Datenschutzerklärung
Stand: Oktober 2026 (aktualisiert 05.10.2026)
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Peter Wilhelm Media
Stresemannallee 52B
22529 Hamburg
E-Mail: hallo@weekend-willi.de
2. Hosting und Server-Log-Dateien
Diese Website wird auf einem dedizierten Server (Virtual Private Server, VPS) betrieben, der im Auftrag von Peter Wilhelm Media von der Wilhelm & Schömig GbR, Stresemannallee 52B, 22529 Hamburg als Auftragsverarbeiterin nach Art. 28 DSGVO verwaltet wird. Wilhelm & Schömig setzt ihrerseits die Contabo GmbH, Aschauer Str. 32a, 81549 München als Hosting-Anbieter (Unterauftragsverarbeiter) ein. Die Server stehen in der EU. Mit dem Sub-Auftragsverarbeiter Contabo besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Beim Besuch der Seite erfasst der Server automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser übermittelt. Dazu gehören:
- IP-Adresse
- Datum und Uhrzeit der Anfrage
- Aufgerufene URL und HTTP-Statuscode
- Browsertyp, Browserversion und Betriebssystem
- Referrer-URL (zuvor besuchte Seite)
Speicherdauer: Server-Log-Dateien werden in der Regel nach 7 Tagen automatisch rotiert und spätestens nach 14 Tagen gelöscht. Eine Zusammenführung mit anderen Datenquellen erfolgt nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem störungsfreien und sicheren Betrieb der Website).
Cookielose Reichweitenmessung (First-Party)
Zur Messung der Gesamtbesucherzahlen zählen wir Seitenaufrufe zusätzlich direkt auf unserem eigenen Server — ohne Cookies, ohne Zugriff auf oder Speicherung von Informationen auf Ihrem Endgerät und ohne Einbindung Dritter. Dauerhaft gespeichert werden ausschließlich aggregierte Tageswerte (Seitenaufrufe und geschätzte Besucherzahlen pro Tag und Seite). Zur Vermeidung von Doppelzählungen wird für die Dauer eines Kalendertages ein technischer Prüfwert aus IP-Adresse und Browserkennung mit einem täglich wechselnden, nicht rekonstruierbaren Schlüssel gebildet; dieser Prüfwert lässt keinen Rückschluss auf Ihre Person zu, ist tagesübergreifend nicht verknüpfbar und wird nach spätestens 3 Tagen gelöscht. IP-Adressen werden für diese Statistik zu keinem Zeitpunkt gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenschutzfreundlichen Reichweitenmessung); eine Einwilligung nach § 25 TDDDG ist nicht erforderlich, da keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden.
3. Datenbank-Hosting (Neon)
Personenbezogene und betriebliche Daten dieser Website (insbesondere Newsletter-Anmeldungen, Event-Feedback sowie Admin-Sitzungsdaten) werden in einer Postgres-Datenbank gespeichert, die von der Neon Inc., 444 De Haro St, San Francisco, CA 94107, USA als Auftragsverarbeiterin nach Art. 28 DSGVO betrieben wird. Die Datenbank-Instanz ist in der EU-Region Frankfurt (AWS eu-central-1) gehostet, die Daten liegen physisch in Deutschland.
Da Neon Inc. ein US-Unternehmen ist, kann ein Drittlandzugriff durch die US-Mutter im Einzelfall nicht ausgeschlossen werden. Neon Inc. ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Damit besteht für Übermittlungen in die USA ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO. Ergänzend gelten die EU-Standardvertragsklauseln nach Art. 46 DSGVO. Den Zertifizierungsstatus können Sie unter dataprivacyframework.gov/list einsehen.
Mit Neon besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) nach Art. 28 DSGVO. Rechtsgrundlage für die Speicherung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technischen Betrieb der Website), für Newsletter-bezogene Daten zusätzlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung; siehe Abschnitt Newsletter).
4. Google Analytics 4
Diese Website nutzt Google Analytics 4 (GA4), einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"). GA4 wird ausschließlich nach Ihrer Einwilligung im Cookie-Banner geladen. Ohne Einwilligung wird kein GA4-Script ausgeliefert und kein Tracking durchgeführt. Die Measurement-ID lautet G-7KCG8XD91S.
Drittlandtransfer in die USA
Google verarbeitet Daten unter Umständen auch in den USA. Für diese Übermittlung gilt: Google LLC ist seit dem 10. Juli 2023 unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Damit besteht für Übermittlungen in die USA an Google ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO. Ergänzend gelten die EU-Standardvertragsklauseln nach Art. 46 DSGVO. Sie können den Zertifizierungsstatus unter dataprivacyframework.gov/list einsehen.
