitreisenden (etwa, dass jemand einen Rollstuhl nutzt) brauchst du nicht zu machen. Schreibst du sie von dir aus, nutzen wir sie nur, um dir in dieser Unterhaltung zu antworten — etwa, um Unterkünfte zu bevorzugen, die als barrierefrei gekennzeichnet sind; an Partner geben wir sie nicht weiter. Wie jede Nachricht gehen sie dafür an Anthropic (auch in die USA) und werden wie oben gespeichert; das Schwärzen erkennt sie nicht immer. Grundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 Buchst. a DSGVO), die du gibst, indem du solche Angaben nach diesem Hinweis selbst schickst. Angaben über andere schick bitte nur mit deren Einverständnis. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — mit „Neue Unterhaltung“ oder mit einer Nachricht an uns; bei Anthropic gelten dessen Fristen (siehe unten).

Damit niemand die KI-Suche ausnutzt, begrenzen wir die Nachrichten je Tag (ohne Konto weniger als mit Konto). Dafür zählen wir unter einem Pseudonym. Auf der Website ist das ein Schlüsselwert aus dem Tag und deinem Internetanschluss (bei IPv6 dessen Netz), in unserer App aus dem Tag und der Kennung deiner App-Installation. Bist du angemeldet, zählen wir unter deinem Konto; Website und App zählen dann zusammen. Nur wir können den Schlüsselwert bilden, und er ist jeden Tag ein anderer; die Zähler löschen wir am nächsten Tag. Die Kosten von Website und App zählen in eine gemeinsame Tagesgrenze. Nur die Tageskosten aller Besucher zusammen und, getrennt nach Website und App, die Zahl der Nachrichten und ihre Kosten je Tag bewahren wir 40 Tage auf — als Summen, ohne Bezug zu Personen. Wechselst du auf der Website über eine Karte zu einem Anbieter, gilt „Weiterleitung zu Partnern“; wir zählen den Klick mit dem Vermerk, dass er aus der KI-Suche kam. Der Anbieter erfährt dabei über die Kennung des Wechsels (bei Booking.com über den Vermerk „ki“), dass der Klick aus der KI-Suche kam — nichts aus deinen Nachrichten. In der App führen die Karten nicht direkt zum Anbieter, sondern in die normale Suche der App (siehe „Die Nighthopper-App für iPhone“).

Vertragspartner ist Anthropic Ireland, Limited (Dublin, Irland). Anthropic verarbeitet deine Nachrichten in unserem Auftrag (Art. 28 DSGVO); gespeichert werden sie bei Anthropic, PBC in den USA, beantwortet in Rechenzentren, die Anthropic weltweit nutzt, also auch in anderen Ländern außerhalb der EU. Anthropic erhält dabei weder deine IP-Adresse noch eine Kennung von dir. Anthropic, PBC ist nicht nach dem EU-US Data Privacy Framework zertifiziert. Grundlage der Übermittlung in die USA und in weitere Drittländer sind Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchst. c DSGVO), die Anthropic Ireland als unser Auftragsverarbeiter dafür mit Anthropic, PBC und seinen weiteren Unterauftragsverarbeitern einsetzen muss (Modul 3, Weitergabe zwischen Auftragsverarbeitern; Art. 28 Abs. 4 DSGVO). Eine Kopie holen wir dir auf Anfrage bei Anthropic ein. Nach eigenen Angaben löscht Anthropic Ein- und Ausgaben spätestens nach 30 Tagen — bei einem erkannten Verstoß gegen seine Nutzungsrichtlinien erst nach bis zu zwei Jahren, oder länger, wenn ein Gesetz es verlangt — und nutzt sie nicht, um seine Modelle zu trainieren.

Rechtsgrundlage ist der von dir gewünschte Dienst (Art. 6 Abs. 1 Buchst. b DSGVO); für Protokoll und Zähler unser berechtigtes Interesse an einer verlässlichen, sicheren und bezahlbaren KI-Suche (Art. 6 Abs. 1 Buchst. f DSGVO); für Gesundheitsangaben deine Einwilligung (siehe oben). Die Speicherung im Tab ist für die Unterhaltung erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und unterbleibt, solange du nichts schreibst. Die App speichert die Unterhaltung nicht auf dem iPhone; die Kennung der Installation liest sie dafür wie bei jeder Anfrage vom iPhone, das ist für die KI-Suche erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Die Fragen der Entschädigungsprüfung beantwortest du auf deinem Gerät; die Antworten schicken wir nirgendwohin. Fragst du dort, auf der Startseite oder in „Meine Reise“ den Status eines Fluges ab, gehen Flugnummer, Abflugtag und — aus deinem Konto — Abflug-, Umsteige- und Zielflughafen an unseren Server. Er schlägt die Flugdaten bei FlightAware nach, ersatzweise bei FlightStats. Diese Abfragen laufen über unseren Server: Die beiden erfahren weder deine IP-Adresse noch sonst etwas über dich.

Für Flüge in deinem Konto fragen wir in den Tagen nach dem Abflug einmal täglich von selbst ab, damit der Stand auch nach dem Ende der Live-Daten noch da ist. Aufbewahrt wird dabei nur der Stand des Fluges — Flugnummer, Tag, Strecke, geplante und tatsächliche Zeiten, Annullierung oder Umleitung —, ohne Bezug zu einem Konto oder einer Person, bis zum Ende des dritten Jahres nach dem Flug. Gleiche Abfragen beantworten wir einige Minuten lang aus einem Zwischenspeicher. Grundlage ist bei „Meine Reise“ der Nutzungsvertrag (Art. 6 Abs. 1 Buchst. b DSGVO), sonst unser berechtigtes Interesse an einer funktionierenden Prüfung (Buchst. f).

Die App ist ein eigenes Programm auf deinem iPhone, nutzt aber dieselben Dienste und dieselbe Datenbank wie die Website (Abschnitt „Wer für uns arbeitet“). Für sie gilt alles, was hier zur Website steht, mit diesen Unterschieden:

Die App enthält keine Software Dritter für Statistik, Werbung oder Absturzberichte und liest keine Werbe-ID (IDFA) aus; nach der Erlaubnis für „App-Tracking“ fragt sie nicht. In der App fehlen die zustimmungspflichtigen Dienste der Website (siehe „Kurz gefasst“); statt des Bewertungsknopfs von Trustpilot steht dort nur ein Link, der Trustpilot erst auf deinen Tipp außerhalb der App öffnet. Was die App auf dem iPhone ablegt, braucht sie für die Funktionen, die du nutzt (§ 25 Abs. 2 Nr. 2 TDDDG).

