Datenschutz

Stand: 3. November 2026 · Version 4.9 · Diese Datenschutzerklärung liegt in deutscher und englischer Sprache vor.

(1) Verantwortlich für die Verarbeitung personenbezogener Daten auf unserer Website, in der Anwendung Ovairo und bei Buchungen über Ovairo ist:

Ovairo UG (haftungsbeschränkt)
Franz-Joseph-Straße 11, 80801 München, Deutschland
Amtsgericht München, HRB 315967
Geschäftsführer: Amr Hassan
E-Mail: [email protected]

(2) Unser Datenschutzbeauftragter ist Amr Hassan. Sie erreichen ihn unter [email protected] mit dem Betreff „Datenschutz" oder postalisch unter der in Absatz 1 genannten Anschrift mit dem Zusatz „Datenschutzbeauftragter".

(1) Diese Erklärung gilt für unsere Website ovairo.com einschließlich der Warteliste, für die Anwendung Ovairo unter app.ovairo.com mit dem Reiseassistenten und der Reiseplanung sowie für Buchungen von Flügen und Unterkünften, die Sie über Ovairo vornehmen.

(2) Über Ovairo können Sie Flüge und Unterkünfte buchen und bezahlen (Ziffern 10 bis 13). Jede Buchung ist ein eigener Vertrag. Wer Ihr Vertragspartner ist, nennen wir Ihnen im Buchungsvorgang und in der Buchungsbestätigung.

(1) Server-Protokolldaten. Beim Aufruf unserer Website und unserer Anwendung speichern unser Hosting-Dienstleister und unser Content-Delivery-Dienst automatisch Zugriffsdaten: IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, zuvor besuchte Seite sowie Browser- und Betriebssystemkennung. Zweck ist der technische Betrieb, die Auslieferung der Seiten, die Erkennung und Abwehr von Angriffen und die Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren, stabilen und verfügbaren Dienst. Die Daten werden nach drei Monaten automatisch gelöscht.

(2) Warteliste. Tragen Sie sich in die Warteliste ein, verarbeiten wir Ihre E-Mail-Adresse. Der Eintrag erfolgt im Double-Opt-in-Verfahren: Erst wenn Sie den Bestätigungslink in der zugesandten E-Mail aufrufen, gilt Ihre Einwilligung als erteilt; bis dahin ist der Eintrag als nicht bestätigt gespeichert. Nach der Bestätigung senden wir Ihnen eine Begrüßungs-E-Mail. Zweck ist die Benachrichtigung über den Start von Ovairo und über den Fortschritt bis dahin. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Wir speichern die Adresse bis zum Widerruf Ihrer Einwilligung oder bis der Zweck entfällt. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder E-Mail oder formlos an [email protected]. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

(3) Missbrauchsschutz. Um automatisierte Masseneintragungen zu verhindern, wird Ihre IP-Adresse beim Absenden des Wartelisten-Formulars kurzzeitig im Arbeitsspeicher des Servers ausgewertet (höchstens drei Versuche je fünf Minuten) und nicht in einer Datenbank gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz des Dienstes vor Missbrauch.

(4) Reichweitenmessung auf der Website. Auf der Website nutzen wir einen Analysedienst mit Servern in der EU. Ohne Ihre Einwilligung – und solange Sie nicht entschieden haben – findet keine Messung statt und es wird nichts auf Ihrem Gerät gespeichert. Beim Seitenaufruf ruft der Analysedienst lediglich seine Konfiguration von einem Server in der EU ab; dabei werden technisch bedingt IP-Adresse und Browserkennung übertragen (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse an einer funktionsfähigen Einbindung, die erst nach Ihrer Einwilligung aktiv wird). Mit Ihrer Einwilligung speichert der Analysedienst eine Kennung in Ihrem Browser (Cookie mit einer Laufzeit von bis zu 365 Tagen, Local Storage, Session Storage), erfasst Seitenaufrufe, die aufrufende Seite, Browser, Gerätetyp und Klicks und zeichnet Ihre Sitzung auf; Eingaben in Formularfelder werden dabei automatisch maskiert und nicht übertragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Sitzungsaufzeichnungen werden nach 30 Tagen, Ereignisdaten nach höchstens zwölf Monaten gelöscht. Sie können Ihre Einwilligung jederzeit über Cookie settings im Seitenfuß widerrufen; Ablehnen ist ebenso einfach wie Zustimmen. Die Speicherung Ihrer Entscheidung selbst ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich und bedarf keiner Einwilligung.

(5) Schriftarten. Die Website liefert alle Schriftarten von unserem eigenen Server aus; beim Aufruf der Website werden keine Daten an externe Schriftarten-Anbieter übertragen.

(1) Nutzerkonto. Für den Reiseassistenten benötigen Sie ein Nutzerkonto. Wir verarbeiten Name, E-Mail-Adresse und Spracheinstellung. Anmeldung und Sitzungsprüfung erfolgen über unseren Dienstleister für Anmeldung und Authentifizierung; ein Passwort speichern wir nicht selbst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(2) Profil. Wenn Sie es wünschen, speichern wir Reisevorlieben wie Reisestil, Heimatflughafen, bevorzugte Fluggesellschaften und Hotelketten, Sitzplatz- und Zimmerwünsche und Budgetrahmen, damit der Reiseassistent sie berücksichtigt (Art. 6 Abs. 1 lit. b DSGVO). Angaben zu Ernährung, Allergien und Assistenzbedarf regelt Ziffer 5.

(3) Gespeicherte Reisende und Angaben zu anderen Personen. Sie können in Ihrem Profil Angaben zu sich und zu anderen Personen hinterlegen, mit denen Sie reisen: Name, Geburtsdatum, Geschlecht, Staatsangehörigkeit, E-Mail-Adresse, Telefonnummer sowie Art, Nummer, Ablaufdatum und Ausstellungsstaat eines Reisedokuments. Angaben zu anderen Personen erhalten wir von Ihnen und nicht von diesen Personen selbst (Art. 14 DSGVO). Wir verarbeiten sie, um Ihre Reiseplanung und Buchungen für diese Personen zu erleichtern (Art. 6 Abs. 1 lit. b und lit. f DSGVO; unser berechtigtes Interesse und das der Mitreisenden liegt in einer gemeinsamen Reiseplanung ohne wiederholte Eingabe). Bitte hinterlegen Sie solche Angaben nur, wenn die betreffende Person damit einverstanden ist, und weisen Sie sie auf diese Datenschutzerklärung hin. Angaben nach Ziffer 5 können nur für Sie selbst hinterlegt werden.

