Datenschutzerklärung

Stand: 2026-10-26

Verantwortlicher

SnapNext GmbH & Co. KG, Rommerskirchener Str. 21, 50259 Pulheim, vertreten durch die SnapNext Verwaltungsgesellschaft mbH als persönlich haftende Gesellschafterin (Geschäftsführer: Maximilian Arbeiter). Weitere Angaben stehen im Impressum. Kontakt:

support@freestays.app

Der Betreiber ist Verantwortlicher für Konten, Profile und Bewerbungen. Ein Haus ist ab dem Eingang einer Bewerbung eigenständig verantwortlich für die Daten, die es dabei erhält.

Anfragen zum Datenschutz gehen an die Kontaktadresse. Eine Datenschutzbeauftragte Person ist nicht benannt.

Worum es geht

freestays ist eine Plattform, auf der Reise-Creator Content gegen einen Hotelaufenthalt tauschen. Zusätzlich vereinbaren Haus und Creator eine Aufwandsentschädigung, die außerhalb der Plattform gezahlt wird; der Betrag steht nicht im System. Diese Erklärung nennt die Datenkategorien, Zwecke und Rechtsgrundlagen. Die Speicherdauer steht im Abschnitt „Speicherdauer und Löschung“.

Welche Daten wir verarbeiten

• Creator: E-Mail-Adresse, Anzeigename, Sprache, Status, interne Kennung, bei Anmeldung über Google oder Apple die vom Anbieter übermittelte Kennung, Zeitpunkt der letzten Aktivität, Rollen und Zugangsrechte. Zweck: Konto, Anmeldung, Zugriffssteuerung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Hotels (Mitarbeitende): E-Mail-Adresse, Anzeigename, Sprache, Status, interne Kennung, bei Anmeldung über Google oder Apple die vom Anbieter übermittelte Kennung, Zeitpunkt der letzten Aktivität, Rollen und Zugangsrechte. Zweck: Konto, Anmeldung, Zugriffssteuerung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Creator: Kürzel, Überschrift, Beschreibung, Nische, Heimatland, Sprachen, Website, Bewertung, Verifizierungsstatus und -vermerk. Zweck: Profil, Bewerbung, Verifizierung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Creator: Kanäle mit Plattform, Kürzel, Profil-Adresse, Followerzahl und Quelle der Zahl. Zweck: Nachweis der Reichweite. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Creator: Bewerbung mit Motivation, Konzept, Wunschzeitraum, Gästen, Reichweiten-Stand und Entscheidungsgrund. Zweck: Bewerbung auf ein Angebot. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Creator: Vereinbarung mit Buchungsreferenz, Aufenthaltsdaten, Gästen, vereinbarten Leistungen und Nutzungsrechten. Zweck: Vertragsabwicklung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung lit. c.
• Creator: Leistungsnachweise mit Beitrags-Adresse, Zeitpunkt, Bestätigung der Werbekennzeichnung, Kennzahlen, Prüfstatus und Prüfvermerk. Zweck: Nachweis der Leistung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Creator: Hochgeladene Dateien: Profilbilder und Reichweiten-Nachweise (png, jpeg, webp), nicht öffentlich abrufbar. Zweck: Profil, Nachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Creator: Export-Archiv (ZIP) mit den Daten der Auskunft in einem nicht öffentlichen Speicher, sieben Tage abrufbar. Zweck: Auskunft. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Art. 15 und 20).
• Hotels: Konto-Daten der Mitarbeitenden und Zuordnung zu einem Haus; Bilder und Logos der Organisation, öffentlich über ihre Adresse abrufbar. Zweck: Zugang, Darstellung der Angebote. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Alle Konten: Nachweis erteilter und widerrufener Einwilligungen und der Annahme von Bedingungen mit Zeitpunkten; Spalten für IP-Adresse und Browserkennung sind im Datenbestand vorgesehen, werden von der Cookie-Auswahl und der Bestätigung der Creator-Vereinbarung nicht beschrieben. Zweck: Nachweis. Rechtsgrundlage: Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO; lit. f.