• Kennung der Installation. Jede Anfrage der App trägt eine zufällige Kennung dieser Installation, die Version der App (mit Build-Nummer) und von iOS sowie die Zeitzone deines iPhones. An der Version erkennen wir veraltete Fassungen, mit der Zeitzone schreiben wir Uhrzeiten so, wie dein iPhone sie zeigt, und mit der Kennung und deiner IP-Adresse bremsen wir zu viele Anfragen; diese Zähler liegen nur als Hashwert im Arbeitsspeicher unseres Servers und sind nach spätestens gut einer Stunde weg. Gespeichert wird die Kennung nur, wenn du Mitteilungen einschaltest (siehe „Mitteilungen der App“); bist du dabei angemeldet, hängt sie dann an deinem Konto. Sonst verbinden wir sie nicht mit deinem Namen oder deiner Adresse. Für die Tagesgrenze der KI-Suche speichern wir nur einen aus der Kennung abgeleiteten Schlüsselwert, der jeden Tag ein anderer ist, bis zum nächsten Tag (siehe „KI-Suche“). Löschst du die App, ist die Kennung auf dem iPhone weg. Wie bei der Website entstehen beim Aufruf Protokolle bei unserem Hoster (siehe „Beim Aufruf der Seite“), mit der Angabe der App (Name, Version, Build-Nummer und Version von iOS) statt der Browserkennung. Grundlage für Kennung, Kopfzeilen und Bremse ist unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb der App (Art. 6 Abs. 1 Buchst. f DSGVO); für Mitteilungen gilt, was dort steht.
• Auf dem iPhone gespeichert. Gemerkte Deals und Unterkünfte (angemeldet auch in deinem Konto, siehe „Merkliste“), verfolgte Flüge (Nummer und Tag), deine letzten Suchen und die Eingaben der Suche liegen nur auf dem Gerät, angemeldet auch der zuletzt geladene Stand deiner Reisen und Packlisten, damit du sie ohne Netz siehst und abhaken kannst. Für kommende Reisen (ab 60 Tagen vor der Abreise) legt die App außerdem den Reiseführer des Reiseziels samt Bildern von unserem Server als Offline-Kopie auf dem iPhone ab — von selbst nur im WLAN (abschaltbar unter Konto → Einstellungen); einzelne Reiseführer speicherst du mit „Offline speichern“. Alle zusammen belegen höchstens 150 MB; wird es mehr, fallen die ältesten weg. Automatisch gespeicherte räumt die App ab, wenn ihre Reise mehr als 7 Tage vorbei ist (beim nächsten Öffnen von „Meine Reise“); selbst gespeicherte bleiben, bis du sie entfernst. Unter Konto → Einstellungen löschst du alle auf einmal; „Konto löschen“ und „Alles auf diesem iPhone löschen“ entfernen sie ebenfalls, Abmelden nicht. Die Anmeldung liegt als zufälliger Schlüssel im Schlüsselbund von iOS, statt in einem Cookie, zusammen mit der E-Mail-Adresse, mit der du dich angemeldet hast: Die App zeigt sie im Konto und trägt sie bei der nächsten Anmeldung schon ein. Läuft die Anmeldung ab, bleiben der Stand deiner Reisen und Packlisten und die Adresse auf dem Gerät, bis du dich wieder anmeldest; meldet sich eine andere Adresse an, löscht die App sie vorher. Abmelden leert den Stand deiner Reisen und Packlisten und die Adresse auf dem Gerät; Konto löschen leert zusätzlich Gemerktes, verfolgte Flüge, deine Suchen, die Angaben der Einrichtung und deine Wahl der Mitteilungen (die App trägt das Gerät dann auch bei uns aus), also alles, was die App auf dem iPhone abgelegt hat, bis auf die Kennung der Installation. Einzelne Angaben oder alles löschst du jederzeit unter Konto → Datenschutz, auch ohne Konto. Sicherst du dein iPhone in iCloud oder auf einem Computer, ist das, was die App ablegt, wie bei jeder App Teil dieser Sicherung; darauf haben wir keinen Zugriff, und die Anmeldung aus dem Schlüsselbund zieht nicht auf ein anderes iPhone um.
• Deine Stimme in einer Urlaubsabstimmung. Wie auf der Website, nur in der App legt dein iPhone sie ab: nach dem Tippen auf „Mein Favorit“ die Kennung der Abstimmung und die Nummer deiner Wahl, für höchstens 30 Abstimmungen (die älteste fällt heraus). Nimmst du die Stimme zurück, löschst du dein Konto oder wählst du „Alles auf diesem iPhone löschen“, ist sie weg.
• Merkliste. Was du in der App mit dem Herz (in älteren Versionen der App teils mit dem Lesezeichen) merkst — Flüge, Pauschalreisen, Mietwagen, Unterkünfte und Deals — liegt mit den oben genannten Angaben auf dem iPhone. Bist du angemeldet, gleicht die App es mit deinem Konto ab: Was auf dem Gerät gemerkt ist, auch vor der Anmeldung, kommt ins Konto, und was du auf einem anderen Gerät oder auf der Website merkst oder entfernst, erscheint bzw. verschwindet auch hier. Dafür merkt sich die App die Kennungen der Einträge, die beim letzten Abgleich im Konto lagen. Abmelden lässt die Merkliste auf dem Gerät; Konto löschen und „Alles auf diesem iPhone löschen“ leeren sie. Löschst du sie unter Konto → Datenschutz nur auf dem iPhone, bleibt sie im Konto.
• „Hast du gebucht?“ Wechselst du in der App zu einem Anbieter, merkt sie sich auf dem Gerät höchstens drei Stunden lang, wohin es ging, um dich nach der Rückkehr einmal zu fragen, ob du gebucht hast. Bei einer Unterkunft gehören dazu ihr Name, ihre Kennung, die Adresse ihres ersten Fotos, ihre Lage und die Daten deiner Suche; den angezeigten Preis hält die App nur, solange sie läuft. Antwortest du mit „Ja“, speichern wir die Unterkunft in deinem Konto — ohne Konto erst, wenn du dich danach anmeldest. Mit der Frage ist der Eintrag auf dem Gerät weg.
• Wechsel zu einem Anbieter. In der App bildet unser Server die Kennung des Wechsels (aus „app“, dem Zeitpunkt und einem Zufallsteil) und zählt den Wechsel selbst: Wir speichern Partner, Bereich, Stunde, das Wort „App“ und den Prüfwert der Kennung, diesen 90 Tage; einen Weg wie auf der Website gibt es dabei nicht. Das Angebot öffnet die App in Safari; hast du die App des Anbieters, kann iOS den Link auch dort öffnen (etwa bei Booking.com, Airalo oder Kiwi.com). Ab dort gilt „Weiterleitung zu Partnern“. Bist du angemeldet, legt unser Server einen Flug oder Mietwagen, zu dem du wechselst, als Reise in deinem Konto ab: mit dem Angebot, wie es angezeigt wurde, dem Anbieter, dem Zeitpunkt und der Kennung des Wechsels (eine Unterkunft ohne diese Kennung). Meldet uns ein Partnernetzwerk zu dieser Kennung eine Buchung, tragen wir sie an dieser Reise ein (siehe „Meldungen unserer Partnernetzwerke“). Die Reise löschst du jederzeit in „Meine Reise“.
• KI-Suche. Die KI-Suche gibt es auch in der App. Es gilt, was unter „KI-Suche“ steht, mit diesen Unterschieden: Ohne Konto zählen wir deine Nachrichten je Tag nicht unter deinem Internetanschluss, sondern unter einem Pseudonym aus dem Tag und der Kennung deiner App-Installation (gespeichert wird nur dieser Schlüsselwert, nicht die Kennung selbst, und am nächsten Tag gelöscht); bist du in der App angemeldet, unter deinem Konto, zusammen mit der Website. Die App speichert die Unterhaltung nicht auf dem iPhone; sie hält sie nur im Arbeitsspeicher, solange die App läuft. „Neue Unterhaltung“ löscht sie auch auf unserem Server; beendest du die App ohne „Neue Unterhaltung“, gelten auf dem Server die Fristen unter „KI-Suche“. Ein Tipp auf eine Karte öffnet die normale Suche der App mit denselben Angaben (etwa Strecke, Tage, Reisende oder Hotel); für diese Suche gilt, was unter „Auf dem iPhone gespeichert“ steht. Wechselst du von dort zu einem Anbieter, gilt „Wechsel zu einem Anbieter“, ohne Vermerk, dass du aus der KI-Suche kamst. Die KI-Blase unten rechts öffnet die KI-Suche aus der Suche heraus, die du gerade ansiehst. Dafür hält die App im Arbeitsspeicher fest, was auf der Ergebnisliste oder in der Suchmaske steht: Suchart, Abflughafen, Ziel oder Ort, Tage, Zahl der Erwachsenen und Kinder, gewählte Einstellungen (etwa Direktflug, Reiseklasse, Reisedauer oder das Alter des Fahrers) sowie Zahl und Preisspanne der angezeigten Angebote. An unseren Server geht das erst, wenn du in der KI-Suche eine Nachricht schickst, und dann mit jeder Nachricht dieser Unterhaltung, bis du „Neue Unterhaltung“ wählst oder die App beendest; öffnest du die KI aus einer anderen Suche, gehen ab dann deren Angaben mit. Wir geben sie zusammen mit deiner Nachricht an Anthropic weiter, damit die KI zu genau dieser Suche antworten kann (Art. 6 Abs. 1 Buchst. b DSGVO, hilfsweise unser berechtigtes Interesse an einer passenden Antwort, Buchst. f); die wichtigsten davon zeigt der Chat oben an. Die Angaben selbst speichern wir nicht; übernimmt die KI sie in ihre Suchen oder nennt sie in der Antwort, stehen sie dort wie alles andere in der Unterhaltung (Fristen unter „KI-Suche“, dort auch die Fristen bei Anthropic). Ob die Blase einmal einen Hinweis zeigt, entscheidet die App allein auf dem iPhone nach festen Regeln, etwa wie lange eine Seite ohne Berührung offen ist oder ob du die Suche mehrmals änderst. Dafür merkt sie sich im Arbeitsspeicher nur Zeitpunkte (etwa der letzten Berührung, ohne Stelle oder Inhalt) und auf dem iPhone, wann Hinweise erschienen sind (genutzt nur die der letzten 7 Tage), bis wann Ruhe ist und, je Suchart, ob du einen Hinweis geschlossen oder Blase oder Hinweis angetippt hast. Dieses Gedächtnis enthält keine Kennung, bleibt auf dem iPhone und dient nur dazu, dir weniger Hinweise zu zeigen; dafür ist es erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Davon geht nichts an uns; „Alles auf diesem iPhone löschen“ und „Konto löschen“ entfernen auch das.