(1) In Ihrem Profil können Sie freiwillig Angaben zu Ernährung, Allergien und Assistenzbedarf machen. Solche Angaben können Gesundheitsdaten sein oder religiöse Überzeugungen erkennen lassen (Art. 9 Abs. 1 DSGVO). Wir speichern sie zu Ihrem Konto und nutzen sie für die Planung Ihrer künftigen Reisen. Dafür erhält sie das Sprachmodell (Ziffer 6).

(2) Mit dem Speichern willigen Sie ausdrücklich in diese Verarbeitung ein (Art. 9 Abs. 2 lit. a, Art. 6 Abs. 1 lit. a DSGVO). Darauf weisen wir Sie vor dem Speichern hin. Wir speichern den Zeitpunkt Ihrer Einwilligung und den Hinweis, den Sie gesehen haben.

(3) Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie die Angaben im Profil löschen oder uns schreiben. Wir löschen die Angaben dann vollständig. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

(4) Bitte machen Sie solche Angaben im Profil und nicht im Chat. Was Sie in den Chat schreiben, behandeln wir wie den übrigen Gesprächsverlauf (Ziffer 6). In Ihr Profil übernehmen wir es nicht.

(5) Besondere Wünsche an eine gebuchte Unterkunft regelt Ziffer 10(4).

(1) KI-System. Der Reiseassistent ist ein KI-System; Sie kommunizieren nicht mit einem Menschen. Darauf weisen wir Sie zusätzlich in der Anwendung im Eingabebereich jedes Gesprächs hin (Art. 50 Abs. 1 und Abs. 5 der Verordnung (EU) 2024/1689).

(2) Was das Sprachmodell erhält. Ihre Eingaben, den bisherigen Gesprächsverlauf und dessen Zusammenfassung, die für die Antwort erforderlichen Such- und Angebotsdaten sowie die Reisevorlieben aus Ihrem Profil, einschließlich der Angaben nach Ziffer 5. Was Sie in den Chat schreiben, erreicht das Modell so, wie Sie es eingeben; eine automatische Entfernung von Namen oder anderen Angaben findet nicht statt. Bitte geben Sie deshalb keine Kartendaten, Ausweisnummern oder Gesundheitsangaben in den Chat ein.

(3) Gesprächsgedächtnis. Damit Sie Ihre Vorlieben nicht wiederholen müssen, entnimmt der Assistent Ihren Gesprächen Reisevorlieben und speichert sie zu Ihrem Konto. Für die Suche in diesem Gedächtnis und in unserer Reisewissensdatenbank werden Textabschnitte in Vektoren umgewandelt.

(4) Websuche. Für Fragen, die aktuelle Informationen erfordern, bildet der Assistent Suchanfragen und stellt sie über die Suchfunktion eines Anbieters von KI-Modellen (Absatz 7). Die Suchanfrage kann Inhalte Ihrer Frage enthalten.

(5) Prüfung der Antworten. Bevor eine Antwort angezeigt wird, prüft ein weiterer Durchlauf des Sprachmodells sie auf Fehler.

(6) Buchen im Chat. Buchen Sie eine Unterkunft über den Reiseassistenten, übermittelt er die für die Buchung erforderlichen Angaben an unser Buchungssystem. Für die Buchungsdaten gilt Ziffer 10, für die Zahlung Ziffer 11.

(7) Wer die Modelle betreibt. Die Sprachmodelle, die Ihre Anfragen verarbeiten, betreiben Anbieter von KI-Modellen. Wir setzen die Modelle mehrerer Anbieter ein und wählen je nach Aufgabe und Verfügbarkeit, welches Modell eine Anfrage bearbeitet; fällt ein Modell aus, übernimmt ein anderes. Die Vektoren (Absatz 3) erzeugt ebenfalls ein Anbieter von KI-Modellen. Alle diese Anbieter handeln als unsere Auftragsverarbeiter. Orte der Verarbeitung und Grundlagen der Übermittlung nennt Ziffer 14(2).

(8) Speicherung. Gesprächsverläufe speichern wir verschlüsselt, bis Sie das Gespräch oder Ihr Konto löschen. Gelöschte Gespräche werden 30 Tage danach endgültig entfernt; löschen Sie Ihr Konto, entfernen wir die Gesprächsinhalte sofort. Beim Anbieter des Sprachmodells für Gespräche wird zusätzlich der Gesprächszustand vorgehalten, damit das Gespräch fortgesetzt werden kann. Wir bewahren die zugehörigen Kennungen auf und veranlassen die Löschung beim Anbieter auf Ihre Anfrage.

(9) Keine Beratung, keine Zusage. Die Antworten des Assistenten sind Vorschläge. Angaben zu Verfügbarkeit, Preisen, Eignung, Einreise- oder Gesundheitsanforderungen können unrichtig oder überholt sein und sind unverbindlich. Verbindlich sind allein die Angaben im Buchungsvorgang und in der Buchungsbestätigung sowie die Angaben der zuständigen Behörden.

(10) Keine automatisierte Entscheidung. Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung im Sinne des Art. 22 Abs. 1 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, treffen wir nicht.

(11) Rechtsgrundlage. Der Betrieb des Reiseassistenten beruht auf Art. 6 Abs. 1 lit. b DSGVO.

(1) Wetter. Erlauben Sie Ihrem Browser den Zugriff auf Ihren Standort, ruft die Anwendung das Wetter für Ihre Koordinaten unmittelbar bei einem externen Wetterdienst ab; ohne diese Freigabe wird das Wetter anhand eines Ortsnamens abgefragt. Der Wetterdienst erhält dabei die Koordinaten bzw. den Ortsnamen und Ihre IP-Adresse. Rechtsgrundlage ist Ihre Einwilligung über die Standortabfrage Ihres Browsers (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie in den Browsereinstellungen jederzeit zurücknehmen können.

(2) Karten. Karten externer Kartenanbieter laden wir erst, wenn Sie die Karte anklicken. Ihr Browser übermittelt dann Ihre IP-Adresse und technische Angaben unmittelbar an den Kartenanbieter. Rechtsgrundlage ist Ihre Einwilligung durch den Klick (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Vor dem Klick nennt Ihnen die Anwendung an der Karte den jeweiligen Anbieter und weist auf die Übermittlung hin. Ihre Einwilligung gilt für alle Karten desselben Anbieters, bis Sie die Seite neu laden; mit dem Neuladen widerrufen Sie sie mit Wirkung für die Zukunft. Einer der Kartenanbieter speichert nach dem Klick in Ihrem Browser (Local Storage) eine zufällig erzeugte Kennung und Zeitangaben, mit denen er Kartenaufrufe und Nutzer zählt; diese Angaben bleiben nach dem Neuladen gespeichert, werden aber erst nach einer erneuten Einwilligung wieder ausgelesen, und Sie können sie in den Einstellungen Ihres Browsers löschen. Die Kartenanbieter können die Daten auch in den USA verarbeiten.

