Datenschutz

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist:

MenzeMedia.de GmbH

Am Wunderhügel 27
58644 Iserlohn
Deutschland

E-Mail: datenschutz@mallorca.com

---

2. Allgemeines zur Datenverarbeitung

2.1 Umfang der Verarbeitung personenbezogener Daten

Wir verarbeiten Deine personenbezogenen Daten grundsätzlich nur, soweit das zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur mit Deiner Einwilligung oder in Fällen, in denen wir Deine Einwilligung aus tatsächlichen Gründen nicht vorher einholen können und die Verarbeitung der Daten durch gesetzliche Vorschriften gestattet ist.

2.2 Rechtsgrundlagen

Soweit wir für Verarbeitungsvorgänge personenbezogener Daten eine Einwilligung einholen, dient Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage. Bei der Verarbeitung zur Vertragserfüllung dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Berechtigte Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO können ebenfalls als Rechtsgrundlage dienen.

2.3 Datenlöschung und Speicherdauer

Deine Daten werden gelöscht, sobald der Zweck der Speicherung entfällt. Eine Speicherung kann darüber hinaus erfolgen, wenn das durch gesetzliche Vorschriften vorgesehen ist.

---

3. Bereitstellung der Website und Erstellung von Logfiles

Bei jedem Aufruf unserer Internetseite erfasst unser System automatisiert Daten:

• Deine IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Websites, von denen Dein System auf unsere Website gelangt
• Browsertyp und -version
• Betriebssystem

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Speicherung dient der Sicherstellung der Funktionsfähigkeit und Sicherheit unserer IT-Systeme.

---

4. Nutzerkonto und Kleinanzeigen-Dienste

4.1 Registrierung

Bei der Registrierung erheben wir folgende Daten:

• E-Mail-Adresse
• Name (optional)
• Passwort (verschlüsselt gespeichert)

4.2 Kleinanzeigen

Wenn Du eine Anzeige erstellst, verarbeiten wir:

• Anzeigentitel und -beschreibung
• Kategorie und Standort
• Preis und Kontaktdaten
• Hochgeladene Bilder

Diese Daten werden öffentlich auf der Plattform angezeigt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

---

5. Cookies und Einwilligung

5.1 Arten von Cookies

Wir verwenden folgende Arten von Cookies:

• Notwendige Cookies: Session-Management, Spracheinstellungen, Cookie-Einwilligung
• Statistik-Cookies: Google Analytics zur Reichweitenmessung, geladen über den Google Tag Manager (Abschnitt 5.4)
• Marketing-Cookies: Partnerintegrationen

5.2 Einwilligungsverwaltung (Consent Management)

Beim ersten Besuch unserer Website zeigen wir Dir ein Cookie-Banner, über das Du Deine Einwilligung für die einzelnen Cookie-Kategorien erteilen kannst. Deine Einwilligungsentscheidung wird zum Nachweis gemäß Art. 7 Abs. 1 DSGVO serverseitig protokolliert. Dabei speichern wir folgende Daten:

• Pseudonymisierter Hash Deiner IP-Adresse (SHA-256, keine Klartextspeicherung)
• Zeitpunkt der Einwilligung
• Umfang der Einwilligung (welche Cookie-Kategorien akzeptiert/abgelehnt wurden)
• Art der Aktion (Ersteinwilligung, Widerruf, Änderung)
• Consent-Version

Die Protokollierung erfolgt auf Grundlage unserer rechtlichen Verpflichtung gemäß Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 7 Abs. 1 DSGVO. Du kannst Deine Cookie-Einstellungen jederzeit über den Link „Cookie-Einstellungen" im Footer der Website anpassen oder widerrufen.

5.3 Rechtsgrundlage

Die Rechtsgrundlage für technisch notwendige Cookies ist Art. 6 Abs. 1 lit. f DSGVO. Für sonstige Cookies ist Deine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO erforderlich.

5.4 Google Tag Manager und Einwilligungssignale

Zum Einbinden und Steuern unserer Analyse-Werkzeuge nutzen wir den Google Tag Manager der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Der Tag Manager erhebt selbst keine Daten zu Analysezwecken; er ist die Schaltstelle, über die andere Dienste geladen werden.

Wir setzen dabei den Google Consent Mode ein. Alle einwilligungsbedürftigen Signale stehen beim Seitenaufruf standardmäßig auf „abgelehnt" — das betrifft die Statistik-Speicherung, die Werbe-Speicherung, Werbe-Nutzerdaten, personalisierte Werbung und personalisierte Inhalte. Von vornherein freigegeben sind nur die Signale für Funktionalität und Sicherheit, die für den Betrieb der Seite nötig sind. Erst wenn Du im Cookie-Banner zustimmst, werden die entsprechenden Signale auf „erteilt" umgestellt; widerrufst Du, gilt wieder „abgelehnt".

Der Tag Manager selbst wird bei jedem Seitenaufruf geladen. Ohne Deine Einwilligung sendet er lediglich cookielose Signale, aus denen Google statistische Modellierungen ableitet — es werden dabei keine Cookies gesetzt und keine Kennungen gespeichert, die Dich wiedererkennbar machen. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO; für alles, was erst nach Deiner Zustimmung geladen wird, ist es Art. 6 Abs. 1 lit. a DSGVO. Weitere Informationen findest Du in der Datenschutzerklärung von Google: https://policies.google.com/privacy

---

6. Google Analytics

Wir verwenden Google Analytics, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). Google Analytics wird ausschließlich über den in Abschnitt 5.4 beschriebenen Google Tag Manager geladen; die dort hinterlegte Google-Tag-Kennung lautet GT-M34V82JW. Statistik-Cookies werden erst gesetzt, nachdem Du eingewilligt hast.

6.1 Funktionsweise

Google Analytics verwendet Cookies, die eine Analyse Deiner Benutzung der Website ermöglichen. Die durch das Cookie erzeugten Informationen über Deine Benutzung werden in der Regel an einen Server von Google in den USA übertragen und dort gespeichert.

6.2 IP-Anonymisierung

Wir nutzen die Funktion „IP-Anonymisierung". Dadurch kürzt Google Deine IP-Adresse innerhalb von Mitgliedstaaten der EU vor der Übertragung in die USA.

6.3 Opt-Out

Du kannst die Erfassung durch Google Analytics verhindern, indem Du die Statistik-Cookies in unseren Cookie-Einstellungen deaktivierst.

Alternativ kannst Du das Browser-Add-on zur Deaktivierung von Google Analytics installieren: https://tools.google.com/dlpage/gaoptout

6.4 Rechtsgrundlage

Die Nutzung von Google Analytics erfolgt auf Grundlage Deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Weitere Informationen findest Du in der Datenschutzerklärung von Google: https://policies.google.com/privacy

---

7. Reichweitenmessung mit Plausible

Zusätzlich nutzen wir Plausible, eine Reichweitenmessung, die bewusst ohne Cookies arbeitet. Plausible wird über den Google Tag Manager geladen; das Messskript wird dabei von plausible.io abgerufen.

