Audiotrails
Datenschutzerklärung
Stand: August 2026 Plattform: Audiotrails Verantwortlicher: watchyourhead UG (haftungsbeschränkt)
Diese Datenschutzerklärung informiert gemäß Art. 12–14 DSGVO über die Verarbeitung personenbezogener Daten bei Nutzung der browserbasierten Plattform Audiotrails. Rechtsgrundlagen für den Zugriff auf Endgeräte (Cookies, Local Storage u. Ä.) richten sich ergänzend nach § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz).
1. Verantwortlicher
watchyourhead UG (haftungsbeschränkt) Albrechtstr. 2A 65346 Eltville Deutschland Vertreten durch: Maximilian Illig
E-Mail Datenschutz: privacy@audiotrails.de
Impressum: siehe Impressum
Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist bei der aktuellen Unternehmensgröße nach § 38 BDSG und Art. 37 DSGVO nicht zu benennen (keine mindestens 20 Personen ständig mit automatisierter Datenverarbeitung befasst; keine Kerntätigkeit in umfangreicher systematischer Überwachung). Diese Einschätzung ist bei wesentlichem Wachstum des Teams erneut zu prüfen.
Zuständige Aufsichtsbehörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) Gustav-Stresemann-Ring 1 65189 Wiesbaden https://datenschutz.hessen.de
2. Rollen: Plattform und Anbieter/Veranstalter
2.1 Gemeinsame Verantwortlichkeit (Art. 26 DSGVO) — Wesentliches für Betroffene
Für die Verarbeitung von Gast- und Buchungsdaten im Zusammenhang mit der Vermittlung und Durchführung einer gebuchten Leistung sind die Plattform und der jeweilige Anbieter/Veranstalter gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO.
Wesentliches der Vereinbarung (Art. 26 Abs. 2 S. 2 DSGVO):
| Punkt | Inhalt |
|---|---|
| Gemeinsam Verantwortliche | watchyourhead UG (haftungsbeschränkt) und der im Buchungsprozess / Angebot genannte Anbieter |
| Gemeinsame Zwecke | Buchung, Zahlung, Leistungserbringung, Belege, Support/Storno |
| Wesentliche Mittel | Erhebung im Checkout der Plattform; Speicherung; Weitergabe an den Anbieter |
| Anlaufstelle für Betroffenenrechte | privacy@audiotrails.de bzw. kontakt@audiotrails.de; Weiterleitung an den Anbieter, soweit dessen Bereich betroffen ist |
| Speicherdauer | gesetzliche Aufbewahrung bzw. bis Zweckfortfall (siehe Abschnitt Speicherdauer) |
Die vollständige Vereinbarung zwischen Plattform und Anbieter liegt unter docs/legal/art26-gemeinsame-verantwortlichkeit.md (Partnervertrag Ziffer 10).
2.2 Getrennte Verantwortlichkeit
Die Plattform ist allein Verantwortliche für den technischen Betrieb der Plattform, eigene Produktanalyse und ihre Subprozessoren (Statusliste docs/legal/avv-status.md). Der Anbieter ist allein Verantwortlicher für Verarbeitungen außerhalb der Plattform (z. B. eigenes Marketing).
3. Kategorien personenbezogener Daten
Je nach Nutzung verarbeiten wir insbesondere:
| Kategorie | Beispiele | Erhebung |
|---|---|---|
| Buchungsdaten | Name, E-Mail, Teilnehmerzahl, optionale Notizen, Buchungsstatus, Termin | Direkt (Gast) |
| Zahlungsreferenzen | Zahlungsreferenzen, Betrag, Währung — keine vollständigen Kartendaten auf unseren Servern | Direkt / über Zahlungsdienstleister |
| Standortdaten | Standortdaten zur Steuerung der Audio-Wiedergabe; ggf. ausgedünnte Bewegungsspur und gerundete Auswertungskoordinaten | Direkt (Gerät) |
| Nutzungs-/Sessiondaten | Anonyme Session-Kennungen, Tour-Fortschritt, Player-Präferenzen | Direkt (Gerät/Server) |
| Kontodaten (Partnerbereich) | E-Mail, Rolle, Session | Direkt (Einladung, kein öffentliches Self-Signup) |
| Partner-/Mandantendaten | Firmenname, Branding, Kontakt, Zahlungskonto-Referenz, ggf. Hilfetelefon | Direkt (Partner) |
| Voice-/Stimmproben | Audio-Samples zur Stimmenklonierung | Direkt (Partner) |
| Technisch | IP-Adresse, Browser-/Geräteinformationen (soweit für Betrieb/Sicherheit anfallend) | Automatisch |
4. Zwecke und Rechtsgrundlagen (Überblick)