Cookie-Banner und Einwilligung
Ohne Ihre Einwilligung wird das Google-Analytics-Script gar nicht geladen. Wir setzen keine Signale an Google im Vorfeld (kein „Consent Mode"-Standardsignal) — solange Sie im Cookie-Banner nicht aktiv zugestimmt haben, findet keine Verbindung zu Google statt, es werden keine Analyse-Cookies gesetzt und kein Tracking durchgeführt. Erst Ihr Klick auf „Ja, gerne" lädt das Script nach.
Widerrufen Sie Ihre Einwilligung später über die „Cookie-Einstellungen" im Footer, teilen wir Google für die laufende Sitzung mit, dass keine Analyse-Speicherung mehr erlaubt ist (analytics_storage = denied), und löschen die bereits gesetzten Google-Analytics-Cookies (_ga*) in Ihrem Browser.
Speicherdauer
Die in GA4 erhobenen Nutzungs- und Ereignisdaten werden 14 Monate aufbewahrt (GA4-Standardeinstellung) und danach automatisch gelöscht. Aggregierte Berichte (z. B. Seitenaufrufe pro Tag) sind davon nicht betroffen.
Widerruf der Einwilligung
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Nutzen Sie dazu den Link „Cookie-Einstellungen" im Footer dieser Website. Dort können Sie Ihre Auswahl jederzeit ändern oder zurücksetzen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Rechtsgrundlage
Die Nutzung von Google Analytics erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Weitere Informationen zum Umgang mit Nutzerdaten bei Google finden Sie in der Datenschutzerklärung von Google.
5. Cloudflare (CDN und Web Analytics)
Diese Website nutzt den Dienst Cloudflare Inc., 101 Townsend St, San Francisco, CA 94107, USA als Content-Delivery-Network (CDN) und für Web Analytics (Cloudflare Web Analytics / Browser Insights).
CDN
Cloudflare fungiert als Reverse-Proxy und Auftragsverarbeiter nach Art. 28 DSGVO. Dabei werden alle HTTP-Anfragen über Cloudflare-Server geleitet, um die Website schneller auszuliefern und vor Angriffen zu schützen. Cloudflare verarbeitet dabei zwangsläufig IP-Adressen und HTTP-Metadaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und performanten Betrieb der Website).
Zur Bot-Abwehr setzt Cloudflare das technisch notwendige Cookie __cf_bm (Laufzeit 30 Minuten) ohne Einwilligung. Es unterscheidet menschliche Besucher von automatisierten Bots und enthält keine Tracking- oder Werbe-Funktionen. Details in der Cookie-Tabelle unten.
Web Analytics (Beacon)
Cloudflare Web Analytics erfasst anonyme Leistungsdaten (Seitenladezeiten, Browserinformationen) über ein JavaScript-Beacon. Das Beacon wird erst nach Ihrer Einwilligung im Cookie-Banner geladen. Ohne Einwilligung findet kein Beacon-Tracking statt. Rechtsgrundlage für das Beacon ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO.
Es ist dieselbe Einwilligung wie für Google Analytics: Ein Klick auf „Ja, gerne" im Cookie-Banner aktiviert beide Dienste, ein Widerruf über die „Cookie-Einstellungen" beendet beide.
Drittlandtransfer in die USA
Cloudflare Inc. ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert. Damit besteht für Übermittlungen in die USA ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO. Sie können den Zertifizierungsstatus unter dataprivacyframework.gov/list einsehen.
6. Cookies und vergleichbare Technologien
Diese Website verwendet die folgenden Cookies sowie Local- und SessionStorage-Einträge. Technisch notwendige und funktionale Einträge werden ohne Einwilligung gesetzt, alle übrigen erst nach Ihrer Einwilligung im Cookie-Banner.
