Datenschutzerklärung

Stand: 21. Oktober 2026

Was hat sich geändert? (Fassung vom 21.10.2026)

Wir haben die Erklärung vollständig überarbeitet. Neu sind unter anderem: Tabelle der Zwecke und Rechtsgrundlagen (Ziff. 3), Newsletter mit Bestätigungslink (Double-Opt-in, Ziff. 4), Statistik nur nach Einwilligung und ohne Werbezwecke (Ziff. 5–6), CRUISEHOST und Finest Reisen bei Kreuzfahrten (Ziff. 8), konkrete KI-Dienste für Zazou und Lina (Ziff. 11), Klaviyo als E-Mail-Dienst (Ziff. 13), Auslandsübermittlungen je Empfänger (Ziff. 13) und konkrete Löschfristen (Ziff. 14).

1. Verantwortlicher und Geltungsbereich

Reisedrop GmbH, Schlösslihalde 31g, 6006 Luzern, Schweiz · UID CHE-242.142.428 · Datenschutzkontakt: hello@reisedrop.com.

Diese Erklärung beschreibt, wie wir Personendaten bei der Nutzung von Reisedrop.com bearbeiten: Reisesuche, Konto, Direktbuchungen, Preis-Alarme, Newsletter und Warteliste, Bewertungen, Community-Funktionen sowie unsere Assistenten Zazou und Lina. Welche Daten anfallen, hängt von der genutzten Funktion ab. Auf eigenständigen Partnerseiten gelten zusätzlich deren Datenschutzhinweise.

2. Welche Daten wir bearbeiten und woher sie stammen

Konto und Kontakt: Name, E-Mail-Adresse, Kontoeinstellungen, bei Passwort-Anmeldung ein Passwort-Hash (bcrypt). Bei Google-Login erhalten wir Name, E-Mail-Adresse und Profilbild.

Reise und Buchung: Suchziele, Reisedaten, Anzahl und Alter der Reisenden, Favoriten, Preis-Alarme, Buchungsreferenzen sowie Angaben zu den Reisenden (Name laut Reisedokument, Geburtsdatum, Anrede, Kontaktdaten, Wohnsitzland). Staatsangehörigkeit und Dokumentdaten nur, wenn sie für die konkrete Buchung nötig sind.

Zahlung: Betrag, Währung, Zahlungsstatus und Transaktionsreferenzen. Vollständige Kartendaten verarbeitet nur Stripe.

Nutzung und Technik: IP-Adresse, Zeitpunkt, aufgerufene Seiten, Browser- und Geräteinformationen, Suchanfragen und Einstellungen; mit deiner Einwilligung zusätzlich Statistikdaten (Ziff. 6).

Kommunikation und KI: Chat-Eingaben und Antworten von Zazou und Lina, Support-Tickets, E-Mails und Formulare.

Quellen: von dir; beim technischen Aufruf der Website; von Google bei Google-Login; von Reise- und Zahlungsdiensten zum Buchungs- und Zahlungsstatus. Daten von Mitreisenden erhalten wir von der buchenden Person. Bitte informiere Mitreisende über diese Erklärung.

3. Zwecke und Rechtsgrundlagen

Wir bearbeiten Personendaten nach dem Schweizer Datenschutzgesetz (DSG), insbesondere transparent, zweckgebunden und verhältnismässig. Soweit die DSGVO anwendbar ist (z. B. bei Nutzerinnen und Nutzern in der EU), gelten folgende Grundlagen:

Websitebetrieb und IT-Sicherheit (Zugriffs- und Protokolldaten): Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren Angebot und an der Missbrauchsabwehr.

Suche, Konto, Buchung, Support und gewünschte Beratung durch Zazou/Lina: Art. 6 Abs. 1 lit. b (Vertrag bzw. vorvertragliche Massnahmen), sonst lit. f.

Bestellte Preis-Alarme und Erinnerungen: Art. 6 Abs. 1 lit. b. Werbung darüber hinaus nur mit eigener Grundlage.

Newsletter und Warteliste: Art. 6 Abs. 1 lit. a – deine Einwilligung. Sie ist keine Voraussetzung für eine Buchung.

Statistik (Google Analytics) und Reise-Gedächtnis von Zazou: Art. 6 Abs. 1 lit. a – deine Einwilligung.

Buchhaltung und gesetzliche Aufbewahrung: Art. 6 Abs. 1 lit. c.

