Cookie-Richtlinie

Version 1.0 — In Kraft ab dem 26.04.2026

PRÄAMBEL

Die vorliegende Cookie-Richtlinie (nachfolgend die «Cookie-Richtlinie» oder die «Information») beschreibt die Arten von Cookies und anderen Tracking-Tools, die von Horizon Servizi Integrati S.r.l.s. (nachfolgend «Stravagando» oder die «Plattform»), Verantwortlicher der unter der Hauptadresse stravagando.com und den zugehörigen Subdomains erreichbaren digitalen Plattform Stravagando, der mobilen Anwendung für iOS und Android (nachfolgend die «App») sowie auf den transaktionalen und Marketing-E-Mail-Kanälen, die ähnliche Technologien verwenden, eingesetzt werden (nachfolgend gemeinsam die «Tracking-Tools»).

Die Verwendung von Tracking-Tools durch Stravagando erfolgt in Übereinstimmung mit:

• (a) der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (nachfolgend «DSGVO»);

• (b) dem italienischen Gesetzesdekret Nr. 196 vom 30. Juni 2003 («Datenschutzkodex»), geändert durch das italienische Gesetzesdekret Nr. 101 vom 10. August 2018;

• (c) der Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (Datenschutzrichtlinie für elektronische Kommunikation), geändert durch die Richtlinie 2009/136/EG;

• (d) den Leitlinien der italienischen Datenschutzbehörde (Garante), und insbesondere dem Beschluss vom 10. Juni 2021 «Leitlinien zu Cookies und anderen Tracking-Tools» (Reg. Beschl. Nr. 231/2021);

• (e) den Leitlinien 03/2022 des Europäischen Datenschutzausschusses (EDSA) zu Dark Patterns, und den Stellungnahmen des Europäischen Datenschutzausschusses.

Die vorliegende Cookie-Richtlinie ergänzt — und ersetzt nicht — die allgemeine Datenschutzerklärung der Plattform, auf die für alle Informationen zur Verarbeitung personenbezogener Daten durch Stravagando verwiesen wird, die über die Verwendung von Tracking-Tools hinausgeht. Die vorliegende Information ist ferner abgestimmt mit den Allgemeinen Nutzungsbedingungen (AGB), den Allgemeinen Verkaufsbedingungen, den Gastgeberbedingungen, den Bedingungen des Empfehlungsprogramms und den Technischen Spezifikationen des Dienstes der Plattform.

Im Falle eines Widerspruchs zwischen der vorliegenden Cookie-Richtlinie und anderen spezifischen Informationen, die der betroffenen Person für einzelne Verarbeitungen bereitgestellt werden, gehen die Bestimmungen der jüngsten spezifischen Information für die betreffende spezifische Verarbeitung vor; die Bestimmungen der vorliegenden Information bleiben für alles, was nicht spezifisch geregelt ist, in Kraft.

ART. 1 — DEFINITIONEN

Für die Zwecke der vorliegenden Cookie-Richtlinie haben die nachstehenden Begriffe die jeweils angegebene Bedeutung.

1.1 «Cookies»: kleine Textdateien, die die vom Nutzer besuchten Websites oder die verwendeten Anwendungen an das Gerät des Nutzers (Computer, Tablet, Smartphone, Smart-TV oder anderes verbundenes Gerät) senden und dort speichern, um dann beim nächsten Besuch erneut an dieselben Websites oder Anwendungen übermittelt zu werden. Cookies werden verwendet für IT-Authentifizierungen, Sitzungsüberwachung, Speicherung von Informationen über die Präferenzen der Nutzer, Nachverfolgung von Navigationsverhalten, Profiling und andere in der vorliegenden Information beschriebene Zwecke.

1.2 «Tracking-Tools»: jede Technologie — abweichend oder zusätzlich zu den Cookies —, die es ermöglicht, den Nutzer nachzuverfolgen, auf auf dem Gerät des Nutzers gespeicherte Informationen zuzugreifen oder Informationen auf diesem Gerät zu speichern, einschließlich beispielhaft: eindeutige Kennungen, Web Beacons, Pixel Tags, Clear GIFs, eingebettete Scripts, E-Tags, Fingerprinting des Geräts, in die Apps integrierte Software Development Kits (SDK), Local Storage und Session Storage des Browsers, IndexedDB, Cache API, mobile Werbekennungen (Google Advertiser ID für Android-Geräte, Identifier for Advertisers — IDFA — für iOS-Geräte), E-Mail-Tracking-Pixel.

1.3 «Erstanbieter-Cookies»: Cookies und Tracking-Tools, die direkt von Stravagando zu Zwecken im Zusammenhang mit dem Betrieb der Plattform und den angebotenen Diensten installiert und verwaltet werden.

1.4 «Drittanbieter-Cookies»: Cookies und Tracking-Tools, die von gegenüber Stravagando dritten Parteien (nachfolgend die «Drittanbieter») installiert und verwaltet werden, die je nach spezifischer Vertragsbeziehung und verfolgten Zwecken in der Eigenschaft als eigenständige Verantwortliche oder als Auftragsverarbeiter im Sinne von Art. 28 DSGVO tätig sind.

1.5 «Session-Cookies»: temporäre Cookies, die nur für die Dauer der Navigationssitzung gespeichert und beim Schließen des Browsers automatisch gelöscht werden.

1.6 «Persistente Cookies»: Cookies, die für einen vorbestimmten Zeitraum (ausgedrückt in Tagen, Monaten oder Jahren) auf dem Gerät des Nutzers gespeichert und beim nächsten Besuch erneut übermittelt werden, bis zum Erreichen des Ablaufdatums oder zur manuellen Löschung durch den Nutzer.

1.7 «Technische Tracking-Tools»: Cookies und Tracking-Tools, deren Installation nicht die vorherige Einwilligung des Nutzers erfordert, da sie unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich angeforderten Dienst zu erbringen oder die Übermittlung einer Kommunikation über ein elektronisches Netz zu ermöglichen (sog. strictly necessary cookies), sowie Cookies technischer Natur, die ausschließlich zur Gewinnung aggregierter statistischer Informationen verwendet werden, sofern die in Absatz 4.2 des Beschlusses des Garante vom 10. Juni 2021 genannten Voraussetzungen erfüllt sind (Anonymisierung, keine Verknüpfung mit anderen Quellen, dokumentiertes Opt-out des Drittanbieters).