• Alle Konten: Prüfprotokoll mit interner Kennung des Handelnden, Rolle, Aktion, Zuständen vorher und nachher. Zweck: Nachvollziehbarkeit von Änderungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Alle Konten: Datenanfragen mit Art, Status, Fristen und Notiz. Zweck: Bearbeitung von Betroffenenrechten. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
• Creator: Versandprotokoll von E-Mails mit Empfänger-Kennung und Inhalt der Benachrichtigung. Zweck: Benachrichtigungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Hotels (Mitarbeitende): Versandprotokoll von E-Mails mit Empfänger-Kennung und Inhalt der Benachrichtigung. Zweck: Benachrichtigungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Creator: Inhalt und Empfänger einer E-Mail-Benachrichtigung, die beim Versand an den E-Mail-Dienst Resend übermittelt würden (vorgesehen, noch nicht im Einsatz). Zweck: Versand von Benachrichtigungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Hotels (Mitarbeitende): Inhalt und Empfänger einer E-Mail-Benachrichtigung, die beim Versand an den E-Mail-Dienst Resend übermittelt würden (vorgesehen, noch nicht im Einsatz). Zweck: Versand von Benachrichtigungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Besucher und Konten: Bei jeder Anfrage eines Anmeldelinks per E-Mail speichert die Plattform einen Hashwert (SHA-256) der E-Mail-Adresse und einen der IP-Adresse mit dem Zeitpunkt, nicht die Adressen selbst; Einträge, die älter als 15 Minuten sind, werden bei der nächsten Anfrage gelöscht, bis dahin bleiben sie bestehen. Die Hashwerte werden ohne Zusatzschlüssel gebildet; wer eine Adresse kennt, kann den Hashwert nachrechnen, sie gelten deshalb nicht als anonym. Die Tabelle und die Zählfunktion sind nur für den Dienst der Plattform zugänglich, nicht für Besucher oder Konten. Zweck: Schutz vor missbräuchlichen Anfragen von Anmeldelinks (je Adresse und je IP-Adresse). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Besucher: Technische Fehlerdaten aus dem Browser, die an Sentry übermittelt würden (vorgesehen, noch nicht im Einsatz). Zweck: Erfassung technischer Fehler. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, nur nach Einwilligung; § 25 Abs. 1 TDDDG.
• Besucher und Konten: Zustellungs- und Zugriffsdaten beim Hosting-Anbieter Vercel, höchstens 30 Tage. Zweck: Betrieb und Sicherheit der Website. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Besucher: Cookie-Auswahl, siehe Cookies. Zweck: Einwilligungsbanner. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG; Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO.

Die Begrenzung der Anfragen von Anmeldelinks gilt nicht für die Anmeldung über Google oder Apple.

Wo wir uns auf berechtigte Interessen stützen, sind das die Sicherheit der Plattform und die Abwehr von Missbrauch, der Nachweis im Streitfall und der stabile Betrieb. Die Annahme der Bedingungen bei der Registrierung ist der Vertragsschluss und sein Nachweis, keine Einwilligung.

Die Bereitstellung der Daten für Konto, Profil und Bewerbung ist für den Vertrag erforderlich. Ohne sie ist eine Anmeldung oder Bewerbung nicht möglich. Die Daten einer Datenanfrage sind zur Erfüllung einer gesetzlichen Pflicht erforderlich.

Die Plattform lehnt eine Bewerbung beim Einreichen automatisch ab, wenn der Creator eine Voraussetzung des Angebots nicht erfüllt: die Mindestreichweite aus bestätigten Kanälen, ein verifiziertes Profil, die Mindestbewertung (der Durchschnitt der Bewertungen, die Häuser nach abgeschlossenen Vereinbarungen vergeben haben) oder die Regel der Organisation des Hauses je Entfernungsklasse des Reiseziels. Die Bewerbung geht dann nicht an das Haus, und die Plattform nennt die nicht erfüllte Voraussetzung. Eine Person prüft diese Ablehnung nicht vorher. Wer die Ablehnung für fehlerhaft hält, schreibt an die Kontaktadresse und kann seinen Standpunkt darlegen; dann prüft eine Person den Fall. Über eingereichte Bewerbungen entscheidet das Haus.