Durchsetzung und Abwehr von Ansprüchen, Betrugsprävention bei Zahlungen: Art. 6 Abs. 1 lit. f.

Pflichtfelder sind im Formular gekennzeichnet. Ohne die nötigen Reise- und Zahlungsangaben ist eine Buchung nicht möglich. Wenn du Statistik oder Newsletter ablehnst, kannst du trotzdem buchen.

4. Newsletter, Warteliste und Servicenachrichten

Für Newsletter und Warteliste brauchen wir nur deine E-Mail-Adresse (optional Sprache, Markt und Interessen). Nach der Anmeldung erhältst du eine Bestätigungsmail. Erst wenn du den Link darin anklickst (Double-Opt-in), tragen wir dich ein. Wir speichern Zeitpunkt der Anmeldung und Bestätigung sowie die IP-Adresse als Nachweis. Unbestätigte Anmeldungen löschen wir nach 7 Tagen.

Versand: Resend, Inc. (USA). Profil- und Versandverwaltung: Klaviyo, Inc. (USA). Wir werten aus, ob Mails zugestellt, geöffnet oder angeklickt wurden, um den Newsletter zu verbessern. Abmelden kannst du dich jederzeit über den Link in jeder Mail oder per E-Mail an hello@reisedrop.com.

Buchungs-, Zahlungs-, Sicherheits- und bestellte Alarm-Nachrichten erhältst du unabhängig von einer Newsletter-Einwilligung.

5. Cookies und lokale Speicherung

Notwendig: ein Sitzungs-Cookie für die Anmeldung (bis zur Abmeldung, höchstens 7 Tage) und die Speicherung deiner Cookie-Wahl (12 Monate).

Funktionen, die du selbst nutzt, speichern Daten im lokalen Speicher deines Browsers: Sprache, Währung, Markt, deine Zazou-Unterhaltungen und Reiseauswahl, zuletzt angesehene Ziele und das Ergebnis des Reisetyp-Quiz. Diese Daten bleiben auf deinem Gerät, bis du sie löschst. Wir werten sie nicht für Werbung aus.

Optional: Statistik-Cookies von Google Analytics (z. B. _ga, bis 14 Monate) setzen wir nur nach deiner Einwilligung.

Deine Wahl änderst du jederzeit über «Cookie-Einstellungen» im Footer. Mit «Ablehnen» widerrufst du eine erteilte Einwilligung für die Zukunft. Du kannst Browserdaten auch selbst löschen; dabei können Einstellungen und Anmeldungen verloren gehen.

6. Google Tag Manager und Google Analytics 4

Für Statistik nutzen wir Google Analytics 4 über den Google Tag Manager. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Die Google-Skripte werden erst geladen, nachdem du im Banner «Akzeptieren» gewählt hast. Lehnst du ab, senden wir keine Statistik an Google. Wir nutzen den Consent Mode von Google: Die Freigaben für Werbung (ad_storage, ad_user_data, ad_personalization) bleiben immer verweigert. Wir verwenden die Daten weder für Werbung noch für Remarketing.

Bei der Messung werden Seitenaufrufe, Interaktionen, Geräte- und Browserinformationen, ungefährer Standort und Online-Kennungen verarbeitet. Google Analytics 4 speichert keine vollständigen IP-Adressen. Die Daten können trotzdem personenbezogen sein. Aufbewahrung bei Google: 14 Monate. Eine Verarbeitung in den USA ist möglich (Ziff. 13). Datenschutzhinweise: policies.google.com/privacy.

7. Direktbuchungen und Mitreisende

Hotels: Die nötigen Buchungsdaten (Namen der Gäste, Kontakt, Wohnsitzland, Aufenthalt, Sonderwünsche) gehen an den Hotelgrossisten Emerging Travel Inc. (RateHawk, USA) und an das Hotel. Beide sind dafür eigenständig verantwortlich.

Flüge: Die Passagier- und Buchungsdaten gehen an Duffel Technology Ltd. (Vereinigtes Königreich) und über Duffel an die Fluggesellschaft. Fluggesellschaften können gesetzlich verpflichtet sein, Passagierdaten (API/PNR) an Grenz- und Sicherheitsbehörden zu übermitteln.

Ohne diese Übermittlungen ist die Buchung nicht möglich. Unsere Anfragen an die Reisepartner laufen über ein eigenes API-Gateway bei einem Hosting-Partner in Genf (Schweiz).