(3) Schriftarten. Auch die Anwendung liefert alle Schriftarten von unserem eigenen Server aus.

(4) Fotos und Airline-Logos. Einige Fotos in der Anwendung, etwa von Reisezielen, lädt Ihr Browser unmittelbar bei einem externen Bilddienst; Logos von Fluggesellschaften in Flugergebnissen lädt er unmittelbar bei unserem Anbieter von Flugdaten. Diese Anbieter erhalten dabei Ihre IP-Adresse und die technischen Angaben Ihres Browsers, die für die Auslieferung der Bilder erforderlich sind. Rechtsgrundlage ist unser berechtigtes Interesse an einer bebilderten Darstellung von Reisezielen und Fluggesellschaften (Art. 6 Abs. 1 lit. f DSGVO). Die Bedingungen des Bilddienstes verlangen, dass seine Fotos unmittelbar von ihm geladen werden.

Schreiben Sie uns, empfangen wir Ihre E-Mail über unseren E-Mail-Dienstleister. Ein Sprachmodell (Ziffer 6) ordnet Ihre Anfrage anhand von Betreff und Text einer Kategorie und Dringlichkeit zu. Unser Team erhält über einen Dienst für interne Kommunikation eine Benachrichtigung mit Vorgangsnummer, Kategorie und einer Kurzfassung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage ein Vertragsverhältnis, insbesondere eine Buchung, betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der zügigen und vollständigen Bearbeitung Ihrer Anfrage. Wir speichern Support-Vorgänge, solange dies zur Bearbeitung und zur Abwehr etwaiger Ansprüche erforderlich ist. Betrifft ein Vorgang eine Buchung, bewahren wir ihn so lange auf wie die Unterlagen zu dieser Buchung (Ziffer 15), auch wenn Sie Ihr Konto vorher löschen. Aus allen übrigen Vorgängen entfernen wir Ihre Kontaktangaben sofort, wenn Sie Ihr Konto löschen.

(1) In der Anwendung messen wir mit einem Analysedienst mit Servern in der EU, ob Funktionen und Abläufe funktionieren und genutzt werden, und erfassen technische Fehler. Dabei wird nichts auf Ihrem Gerät gespeichert; die Kennung besteht nur im Arbeitsspeicher während der Nutzung. Seiten-Adressen werden vor der Übermittlung bereinigt, eine Standortbestimmung anhand der IP-Adresse findet nicht statt, Sitzungen werden nicht aufgezeichnet. Ihre Ereignisse werden Ihrer Kontokennung zugeordnet, nicht Ihrem Namen.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Fehler zu erkennen und die Anwendung anhand der Nutzung zu verbessern. Sie können dieser Verarbeitung jederzeit widersprechen (Ziffer 16(3)), formlos an [email protected].

(1) Unterkünfte. Bei Unterkünften ist Ovairo Ihr Vertragspartner (§ 2 Abs. 4 unserer AGB). Wenn Sie über Ovairo eine Unterkunft buchen, verarbeiten wir Vor- und Nachnamen aller Gäste, das Alter mitreisender Kinder, E-Mail-Adresse und Telefonnummer der buchenden Person, Reisedaten, Unterkunft, Zimmer, Preis, Raten- und Stornobedingungen, Buchungsreferenzen, die IP-Adresse, von der aus Sie buchen, sowie – wenn Sie sie angeben – besondere Wünsche an die Unterkunft. Die Bedingungen, die Ihnen im Buchungsvorgang angezeigt wurden, speichern wir mit dem Zeitpunkt der Anzeige zu Ihrer Buchung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit wir die IP-Adresse an einen Großhändler übermitteln (Ziffer 12(1)), beruht dies zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Buchungen über diesen Großhändler abwickeln zu können, der die Angabe für die Buchung und zur Abwehr missbräuchlicher Buchungen verlangt.

(2) Mitteilungen und Buchungsverwaltung. Die Buchungsbestätigung, die Bestätigung des Vertrags auf einem dauerhaften Datenträger sowie Änderungs-, Storno- und Erstattungsmitteilungen senden wir Ihnen per E-Mail über unseren E-Mail-Dienstleister (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Ihre Buchungen können Sie in der Anwendung verwalten. Buchen Sie ohne Nutzerkonto, erhalten Sie dafür einen Einmalcode per E-Mail; der damit gewährte Zugriff gilt 30 Minuten (Art. 6 Abs. 1 lit. b DSGVO).

(3) Angaben zu Mitreisenden. Buchen Sie für andere Personen, erhalten wir deren Angaben von Ihnen und nicht von diesen Personen selbst (Art. 14 DSGVO). Wir verarbeiten sie zu den in dieser Ziffer genannten Zwecken und auf denselben Rechtsgrundlagen. Bitte weisen Sie diese Personen auf diese Datenschutzerklärung hin.

(4) Besondere Wünsche. Besondere Wünsche, die Sie bei der Buchung oder im Gespräch mit dem Reiseassistenten angeben, speichern wir mit der Buchung. Wir leiten sie unverändert an den Großhändler weiter, soweit dieser sie entgegennimmt (Ziffer 12(1)). Enthalten sie Angaben zu Gesundheit oder Religion, etwa eine Allergie oder einen Rollstuhlbedarf, willigen Sie mit dem Absenden ausdrücklich in die Speicherung und Weitergabe ein (Art. 9 Abs. 2 lit. a DSGVO). Darauf weisen wir Sie vorher hin. Wir löschen die Wünsche am Tag nach Ihrer Abreise. Bis dahin können Sie Ihre Einwilligung jederzeit widerrufen, indem Sie uns schreiben.

(5) Flüge. Buchen Sie einen Flug, verarbeiten wir für jeden Fluggast Vor- und Nachnamen, Geburtsdatum, Geschlecht, E-Mail-Adresse und Telefonnummer sowie, soweit die Fluggesellschaft sie verlangt, Art, Nummer, Ausstellungsstaat und Ablaufdatum des Reisedokuments. Außerdem verarbeiten wir Flugverbindung, Tarif, Preis, Tarifbedingungen und Buchungsreferenzen. Den Beförderungsvertrag schließen Sie mit der Fluggesellschaft. Dass Sie deren Beförderungs- und Tarifbedingungen angenommen haben, speichern wir mit dem Zeitpunkt der Annahme zu Ihrer Buchung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Speicherung der Annahme zusätzlich Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse liegt im Nachweis des Vertragsschlusses.

