Datenschutzerklärung

1. Verantwortlicher

Fariborz Ghambari
Friedrich-Dürr-Straße 49/1, 74074 Heilbronn, Deutschland
E-Mail: info@shahantravel.com

Ein Datenschutzbeauftragter ist nicht bestellt (keine gesetzliche Pflicht, § 38 BDSG). Fragen zum Datenschutz bitte an die obige E-Mail.

2. Worum es geht

„Shahan Travel“ („Shahan Travel“, شاهان سفر) ist ein Reise-Assistent: Website shahantravel.com (shahantravel.de leitet dorthin weiter), Android-App „Shahan Travel“ bei Google Play (de.fariborzghambari.safar), Telegram-Bot und WhatsApp-Kanal. Er sucht Hotel- und Flugpreise, erinnert an Fristen, hilft unterwegs und teilt Kosten unter Mitreisenden. Er bucht nie und bewegt kein Geld für Reisen.

3. Welche Daten wir verarbeiten

• Konto: Name und E-Mail aus dem Google-Login; Telegram-ID und -Benutzername bei Anmeldung über Telegram; deine Telefonnummer, wenn du dich mit einem Code per WhatsApp anmeldest (zum Senden und Prüfen des Codes) oder sie in Telegram selbst teilst.
• Reisedaten, die du eingibst: Ziele, Daten, Personenzahl, Budget, Wünsche, Buchungen, Flug- und Zugdaten, Checklisten.
• Mitreisende: Namen, Geburtsdaten, Passnamen und Ablaufdaten von Reisedokumenten, die du einträgst — verschlüsselt gespeichert. Passnummern speichern wir nie.
• Notfallkarte (Gesundheitsdaten): medizinische Angaben, die du freiwillig einträgst (z. B. Allergien, Medikamente). Das sind besondere Kategorien von Daten nach Art. 9 DSGVO. Sie werden verschlüsselt gespeichert, nur dir angezeigt und nur dann auf deinen eigenen Google-Wallet-Pass gesetzt, wenn du das selbst auslöst. Damit die Karte in der Sprache des Reiselands erscheint, übersetzt die KI (Vertex AI / Gemini, EU) deine Angaben beim Anzeigen; die Übersetzung wird nicht gespeichert.
• Kosten: Ausgaben, Belegfotos, Ausgleichszahlungen; deine IBAN bzw. dein PayPal-Name nur, wenn du sie für Rückzahlungen einträgst (IBAN verschlüsselt).
• Fotos, Notizen, Buchungsdateien, die du hochlädst.
• Standort: nur wenn du „mein Standort“ antippst oder dem Bot einen Standort schickst; wir speichern daraus nur den Ort (z. B. Heimatstadt), keine Bewegungsdaten.
• Nachrichten an den Assistenten (Text und Sprachnachrichten). Sprachnachrichten werden zur Umwandlung in Text verarbeitet, nicht als Audio gespeichert.
• Google Wallet: die Inhalte eines Passes (z. B. Reise, Flug, Notfallkarte) — nur wenn du „Zu Google Wallet hinzufügen“ antippst.
• Push-Benachrichtigungen: die Push-Adresse deines Browsers bzw. Geräts — nur wenn du Benachrichtigungen erlaubst.
• Technische Daten: gekürzte IP-Adresse, Gerätetyp, Zeitpunkte, Fehlerprotokolle — für Betrieb und Sicherheit.
• Zahlungen: nur falls später kostenpflichtige Pläne eingeführt werden (der erste Monat ist dann kostenlos). Die Zahlung verarbeitet Stripe; wir sehen keine Kartendaten, nur Kundennummer und Status.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes, den du nutzt (Anmeldung, Suche, Erinnerungen, Kostenteilung, Reisetagebuch, Wallet-Pässe) — Art. 6 Abs. 1 lit. b DSGVO.
• Benachrichtigungen per Telegram, WhatsApp oder Push — deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar.
• Notfallkarte (Gesundheitsdaten) — deine ausdrückliche Einwilligung, Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO. Mit dem Speichern der Karte willigst du ein; du widerrufst jederzeit, indem du die Karte löschst.
• Sicherheit, Missbrauchsschutz, Fehlersuche, Kostenkontrolle — berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO.
• Aufbewahrung von Rechnungs- und Buchungsbelegen, falls es bezahlte Pläne gibt — gesetzliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO (§ 147 AO, § 257 HGB).

Keine Werbung, kein Verkauf und keine Weitergabe von Daten zu Werbezwecken.