Besonders schützenswerte Daten (z. B. Gesundheitsangaben für eine Assistenz) gib bitte nur an, wenn sie für die Reise nötig sind. Wir verwenden sie nur dafür und geben sie nur an den betroffenen Anbieter weiter; wo erforderlich, holen wir vorher deine ausdrückliche Einwilligung ein.

8. Kreuzfahrten über CRUISEHOST und Finest Reisen

Für Kreuzfahrten nutzen wir die Buchungsdatenbank der CRUISEHOST Solutions UG (haftungsbeschränkt), Schwalbacher Strasse 48, 65760 Eschborn, Deutschland. Die Buchung wickelt der Kreuzfahrt-Grosshändler Finest Reisen Windsbach GmbH, Heinrich-Brandt-Str. 25, 91575 Windsbach, Deutschland, mit der Reederei ab. Dafür werden Namen, Geburtsdaten, wo nötig Staatsangehörigkeit, Kontaktdaten, Reise-, Kabinen- und Preisangaben und der Buchungsstatus erfasst und an die Reederei weitergegeben.

Rollen: Laut Vertrag arbeitet CRUISEHOST nicht als unser Auftragsbearbeiter. CRUISEHOST verwendet die Buchungsdaten auch für eigene Zwecke und ist dafür selbst verantwortlich: Abwicklung und Verwaltung der Buchung, gesetzliche Aufbewahrungspflichten, eigene Pflichten gegenüber Reedereien und die Verbesserung der eigenen Kreuzfahrtdatenbank. Finest Reisen und die Reederei sind für ihre Bearbeitung ebenfalls eigenständig verantwortlich.

Grundlage ist bei uns die Vertragsabwicklung (Art. 6 Abs. 1 lit. b DSGVO). Für die Datenbankverbesserung durch CRUISEHOST gilt dessen berechtigtes Interesse; dem kannst du widersprechen. Deine Rechte kannst du bei uns geltend machen, wir leiten sie weiter. Speicherdauer und Details regeln die Hinweise von CRUISEHOST (cruisehost.net) und der Reederei.

9. Zahlungen mit Stripe

Direktzahlungen laufen über Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe erhält die Zahlungsdaten direkt und verarbeitet sie für Zahlung, Betrugsprävention und gesetzliche Pflichten eigenverantwortlich. Wir erhalten Zahlungsstatus und Transaktionsangaben für Zuordnung, Erstattung und Buchhaltung. Eine Verarbeitung in den USA ist möglich (Ziff. 13). Hinweise: stripe.com/privacy.

10. Partnerlinks und Affiliate

Partnerlinks führen zu Anbietern wie Viator, Tiqets, Klook, GetTransfer, DiscoverCars, Aviasales, Ticketmaster und Eventim. Die Zuordnung läuft über Travelpayouts (tp.media), Awin, Impact oder direkte Partnerprogramme. Beim Klick erfahren diese Dienste, von welcher Partnerseite und zu welchem Angebot du kommst, sowie technische Daten wie IP-Adresse und Browser. Sie setzen dafür eigene Cookies auf der Partnerseite. Ein Klick auf einen Partnerlink ist keine Einwilligung in unser eigenes Tracking. Auf der Partnerseite gilt dessen Datenschutzerklärung.

11. Zazou, Lina und KI-Dienste

Zazou (Reiseberater) und Lina (Support) verarbeiten deine Eingaben und den bisherigen Gesprächsverlauf, um zu antworten und Angebote vorzuschlagen. Dazu senden wir Text an KI-Dienste. Zazou: Claude von Anthropic PBC (USA). Lina: GPT von OpenAI, L.L.C. (USA). Für Spracheingabe und Vorlesen: OpenAI Whisper und OpenAI TTS (USA). Für Bilder im Foto-Detektiv: Google Gemini (Google LLC, USA). Die Anfragen laufen über den Integrationsdienst unseres Hosting-Anbieters (USA) als Auftragsbearbeiter.

Mitgesendet werden: deine Nachricht, der Gesprächsverlauf der Sitzung, die von dir genannten Reisedaten (Ziel, Daten, Anzahl und Alter der Reisenden) und gefundene Angebote. Bei Lina zusätzlich, wenn du angemeldet bist, dein Vorname, deine E-Mail-Adresse und die Eckdaten deiner letzten Buchungen, damit sie Fragen dazu beantworten kann. Zahlungsdaten werden nie gesendet. Bitte gib keine Gesundheits-, Ausweis- oder Kartendaten in den Chat ein.