• Suchen und Wetter. Suchen aus der App laufen wie unter „Preise und Suchanfragen“ beschrieben über unseren Server, mit einem Unterschied: Für Aviasales schicken wir aus der App deine IP-Adresse nicht mit. Hast du keinen Abflughafen gewählt, nimmt unser Server für die Preise unter „Entdecken“ und bei einem Reiseziel den Flughafen deines Bundeslands bzw. deiner Region, die unser Hoster aus deiner IP-Adresse ableitet (ähnlich wie auf der Website, siehe „Reichweitenmessung“); gespeichert wird dafür nichts. Das Wetter am Reiseziel fragt unser Server beim norwegischen Wetterdienst MET Norway ab; dorthin geht nur die Lage des Zielflughafens, nichts über dich. Steht in einer Suchmaske ein Ziel, holt die App dazu ein Foto und Ideen am Ziel (Hotel-Themen, unseren Reiseführer) von unserem Server; ohne Ziel holt sie Urlaubsideen nach Urlaubsart; dafür schickt sie nichts aus deiner Suche, nur die Angaben jeder Anfrage. Für das Ziel geht nur das Ziel (Flughafen, Region oder der eingetippte Ort) an uns, ohne Konto, dazu die Angaben jeder Anfrage (siehe „Kennung der Installation“), und an niemanden sonst; wie jede aufgerufene Adresse steht das Ziel bis zu 30 Tage im Protokoll unseres Hosters.
• Einrichtung beim ersten Start. Was du dort angibst, deine Heimatflughäfen und wer meistens mitreist (Zahl der Erwachsenen, Alter der Kinder), liegt nur auf dem Gerät. Die App füllt damit die Suchen vor und stellt Deals ab deinen Flughäfen nach vorn; das geschieht auf dem iPhone. An unseren Server gelangen die Angaben nur als Teil einer Suche, die du startest, wie jede andere Eingabe der Suche. Einen Standort fragt die App dafür nicht ab: Flughäfen in deiner Nähe errechnet sie aus dem Flughafen, den du gewählt hast. Ändern oder leeren kannst du alles unter Konto → Einstellungen.
• Suche des iPhones (Spotlight). Damit du die App über die Suche des iPhones findest, meldet sie dort ihre Bereiche an (etwa „Hotels suchen“) und, wenn du angemeldet bist, deine kommenden Reisen mit Ziel, Reisetagen und Flugnummer. Diese Einträge legt iOS nur auf dem Gerät ab; wir erhalten dadurch nichts. Abmelden und eine abgelaufene Anmeldung entfernen die Reisen dort wieder. Tippst du in Spotlight auf „In Nighthopper suchen“, gibt iOS deinen Suchbegriff an die App, die damit die Zielsuche öffnet.
• Am Reisetag (Live Activity, „Fahrplan“). Steht ein Flug aus deinen Reisen oder deinen verfolgten Flügen an, zeigt die App auf dem Sperrbildschirm und in der Dynamic Island Flugnummer, Strecke, Zeiten, Terminal und Gate (soweit bekannt), den Flugstatus (etwa „Pünktlich“ oder „Verspätet“), die Uhrzeit der letzten Aktualisierung und den Sonnenuntergang am Ziel. Das gilt ab 24 Stunden vor dem Abflug bis kurz nach der Landung, aber nur, wenn du die App in dieser Zeit öffnest; nur dann startet und aktualisiert sie die Anzeige. Beim Öffnen fragt sie dafür den Flugstatus über die Flugabfrage ab (Flugnummer, Abflugtag und Flughäfen gehen dafür an unseren Server, siehe „Flugstatus und Entschädigungsprüfung“); ist die Anzeige ausgeschaltet, fragt sie dafür nichts ab. Die Anzeige selbst baut iOS auf dem iPhone, dafür geht nichts an uns oder an Apple. Die App merkt sich auf dem Gerät nur, welche Anzeige zu welchem Flug gehört, wann sie gestartet wurde, ob du sie für einen Flug weggewischt hast und deine Wahl. Die Anzeige ist auch bei gesperrtem iPhone zu sehen; abschalten kannst du sie unter Konto → Mitteilungen oder in den iOS-Einstellungen.
• Erinnerung zum Öffnen. Schaltest du unter Konto → Mitteilungen die „Erinnerung zum Öffnen“ ein und erlaubt iOS Mitteilungen, plant die App für die Flüge deiner Reisen im Konto Mitteilungen am Vortag und etwa drei Stunden vor dem Abflug. Sie nennen Flugnummer und Ziel und können auf dem Sperrbildschirm erscheinen. Sie werden nur auf deinem iPhone geplant und angezeigt; nichts davon geht an uns oder an Apples Push-Dienst. Ausschalten kannst du sie jederzeit unter Konto → Mitteilungen; dann räumt die App die geplanten Mitteilungen weg.
• Widgets auf dem Home- und Sperrbildschirm. Ein Deal-Widget fragt selbst bei unserem Server die aktuellen Live-Deals ab, ohne die Kennung der Installation und ohne Anmeldung; dabei entstehen nur die Protokolle beim Aufruf. Welche Deals es zeigt (etwa nur ab einem Flughafen), stellst du am Widget ein; das bleibt auf dem iPhone. Mit dem Pfeil „Nächster Deal“ im kleinen Top-Deal-Widget blätterst du durch die gespeicherten Deals, ohne dass sich die App öffnet; wo du stehst und wann du zuletzt getippt hast, merkt sich das Widget in seinem Zwischenspeicher. Dafür geht nichts an uns.
• Deine Reisen im Widget. Bist du angemeldet, zeigen die Widgets „Countdown“, „Nächste Reise“, „Preisalarme“ und „Packliste“ deine kommenden Reisen und Alarme. Dafür legt die App eine kleine Datei in den gemeinsamen Speicher von App und Widgets (App-Gruppe) — nur auf dem iPhone, lesbar ab dem ersten Entsperren nach dem Einschalten, damit die Widgets auch auf dem gesperrten Bildschirm etwas zeigen. Darin stehen je kommender Reise (höchstens drei) Art, Ziel- und Abflugstadt, Zielflughafen, Reisetage, bei einer Unterkunft ihr Name, zum Foto (vom Ziel, sonst von der Unterkunft) Link, Beschreibung und Nachweis, die Flüge (Nummer, Tag, Flughäfen, geplante Zeiten) und die Packliste (bis zu zwölf Punkte mit Text und Haken, damit du sie im Widget abhaken kannst); je Preisalarm (höchstens sechs) Städte, Zeitraum, letzter Preis, Preis beim Anlegen und ob er gefallen ist; dazu, ob du angemeldet bist, und wann die Datei geschrieben wurde. Nicht darin stehen deine E-Mail-Adresse, dein Name, die Anmeldung, Kennungen von Konto, Reise oder Alarm, Buchungsnummern, Buchungspreise und Anbieter. Die App löscht die Datei, wenn du dich abmeldest, sich eine andere Adresse anmeldet, du dein Konto löschst oder „Alles auf diesem iPhone löschen“ wählst, und mit der App ist sie weg; ohne Konto legt sie keine an — außer du reist bei einer geteilten Reise mit: Dann steht diese Reise auch ohne Konto und nach dem Abmelden in der Datei, bis du nicht mehr mitreist, das Teilen endet, du dein Konto löschst oder alles auf dem iPhone löschst. Hakst du im Widget einen Punkt der Packliste ab, legt das Widget den Haken mit Zeitpunkt in eine zweite Datei der App-Gruppe; die App holt ihn beim nächsten Öffnen ab, schickt ihn an dein Konto und löscht ihn dort. Beide Dateien löscht die App in denselben Fällen. Läuft die Anmeldung nur ab, bleibt die Datei wie der Stand deiner Reisen auf dem Gerät. Widgets auf dem Sperrbildschirm sind auch bei gesperrtem iPhone zu sehen (etwa Ziel und Tage bis zur Reise), ebenso in StandBy, das auch die Punkte der Packliste zeigt; du legst sie selbst an und entfernst sie jederzeit.
• Was die Widgets abfragen. Die Widgets fragen nur unseren Server, ohne Konto und ohne Kennung der Installation, mit der Kennung „Nighthopper-Widget/1“; wie bei jedem Aufruf sieht er dabei deine IP-Adresse (siehe „Beim Aufruf der Seite“). Am Reisetag holt „Nächste Reise“ den Stand des Flugs mit Flugnummer, Tag und Flughäfen (siehe „Flugstatus und Entschädigungsprüfung“), etwa alle 20 Minuten bis eine Stunde nach der Landung; in der großen Größe ab acht Tagen vor der Reise und während der Reise auch das Wetter am Zielflughafen, höchstens alle drei Stunden. Das Foto des Ziels („Countdown“ und „Nächste Reise“) kommt ebenfalls von unserem Server. Die übrigen Widgets fragen nichts ab. An FlightAware, FlightStats oder MET Norway geht dabei nichts vom iPhone, nur wie bisher von unserem Server. Die letzte Antwort und die Fotos merkt sich das Widget in seinem Zwischenspeicher, damit es auch ohne Netz etwas zeigt: Flugstand und Wetter bis drei Tage nach ihrem Tag, Fotos nach einer Woche, sobald ein Widget ein neues lädt — beides, solange das Widget auf dem Bildschirm ist; mit der App ist alles weg.
• Buchung übernehmen. Eine Buchungsbestätigung kannst du als Foto oder Screenshot, als PDF-, Bild- oder Textdatei, als eingefügten Text oder über „Teilen“ aus Mail, Safari, Dateien oder Fotos in die App holen. Gelesen wird sie auf deinem iPhone: mit der Texterkennung von iOS und, wenn dein iPhone Apple Intelligence unterstützt und es eingeschaltet ist, mit dem Sprachmodell von Apple, das dafür ebenfalls nur auf dem Gerät läuft; sonst mit festen Regeln der App. Für das Lesen geht nichts an uns, an Apple oder an andere. Die Foto- und die Dateiauswahl von iOS geben der App nur das eine Bild oder die eine Datei, die du wählst; einen Zugriff auf deine Fotos oder Dateien bekommt die App dafür nicht. Teilst du etwas an „Nighthopper“, legt die Teilen-Erweiterung es im gemeinsamen Speicher von App und Erweiterung (App-Gruppe) auf dem iPhone ab — aus Safari nur den sichtbaren Text der Seite, nicht ihre Adresse. Dort liegt immer nur das zuletzt Geteilte; die App holt es beim nächsten Öffnen ab und löscht es. Ist es älter als einen Tag, liest die App es nicht mehr und löscht es beim nächsten Öffnen. Kopien, die die App zum Lesen anlegt, löscht sie gleich danach. Was erkannt wurde, zeigt dir die App in einem Formular; du prüfst und änderst es, und gespeichert wird erst, wenn du auf „Als Reise speichern“ tippst — nur mit Konto. Dann gehen an unseren Server nur diese Angaben: bei Flügen je Teilstrecke Flugnummer, Tag, Abflug- und Zielflughafen und, wenn angegeben, die geplanten Zeiten, dazu die Zahl der Reisenden; bei einer Unterkunft Name, Ort, An- und Abreise, die Zahl der Gäste und, wenn die App ihn aus dem Ort kennt, den nächstgelegenen Flughafen; außerdem, wenn angegeben, die Buchungsnummer und wo du gebucht hast. Wir speichern sie als gebuchte Reise in „Meine Reise“ (siehe „Konto, Meine Reise und Packliste“); gibt es die Reise schon, etwa weil du über uns zum Anbieter gewechselt bist, ergänzen sie diese. Sie gilt dann wie jede gebuchte Reise, etwa für die Erinnerung vor der Abreise und den Flugstatus. Foto, Datei und Text der Bestätigung erreichen uns nie. Rechtsgrundlage ist der Nutzungsvertrag über dein Konto (Art. 6 Abs. 1 Buchst. b DSGVO). Ein offenes Formular und was noch zum Lesen auf dem iPhone liegt, löscht die App, wenn du dich abmeldest, sich eine andere Adresse anmeldet, du dein Konto löschst oder „Alles auf diesem iPhone löschen“ wählst; mit der App ist beides weg.