5. Empfänger und Auftragsverarbeiter

• Google Cloud (Google Cloud EMEA Ltd., Irland): Server (Cloud Run, Belgien), Datenbank (Firestore, Frankfurt), KI (Vertex AI / Gemini, Region europe-west1, Belgien), Google Maps Platform (Orte, Routen). Für die Preisrecherche nutzt Gemini die Google-Suche (Grounding with Google Search); dabei werden Suchbegriffe wie Ziel, Reisedaten und Personenzahl an Google übermittelt. Vertrag zur Auftragsverarbeitung (Cloud Data Processing Addendum).
• Google Wallet — nur wenn du einen Pass hinzufügst; die Inhalte des Passes gehen an Google.
• Push-Dienst deines Browsers bzw. Betriebssystems (z. B. Google) — nur wenn du Benachrichtigungen erlaubst; er erhält die Push-Adresse und den Text der Benachrichtigung.
• Google Play — Installation und Updates der Android-App, nach den Bedingungen von Google.
• Telegram — nur wenn du den Bot nutzt oder dich über Telegram anmeldest.
• Meta Platforms Ireland (WhatsApp Business Cloud API, unsere WhatsApp-Business-Nummer) — wenn du dich mit einem WhatsApp-Code anmeldest oder WhatsApp für Nachrichten nutzt; Meta erhält deine Telefonnummer und die Nachrichten.
• Stripe Payments Europe (Irland) — nur falls später kostenpflichtige Pläne eingeführt werden.
• Flugpreis- und Flugstatus-Dienste — Duffel (Duffel Technology Ltd., Vereinigtes Königreich; Live-Preise nur in bezahlten Plänen), Travelpayouts / Aviasales (gespeicherte Preise) und Air France-KLM Open Data (Preise und Flugstatus): wir senden nur Flughäfen, Reisedaten, Reiseklasse, Zahl und Alter der Mitreisenden bzw. Flugnummer und Datum — keine Namen, keine Kontaktdaten. Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU.
• Öffentliche Datenquellen ohne Personenbezug (Wechselkurse der EZB, Wetter, Fahrpläne, Tankstellenpreise): wir senden nur Orte oder Strecken, keine Namen.

6. Übermittlung in Drittländer

Google, Meta und (bei bezahlten Plänen) Stripe können Daten auch in den USA verarbeiten. Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (die Unternehmen sind zertifiziert) bzw. EU-Standardvertragsklauseln (Art. 46 DSGVO). Telegram verarbeitet Daten nach eigenen Bedingungen auch außerhalb der EU; nutze den Bot nur, wenn du einverstanden bist.

7. Speicherdauer

• Konto und Reisedaten: solange dein Konto besteht.
• Notfallkarte: bis du sie löschst oder dein Konto löschst.
• Nach „Konto löschen“: sofort gesperrt, endgültig gelöscht nach 30 Tagen (bis dahin durch erneute Anmeldung wiederherstellbar).
• Fehlerprotokolle 30 Tage · Chatverlauf 90 Tage · Suchverlauf 180 Tage · Sicherheitsprotokoll 12 Monate.
• Sicherungskopien der Datenbank: tägliche Sicherung 14 Tage, Wiederherstellungspunkte 7 Tage.
• Rechnungs- und Buchungsbelege bei bezahlten Plänen: gesetzliche Aufbewahrungsfristen (derzeit 8 bzw. 10 Jahre, § 147 AO, § 257 HGB).

8. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Einwilligungen kannst du jederzeit widerrufen (Art. 7 Abs. 3). In der App: Einstellungen → „Meine Daten“ → herunterladen oder Konto löschen.

Beschwerde bei einer Aufsichtsbehörde (Art. 77), z. B. beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

9. Pflicht zur Angabe, automatisierte Entscheidungen

Nur die Anmeldung ist nötig; alle anderen Angaben sind freiwillig — ohne sie sind manche Funktionen eingeschränkt. Die KI macht Vorschläge (Hotels, Checklisten, Texte); es gibt keine automatisierte Entscheidung mit rechtlicher Wirkung nach Art. 22 DSGVO.

10. Sicherheit

Verschlüsselte Verbindung (TLS), Server in der EU, Passdaten, Notfallkarte und IBAN zusätzlich feldweise verschlüsselt, Zugriff nur für dich und die Mitreisenden, die du einlädst (die Notfallkarte nur für dich). Dateien werden beim Abmelden aus dem Gerätespeicher entfernt.

11. Cookies und Gerätespeicher

Ein technisch notwendiges Anmelde-Cookie und lokaler Speicher im Browser bzw. in der Android-App für Anmeldung und Offline-Nutzung (§ 25 Abs. 2 Nr. 2 TDDDG). Keine Tracking- oder Werbe-Cookies.

12. Mindestalter und Kinder

Die Nutzung ist erst ab 18 Jahren erlaubt. Daten von Kindern (z. B. Alter für Kinderbetten) tragen Eltern selbst ein.

13. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst ändert. Stand: 20.10.2026.

Siehe auch: Nutzungsbedingungen (AGB) · Impressum