(1) Kartenzahlung bei Unterkünften. Den Preis einer Unterkunft zahlen Sie an Ovairo. Die Kartenzahlung wickelt unser Zahlungsdienstleister mit Sitz in Irland ab. Ihre Kartendaten geben Sie in ein Eingabefeld des Zahlungsdienstleisters ein; sie werden unmittelbar bei ihm erhoben und erreichen unsere Server nicht. Bei der Buchung wird der Betrag auf Ihrer Karte zunächst nur reserviert und erst belastet, wenn der Großhändler die Buchung bestätigt hat; kommt die Buchung nicht zustande, wird die Reservierung freigegeben. Erstattungen veranlassen wir ebenfalls über den Zahlungsdienstleister. Wir übermitteln ihm Betrag, Währung, unsere Buchungskennung und Ihre E-Mail-Adresse für den Zahlungsbeleg und erhalten eine Transaktionskennung und den Zahlungsstatus. Die starke Kundenauthentifizierung (etwa 3-D Secure) führt Ihre kartenausgebende Bank über den Zahlungsdienstleister durch.

(2) Keine Kartendaten an Großhändler und Unterkünfte. Den Preis der Unterkunft begleichen wir selbst gegenüber dem Großhändler. Großhändler und Unterkünfte (Ziffer 12) erhalten von uns daher keine Kartendaten von Ihnen.

(3) Rechtsgrundlage. Die Zahlungsabwicklung beruht auf Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung gesetzlicher Aufbewahrungspflichten auf Art. 6 Abs. 1 lit. c DSGVO. Die Transaktionsdaten verwenden wir auch, um Rückbelastungen zu bearbeiten (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Abwehr unberechtigter Rückbelastungen). Der Zahlungsdienstleister prüft Zahlungen zur Verhinderung von Betrug und erfüllt eigene gesetzliche Pflichten als Zahlungsdienstleister; insoweit ist er eigenständig verantwortlich und verarbeitet die Daten nach seinen eigenen Datenschutzhinweisen.

(4) Zahlung von Flügen. Den Flugpreis zahlen Sie an den im Buchungsvorgang benannten Zahlungsempfänger, nicht an Ovairo. Ihre Kartendaten geben Sie in ein Eingabefeld unseres Buchungsdienstleisters für Flüge ein; sie erreichen unsere Server nicht. Die starke Kundenauthentifizierung führen der Buchungsdienstleister und Ihr Kartenaussteller durch. Wir erhalten den Zahlungsstatus und die Buchungsreferenz.

(1) Was die Großhändler erhalten. Unterkünfte beziehen wir von Großhändlern, die die Buchung an die Unterkunft weiterleiten. Der Großhändler, über den Ihre Buchung abgewickelt wird, erhält Vor- und Nachnamen aller Gäste, das Alter mitreisender Kinder, die Reisedaten und das Zimmer. Je nach Großhändler erhält er zusätzlich entweder Ihre besonderen Wünsche (Ziffer 10(4)) oder die Telefonnummer der buchenden Person und die IP-Adresse, von der aus Sie buchen (zur IP-Adresse Ziffer 10(1)). Ihre E-Mail-Adresse erhält kein Großhändler; verlangt ein Großhändler eine E-Mail-Adresse, übermitteln wir unsere eigene. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(2) Eigene Verantwortlichkeit. Großhändler und Unterkünfte verarbeiten Ihre Daten als eigenständige Verantwortliche nach ihren eigenen Datenschutzhinweisen. Wir sind verantwortlich für die Buchung in unseren Systemen, die Zahlungsabwicklung nach Ziffer 11, die Kommunikation mit Ihnen und die Verwaltung der Buchung in unserer Anwendung; für die Verarbeitung durch Großhändler und Unterkünfte zu deren eigenen Zwecken sind diese selbst verantwortlich. Löschen wir Ihre Daten, bewirkt dies keine Löschung beim Großhändler oder bei der Unterkunft.

(3) Leistungen außerhalb des EWR. Liegt die gebuchte Unterkunft außerhalb des Europäischen Wirtschaftsraums, ist die Übermittlung Ihrer Buchungsdaten dorthin zur Erfüllung des von Ihnen gewünschten Vertrags erforderlich (Art. 49 Abs. 1 UAbs. 1 lit. b und lit. c DSGVO). Die Übermittlung an die Unterkunft nimmt in der Regel der Großhändler vor.

(4) Flüge. Für Flugbuchungen übermitteln wir die Angaben nach Ziffer 10(5) an unseren Buchungsdienstleister für Flüge mit Sitz im Vereinigten Königreich, der sie an die Fluggesellschaft weiterleitet. Der Buchungsdienstleister und die Fluggesellschaft verarbeiten die Daten als eigenständige Verantwortliche nach ihren eigenen Datenschutzhinweisen, die Fluggesellschaft auch zur Erfüllung gesetzlicher Pflichten, etwa zur Übermittlung von Fluggastdaten an Behörden. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Hat die Fluggesellschaft ihren Sitz außerhalb des EWR oder fliegen Sie in ein Drittland, ist die Übermittlung zur Erfüllung des von Ihnen gewünschten Vertrags erforderlich (Art. 49 Abs. 1 UAbs. 1 lit. b und lit. c DSGVO). Welche Fluggesellschaft den Flug durchführt und wer den Flugpreis erhält, nennen wir Ihnen im Buchungsvorgang und in der Buchungsbestätigung.

Erklären Sie den Widerruf eines Vertrags über unsere Widerrufsfunktion, speichern wir Ihren Namen, die Angaben zur Identifizierung des Vertrags, die E-Mail-Adresse für die Eingangsbestätigung, Ihre Spracheinstellung sowie Datum und Uhrzeit des Eingangs. Wir senden Ihnen unverzüglich eine Eingangsbestätigung per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a Abs. 4 BGB. Zum Schutz vor missbräuchlicher Massennutzung wird Ihre IP-Adresse kurzzeitig im Arbeitsspeicher des Servers ausgewertet und nicht gespeichert (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz der Funktion vor Missbrauch). Die Widerrufserklärung bewahren wir auf, bis Ansprüche aus dem widerrufenen Vertrag verjährt sind (Art. 17 Abs. 3 lit. e DSGVO).