1.8 «Funktionale Tracking-Tools»: Cookies und Tracking-Tools, die verwendet werden, um die Entscheidungen und Präferenzen des Nutzers zu speichern, um das Navigationserlebnis zu verbessern und erweiterte, nicht unbedingt unerlässliche Funktionen bereitzustellen. Für funktionale Tracking-Tools ist die vorherige Einwilligung erforderlich, es sei denn, sie sind als technische Tracking-Tools im Sinne des vorstehenden Punktes einzustufen.

1.9 «Analytische Tracking-Tools»: Cookies und Tracking-Tools, die verwendet werden, um Informationen in aggregierter oder disaggregierter Form über die Anzahl der Besucher und die Modalitäten der Nutzung der Plattform zu erheben, um die Nutzungsstatistiken zu analysieren, die Performance zu messen und die Dienste zu verbessern.

1.10 «Marketing- und Profiling-Tracking-Tools»: Cookies und Tracking-Tools, die verwendet werden, um die Handlungen des Nutzers Interessenprofilen zuzuordnen, zu Werbe-, Reklame-, Retargeting- und Personalisierungszwecken der angebotenen kommerziellen Inhalte.

1.11 «Attributions-Cookies»: Teilmenge der Marketing-Tracking-Tools, die verwendet wird, um die Herkunft des eingehenden Datenverkehrs auf der Plattform und die Zuordnung der Conversions zu spezifischen Kampagnen nachzuverfolgen, einschließlich der Zuordnung der qualifizierenden Aktionen des Empfehlungsprogramms von Stravagando zu den entsprechenden Empfehlungsgebern nach dem Modell der Last-Click-Attribution über ein Fenster von 90 Tagen.

1.12 «Präferenzfenster» oder «Cookie Manager»: die von Stravagando auf der Plattform bereitgestellte technische Oberfläche — zugänglich über das Erstbesuchs-Banner und über den dauerhaften Link «Ihre Cookie-Entscheidungen» oder «Cookie- und Marketing-Präferenzen» in der Fußzeile und an anderen zugänglichen Positionen —, über die der Nutzer seine Einwilligung in die Installation nicht technischer Tracking-Tools granular nach Kategorie erteilen, ändern oder widerrufen kann.

1.13 «Nutzer»: die Person, auf die sich die vorliegende Cookie-Richtlinie bezieht, die auf die Plattform zugreift und/oder sie nutzt, in einer oder mehreren der folgenden Eigenschaften, auch kumulativ im selben Zeitraum, im Sinne von Abschnitt 3-bis der AGB: (a) Nicht registrierter Besucher; (b) Sozialer Nutzer (auf der Plattform für die nicht-transaktionalen Funktionen registrierte natürliche Person — Profil, Social/Community, Gamification, Erkundung des Ortskatalogs, Veröffentlichung von UGC-Inhalten —, was das für jeden registrierten Nutzer geltende Grundregime darstellt); (c) Kunde oder Gast (Nutzer, der zusätzlich zur Eigenschaft als sozialer Nutzer die über den integrierten Marktplatz angebotenen kostenpflichtigen Erlebnisse sucht, bucht oder in Anspruch nimmt, im Sinne der Allgemeinen Verkaufsbedingungen); (d) Gastgeber (Nutzer, natürliche Person oder juristische Einheit, der kostenpflichtige Erlebnisse auf dem integrierten Marktplatz veröffentlicht und anbietet, im Sinne der Gastgeberbedingungen); (e) Empfehlungsgeber (Nutzer, der dem Empfehlungsprogramm beitritt, indem er die Plattform bewirbt und die entsprechenden Vorteile erhält, im Sinne der Bedingungen des Empfehlungsprogramms). Die Annahme einer besonderen Eigenschaft führt nicht zum Verlust der Grundeigenschaft als sozialer Nutzer.

1.14 «Betroffene Person»: die identifizierte oder identifizierbare natürliche Person, auf die sich die im Sinne von Art. 4 Absatz 1 Nummer 1 DSGVO verarbeiteten personenbezogenen Daten beziehen.

1.15 «Nutzungsdaten»: die personenbezogenen Daten, die automatisch von der Plattform oder von den Tracking-Tools und den verwendeten Drittdiensten erhoben werden, umfassend — beispielhaft — die IP-Adressen oder die Domainnamen der von den Nutzern verwendeten Geräte, die URI/URL-Adressen der angeforderten Ressourcen, die Uhrzeit der Anfragen, die zur Übermittlung der Anfragen an den Server verwendete Methode, die Größe der als Antwort erhaltenen Datei, den numerischen Code, der den Status der Antwort angibt, das Herkunftsland, die Merkmale des verwendeten Browsers und Betriebssystems, die verschiedenen zeitlichen Konnotationen des Besuchs (zum Beispiel die Verweildauer auf jeder Seite), das Detail des verfolgten Pfads und andere Parameter betreffend das Betriebssystem oder die IT-Umgebung des Nutzers.

1.16 «Garante»: die italienische Datenschutzbehörde, italienische Aufsichtsbehörde im Sinne der DSGVO, mit Sitz in Rom, Piazza Venezia Nr. 11.

ART. 2 — VERANTWORTLICHER UND ROLLEN

2.A — Verantwortlicher

2.1 Verantwortlicher. Der Verantwortliche für die Verarbeitung der mittels der Erstanbieter-Tracking-Tools erhobenen personenbezogenen Daten ist Horizon Servizi Integrati S.r.l.s., mit Geschäftssitz in Viale Giovanni Bovio, 103/1 65124 Pescara (PE), Italien, Steuernummer und MwSt.-Nummer 02445190685, erreichbar unter den folgenden Kontaktdaten: E-Mail: support@stravagando.com; zertifizierte E-Mail — PEC (für formelle Mitteilungen): horizonserviziintegrati@pec.it.

2.2 Datenschutzbeauftragter (DSB). Sofern benannt, ist der Datenschutzbeauftragte (Data Protection Officer) unter der Adresse support@stravagando.com (Betreff: «DSB») erreichbar. Die Benennung des DSB wird, sofern anwendbar, in der allgemeinen Datenschutzerklärung der Plattform veröffentlicht. Horizon Servizi Integrati S.r.l.s. behält sich die Möglichkeit vor, künftig eine dedizierte E-Mail-Adresse einzurichten, die den betroffenen Personen durch Aktualisierung der vorliegenden Information mitgeteilt wird.