• Dein Reisejahr. Der Jahresrückblick in der App fasst zusammen, was ohnehin in deinem Konto liegt (deine Reisen und Preisalarme) und was auf deinem iPhone liegt (wie oft und wohin du gesucht hast, Gemerktes, verfolgte Flüge). Die Zahlen rechnet unser Server beim Öffnen aus deinen Reisen; gespeichert wird dafür nichts, verglichen wird nicht mit anderen, und an Dritte geht nichts. Wie oft du suchst und wohin, zählt die App nur auf dem Gerät, je Jahr und ohne Datum oder Reisende; Konto löschen leert auch das. Geteilt wird nur, wenn du auf „Reisejahr teilen“ tippst — dann genau der Satz, den du siehst, ohne Name, Adresse oder Preise.
• Vorlieben für Hotels. Was du in der App als Vorlieben für Unterkünfte angibst (etwa wer reist, dein Budget je Nacht oder was sein muss, zum Beispiel ein Pool oder ein rollstuhlgerechtes Zimmer), liegt nur auf dem Gerät. Bietet die App „Passt am besten“ an, schickt sie diese Angaben mit jeder Hotelsuche an unseren Server; er ordnet damit die Unterkünfte und erklärt, was passt und was nicht. Die Angaben gehen in einer eigenen Kopfzeile mit, nicht in der Adresse, die unser Hoster protokolliert (dort steht nur ein Vermerk, dass es solche Angaben gibt). An Google und an Anbieter gehen sie nicht, und wir legen sie nirgends ab. Auch den Filter „Rollstuhlgerecht“ der Hotelsuche schickt die App in dieser Kopfzeile; wie jeden Filter geben wir ihn ohne Bezug zu dir an die Hotelsuche von Google (ersatzweise SerpApi) weiter, und gleiche Suchen beantworten wir bis zu einer Stunde aus einem Zwischenspeicher. Du kannst sie in der App jederzeit ändern oder löschen; Konto löschen leert sie ebenfalls.
• Karten (Apple Maps). Die Lage einer Unterkunft und die Ziele der Karte „Wohin für … €?“ zeigt die App mit Apple Maps, dem Kartendienst von iOS. Die Kartenbilder lädt dein iPhone dafür direkt bei Apple; Apple erfährt dabei, wie bei jedem Abruf aus dem Netz, deine IP-Adresse und welchen Kartenausschnitt du ansiehst, also die Gegend um die Unterkunft bzw. um deinen Abflughafen und die Ziele. Den Namen der Unterkunft, deine Suche oder etwas aus deinem Konto übermittelt die App nicht, und deinen Standort fragt sie nicht ab. Für die Verarbeitung bei Apple ist Apple verantwortlich (Apple Distribution International Limited, Irland); es gilt die Datenschutzrichtlinie von Apple. Grundlage auf unserer Seite ist unser berechtigtes Interesse, die Lage der Unterkünfte zeigen zu können (Art. 6 Abs. 1 Buchst. f DSGVO).
• Eigene Zählung in der App. Die App meldet unserem Server einzelne Schritte: wenn du eine Suche nach Flügen, Unterkünften, Mietwagen oder Pauschalreisen startest und ob sie Treffer hatte, leer blieb, scheiterte oder zu lange dauerte; wenn du ein Angebot oder einen Deal ansiehst, filterst, sortierst, vergleichst, etwas merkst oder Vorlieben speicherst; wenn du zu einem Anbieter wechselst, einen Preisalarm setzt, dich anmeldest, Mitteilungen erlaubst oder ablehnst und wenn du auf „Hast du gebucht?“ antwortest. Gemeldet wird nur der Name des Schritts, beim Wechsel zu einem Anbieter dazu der Bereich der App, aus dem du kamst (Suchen, Home, Entdecken oder Meine Reise). Wir zählen daraus Tagessummen (Tag, Schritt, Anzahl) und speichern weder die Kennung der Installation noch deine IP-Adresse noch, wonach du gesucht hast, welche Filter du gewählt oder welche Preise du gesehen hast. Aus den Summen lässt sich niemand wiederfinden. Kein Dienst eines Dritten ist beteiligt. Grundlage ist unser berechtigtes Interesse, zu verstehen, welche Teile der App genutzt werden und wo die Suche hakt (Art. 6 Abs. 1 Buchst. f DSGVO).
• Zählung der Aufrufe. Unser Server zählt außerdem, wie oft die App welche Funktion abruft, etwa die Suche, den KI-Assistenten oder die Packliste. Gespeichert wird je Tag und Funktion nur eine Summe und wie viele dieser Abrufe mit einem Fehler unseres Servers endeten – ohne Uhrzeit, ohne Kennung der Installation, ohne IP-Adresse und ohne Inhalt der Anfrage. Aus den Summen lässt sich niemand wiederfinden. Kein Dienst eines Dritten ist beteiligt. Grundlage ist unser berechtigtes Interesse, zu verstehen, welche Teile der App genutzt werden und wo Fehler auftreten (Art. 6 Abs. 1 Buchst. f DSGVO).
• Anmeldungen. In der Liste deiner Anmeldungen steht statt des Browsers „Nighthopper-App auf iOS“ mit der Version von iOS (etwa „Nighthopper-App auf iOS 26.1“).
• Entschädigungsprüfung. Die App rechnet auf dem Gerät; deine Antworten verlassen es nicht. Öffnest du die Prüfung aus dem Flugstatus, übernimmt sie Flughäfen, Tag und Verspätung aus der Flugabfrage. Tippst du auf den Knopf zum Partner, erfährt unser Server nur, dass gewechselt wurde.
• Absprung zu CHECK24. Statt der Weiterleitungsseite öffnet die App das Angebot von CHECK24 direkt; ein Zählbild ruft sie nicht ab.
• Buchungsbestätigung einfügen. Wie auf der Website (Abschnitt „Buchungsbestätigung einfügen“).
• Teilen. Teilst du aus der App, öffnet sich das Teilen-Menü von iOS mit einer Adresse auf nighthopper.de und einem kurzen Satz. An wen und mit welcher App du teilst, erfahren wir nicht. Anders als die Website zählt die App das Teilen nicht und hängt keinen Zusatz „geteilt=…“ an. Mit „Als Bild teilen“ (Countdown einer Reise, Weltkarte deines Reisejahrs) entsteht das Bild auf deinem iPhone und geht mit einem kurzen Satz (etwa Ziel und Tage bis zur Reise bzw. bereiste Länder) ins Teilen-Menü; an uns geht dabei nichts, die Bilddatei löscht die App gleich danach.
• Für später. Wie auf der Website kannst du dir ein Angebot per Mail schicken, in den Kalender eintragen oder teilen. „Per Mail an mich“ öffnet dein Mailprogramm mit Betreff und Text, aber ohne Empfänger; abgeschickt wird dort, nicht von uns. „In den Kalender“ öffnet den Kalender-Dialog von iOS mit einem Erinnerungstermin; die App fragt dafür nicht nach Zugriff auf deinen Kalender, liest ihn nicht und erfährt nur, ob du den Termin gesichert oder abgebrochen hast. Wir erfahren nicht, ob oder an wen du eine Mail schickst, speichern weder Mail noch Termin, und gezählt wird das in der App nicht.
• Bewertung im App Store. Nach einem schönen Moment — etwa wenn eine eingefügte Buchung zu deiner Reise passt, du nach „Hast du gebucht?“ etwas gespeichert oder den letzten Punkt der Packliste abgehakt hast — bittet die App iOS, dich um eine Bewertung im App Store zu fragen, höchstens einmal je Version der App; ob die Frage erscheint, entscheidet iOS. Bewertest du, geht das an Apple, nicht über uns; eine geschriebene Bewertung ist im App Store öffentlich, mit dem Namen, den du dort angibst. Damit die App nicht öfter fragt, merkt sie sich auf dem iPhone nur, für welche Version sie gefragt hat und an welchem Tag du zuletzt die Einladung von Trustpilot angefordert hast (an diesem Tag fragt sie nicht); beides löscht „Alles auf diesem iPhone löschen“ unter Konto → Datenschutz. „App bewerten“ im Konto öffnet die Seite der App im App Store.
• Links auf nighthopper.de. Tippst du auf deinem iPhone einen Link zu nighthopper.de an, etwa einen geteilten, öffnet iOS die passende Seite in der App statt in Safari, wenn es sie in der App gibt. Welche Adressen das sind, holt Apple von unserem Server, ohne Angaben über dich. Die App liest aus dem Link nur, was sie für die Seite braucht (etwa Ziel und Reisetage); Kampagnenangaben wie utm-Parameter wertet sie nicht aus, und als Besuch der Website zählen wir einen solchen Aufruf nicht.
• Seiten im Browserfenster. Manche Seiten öffnet die App in einem Browserfenster von iOS (Safari): Seiten von nighthopper.de, etwa diese Erklärung, Impressum, Nutzungsbedingungen, „Wie wir sortieren“, das Verzeichnis aller Bildnachweise (die Nachweise der Fotos in der App stehen unter Konto › Bildnachweise), Reiseblog und Reiseführer, Hotel-Themen, Deal-Seiten, die Entschädigungsprüfung und das Kontaktformular, außerdem die Quellen der Reiseführer und die Seiten von Urhebern und Lizenzen der Fotos. Für unsere Seiten gilt dort, was hier zur Website steht; dort zeigen wir kein Einwilligungsbanner und laden nichts, was eine Zustimmung braucht, und deshalb fehlen dort auch die Cookie-Einstellungen, die sonst unten auf jeder Seite stehen. Für fremde Seiten gilt deren Erklärung. Was dabei im Browser gespeichert wird, bleibt in diesem Fenster getrennt von der App, und die App liest es nicht aus.

