Datenschutzerklärung
Fassung vom 20. Oktober 2026
Verantwortlicher, Auftragsverarbeiter und Kontakt
SYNSETIO, 6 RUE D'ARMAILLE, 75017 PARIS, France, contact@odybook.com, bestimmt die Zwecke eigener Verarbeitungen: professionelle Konten, Abonnement, Abrechnung, Sicherheit, Support und Geschäftsbeziehung.
Für Buchungen, Teilnehmer, Nachrichten und Daten, die für eine Agentur oder einen Guide erhoben werden, bestimmt dieser Profi die Zwecke. SYNSETIO handelt dann als Auftragsverarbeiter nach dokumentierten Weisungen.
Daten, Quellen und Pflichtfelder
Kontodaten stammen vom Profi oder seiner Organisation: Identität, E-Mail, Rolle, Einstellungen, Unternehmen und Abrechnungsdaten. Pflichtfelder sind für Konto, Vertrag, Sicherheit oder Rechnung erforderlich; Branding, Inhalte und Integrationen sind optional, sofern ein aktivierter Dienst sie nicht braucht.
Reisendedaten stammen vom Reisenden, vom Profi oder von einer Person, die für eine Gruppe bucht: Identität, Kontaktdaten, Daten, Teilnehmer, Nachrichten, Präferenzen und mitgeteilte Bedürfnisse. Für eine Buchung erforderliche Daten werden von optionalen Angaben unterschieden. Dazu gehören auch die freiwillige Antwort auf „Wie haben Sie von uns erfahren?“ und, nur wenn der Reisende in der Cookie-Auswahl der Website „Buchungsherkunft“ oder in der der Buchungsseite die Reichweitenmessung akzeptiert, wie er den Anbieter gefunden hat: die Kampagnen-Kennzeichnungen des genutzten Links (UTM-Parameter), die verweisende Website und die erste aufgerufene Seite. Der Anbieter nutzt dies auf Grundlage dieser Einwilligung, um zu erkennen, welche Kanäle Buchungen bringen; ohne Einwilligung wird nichts davon ausgelesen.
Technische Daten stammen aus der Nutzung: Protokolle, Gerät, Browser, Fehler, Sicherheitssignale, Cookie-Auswahl und Anwendungsereignisse.
Zwecke und Rechtsgrundlagen
- Professionelles Konto und Abonnement: Vertrag mit einer natürlichen Kundenperson; berechtigtes Interesse zur Verwaltung von Vertretern, Mitarbeitern oder Mitwirkenden einer Kundenorganisation.
- SYNSETIO-Abrechnung: Vertrag sowie gesetzliche Buchführungs- und Steuerpflichten.
- Buchungen und Nachrichten von Reisenden: Weisungen des professionellen Verantwortlichen; Vertrag oder andere Grundlage, die dieser Profi gegenüber dem Reisenden festlegt.
- Support, Sicherheit, Missbrauchsprävention und Vertragsnachweis: berechtigtes Interesse, Vertrag oder gesetzliche Pflicht je nach Kontext.
- Akquise: Einwilligung, wenn erforderlich; berechtigtes Interesse für bestimmte relevante B2B-Kommunikation, mit einfachem Widerspruch.
- Nicht ausgenommene Analyse- oder Werbe-Cookies: vorherige und widerrufliche Einwilligung.
Empfänger und Anbieterrollen
Daten können verarbeitet werden durch Vercel für Hosting, Supabase für Anwendungsdaten, Stripe als Zahlungsdienstleister, der für regulatorische Pflichten auch eigenständig Verantwortlicher sein kann, Resend für E-Mail, Upstash/Redis für technische Funktionen, Functional Software Inc. / Sentry GmbH für technische Fehlerverfolgung und Anwendungsstabilität (Daten in der Europäischen Union gehostet), Google Calendar bei Verbindung durch den Kunden OpenAI für KI-Unterstützungsfunktionen, Cloudflare für verschlüsselte Datenbanksicherungen (auf den Ausführungsservern von GitHub erstellt) sowie Analyse-Tools nur bei Aktivierung.
SYNSETIO verkauft personenbezogene Daten nicht an Werbenetzwerke. Die Hosting-Standorte stehen im nächsten Abschnitt.
Wo die Daten gehostet werden
Die folgenden Standorte wurden am 8. Oktober 2026 in der Produktion geprüft.
- Anwendung: Vercel, Region Paris (Frankreich).
- Weiterleitung von Anfragen und statische Dateien: weltweites Netz von Vercel. Ihre IP-Adresse, die angefragte Adresse und technische Anfrage-Header werden an einem Vercel-Standort verarbeitet, in der Regel dem nächstgelegenen; er kann außerhalb des Europäischen Wirtschaftsraums liegen, insbesondere wenn Sie von außerhalb surfen. Auf Kontoseiten (Anmeldung, Registrierung, Dashboard und Verwaltung) prüft dieser Standort außerdem Ihre Sitzung bei der Datenbank; Ihre Konto-ID und E-Mail-Adresse werden dort kurz verarbeitet, aber nicht gespeichert.