2.B — Rolle von Stravagando und der Drittanbieter

2.3 Erstanbieter-Cookies. Für die Erstanbieter-Tracking-Tools handelt Stravagando in der Eigenschaft als eigenständiger Verantwortlicher der Verarbeitung.

2.4 Drittanbieter-Cookies. Für die Drittanbieter-Tracking-Tools handelt jeder Drittanbieter, je nach Fall:

• (a) in der Eigenschaft als eigenständiger Verantwortlicher der Verarbeitung, sofern der Drittanbieter die Zwecke und Mittel der Verarbeitung eigenständig bestimmt (typischer Fall für Anbieter von Werbe- und Retargeting-Diensten, Single-Sign-On-Identitätsanbieter, Zahlungsabwickler mit eigenem regulatorischem Rahmen);

• (b) in der Eigenschaft als Auftragsverarbeiter im Sinne von Art. 28 DSGVO, sofern der Drittanbieter die Daten auf dokumentierte Weisung von Stravagando verarbeitet (typischer Fall für Anbieter von Cloud-Hosting, von anonymisiert konfiguriertem Analytics und von Kundensupport-Diensten);

• (c) in der Eigenschaft als gemeinsam Verantwortlicher im Sinne von Art. 26 DSGVO, für spezifische Verarbeitungen, bei denen Stravagando und der Drittanbieter gemeinsam Zwecke und Mittel bestimmen (typischer Fall: Nutzung der Meta Business Tools wie Meta Pixel und Custom Audiences in gemeinsamer Verantwortlichkeit mit Meta Platforms Ireland Limited; vgl. Art. 5.8).

Die detaillierte Liste der von Stravagando verwendeten Drittanbieter, mit Angabe der entsprechenden Rolle, des Zwecks, der Rechtsgrundlage und der Datenschutzrichtlinie, ist in Art. 5 der vorliegenden Information aufgeführt und wird innerhalb des Präferenzfensters periodisch aktualisiert.

ART. 3 — KATEGORIEN DER VERWENDETEN TRACKING-TOOLS

Stravagando verwendet die in den vier nachstehend beschriebenen Kategorien eingeordneten Tracking-Tools, im Einklang mit der Klassifizierung des Beschlusses des Garante vom 10. Juni 2021 und mit dem Cookie consent framework des Europäischen Datenschutzausschusses.

3.A — Technische Tracking-Tools

3.1 Definition. Es handelt sich um die Tracking-Tools, deren Installation nicht die vorherige Einwilligung des Nutzers erfordert, da sie unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich angeforderten Dienst zu erbringen, die Übermittlung einer Kommunikation zu ermöglichen, die Sicherheit der Plattform zu gewährleisten oder regulatorischen Pflichten nachzukommen.

3.2 Zwecke.

• (a) Betrieb der Website und der App: Verwaltung der Navigationssitzungen, Wiedererkennung des Nutzers innerhalb derselben Sitzung, Aufrechterhaltung des Authentifizierungsstatus (Login), Persistenz des Buchungswarenkorbs, Verwaltung des Checkout;

• (b) Sicherheit und Betrugsprävention: Identifizierung von Eindringversuchen, Brute Force, Credential Stuffing, automatisierten Bots, Device Fingerprinting zu Betrugsbekämpfungszwecken, integriert in die Systeme von Stripe Connect;

• (c) Speicherung der vom Nutzer gewählten Barrierefreiheitseinstellungen (Schriftgröße, Kontrast, Oberflächensprache), sofern ohne Profiling konfigurierbar;

• (d) Lastverteilung und Optimierung der Serverleistung (Load Balancing);

• (e) Speicherung der Entscheidungen des Nutzers in Bezug auf die Einwilligung in Cookies (sog. Consent Log), zur Erfüllung der Pflicht zur Dokumentation der Einwilligung im Sinne von Art. 7 DSGVO und des Beschlusses des Garante vom 10. Juni 2021;

• (f) Erfüllung regulatorischer Pflichten, einschließlich der Aufbewahrung der Transaktions-Logs zu steuerlichen und Geldwäschebekämpfungszwecken (italienisches Gesetzesdekret 231/2007) und der DAC7-Audit-Logs (italienisches Gesetzesdekret 32/2023).

3.3 Rechtsgrundlage. Die Verwendung technischer Tracking-Tools beruht auf Art. 122 Absatz 1 Satz 1 des italienischen Datenschutzkodex, auf Art. 6 Absatz 1 Buchstabe b DSGVO (Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, oder Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person), auf Art. 6 Absatz 1 Buchstabe c DSGVO (Erfüllung gesetzlicher Pflichten) und auf Art. 6 Absatz 1 Buchstabe f DSGVO (berechtigtes Interesse des Verantwortlichen an der Sicherheit, der Betrugsprävention und der Funktionalität der Plattform), je nach spezifischem Zweck.

3.4 Einwilligung. Für technische Tracking-Tools ist die vorherige Einwilligung des Nutzers nicht erforderlich. Die Deaktivierung dieser Tools über die Browser-Einstellungen kann die vollständige oder teilweise Unmöglichkeit der Nutzung der Plattform und der Inanspruchnahme der Dienste zur Folge haben.

3.B — Funktionale Tracking-Tools

3.5 Definition. Es handelt sich um die Tracking-Tools, die verwendet werden, um die Entscheidungen und Präferenzen des Nutzers zu speichern, um das Navigationserlebnis zu verbessern und erweiterte, nicht unbedingt unerlässliche Funktionen bereitzustellen.

3.6 Zwecke.

• (a) Speicherung der ausgewählten Sprache auf der Oberfläche (sofern abweichend von der Browser-Sprache);

• (b) Speicherung der ausgewählten Währung für die Anzeige der Preise;

• (c) Speicherung der Zielstadt oder ausgewählter Suchfilter, um die nachfolgenden Besuche kohärent zu befüllen;

• (d) Speicherung von Notizbüchern und als Favoriten markierten Erlebnissen für nicht authentifizierte Nutzer;

• (e) Single Sign-On mittels Google- oder Facebook-Konto, sofern der Nutzer diese Authentifizierungsmodalität wählt.

