Rechtliches

Datenschutzerklärung

Stand: Oktober 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Wanderlust Travel and Adventure Pty Ltd
handelnd als Wanderlust Travel & Adventure
Borsigstraße 1, 51381 Leverkusen, Deutschland
Sitz: Byron Bay NSW 2481, Australia
ACN 636 612 523 · ABN 34 636 612 523
Vertreten durch: Chaiy Donati (Director)
E-Mail: hello@wanderlusttravel.com.au

Weitere Angaben finden Sie im Impressum.

Vertreter in der Europäischen Union (Art. 27 DSGVO)

Unsere Vertreterin in der Europäischen Union nach Art. 27 DSGVO ist Julia Grosse-Frericks, Borsigstraße 1, 51381 Leverkusen, Deutschland. Sie können sich in allen Fragen des Datenschutzes zusätzlich zu uns oder anstelle von uns an sie wenden, auch per E-Mail an die oben genannte Adresse.

2. Hosting und Server-Logdaten

Diese Website wird bei Cloudflare gehostet (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Cloudflare stellt die Seiten über ein weltweites Netz von Rechenzentren bereit und schützt sie vor Angriffen. Bei jedem Aufruf verarbeitet Cloudflare technisch notwendige Daten, die Ihr Browser automatisch übermittelt:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei und übertragene Datenmenge
• Browsertyp und -version, Betriebssystem
• Referrer-URL (die zuvor besuchte Seite)

Diese Daten sind erforderlich, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und fehlerfreien Betrieb der Website. Server-Logdaten bewahren wir höchstens 12 Monate auf. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Weitere Informationen: Datenschutzerklärung von Cloudflare.

3. Speicherung im Browser und Einwilligungsverwaltung

Damit die Website funktioniert, speichern wir einige Informationen im lokalen Speicher Ihres Browsers (Local Storage bzw. Session Storage). Dazu gehören Ihr Warenkorb, Ihre Merkliste, die gewählte Währung, zuletzt angesehene Touren, der Verlauf eines laufenden Chats sowie die Information, dass Ihnen das Anmeldefenster für unseren Newsletter bereits angezeigt wurde. Diese Daten bleiben auf Ihrem Gerät, bis Sie sie im Browser löschen; Session-Storage-Daten werden beim Schließen des Tabs gelöscht. Die Speicherung ist für die von Ihnen ausdrücklich gewünschten Funktionen unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); soweit dabei personenbezogene Daten verarbeitet werden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Cookie-Banner: Beim ersten Besuch fragen wir Sie in einem Banner, ob Sie Diensten der Kategorien „Statistik“ (Google Analytics) und „Marketing“ (Google Ads, Meta Pixel) zustimmen. Vorausgewählt ist nichts; ohne Ihre Zustimmung werden diese Dienste nicht geladen. Ihre Auswahl speichern wir zusammen mit dem Zeitpunkt und einer Versionsnummer im lokalen Speicher Ihres Browsers (Eintrag „wl_consent_v1“), damit wir Sie nicht bei jedem Seitenaufruf erneut fragen müssen und Ihre Entscheidung nachweisen können. Der Eintrag bleibt gespeichert, bis Sie ihn im Browser löschen oder wir Sie nach einer Änderung der eingesetzten Dienste erneut fragen. Die Speicherung ist unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung).

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern, indem Sie im Fußbereich jeder Seite auf „Cookie-Einstellungen“ klicken. Widerrufen Sie eine Kategorie, löschen wir die zugehörigen Cookies in Ihrem Browser und laden die Seite ohne die betreffenden Dienste neu. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Wir binden keine Social-Media-Plugins, Karten oder Videos von Drittanbietern ein und laden Schriftarten nicht von externen Servern (etwa Google Fonts), sondern liefern sie von unserem eigenen Server aus.

Einige Seiten enthalten einfache Links zu anderen Websites, etwa zu Bewertungen bei Google oder TripAdvisor. Erst wenn Sie einen solchen Link anklicken, ruft Ihr Browser die Seite des jeweiligen Anbieters auf; vorher werden keine Daten an diesen Anbieter übermittelt.

4. Analyse und Werbung (nur mit Ihrer Einwilligung)

Die folgenden Dienste setzen wir ausschließlich ein, wenn Sie im Cookie-Banner eingewilligt haben. Rechtsgrundlage für das Speichern von und den Zugriff auf Informationen auf Ihrem Endgerät (Cookies und ähnliche Technologien) ist § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung personenbezogener Daten Art. 6 Abs. 1 lit. a DSGVO. Wir nutzen den Einwilligungsmodus von Google (Consent Mode): Solange Sie nicht eingewilligt haben, ist für alle Google-Dienste „abgelehnt“ voreingestellt, und die Skripte von Google und Meta werden gar nicht erst geladen.