Was verarbeitet wird. Plausible erfasst die aufgerufene Seite, die Seite, von der Du gekommen bist, sowie grobe Angaben zu Browser, Betriebssystem und Gerätetyp. Deine IP-Adresse wird ausschließlich zur Ermittlung des Herkunftslandes ausgewertet und nicht gespeichert.

Was automatisch mitgezählt wird. Neben dem Seitenaufruf zählt Plausible drei Vorgänge selbsttätig mit: das Herunterladen einer Datei, das Absenden eines Formulars und den Klick auf einen Link, der von unserer Website wegführt. Erfasst wird dabei nur, dass der Vorgang stattgefunden hat, sowie die betroffene Datei beziehungsweise das Linkziel — nicht, was Du in ein Formular eingetragen hast.

Was ausdrücklich nicht stattfindet. Es werden keine Cookies gesetzt und keine Kennungen in Deinem Browser abgelegt. Es findet keine geräteübergreifende Wiedererkennung statt, und es werden keine personenbezogenen Nutzungsprofile gebildet. Die Auswertung ist rein aggregiert.

Ereignisse, die wir zusätzlich zählen. Über die reine Seitenaufruf-Messung hinaus erfassen wir einzelne, klar abgegrenzte Ereignisse, um zu verstehen, an welcher Stelle unsere Formulare abbrechen:

• Beginn eines Buchungsvorgangs für ein Erlebnis, zusammen mit der Kennung des gebuchten Angebots
• Öffnen des Anfrage-Dialogs auf einer Verzeichnisseite, zusammen mit Kategorie, Anliegen und Sprache
• einzelne Schritte im Reservierungsformular für Gastronomiebetriebe (Formular sichtbar, Dialog geöffnet, Eingabe begonnen, Anfrage angenommen oder abgelehnt)

Diese Ereignisse enthalten keine von Dir eingegebenen Inhalte, keine Namen, keine E-Mail-Adressen und keine Beträge.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer Reichweitenmessung, die ohne Cookies und ohne Personenbezug auskommt und deshalb besonders datensparsam ist. Aus demselben Grund ist diese Messung nicht an Deine Cookie-Einwilligung gekoppelt.

---

8. Kartendarstellung mit Mapbox

Auf Strandseiten, in Reise- und Ratgeberinhalten, auf Verzeichnisseiten und bei Immobilien-Kleinanzeigen zeigen wir Karten. Wir beziehen diese Karten von Mapbox, Inc., 740 15th Street NW, 5th Floor, Washington, DC 20005, USA.

Was verarbeitet wird. Kartenausschnitte, Kartenkacheln und Kartenbilder werden direkt von Deinem Browser bei Mapbox abgerufen — sie laufen nicht über unsere Server. Dabei erhält Mapbox notwendigerweise Deine IP-Adresse sowie Angaben zu Browser und Gerät und erfährt, welchen Kartenausschnitt Du betrachtest.

Wann geladen wird. Unbewegliche Kartenbilder werden zusammen mit der Seite geladen. Die beweglichen Karten, in denen Du zoomen und verschieben kannst, laden wir erst, wenn Du sie anforderst — durch einen Klick oder dadurch, dass Du sie in den sichtbaren Bereich scrollst.

Adresseingabe. Wenn Du in einem unserer Formulare eine Adresse eingibst und die Vorschlagsliste nutzt, wird Deine Eingabe zur Ermittlung der Vorschläge an Mapbox übermittelt.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer verständlichen Ortsdarstellung und einer fehlerarmen Adresseingabe. Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Weitere Informationen: https://www.mapbox.com/legal/privacy

---

9. Affiliate-Partner

9.1 Stay22

Wir arbeiten mit Stay22 (Stay22 Inc., Kanada) als Affiliate-Partner zusammen. Wenn Du Unterkunftsempfehlungen nutzt, können Daten an Stay22 übermittelt werden, darunter:

• IP-Adresse
• Geräteinformationen
• Klickverhalten auf Affiliate-Links

Stay22 setzt eigene Cookies, um Buchungen zuzuordnen. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Weitere Informationen: https://www.stay22.com/privacy

9.2 Travelpayouts

Wir nutzen Travelpayouts (Travelpayouts Ltd.) als Affiliate-Netzwerk für Reise- und Flugempfehlungen. Wenn Du entsprechende Links nutzt, können folgende Daten übermittelt werden:

• IP-Adresse
• Browser- und Geräteinformationen
• Klickverhalten

Travelpayouts verwendet Cookies zur Zuordnung von Buchungen. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Weitere Informationen: https://www.travelpayouts.com/privacy

9.3 CHECK24

Wir nehmen am CHECK24.net Partnerprogramm teil und binden auf einzelnen Seiten iFrame-Buchungsmasken von CHECK24 (CHECK24 Vergleichsportal GmbH, München) ein, über die Vergleich und Buchung direkt auf unserer Website stattfinden. Diese Inhalte werden erst nach Deiner Einwilligung in Marketing-Cookies geladen. Dabei können Daten an CHECK24 übermittelt werden, darunter:

• IP-Adresse
• Browser- und Geräteinformationen
• Klick- und Buchungsverhalten im Vergleichsrechner

CHECK24 setzt eigene Cookies, um Buchungen zuzuordnen; für Buchungen erhalten wir eine Werbekostenerstattung. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Weitere Informationen: https://www.check24.net

---

10. Hosting und technische Dienstleister

10.1 Vercel

Unsere Website wird bei Vercel Inc. (San Francisco, USA) gehostet. Vercel verarbeitet Daten in unserem Auftrag gemäß Art. 28 DSGVO. Die Datenübermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln.

10.2 Supabase

Wir nutzen Supabase (Supabase Inc., San Francisco, USA) als Datenbank- und Authentifizierungsdienst. Supabase verarbeitet Daten in unserem Auftrag gemäß Art. 28 DSGVO.

10.3 Resend

Für den Versand von E-Mails nutzen wir Resend (Anbieter mit Sitz in den USA). Darüber laufen unter anderem Registrierungsbestätigungen und das Zurücksetzen von Passwörtern, die Zustellung und Weiterleitung von Anfragen aus dem Branchenverzeichnis und aus Immobilien-Inseraten sowie die Mails zum Mallorca.com-Pass und zu den Angeboten teilnehmender Betriebe. Resend verarbeitet die Daten in unserem Auftrag gemäß Art. 28 DSGVO; die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10.4 Stripe

Für die Zahlungsabwicklung kostenpflichtiger Dienste (Verzeichnis-Pläne, Premium-Funktionen, Mallorca.com-Pass) nutzen wir Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Stripe verarbeitet dabei die Zahlungsdaten, die Du direkt bei Stripe eingibst (zum Beispiel Kartennummer, Ablaufdatum, Prüfnummer oder die Daten von Apple Pay bzw. Google Pay), Name und Rechnungsadresse, soweit Du sie angibst, sowie Transaktionsdaten. Für den Mallorca.com-Pass legen wir bei Stripe ein Kundenkonto ohne Namen und E-Mail-Adresse an, das nur mit der Kennung Deines Mallorca.com-Kontos verknüpft ist; bei uns speichern wir die Stripe-Kennungen von Kunde, Abonnement, Zahlung und Rechnung, Betrag, Zahlungszeitpunkt sowie Erstattungen und Rückbuchungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe kann Daten an die Stripe, Inc. in den USA übermitteln; das geschieht auf Grundlage des EU-US Data Privacy Framework beziehungsweise der EU-Standardvertragsklauseln. Für eigene Zwecke wie Betrugsvorbeugung und gesetzliche Pflichten ist Stripe selbst verantwortlich. Weitere Informationen: https://stripe.com/de/privacy.

