Datenschutzerklärung

Stand: 17. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:

Denise Laureen Kindel
StadtPilot
Christinestraße 11
46145 Oberhausen
Deutschland
Telefon: +49 176 31525145
E-Mail: info@stadtpilot.com

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt. Für Anliegen zum Datenschutz wenden Sie sich bitte direkt an die oben genannten Kontaktdaten.

2. Übersicht und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten, soweit das für den Betrieb der Website, die Anbahnung und Durchführung von Transferbuchungen, die Partnervermittlung und die Beantwortung von Anfragen erforderlich ist. Rechtsgrundlagen der DSGVO sind insbesondere:

• Art. 6 Abs. 1 lit. b DSGVO — Vertrag oder vorvertragliche Maßnahmen (Buchung, Partnerkonto, Kontakt zur Vertragsanbahnung)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Betrieb und Sicherheit der Website, Missbrauchsabwehr, interne Organisation)
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Pflicht (insbesondere handels- und steuerrechtliche Aufbewahrung)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, soweit wir optionale Statistik einsetzen; derzeit geschieht das nicht

Der Einsatz von Cookies und ähnlichen Techniken auf dem Endgerät richtet sich zusätzlich nach § 25 TDDDG. Technisch notwendige Speicherung erfolgt ohne Einwilligung (§ 25 Abs. 2 TDDDG). Nicht notwendige Speicherung nur mit Einwilligung.

3. Hosting und Server-Logfiles

Die Website und die Buchungsschnittstelle werden auf einem Webserver bereitgestellt. Bei jedem Aufruf können der Webserver und das PHP-Backend technische Protokolldaten erfassen, insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte Datei bzw. Schnittstelle, HTTP-Status, übertragene Datenmenge, Referrer und User-Agent. Die Verarbeitung dient dem Betrieb, der Stabilität und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Logfiles werden gelöscht, sobald sie dafür nicht mehr erforderlich sind, in der Regel nach wenigen Tagen, soweit keine Sicherheitsvorfälle eine längere Aufbewahrung verlangen.

4. Cookies und lokale Speicherung

Wir setzen folgende technisch notwendige Speicherung ein:

• Cookie __Host-stadtpilot-locale — gewählte Sprache, Laufzeit 1 Jahr, Secure, SameSite=Lax
• Cookie __Host-stadtpilot-region — gewählte Region, Laufzeit 1 Jahr, Secure, SameSite=Lax
• localStorage stadtpilot-consent — Ihre Cookie-Entscheidung
• sessionStorage stadtpilot:lastBooking — letzte Buchungsbestätigung nur für die aktuelle Browsersitzung, damit die Dankeseite angezeigt werden kann
• sessionStorage stadtpilot:bookingResume — angefangene Buchung (Strecke, Extras, Kontaktdaten), damit Sie nach einem Seitenwechsel weitermachen können. Bleibt in diesem Tab, höchstens 6 Stunden, und wird nach erfolgreicher Zahlung gelöscht. Keine Kartendaten.
• Cookie __Host-sp_partner — Anmeldesitzung im Partnerportal, Laufzeit 14 Tage, HttpOnly, Secure, SameSite=Lax; nur nach Login
• localStorage stadtpilot:driver-online — Anzeige, ob ein Partner im Portal als erreichbar markiert ist; nur auf dem Gerät des Partners

Eine Statistik-Kategorie kann in den Cookie-Einstellungen gewählt werden. Derzeit ist kein Analyse- oder Trackingdienst angeschlossen; die Auswahl wird nur lokal gespeichert und nicht an Dritte übermittelt. Sobald ein solches Werkzeug eingesetzt wird, ergänzen wir diese Erklärung und laden Skripte erst nach Einwilligung.

Schriftarten werden mit der Website ausgeliefert und nicht zur Laufzeit von Google geladen.

5. Ortssuche (Von / Nach)

Wenn Sie Abhol- oder Zielort eingeben, senden wir die Suchbegriffe an unsere Schnittstelle, damit Straßen, Bahnhöfe und Flughäfen vorgeschlagen werden. Je nach Konfiguration gilt:

Esri

Für die Vorschläge nutzen wir den World Geocoding Service von Esri (Esri Inc., 380 New York Street, Redlands, CA 92373, USA). Übermittelt werden Suchtext und Sprache, bei der Auswahl eines Treffers zusätzlich ein kurzlebiges Suchkennzeichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen zur Streckenermittlung) bzw. Art. 6 Abs. 1 lit. f DSGVO (funktionierende Adresssuche). Eine Übermittlung in die USA kann stattfinden. Esri ist unter dem EU-US Data Privacy Framework zertifiziert. Hinweise: esri.com/en-us/privacy/overview.

Google Places

Ist ein Google-Places-Schlüssel hinterlegt, gehen Anfragen an die Places API von Google. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Mutterkonzern Google LLC, USA. Es können Suchtext, Sprache, ein Sitzungstoken und bei der Detailabfrage eine Orts-ID übermittelt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen zur Streckenermittlung) bzw. Art. 6 Abs. 1 lit. f DSGVO (funktionierende Adresssuche). Eine Übermittlung in die USA kann stattfinden. Google ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend stützt Google Übermittlungen auf Standardvertragsklauseln. Hinweise: policies.google.com/privacy.