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung GPS-geführter Audio-Erlebnisse | Art. 6 Abs. 1 lit. b DSGVO (Vertrag/vorvertraglich) bzw. lit. f (berechtigtes Interesse am technisch funktionsfähigen Player) |
| Buchung, Zahlung, Bestätigungsmail | Art. 6 Abs. 1 lit. b DSGVO |
| Routenspur / Tour-Zusammenfassung / aggregierte Auswertung für Anbieter | Art. 6 Abs. 1 lit. b / lit. f DSGVO |
| Authentifizierung TMS (Magic Link) | Art. 6 Abs. 1 lit. b / lit. f DSGVO |
| Betriebssicherheit, Rate-Limiting, Fehleranalyse | Art. 6 Abs. 1 lit. f DSGVO |
| Mapbox-Kartenkacheln | § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung vor Laden) |
| Steuerliche Aufbewahrung von Buchungsunterlagen | Art. 6 Abs. 1 lit. c DSGVO i. V. m. handels-/steuerrechtlichen Pflichten |
| Voice-Cloning für Partnerstimmen | Art. 6 Abs. 1 lit. b / lit. f DSGVO; soweit erforderlich zusätzlich Einwilligung der Stimmgeber:innen (Art. 6 Abs. 1 lit. a / Art. 9 Abs. 2 lit. a DSGVO) |
5. Speicherdauer (Überblick)
| Daten | Speicherdauer (laut Code/Doku) |
|---|---|
| Buchungs-Drafts (unbezahlt) | typ. 24 Stunden, danach automatische Stornierung |
| Bestätigte Buchungen | bis zu 10 Jahre (handels- und steuerrechtliche Aufbewahrungspflichten) |
GPS-Routenspuren (tour_session_points) | typ. 90 Tage, danach Löschung |
| Analytics-Ereignisse (gerundete Koordinaten) | solange für aggregierte Auswertung benötigt, danach Löschung oder Anonymisierung (typischerweise innerhalb von 24 Monaten) |
| Player Local Storage / IndexedDB-Audio-Cache | lokal auf dem Gerät; Cache begrenzt (u. a. LRU, ≤ ca. 200 MB) |
| Auth-Sessions | bis Logout / Ablauf der Supabase-Session |
| Temporäre Voice-Samples in R2 | nach Upload an ElevenLabs Löschung der Temp-Objekte |
6. Cookies, Local Storage und vergleichbare Techniken (§ 25 TDDDG)
Wir setzen keine Marketing-/Tracking-Cookies Dritter ein (kein Google Analytics, PostHog, Meta-Pixel o. Ä. im Code).
6.1 Technisch notwendige Speicherung (§ 25 Abs. 2 Nr. 2 TDDDG)
Ohne Einwilligung, soweit unbedingt erforderlich für den ausdrücklich gewünschten Dienst:
- Supabase-Auth-Session-Cookies (TMS/Admin-Login)
- Local Storage für Player-Session/Fortschritt, Sprachwahl, GPS-/UX-Präferenzen, PWA-Hinweise (
geo-audio:player:*,geo-audio:pwa-*u. a.) - Hinweis-Flag
geo-audio:consent:essential:v1(Information über technisch notwendige Speicherung) - IndexedDB-Audio-Cache für Offline-/Performance
- Service-Worker-/Cache-Storage (PWA, Serwist)
6.2 Einwilligungspflichtig
- Mapbox: Kartenkacheln werden erst nach Einwilligung geladen (
geo-audio:mapbox-consent). Rechtsgrundlage: § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO. Widerruf durch Löschen des Local-Storage-Eintrags bzw. Browserdaten möglich.
7. Standortdaten (Kernfunktion)
Für die GPS-geführte Audio-Wiedergabe verarbeiten wir Standortdaten Ihres Geräts (mit Ihrer Browser-Freigabe), um zu erkennen, wann Sie eine Station bzw. Zone erreichen.
- Ohne Standortfreigabe ist die Kernfunktion eingeschränkt; ein Demo-/Vorschau-Modus kann möglich sein.
- Während einer Tour kann eine ausgedünnte Bewegungsspur mit anonymer Session-Kennung gespeichert werden (nicht an ein Gast-Login gebunden).
- Für Auswertungen können Koordinaten zusätzlich gerundet werden.
- Gerundete Ortsangaben können an Wetter- und Geodaten-Dienste sowie an KI-Dienste zur inhaltlichen Kontextanreicherung übermittelt werden (siehe Abschnitt 8).
Rechtsgrundlage für die standortbezogene Kernfunktion ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. lit. f DSGVO (berechtigtes Interesse am funktionsfähigen GPS-Player); die Browser-Permission ist technisch erforderlich.
8. Empfänger / Auftragsverarbeiter
Für Drittlandübermittlungen stützen wir uns — soweit anwendbar — auf Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework (DPF) und/oder Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO. AV-Verträge sowie SCC-/DPF-Status werden je Empfänger dokumentiert und aktuell gehalten.