10.5 Meilisearch

Für die Suchfunktion im Branchenverzeichnis und auf der Kleinanzeigen-Plattform nutzen wir Meilisearch Cloud (Meili SAS, Paris, Frankreich). Meilisearch verarbeitet die eingegebenen Suchbegriffe sowie öffentlich zugängliche Verzeichnisdaten (Firmennamen, Kategorien, Standorte). Die Datenverarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Suchfunktion). Die Daten werden auf Servern in der EU (Frankfurt) gespeichert.

10.6 Brevo

Für den Versand unseres Newsletters, die Auslieferung angeforderter Unterlagen und die Verwaltung der zugehörigen Kontaktlisten nutzen wir Brevo (Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich). Brevo verarbeitet diese Daten in unserem Auftrag gemäß Art. 28 DSGVO; die Server stehen in der Europäischen Union. Welche Daten das im Einzelnen sind, steht in den Abschnitten 11 und 12.

Brevo meldet uns zurück, ob eine Nachricht zugestellt, geöffnet oder abbestellt wurde und ob sie als unzustellbar zurückkam. Wir speichern diese Rückmeldungen, um Verteiler sauber zu halten und Abmeldungen zuverlässig umzusetzen. Kann eine Nachricht wegen eines erschöpften Sendekontingents nicht sofort verschickt werden, legen wir sie mit den nötigen Angaben vorübergehend in einer Warteschlange ab und stellen sie automatisch nach.

10.7 KI-Suche in der App

Stellst Du in der App eine Frage an die KI-Suche, übermitteln wir Deine Frage zur Beantwortung an Anbieter von KI-Sprachmodellen. Das sind derzeit OpenAI (OpenAI Ireland Ltd., Dublin, Irland, und OpenAI, L.L.C., San Francisco, USA) und Anthropic (Anthropic Ireland Ltd., Dublin, Irland, und Anthropic PBC, San Francisco, USA). Hast Du der App Deinen Standort oder Angaben zu Deiner Reise freigegeben, kann die Frage mit diesen Angaben ergänzt werden, damit die Antwort passt. Dein Name und Deine E-Mail-Adresse werden nicht übermittelt. Die Anbieter verarbeiten die Daten in unserem Auftrag und nutzen sie nicht zum Training ihrer Modelle. Vor Deiner ersten Frage holen wir Deine Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit in den Einstellungen der App widerrufen; die KI-Suche ist danach erst wieder verfügbar, wenn Du erneut zustimmst. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln. Antworten, die Du über „Antwort melden“ meldest, prüfen wir zusammen mit der Frage.

10.8 Spracheingabe

Nutzt Du in der App die Spracheingabe, wandelt die Spracherkennung Deines Geräts (Apple bzw. Google) Deine Sprache in Text um. Die App erhält nur den erkannten Text, keine Tonaufnahme. Für die Verarbeitung durch Apple bzw. Google gelten deren Datenschutzbestimmungen. Die Spracheingabe startet nur, wenn Du sie antippst und den Zugriff auf Mikrofon und Spracherkennung erlaubt hast (Art. 6 Abs. 1 lit. a DSGVO).

10.9 Anmeldung mit Apple oder Google

Du kannst Dich in der App mit Deinem Apple- oder Google-Konto anmelden. Dabei erhalten wir vom jeweiligen Anbieter eine Kennung, Deine E-Mail-Adresse (bei Apple auf Wunsch eine weitergeleitete Adresse) und, falls Du es freigibst, Deinen Namen. Passwörter erhalten wir nicht. Die Verarbeitung dient der Bereitstellung Deines Kontos (Art. 6 Abs. 1 lit. b DSGVO). Löschst Du Dein Konto, widerrufen wir auch die Verbindung zu Deinem Apple-Konto.

10.10 Automatische Prüfung hochgeladener Bilder

Lädst Du ein Bild hoch, können wir es automatisch prüfen, bevor wir es anzeigen. Den Inhalt prüft dann OpenAI (OpenAI Ireland Ltd., Dublin, Irland, und OpenAI, L.L.C., San Francisco, USA) über seine Moderations-Schnittstelle in unserem Auftrag; die Daten werden nicht zum Training der Modelle genutzt. Außerdem kann das Canadian Centre for Child Protection (Winnipeg, Kanada) das Bild über seinen Dienst Arachnid Shield mit einer Datenbank bekannter Darstellungen sexuellen Kindesmissbrauchs abgleichen. Bei einem Treffer sperren wir den Upload und prüfen den Fall; wir können ihn an Strafverfolgungsbehörden weitergeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Plattform und Dritter) und, soweit wir gesetzlich zur Prüfung verpflichtet sind, Art. 6 Abs. 1 lit. c DSGVO. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln; für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission.

---

11. Newsletter

Auf unserer Startseite kannst Du unseren Newsletter abonnieren.

Was wir erheben. Deine E-Mail-Adresse, auf Wunsch Deinen Vornamen sowie Deine Spracheinstellung und die Angabe, über welche Stelle der Website Du Dich angemeldet hast.

Bestätigungsverfahren. Wir setzen ein zweistufiges Verfahren ein: Nach Deiner Anmeldung senden wir Dir eine E-Mail mit einem Bestätigungslink. Erst wenn Du ihn anklickst, nehmen wir Dich in den Verteiler auf. Der Link ist 24 Stunden gültig und kann nur ein einziges Mal verwendet werden; dafür speichern wir eine einmalige Kennung zusammen mit Deiner E-Mail-Adresse. Bestätigst Du nicht, erhältst Du keinen Newsletter.

Rechtsgrundlage. Deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink in jeder Newsletter-Mail oder formlos an datenschutz@mallorca.com. Bis zum Widerruf bleibt die Verarbeitung rechtmäßig. Zeitpunkt der Anmeldung und Zeitpunkt der Bestätigung speichern wir als Nachweis der Einwilligung nach Art. 7 Abs. 1 DSGVO.

---

12. Marktbericht anfordern

Auf der Seite zum Immobilien-Marktbericht kannst Du die Unterlage kostenlos anfordern.