Die in den Buchstaben (a)-(d) genannten Präferenzen werden in der Regel mittels technischem localStorage der Erstanbieter auf dem Gerät des Nutzers gespeichert und umfassen nicht die Verwendung von Drittanbieter-Cookies.

3.7 Rechtsgrundlage. Die Verwendung funktionaler Tracking-Tools beruht auf Art. 6 Absatz 1 Buchstabe a DSGVO — vorherige Einwilligung des Nutzers, die freiwillig, spezifisch, informiert und unmissverständlich mittels des Präferenzfensters erteilt wird.

3.C — Analytische Tracking-Tools

3.8 Definition. Es handelt sich um die Tracking-Tools, die verwendet werden, um Informationen über die Anzahl der Besucher und die Modalitäten der Nutzung der Plattform zu erheben.

3.9 Unterscheidung zwischen aggregierten und disaggregierten Analysetools.

• (a) Die technischen Tools gleichgestellten aggregierten Analysetools sind Tracking-Tools, die ausschließlich zur Gewinnung aggregierter statistischer Informationen verwendet werden, sofern die Voraussetzungen von Absatz 4.2 des Beschlusses des Garante vom 10. Juni 2021 kumulativ erfüllt sind: (i) Anonymisierung der IP-Adresse durch Masking mindestens des vierten Teils (z. B. 192.168.1.XXX); (ii) keine Verknüpfung der Daten mit anderen Erst- oder Drittanbieterquellen; (iii) keine Übermittlung an Drittanbieter für eigenständige Zwecke des Anbieters; (iv) Konfiguration des Anbieters in einer Weise, die keine Abgleichung mit anderen Identitäten erlaubt (z. B. Deaktivierung des Signal Sharing mit Werbediensten desselben Anbieters). Für diese Analysetools ist die vorherige Einwilligung nicht erforderlich, die Information bleibt jedoch in jedem Fall veröffentlicht.

• (b) Die disaggregierten oder technischen Tools nicht gleichgestellten Analysetools sind Tracking-Tools, die die Voraussetzungen des vorstehenden Punktes (a) nicht vollständig erfüllen (z. B. individuelle Nachverfolgung des Cross-Page-Pfads, Session Replay, identifizierende Heatmaps, personalisierte Funnel Analysis). Für diese Analysetools ist die vorherige Einwilligung erforderlich.

3.10 Zwecke. Messung des Datenverkehrs und der Performance der Plattform; Analyse des Navigationsverhaltens auf Seiten, Abschnitten und Funktionen; Identifizierung von Fehlern und technischen Problemen; Optimierung des Conversion-Funnels; A/B-Testing von Oberflächen; Erstellung statistischer Berichte zur internen Verwendung.

3.11 Rechtsgrundlage.

• (a) Für die technischen Tools gleichgestellten aggregierten Analysetools: Art. 122 Absatz 1 des italienischen Datenschutzkodex und Art. 6 Absatz 1 Buchstabe f DSGVO (berechtigtes Interesse des Verantwortlichen an der Verbesserung der Plattform).

• (b) Für die disaggregierten Analysetools: Art. 6 Absatz 1 Buchstabe a DSGVO — vorherige Einwilligung des Nutzers.

3.D — Marketing- und Profiling-Tracking-Tools

3.12 Definition. Es handelt sich um die Tracking-Tools, die für Tätigkeiten des Profilings, der zielgerichteten Werbung und der Personalisierung der dem Nutzer auf der Plattform und auf Websites, Apps und sozialen Netzwerken Dritter angebotenen kommerziellen Inhalte verwendet werden.

3.13 Zwecke.

• (a) Profiling der Navigationsverhalten des Nutzers, um kommerzielle Inhalte vorzuschlagen, die mit seinen Interessen übereinstimmen (z. B. Kategorien angesehener Erlebnisse, Zielstädte, Preisspannen);

• (b) Remarketing und Retargeting gegenüber Nutzern, die die Plattform besucht haben, ohne eine Buchung abzuschließen, mittels Werbekampagnen auf den Plattformen von Meta;

• (c) Lookalike Audience: Erstellung von Zielgruppen, die denen der Nutzer von Stravagando ähnlich sind, um die Reichweite der Werbekampagnen zu erweitern, mittels Übermittlung von gehashten oder pseudonymisierten Kennungen an Drittanbieter;

• (d) Messung der Conversions, die durch Werbekampagnen generiert werden (Conversion Tracking), und Zuordnung des eingehenden Datenverkehrs;

• (e) Attributions-Cookies des Empfehlungsprogramms: Nachverfolgung der Herkunft des von den Empfehlungsgebern mittels Empfehlungslinks generierten Datenverkehrs und Zuordnung der qualifizierenden Aktionen über ein bewegliches Fenster von 90 Tagen nach dem Modell der Last-Click-Attribution, zu den in den Bedingungen des Empfehlungsprogramms beschriebenen Zwecken;

• (f) Personalisierung der transaktionalen und Marketing-E-Mails (Newsletter, Erlebnisvorschläge, Mitteilungen nach der Buchung) mittels Tracking-Pixel und eindeutiger Kennungen, sofern der Nutzer die Einwilligung in den Erhalt von Marketing-Mitteilungen erteilt hat.

3.14 Rechtsgrundlage. Die Verwendung von Marketing- und Profiling-Tracking-Tools beruht auf Art. 6 Absatz 1 Buchstabe a DSGVO — vorherige Einwilligung des Nutzers, die freiwillig, spezifisch, informiert und unmissverständlich mittels des Präferenzfensters erteilt wird, granular nach Kategorie und — sofern erforderlich — nach einzelnem Drittanbieter.

3.15 Automatisiertes Profiling. Vorbehaltlich der für einzelne Drittanbieter spezifisch angegebenen Fälle umfasst die Verwendung der Marketing- und Profiling-Tracking-Tools keine vollständig automatisierten Entscheidungsprozesse, die rechtliche Wirkungen auf den Nutzer entfalten oder ihn in ähnlicher Weise erheblich beeinträchtigen, im Sinne von Art. 22 DSGVO. Etwaige erhebliche Entscheidungen — wie die Sperrung des Kontos oder das Ergebnis von Betrugsbekämpfungsprüfungen — unterliegen einer menschlichen Überprüfung nach den in den anwendbaren AGB, Gastgeberbedingungen und Bedingungen des Empfehlungsprogramms beschriebenen Modalitäten und werden im Detail durch die allgemeine Datenschutzerklärung geregelt (Art. 11 — Automatisierte Entscheidungsprozesse und Profiling).

