Datenschutzerklärung

GMH Holding LLC, a New Jersey limited liability company operating as GetMyHotels, is the data controller for personal data processed through our website, mobile app, and customer support channels.

Eingetragener Sitz: 1575 Harbor Blvd, Apt 3210, Weehawken, NJ 07086, Vereinigte Staaten.

Datenschutzbeauftragter: privacy@getmyhotels.com.

Aufsichtsbehörden, an die du dich in unseren Märkten wenden kannst: Information Commissioner's Office (ICO, UK), Commission Nationale de l'Informatique et des Libertés (CNIL, Frankreich), Garante per la protezione dei dati personali (Italien), Datatilsynet (Dänemark), Agencia Española de Protección de Datos (AEPD, Spanien), Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI, Deutschland), Autoriteit Persoonsgegevens (AP, Niederlande) sowie weitere Behörden der EU-Mitgliedstaaten. Indien: Data Protection Board of India (DPDPA).

Account data: name, email, hashed password, optional phone number (verified via Telnyx OTP), avatar, language/currency/country preference, and address fields you choose to add.

Buchungsdaten: Reisedaten, Reiseziele, Angaben zu Reisenden, Zimmer-/Flug-/Transferauswahl und tokenisierte Referenzen der Zahlungsmethode. Rohe Kartennummern speichern wir nie.

Nutzungsdaten: Gerätetyp, Betriebssystemversion, Browser, ungefährer aus der IP abgeleiteter Standort, aufgerufene Bildschirme oder Seiten und Interaktionen mit dem KI-Chat. Sprachtranskripte werden nur für die Dauer der KI-Antwort vorgehalten und danach verworfen.

Kommunikation: Support-Tickets, KI-Chatverlauf und Nachrichten, die mit Hotels ausgetauscht wurden.

Technisch: Cookies (unbedingt erforderlich, Präferenzen, Analyse, Marketing) — Einzelheiten in der Cookie-Richtlinie.

Besondere Kategorien: Wir erheben keine Gesundheits-, biometrischen, ethnischen, religiösen oder politischen Daten.

Vertragserfüllung (DSGVO Art. 6 Abs. 1 lit. b): Buchung, Zahlung, Leistungserbringung und Kundensupport.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Betrugsprävention, Plattformsicherheit, anonymisierte Produktanalysen und Verbesserung unseres KI-Assistenten. Du kannst jederzeit widersprechen.

Consent (Art. 6(1)(a)): marketing email/SMS/push, non-essential cookies, and using your chat content for AI training. AI training is opt-out by default — toggle the \"ai.training\" consent in settings to opt in.

Legal obligation (Art. 6(1)(c)): tax and accounting records, sanctions screening (OFAC/EU/UN), and anti-money-laundering checks for high-value bookings.

Booking partners (suppliers): HotelTrader, Xeni, TBO, and Uber (transfers). They receive only what is needed to fulfil your booking — guest names, dates, and itinerary details.

Hotels und Fluggesellschaften: als Datenempfänger, um deine Reservierung zu erfüllen.

Zahlungen: Stripe. PCI-DSS-konform. Kartendaten werden tokenisiert und erreichen unsere Server nie.

E-Mail-Versand: Resend (USA) — transaktionale und, mit Einwilligung, Marketing-E-Mails.

SMS: Telnyx LLC (USA) — Telefonverifizierung, zeitkritische Buchungshinweise und, mit Einwilligung, Marketing.

KI-Inferenz: Anthropic (USA), OpenAI einschließlich GPT und Whisper (USA), Groq (USA), Baseten (USA) und Braintrust (USA, Evaluierung/Observability).

Karten und Suche: Mapbox (USA), Google Places (USA) und Tavily (USA, Websuche für den Assistenten).

Optionale Analysen: PostHog (USA), nur nach Einwilligung in Analysen. Dies umfasst Nutzungsereignisse und stichprobenartige Sitzungsaufzeichnungen, bei denen Text und Bilder maskiert sind.

Hosting und Infrastruktur: Cloudflare (Workers + Hyperdrive, global), PlanetScale (PostgreSQL, USA) und Upstash (Redis-Cache, global).

Authentifizierung: Better Auth — selbst gehostet auf unserer Infrastruktur. Kein Dritter erhält deine Zugangsdaten.

Behörden: wenn wir gesetzlich zur Offenlegung verpflichtet sind oder um Betrug oder Schaden abzuwenden.

Jeder Unterauftragsverarbeiter arbeitet auf Grundlage eines Auftragsverarbeitungsvertrags. Wir verkaufen deine personenbezogenen Daten nicht.

Die meisten unserer Unterauftragsverarbeiter sitzen in den Vereinigten Staaten. Für Übermittlungen aus dem EWR stützen wir uns auf die Standardvertragsklauseln (SCC) der Europäischen Kommission von 2021, ergänzt um zusätzliche Maßnahmen, wo erforderlich.

Für Übermittlungen aus dem Vereinigten Königreich nutzen wir das UK International Data Transfer Agreement (IDTA) oder das UK-Addendum zu den SCC.

Für Übermittlungen aus Indien stützen wir uns auf Abschnitt 16 des DPDPA — sobald die indische Regierung eine Liste beschränkter Länder veröffentlicht, veröffentlichen wir hier unseren aktualisierten Übermittlungsmechanismus.