Was wir erheben. Vorname, Nachname und E-Mail-Adresse sind erforderlich. Freiwillig sind Dein Land, die Angabe, ob Du kaufen oder verkaufen möchtest, und die Region, für die Du Dich interessierst. Du kannst dabei zusätzlich den Newsletter abonnieren; tust Du das, gilt dafür Abschnitt 11.

Bestätigungsverfahren. Auch hier bestätigst Du zuerst über einen Link in einer E-Mail. Erst danach senden wir Dir den Marktbericht zu. Der Link ist 24 Stunden gültig und einmalig verwendbar.

Rechtsgrundlage. Deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, jederzeit mit Wirkung für die Zukunft widerruflich über den Abmeldelink oder an datenschutz@mallorca.com. Zeitpunkt der Anforderung und Zeitpunkt der Bestätigung speichern wir als Nachweis nach Art. 7 Abs. 1 DSGVO.

---

13. Persönliche Anfrage über unser Anfrageformular

Über unser Anfrageformular kannst Du uns Dein Anliegen direkt schildern.

Was wir erheben. Erforderlich sind Dein Name und Deine E-Mail-Adresse. Freiwillig sind Deine Telefonnummer, Dein Land, das Thema Deiner Anfrage, die Region, für die Du Dich interessierst, Dein Budgetrahmen und Deine Nachricht an uns.

Was damit geschieht. Wir legen Deine Anfrage in unserer Kundenverwaltung an und benachrichtigen unser Team per E-Mail über Brevo (Abschnitt 10.6), damit sich jemand darum kümmert. Eine Weitergabe an Dritte findet nicht statt.

Rechtsgrundlage. Für die Bearbeitung Deiner Anfrage Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme). Für die freiwilligen Zusatzangaben, die uns eine passendere Antwort ermöglichen, Art. 6 Abs. 1 lit. f DSGVO; Du kannst dem nach Art. 21 DSGVO widersprechen. Löschung kannst Du jederzeit unter datenschutz@mallorca.com verlangen.

---

13a. Kontakt per WhatsApp

Auf einzelnen Seiten unseres Gastronomie-Bereichs bieten wir Dir an, eine Reservierungsanfrage per WhatsApp an uns zu richten. Der Button öffnet lediglich einen Link zu WhatsApp (wa.me) mit einem vorausgefüllten Nachrichtentext; die Nachricht wird erst gesendet, wenn Du sie in WhatsApp selbst abschickst. Beim Anzeigen des Buttons werden keine Daten an WhatsApp oder Meta übertragen; wir binden keine Skripte oder Pixel von Meta ein. Anbieter des Dienstes ist WhatsApp Ireland Limited, 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland (ein Unternehmen der Meta-Gruppe). Für die Verarbeitung Deiner Daten innerhalb von WhatsApp (einschließlich Deiner Telefonnummer, Deines Profilnamens und des Nachrichteninhalts) gelten die Datenschutzrichtlinie von WhatsApp (https://www.whatsapp.com/legal/privacy-policy-eea) sowie deren Nutzungsbedingungen; dabei kann eine Übermittlung in die USA stattfinden, für die sich Meta auf das EU-US Data Privacy Framework stützt. Wir empfangen Deine Nachricht auf einem geschäftlich genutzten WhatsApp-Business-Konto, beantworten sie und geben die für die Reservierung nötigen Angaben (Wunschtermin, Personenzahl, Dein Vorname und die Rückmeldung) an den jeweiligen Betrieb weiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags auf Deine Anfrage) sowie Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer unkomplizierten Kommunikation über den von Dir gewählten Kanal). Die Chatverläufe löschen wir spätestens zwölf Monate nach der letzten Nachricht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Wir nutzen WhatsApp nicht, um Dich unaufgefordert anzuschreiben, und übertragen keine Adressbuchdaten an WhatsApp. Wenn Du WhatsApp nicht nutzen möchtest, steht Dir auf derselben Seite das Anfrageformular zur Verfügung.

Wie oft der Button geklickt wird, zählen wir ausschließlich über unsere cookielose Reichweitenmessung mit Plausible (Abschnitt 7); dabei werden keine Inhalte Deiner Nachricht erfasst.

---

14. Deine Rechte als betroffene Person

Du hast folgende Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Auskunft über Deine verarbeiteten Daten
• Berichtigungsrecht (Art. 16 DSGVO): Berichtigung unrichtiger Daten
• Löschungsrecht (Art. 17 DSGVO): Löschung Deiner Daten
• Einschränkungsrecht (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Erhalt Deiner Daten in maschinenlesbarem Format
• Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen die Verarbeitung
• Widerrufsrecht (Art. 7 Abs. 3 DSGVO): Widerruf erteilter Einwilligungen
• Beschwerderecht (Art. 77 DSGVO): Beschwerde bei einer Aufsichtsbehörde

14.1 Datenexport (Art. 15 & 20 DSGVO)

Du kannst jederzeit eine Kopie aller Deiner personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON) herunterladen. Diese Funktion findest Du in Deinem Dashboard unter Einstellungen → Meine Daten exportieren. Der Export umfasst:

• Profildaten (Name, E-Mail, Einstellungen)
• Alle erstellten Anzeigen
• Nachrichten
• Favoriten und gespeicherte Suchen
• Einwilligungsverlauf

14.2 Kontolöschung (Art. 17 DSGVO)

Du kannst Dein Nutzerkonto jederzeit selbstständig löschen über Einstellungen → Konto löschen. Nach der Löschungsanfrage gilt eine 14-tägige Karenzzeit, in der Du die Löschung widerrufen kannst. Nach Ablauf dieser Frist werden Deine Daten unwiderruflich gelöscht bzw. anonymisiert:

• Profildaten werden anonymisiert
• Anzeigen werden deaktiviert
• Nachrichten, Favoriten und gespeicherte Suchen werden gelöscht
• Dein Authentifizierungskonto wird endgültig gelöscht

Die Löschungsanfrage wird zum Nachweis protokolliert (IP-Hash, Zeitstempel, Grund).

Ein laufendes Abo endet mit der Löschung Deines Kontos; eine anteilige Erstattung erfolgt nicht.

14.3 Ausübung Deiner Rechte

Zur Ausübung Deiner Rechte kannst Du die Self-Service-Funktionen in Deinem Dashboard nutzen oder uns unter datenschutz@mallorca.com kontaktieren. Wir bearbeiten Deine Anfrage innerhalb von 30 Tagen.

14.4 Zuständige Aufsichtsbehörde

Für uns zuständig ist die Datenschutzaufsicht des Landes Nordrhein-Westfalen, in dem wir unseren Sitz haben:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Postfach 20 04 44
40102 Düsseldorf
Deutschland

Telefon: +49 211 38424-0
Beschwerdeformular: https://www.ldi.nrw.de/beschwerde

Unabhängig davon kannst Du Dich nach Art. 77 DSGVO auch an die Aufsichtsbehörde Deines Aufenthaltsorts oder Deines Arbeitsplatzes wenden.