App Store und TestFlight. Die App bekommst du über den App Store von Apple, Testfassungen über TestFlight. Für Download, Updates und dein Apple-Konto ist Apple selbst verantwortlich (Apple Distribution International Limited, Irland); es gelten die Bedingungen und die Datenschutzrichtlinie von Apple. Wer die App lädt, erfahren wir dadurch nicht: Apple stellt uns zusammengefasste Zahlen bereit (etwa Downloads je Land), Zahlen zur Nutzung und Absturzberichte ohne Angaben zu deiner Person nur von iPhones, auf denen unter „Analyse & Verbesserungen“ das Teilen mit App-Entwicklern eingeschaltet ist. Testest du eine Fassung über TestFlight, gibt Apple uns außerdem Absturzberichte, Angaben zu Gerät, System und Nutzung der Testfassung und, was du uns selbst als Feedback schickst (auch Bildschirmfotos); laden wir dich per E-Mail ein, sehen wir dabei den Namen und die Adresse, die wir für die Einladung angegeben haben. Wir nutzen das nur, um Fehler zu finden und die App zu verbessern (berechtigtes Interesse, Art. 6 Abs. 1 Buchst. f DSGVO). Diese Angaben liegen bei Apple in App Store Connect; wie lange, bestimmt Apple.

Mitteilungen (Push) schickt die App nur, wenn du sie unter Konto → Mitteilungen einschaltest und iOS es erlaubt. Zur Wahl stehen Preisalarme, Neues zu deinen Reisen (der Anbieter meldet, bestätigt oder storniert eine Buchung), eine Erinnerung vor der Abreise (am Vortag, drei Tage oder eine Woche vorher) — diese drei nur mit Konto — und Live-Deals, so oft du es einstellst: höchstens einmal am Tag, zweimal pro Woche, einmal pro Woche, alle zwei Wochen oder einmal im Monat — oder nur Top-Deals (Flüge ab rund 70 % unter dem üblichen Preis ihrer Strecke, höchstens einer am Tag). Auch ohne Konto: neue Stimmen in einer Urlaubsabstimmung, die du in der App angelegt hast. Ebenfalls ohne Konto: Änderungen an einer geteilten Reise, bei der du mitreist. Unabhängig davon gibt es auf dieser Seite die „Erinnerung zum Öffnen“ für den „Fahrplan“ am Reisetag: Sie wird nur auf dem iPhone geplant, nicht von uns verschickt (siehe „Die Nighthopper-App für iPhone“).