Wo Angemessenheitsbeschlüsse bestehen (z. B. Kanada, Japan, Südkorea, das Vereinigte Königreich nach Anerkennung durch die EU), stützen wir uns auf diese.

Profildaten: solange dein Konto aktiv ist, zuzüglich 30 Tage nach einem Löschantrag, um eine Wiederherstellung zu ermöglichen.

Buchungs- und Rechnungsunterlagen: 10 Jahre, zur Erfüllung steuerlicher und buchhalterischer Pflichten in unseren Märkten.

Sprachtranskripte: werden nach Erzeugung der KI-Antwort verworfen — in der Regel in weniger als 30 Sekunden.

Anonymisierte Analysedaten: werden unbefristet aufbewahrt.

Einwilligungsnachweise: 7 Jahre (Vorgabe des DPDPA).

Audit logs: 7 years.

Treffer aus dem Sanktionsabgleich: 5 Jahre.

Marketing-Sperrliste (Abmeldungen / STOP-Anfragen): wird unbefristet aufbewahrt, damit wir dich nicht versehentlich erneut kontaktieren.

Access (GDPR Art. 15) — \"Download my data\" in your profile produces a machine-readable JSON export.

Rectification (Art. 16) — edit your profile directly in the app or web.

Erasure (Art. 17) — \"Delete my account\" in your profile. There is a 30-day grace period before personal identifiers are removed; bookings and financial records are retained for legal/accounting obligations.

Restriction (Art. 18) — email privacy@getmyhotels.com.

Datenübertragbarkeit (Art. 20) — derselbe JSON-Export wie beim Auskunftsrecht.

Object (Art. 21) — opt out of marketing in settings; opt out of AI training via the \"ai.training\" consent toggle.

No solely automated decisions with legal effect (Art. 22) — see section 8.

Einwilligung widerrufen (Art. 7 Abs. 3) — jederzeit über die Einstellungen oder schriftlich an uns.

Beschwerde bei einer Aufsichtsbehörde einlegen — ICO (UK), CNIL (FR), Garante (IT), Datatilsynet (DK), AEPD (ES), BfDI (DE), AP (NL) oder der Behörde deines EU-Mitgliedstaats.

Kalifornien (CCPA/CPRA): Recht auf Auskunft, Löschung und Berichtigung, Recht auf Widerspruch gegen den Verkauf (wir verkaufen nicht) sowie Recht, die Nutzung sensibler personenbezogener Daten einzuschränken (wir erheben keine).

Indien (DPDPA): Rechte auf Auskunft, Berichtigung, Löschung und Beschwerdeabhilfe sowie das Recht, eine Person zu benennen, die deine Rechte im Fall der Handlungsunfähigkeit ausübt.

Unser KI-Assistent schlägt Reisen, Hotels, Flüge und Reisepläne vor. Ein Mensch (du) prüft und bestätigt stets die endgültige Buchung — wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

Spracheingaben werden von OpenAI Whisper transkribiert und nach Erzeugung der Antwort verworfen.

Chat content is used to improve our AI assistant only with your explicit consent (the \"ai.training\" purpose, opt-out by default).

Inference providers (Anthropic, OpenAI, Groq, Baseten, Braintrust) process your queries under enterprise no-training agreements where available.

We use four cookie categories: strictly necessary (always on), preferences, analytics, and marketing. The cookie banner lets you accept all, reject non-essential, or customise per category.

You can change your choices at any time from the \"Manage cookies\" link in the footer or from settings.

GetMyHotels is not directed at children under 13 (United States) or 16 (European Economic Area). We confirm age at signup.

Erfahren wir, dass wir personenbezogene Daten eines Kindes unterhalb des maßgeblichen Alters erhoben haben, löschen wir das Konto und alle zugehörigen Daten.

Encryption in transit: TLS 1.2 or higher for all client connections.

Verschlüsselung im Ruhezustand: transparente PostgreSQL-Datenverschlüsselung auf PlanetScale.

Tokenisierte Zahlungen: PCI-DSS-konform über Stripe. Rohe Kartendaten berühren unsere Infrastruktur nie.

Ratenbegrenzung und Bot-Erkennung an den Authentifizierungs- und Buchungs-Endpunkten.

Zwei-Faktor-Authentifizierung für alle Konten verfügbar (Web).

Audit-Protokolle administrativer Aktionen, 7 Jahre aufbewahrt.

Ist eine Verletzung des Schutzes personenbezogener Daten voraussichtlich mit einem Risiko für deine Rechte und Freiheiten verbunden, melden wir sie der zuständigen Aufsichtsbehörde binnen 72 Stunden nach Kenntnisnahme, wie in Art. 33 DSGVO vorgeschrieben.

Ist die Verletzung voraussichtlich mit einem hohen Risiko für dich verbunden, benachrichtigen wir dich unverzüglich direkt, im Einklang mit Art. 34.

Diese Richtlinie ist oben datiert. Wir planen, registrierte Nutzer bei wesentlichen Änderungen per E-Mail zu informieren; bis dieser Versand aktiv ist, sieh bitte regelmäßig auf dieser Seite nach.

Unwesentliche Änderungen (Tippfehler, Klarstellungen) können ohne Ankündigung vorgenommen werden.

Privacy questions, data subject requests, or DPO contact: privacy@getmyhotels.com.

Postanschrift: 1575 Harbor Blvd, Apt 3210, Weehawken, NJ 07086, Vereinigte Staaten.