| Name | Anbieter | Zweck | Laufzeit | Rechtsgrundlage |
|---|---|---|---|---|
ww-cookie-consent (LocalStorage) | Weekend Willi (Erstanbieter) | Speichert Ihre Cookie-Einwilligung, damit der Banner nicht bei jedem Besuch erneut erscheint. | Bis Sie ihn löschen / „Cookie-Einstellungen" zurücksetzen | Art. 6 Abs. 1 lit. f DSGVO (technisch notwendig) |
_ga | Google Ireland Ltd. | Unterscheidet Nutzer (GA4) | 2 Jahre | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 TDDDG) |
_ga_7KCG8XD91S | Google Ireland Ltd. | Speichert Sitzungs-Status für GA4 | 2 Jahre | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 TDDDG) |
__cf_bm | Cloudflare Inc. | Bot-Management: unterscheidet menschliche Besucher von automatisierten Bots zum Schutz der Website | 30 Minuten | Art. 6 Abs. 1 lit. f DSGVO (technisch notwendig zur Abwehr von Missbrauch) |
ww-last-city (LocalStorage) | Weekend Willi (Erstanbieter) | Merkt die zuletzt besuchte Stadt, damit Merkliste und Einstiegslinks in der richtigen Stadt öffnen. | Bis Sie ihn löschen | § 25 Abs. 2 Nr. 2 TDDDG (funktional), Art. 6 Abs. 1 lit. f DSGVO |
ww-favorites, ww-favorites-venues, ww-favorites-ideen (LocalStorage) | Weekend Willi (Erstanbieter) | Ihre Merkliste: gemerkte Veranstaltungen, Orte und Ideen. Gespeichert werden nur die Kennungen der gemerkten Einträge, ausschließlich in Ihrem Browser. | Bis Sie die Einträge oder den Browser-Speicher löschen | § 25 Abs. 2 Nr. 2 TDDDG (funktional), Art. 6 Abs. 1 lit. f DSGVO |
viewed_event_ids (LocalStorage) | Weekend Willi (Erstanbieter) | Markiert in Liste und Karte, welche Veranstaltungen Sie schon geöffnet haben, damit Sie Neues schneller finden. | 30 Tage je Eintrag | § 25 Abs. 2 Nr. 2 TDDDG (funktional), Art. 6 Abs. 1 lit. f DSGVO |
was_map_drawer_open, was_azu_map_drawer_open (SessionStorage) | Weekend Willi (Erstanbieter) | Merkt, ob Sie die Kartenschublade geöffnet hatten, damit sie beim Seitenwechsel offen bleibt. Inhalt ist ausschließlich „true" oder „false". | Bis der Browser-Tab geschlossen wird | § 25 Abs. 2 Nr. 2 TDDDG (funktional), Art. 6 Abs. 1 lit. f DSGVO |
ww-welcome-seen, ww-welcome-preview (LocalStorage) | Weekend Willi (Erstanbieter) | ww-welcome-seen merkt, dass Sie die Willkommen-Sprachnachricht weggetippt oder geschlossen haben, damit sie nicht erneut erscheint (Inhalt: das Datum). ww-welcome-preview entsteht nur, wenn Sie einen Testlink mit ?moin=1 öffnen, und schaltet die Sprachnachricht für diesen Browser vorab ein (Inhalt: „1"). | Bis Sie den Eintrag oder den Browser-Speicher löschen | § 25 Abs. 2 Nr. 2 TDDDG (funktional), Art. 6 Abs. 1 lit. f DSGVO |
ww-map-consent (LocalStorage) | Weekend Willi (Erstanbieter) | Merkt, dass Sie dem Laden der Mapbox-Karte zugestimmt haben („Karte laden"), damit der Hinweis nicht auf jeder Seite erneut erscheint. Inhalt ist ausschließlich „granted". | Bis Sie den Eintrag oder den Browser-Speicher löschen | Art. 6 Abs. 1 lit. c/f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG (Nachweis und Umsetzung Ihrer Entscheidung) |
mapbox.eventData (LocalStorage) | Mapbox Inc., USA (Drittanbieter) | Anonyme Zählkennung, die Mapbox GL JS selbst setzt, sobald Sie die bewegliche Karte über „Karte laden" starten. Mapbox zählt damit Kartenaufrufe für seine Abrechnung und meldet ein Ereignis an events.mapbox.com. Ohne Ihren Klick wird der Eintrag nicht angelegt; abschalten lässt er sich nicht (Details in Abschnitt 7). | Bis Sie den Eintrag oder den Browser-Speicher löschen | § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
Sie können Ihren Browser so einstellen, dass er Sie über das Setzen von Cookies informiert oder Cookies generell ablehnt. In diesem Fall kann die Funktionalität der Website eingeschränkt sein.
Die oben genannten Einträge von Weekend Willi verlassen Ihr Gerät nicht: Sie werden nur von dieser Website selbst gelesen und nicht an uns oder an Dritte übertragen. Sie können sie jederzeit über die Website-Daten Ihres Browsers löschen — die Merkliste ist danach leer, weil sie ausschließlich dort liegt. Einzige Ausnahme ist die letzte Zeile: mapbox.eventData stammt von Mapbox und wird von Mapbox auch an events.mapbox.com gemeldet. Dieser Eintrag entsteht nur, wenn Sie die Karte ausdrücklich laden.
7. Karte und Ortssuche (Mapbox)
Diese Website bietet eine interaktive Kartenansicht zur Darstellung von Veranstaltungsorten sowie eine Ortssuche für Umkreisfilter. Dafür setzen wir die Kartenbibliothek Mapbox GL JS und die Mapbox Geocoding API der Mapbox Inc., 740 15th Street NW, 5th Floor, Washington, DC 20005, USA ein.
Laden bei Karte und Ortssuche
Mapbox wird nicht für reine Serverfunktionen oder die Wetteranzeige benötigt. Ihr Browser baut eine Verbindung zu Mapbox ausschließlich dann auf, wenn Sie die bewegliche Kartenansicht ausdrücklich über „Karte laden" starten — auf Stadtseiten, in der Ausflugsziele-Übersicht und unter dem Kartenbild in Magazin-Beiträgen. Das gilt auf Mobilgeräten genauso wie am Rechner. Ohne diesen Klick wird keine Kartenkachel geladen und keine Mapbox-Bibliothek gestartet.