ART. 4 — ERTEILUNG, ÄNDERUNG UND WIDERRUF DER EINWILLIGUNG

4.A — Erstbesuchs-Banner

4.1 Merkmale des Banners. Beim Zugriff auf die Plattform durch einen Nutzer, der seine Präferenzen noch nicht ausgedrückt hat, oder im Sinne von Absatz 4.4 wird ein Kurzinformations-Banner («Cookie Banner») angezeigt, das Folgendes enthält:

• (a) die Angabe des Vorhandenseins von Tracking-Tools und ihrer Zwecke;

• (b) den Verweis auf die vorliegende Cookie-Richtlinie;

• (c) die drei Auswahlbefehle, gleichwertig in Größe, Position, Hintergrundfarbe und Kontrast: «Alle akzeptieren», «Nur notwendige» und «Anpassen».

In Übereinstimmung mit dem Beschluss des Garante vom 10. Juni 2021 und den Leitlinien 03/2022 des EDSA zu Dark Patterns hat der Befehl «Nur notwendige» — gleichbedeutend mit der Ablehnung aller nicht technischen Tracking-Tools — die gleiche Sichtbarkeit und Unmittelbarkeit wie der Befehl «Alle akzeptieren». Das Schließen des Banners mittels der bloßen «X»-Schaltfläche zum Schließen stellt keine Erteilung der Einwilligung dar: in diesem Fall werden nur die technischen Tracking-Tools verwendet und das Banner wird bei den nachfolgenden Besuchen nach den Modalitäten von Absatz 4.4 erneut angezeigt.

4.2 Granularität. Durch Klicken auf «Anpassen» gelangt der Nutzer zum Präferenzfenster und kann die Einwilligung granular für jede der in Art. 3 genannten Kategorien und gegebenenfalls für einzelne Drittanbieter erteilen, sofern die Plattform diese Granularitätsstufe bietet.

4.B — Präferenzfenster

4.3 Dauerhafter Zugang. Das Präferenzfenster ist jederzeit zugänglich mittels:

• (a) des Links «Ihre Cookie-Entscheidungen» oder «Cookie- und Marketing-Präferenzen» in der Fußzeile aller Seiten der Plattform;

• (b) des Abschnitts «Datenschutz» des Fensters des registrierten Nutzers;

• (c) der Einstellungen der mobilen App;

• (d) eines direkten Links, der in jeder Marketing-E-Mail enthalten ist;

• (e) einer direkten Anfrage an den Kundenservice per E-Mail an support@stravagando.com.

Die vom Nutzer getroffenen Entscheidungen werden in einem serverseitigen Einwilligungsprotokoll gespeichert, das von Stravagando zu Beweis- und Rechenschaftszwecken (Accountability) im Sinne von Art. 5 Absatz 2 DSGVO für 10 Jahre aufbewahrt wird. Dieses serverseitige Protokoll ist zu unterscheiden von der lokalen Einwilligungsspeicherung auf dem Gerät des Nutzers — beschrieben in Art. 5.4 nachstehend —, die eine Dauer von nur 6 Monaten hat und ausschließlich dazu dient, die Notwendigkeit der erneuten Anzeige des Banners im Sinne von Absatz 4.4 zu bestimmen.

4.C — Erneute Anzeige des Banners und Dauer der Entscheidung

4.4 Erneute Anzeige. Das Banner wird dem Nutzer erneut angezeigt:

• (a) nach Ablauf von sechs Monaten seit dem letzten Ausdruck der Präferenzen, es sei denn, der Nutzer hat ausdrücklich alle Tracking-Tools akzeptiert und die Zwecke wurden nicht nachträglich geändert;

• (b) anlässlich erheblicher Änderungen der Verarbeitungszwecke, der Liste der Drittanbieter oder der Kategorien der verwendeten Tracking-Tools;

• (c) sofern der Nutzer von einem anderen Gerät oder Browser zugreift oder die lokale Einwilligungsspeicherung löscht;

• (d) beim natürlichen Ablauf der lokalen Einwilligungsspeicherung.

4.D — Widerruf

4.5 Widerruf so einfach wie die Erteilung. Der Nutzer kann die erteilte Einwilligung jederzeit widerrufen, problemlos und mit derselben Leichtigkeit, mit der er sie erteilt hat, mittels des Präferenzfensters. Der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung.

4.6 Wirkungen des Widerrufs. Infolge des Widerrufs werden die Tracking-Tools, für die die Einwilligung widerrufen wurde, nicht mehr für neue Verarbeitungsvorgänge verwendet. Die etwaig bereits erhobenen Daten bleiben Gegenstand der Verarbeitung bis zur Erreichung der Zwecke, für die sie rechtmäßig erhoben wurden, nach den in Art. 7 nachstehend genannten Aufbewahrungsfristen. Der Nutzer kann die Löschung der früheren Daten durch Ausübung der DSGVO-Rechte im Sinne von Art. 8 der vorliegenden Information beantragen.

4.E — Cross-Device und Cross-Platform

4.7 Synchronisierung der Präferenzen. Die vom registrierten Nutzer ausgedrückten Präferenzen werden — sofern technisch möglich und sofern der Nutzer auf sein Konto zugreift — zwischen allen Geräten und allen Plattformen (Website, iOS-App, Android-App, E-Mail), auf denen er die Dienste von Stravagando nutzt, synchronisiert, mittels Zuordnung der Präferenzen zu seiner eindeutigen Kontokennung.

4.8 Nicht registrierte Nutzer. Für nicht registrierte Nutzer werden die Präferenzen lokal auf dem spezifischen verwendeten Gerät/Browser gespeichert und nicht zwischen verschiedenen Geräten synchronisiert. Der Nutzer, der von einem anderen Gerät zugreift, erhält das Erstbesuchs-Banner.