(1) Wir geben Ihre Daten nur weiter, soweit dies zur Erbringung unseres Dienstes und zur Durchführung Ihrer Buchungen erforderlich ist, Sie eingewilligt haben oder wir gesetzlich dazu verpflichtet sind.

(2) Dienstleister, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Auftragsverarbeiter), nach Kategorien:

Die Standarddatenschutzklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

(3) Eigenständig verantwortliche Empfänger bei Buchungen und Zahlungen sind die Leistungsträger und ihre Buchungsdienstleister (Ziffer 12) sowie:

(4) Empfänger, an die Ihr Browser selbst Daten übermittelt (Ziffer 7): ein Wetterdienst, Kartenanbieter, ein Bilddienst und unser Anbieter von Flugdaten (Airline-Logos). Diese Anbieter verarbeiten Ihre IP-Adresse und die abgefragten Angaben in eigener Verantwortung nach ihren eigenen Datenschutzhinweisen. Die Übermittlung an den Wetterdienst und an die Kartenanbieter beruht auf Ihrer Einwilligung, die an den Bilddienst und den Anbieter von Flugdaten auf unserem berechtigten Interesse (jeweils Ziffer 7). Welcher Kartenanbieter eine Karte bereitstellt, nennt Ihnen die Anwendung vor dem Laden der Karte (Ziffer 7(2)).

(5) Steuerberatung, Wirtschaftsprüfung und Rechtsberatung sowie Finanzbehörden erhalten Daten, soweit dies zur Erfüllung gesetzlicher Pflichten erforderlich ist (Art. 6 Abs. 1 lit. c DSGVO).

(6) Namentliche Empfänger. In dieser Erklärung beschreiben wir Empfänger nach Kategorien (Art. 13 Abs. 1 lit. e DSGVO). Eine Liste der namentlich benannten Empfänger Ihrer Daten erhalten Sie auf Anfrage an [email protected] (Art. 15 Abs. 1 lit. c DSGVO).

Wenn Sie Ihr Konto löschen, löschen wir Konto-, Profil- und Präferenzdaten, gespeicherte Reisende, das Gesprächsgedächtnis, die Gesprächsinhalte und Ihre besonderen Wünsche an Unterkünfte unverzüglich. Buchungs- und Rechnungsunterlagen, die wir nach § 147 AO und § 257 HGB aufbewahren müssen, einschließlich Telefonnummer und IP-Adresse der Buchung sowie der Support-Vorgänge zu dieser Buchung, schränken wir in der Verarbeitung ein und löschen sie nach Ablauf der gesetzlichen Frist. Daten, die wir zur Abwicklung von Erstattungen und Rückbelastungen oder zur Abwehr von Ansprüchen benötigen, bewahren wir bis zum Ende der jeweiligen Verjährungsfrist auf (Art. 17 Abs. 3 lit. b und lit. e DSGVO).

(1) Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

(2) Ihr Konto und die damit verbundenen Daten können Sie in den Einstellungen der Anwendung selbst löschen. Für alle übrigen Anliegen schreiben Sie an [email protected] oder an unseren Datenschutzbeauftragten (Ziffer 1(2)). Wir antworten unverzüglich, in jedem Fall innerhalb eines Monats; in komplexen Fällen kann sich die Frist um zwei Monate verlängern, worüber wir Sie informieren.

(3) Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie dieser
Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.
Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe
für die Verarbeitung nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die
Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ihr
Widerspruch genügt formlos an [email protected].

(4) Beschwerderecht. Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.

Für das Nutzerkonto sind Name und E-Mail-Adresse erforderlich; ohne sie können Sie den Reiseassistenten nicht nutzen. Für die Warteliste ist die E-Mail-Adresse erforderlich. Für eine Buchung sind die Angaben nach Ziffer 10(1) oder 10(5) mit Ausnahme besonderer Wünsche erforderlich; ohne sie können wir die Buchung nicht durchführen. Alle übrigen Angaben, insbesondere die nach Ziffer 4(2), 4(3), 5 und 10(4), sind freiwillig.

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die Übertragung zwischen Ihrem Gerät und unseren Servern erfolgt verschlüsselt (TLS). Gesprächsverläufe sowie Namen, Kontaktangaben, Geburtsdaten und Dokumentnummern gespeicherter Reisender speichern wir nach AES-256-GCM verschlüsselt. Kartendaten erreichen unsere Server nicht (Ziffer 11). Der Zugriff auf Daten ist auf die jeweils berechtigte Kundenkennung beschränkt; die Anmeldung erfolgt authentifiziert über unseren Dienstleister für Anmeldung und Authentifizierung.

Wir passen diese Erklärung an, wenn sich die Rechtslage, unsere Dienste oder die Datenverarbeitung ändern, insbesondere bevor wir weitere Buchungsarten ermöglichen (Ziffer 2(2)). Es gilt die jeweils hier veröffentlichte Fassung. Inhaber eines Nutzerkontos informieren wir über wesentliche Änderungen zusätzlich per E-Mail.

Last updated: 3 November 2026 · Version 4.9 · This privacy policy is available in German and in English.

(1) The controller for the processing of personal data on our website, in the Ovairo application and for bookings made through Ovairo is:

Ovairo UG (haftungsbeschränkt)
Franz-Joseph-Straße 11, 80801 Munich, Germany
Local Court (Amtsgericht) Munich, HRB 315967
Managing director: Amr Hassan
Email: [email protected]

(2) Our data protection officer is Amr Hassan. You can reach him at [email protected] with the subject "Datenschutz", or by post at the address in paragraph 1, marked "Data Protection Officer".

(1) This policy applies to our website ovairo.com including the waitlist, to the Ovairo application at app.ovairo.com with the travel assistant and trip planning, and to bookings of flights and accommodation that you make through Ovairo.

(2) You can book and pay for flights and accommodation through Ovairo (sections 10 to 13). Each booking is a separate contract. We tell you in the booking process and in the booking confirmation who your contracting party is.

(1) Server log data. When you visit our website and our application, our hosting provider and our content delivery service automatically store access data: IP address, time of the request, address requested, HTTP status code, amount of data transferred, referring page, and browser and operating system identifier. The purpose is technical operation, delivery of the pages, detecting and preventing attacks, and error analysis. The legal basis is Art. 6(1)(f) GDPR; our legitimate interest is a secure, stable and available service. The data is deleted automatically after three months.

(2) Waitlist. If you join the waitlist, we process your email address. Sign-up uses double opt-in: your consent counts as given only once you open the confirmation link in the email we send you; until then the entry is stored as unconfirmed. After confirmation we send you a welcome email. The purpose is to tell you about Ovairo's launch and progress until then. The legal basis is Art. 6(1)(a) GDPR. We keep the address until you withdraw consent or the purpose ends. You can withdraw consent at any time with effect for the future, through the unsubscribe link in every email or informally at [email protected]. Withdrawal does not affect the lawfulness of processing before it.