---

15. Besonderheiten für Spanien (LOPD)

Gemäß dem spanischen Datenschutzgesetz (Ley Orgánica 3/2018 - LOPD):

• Minderjährige unter 14 Jahren benötigen die Einwilligung eines Erziehungsberechtigten.
• Du kannst Deine Rechte auch bei der Agencia Española de Protección de Datos geltend machen.

---

Kontaktformular im Verzeichnis

Wenn Du ein Kontaktformular auf einer Verzeichniseintragsseite nutzt, verarbeiten wir:

• Deinen Namen und Deine E-Mail-Adresse
• Deine Telefonnummer (optional)
• Deinen Nachrichtentext
• Kategoriebezogene Angaben zur Anfrage, zum Beispiel Zeitraum, Ort oder Wunschtermin

Beanspruchte Verzeichniseinträge

Bei beanspruchten Einträgen speichern wir diese Daten in unserer Datenbank, leiten Deine Anfrage per E-Mail an den Inhaber des Eintrags weiter und zeigen sie ihm in seinem Dashboard an.

Nicht beanspruchte Verzeichniseinträge und Anfragevermittlung

Bei nicht beanspruchten Einträgen speichern wir die Daten ausschließlich serverseitig unter Verwendung unserer administrativen Service-Rolle. Der Anbieter hat keinen Dashboard-Zugriff auf die gespeicherte Anfrage. Die Anfrage wird per E-Mail an den ausgewählten Anbieter zugestellt. Wenn Du ausdrücklich in die Weiterleitung einwilligst, senden wir Deine Anfrage zusätzlich an bis zu 4 weitere passende Anbieter, die wir anhand der Kategorie und räumlichen Nähe auswählen.

Die Anfrage- und Vermittlungsdaten werden 12 Monate gespeichert und danach automatisch gelöscht. Eine erteilte Einwilligung kannst Du jederzeit mit Wirkung für die Zukunft widerrufen und die Löschung der Daten per E-Mail an info@mallorca.com verlangen.

---

Kontaktanfrage und Suchauftrag bei Immobilien-Kleinanzeigen

Anfrage zu einem Inserat

Wenn Du über das Kontaktformular eines Immobilien-Inserats eine Anfrage stellst, verarbeiten wir:

• Deinen Namen
• Deine E-Mail-Adresse
• Deine Telefonnummer (optional)
• Deine Nachricht

Diese Daten leiten wir an den Anbieter des Inserats weiter, um Deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme). Den auf dem Formular angezeigten Hinweistext speichern wir zusammen mit einem Zeitstempel als Nachweis der Einwilligung.

Speicherung und Aufbewahrungsdauer

Zusätzlich zur Anfrage selbst speichern wir:

• einen pseudonymisierten Hash Deiner IP-Adresse (SHA-256, keine Klartextspeicherung) — er dient ausschließlich der Missbrauchsprävention und der Begrenzung der Anfragenanzahl (Rate-Limiting), nicht Deiner Identifizierung
• den User-Agent Deines Browsers
• die Seite, von der aus Du die Anfrage gestellt hast

Diese Daten werden gelöscht, sobald der Zweck ihrer Speicherung entfällt: Bei einer Anfrage ist das der Fall, sobald die Vermittlung zwischen Dir und dem Anbieter abgeschlossen ist und keine weitere Antwort mehr zu erwarten ist. Eine vorzeitige Löschung kannst Du jederzeit unter datenschutz@mallorca.com verlangen.

Weiterleitung der Antwort und Übersetzung

Antwortet der Anbieter auf Deine Anfrage, leiten wir die Antwort über eine Relay-Adresse an Dich weiter — weder Deine E-Mail-Adresse noch die des Anbieters wird der jeweils anderen Seite direkt offengelegt. Ist die Antwort in einer anderen Sprache verfasst als Deiner eigenen, wird sie maschinell übersetzt. Dafür wird eine Kopie der Nachricht ausschließlich zu diesem Zweck an OpenAI (OpenAI, L.L.C., USA) übermittelt; ist dieser Dienst nicht erreichbar, ersatzweise an Anthropic (Anthropic PBC, USA).

Beide Anbieter verarbeiten diese Daten in unserem Auftrag gemäß Art. 28 DSGVO. Die Datenübermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln.

Optionales Konto

Im Anschluss an Deine Anfrage kannst Du ein Nutzerkonto anlegen, um Deine Anfragen zentral einzusehen. Das Konto wird ausschließlich angelegt, wenn Du aktiv auf den entsprechenden Link klickst und der Datenverarbeitung dabei gesondert zustimmst — niemals automatisch.

Suchauftrag für ähnliche Immobilien

Du kannst einen Suchauftrag einrichten, um per E-Mail über neu eingestellte Inserate informiert zu werden, die zu Deinen Kriterien passen. Dafür speichern wir Deine Suchkriterien (z. B. Region, Preisrahmen, Objektart, Zimmerzahl), Deinen Namen und Deine E-Mail-Adresse. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); auch hier speichern wir den angezeigten Hinweistext mit Zeitstempel als Nachweis. Der Versand erfolgt ausschließlich durch mallorca.com — Deine Daten werden nicht an Dritte weitergegeben.

Abmeldung und Löschung

Jede weitergeleitete Antwort-Mail und jede Suchauftrag-Mail enthält einen Link, über den Du den jeweiligen Kanal jederzeit mit Wirkung für die Zukunft beenden kannst. Unabhängig davon kannst Du Auskunft, Berichtigung oder Löschung Deiner Daten jederzeit unter datenschutz@mallorca.com verlangen.

---

Soziale Funktionen der Mallorca.com-App

Dieser Abschnitt ergänzt die übrigen Abschnitte für die sozialen Funktionen der Mallorca.com-App: Beiträge, Profil, Folgen, „Gefällt mir", Blockieren und Melden. Einzelne Funktionen — insbesondere Videos, Kommentare, Direktnachrichten, Funktionen zum Kennenlernen und die Abfrage des Geburtsdatums — schalten wir schrittweise frei. Was unten zu ihnen steht, gilt, sobald die jeweilige Funktion in der App verfügbar ist.

Soweit dieser Abschnitt etwas anderes regelt als die übrigen Abschnitte, geht er für die sozialen Funktionen vor. Das gilt insbesondere für das Alter: Die Altersangabe in Abschnitt 15 (14 Jahre) gilt für die sozialen Funktionen nicht; für sie gilt ein Mindestalter von 16 Jahren, das die Einwilligung eines Erziehungsberechtigten nicht ersetzt.