Herkunft der Daten

Die meisten Daten geben die Betroffenen selbst ein. Daneben stammen Daten aus folgenden Quellen: Mitarbeitende eines Hauses, die ein Organisationsadministrator einlädt; Kennung und E-Mail-Adresse, die Google oder Apple bei einer Anmeldung über diese Anbieter übermitteln würden (vorgesehen); Entscheidungsgründe und Prüfvermerke eines Hauses über Creator; Bewertungen der Zusammenarbeit (1,0 bis 5,0), die ein Haus beim Abschluss einer Vereinbarung vergibt und aus denen die Plattform den Durchschnitt im Profil des Creators bildet.

Berechtigte Interessen

Soweit wir Verarbeitungen auf Art. 6 Abs. 1 lit. f DSGVO stützen, verfolgen wir die Sicherheit der Plattform, die Abwehr von Missbrauch, den Nachweis im Streitfall und den stabilen Betrieb.

Empfänger

Innerhalb der Plattform sehen Creator ihre eigenen Daten. Ein Haus sieht die Daten zu Bewerbungen auf seine Angebote und zu Vereinbarungen mit ihm, einschließlich der Leistungsnachweise. Prüfer sehen die hochgeladenen Reichweiten-Nachweise. Administratoren der Plattform sehen Prüfprotokoll und Datenanfragen. Hat sich ein Creator auf ein Angebot beworben (kein Entwurf), sieht das Haus außerdem das vollständige Profil des Creators und alle seine Kanäle, einschließlich der Bewertung, des Verifizierungsstatus und des Verifizierungsvermerks; eine Beschränkung auf einzelne Felder besteht derzeit nicht. Das gilt auch nach einer Ablehnung der Bewerbung: Profil, Kanäle und Verifizierungsvermerk bleiben für das Haus sichtbar, ohne zeitliche Grenze, bis das Konto gelöscht wird. Eine E-Mail-Adresse des Creators geben wir nicht an Hotels weiter.

Nimmt ein Haus eine Bewerbung an, erhält der Creator in der Zusage-Mail eine Antwortadresse aus dem Haus: die der annehmenden Person, solange sie als Manager oder Editor für das Haus tätig ist, ein aktives Konto hat und die Rolle Hotelmanager in der Organisation des Hauses innehat, sonst die des am längsten tätigen Managers des Hauses, der ein aktives Konto und ebenfalls diese Rolle hat, ersatzweise die hinterlegte Support-Adresse der Organisation des Hauses. Die E-Mail-Adresse des Creators erhält das Haus dabei nicht. Vertragspartner des Aufenthalts ist die Gesellschaft, die das Haus betreibt; sie wird im Angebot genannt.

Häuser, die Angebote einstellen, können ihren Sitz außerhalb der Europäischen Union haben. Reicht ein Creator eine Bewerbung bei einem solchen Haus ein, übermittelt die Plattform die Bewerbungsdaten dorthin auf Wunsch des Creators, zur Durchführung der angebahnten Vereinbarung (Art. 49 Abs. 1 lit. b DSGVO).

Eingesetzte Dienstleister

Mit den Auftragsverarbeitern, die im Einsatz sind, werden Verträge nach Art. 28 DSGVO abgeschlossen; bis zur Unterzeichnung gilt der Stand „Vertrag in Prüfung“ aus der Tabelle. Bei den vorgesehenen Anbietern, die noch nicht im Einsatz sind, nennen wir keinen Vertragsstand. Soweit ein Drittlandbezug besteht, stützen wir die Übermittlung auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer und Löschung

Eine Löschung stoßen Creator selbst an oder sie beantragen sie per E-Mail. Ein Konto wird nur auf Antrag gelöscht; ein Löschlauf für inaktive Konten besteht nicht.