(3) Abuse protection. To prevent automated mass sign-ups, your IP address is briefly evaluated in the server's memory when you submit the waitlist form (at most three attempts per five minutes) and is not stored in a database. The legal basis is Art. 6(1)(f) GDPR; our legitimate interest is protecting the service from abuse.

(4) Website analytics. On the website we use an analytics service with servers in the EU. Without your consent, and as long as you have not decided, no measurement takes place and nothing is stored on your device. When a page loads, the analytics service only fetches its configuration from a server in the EU; for technical reasons this transmits your IP address and browser identifier (Art. 6(1)(f) GDPR; legitimate interest in a working integration that becomes active only after your consent). With your consent the analytics service stores an identifier in your browser (a cookie lasting up to 365 days, local storage, session storage), records page views, the referring page, browser, device type and clicks, and records your session; input in form fields is masked automatically and not transmitted. The legal basis is Art. 6(1)(a) GDPR in conjunction with § 25(1) TDDDG. Session recordings are deleted after 30 days, event data after twelve months at the latest. You can withdraw consent at any time through Cookie settings in the page footer; refusing is as easy as accepting. Storing your choice itself is strictly necessary under § 25(2) no. 2 TDDDG and needs no consent.

(5) Fonts. The website serves all fonts from our own server; no data is sent to external font providers when you visit it.

(1) Account. You need an account to use the travel assistant. We process your name, email address and language setting. Sign-in and session checks run through our sign-in and authentication service provider; we do not store a password ourselves. The legal basis is Art. 6(1)(b) GDPR.

(2) Profile. If you wish, we store travel preferences such as travel style, home airport, preferred airlines and hotel chains, seat and room preferences and budget range, so that the travel assistant can take them into account (Art. 6(1)(b) GDPR). Dietary requirements, allergies and accessibility needs are covered in section 5.

(3) Saved travellers and information about other people. In your profile you can store information about yourself and about other people you travel with: name, date of birth, gender, nationality, email address, phone number, and the type, number, expiry date and issuing country of a travel document. We receive information about other people from you, not from them (Art. 14 GDPR). We process it to make trip planning and bookings for those people easier (Art. 6(1)(b) and (f) GDPR; our legitimate interest, and that of your fellow travellers, is joint trip planning without repeated entry). Please store such information only if the person agrees, and point them to this privacy policy. Information under section 5 can be stored only for yourself.

(1) You may choose to enter dietary requirements, allergies and accessibility needs in your profile. Such information may be health data or may reveal religious beliefs (Art. 9(1) GDPR). We store it with your account and use it to plan your future trips. For this, the language model receives it (section 6).

(2) By saving, you give your explicit consent to this processing (Art. 9(2)(a), Art. 6(1)(a) GDPR). We tell you this before you save. We store when you consented and which notice you saw.

(3) You can withdraw your consent at any time by deleting the information in your profile or by writing to us. We then delete it completely. Withdrawal does not affect the lawfulness of processing before it.

(4) Please enter such information in your profile, not in the chat. We treat anything you write in the chat like the rest of the conversation (section 6). We do not copy it into your profile.

(5) Special requests to a booked accommodation are covered in section 10(4).

(1) AI system. The travel assistant is an AI system; you are not communicating with a human. We also tell you this in the application, in the input area of every conversation (Art. 50(1) and (5) of Regulation (EU) 2024/1689).

(2) What the language model receives. Your input, the conversation so far and its summary, the search and offer data needed for the answer, and the travel preferences from your profile, including the information under section 5. What you write in the chat reaches the model as you enter it; names or other details are not removed automatically. Please therefore do not enter card details, ID numbers or health information in the chat.

(3) Conversation memory. So that you do not have to repeat your preferences, the assistant takes travel preferences from your conversations and stores them with your account. To search this memory and our travel knowledge base, text passages are converted into vectors.

(4) Web search. For questions that need current information, the assistant forms search queries and runs them through the search function of an AI model provider (paragraph 7). A query may contain content from your question.

(5) Checking answers. Before an answer is shown, a further pass of the language model checks it for errors.

(6) Booking in the chat. If you book accommodation through the travel assistant, it sends the details needed for the booking to our booking system. Section 10 applies to the booking data and section 11 to payment.

(7) Who runs the models. The language models that process your requests are run by AI model providers. We use the models of several providers and choose, by task and availability, which model handles a request; if one model fails, another takes over. The vectors (paragraph 3) are also created by an AI model provider. All of these providers act as our processors. Section 14(2) gives the places of processing and the transfer mechanisms.

(8) Storage. We store conversations encrypted until you delete the conversation or your account. Deleted conversations are removed permanently 30 days later; if you delete your account, we remove the conversation content immediately. The provider of the conversation model also keeps the conversation state so that the conversation can continue. We keep the related identifiers and arrange deletion at the provider on your request.

(9) No advice, no promise. The assistant's answers are suggestions. Information about availability, prices, suitability, entry or health requirements may be wrong or out of date and is not binding. Only the information in the booking process and in the booking confirmation, and the information of the competent authorities, is binding.

(10) No automated decision. We do not take any decision based solely on automated processing within the meaning of Art. 22(1) GDPR that produces legal effects concerning you or similarly significantly affects you.

(11) Legal basis. Operation of the travel assistant is based on Art. 6(1)(b) GDPR.

(1) Weather. If you allow your browser to access your location, the application fetches the weather for your coordinates directly from an external weather service; without that permission, the weather is looked up by place name. The weather service receives the coordinates or place name and your IP address. The legal basis is your consent through your browser's location prompt (§ 25(1) TDDDG, Art. 6(1)(a) GDPR), which you can withdraw at any time in your browser settings.

(2) Maps. We load maps from external map providers only when you click on the map. Your browser then sends your IP address and technical information directly to the map provider. The legal basis is your consent by clicking (§ 25(1) TDDDG, Art. 6(1)(a) GDPR). Before you click, the application names the provider at the map and tells you that data will be sent. Your consent applies to all maps from the same provider until you reload the page; reloading withdraws it with effect for the future. After the click, one of the map providers stores a randomly generated identifier and time stamps in your browser (local storage), which it uses to count map loads and users; this information stays stored after a reload, but it is read again only after you consent again, and you can delete it in your browser settings. The map providers may also process the data in the USA.

(3) Fonts. The application also serves all fonts from our own server.