Die Ortssuche im Umkreisfilter und das statische Kartenbild in Magazin-Beiträgen erreichen Mapbox nur noch über unseren Server (siehe unten) — Ihr Browser kontaktiert Mapbox dafür nicht.
Übermittelte Daten
Beim Laden der Karte werden Kartenkacheln (Map Tiles) von Mapbox-Servern abgerufen. Dabei wird Ihre IP-Adresse an Mapbox übermittelt. Mapbox erfasst zudem technische Informationen wie Browsertyp, Betriebssystem und Geräteinformationen. Ihre Suchanfragen aus der Ortssuche (z. B. Straßennamen oder Stadtteile) werden über die Mapbox Geocoding API verarbeitet — diese Anfragen stellt unser Server, nicht Ihr Browser.
Die Performance-Metriken von Mapbox GL JS sind deaktiviert (performanceMetricsCollection=false). Davon unabhängig legt die Kartenbibliothek beim ersten Kartenaufbau einen Eintrag mapbox.eventData (mit Unterschlüsseln wie mapbox.eventData.uuid:…) im LocalStorage Ihres Browsers an. Darin steht eine zufällig erzeugte, von Mapbox gesetzte anonyme Zählkennung; Mapbox verwendet sie, um Kartenaufrufe für die Abrechnung zu zählen, und übermittelt dazu ein Ereignis an events.mapbox.com. Diese Zählkennung lässt sich in Mapbox GL JS nicht abschalten — wir können sie technisch nicht unterdrücken, ohne die Karte abzuschalten. Der Eintrag bleibt liegen, bis Sie die Website-Daten Ihres Browsers löschen.
Weil dieser Eintrag nicht unbedingt erforderlich ist, laden wir die Karte erst nach einem ausdrücklichen Klick auf „Karte laden". Vor diesem Klick wird keine Verbindung zu Mapbox aufgebaut und nichts in Ihrem Browser gespeichert. Ihre Wahl merken wir unter dem Schlüssel ww-map-consent im LocalStorage (Tabelle in Abschnitt 6); löschen Sie ihn, erscheint der Hinweis wieder. Für die Zählkennung stützen wir uns damit auf § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Die Ortssuche und das statische Kartenbild in Magazin-Beiträgen laufen dagegen über unseren eigenen Server: Ihr Browser fragt nur weekend-willi.de, wir holen Suchergebnis bzw. Bild bei Mapbox. Dabei wird Ihre IP-Adresse nicht an Mapbox übermittelt und es wird nichts in Ihrem Browser gespeichert. Der eingegebene Suchbegriff (z. B. ein Straßenname) wird an Mapbox weitergegeben, ohne ihn Ihnen zuordnen zu können.
Standortermittlung
Wenn Sie die Funktion „In meiner Nähe" nutzen, fragt Ihr Browser Ihren Standort über die Geolocation-API des Browsers ab. Ihr Browser bittet Sie zuvor um Erlaubnis. Ohne diese Freigabe können Sie stattdessen eine Adresse oder einen Stadtteil eingeben.
Die ermittelten Koordinaten werden verwendet, um Veranstaltungen im gewählten Radius zu filtern und die Kartenansicht passend auszurichten. Dafür werden die Koordinaten als URL-Parameter an Weekend Willi übermittelt. Wir speichern diese Standortdaten nicht dauerhaft in der Datenbank und geben sie nicht an Mapbox weiter; sie können jedoch technisch in Server-Logs erscheinen, solange diese Logs für Betrieb und Sicherheit vorgehalten werden.
Speicherdauer
Laut Mapbox werden IP-Adressen nach 30 Tagen gelöscht. Zufällig generierte Sitzungs-IDs werden innerhalb von 24 Stunden von den Standortdaten getrennt.
Drittlandtransfer in die USA
Mapbox Inc. ist unter dem EU-US Data Privacy Framework (DPF), der UK Extension und dem Swiss-US DPF zertifiziert (Teilnehmer-Nr. 5640). Stand unserer letzten Prüfung im Register — 27. September 2026 — sind alle drei Zertifizierungen „Active"; nächster Rezertifizierungstermin ist der 13. November 2026. Die EU-US-Zertifizierung läuft seit dem 17. Mai 2017 (zunächst unter dem Vorgänger Privacy Shield), die UK Extension seit dem 5. Dezember 2023. Damit besteht für Übermittlungen in die USA ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO. Ergänzend stellt Mapbox ein Data Processing Agreement (DPA) mit EU-Standardvertragsklauseln nach Art. 46 DSGVO bereit. Sie können den Zertifizierungsstatus unter dataprivacyframework.gov/list einsehen. Weitere Informationen finden Sie in der Datenschutzerklärung von Mapbox.