Google Analytics 4 (Kategorie „Statistik“)

Wir nutzen Google Analytics 4, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google Analytics hilft uns zu verstehen, wie Besucher unsere Website nutzen, etwa welche Seiten und Touren aufgerufen werden, über welche Websites Besucher zu uns kommen und an welcher Stelle eine Buchung abgebrochen wird. Dazu setzt Google Cookies (insbesondere „_ga“ und „_ga_<ID>“, Speicherdauer bis zu 2 Jahre) und verarbeitet Nutzungsdaten wie aufgerufene Seiten, Klicks, Verweildauer, ungefähren Standort (aus der IP-Adresse abgeleitet), Geräte- und Browserangaben sowie die Referrer-URL. Im Rahmen eines abgeschlossenen Kaufs übermitteln wir außerdem Buchungsnummer, gebuchte Tour und Betrag.

Wir haben Google Analytics datenschutzfreundlich konfiguriert: Die IP-Anonymisierung ist aktiviert (Google Analytics 4 speichert keine vollständigen IP-Adressen; diese werden nur zur Ableitung des ungefähren Standorts verwendet und anschließend verworfen), Google Signals sowie die Nutzung der Daten für personalisierte Werbung sind deaktiviert. Ereignisdaten werden in Google Analytics nach spätestens 14 Monaten automatisch gelöscht. Mit Google besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Weitere Informationen: Datenschutzerklärung von Google, Datenschutz in Google Analytics.

Herkunft Ihrer Anfrage (Kategorie „Statistik“)

Wenn Sie eine Anfrage senden oder buchen, speichern wir dazu, wie Sie unsere Website gefunden haben (zum Beispiel Suchmaschine, KI-Assistent, Anzeige oder Link, mit Einstiegsseite und Zeitpunkt), um zu verstehen, welche Kanäle funktionieren. Mit Ihrer Einwilligung in „Statistik“ merken wir uns diese Angabe dafür im lokalen Speicher Ihres Browsers (Eintrag „wl_attr_v1“); ohne Einwilligung speichern wir nichts auf Ihrem Gerät und übermitteln mit der Anfrage nur die Herkunft der gerade geöffneten Seite. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Wirksamkeit unserer Kanäle), für die Speicherung im Browser § 25 Abs. 1 TDDDG.

Google Ads Conversion-Tracking (Kategorie „Marketing“)

Wir schalten Anzeigen über Google Ads (Anbieter: Google Ireland Limited, Anschrift siehe oben) und messen mit dem Conversion-Tracking, ob ein Klick auf eine unserer Anzeigen zu einer Buchung geführt hat. Dazu setzt Google Cookies (insbesondere „_gcl_au“ und „_gcl_aw“, Speicherdauer 90 Tage), die einen Anzeigenklick wiedererkennen. Bei einer Buchung übermitteln wir Buchungsnummer und Betrag an Google. Ist der „erweiterte Conversion-Abgleich“ (Enhanced Conversions) aktiv, wird außerdem Ihre E-Mail-Adresse und gegebenenfalls Telefonnummer in Ihrem Browser gehasht (verschlüsselt per SHA-256) an Google übermittelt, damit Google die Buchung einem Anzeigenklick zuordnen kann. Wir erhalten von Google nur zusammengefasste Statistiken, aus denen wir keine einzelnen Personen erkennen können.

Weitere Informationen: Wie Google Cookies in der Werbung verwendet.

Meta Pixel und Conversions API (Kategorie „Marketing“)

Wir nutzen das Meta Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“). Damit messen wir, ob unsere Anzeigen auf Facebook und Instagram zu Besuchen und Buchungen führen, und können Personen, die unsere Website besucht haben, auf diesen Plattformen passende Anzeigen zeigen. Das Pixel setzt Cookies (insbesondere „_fbp“ und „_fbc“, Speicherdauer 90 Tage) und übermittelt Ihre IP-Adresse, Browser- und Geräteangaben, die aufgerufene Seite sowie Ereignisse wie das Ansehen einer Tour, das Hinzufügen zum Warenkorb, den Beginn des Bezahlvorgangs und eine Buchung (mit Tour, Anzahl und Betrag) an Meta. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta diese Informationen Ihrem Konto zuordnen.

Nur wenn Sie in die Kategorie „Marketing“ eingewilligt haben, meldet zusätzlich unser Server eine abgeschlossene Buchung über die Conversions API an Meta. Dabei werden Ihre E-Mail-Adresse, Telefonnummer sowie Vor- und Nachname vor der Übermittlung gehasht (SHA-256); außerdem übermitteln wir IP-Adresse, Browserkennung, die Cookie-Kennungen „_fbp“/„_fbc“, Buchungsnummer, Tour und Betrag. So werden Buchungen auch dann erfasst, wenn das Pixel im Browser blockiert ist; Meta erkennt doppelte Meldungen anhand der Buchungsnummer.