(4) Photos and airline logos. Your browser loads some photos in the application, such as photos of destinations, directly from an external image service, and loads airline logos in flight results directly from our flight data provider. These providers receive your IP address and the technical information from your browser that is needed to deliver the images. The legal basis is our legitimate interest in an illustrated presentation of destinations and airlines (Art. 6(1)(f) GDPR). The terms of the image service require that its photos are loaded directly from it.

If you write to us, we receive your email through our email service provider. A language model (section 6) assigns your request a category and urgency based on subject and text. Our team receives a notification with case number, category and a short summary of your request through an internal communication service. The legal basis is Art. 6(1)(b) GDPR where your request concerns a contract, in particular a booking, and otherwise Art. 6(1)(f) GDPR; our legitimate interest is handling your request quickly and completely. We keep support cases as long as needed to handle them and to defend against possible claims. If a case concerns a booking, we keep it as long as the records of that booking (section 15), even if you delete your account before then. From all other cases we remove your contact details immediately when you delete your account.

(1) In the application we use an analytics service with servers in the EU to measure whether features and flows work and are used, and to record technical errors. Nothing is stored on your device; the identifier exists only in memory during use. Page addresses are cleaned before transmission, there is no location lookup from the IP address, and sessions are not recorded. Your events are linked to your account identifier, not your name.

(2) The legal basis is Art. 6(1)(f) GDPR; our legitimate interest is detecting errors and improving the application based on its use. You can object to this processing at any time (section 16(3)), informally at [email protected].

(1) Accommodation. For accommodation, Ovairo is your contracting party (section 2(4) of our terms). When you book accommodation through Ovairo, we process the first and last names of all guests, the ages of children travelling, the booker's email address and phone number, travel dates, accommodation, room, price, rate and cancellation conditions, booking references, the IP address you book from and – if you provide them – special requests to the accommodation. We store the conditions shown to you during booking with your booking, together with the time they were shown. The legal basis is Art. 6(1)(b) GDPR. Where we pass the IP address to a wholesaler (section 12(1)), the basis is also Art. 6(1)(f) GDPR; our legitimate interest is being able to book through this wholesaler, which requires the information for the booking and to prevent abusive bookings.

(2) Messages and booking management. We send the booking confirmation, the confirmation of the contract on a durable medium, and change, cancellation and refund messages by email through our email service provider (Art. 6(1)(b) and (c) GDPR). You can manage your bookings in the application. If you book without an account, you receive a one-time code by email for this; the access it grants is valid for 30 minutes (Art. 6(1)(b) GDPR).

(3) Fellow travellers. If you book for other people, we receive their details from you, not from them (Art. 14 GDPR). We process them for the purposes and on the legal bases in this section. Please point these people to this privacy policy.

(4) Special requests. We store special requests that you give when booking or in conversation with the travel assistant with the booking. We pass them on unchanged to the wholesaler where it accepts them (section 12(1)). If they contain health or religious information, such as an allergy or a wheelchair need, you give your explicit consent to this storage and forwarding by sending them (Art. 9(2)(a) GDPR). We tell you this beforehand. We delete the requests on the day after your departure. Until then, you can withdraw your consent at any time by writing to us.

(5) Flights. If you book a flight, we process for each passenger the first and last name, date of birth, gender, email address and phone number and, where the airline requires it, the type, number, issuing country and expiry date of the travel document. We also process the flight connection, fare, price, fare conditions and booking references. You conclude the contract of carriage with the airline. We store with your booking the fact that you accepted its conditions of carriage and fare rules, together with the time of acceptance. The legal basis is Art. 6(1)(b) GDPR; for storing the acceptance, also Art. 6(1)(f) GDPR, our legitimate interest being proof that the contract was concluded.

(1) Card payment for accommodation. You pay the price of accommodation to Ovairo. Card payment is processed by our payment service provider, which has its seat in Ireland. You enter your card details in an input field of the payment service provider; they are collected directly by it and do not reach our servers. At booking, the amount is first only reserved on your card and is charged only when the wholesaler has confirmed the booking; if the booking does not go through, the reservation is released. We also make refunds through the payment service provider. We send it the amount, currency, our booking identifier and your email address for the payment receipt, and receive a transaction identifier and the payment status. Strong customer authentication (such as 3-D Secure) is carried out by your card issuer through the payment service provider.

(2) No card data to wholesalers and accommodation. We pay the wholesaler for the accommodation ourselves. Wholesalers and accommodation (section 12) therefore receive no card data of yours from us.

(3) Legal basis. Payment processing is based on Art. 6(1)(b) GDPR, and compliance with statutory retention duties on Art. 6(1)(c) GDPR. We also use the transaction data to handle chargebacks (Art. 6(1)(f) GDPR; our legitimate interest is defending against unjustified chargebacks). The payment service provider screens payments to prevent fraud and meets its own legal duties as a payment service provider; to that extent it is an independent controller and processes the data under its own privacy notice.

(4) Paying for flights. You pay the fare to the payee named in the booking process, not to Ovairo. You enter your card details in an input field of our flight booking service provider; they do not reach our servers. Strong customer authentication is carried out by the booking service provider and your card issuer. We receive the payment status and the booking reference.

(1) What the wholesalers receive. We source accommodation from wholesalers, which pass the booking to the accommodation. The wholesaler that handles your booking receives the first and last names of all guests, the ages of children travelling, the travel dates and the room. Depending on the wholesaler, it also receives either your special requests (section 10(4)) or the booker's phone number and the IP address you book from (for the IP address, see section 10(1)). No wholesaler receives your email address; where a wholesaler requires an email address, we send our own. The legal basis is Art. 6(1)(b) GDPR.

(2) Their own responsibility. Wholesalers and accommodation process your data as independent controllers under their own privacy notices. We are responsible for the booking in our systems, for payment processing under section 11, for communication with you and for managing the booking in our application; wholesalers and accommodation are themselves responsible for processing for their own purposes. If we delete your data, this does not delete it at the wholesaler or the accommodation.

• Accommodation wholesalers — independent controllers — accommodation offers, booking, forwarding to the accommodation — Spain, Germany — processing in the EEA.
• Flight booking service provider — independent controller — flight booking, payment processing for flights, forwarding to airlines — United Kingdom — adequacy decision (Art. 45 GDPR).
• Airlines — independent controllers — carriage — depending on the airline, also outside the EEA — for third countries Art. 49(1), first subparagraph, (b) and (c) GDPR.

(3) Services outside the EEA. If the booked accommodation is outside the European Economic Area, transferring your booking data there is necessary to perform the contract you asked for (Art. 49(1), first subparagraph, (b) and (c) GDPR). The transfer to the accommodation is usually made by the wholesaler.