Dafür speichern wir das Gerätetoken, das Apple der App gibt, ob es von einer Test- oder der Store-Fassung stammt, die Kennung der Installation, deine Wahl und Einstellungen, wann du Live-Deals eingeschaltet hast und wann zuletzt ein Deal kam, wann das Gerät eingetragen und zuletzt abgeglichen wurde (die App gleicht beim Start ab), angemeldet die Verbindung zu deinem Konto und — damit nichts doppelt kommt — welche Erinnerung und welcher Deal schon verschickt wurden. Meldest du dich ab, lösen wir das Gerät vom Konto; Preisalarme, Reisen und die Erinnerung gehen dann aus. Sind auch keine Live-Deals, Urlaubsabstimmungen und geteilten Reisen an, löschen wir Token und Wahl.

Zugestellt werden Mitteilungen über den Push-Dienst von Apple (Apple Push Notification service); unser Server schickt sie selbst an Apple, ohne weiteren Dienstleister. Apple erhält dafür das Gerätetoken und den Text der Mitteilung: bei Preisalarmen Strecke und Preis, bei beobachteten Pauschal-Terminen Hotel und Preis, bei Reisen Ziel und Stand der Buchung, bei Deals Strecke, Preis und Tag, bei Urlaubsabstimmungen die Hotelnamen und ihre Stimmen, bei geteilten Reisen das Reiseziel (oder den Namen der Unterkunft) — nie deinen Namen, deine Adresse oder eine Buchungsnummer —, dazu die Seite der App, die ein Tippen öffnet (deine Preisalarme, „Meine Reise“, eine einzelne Reise über ein Zeichen, das nur wir ihr zuordnen können, einen Deal, eine Urlaubsabstimmung (über die Kennung aus ihrem Link) oder eine geteilte Reise (ebenso über die Kennung aus ihrem Link)). Apple sitzt in den USA; ein Zugriff von dort ist nicht ausgeschlossen. Für Übermittlungen aus dem Europäischen Wirtschaftsraum nennt Apple nach eigener Angabe Standardvertragsklauseln als Grundlage. Mitteilungen erscheinen auch auf dem Sperrbildschirm, wenn du das in den iOS-Einstellungen nicht anders einstellst.

Rechtsgrundlage ist für Preisalarme, Reisen und die Erinnerung der Nutzungsvertrag über dein Konto (Art. 6 Abs. 1 Buchst. b DSGVO), für Live-Deals deine Einwilligung (Art. 6 Abs. 1 Buchst. a DSGVO); sie gilt unabhängig von der Deal-Mail. Für Urlaubsabstimmungen ist es der von dir gewünschte Dienst (Art. 6 Abs. 1 Buchst. b DSGVO). Für geteilte Reisen ebenso der von dir gewünschte Dienst (Art. 6 Abs. 1 Buchst. b DSGVO). Du schaltest jede Art auf der Seite Mitteilungen aus; der Widerruf gilt für die Zukunft. Schaltest du dort alles aus, löschen wir Token und Wahl. Verbietest du Mitteilungen nur in den iOS-Einstellungen, zeigt dein iPhone keine mehr an; Token und Wahl bleiben bei uns aber, bis du sie in der App ausschaltest. Löschst du dein Konto, gehen alle Geräte mit, die daran hängen. Löschst du nur die App, erfahren wir das erst, wenn Apple das Token bei der nächsten Mitteilung als ungültig meldet; dann löschen wir es. In jedem Fall löschen wir Token und Wahl spätestens 13 Monate, nachdem die App ihre Mitteilungen zuletzt bei uns abgeglichen hat.

Klickst du auf ein Angebot, verlässt du Nighthopper und landest beim jeweiligen Anbieter. Dabei wird eine Kennung übergeben, mit der dieser Anbieter eine Buchung, einen anderen Abschluss oder eine bestätigte Anfrage (Lead) unserer Empfehlung zuordnen kann; daraus entsteht unsere Provision. Je nach Angebot ist das eine Kennung dieses Wechsels aus Strecke oder Abholort, Reisetag, dem Zeitpunkt, zu dem der Link entstand, und einem Zufallsteil, oder nur ein Wort für die Stelle auf unserer Seite; sie enthält keinen Namen, keine Kontaktdaten und nichts aus deinem Konto. In der Adresse des Angebots steht außerdem deine Suche (etwa Ort, Tage, Uhrzeiten, bei Mietwagen Fahreralter und Wohnsitzland), damit der Anbieter dasselbe Angebot öffnet. Ab dem Klick gilt die Datenschutzerklärung des Anbieters. Welche Daten er erhebt, entscheidet er selbst.

Wo schon der Klick zählt: Urlaubspiraten. Für Links zu Urlaubspiraten bezahlt uns das Partnernetzwerk Awin (AWIN AG, Berlin) nicht für eine Buchung, sondern für deinen Klick. Der Link führt deshalb zuerst zu awin1.com: Awin zählt dort den Klick, setzt nach eigenen Regeln ein Cookie und leitet dich weiter. Das geschieht nur, wenn du selbst klickst; vorher lädt unsere Seite nichts von Awin und speichert nichts auf deinem Gerät. Für die Verarbeitung auf awin1.com ist Awin verantwortlich, es gilt dessen Datenschutzerklärung.

Sunny Cars über Awin. Wählst du ein Mietwagenangebot von Sunny Cars, führt der Link ebenfalls zuerst zu awin1.com. Awin zählt dort den Klick, setzt nach eigenen Regeln ein Cookie und leitet dich zu Sunny Cars weiter. Buchst du dort, ordnet Awin die Buchung unserer Empfehlung zu; dafür erhalten wir eine Provision. Mit dem Klick geht unsere Kennung für diesen Absprung an Awin, nichts über deine Person. Auch hier lädt unsere Seite vor deinem Klick nichts von Awin oder Sunny Cars. Für die Verarbeitung auf awin1.com ist Awin verantwortlich, ab dem Wechsel zu Sunny Cars Sunny Cars; es gelten deren Datenschutzerklärungen.

Booking.com über CJ. Links zu Booking.com führen zuerst über eine Adresse des Partnernetzwerks CJ (Commission Junction), etwa tkqlhce.com. CJ zählt dort den Klick, setzt nach eigenen Regeln ein Cookie und leitet dich zu Booking.com weiter. In der Adresse stehen nur die Kennung unseres Partnerkontos und die Suche, die du bei uns eingegeben hast (Ort, Reisedaten, Zahl der Gäste, Alter der Kinder, Zimmer), keine Angaben zu deiner Person. Das geschieht nur, wenn du selbst klickst; vorher lädt unsere Seite nichts von CJ oder Booking.com. Für die Verarbeitung bei CJ ist CJ verantwortlich, es gilt dessen Datenschutzerklärung.

KAYAK. Links zu KAYAK ohne Preis (KAYAK Europe GmbH, Zürich, Schweiz) stehen in der Flug- und Mietwagensuche (auch unter einer leeren oder gestörten Liste), bei gemerkten Flügen in „Meine Reise“, in der Hotelsuche im Fenster eines Hotels („Preise vieler Anbieter vergleichen“ bzw. „Hotels am Ort für deine Reisedaten vergleichen“) und unter einer Hotelliste ohne Angebote (auch bei einer Störung) sowie als KAYAKs Zeichen auf der Startseite. Sie führen direkt zu KAYAK, ohne unsere Zwischenseite; vor deinem Klick lädt dein Browser nichts von KAYAK. Der Link trägt die Kennung unseres Partnerkontos, ein Wort für die Stelle auf unserer Seite, ein Kürzel für diese Website und, außer auf der Startseite, deine Suche: bei Flügen Strecke, Reisetage, Zahl der Reisenden und Klasse, bei Hotels das Haus oder den Ort, Reisedaten, Zahl der Gäste, das Alter mitreisender Kinder und ab fünf Gästen die Zahl der Zimmer, bei Mietwagen Flughafen, Tage und Uhrzeiten. Beim Klick erfährt KAYAK außerdem, von welcher Website du kommst (nur die Domain, nicht die Seite und nicht deine Suche bei uns); diese Angabe unterdrücken wir bei KAYAK nicht, weil KAYAK sie von seinen Partnern verlangt. Wie bei Urlaubspiraten zahlt KAYAK nicht erst für eine Buchung, sondern schon, wenn du bei KAYAK zu einem Anbieter weiterklickst. Den Klick zählen wir wie jeden Wechsel zu einem Partner (siehe „Reichweitenmessung“); was KAYAK uns zur Abrechnung meldet, steht unter „Meldungen unserer Partnernetzwerke“. Ab dem Klick ist KAYAK selbst verantwortlich, es gilt dessen Datenschutzerklärung; KAYAK zählt den Klick über seine eigene Adresse (etwa kayak.de/in) und kann dabei nach eigenen Regeln Cookies setzen.

Welches Haus oder welcher Ort bei KAYAK gemeint ist, schlägt unser Server vorher bei KAYAK nach: beim Öffnen eines Hotels mit dessen Namen (kennt KAYAK das Haus nicht eindeutig, mit dem Ort, wie er in deiner Suche steht, oder der Stadt des nächsten Flughafens) und unter einer Hotelliste ohne Angebote mit dem Ort, wie er in deiner Suche steht (bis zum ersten Komma). An KAYAK gehen dabei nur diese Namen, keine Angabe zu deiner Person: weder deine IP-Adresse noch deine Browserkennung noch deine Reisedaten. Die Zuordnung eines Hotels zu seinem Eintrag bei KAYAK merken wir uns ohne Bezug zu dir 30 Tage lang, für alle Besucher gemeinsam. Die Antwort beim Öffnen eines Hotels enthält den KAYAK-Link mit deiner Suche; sie dürfen dein Browser bis zu fünf Minuten und das Netz unseres Hosters, für alle mit derselben Suche, bis zu 15 Minuten zwischenspeichern; beide dürfen sie danach noch bis zu 30 Minuten nutzen, während sie sie erneuern. Sonst speichern wir davon nichts (gegen Missbrauch zählt unser Server nur kurz, als Hashwert deiner IP-Adresse im Arbeitsspeicher, wie oft gefragt wird); dein Browser darf die Antwort unseres Servers zur Liste ohne Angebote eine Stunde lang zwischenspeichern, und wie bei jedem Abruf halten die Protokolle unseres Hosters die aufgerufene Adresse fest (siehe „Beim Aufruf der Seite“).