Wir beantworten einen Löschantrag binnen eines Monats. Ist das wegen der Zahl oder Schwierigkeit der Anfragen nicht möglich, verlängern wir die Frist um bis zu zwei Monate und teilen das mit. Lehnen wir eine Löschung ab, erhält die Person eine Mitteilung mit Begründung. Ein regelmäßiger Löschlauf entfernt Daten, deren Aufbewahrungsfrist abgelaufen ist.

Bei einer Löschung werden Kanäle, Profil, nicht abgeschickte Bewerbungsentwürfe, hochgeladene Dateien, das Versandprotokoll und Zugangsrechte entfernt. Anmeldedaten und Name im Konto werden unkenntlich gemacht. Freitexte abgeschickter Bewerbungen, die Buchungsreferenz und Begründungen im Verlauf werden unkenntlich gemacht; der Vorgang selbst bleibt als Bezugspunkt der Vereinbarung erhalten. Organisationsmedien bleiben, der Verweis auf die Person wird entfernt.

Freitexte in aufbewahrten Datensätzen werden bei einer Löschung nicht unkenntlich gemacht: der Stornierungsgrund einer Vereinbarung, die Metadaten im Bewerbungsverlauf, die Notiz einer Datenanfrage und der Prüfvermerk zu Nachweisen. Nachweisdateien akzeptierter Einreichungen werden bei einer Löschung entfernt, obwohl der Datensatz der Einreichung bleibt.

Länger aufbewahren wir Vereinbarungen mit ihrem Verlauf, Leistungsnachweise, Nachweise der Einwilligungen und die Audit-Einträge zu Vereinbarungen, wegen der handels- und steuerrechtlichen Aufbewahrungspflichten (HGB, AO). Das übrige Prüfprotokoll und geschlossene Datenanfragen bewahren wir als Nachweis der fristgerechten Bearbeitung und wegen der Verjährung auf. Die Fristen nennt der Abschnitt „Aufbewahrung nach Abschluss einer Vereinbarung“.

Reichweiten-Nachweise abgelehnter Creator entfernt der Löschlauf nach 90 Tagen, unabhängig von den übrigen Aufbewahrungsfristen.

Abgelehnte Bewerbungen: Für das Profil, die Kanäle, den Verifizierungsvermerk und die Freitexte einer abgelehnten Bewerbung gibt es keinen eigenen Löschlauf. Das Haus kann sie weiter sehen, bis das Konto gelöscht wird; gemeint sind die Texte, die der Creator zur Bewerbung geschrieben hat, und die Reichweite und Bewertung, die beim Einreichen festgehalten wurden. Eine Löschung dieser Angaben nach einer bestimmten Zeit sagen wir derzeit nicht zu.

Eine laufende Vereinbarung oder eine offene Bewerbung stoppt die Löschung; die Anfrage wird dann abgelehnt und die Person erhält eine Mitteilung. Exportarchive stehen sieben Tage zum Abruf bereit und werden dann entfernt. Konten mit Zugang zu einem Haus löschen wir auf Anfrage; die Mitarbeitenden eines Hauses erhalten Auskunft manuell innerhalb der Monatsfrist.

Für Konten von Mitarbeitenden eines Hauses, für die öffentlich abrufbaren Medien der Organisationen und für Benachrichtigungen, deren Inhalt die E-Mail-Adresse von Mitarbeitenden enthält, ist keine Speicherdauer festgelegt.

Aufbewahrung nach Abschluss einer Vereinbarung

Rechte der Betroffenen

Nach der DSGVO bestehen das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Eine erteilte Einwilligung ist jederzeit mit Wirkung für die Zukunft widerruflich, über die Cookie-Einstellungen, siehe Cookies. Eine Einwilligung ist derzeit nur für die vorgesehene Fehlererfassung im Browser (Sentry) vorgesehen; ein Eintrag, der sie braucht, ist noch nicht im Einsatz.