ART. 5 — LISTE DER TRACKING-TOOLS UND DER DRITTANBIETER

5.A — Hinweis und Link zum Fenster

5.1 Dynamisch aktualisierte Liste. Die detaillierte und aktualisierte Liste der verwendeten Tracking-Tools, einschließlich Name, Zweck, Rechtsgrundlage, Dauer, Drittanbieter, Land der Verarbeitung, Link zur Datenschutzrichtlinie des Drittanbieters und Opt-out-Mechanismus, ist innerhalb des Präferenzfensters verfügbar und wird dort in Echtzeit aktualisiert. Weitere technische Details zur operativen Konfiguration der einzelnen Tools — wie Anonymisierungsparameter, Stichprobenschwellen, anbieterspezifische Aufbewahrungsfristen — werden in den Technischen Spezifikationen des Dienstes veröffentlicht, die periodisch aktualisiert werden. Der vorliegende Art. 5 bietet einen beschreibenden Überblick nach Kategorie über die zum Zeitpunkt der letzten Überarbeitung der vorliegenden Information verwendeten Drittanbieter, ohne Anspruch auf Vollständigkeit gegenüber der Version des Präferenzfensters, die maßgeblich ist.

5.B — Technische Tracking-Tools (Erstanbieter)

5.2 Sitzungs- und Authentifizierungsfunktionen.

• Session-Cookies, die von der Anwendungsinfrastruktur von Stravagando für die Authentifizierung und die Persistenz der Navigationssitzung verwaltet werden.

• Dauer: Sitzung (gelöscht beim Schließen des Browsers) oder persistent bis zu 30 Tagen im Modus «Angemeldet bleiben».

• Rechtsgrundlage: Art. 6 Absatz 1 Buchstabe b DSGVO.

5.3 Betrugsbekämpfungs- und Sicherheitsfunktionen.

• Cookies und Fingerprinting für Device Identification, Velocity Check und Risikoanalyse in der Buchungs- und Zahlungsphase, integriert in die Betrugsbekämpfungssysteme von Stripe.

• Dauer: variabel, von der Sitzung bis zu 24 Monaten für pseudonymisierte Risikokennungen.

• Rechtsgrundlage: Art. 6 Absatz 1 Buchstabe f DSGVO (berechtigtes Interesse an der Betrugsprävention).

5.4 Lokale Speicherung der Präferenzen (Consent Log).

• Die vom Nutzer in Bezug auf die Tracking-Tools getroffenen Entscheidungen werden lokal auf dem Gerät des Nutzers mittels localStorage des Browsers (Schlüssel lolliexp_consents) gespeichert — eine Technologie, die, obwohl technisch kein Cookie, eine analoge Funktion der Persistenz der Präferenz erfüllt —, um die Notwendigkeit der erneuten Anzeige des Banners im Sinne von Art. 4.4 zu bestimmen. Für authentifizierte Nutzer wird die Präferenz darüber hinaus serverseitig synchronisiert (vgl. Art. 4.3 und 4.5).

• Dauer / erneute Anzeige: Die Entscheidung gilt für 6 Monate als gültig, nach deren Ablauf das Banner automatisch erneut zur Erneuerung der Präferenz angezeigt wird. (Diese lokale Speicherung ist zu unterscheiden vom serverseitigen Einwilligungsprotokoll im Sinne von Art. 4.3, das zu Beweiszwecken 10 Jahre aufbewahrt wird.)

• Rechtsgrundlage: Art. 6 Absatz 1 Buchstaben c und f DSGVO (Erfüllung gesetzlicher Pflichten im Sinne von Art. 7 Absatz 1 DSGVO und des Beschlusses des Garante vom 10. Juni 2021).

5.C — Zahlungen und Betrugsbekämpfung (Stripe)

5.5 Stripe Payments Europe Ltd.

• Dienst: Zahlungsabwicklung, Escrow, Connect und Betrugsbekämpfung (Radar).

• Tracking-Tools: technische Erst- und Drittanbieter-Cookies, Device Fingerprinting, eindeutige Kennungen der Zahlungssitzung.

• Kategorie: technische Tracking-Tools (wesentlich für die Zahlungsausführung und die Betrugsprävention).

• Ort der Verarbeitung: Irland (Sitz des europäischen Verantwortlichen) und Vereinigte Staaten (Muttergesellschaft Stripe Inc.). Für die Übermittlungen außerhalb des EWR hat Stripe die Standardvertragsklauseln übernommen, die von der EU-Kommission im Sinne von Art. 46 Absatz 2 Buchstabe c DSGVO genehmigt wurden.

• Datenschutzrichtlinie: https://stripe.com/privacy

• Rechtsgrundlage: Art. 6 Absatz 1 Buchstabe b DSGVO.

5.5-bis Cloudflare Turnstile (Anti-Bot-CAPTCHA).

• Anti-Bot-Verifizierungsdienst vom Typ CAPTCHA, bereitgestellt von Cloudflare, Inc., eingesetzt zur Prävention automatisierter Zugriffe und Missbräuche in den Formularen der Plattform (Registrierung, Login, Formularversand).

• Tracking-Tools und verarbeitete Daten: IP-Adresse, User-Agent und Verifizierungstoken; Cloudflare Turnstile ist darauf ausgelegt, ohne Tracking-Cookies zu Werbezwecken zu arbeiten.

• Kategorie: technische Tracking-Tools (wesentlich für die Sicherheit der Plattform).

• Ort der Verarbeitung: das Edge-Netzwerk von Cloudflare; für die Übermittlungen außerhalb des EWR gelten die Standardvertragsklauseln und gegebenenfalls das EU-US Data Privacy Framework.

• Datenschutzrichtlinie: https://www.cloudflare.com/privacypolicy/

• Rechtsgrundlage: Art. 6 Absatz 1 Buchstabe f DSGVO (berechtigtes Interesse an der Sicherheit und der Missbrauchsprävention).

5.D — Analytische Tracking-Tools (mit Einwilligung)

5.6 Google Analytics 4 und Firebase Analytics.

• Google Analytics 4 (Web) und Firebase Analytics (mobile App), bereitgestellt von Google Ireland Limited und Google LLC, konfiguriert mit Anonymisierung der IP-Adresse und Deaktivierung der Signalfreigabe (Signal Sharing) zu Werbezwecken.

• Zweck: Messung und Analyse der Nutzung der Plattform (Web und App), Conversion-Raten, disaggregiertes Navigationsverhalten.