Damit sich beim Klick die KAYAK-Seite deines Landes öffnet (etwa kayak.ch aus der Schweiz), fragt dein Browser beim Laden unserer Seiten unseren Server nach deinem Land. Das Land bestimmt unser Hoster Vercel ohnehin aus deiner IP-Adresse (siehe „Reichweitenmessung“); die Antwort behält nur dein Browser im Arbeitsspeicher, solange die Seite offen ist. Wir speichern dafür nichts, auch kein Cookie (nur die Protokolle unseres Hosters halten wie bei jedem Abruf die Adresse fest, siehe „Beim Aufruf der Seite“), und das Land steht nicht im Link; KAYAK sieht nur, welche seiner Länderseiten sich öffnet, und beim Klick wie jede Website deine IP-Adresse. Grundlage für Link, Herkunftsangabe, Nachschlagen und Länderseite ist unser berechtigtes Interesse, dich mit deiner Suche auf die passende KAYAK-Seite zu bringen, wie KAYAK es von uns verlangt, und unsere Vermittlung abrechnen zu können (Art. 6 Abs. 1 Buchst. f DSGVO).

Ein Sonderfall: CHECK24. Springst du zu einem Mietwagen- oder Pauschalreiseangebot von CHECK24, lädt die Weiterleitungsseite (in der KI-Suche das Fenster vor dem Wechsel) ein unsichtbares Zählbild von a.check24.net, kurz bevor du zu CHECK24 weitergeleitet wirst (auf der Weiterleitungsseite auch, wenn du vorher abbrichst). Dabei gehen deine IP-Adresse, die Kennung und die Spracheinstellung deines Browsers, die Adresse unserer Seite (nur die Domain) und die Kennung unseres Partnerkontos dorthin. Cookies schickt dein Browser dabei nicht mit, und die Antwort setzt keins. Der Aufruf dient allein dazu, dass CHECK24 unseren vermittelten Klick der Buchung zuordnen kann. Grundlage ist unser berechtigtes Interesse an einer nachvollziehbaren Abrechnung (Art. 6 Abs. 1 Buchst. f DSGVO). Bei allen anderen Partnern geschieht das nicht.

Bist du heute über eine unserer Google-Anzeigen zu uns gekommen, steht bei Pauschalreisen in der Adresse zu CHECK24 statt „pauschalreisen“ die Kennung „pauschalreisen-gads“. So sehen wir in unserem Partnerkonto, ob eine Buchung über die Anzeige zustande kam. Woher du kamst, erkennen wir dafür wie bei der Zuordnung deiner Klicks mit der täglich wechselnden Kennung; an CHECK24 geht nur dieses eine Wort, nichts über deine Person.

• Protokolle beim Aufruf der Seite: längstens 30 Tage.
• Geteilte Reise: bis du das Teilen beendest, spätestens 14 Tage nach dem letzten Tag der Reise, und mit deinem Konto; „Mitreisen“ auf dem iPhone der Mitreisenden, bis sie es dort beenden, du das Teilen beendest, sie ihr Konto löschen oder „Alles auf diesem iPhone löschen“ wählen; die Kennung einer App-Installation für Mitteilungen, bis dort „Nicht mehr mitreisen“ gewählt, „Geteilte Reisen“ ausgeschaltet wird oder die geteilte Reise endet.
• Urlaubsabstimmung samt Zählern und der Kennung für Mitteilungen: 30 Tage nach dem Anlegen; deine Stimme im Browser, bis du sie zurücknimmst oder die Websitedaten löschst; in der App, bis du sie zurücknimmst, dein Konto löschst oder „Alles auf diesem iPhone löschen“ wählst (höchstens 30 Abstimmungen).
• Letzte Hotelsuchen: im Browser, bis du sie entfernst, den Haken herausnimmst oder die Websitedaten löschst; ab der siebten Suche fällt jeweils die älteste heraus.
• Reichweitenmessung: die Tageskennung zwei Tage; die Zeilen der Aufrufe und Klicks (Stunde, Seite bzw. Partner, Herkunft, Region, Geräteklasse, Kampagne) und die Tagessumme je Ort 180 Tage; der Prüfwert der Kennung eines Wechsels 90 Tage (mit deiner Zustimmung zur eigenen Auswertung mit IP-Adresse am Eintrag mit der IP-Adresse so lange wie dieser); die Tagessummen der Schritte 180 Tage.
• Deine Wahl im Einwilligungsbanner: sechs Monate. Google Analytics: Ereignisdaten längstens 14 Monate, Cookies wie unter „Google Analytics und Google Ads“. Eigene Auswertung mit IP-Adresse: 90 Tage, zu einer gemeldeten Buchung bis drei Monate nach der letzten Änderung ihrer Meldung (in der Regel ihre endgültige Abrechnung), höchstens zwölf Monate; nach einem Widerruf sofort (unter der IP-Adresse, von der aus du widerrufst).
• KI-Suche: die Unterhaltung vollständig bis zu 48 Stunden, das geschwärzte Protokoll bis spätestens 31 Tage nach ihrem Beginn („Neue Unterhaltung“ löscht sofort); die Zähler je Pseudonym bis zum nächsten Tag, die Tageskosten aller Besucher und die Summen der Nachrichten und Kosten je Tag (getrennt nach Website und App) 40 Tage; bei Anthropic Ein- und Ausgaben höchstens 30 Tage (Ausnahmen siehe „KI-Suche“); im Tab, bis du ihn schließt, in der App nur im Arbeitsspeicher, bis die App beendet wird.
• Konto: bis du es löschst.
• Reisen: bis du sie oder das Konto löschst, längstens bis zum Ende des dritten Jahres nach der Reise — so lange lässt sich in Deutschland in der Regel eine Entschädigung verlangen. Ein Konto fasst bis zu 50 Reisen; wird es voll, weichen zuerst vergangene und alte, nicht gebuchte Einträge.
• Packliste: bis du das Konto löschst; die Liste einer Reise, sobald du die Reise löschst. Verschwindet eine Reise auf anderem Weg aus dem Konto (wenn es voll ist), geht ihre Liste gut einen Tag später (das Aufräumen läuft täglich, spätestens also nach zwei Tagen).
• Preisalarme: bis du sie löschst oder abbestellst, längstens bis nach dem Abflugtag (beim Monat: bis nach dessen letztem Tag); mit dem Konto sofort.
• Check-in-Alarm: selbst eingetragene Flüge, bis du sie löschst, spätestens zwei Tage nach dem Abflugtag; der Vermerk über eine verschickte Meldung 30 Tage; dass du den Alarm ausgeschaltet hast, bis du ihn wieder einschaltest; mit dem Konto sofort.
• Beobachtete Pauschalreise-Termine: bis du sie beendest oder abbestellst, längstens bis zum Tag des Hinflugs; endet eine Beobachtung von selbst, löschen wir den Eintrag 30 Tage danach; mit dem Konto sofort.
• Deal-Mail: bis du das Konto löschst; nach dem Abbestellen nur noch der Vermerk über Einwilligung und Widerruf.
• Bewertungseinladung von Trustpilot: bis du das Konto löschst; nach dem Zurücknehmen oder dem Versand nur noch der Vermerk über Einwilligung, Widerruf und Versand.
• Mitteilungen der App: Gerätetoken und deine Wahl, bis keine Mitteilung mehr an ist (du schaltest in der App alles aus oder meldest dich ab, ohne dass Live-Deals an sind), du das Konto löschst oder Apple das Token als ungültig meldet (nach dem Löschen der App bei der nächsten Mitteilung), spätestens 13 Monate, nachdem die App ihre Mitteilungen zuletzt bei uns abgeglichen hat; der Vermerk über eine verschickte Erinnerung 30 Tage, über einen verschickten Deal 60 Tage.
• Anmeldungen: 30 Tage ab dem Anmelden, beim Abmelden sofort. Abgelaufene Anmeldungen löschen wir beim täglichen Aufräumen. Meldest du dich auf einer unserer anderen Reiseseiten ab, endet deine Anmeldung auf allen unseren Websites, auch in anderen Browsern und auf anderen Geräten; auf nighthopper.de gilt das ebenso, sobald du auch auf einer anderen unserer Reiseseiten angemeldet bist, sonst endet nur die Anmeldung in diesem Browser. Die Anmeldung in der App bleibt; „Überall abmelden“ beendet auch sie.
• Anfragen nach einem Code: 24 Stunden, spätestens beim täglichen Aufräumen danach (also nach höchstens 48 Stunden).
• Meldungen der Partnernetzwerke: an deiner Reise, solange sie besteht; ohne zugehörige Reise 180 Tage. Das gilt auch für abgerufene Buchungen, Vorschläge und deine Antworten darauf; die Kennung, die Aviasales einem Klick gibt, löschen wir samt der Kennung der Suche nach 90 Tagen. Für unsere Auswertung gespeicherte Buchungen: unsere Kennung und die Stadt des Kunden 180 Tage, die ganze Zeile 400 Tage nach der Buchung.
• Nighthopper-Punkte: Gutschriften und Prämien-Bestellungen bis du das Konto löschst; die Lieferadresse einer Bestellung 90 Tage nach Versand oder Storno (das Aufräumen läuft täglich).
• Beleg einer Kontolöschung (Datum, gekürzte Adresse): 180 Tage.
• Ankündigungen geänderter Nutzungsbedingungen (die gesendete Mail und Antworten mit Widerspruch): solange das Konto besteht, danach bis zum Ende des dritten Jahres nach dem Jahr, in dem es endet, als Nachweis (Art. 6 Abs. 1 Buchst. f DSGVO).
• Die Herkunft deiner Anmeldung bleibt, solange dein Konto besteht, und wird mit ihm gelöscht; sie steht in der Datei unter „Meine Daten herunterladen“.
• Sicherungen der Datenbank: sechs Stunden.
• E-Mails an uns und Nachrichten über das Kontaktformular: bis die Sache erledigt ist, längstens drei Jahre; was davon für die Auswertung mit KI an Anthropic geht, so lange, wie unter „Kontaktformular und E-Mail“ beschrieben. Die Zusammenfassungen dieser Auswertung in unserem Backoffice: 13 Monate, außer was wir daraus als Aufgabe übernehmen.