Rechtsgrundlage
Für das Laden der beweglichen Karte und die dabei von Mapbox gesetzte Zählkennung: § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung über „Karte laden"). Sie können sie jederzeit widerrufen, indem Sie den Eintrag ww-map-consent in den Website-Daten Ihres Browsers löschen; danach lädt die Karte wieder nur nach erneutem Klick.
Für die serverseitige Ortssuche und das statische Kartenbild: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung von Veranstaltungsorten und passender Veranstaltungen im Umkreis) — hier werden keine Daten auf Ihrem Endgerät gespeichert und Ihre IP-Adresse wird Mapbox nicht offengelegt. Die browserbasierte Standortermittlung erfolgt nur nach Ihrer aktiven Freigabe; insoweit stützen wir uns auf Art. 6 Abs. 1 lit. a DSGVO. Soweit für die Kartendarstellung technisch notwendige Informationen auf Ihrem Endgerät verarbeitet werden, erfolgt dies nach § 25 Abs. 2 Nr. 2 TDDDG.
8. Wetterdaten (Open-Meteo)
Auf einigen Seiten zeigen wir eine Wetter-Vorhersage für Hamburg an. Die Daten stammen vom kostenlosen Wetterdienst Open-Meteo (Open-Meteo, Bühl, Schweiz).
Die Wetter-Abfrage erfolgt ausschließlich serverseitig mit fest verdrahteten Hamburg-Koordinaten. Es werden keine personenbezogenen Daten (auch keine IP-Adressen) an Open-Meteo übermittelt. Ihr Browser kommuniziert nicht direkt mit Open-Meteo.
9. Admin-Bereich
Der Admin-Bereich ist durch ein Passwort-Login mit Session-Cookie geschützt und ausschließlich für Redaktion und Betrieb dieser Website bestimmt. Für angemeldete Admin-Nutzer:innen werden technisch notwendige Session-Cookies gesetzt (httpOnly, Secure, SameSite=Lax; Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am sicheren Betrieb des Backends). Für reguläre Besucher:innen der Website hat dieser Bereich keine Auswirkungen.
10. KI-gestützte Verarbeitung (Auftragsverarbeiter)
Zur redaktionellen Aufbereitung von Veranstaltungsdaten und zur internen Qualitätssicherung setzen wir KI-Sprachmodelle und KI-Bildgenerierungsdienste ein. Nachfolgend informieren wir Sie über die eingesetzten Auftragsverarbeiter und die jeweils verarbeiteten Daten.
Redaktion und Bildgenerierung
Veranstaltungsbeschreibungen und Vorschaubilder werden automatisch aus öffentlich zugänglichen Veranstaltungsdaten (Titel, Ort, Kategorie) erzeugt. Es werden dabei keine personenbezogenen Nutzerdaten an diese Dienste übermittelt.
Unser einziger direkter Vertragspartner für KI-Modelle ist OpenRouter. Sämtliche Modellanfragen laufen über dieses eine Gateway; wir haben zu den Modell-Anbietern selbst keine Verbindung und rufen sie nicht direkt auf.
- OpenRouter, Inc., 169 Madison Avenue, Suite 2404, New York, NY 10016, USA – API-Gateway für KI-Modelle, Auftragsverarbeiter nach Art. 28 DSGVO. Für Drittlandübermittlungen in die USA gelten EU-Standardvertragsklauseln nach Art. 46 DSGVO; eine Zertifizierung unter dem EU-US Data Privacy Framework besteht nicht.
OpenRouter leitet die Anfrage je nach Modell an einen der folgenden Unterauftragnehmer weiter. Für deren Drittlandübermittlungen gelten ebenfalls EU-Standardvertragsklauseln nach Art. 46 DSGVO:
- Google (Gemini) – Sprachmodell für redaktionelle Texte und Bildmodell für Vorschaubilder
- Perplexity (Sonar) – Recherche in öffentlich zugänglichen Webquellen
- Black Forest Labs (FLUX) – KI-Bildgenerierung
- OpenAI – Sprach- und Bildmodelle
Kein Training mit unseren Eingaben: Jede Anfrage enthält die technische Weisung, ausschließlich an Anbieter zu routen, die die übermittelten Inhalte nicht zum Training ihrer Modelle verwenden. Zusätzlich sind in unserem OpenRouter-Konto alle Anbieter ausgeschlossen, die Eingaben zum Training verwenden oder veröffentlichen.
Keine Speicherung der Inhalte bei OpenRouter: Die Protokollierung von Ein- und Ausgaben und deren Nutzung durch OpenRouter selbst sind in unserem Konto ausgeschaltet. Für diesen Fall verpflichtet sich OpenRouter im Auftragsverarbeitungsvertrag (Ziffer 2.4), Ein- und Ausgaben unmittelbar nach Erzeugung der Antwort zu löschen – ausgenommen gesetzliche Pflichten und die Abwehr von Missbrauch. Bestehen bleiben nur Betriebsdaten ohne den Inhalt der Anfrage, etwa Abrechnungs- und Sicherheitsprotokolle.