Angemeldete Creator können Export und Löschung unter „Einstellungen, Daten“ selbst beauftragen. Das Auskunftsarchiv ist ein ZIP mit JSON-Dateien und einer Lesedatei. Es enthält Konto, Profil, Kanäle, Bewerbungen, Vereinbarungen einschließlich der Nutzungsrechte, eingereichte Nachweise, Einwilligungen mit den dazu gespeicherten Angaben, die eigenen Datenschutzanfragen, Protokolleinträge zu Handlungen, die die Person selbst ausgeführt hat, Angaben zu hochgeladenen Dateien und die Dateien selbst. Die Felder für die IP-Adresse und die Browserkennung bei Einwilligungen und für die IP-Adresse im Protokoll sind im Archiv vorgesehen; die Plattform befüllt sie nach unserem Stand nicht. Nicht enthalten sind die Kennungen der Mitarbeitenden, die entschieden, verifiziert oder geprüft haben, der Verlauf der Bewerbungen und Vereinbarungen, die Versandliste der E-Mails und Protokolleinträge zu Handlungen anderer Personen. Freitexte von Mitarbeitenden, etwa ein Verifizierungsvermerk, die Begründung einer Entscheidung oder ein Prüfvermerk, stehen dagegen in den Dateien des Archivs. Die Löschung wird durch Eingabe eines Kontrollworts bestätigt. Eine Berichtigung und andere Anfragen sind an die Adresse auf der Seite Kontakt zu richten. Wir beantworten sie über das angemeldete Konto oder an die beim Konto hinterlegte E-Mail-Adresse und fragen bei Zweifeln an der Person gezielt nach.

Mitarbeitende von Hotels haben in der Plattform keinen eigenen Weg für Auskunft und Löschung. Sie richten ihre Anfrage per E-Mail an die Adresse auf der Seite Kontakt; wir bearbeiten sie von Hand.

Antwortfrist: Wir beantworten eine Datenanfrage binnen eines Monats nach Eingang; im System ist dafür eine Frist von 30 Tagen voreingestellt. Die Frist kann um zwei Monate verlängert werden, wir teilen das dann mit.

Beschwerden können bei jeder Aufsichtsbehörde eingereicht werden, insbesondere am Wohnort, am Arbeitsplatz oder am Ort des Verstoßes. Zuständige Aufsichtsbehörde für den Betreiber ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf.

Widerspruchsrecht

Betroffene haben das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung ihrer Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die die Interessen der Betroffenen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Widerspruch ist an die Kontaktadresse zu richten.

Sicherheit

Die Verbindung zur Plattform ist in der Produktion durch Transportverschlüsselung (HSTS) geschützt. Der Zugriff auf Daten ist nach Rollen beschränkt. Dateien mit Nachweisen und Profilbildern sind nicht öffentlich abrufbar. Verwaltende Änderungen, etwa an Angeboten, Häusern, Zugängen von Mitarbeitenden und Regeln, sowie ausgewählte Vorgänge wie der Abschluss einer Vereinbarung werden in einem Prüfprotokoll festgehalten; nicht jede Änderung wird protokolliert.

Hinweis zu Bildern und Logos

Bilder und Logos von Häusern sind über ihre Adresse öffentlich lesbar. Wer sie hochlädt, ist dafür verantwortlich, dass keine Personen erkennbar sind oder deren Einwilligung vorliegt.

Cookies und lokale Speicherung

Welche Cookies und lokalen Speichereinträge wir setzen, steht auf der Seite Cookies. Nicht notwendige Einträge setzen wir erst nach Einwilligung. Zurzeit gibt es keinen solchen Eintrag.

Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Die jeweils gültige Fassung steht mit ihrem Versionsstand auf dieser Seite; über wesentliche Änderungen informieren wir angemeldete Nutzer per E-Mail.