(4) Flights. For flight bookings we send the information under section 10(5) to our flight booking service provider, which has its seat in the United Kingdom and passes it to the airline. The booking service provider and the airline process the data as independent controllers under their own privacy notices, the airline also to meet legal duties such as passing passenger data to authorities. An adequacy decision of the European Commission exists for the United Kingdom (Art. 45 GDPR). If the airline is established outside the EEA or you fly to a third country, the transfer is necessary to perform the contract you asked for (Art. 49(1), first subparagraph, (b) and (c) GDPR). We tell you in the booking process and in the booking confirmation which airline operates the flight and who receives the fare.

If you declare withdrawal from a contract through our withdrawal function, we store your name, the details identifying the contract, the email address for the acknowledgement of receipt, your language setting, and the date and time of receipt. We send you an acknowledgement of receipt by email without delay. The legal basis is Art. 6(1)(c) GDPR in conjunction with § 356a(4) BGB. To protect against abusive mass use, your IP address is briefly evaluated in the server's memory and is not stored (Art. 6(1)(f) GDPR; our legitimate interest is protecting the function from abuse). We keep the declaration of withdrawal until claims from the withdrawn contract are time-barred (Art. 17(3)(e) GDPR).

(1) We pass on your data only where this is necessary to provide our service and carry out your bookings, where you have consented, or where we are legally required to.

(2) Service providers that process data on our behalf and on our instructions (processors), by category:

• Cloud hosting and database — running the website, the application and the database, server logs — EU (Frankfurt am Main); support access by the database provider from the United States — for the United States: adequacy decision under Art. 45 GDPR for companies certified under the EU-US Data Privacy Framework; in addition, standard contractual clauses under Art. 46(2)(c) GDPR.
• Delivery and protection against attacks (content delivery network) — delivering the pages, protection against overload and attacks — United States — adequacy decision under Art. 45 GDPR for companies certified under the EU-US Data Privacy Framework; in addition, standard contractual clauses under Art. 46(2)(c) GDPR.
• Sign-in and authentication — account, sign-in, session management — United States — adequacy decision under Art. 45 GDPR for companies certified under the EU-US Data Privacy Framework; in addition, standard contractual clauses under Art. 46(2)(c) GDPR.
• Sending and receiving email — booking messages, support, waitlist — United States — standard contractual clauses under Art. 46(2)(c) GDPR; the provider is also certified under the EU-US Data Privacy Framework (Art. 45 GDPR).
• AI model providers — the travel assistant's language models, web search, pre-sorting of support requests, creating vectors (section 6) — United States; processing by a model may also take place in other data centres of the provider concerned outside the EU — depending on the provider: adequacy decision under Art. 45 GDPR for companies certified under the EU-US Data Privacy Framework, or standard contractual clauses under Art. 46(2)(c) GDPR.
• Website and usage analytics — sections 3(4) and 9 — EU — no transfer to a third country.
• Internal communication — notifying our team about support requests (section 8) — United States — standard contractual clauses under Art. 46(2)(c) GDPR; the provider is also certified under the EU-US Data Privacy Framework (Art. 45 GDPR).

We will provide the standard contractual clauses on request.

(3) Independent controllers for bookings and payments are the service providers and their booking service providers (section 12) and:

• Payment service provider — processes payments on our behalf; independent controller for fraud prevention and its own legal duties (section 11(3)) — payment processing — Ireland — processing in the EEA; for transfers to the United States, adequacy decision under Art. 45 GDPR (EU-US Data Privacy Framework).

(4) Recipients to which your browser sends data itself (section 7): a weather service, map providers, an image service and our flight data provider (airline logos). These providers process your IP address and the requested information on their own responsibility under their own privacy notices. The transfer to the weather service and to the map providers is based on your consent, and the transfer to the image service and the flight data provider on our legitimate interest (both under section 7). The application names the map provider of each map before the map loads (section 7(2)).

(5) Tax advisers, auditors and legal advisers, and the tax authorities, receive data where this is necessary to meet legal obligations (Art. 6(1)(c) GDPR).

(6) Named recipients. In this policy we describe recipients by category (Art. 13(1)(e) GDPR). You can obtain a list of the named recipients of your data on request at [email protected] (Art. 15(1)(c) GDPR).

If you delete your account, we delete account, profile and preference data, saved travellers, conversation memory, conversation content and your special requests to accommodation without delay. Accounting and invoicing records that we must keep under § 147 AO and § 257 HGB, including the booking's phone number and IP address and the support cases about that booking, are restricted from further processing and deleted when the statutory period ends. Data we need to process refunds and chargebacks or to defend against claims is kept until the end of the relevant limitation period (Art. 17(3)(b) and (e) GDPR).

(1) You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18) and data portability (Art. 20). You can withdraw consent at any time with effect for the future (Art. 7(3)); this does not affect the lawfulness of processing before withdrawal.

(2) You can delete your account and its data yourself in the application settings. For anything else, write to [email protected] or to our data protection officer (section 1(2)). We answer without undue delay and in any case within one month; in complex cases the period may be extended by two months, and we will tell you if so.

(3) Right to object under Art. 21 GDPR

Where we process your data on the basis of Art. 6(1)(f) GDPR, you may object to this processing at
any time on grounds relating to your particular situation. We will then stop processing the data
unless we demonstrate compelling legitimate grounds that override your interests, rights and
freedoms, or the processing serves the establishment, exercise or defence of legal claims. An
informal objection to [email protected] is enough.

(4) Right to lodge a complaint. You can complain to a data protection supervisory authority, in particular in the Member State of your habitual residence, place of work or place of the alleged infringement (Art. 77 GDPR). The authority responsible for us is the Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, Germany.

Name and email address are required for the account; without them you cannot use the travel assistant. The email address is required for the waitlist. For a booking, the information in section 10(1) or 10(5) except special requests is required; without it we cannot carry out the booking. All other information, in particular under sections 4(2), 4(3), 5 and 10(4), is voluntary.

We take technical and organisational measures under Art. 32 GDPR. Transmission between your device and our servers is encrypted (TLS). We store conversations, and the names, contact details, dates of birth and document numbers of saved travellers, encrypted with AES-256-GCM. Card data does not reach our servers (section 11). Access to data is limited to the authorised customer identifier; sign-in is authenticated through our sign-in and authentication service provider.

We update this policy when the law, our services or our data processing change, in particular before we make further kinds of booking possible (section 2(2)). The version published here applies. We also inform account holders of material changes by email.