- Datenbank, Authentifizierung und gespeicherte Dateien: Supabase, Frankfurt (Deutschland).
- Temporäre Anmeldecodes, Cache und Missbrauchsbegrenzung: Upstash, Frankfurt (Deutschland).
- Transaktionale E-Mails: Resend, versendet aus der Region Irland.
- Fehlerüberwachung: Sentry, Daten in Deutschland gehostet.
- Technische Protokolle: Vercel, dessen wichtigste Verarbeitungseinrichtungen in den USA liegen.
- Zahlungen: Stripe Payments Europe Ltd (Irland); Stripe kann Daten auch in den USA verarbeiten.
- Datenbanksicherungen: auf GitHub-Job-Runnern erstellt (GitHub, Inc., USA), dann verschlüsselt und auf Cloudflare R2 gespeichert.
- KI-Unterstützung bei Nutzung: OpenAI (USA). Google Kalender, falls verbunden: Google (USA).
Internationale Übermittlungen
Die meisten dieser Anbieter gehören zu Unternehmensgruppen mit Sitz außerhalb des Europäischen Wirtschaftsraums, vor allem in den USA; in der Europäischen Union gehostete Daten können daher von außerhalb abgerufen werden, etwa für Support, Sicherheit oder behördliche Anfragen. Garantien: Vercel ist nach dem EU-US-Datenschutzrahmen (Data Privacy Framework) zertifiziert, und sein Auftragsverarbeitungsvertrag enthält die Standardvertragsklauseln der Europäischen Kommission; Supabase Pte. Ltd (Singapur) stützt sich auf die Standardvertragsklauseln; Sentry stützt sich auf das Data Privacy Framework und die Standardvertragsklauseln; die übrigen Anbieter stützen sich auf einen Angemessenheitsbeschluss oder die Standardvertragsklauseln nach ihren Verarbeitungsbedingungen, mit gegebenenfalls ergänzenden Maßnahmen. Informationen zu Empfängern und Ländern Ihrer Nutzung sowie eine Kopie der Garantien erhalten Sie unter contact@odybook.com. Rechte Dritter können Schwärzungen erfordern.
Aufbewahrungsfristen
- Professionelles Konto: Kontolaufzeit, dann angemessene Ausstiegsfrist für Export, Schließung und Nachweis, außer gesetzliches Archiv oder Streitfall.
- Rechnungen und Buchhaltungsunterlagen: 10 Jahre ab Abschluss des betreffenden Geschäftsjahres.
- Vertragsnachweise, Annahmen, Vorfälle und Forderungen: benötigte Dauer für Erfüllung, Nachweis und Rechtsverteidigung nach anwendbaren Verjährungsfristen.
- Akquise: höchstens drei Jahre nach Erhebung oder dem letzten vom Interessenten ausgehenden Kontakt, sofern nicht zuvor Widerruf oder Widerspruch erfolgt. Eine minimale Sperrliste kann erneute Ansprache verhindern.
- Technische Protokolle und Backups: durch Sicherheit, Diagnose, Kontinuität und dokumentierte technische Zyklen begrenzte Dauer.
- Fehler- und Leistungsberichte (Sentry): 30 Tage, danach automatische Löschung.
- Nicht abgeschlossene Buchungen (Entwürfe): 30 Tage nach der letzten Änderung.
- Wartelisteneinträge: 90 Tage nach dem gewünschten Datum.
- Produktnutzungsstatistiken und KI-Nutzungszählung: 25 Monate. KI-Anfragen und -Antworten werden nicht gespeichert.
- Besuchsstatistik der Storefronts (Tagessummen je Seite, Gerätetyp und Land, ohne Besucherkennung und ohne Herkunft): 25 Monate.
- Buchungsherkunft (Kampagnen-Tags des gefolgten Links, verweisende Website und erste besuchte Seite): 25 Monate nach der Buchung, dann gelöscht. Die Antwort auf „Wie haben Sie von uns erfahren?“ bleibt bei der Buchung. Die Löschung der Daten eines Reisenden entfernt beides.
- Benachrichtigungen der App Guide Companion: 90 Tage.
- Audit-Protokoll der Teamberechtigungen: 2 Jahre.
- Kontaktanfragen: 3 Jahre nach dem letzten Austausch.
Rechte betroffener Personen
Betroffene können Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Portabilität oder Widerruf verlangen, wenn diese Rechte gelten. Anfragen gehen an contact@odybook.com; betreffen sie einen professionellen Verkäufer, kann SYNSETIO weiterleiten oder unterstützen.
SYNSETIO antwortet innerhalb eines Monats. Bei komplexen oder zahlreichen Anfragen wird eine begründete Verlängerung um bis zu zwei Monate innerhalb des ersten Monats mitgeteilt. Eine Beschwerde kann bei der CNIL eingereicht werden: https://www.cnil.fr/.