Wir verwenden Chats nicht zum Training eigener KI-Modelle. Die KI-Anbieter verwenden die über ihre Geschäftsschnittstellen (API) gesendeten Daten nach ihren Geschäftsbedingungen nicht zum Training und speichern sie nur befristet zur Missbrauchsüberwachung (in der Regel bis 30 Tage).

Übergabe an Lina: Nur mit deiner Einwilligung übergibt Zazou dein Anliegen, eine kurze Zusammenfassung deiner letzten Nachrichten und deine Reisedaten an Lina. Mit «An Support-Team senden» wird der Chatverlauf als Ticket an unser Team gesendet.

Reise-Gedächtnis: Bist du angemeldet und willigst du ein, merkt sich Zazou Vorlieben wie Abflughafen, Sterne, Verpflegung, Reisegruppe und Interessen. Du kannst sie unter «Was Zazou sich merkt» ansehen, ändern und löschen und die Einwilligung jederzeit widerrufen.

Personalisierung: Quiz, Reise-Gedächtnis und Suchverlauf dienen nur dazu, dir passende Vorschläge zu zeigen. Wir erstellen keine Werbeprofile. Ausschliesslich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung treffen wir nicht. Automatische Prüfungen bei Zahlung und Missbrauch, z. B. die Betrugsprüfung von Stripe oder Rate-Limits, können eine Zahlung oder Anfrage vorübergehend blockieren. In diesem Fall prüft auf Wunsch ein Mensch.

12. Karten, Wetter, Veranstaltungen, Standort und Anmeldung

Karten: Kartenkacheln laden wir von OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich). Dein Browser übermittelt dabei IP-Adresse und Kartenausschnitt. Für Ortssuche und einzelne Karten nutzen wir Google Maps (Google). Eingebettete Google-Karten und YouTube-Videos laden erst, wenn du sie anklickst.

Wetter und Events: Wetterdaten (Open-Meteo, Schweiz) und Veranstaltungen (Ticketmaster Discovery API, USA) rufen wir über unseren Server ab. Dabei geben wir nur Ort und Reisedaten weiter, nicht deine IP-Adresse.

Standort: «Standort nutzen» fragt deinen Browser um Erlaubnis. Wir verwenden den Standort einmalig, um den nächsten Flughafen zu finden, und speichern ihn nicht.

Google-Login ist freiwillig; Google erfährt dabei von der Anmeldung bei Reisedrop.

13. Empfänger, Hosting und Auslandsübermittlungen

Webanwendung, Datenbank und Backups betreiben wir über unseren Hosting-Anbieter (USA) in Rechenzentren der Google Cloud in den USA (Auftragsbearbeitung). Das API-Gateway in Genf bedeutet nicht, dass alle Daten in der Schweiz liegen.

Weitere Auftragsbearbeiter: Resend, Inc. (E-Mail-Versand, USA), Klaviyo, Inc. (Newsletter-Verwaltung, USA), Google (Analytics, Irland/USA). Eigenständig verantwortlich sind Reiseanbieter (RateHawk/Emerging Travel Inc., USA; Hotels weltweit; Duffel, Vereinigtes Königreich; Fluggesellschaften weltweit; CRUISEHOST und Finest Reisen, Deutschland; Reedereien), Stripe (Irland/USA), Anthropic und OpenAI (USA) im Rahmen ihrer gesetzlichen Pflichten sowie Partnerseiten.

Ins Ausland übermitteln wir Daten nur, wenn das Gesetz es erlaubt: in Länder mit angemessenem Datenschutz (z. B. EU/EWR, Vereinigtes Königreich); in die USA an Unternehmen, die unter dem Swiss-U.S. Data Privacy Framework zertifiziert sind, sonst gestützt auf die Standardvertragsklauseln der EU-Kommission mit den Schweizer Anpassungen. Übermittlungen an Hotels und Fluggesellschaften ausserhalb dieser Länder sind für die gebuchte Reise nötig (Art. 17 Abs. 1 lit. b DSG, Art. 49 Abs. 1 lit. b DSGVO). Eine Kopie der Garantien bekommst du auf Anfrage.

14. Wie lange wir Daten aufbewahren

Wir speichern Daten nur so lange, wie es der Zweck erfordert, und löschen oder anonymisieren sie danach, ausser eine gesetzliche Pflicht oder ein konkreter Rechtsfall steht entgegen.

Buchungs- und Rechnungsbelege: 10 Jahre nach Ende des Geschäftsjahres (Art. 958f OR), nur soweit sie Buchhaltungsunterlagen sind.

