Datenschutzerklärung.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO und der norwegischen Personopplysningsloven ist:

Nordic Curator AS, Oslo, Norwegen (Anschrift und Vertretung siehe Impressum).
Kontakt für Datenschutzanfragen: hallo@nordiccurator.com

2. Welche Daten wir verarbeiten

Wir halten den Umfang bewusst klein. Drei Kategorien:

• Reiseplanungsdaten, die Sie uns überlassen. Name, E-Mail-Adresse, Zeitraum und Region Ihrer Reise, Art der Reise, Personenzahl, Hinweise zu Ernährung oder Barrierefreiheit sowie etwaige Freitext-Anmerkungen in Ihrer Anfrage.
• Technische Daten, die unser Hosting automatisch erhebt. IP-Adresse (kurzzeitig zur Abwehr von Missbrauch durch unseren Edge-Provider Cloudflare gespeichert), Browsertyp und ungefähres Herkunftsland (für die richtige regionale Inhaltsauslieferung). Wir speichern diese Daten nicht selbst.
• Aggregierte Webanalyse. Seitenaufrufe, Verweisquelle, anonymisierte Geräteklasse. Wir nutzen eine eigene, selbst gehostete Analyse-Lösung (Supabase, EU-Region) ohne Cookies, ohne IP-Speicherung und ohne personenbezogene Kennungen. Keine Daten werden an Google, Meta oder andere Drittanbieter übermittelt.

Wir erheben keine Passnummern, Zahlungskartendaten oder besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (Gesundheit, Religion, politische Einstellungen). Sofern der norwegische Veranstalter solche Daten für die Buchung benötigt, geben Sie sie direkt an ihn weiter.

3. Rechtsgrundlagen

Wir verarbeiten Ihre Daten auf folgenden Grundlagen:

• Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Wenn Sie uns mit einer Reiseanfrage schreiben, verarbeiten wir Ihre Daten, um Ihre Anfrage zu beantworten und Sie - sofern Sie zustimmen - dem passenden norwegischen Veranstalter vorzustellen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für aggregierte Webanalyse, den Schutz unserer Website vor Missbrauch sowie für die redaktionelle Vermittlungsdokumentation (die zugleich die Grundlage unserer Provision ist). Sie können der Verarbeitung jederzeit widersprechen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Soweit wir Sie ausdrücklich um eine Einwilligung bitten - derzeit nur für nicht-notwendige Cookies, die standardmäßig deaktiviert sind, bis Sie aktiv zustimmen.

4. Empfänger Ihrer Daten

Wir geben Daten nur in dem Umfang weiter, wie es für unsere Tätigkeit notwendig ist:

• Der norwegische Veranstalter Ihrer Wahl. Sobald Sie eine Empfehlung annehmen und wir Sie vorstellen, übermitteln wir dem Veranstalter Ihren Namen, Ihre Kontaktdaten und den relevanten Reisekontext (Termine, Gruppengröße, ggf. Ernährungs- oder Barrierefreiheits-Hinweise). Ab diesem Zeitpunkt wird der Veranstalter zum eigenständigen Verantwortlichen unter seinen eigenen Bedingungen.
• Technische Auftragsverarbeiter. Resend (Transaktions-E-Mails), Supabase (Datenbank-Hosting in der EU), Cloudflare (Edge-Hosting und Sicherheit) sowie Anthropic bzw. Google für den auf Ihrer Anfrage basierenden Chat-Assistenten. Mit jedem besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Wir nutzen keine Werbe-, Marketing- oder Tracking-Dienstleister.

Wir verkaufen, vermieten oder teilen Ihre Daten nicht mit Werbenetzwerken, Adressbrokern oder anderen Dritten zur eigenen Verwendung.

5. Speicherdauer

• Aktive Anfragen: bis zu 24 Monate nach Ihrem letzten Kontakt, für den Fall, dass Sie zurückkehren.
• Abgeschlossene Buchungen: bis zu 5 Jahre als Vermittlungsbeleg, wie es das norwegische Buchführungsgesetz (Bokføringsloven) verlangt.
• Server-Logs: in der Regel 30 Tage, länger nur bei laufenden Sicherheitsuntersuchungen.
• Aggregierte Analyse: unbegrenzt in anonymisierter Form (keine personenbezogenen Kennungen).

6. Drittlandübermittlung

Unsere Infrastruktur liegt - soweit möglich - im Europäischen Wirtschaftsraum. Wo ein Auftragsverarbeiter außerhalb des EWR sitzt (z. B. bestimmte Cloudflare- und Google-Dienste), erfolgt die Übermittlung entweder auf Grundlage eines EU-Angemessenheitsbeschlusses oder gestützt auf Standardvertragsklauseln (SCC) mit ergänzenden Maßnahmen nach Schrems II. Wir hashen IP-Adressen in Einwilligungsprotokollen als Schrems-II-konforme Schutzmaßnahme.

Da unser Sitz in Norwegen liegt, das zum EWR gehört, fällt eine Übermittlung von der EU nach Norwegen nicht unter den Drittlandbegriff der DSGVO.

7. Ihre Rechte

Nach Art. 15-22 DSGVO und der norwegischen Personopplysningsloven haben Sie das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten.
• Berichtigung unrichtiger oder veralteter Angaben.
• Löschung Ihrer Daten (Recht auf Vergessenwerden), vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Einschränkung der Verarbeitung oder Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen.
• Datenübertragbarkeit - eine maschinenlesbare Kopie der von Ihnen bereitgestellten Daten.
• Widerruf einer Einwilligung mit Wirkung für die Zukunft.

Zur Ausübung schreiben Sie an hallo@nordiccurator.com. Wir antworten in der Regel innerhalb von fünf Werktagen, spätestens innerhalb der gesetzlichen 30-Tage-Frist.

Sie haben außerdem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. Zuständig ist primär die norwegische Datenschutzbehörde (Datatilsynet); Sie können sich aber auch an die Aufsicht Ihres Wohnsitzes wenden - in Deutschland an die BfDI bzw. an die zuständige Landesdatenschutzbehörde, in Österreich an die Datenschutzbehörde (DSB) und in der Schweiz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).

8. Cookies und Tracking

Wir setzen technisch notwendige Cookies nur in dem Maß ein, das für die Grundfunktion der Website erforderlich ist (z. B. zur Erinnerung Ihrer bevorzugten Währung und Region). Diese Cookies sind first-party, enthalten keine personenbezogenen Kennungen und werden nicht an Dritte weitergegeben.

Wir setzen keine Tracking-Cookies und keine Drittanbieter-Skripte ein - weder Google Analytics, Google Tag Manager oder Google Ads, weder Meta Pixel oder Facebook Login, weder TikTok-Pixel, LinkedIn Insight, Hotjar, Microsoft Clarity noch ähnliche Werkzeuge. Unsere Analyse ist intern und cookielos.

9. Minderjährige

Unser Angebot richtet sich an Erwachsene, die Reisen planen. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Sollten Sie Kenntnis davon erlangen, dass ein Kind uns personenbezogene Daten übermittelt hat, bitten wir um eine Nachricht, damit wir diese löschen können.

10. Änderungen dieser Erklärung

Wir aktualisieren diese Datenschutzerklärung gelegentlich, insbesondere wenn wir Funktionen ergänzen oder Auftragsverarbeiter wechseln. Das Datum oben auf dieser Seite gibt den letzten Stand wieder. Wesentliche Änderungen werden mindestens 30 Tage lang oben auf der Seite hervorgehoben.