Beiträge und Profil

Wenn Du einen Beitrag erstellst oder veröffentlichst, verarbeiten wir:

• die Bilder und den Text Deines Beitrags, seine Sprache und den Zeitpunkt der Veröffentlichung; Bilder und Text speichern wir bereits, wenn Du sie als Entwurf hochlädst — Entwürfe sind nicht öffentlich
• Deine Angabe, ob der Beitrag mit künstlicher Intelligenz erzeugt oder verändert wurde
• soweit die App es anbietet: einen von Dir gewählten Ort, Hashtags und einen Link
• einen technischen Vermerk zu jedem Upload (Kennung der dabei zugrunde gelegten Fassung der Regeln, Zeitpunkt und Datei)

Dein Profil in den sozialen Funktionen nutzt den Nutzernamen, den Anzeigenamen und das Profilbild Deines Mallorca.com-Kontos. Außerdem speichern wir, wem Du folgst, welche Beiträge Du mit „Gefällt mir" markierst, wen Du blockierst und bis zu welchem Zeitpunkt Du Deine Aktivitätsübersicht gelesen hast.

Was öffentlich ist. Deine veröffentlichten Beiträge sind zusammen mit Nutzername, Anzeigename und Profilbild öffentlich abrufbar — auch für Personen ohne Konto und, soweit wir Beiträge dort anzeigen, auf der Website. Wem Du folgst und wer Dir folgt, können andere angemeldete Nutzer sehen. Markierst Du einen Beitrag mit „Gefällt mir", sieht das die Person, die ihn veröffentlicht hat; die Zahl der „Gefällt mir"-Angaben kann öffentlich angezeigt werden.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der sozialen Funktionen nach den Nutzungsbedingungen). Enthalten Beiträge Angaben über andere Personen, verarbeiten wir diese auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, die von Nutzern veröffentlichten Inhalte bereitzustellen); betroffene Personen können den Beitrag melden oder sich an datenschutz@mallorca.com wenden.

Speicherdauer. Bis Dein Konto gelöscht wird oder wir den Beitrag oder die jeweilige Angabe auf Deinen Wunsch löschen. Einen veröffentlichten Beitrag kannst Du in der App zurückziehen; er wird dann nicht mehr angezeigt, bleibt aber gespeichert. Für die gesicherte Kopie eines Beitrags gelten die Fristen im Unterabschnitt zu Meldungen.

Kamera, Fotos und Bildinformationen

Die App greift auf Kamera und Fotos nur zu, wenn Du es erlaubst und ein Bild aufnimmst oder auswählst. Vor dem Speichern bearbeiten wir Beitragsfotos so, dass die in der Bilddatei eingebetteten Zusatzangaben (EXIF, XMP und IPTC — zum Beispiel Aufnahmeort, Gerät und Aufnahmezeitpunkt) entfernt werden. Für Profilbilder und für Videos können wir das nicht zusichern: Sie können so gespeichert werden, wie Du sie hochlädst. Entferne Standortangaben aus solchen Dateien gegebenenfalls vor dem Hochladen.

Beitragsbilder und Profilbilder speichern wir bei Supabase (Abschnitt 10.2).

Geburtsdatum und Altersstufe

Sobald die App Dein Geburtsdatum abfragt, speichern wir es, um das Mindestalter für die sozialen Funktionen (16 Jahre) zu prüfen und durchzusetzen und um Funktionen zum Kennenlernen Personen ab 18 Jahren vorzubehalten. Das Geburtsdatum wird nicht öffentlich angezeigt und weder an andere Nutzer noch an die App zurückgegeben; verwendet wird nur die daraus berechnete Altersstufe (unter 16, 16 bis 17, ab 18). Nach der Angabe kannst Du das Geburtsdatum nicht selbst ändern; ist es falsch, berichtigen wir es auf Deine Nachricht an support@mallorca.com. Sobald die App Deine Zustimmung zu den Nutzungsbedingungen für die sozialen Funktionen einholt, halten wir fest, wann Du welcher Fassung zugestimmt hast. Ohne die Angabe des Geburtsdatums können wir die sozialen Funktionen nicht freischalten, sobald die Abfrage eingeführt ist; die übrigen Dienste bleiben davon unberührt.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags mit seinem Mindestalter) und Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse am Schutz Minderjähriger). Für die Prüfung des Mindestalters von 16 Jahren verarbeiten wir weder einen Ausweis noch biometrische Daten. Wie wir das Alter für Funktionen zum Kennenlernen prüfen und welche Daten wir dafür verarbeiten, teilen wir hier mit, bevor diese Funktionen starten.

Speicherdauer. Solange Dein Konto besteht.

Meldungen, Entscheidungen und Beschwerden

Wenn Du einen Beitrag oder ein Profil meldest, verarbeiten wir den gemeldeten Inhalt, den von Dir gewählten Grund, Deine Erläuterung, Deine Erklärung, dass die Meldung nach bestem Wissen richtig ist, die Sprache und den Zeitpunkt der Meldung sowie — je nachdem, wie Du meldest — Dein Konto, die Kennung Deiner App-Installation oder Deine E-Mail-Adresse. Zur Begrenzung missbräuchlicher Anfragen verarbeiten wir Deine IP-Adresse kurzzeitig im Arbeitsspeicher des Servers; meldest Du ohne Konto über das Web, speichern wir außerdem für sieben Tage Hashwerte Deiner IP-Adresse und Deiner E-Mail-Adresse.

Wird ein Beitrag gemeldet, sichern wir Text und Bild des Beitrags in dem Stand, in dem er gemeldet wurde. Meldet ein angemeldeter Nutzer einen Beitrag, kann dieser automatisch vorläufig ausgeblendet werden, bis ein Mensch die Meldung geprüft hat; eine automatisierte Erkennung gemeldeter Inhalte setzen wir derzeit nicht ein. Entscheidungen samt Begründung und eine Beschwerde gegen die Entscheidung speichern wir zum Vorgang. Mitteilungen dazu versenden wir per E-Mail (Abschnitt 10.3). Wer gemeldet hat, teilen wir der Person, die den Beitrag veröffentlicht hat, nicht mit, es sei denn, wir sind gesetzlich dazu verpflichtet.

Rechtsgrundlage. Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 und 17 der Verordnung (EU) 2022/2065 (Melde- und Abhilfeverfahren, Begründung von Entscheidungen) sowie Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Missbrauch zu verhindern und uns gegen Ansprüche zu verteidigen).

Speicherdauer. Einen Vorgang zu einem Beitrag — Meldung, gesicherter Inhalt, Entscheidungen und Beschwerden — löschen wir sechs Monate nach der letzten mitgeteilten Entscheidung; gab es keine Entscheidung, zwölf Monate nach Eröffnung des Vorgangs. Solange eine Meldung oder Beschwerde offen oder eine getroffene Entscheidung noch nicht mitgeteilt ist, löschen wir nicht. Meldungen zu Profilen löschen wir 180 Tage nach Eingang, sofern über sie entschieden ist.

Videos

Soweit die App Videos zeigt, liefern wir sie über Mux, Inc. (San Francisco, USA) aus. Beim Abspielen eines Videos erhält Mux technisch notwendig Deine IP-Adresse sowie Angaben zu Gerät und Abspielvorgang.