Konto, Favoriten, Preis-Alarme: bis zur Löschung des Kontos. Inaktive Konten (3 Jahre ohne Anmeldung) löschen wir nach Vorwarnung per E-Mail 30 Tage vorher.

Zazou-Unterhaltungen: 180 Tage nach der letzten Nachricht automatisch. Lina-Chats ohne Ticket: 180 Tage.

Support-Tickets: 2 Jahre nach Abschluss, ausser sie betreffen eine Buchung mit längerer Aufbewahrungspflicht.

Newsletter und Warteliste: bis zur Abmeldung bzw. bis zum Ende der Warteliste; danach bewahren wir nur den Einwilligungsnachweis bis 3 Jahre und eine Sperrliste der Abgemeldeten auf. Unbestätigte Anmeldungen: 7 Tage.

Server- und Sicherheitsprotokolle: höchstens 90 Tage, Fehlerprotokolle 30 Tage. Länger nur bei einem dokumentierten Sicherheitsvorfall.

Statistik bei Google: 14 Monate. Backups: Wir sichern die Datenbank täglich verschlüsselt (lokal die letzten 3 Stände, zusätzlich unveränderliche Kopien in einer Objektablage und bei Swiss Backup in der Schweiz). Gelöschte Daten können bis zum Ablauf dieser Sicherungen darin verbleiben; sie sind geschützt, werden nicht anders verwendet und nach einer Wiederherstellung erneut gelöscht.

Reiseanbieter und andere eigenständig Verantwortliche bewahren Daten nach ihren eigenen Pflichten auf. Eine Löschung bei uns löscht nicht automatisch bei ihnen. Wir leiten dein Begehren aber gerne weiter.

15. Deine Rechte

Du kannst Auskunft über deine Daten und die Berichtigung unrichtiger Daten verlangen. Unter den gesetzlichen Voraussetzungen kannst du auch die Löschung, die Einschränkung oder Unterlassung einer Bearbeitung und die Herausgabe oder Übertragung deiner Daten verlangen. Im Anwendungsbereich der DSGVO gelten die Art. 15–22.

Einwilligungen kannst du jederzeit für die Zukunft widerrufen. Bearbeitungen aufgrund berechtigter Interessen kannst du aus Gründen deiner besonderen Situation widersprechen, Direktwerbung jederzeit ohne Begründung.

So geht's: E-Mail an hello@reisedrop.com oder Brief an unsere Adresse. Cookies stellst du über «Cookie-Einstellungen» im Footer ein, das Zazou-Gedächtnis direkt in Zazou. Wir prüfen deine Identität nur soweit nötig.

Antwortfrist: Auskunft erteilen wir kostenlos innert 30 Tagen. Andere Begehren beantworten wir innert eines Monats. Eine gesetzlich zulässige Verlängerung teilen wir dir innert dieser Frist mit Begründung mit.

Aufsicht: In der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte zuständig (EDÖB, edoeb.admin.ch). In der EU kannst du dich bei der Aufsichtsbehörde an deinem Wohn- oder Arbeitsort oder am Ort des Verstosses beschweren.

16. Minderjährige und Familienbuchungen

Konto und Buchung sind für Erwachsene gedacht. Bei Familienreisen bearbeiten wir aber die nötigen Daten minderjähriger Mitreisender, vor allem Namen, Alter und Geburtsdatum, die wir von der buchenden Person erhalten. Wir verwenden sie nur für die gebuchte Reise und gesetzliche Pflichten, nicht für Werbung.

17. Datensicherheit

Wir schützen Daten mit angemessenen technischen und organisatorischen Massnahmen: TLS-Verschlüsselung, Passwort-Hashing (bcrypt), Zugriffsbeschränkungen nach dem Need-to-know-Prinzip, geschützte Admin-Zugänge, Rate-Limits gegen Missbrauch, verschlüsselte Backups und getrennte Zahlungsabwicklung über Stripe. Absolute Sicherheit kann niemand garantieren. Bei einer Verletzung der Datensicherheit mit hohem Risiko informieren wir den EDÖB und dich gemäss Gesetz.

18. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Bearbeitungen oder das Recht ändern. Es gilt die Fassung mit dem Datum oben. Über wesentliche Änderungen informieren wir angemessen. Ist dafür eine neue Einwilligung nötig, holen wir sie vorher ein. Übersetzungen dienen dem Verständnis; massgeblich ist die deutsche Fassung.