8.1 Hosting-/Infrastrukturdienstleister (Datenbank, Serverbetrieb)
- Zweck: Betrieb der Plattform, Speicherung von Touren, Buchungen, Konten und standortbezogenen Sessiondaten
- Daten: Buchungsdaten, Session-/Standortdaten, Konten, Partnerdaten; Request-Metadaten (u. a. IP, User-Agent)
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b / lit. f DSGVO; AV Art. 28 DSGVO
- Ort: EU (ggf. Mutterkonzern / unterstützende Infrastruktur in Drittländern — SCC/DPF)
8.2 Zahlungsdienstleister
- Zweck: Zahlungsabwicklung, Auszahlung an Anbieter, Erstattungen
- Daten: Name/E-Mail (soweit übergeben), Zahlungsdaten beim Zahlungsdienstleister, Zahlungsreferenzen
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
- Ort: EU / ggf. Drittland — SCC
- Hinweis: Vollständige Kartendaten werden beim Zahlungsdienstleister verarbeitet, nicht auf unseren Servern gespeichert.
8.3 E-Mail-Versanddienstleister (Transaktionsmails)
- Zweck: Buchungsbestätigung, Login-/Einladungsmails
- Daten: E-Mail-Adresse, Name, Buchungs-/Einladungsinhalte
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b / lit. f DSGVO
- Ort: Drittland — SCC
8.4 Objekt-Storage/CDN für Audio- und Mediendateien
- Zweck: Speicherung und Auslieferung von Audio- und Partner-Medien
- Daten: Audio-/Mediendateien; temporär Stimmproben; ggf. indirekt personenbezogene Inhalte
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b / lit. f DSGVO
- Ort: EU
8.5 KI-Dienstleister für Sprachsynthese/Stimmerzeugung
- Zweck: Text-to-Speech und optionale Stimmenklonierung für Partnerstimmen
- Daten: Textinhalte; Voice-Sample-Audio; Stimmprofil-Referenzen
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b / lit. f DSGVO; soweit Art. 9 greift zusätzlich Einwilligung
- Ort: Drittland — SCC
- Hinweis: Stimmproben können biometrische Merkmale darstellen; soweit Art. 9 DSGVO greift, nur mit ausdrücklicher Einwilligung.
8.6 KI-Dienstleister für Textgenerierung
- Zweck: Generierung von Szenen-/Discovery-Texten
- Daten: Prompt-Inhalte; ggf. gerundete Orts-/Kontextdaten — keine Buchungsstammdaten als Kernzweck
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
- Ort: Drittland — SCC
8.7 Kartendienst (nach Einwilligung)
- Zweck: Kartendarstellung im Player und Partnerbereich nach Einwilligung
- Daten: IP, Geräte-/Browserdaten, Kachel-Requests; ggf. Standortkontext der Kartenansicht
- Rechtsgrundlage: § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO
- Ort: Drittland — SCC
8.8 Technische Infrastrukturdienstleister (Rate-Limiting, Fehleranalyse, Hintergrundjobs, Uptime-Monitoring)
- Zweck: Betriebssicherheit, Fehleranalyse, Hintergrundverarbeitung, Erreichbarkeitsprüfung
- Daten: typ. IP-/Request-Kennungen, Fehlermeldungen/Stacktraces (PII werden soweit möglich entfernt), Job-Metadaten, technische Erreichbarkeitsdaten
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b / lit. f DSGVO
- Ort: EU / Drittland — SCC
8.9 Wetter- und Geodaten-Dienste (öffentliche APIs)
- Zweck: Wetter- und Ortskontext für Inhalte (keine personenbezogenen Stammdaten)
- Daten: gerundete Ortsangaben (Lat/Lng)
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
- Ort: EU / Drittland (u. a. Angemessenheitsbeschluss, soweit anwendbar)
9. Pflicht zur Bereitstellung von Daten
- Für eine Buchung sind Name und E-Mail sowie Slot-/Teilnehmerangaben erforderlich; ohne diese Daten kommt kein Vertrag zustande.
- Für die GPS-Kernfunktion ist eine Standortfreigabe im Browser erforderlich.
- TMS-Zugang erfolgt nur auf Einladung; ohne E-Mail ist kein Login möglich.
10. Betroffenenrechte
Sie haben nach der DSGVO insbesondere das Recht auf:
- Auskunft (Art. 15)
- Berichtigung (Art. 16)
- Löschung (Art. 17)
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20)
- Widerspruch gegen Verarbeitungen auf Basis von Art. 6 Abs. 1 lit. f (Art. 21)
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3) — z. B. Mapbox
Anfragen an: privacy@audiotrails.de — möglichst mit Buchungs-ID. Antwortfrist in der Regel ein Monat. Beschwerderecht bei der HBDI (siehe Abschnitt 1).
Mandanten-Inhaber können Buchungsdaten zusätzlich als CSV über den TMS-Datenexport exportieren.
11. Keine automatisierte Entscheidungsfindung
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie erheblich beeinträchtigt.
12. Änderungen
Wir passen diese Erklärung an, wenn sich Verarbeitung oder Rechtslage ändern. Maßgeblich ist die jeweils auf der Plattform veröffentlichte Fassung.
Grundlage: Codebase-Scan (Phase 1), bestehende `/datenschutz`-Seite, `.env.example`, Retention-Doku. Keine Marketing-Analytics-SDKs im Code gefunden.