Sobald Du in der App eigene Videos veröffentlichen kannst, gilt zusätzlich: Dein Video wird zur Umwandlung in abspielbare Formate und zur Auslieferung an Mux übermittelt. Die Originaldatei speichern wir zusätzlich bei der Hetzner Online GmbH (Gunzenhausen, Deutschland) auf Servern in Deutschland. Löschst Du Dein Konto oder wird das Video gelöscht, veranlassen wir die Löschung bei Mux und bei Hetzner. Weitere technische Dienstleister, die an der Aufbereitung beteiligt sind, nennen wir hier, bevor die Funktion startet.

Mux und Hetzner verarbeiten diese Daten in unserem Auftrag gemäß Art. 28 DSGVO. Die Datenübermittlung an Mux in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework, ersatzweise der EU-Standardvertragsklauseln; nähere Informationen dazu erhältst Du unter datenschutz@mallorca.com.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO; beim Abspielen ohne Konto Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einer stabilen Auslieferung).

Direktnachrichten

Sobald Direktnachrichten in den sozialen Funktionen der App verfügbar sind, gilt das Folgende; es betrifft nicht die Nachrichten zu Kleinanzeigen, Verzeichnis-, Immobilien- oder Buchungsanfragen. Wir speichern Deine Nachrichten, die Beteiligten und die Zeitpunkte, um die Nachrichten zuzustellen und anzuzeigen. Nachrichten sind nicht Ende-zu-Ende-verschlüsselt. Wir lesen Nachrichten nicht mit und durchsuchen sie nicht anlasslos. Einsicht nehmen wir nur in eine Nachricht, die uns gemeldet wurde, und nur, soweit es zur Prüfung der Meldung nötig ist, oder wenn wir gesetzlich oder durch eine Behörde dazu verpflichtet sind.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO; für die Prüfung gemeldeter Nachrichten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der jeweils einschlägigen gesetzlichen Pflicht, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Missbrauch zu verhindern).

Speicherdauer. Nachrichten bleiben gespeichert, solange mindestens eines der beteiligten Konten besteht. Abweichend von Abschnitt 14.2 gilt für diese Direktnachrichten: Löschst Du Dein Konto, bleiben Nachrichten, die Du gesendet hast, für die Empfänger lesbar, jedoch ohne Zuordnung zu Deinem Profil. Gemeldete Nachrichten bewahren wir nur so lange gesondert auf, wie es die Bearbeitung der Meldung und eine mögliche Beschwerde erfordern.

Löschung und Datenexport

Löschst Du Dein Konto, löschen wir nach Ablauf der Karenzzeit (Abschnitt 14.2) Deine Beiträge samt Bildern und Videos, Deine „Gefällt mir"-Angaben sowie Deine Folgen- und Blockier-Beziehungen; Dein Profil wird anonymisiert. Meldungen, die Du selbst abgegeben hast, lösen wir von Deinem Konto. Besteht zu einem Deiner Beiträge noch ein Vorgang (Meldung, Entscheidung oder Beschwerde), bewahren wir den für diesen Vorgang gesicherten Inhalt ohne Bezug zu Deinem Konto und nur für diesen Vorgang auf, bis die oben genannten Fristen abgelaufen sind; von Deinen übrigen Beiträgen behalten wir keine Kopie.

Der Datenexport (Abschnitt 14.1) enthält auch Deine Beitragsdaten samt Angaben zu den Bildern (nicht die Bilddateien selbst), Deine „Gefällt mir"-Angaben, die Konten und Betriebe, denen Du folgst, die von Dir blockierten Konten und Deine eigenen Meldungen. Kopien Deiner Bilder kannst Du unter datenschutz@mallorca.com anfordern.

---

Mallorca.com-Pass

Dieser Abschnitt ergänzt die übrigen Abschnitte für den Mallorca.com-Pass und die Angebote teilnehmender Betriebe.

Wenn Du einen Pass kaufst

Was wir verarbeiten. Die Kennung Deines Mallorca.com-Kontos, Preis und Laufzeit, die Sprache, die Fassung der Bedingungen, denen Du zugestimmt hast, Deine Kündigung, Deine Zustimmung zum sofortigen Beginn des Passes (Zeitpunkt, Fassung des Textes, Sprache), das Land, das Dein Gerät als Region eingestellt hat, sowie die Zahlungsdaten aus Abschnitt 10.4. Wir verwenden diese Angaben, um den Pass bereitzustellen, abzurechnen, zu kündigen und zu erstatten. Das Land der Geräte-Region nutzen wir nur für Statistiken.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung von Zahlungsbelegen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

Wenn Du ein Angebot einlöst

Was wir verarbeiten. Zu jeder Einlösung speichern wir den Betrieb, Zeitpunkt und Kalendertag, die Gruppengröße, das eingelöste Angebot, einen geschätzten Wert, Deinen Vornamen mit dem ersten Buchstaben Deines Nachnamens und eine zufällige Kennung Deiner App-Installation. Standortdaten speichern wir dabei nicht. Wir brauchen diese Angaben, um den Live-Gutschein anzuzeigen, die Grenzen der Betriebe (zum Beispiel wie oft Du ein Angebot dort nutzen darfst) einzuhalten, Missbrauch zu erkennen und Dir Deine Ersparnis anzuzeigen. Zur Begrenzung missbräuchlicher Anfragen verarbeiten wir Deine IP-Adresse kurzzeitig im Arbeitsspeicher des Servers.

Was der Betrieb sieht. Der Betrieb erhält von uns keine Daten über Dich. Er sieht nur, was Du ihm auf Deinem Bildschirm zeigst: den Live-Gutschein mit Name des Betriebs, Deinem Vornamen mit dem ersten Buchstaben Deines Nachnamens, der Gruppengröße und dem Angebot. Wir und der Betrieb sind jeweils eigenständig verantwortlich; eine gemeinsame Verantwortlichkeit besteht nicht.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO; für die Missbrauchserkennung Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, die Regeln des Angebots gegenüber Gästen und Betrieben durchzusetzen).

Push-Mitteilungen

Erlaubst Du Mitteilungen, speichern wir die Push-Kennung Deines Geräts. Für die Zustellung nutzen wir den Dienst Expo der 650 Industries, Inc. (USA), der die Mitteilung an den Dienst von Apple (Apple Push Notification Service) oder Google (Firebase Cloud Messaging) weitergibt. Expo verarbeitet die Daten in unserem Auftrag gemäß Art. 28 DSGVO; die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln beziehungsweise des EU-US Data Privacy Framework. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Du in den Einstellungen Deines Geräts jederzeit widerrufen kannst.

Für teilnehmende Betriebe

Was wir verarbeiten. Name, E-Mail-Adresse und Telefonnummer der Kontaktperson, die wir zur Aktivierung anschreiben, und die Kennung des Kontos, das das Angebot verwaltet. Dazu kommt der Nachweis der Zustimmung zu den Teilnahmebedingungen (Konto, Zeitpunkt, Fassung, Wortlaut, Sprache und ein Prüfwert des Textes). Ferner verarbeiten wir die Angebotsdaten: Angebotsart, Wochentage, Sperrtage, Ausschlüsse, Grenzen je Gast, eigene Hinweise und Fotos. Beim Aktivierungslink speichern wir zum Schutz vor Missbrauch nur Prüfwerte (Hashwerte) der eingegebenen E-Mail-Adresse und der IP-Adresse; Nachschlagevorgänge löschen wir nach 48 Stunden.