Qualitätssicherung und Feedback-Verarbeitung
Für die interne Qualitätsprüfung setzen wir KI-Agenten ein. Die dafür genutzte Software Paperclip läuft auf unserer eigenen Hardware und nicht als Dienst des Anbieters; sie ist ein Werkzeug in unserer Hand und kein Auftragsverarbeiter — es werden dabei keine Daten an den Hersteller der Software übermittelt.
Diese Software steuert die Agenten nur; das Sprachmodell dahinter läuft nicht bei uns, sondern beim Modell-Anbieter. Die Agenten arbeiten dabei mit Veranstaltungsdaten, Quelltext und internen Notizen.
Ihr Freitext aus dem Feedback-Formular wird dabei nicht an KI-Dienste übermittelt. Wenn Sie über das Feedback-Formular auf einer Veranstaltungsseite einen Hinweis eingeben, wird dieser Text ausschließlich in unserer eigenen Verwaltungsoberfläche angezeigt und dort von einer Person gelesen. In die internen Arbeitsaufträge, die unsere KI-Agenten bearbeiten, wird er nicht kopiert; dort steht nur ein Verweis auf die Verwaltungsoberfläche. Das ist technisch so umgesetzt und nicht bloß eine Absichtserklärung.
Hinweis: Das Feedback-Freitext-Feld ist für sachliche Hinweise zu Veranstaltungsdaten gedacht. Bitte geben Sie dort keine personenbezogenen Angaben wie Namen, Anschriften, E-Mail-Adressen oder Telefonnummern ein.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Qualitätssicherung und redaktionellen Aufbereitung öffentlicher Veranstaltungsdaten sowie der Behebung gemeldeter Datenfehler).
10a. Willi-Chat (KI-Assistent)
Auf unserer Website können Sie mit „Willi“ chatten, einem KI-gestützten Assistenten, der Ausflüge und Veranstaltungen für Familien in Hamburg und im Umland vorschlägt. Willi ist eine KI und kann sich irren. Bitte geben Sie im Chat keine personenbezogenen Angaben ein, etwa Namen, Anschriften, E-Mail-Adressen oder Telefonnummern.
Verarbeitete Daten: der eingegebene Text, Willis Antworten, die Zeitpunkte sowie technische Angaben wie die Antwortdauer. Ein Konto ist nicht nötig. Ihre IP-Adresse speichern wir nicht. Zur Begrenzung von Missbrauch bilden wir aus ihr einen täglich wechselnden, verkürzten Hashwert, der nur im Arbeitsspeicher unseres Servers liegt und spätestens nach 24 Stunden verworfen ist. E-Mail-Adressen und Telefonnummern, die Sie im Chat eingeben, machen wir vor dem Speichern automatisch unkenntlich; für die laufende Antwort werden sie einmalig an das Sprachmodell übermittelt.
Zwecke und Rechtsgrundlage: Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Außerdem werten wir die gespeicherten Gespräche aus, um Willi und unser Angebot zu verbessern, etwa welche Fragen häufig sind oder wo Willi keine passenden Vorschläge findet (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem funktionierenden und verbesserten Angebot). Die Auswertung bezieht sich auf die Gespräche, nicht auf einzelne Personen.
Empfänger: Für die Antwort übermitteln wir den Gesprächsverlauf an OpenRouter, die ihn an das Sprachmodell weiterleitet, derzeit Google (Gemini). Für beide gelten die Angaben unter Ziffer 10: Auftragsverarbeitung nach Art. 28 DSGVO, EU-Standardvertragsklauseln für die Übermittlung in die USA, kein Training mit Ihren Eingaben, keine Protokollierung der Inhalte bei OpenRouter.
Speicherdauer: Gespräche löschen wir automatisch zwölf Monate nach ihrem Beginn.
Nutzungsstatistik: Wie oft der Willi-Knopf angezeigt und geöffnet wurde, zählen wir nur als Tagessumme ohne Personenbezug, wie unter Ziffer 14 beschrieben.
Fehler melden: Wenn Sie aus dem Chat über „Sag's uns“ eine Meldung schicken, fügen wir die Kennung des Gesprächs bei, damit wir den Fehler nachvollziehen können. Geben Sie dabei Ihre E-Mail-Adresse an, lässt sich das Gespräch Ihnen zuordnen.
Ihre Rechte: Auskunft, Löschung oder Widerspruch jederzeit über hallo@weekend-willi.de. Nennen Sie dafür bitte ungefähren Zeitpunkt und Inhalt des Gesprächs, damit wir es finden.
11. Newsletter
Wenn Sie sich für unseren Newsletter anmelden, verarbeiten wir die von Ihnen angegebene E-Mail-Adresse sowie optional Ihren Namen, um Ihnen das gewünschte Wochenend-Programm zuzusenden.