• Ort der Verarbeitung: Irland; Vereinigte Staaten (mit SVK und EU-US Data Privacy Framework, sofern die Zertifizierung vom Anbieter aufrechterhalten wird).

• Datenschutzrichtlinie: https://policies.google.com/privacy

• Kategorie: analytische Tracking-Tools. Im Web wird Google Analytics 4 über Google Tag Manager mit Consent Mode v2 im Modus Default-Deny geladen: die Tags werden ausschließlich nach Einholung der Einwilligung des Nutzers für die Kategorie Analytics aktiviert. Auf der mobilen App ist Firebase Analytics der gleichen Einwilligung unterworfen.

• Rechtsgrundlage: Art. 6 Absatz 1 Buchstabe a DSGVO — Einwilligung.

5.E — Single Sign-On (Funktional)

5.7 Single Sign-On (SSO).

• Sign in with Google (Google Ireland Limited) und Login with Facebook (Meta Platforms Ireland Limited), angeboten als alternative Authentifizierungsoptionen.

• Kategorie: funktionale Tracking-Tools; der Authentifizierungs-Flow wird vom Nutzer aktiviert, der diese Zugangsmodalität wählt.

• Datenschutzrichtlinie: https://policies.google.com/privacy ; https://www.facebook.com/policy.php

5.F — Marketing- und Profiling-Tracking-Tools

5.8 Meta Pixel, Meta Conversions API und Meta Business Tools (gemeinsame Verantwortlichkeit).

• Meta Pixel (Web), Meta Conversions API (Server-side), Meta App Events SDK (mobile App), Meta Custom Audiences und Meta Lookalike, bereitgestellt von Meta Platforms Ireland Limited.

• Zweck: Messung der Conversions, Retargeting und Erstellung personalisierter Zielgruppen für die Werbekampagnen von Stravagando im Web und in der App.

• Ort der Verarbeitung: Irland; Vereinigte Staaten (mit SVK und EU-US Data Privacy Framework, sofern anwendbar).

• Datenschutzrichtlinie: https://www.facebook.com/policy.php

• Rechtsgrundlage: Art. 6 Absatz 1 Buchstabe a DSGVO — Einwilligung. Im Web wird das Meta Pixel über Google Tag Manager mit Consent Mode v2 im Modus Default-Deny geladen und ausschließlich nach Einwilligung für die Kategorie Marketing aktiviert; die Meta Conversions API übermittelt die Daten serverseitig unter derselben Einwilligung. Auf der mobilen App ist das Meta App Events SDK der Marketing-Einwilligung und, auf iOS, der App-Tracking-Transparency-Autorisierung unterworfen (vgl. Abs. 5.10).

• Rolle: für die oben aufgeführten Meta Business Tools handeln Horizon Servizi Integrati S.r.l.s. und Meta Platforms Ireland Limited in der Eigenschaft als gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO, für die Vorgänge der Erhebung und der anfänglichen Übermittlung der Daten. Der zusammenfassende Inhalt der Vereinbarung über die gemeinsame Verantwortlichkeit wird von Meta unter der Adresse https://www.facebook.com/legal/controller_addendum veröffentlicht und kann der betroffenen Person auf Anfrage unter der Adresse support@stravagando.com in Kopie zur Verfügung gestellt werden. Für die nachfolgenden, von Meta eigenständig auf den eigenen Plattformen durchgeführten Verarbeitungen handelt Meta in der Eigenschaft als eigenständiger Verantwortlicher.

5.9 Attributions-Cookies des Empfehlungsprogramms.

• Erstanbieter-Cookie von Stravagando.

• Zweck: Nachverfolgung der Herkunft der neuen Nutzer, die sich mittels eines Empfehlungslinks eines am Empfehlungsprogramm von Stravagando teilnehmenden Empfehlungsgebers registrieren, nach dem Modell der Last-Click-Attribution über ein bewegliches Fenster von 90 Tagen.

• Dauer: 90 Tage (verlängerbar durch erneute Installation beim nächsten qualifizierenden Klick).

• Kategorie: Marketing-Tracking-Tools (Einwilligung erforderlich). In Ermangelung einer Einwilligung kann die Zuordnung ausschließlich durch direkte Eingabe des Empfehlungscodes durch den Geworbenen zum Zeitpunkt der Registrierung erfolgen, nach den Vorgaben der Bedingungen des Empfehlungsprogramms.

5.G — SDK und Kennungen der mobilen App

5.10 App Tracking Transparency und IDFA (iOS).

• Auf iOS sind der etwaige Zugriff auf den Identifier for Advertisers (IDFA) und die Verwendung von Marketing-SDKs (Meta App Events SDK) der ausdrücklichen Autorisierung des Nutzers mittels der App-Tracking-Transparency-(ATT)-Aufforderung von Apple unterworfen, zusätzlich zur im Präferenzverwaltungssystem der Plattform ausgedrückten Einwilligung.

• Auf Android werden die Werbekennungen (Google Advertiser ID) ausschließlich nach Einwilligung für die Kategorie Marketing verwendet.

• Kategorie: Marketing-Tracking-Tools (Einwilligung erforderlich).

5.11 Firebase Analytics (mobile App).

• Firebase Analytics, bereitgestellt von Google, ist in Abs. 5.6 als analytisches Tool beschrieben, das der Einwilligung für die Kategorie Analytics unterworfen ist.

5.12 Sentry (Fehlerüberwachung).

• Sentry (Functional Software, Inc. / Sentry, EU — Deutschland) wird als SDK zur Überwachung der Stabilität und der Fehler der App und der Plattform eingesetzt. Es verwendet keine Cookies zu Werbe-Tracking-Zwecken und erhebt eine pseudonyme Kennung und technische Breadcrumbs zu Diagnosezwecken; es wird hier der Vollständigkeit der Information halber erwähnt.

• Kategorie: technisches/Sicherheits-Tool.

5.H — E-Mail-Marketing

5.13 E-Mail-Tracking-Pixel.

• Die von Stravagando versendeten transaktionalen und Marketing-E-Mails enthalten Öffnungs-Tracking-Pixel und Link Tracking zur Messung der Öffnungsraten, der Click-Through- und Conversion-Raten, verwaltet über den Anbieter Mailgun (Sinch / Mailgun Technologies, Inc.).