Für die Erhebung der Daten auf unserer Website und deren Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die Vereinbarung dazu ist der Nachtrag für Verantwortliche von Meta. Meta ist danach für die Erfüllung Ihrer Betroffenenrechte hinsichtlich der bei Meta gespeicherten Daten zuständig; Sie können sich aber auch an uns wenden. Die weitere Verarbeitung bei Meta erfolgt in alleiniger Verantwortung von Meta. Weitere Informationen: Datenschutzrichtlinie von Meta.

5. Tourfotos von Servern der Veranstalter

Die meisten Bilder liefern wir von unserem eigenen Server aus. Einige Tourfotos laden wir jedoch direkt von den Bildservern der Reiseveranstalter bzw. ihrer Buchungssysteme. Dabei erhält der jeweilige Bildserver technisch bedingt Ihre IP-Adresse sowie Angaben zu Ihrem Browser. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Ihnen aktuelle Originalfotos der angebotenen Touren zu zeigen.

6. Buchung und Zahlung

Wenn Sie eine Tour buchen, verarbeiten wir die Angaben, die Sie im Buchungsformular machen: Name, E-Mail-Adresse, Telefonnummer, Land, Geschlecht laut Reisepass, Reisedatum, Teilnehmerzahl und gegebenenfalls Hinweise an den Veranstalter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen).

Weitergabe an den Reiseveranstalter: Damit Ihre Tour stattfinden kann, übermitteln wir die dafür erforderlichen Buchungsdaten an den durchführenden Reiseveranstalter, gegebenenfalls über dessen Buchungssystem. Der Veranstalter verarbeitet die Daten in eigener Verantwortung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zahlungsabwicklung mit Square: Zahlungen wickeln wir über den Zahlungsdienstleister Square ab (Block, Inc., 1955 Broadway, Suite 600, Oakland, CA 94612, USA, bzw. deren für uns zuständige Konzerngesellschaft). Ihre Kartendaten geben Sie direkt in das Zahlungsformular von Square ein, das auf der Kassenseite eingebettet ist; wir sehen und speichern Ihre vollständige Kartennummer nicht. Wir erhalten nur das Ergebnis der Zahlung, die Transaktionsnummer, die letzten vier Ziffern der Karte und den Betrag. Beim Aufruf der Kassenseite lädt Ihr Browser das Zahlungsformular von Servern von Square; dabei erhält Square Ihre IP-Adresse und Angaben zu Ihrem Browser, auch zur Betrugsprävention. Bezahlt wird in australischen Dollar (AUD); den Euro-Betrag zeigen wir zur Information an. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: Datenschutzhinweise von Square.

Buchungsunterlagen bewahren wir bis zu 7 Jahre nach Reiseende auf, weil das australische Steuerrecht dies verlangt.

7. E-Mails und Newsletter (Brevo)

Buchungsbestätigungen und andere E-Mails zu Ihrer Buchung, Ihrer Anfrage oder Ihrer gespeicherten Merkliste versenden wir über den Dienst Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin). Brevo verarbeitet dazu Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der E-Mail in unserem Auftrag; mit Brevo besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Newsletter: Wenn Sie sich für unseren Newsletter mit Angeboten und Reisetipps anmelden, speichern wir Ihre E-Mail-Adresse und, falls angegeben, Ihren Vornamen und senden Ihnen die E-Mails über Brevo. Das tun wir nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa über den Abmeldelink in jeder E-Mail. Danach löschen wir Ihre Adresse aus dem Verteiler.

8. Schutz vor Missbrauch (Cloudflare Turnstile)

Um Buchungsformular, Chat und Anmeldeformulare vor automatisierten Zugriffen (Bots) zu schützen, setzen wir Cloudflare Turnstile ein (Anbieter: Cloudflare, Inc., siehe Abschnitt 2). Turnstile prüft anhand technischer Merkmale wie IP-Adresse und Browserangaben, ob die Anfrage von einem Menschen stammt; die Prüfung läuft in der Regel unsichtbar im Hintergrund. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz unserer Website und Ihrer Buchung vor Missbrauch und Betrug.

9. Chat-Assistent und Live-Chat

Auf der Website können Sie Fragen an unseren KI-gestützten Chat-Assistenten stellen. Die Antworten erzeugt ein Sprachmodell des Anbieters Anthropic (Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA). Dazu werden Ihre Chatnachrichten an Anthropic übermittelt und dort verarbeitet, um die Antwort zu erstellen. Anthropic verwendet die Inhalte nach eigenen Angaben nicht zum Training seiner Modelle. Dasselbe gilt für die Trip-Planung per Spracheingabe: Die Spracherkennung übernimmt Ihr Browser (je nach Browser über Server des Browserherstellers); wir erhalten nur den erkannten Text und leiten ihn zur Planung an Anthropic weiter. Bitte geben Sie im Chat keine sensiblen Daten wie Kartennummern ein.