Verfahren (Double-Opt-In)
Nach Ihrer Anmeldung erhalten Sie eine Bestätigungs-E-Mail mit einem Aktivierungslink. Erst nach Klick auf diesen Link wird Ihre Adresse in den Verteiler aufgenommen. Bis dahin wird sie nur zur Bestätigung vorgehalten und nach 7 Tagen ohne Bestätigung automatisch gelöscht.
Rechtsgrundlage
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 7 Abs. 2 Nr. 3 UWG.
Versanddienstleister
Zum Versand des Newsletters nutzen wir den Dienst Resend Inc., 44 Burrows St, San Francisco, CA 94134, USA. Resend verarbeitet Ihre E-Mail-Adresse in unserem Auftrag (Auftragsverarbeitung nach Art. 28 DSGVO). Resend Inc. ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert, sodass für die Übermittlung in die USA ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO besteht.
Speicherdauer
Ihre Daten werden gespeichert, bis Sie sich abmelden. Jede Newsletter-Mail enthält einen Abmelde-Link. Nach der Abmeldung wird Ihr Eintrag als abgemeldet markiert und nicht mehr für den Versand verwendet.
Protokollierung
Zum Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO) protokollieren wir den Anmelde-Zeitpunkt, den Bestätigungs-Zeitpunkt sowie die IP-Adresse zum Zeitpunkt der Anmeldung und der Bestätigung.
12. Formulare (Feedback, Event-Vorschlag, Event-Meldung)
Neben der Newsletter-Anmeldung (Abschnitt 11) gibt es drei Formulare. Sie speichern jeweils nur das, was für die Bearbeitung nötig ist; eine Anmeldung oder ein Nutzerkonto gibt es nicht.
Feedback zu Weekend Willi
Gespeichert werden: die gewählte Kategorie, Ihre Nachricht, optional Ihre E-Mail-Adresse, die Seite, von der aus Sie das Formular geöffnet haben (Seiten-URL), die Kennung Ihres Browsers (User-Agent) sowie die zuvor besuchte Seite (Referrer). URL, User-Agent und Referrer helfen uns, einen gemeldeten Fehler nachzustellen. Die E-Mail-Adresse ist freiwillig und wird nur für eine Rückfrage genutzt.
Event vorschlagen
Gespeichert werden: Titel, Zeitangabe, Ort, Link und Beschreibung der vorgeschlagenen Veranstaltung sowie — jeweils freiwillig — Ihr Name und Ihre E-Mail-Adresse. Name und E-Mail-Adresse nutzen wir nur für Rückfragen zum Vorschlag; sie werden nicht veröffentlicht. Die Angaben zur Veranstaltung selbst können nach redaktioneller Prüfung veröffentlicht werden.
Fehler in einem Eintrag melden
Gespeichert werden: die betroffene Veranstaltung und ihre Quelle, die Art der Meldung (z. B. falscher Ort, falsche Zeit) sowie Ihr Freitext-Hinweis. Dieses Formular fragt keine Kontaktdaten ab und speichert keine.
Was wir nicht speichern
Keines der drei Formulare speichert Ihre IP-Adresse in der Datenbank. Zur Missbrauchsabwehr wird die IP-Adresse kurzzeitig im Arbeitsspeicher des Servers gezählt (Begrenzung der Einsendungen pro Stunde) und nicht dauerhaft festgehalten. Wie Feedback-Freitext bei der Qualitätsprüfung weiterverarbeitet wird, steht in Abschnitt 10.
Rechtsgrundlage
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Behebung gemeldeter Fehler und an der Verbesserung des Angebots). Soweit Sie freiwillig Ihren Namen oder Ihre E-Mail-Adresse angeben, stützen wir die Kontaktaufnahme zusätzlich auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); diese können Sie jederzeit widerrufen.
Speicherdauer
Wir bewahren Einsendungen bis zur Erledigung des Anliegens auf, längstens 12 Monate. Bearbeitete Event-Vorschläge und Meldungen löschen wir in der Regel früher, sobald die Daten im Veranstaltungsbestand korrigiert sind.
13. Suchstatistik
Wenn Sie in der Veranstaltungssuche eine Suche absenden, protokollieren wir die Suche in unserer eigenen Datenbank. Gespeichert werden:
- Ihr Suchtext, gekürzt auf 200 Zeichen
- die gesetzten Filter — Zeitraum, Kategorie, Altersgruppe, kostenlos, drinnen/draußen und, wenn Sie im Umkreis suchen, der Suchmittelpunkt (Koordinaten), der Radius sowie die Bezeichnung des gewählten Orts
- die Stadt
- die Anzahl der Treffer — einmal mit Ihren Filtern und einmal nur für den Suchtext
- der Zeitpunkt der Suche
Nicht gespeichert werden Ihre IP-Adresse, eine Geräte- oder Sitzungskennung oder sonstige Angaben, über die sich die Einträge einer Person oder einem Besuch zuordnen ließen. Wenn Sie in der Ortssuche eine Adresse verwenden, kann der Suchmittelpunkt allerdings Rückschlüsse auf den gesuchten Ort zulassen — nutzen Sie in diesem Fall besser einen Stadtteil.