Der Verantwortliche sitzt in Georgien. Für Georgien liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor. Der Betrieb der Seite und die Datenbank liegen dagegen in der Europäischen Union (Frankfurt am Main); zu den US-Unternehmen dahinter siehe „Wer für uns arbeitet“. Für die tägliche Auswertung mit KI gehen Mails (gekürzt, teils geschwärzt) und Buchungen ohne Kennungen außerdem an Anthropic in den USA (siehe „Kontaktformular und E-Mail“).

KAYAK Europe GmbH sitzt in der Schweiz; dafür gilt ein Angemessenheitsbeschluss der Europäischen Kommission. Was der Link enthält, schickt beim Klick dein Browser an KAYAK; unser Server schickt KAYAK nur Namen von Hotels und Orten zum Nachschlagen, keine Angaben zu deiner Person (siehe „Weiterleitung zu Partnern“).

Travelpayouts (Aviasales). Suchst du auf nighthopper.de nach Flügen, schickt unser Server deine Suche zusammen mit deiner IP-Adresse an die Suchschnittstelle von Travelpayouts (siehe „Eine Ausnahme: Aviasales“ unter „Preise und Suchanfragen“); wählst du ein Angebot, fragt er dort mit der Kennung der Suche, aus der das Angebot stammt, die Adresse des Angebots ab. Travelpayouts wird nach eigenen Angaben von Gesellschaften mit Sitz in Hongkong betrieben (laut seiner Datenschutzerklärung von der Go Travel Un Limited). Für Hongkong gibt es keinen Angemessenheitsbeschluss der Europäischen Kommission, und Standardvertragsklauseln oder andere Garantien nach Art. 46 DSGVO haben wir mit Travelpayouts nicht vereinbart. Deine IP-Adresse ist dort deshalb womöglich weniger geschützt als in der EU, etwa vor dem Zugriff von Behörden, und deine Rechte lassen sich dort womöglich schwerer durchsetzen. Was Travelpayouts mit der Adresse tut und wie lange es sie aufbewahrt, bestimmt Travelpayouts selbst; allgemeine Angaben dazu macht die Datenschutzerklärung von Travelpayouts. Aus der App und aus der KI-Suche schicken wir Travelpayouts deine IP-Adresse nicht.

Mit deiner Zustimmung kann außerdem Google Daten in die USA übermitteln (siehe „Google Analytics und Google Ads“). Die Nachrichten der KI-Suche verarbeitet Anthropic, PBC in den USA und gegebenenfalls in weiteren Ländern; Grundlage sind Standardvertragsklauseln (siehe „KI-Suche“). Die Mitteilungen der App stellt Apple mit Sitz in den USA zu; als Grundlage nennt Apple Standardvertragsklauseln (siehe „Mitteilungen der App“).

Wir beschränken diese Verarbeitung auf das Nötige: Ohne Konto verlässt nichts von dir deinen Browser außer den technischen Angaben beim Seitenaufruf, deiner Suche (bei der Flugsuche auf nighthopper.de schickt unser Server dazu deine IP-Adresse an Travelpayouts, siehe oben; in der KI-Suche gehören auch deine Nachrichten an sie dazu) und dem Klick zu einem Anbieter; nichts davon speichern wir mit deinem Namen oder deiner E-Mail-Adresse, außer du schreibst sie selbst in eine Nachricht an die KI-Suche — die Kennung eines Wechsels steht höchstens 90 Tage als Prüfwert beim Wechsel (mit deiner Zustimmung zur eigenen Auswertung mit IP-Adresse zusammen mit deiner IP-Adresse bis zu zwölf Monate) und 180 Tage an einer gemeldeten Buchung. Die Kontodaten bleiben in Frankfurt am Main; aus Georgien greifen wir nur darauf zu, um den Dienst zu betreiben und deine Anfragen zu beantworten sowie — mit deiner Zustimmung — die Einträge unter „Eigene Auswertung mit IP-Adresse“ auszuwerten.

Für die Karten in der Hotelsuche und bei „Wohin für … €?“ lädt dein Browser die Kartenbibliothek MapLibre von unpkg.com und die Kartenbilder samt Schrift und Symbolen von OpenFreeMap. Beide Dienste liefern ihre Dateien über das Netz von Cloudflare aus (Cloudflare, Inc., USA); Cloudflare beantwortet die Abrufe in der Regel aus einem Rechenzentrum in deiner Nähe, ein Zugriff aus den USA ist aber nicht ausgeschlossen. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission am 10. Juli 2023 ein angemessenes Schutzniveau festgestellt hat (Art. 45 DSGVO). OpenFreeMap betreibt die Hyperknot Software Kft. in Ungarn; ihre Server-Protokolle enthalten nach eigenen Angaben in der Regel keine IP-Adresse und werden nach sieben Tagen gelöscht. unpkg.com ist ein Open-Source-Projekt des Entwicklers Michael Jackson in den USA. Eine Datenschutzerklärung veröffentlicht unpkg.com nicht, eine Zertifizierung nach dem Data Privacy Framework ist nicht ersichtlich, und einen Vertrag haben wir mit unpkg.com nicht. Was unpkg.com dabei erfahren kann — deine IP-Adresse, welche Dateien dein Browser lädt und von welcher Website aus —, ist in den USA deshalb womöglich weniger geschützt als in der EU, etwa vor dem Zugriff von Behörden.

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen. Für dein Konto erledigst du Auskunft und Löschung in deinem Konto auf nighthopper.de und in der App selbst (Daten herunterladen, Konto löschen). Sonst genügt eine formlose Nachricht an die oben genannte Adresse; wir antworten innerhalb eines Monats — zu einem Konto an dessen Adresse, damit niemand fremde Daten anfordert. Was wir zu einem Wechsel zum Anbieter für die Auswertung unserer Werbung speichern und was wir zu den Mitteilungen der App ablegen (Gerätetoken, Wahl und Einstellungen), steht nicht im Download; das nennen wir dir auf Nachfrage.

Widerspruchsrecht: Verarbeitungen auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 Buchst. f DSGVO) — etwa die Reichweitenmessung, die Zuordnung gemeldeter Buchungen zu unserer Werbung und deren Auswertung nach Land, Stadt, Gerät und Reisezeit — kannst du jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21 Abs. 1 DSGVO). Eine formlose Nachricht an die oben genannte Adresse genügt.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren — in der Regel bei der Behörde deines Wohnsitzes oder bei der Behörde am Sitz unserer EU-Vertreterin.