Chatverläufe speichern wir in einer Datenbank bei Cloudflare (Cloudflare D1), damit ein Mitglied unseres Teams bei Bedarf übernehmen und Ihnen persönlich antworten kann (Live-Chat). Hinterlassen Sie im Chat Ihre Kontaktdaten, nutzen wir sie, um Ihnen zu antworten. Wir löschen Chatverläufe nach 12 Monaten, es sei denn, sie werden für eine Buchung benötigt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Frage mit einer Buchung oder deren Anbahnung zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der schnellen Beantwortung von Anfragen).

10. Rückrufwunsch und Bewerbungen für Jobs

Rückruf: Wenn Sie einen Rückruf anfordern, speichern wir Ihre Telefonnummer und Ihre weiteren Angaben, um Sie zurückzurufen (Art. 6 Abs. 1 lit. b DSGVO).

Jobs: Wenn Sie uns über unsere Jobseite Ihren Lebenslauf schicken, verarbeiten wir Name, E-Mail-Adresse, Geburtsdatum und Lebenslauf, um Ihnen passende Jobs bei regionalen Arbeitgebern zu vermitteln. Das geschieht auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können. Wir speichern die Daten 12 Monate und löschen sie dann automatisch.

11. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen (sofern angegeben) und den Inhalt Ihrer Nachricht, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage mit einem Vertrag oder dessen Anbahnung zusammenhängt, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Beantwortung von Anfragen).

Ihre E-Mail wird bei unserem E-Mail-Anbieter gespeichert: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA (Microsoft 365). Wir löschen Ihre Anfrage, sobald sie erledigt ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Führt Ihre Anfrage zu einer Buchung, bewahren wir die Korrespondenz bis zu 7 Jahre nach Reiseende auf, weil das australische Steuerrecht dies verlangt.

12. Übermittlung in Drittländer

Unser Unternehmen hat seinen Sitz in Australien. Für Australien gibt es keinen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO; das Datenschutzniveau dort ist also nicht förmlich als gleichwertig anerkannt. Wir unterliegen dem australischen Privacy Act 1988 und den Australian Privacy Principles.

Kontakt, Buchung und Zahlung: Wenn Sie uns schreiben, eine Reise anfragen oder buchen, ist die Übermittlung Ihrer Daten zu uns nach Australien, an den Reiseveranstalter vor Ort und an den Zahlungsdienstleister Square zur Erfüllung des Vertrags oder zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage erforderlich. Rechtsgrundlage ist Art. 49 Abs. 1 lit. b DSGVO. Ohne diese Übermittlung können wir Ihre Anfrage nicht beantworten und Ihre Reise nicht organisieren.

Hosting und Bot-Schutz: Cloudflare, Inc. hat ihren Sitz in den USA. Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert; für die USA besteht insoweit ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Ergänzend hat Cloudflare Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) in ihren Auftragsverarbeitungsvertrag aufgenommen.

Analyse und Werbung (nur mit Einwilligung): Google und Meta können Daten auch an ihre Muttergesellschaften Google LLC und Meta Platforms, Inc. in den USA übermitteln. Beide Unternehmen sind nach dem EU-U.S. Data Privacy Framework zertifiziert; insoweit besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Ergänzend haben Google und Meta Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) abgeschlossen.

Chat-Assistent: Anthropic, PBC hat ihren Sitz in den USA. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags von Anthropic sind.

13. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte gegenüber uns:

• Auskunft über die von uns verarbeiteten personenbezogenen Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung Ihrer Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO);
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Eine formlose E-Mail an hello@wanderlusttravel.com.au genügt. Wir antworten innerhalb eines Monats.

Beschwerderecht: Unbeschadet anderer Rechtsbehelfe können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). In Deutschland ist das in der Regel die Datenschutzbehörde Ihres Bundeslandes.

14. Datensicherheit

Diese Website wird ausschließlich verschlüsselt über HTTPS (TLS) ausgeliefert. Zugriff auf personenbezogene Daten haben bei uns nur die Personen, die ihn für ihre Aufgabe benötigen.

15. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Mit Ihrer Einwilligung in die Kategorie „Marketing“ kann Meta Ihre Nutzungsdaten auswerten, um Ihnen passende Werbung anzuzeigen (siehe Abschnitt 4, „Meta Pixel und Conversions API“).

16. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: Oktober 2026