Zweck: Wir wollen erkennen, wonach Familien suchen und wo unser Bestand Lücken hat. Die Gegenüberstellung von Treffern mit und ohne Filter zeigt uns, ob eine erfolglose Suche an der Suchfunktion oder am fehlenden Angebot liegt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung von Suche und Veranstaltungsangebot). Eine Einwilligung nach § 25 TDDDG ist nicht erforderlich, da für die Statistik keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden.
Speicherdauer: 12 Monate ab der Suche.
14. Statistik zur Nutzung von Filtern und Funktionen
Wenn Sie auf unserer Website einen Filter setzen, eine Veranstaltung öffnen oder zum Veranstalter weiterklicken, zählen wir das in unserer eigenen Datenbank mit. Gespeichert wird ausschließlich ein Tageszähler je Merkmal:
- das Datum
- um welche Art von Handlung es ging — welche Filterart Sie angefasst haben (Zeitraum, Alter, Kategorie, Preis, drinnen/draußen, Umgebung, Freitextsuche), welcher Themenkategorie eine geöffnete Veranstaltung zugeordnet ist, oder zu welchem Veranstalter weitergeklickt wurde, oder ob der Willi-Knopf angezeigt und geöffnet wurde
- die Stadt
- wie oft das an diesem Tag insgesamt vorkam
Ein Eintrag sieht also aus wie „27. September 2026 · Datumsfilter · 14-mal".
Genauso zählen wir die Willkommen-Sprachnachricht: wie oft sie angezeigt, geöffnet, abgespielt, zu einem Viertel, zur Hälfte, zu drei Vierteln und bis zum Ende gehört, weggetippt oder über den Teilen-Knopf weitergegeben wurde, und in welchem Moment sie geschlossen wurde (vor, während oder nach der Nachricht) — als Tagessumme je Handlung und Stelle (kleine Einladung, Fenster, Seite „Über Willi"), ohne jeden Bezug zu Ihnen.
Ebenso zählen wir, wie oft im Cookie-Hinweis „Ja, gerne" und wie oft „Ablehnen" gewählt wurde — als Tagessumme je Antwort. Das geschieht unabhängig von Ihrer Wahl und ohne dass dafür etwas auf Ihrem Endgerät gespeichert oder ausgelesen wird; ob Sie persönlich zugestimmt oder abgelehnt haben, ist für uns daraus nicht erkennbar.
Nicht gespeichert werden Ihre IP-Adresse, Ihre Browserkennung, eine Geräte- oder Sitzungskennung oder irgendein anderer Wert, über den sich eine Handlung Ihnen oder Ihrem Besuch zuordnen ließe. Es entstehen keine Datensätze zu einzelnen Handlungen und keine Verlaufsdaten; zwei Handlungen desselben Besuchs sind für uns nicht als zusammengehörig erkennbar. Auf Ihrem Endgerät wird dafür nichts gespeichert und nichts ausgelesen, und es ist kein Dritter eingebunden.
Zweck: Wir wollen erkennen, welche Funktionen unserer Website tatsächlich gebraucht werden und welche nicht — damit wir das Überflüssige entfernen und das Gebrauchte verbessern können, statt zu raten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datenschutzfreundlichen Auswertung der Funktionsnutzung). Eine Einwilligung nach § 25 TDDDG ist nicht erforderlich, da für diese Statistik keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden.
Speicherdauer: 24 Monate ab dem gezählten Tag.
15. Links zu Instagram und Google Maps
Instagram: Wir verweisen auf unser Instagram-Profil (@weekendwilli.hamburg). Das ist ein reiner Link — wir binden keine Instagram-Inhalte ein, setzen kein Meta-Pixel und laden kein Social-Plugin. Erst wenn Sie den Link anklicken, verbindet sich Ihr Browser mit Instagram; dann gilt die Datenschutzerklärung der Meta Platforms Ireland Ltd.
Google Maps: Bei Veranstaltungen und Orten bieten wir einen Link zur Routenplanung bei Google Maps an. Auch das ist ein reiner Link: Es wird keine Google-Karte eingebettet und kein Google-Maps-Script geladen — unsere eigene Kartenansicht läuft über Mapbox (Abschnitt 7). Ihr Browser kontaktiert Google erst, wenn Sie den Link anklicken; dann gilt die Datenschutzerklärung der Google Ireland Ltd.
16. Ihre Rechte
Sie haben gemäß DSGVO folgende Rechte:
- Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung Ihrer Daten (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an hallo@weekend-willi.de.
17. Beschwerderecht bei der Aufsichtsbehörde
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Behörde ist:
Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI)
Ludwig-Erhard-Str. 22, 7. OG
20459 Hamburg
Telefon: +49 40 428 54 - 4040
E-Mail: mailbox@datenschutz.hamburg.de
Web: datenschutz-hamburg.de