Photon / OpenStreetMap

Ist kein Esri-Treffer möglich und kein Google-Schlüssel hinterlegt, nutzen wir als Ausweichweg die Photon-API von Komoot (Komoot GmbH, Friedrich-Wilhelm-Boelcke-Straße 2, 14473 Potsdam) auf Basis von OpenStreetMap. Es werden Suchtext und Sprache übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Hinweise von Komoot und zu OpenStreetMap ergeben sich aus den jeweiligen Anbieterangaben.

Ausgewählte Orte (Name, Stadt, Koordinaten) werden in der Buchung gespeichert und können in der URL der Suchstrecke stehen.

6. Transferbuchungen

Für eine Buchung verarbeiten wir:

• Name, E-Mail-Adresse, Telefonnummer
• Abhol- und Zielort, Datum und Uhrzeit, ggf. Rückfahrt
• Personenanzahl, gewählte Extras, Flugnummer, optionale Hinweise
• Buchungscode, Sprache, Preis und Status

Zweck ist die Entgegennahme der Anfrage, die Vermittlung an selbstständige Partnerfahrer, die Durchführung des Transfers und die Kommunikation mit Ihnen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Steuerlich relevante Unterlagen bewahren wir nach Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO und § 257 HGB auf (in der Regel sechs bzw. zehn Jahre).

Nach Eingang einer Buchung benachrichtigen wir per E-Mail Sie und passende Partner in den betroffenen Städten. Nimmt ein Partner die Fahrt an, erhält er die für die Durchführung erforderlichen Angaben, einschließlich Kontakt- und Streckendaten. Die Partner handeln als selbstständige Auftragnehmer; die Weitergabe erfolgt, soweit für den Vertrag erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

Über „Meine Buchung“ können Sie mit Buchungscode und E-Mail den Status abfragen. Dabei gleichen wir die Angaben mit dem gespeicherten Datensatz ab.

7. Zahlungsangaben

Die Zahlung läuft über Stripe. Karten- und Kontodaten geben Sie im Stripe-Checkout ein. Sie gehen direkt an Stripe und werden nicht auf unseren Servern gespeichert. Stripe verarbeitet die Zahlung, damit wir den Transfer ausführen können (Art. 6 Abs. 1 lit. b DSGVO). Nimmt kein Partner die Fahrt an, erstatten wir den Betrag. Weitere Hinweise stehen in der Datenschutzerklärung von Stripe.

8. Kontaktformular und E-Mail

Wenn Sie uns über das Formular oder per E-Mail schreiben, verarbeiten wir Name, E-Mail-Adresse, Nachricht und Sprache, um zu antworten (Art. 6 Abs. 1 lit. b DSGVO bei Vertragsbezug, sonst Art. 6 Abs. 1 lit. f DSGVO). Anfragen löschen wir, wenn der Vorgang abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Transaktionsmails (Buchungsbestätigung, Partnerbenachrichtigung, Partnerregistrierung) versenden wir über einen SMTP-Dienst. Der jeweilige Maildienstleister verarbeitet Empfängeradresse und Inhalt der Nachricht im Auftrag, soweit das für den Versand nötig ist.

9. Partnerportal

Bei der Registrierung als Partner speichern wir Name, E-Mail, Telefon, Stadt, Passwort nur als Hash, Kennziffer und Sitzungsdaten. Zweck ist der Vertrag über die Vermittlung von Fahrten (Art. 6 Abs. 1 lit. b DSGVO). Partner sehen offene und eigene Fahrten, soweit das für die Annahme und Durchführung nötig ist. Konten und zugehörige Daten löschen wir auf Anfrage, soweit keine Aufbewahrungspflichten oder laufende Buchungen entgegenstehen.

10. Empfänger

Personenbezogene Daten erhalten außer uns nur:

• Hosting- und E-Mail-Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO)
• Google bzw. Komoot im Rahmen der Ortssuche, wie oben beschrieben
• Stripe für die Zahlungsabwicklung
• Partnerfahrer, soweit für die konkrete Fahrt erforderlich
• Behörden, soweit eine gesetzliche Pflicht besteht

Eine Übermittlung zu Werbezwecken an unbeteiligte Dritte findet nicht statt.

11. Speicherdauer

Wir speichern Daten nur so lange, wie es für die jeweiligen Zwecke nötig ist. Buchungs- und Geschäftsunterlagen folgen den gesetzlichen Fristen. Server-Logs siehe Abschnitt 3. Cookies und lokale Speicherung enden mit Ablauf, Löschung im Browser oder Widerruf der Cookie-Einstellung. Partner-Sitzungen enden nach 14 Tagen oder mit Abmeldung.

12. Pflicht zur Bereitstellung

Für eine Buchung oder ein Partnerkonto sind die als Pflichtfelder gekennzeichneten Angaben erforderlich. Ohne sie können wir den Vertrag nicht schließen oder die Fahrt nicht vermitteln. Die Nutzung der Website zu rein informatorischen Zwecken ist ohne Angabe weiterer Daten möglich, abgesehen von den technischen Serverdaten.

13. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

14. Sicherheit

Wir treffen technische und organisatorische Maßnahmen, um Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen. Die Übertragung erfolgt über HTTPS, soweit Ihr Browser das unterstützt. Passwörter von Partnern speichern wir nur gehasht.

15. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine Nachricht an info@stadtpilot.com.

Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Behörde Ihres gewöhnlichen Aufenthalts oder unseres Sitzes:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4
40213 Düsseldorf
www.ldi.nrw.de

16. Änderungen

Wir passen diese Erklärung an, wenn sich Verarbeitung, Dienste oder Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Anbieterkennzeichnung: siehe Impressum (Denise Laureen Kindel, Christinestraße 11, 46145 Oberhausen).