Automatische Prüfung. Eigene Hinweise und Fotos prüfen wir vor der Veröffentlichung automatisch mit dem Moderationsdienst von OpenAI (OpenAI Ireland Ltd., Dublin, Irland, und OpenAI, L.L.C., San Francisco, USA); übermittelt wird nur der Hinweistext beziehungsweise das Foto. OpenAI verarbeitet die Daten in unserem Auftrag gemäß Art. 28 DSGVO; die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework beziehungsweise der EU-Standardvertragsklauseln. Für Fotos gilt zusätzlich Abschnitt 10.10. Lehnen wir einen Hinweis oder ein Foto ab, nennen wir den Grund; Du kannst eine Prüfung durch einen Menschen verlangen. Fotos speichern wir ohne die eingebetteten Zusatzangaben (zum Beispiel Aufnahmeort und Gerät) bei Supabase (Abschnitt 10.2) und zeigen sie öffentlich beim Angebot.

Rechtsgrundlage. Für Daten des Betriebs und seiner Kontaktperson Art. 6 Abs. 1 lit. b DSGVO, soweit der Betrieb selbst Vertragspartner ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, mit dem Betrieb zusammenzuarbeiten). Für den Zustimmungsnachweis gilt Art. 6 Abs. 1 lit. f DSGVO (Nachweis des Vertragsschlusses) in Verbindung mit Art. 3 der Verordnung (EU) 2019/1150. Erkennbare Personen auf Fotos dürfen nur mit ihrem Einverständnis gezeigt werden; dafür steht der Betrieb ein.

Speicherdauer

• Pass, Zahlungen und Erstattungen: solange der Pass läuft, danach bis zum Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen von bis zu zehn Jahren für Zahlungsbelege.
• Einlösungen: solange Dein Konto besteht. Löschst Du Dein Konto, entfernen wir aus den Einlösungen die Zuordnung zu Dir, Deinen Namen und die Gerätekennung; übrig bleiben anonyme Zahlen.
• Zustimmungsnachweise von Betrieben: für die Dauer der Teilnahme und danach bis zum Ablauf von fünf Jahren (Verjährung nach Art. 1964 des spanischen Código Civil).
• Angebotsdaten und Fotos: bis der Betrieb sie löscht oder die Teilnahme endet; Fotos löschen wir spätestens 30 Tage danach.

Deine Rechte

Es gelten die Rechte aus Abschnitt 14. Der Datenexport (Abschnitt 14.1) und die Kontolöschung (Abschnitt 14.2) umfassen auch Deine Pass-Daten und Einlösungen; Zahlungsbelege bewahren wir trotz Löschung so lange auf, wie wir gesetzlich dazu verpflichtet sind.

---

Online-Widerruf

Widerrufserklärung

Wenn Du über die Funktion „Vertrag widerrufen“ einen Vertrag widerrufst, verarbeiten wir:

• Deinen Namen
• die Vertragsart und Deine Angaben zum Vertrag (zum Beispiel Bestellnummer, Anzeige, Eintrag oder die E-Mail-Adresse Deines Kontos)
• die E-Mail-Adresse, an die wir die Eingangsbestätigung senden
• Datum und Uhrzeit des Eingangs, eine Belegnummer und die Sprache, in der Du die Erklärung abgegeben hast
• wenn Du über den Widerrufs-Link einer Bestellung widerrufst: die Zuordnung zu dieser Bestellung
• wenn Du angemeldet bist: die Kennung Deines Kontos als Nachweis, dass die Erklärung aus Deinem Konto stammt
• den Stand des Versands der Eingangsbestätigung und den Stand der Bearbeitung einschließlich eines Bearbeitungsvermerks und der Kennung der bearbeitenden Person

Wir verwenden diese Daten, um Deinen Widerruf entgegenzunehmen, Dir den Eingang zu bestätigen, den Widerruf dem Vertrag zuzuordnen und ihn abzuwickeln. Gibst Du beim Widerruf eines Erlebnis-Gutscheins eine E-Mail-Adresse an, gleichen wir sie mit den E-Mail-Adressen offener Bestellungen ab, um Dir den Widerrufs-Link Deiner Bestellung erneut an die Adresse der Bestellung zu senden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB (Pflicht, eine elektronische Widerrufsfunktion bereitzustellen und den Eingang zu bestätigen) sowie Art. 6 Abs. 1 lit. b DSGVO (Rückabwicklung des Vertrags).

Eingangsbestätigung und Belegseite

Die Eingangsbestätigung senden wir per E-Mail über unseren Versanddienstleister (siehe Abschnitt 10.3). Sie enthält die Angaben aus Deiner Erklärung sowie Datum und Uhrzeit des Eingangs. Dieselben Angaben zeigen wir Dir auf einer Belegseite an. Diese Seite ist nur über die Belegnummer erreichbar, die in der Adresse der Seite und in der Eingangsbestätigung steht; sie bleibt abrufbar, solange wir die Erklärung speichern. Gib den Link nicht weiter, wenn andere die Angaben nicht sehen sollen.

Schutz vor Missbrauch

Zusätzlich speichern wir einen Hash Deiner IP-Adresse (SHA-256, keine Klartextspeicherung) und zählen, wie viele Eingangsbestätigungen in der letzten Stunde an eine E-Mail-Adresse und von einem Anschluss ausgelöst wurden. Das dient ausschließlich dazu, den massenhaften Missbrauch der Funktion zu begrenzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz Dritter vor unerwünschten E-Mails und im Schutz der Funktion. Den Hash löschen wir nach 30 Tagen.

Speicherdauer

Die Widerrufserklärung und den Nachweis ihrer Abwicklung bewahren wir bis zum Ablauf von drei Jahren nach dem Ende des Jahres auf, in dem der Vorgang abgeschlossen wurde. So lange können Ansprüche aus dem widerrufenen Vertrag geltend gemacht werden (regelmäßige Verjährung, §§ 195, 199 BGB); wir müssen den Eingang und die Abwicklung in dieser Zeit nachweisen können (Art. 6 Abs. 1 lit. f DSGVO, Art. 17 Abs. 3 lit. e DSGVO). Solange ein Vorgang nicht abgeschlossen ist, bleibt die Erklärung gespeichert. Soweit steuer- oder handelsrechtliche Aufbewahrungspflichten für Zahlungsbelege gelten, bleiben diese unberührt.

Deine Rechte

Es gelten die in Abschnitt 14 genannten Rechte. Eine vorzeitige Löschung kannst Du unter datenschutz@mallorca.com verlangen, soweit wir die Daten nicht mehr für den Nachweis benötigen.

---

Stand: 2026-10-27