• Ort der Verarbeitung: Vereinigte Staaten (mit SVK und EU-US Data Privacy Framework, sofern anwendbar).

• Kategorie: für die transaktionalen E-Mails Rechtsgrundlage Art. 6 Absatz 1 Buchstabe b DSGVO (Vertragserfüllung). Für die Marketing-E-Mails Rechtsgrundlage Art. 6 Absatz 1 Buchstabe a DSGVO — Einwilligung, jederzeit widerrufbar mittels des in jeder E-Mail vorhandenen Opt-out-Links.

ART. 6 — ÜBERMITTLUNGEN AUSSERHALB DES EWR

6.1 Grundsatz. Einige der verwendeten Tracking-Tools umfassen die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere in die Vereinigten Staaten von Amerika, das Vereinigte Königreich und andere Drittländer.

6.2 Ergriffene Garantien. Für die Übermittlungen außerhalb des EWR bedient sich Stravagando der folgenden Schutzinstrumente im Sinne des Kapitels V DSGVO:

• (a) Angemessenheitsbeschlüsse der EU-Kommission im Sinne von Art. 45 DSGVO, sofern anwendbar (z. B. Vereinigtes Königreich, Schweiz, Israel, Kanada teilweise, Andorra, Argentinien, Japan, Neuseeland, Republik Korea, Uruguay);

• (b) EU-US Data Privacy Framework: für die Übermittlungen in die Vereinigten Staaten, sofern der Drittanbieter nach dem von der EU-Kommission mit Angemessenheitsbeschluss vom 10. Juli 2023 genehmigten Framework zertifiziert ist;

• (c) Standardvertragsklauseln (SVK), von der EU-Kommission mit dem Durchführungsbeschluss 2021/914 genehmigt, im Sinne von Art. 46 Absatz 2 Buchstabe c DSGVO, ergänzt durch geeignete zusätzliche technische und organisatorische Maßnahmen, sofern auf der Grundlage des von Stravagando durchgeführten Transfer Impact Assessment erforderlich;

• (d) verbindliche interne Datenschutzvorschriften (Binding Corporate Rules), genehmigt im Sinne von Art. 47 DSGVO, sofern auf den Drittanbieter anwendbar;

• (e) Ausnahmen im Sinne von Art. 49 DSGVO, in spezifischen und Restfällen (z. B. ausdrückliche Einwilligung der betroffenen Person, Erfüllung eines Vertrags auf Anfrage der betroffenen Person, Gründe des öffentlichen Interesses).

6.3 Transparenz. Für jedes Drittanbieter-Tracking-Tool gibt das Präferenzfenster das Land der Verarbeitung und — sofern außerhalb des EWR — den ergriffenen Schutzmechanismus an.

ART. 7 — DAUER UND AUFBEWAHRUNG

7.1 Dauer der Cookies. Die Dauer jedes Cookies und Tracking-Tools ist im Präferenzfenster angegeben. Zur Orientierung:

• (a) Session-Cookies: gelöscht beim Schließen des Browsers oder nach einem vorbestimmten Zeitraum der Inaktivität;

• (b) persistente funktionale Cookies: Dauer variabel von 7 Tagen bis 12 Monaten;

• (c) analytische Cookies: Höchstdauer von 14 Monaten (Google Analytics 4 Standard) oder 24 Monaten;

• (d) Marketing-Cookies: Dauer variabel von 30 Tagen bis 24 Monaten je nach Anbieter;

• (e) Attributions-Cookies des Empfehlungsprogramms: 90 Tage;

• (f) lokale Einwilligungsspeicherung: 6 Monate.

7.2 Aufbewahrung der erhobenen Daten. Die mittels Tracking-Tools erhobenen personenbezogenen Daten werden für die zur Verfolgung der Zwecke, für die sie erhoben wurden, strikt erforderliche Zeit aufbewahrt, nach den in der allgemeinen Datenschutzerklärung der Plattform angegebenen Kriterien. Zusammenfassend:

• (a) Sicherheits- und Betrugsbekämpfungsdaten: 24 Monate, vorbehaltlich der Notwendigkeit einer längeren Aufbewahrung für Ermittlungserfordernisse;

• (b) Analysedaten: bis zu 26 Monate für Google Analytics 4 und ähnliche Tools (mit automatischer Löschung der einzelnen Datensätze und Beibehaltung nur der Aggregate);

• (c) Profiling- und Marketingdaten: bis zu 24 Monate ab der letzten Interaktion, oder bis zum Widerruf der Einwilligung, sofern früher;

• (d) Attributionsdaten des Empfehlungsprogramms: für die Dauer der Vertragsbeziehung mit dem Empfehlungsgeber + 24 Monate (Streitbeilegung);

• (e) serverseitiges Einwilligungsprotokoll: 10 Jahre ab der Erhebung der Einwilligung oder ab dem Widerruf, zu Beweiszwecken.

ART. 8 — RECHTE DER BETROFFENEN PERSON

8.1 Anerkannte Rechte. Die betroffene Person kann jederzeit die folgenden in den Art. 15-22 DSGVO vorgesehenen Rechte ausüben:

• (a) Auskunftsrecht in Bezug auf ihre personenbezogenen Daten (Art. 15) — Bestätigung der Verarbeitung und Kopie der verarbeiteten Daten erhalten;

• (b) Recht auf Berichtigung (Art. 16) — Berichtigung unrichtiger Daten oder Vervollständigung unvollständiger Daten erhalten;

• (c) Recht auf Löschung oder «Recht auf Vergessenwerden» (Art. 17) — Löschung der Daten in den durch die Norm vorgesehenen Fällen erhalten;

• (d) Recht auf Einschränkung der Verarbeitung (Art. 18);

• (e) Recht auf Datenübertragbarkeit (Art. 20) — die sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten und sie an einen anderen Verantwortlichen übermitteln;

• (f) Widerspruchsrecht gegen die Verarbeitung (Art. 21), einschließlich des Rechts, jederzeit der Verarbeitung der eigenen Daten zu Zwecken des Direktmarketings zu widersprechen;

• (g) Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22), vorbehaltlich der gesetzlich vorgesehenen Ausnahmen;

• (h) Recht, die Einwilligung jederzeit zu widerrufen (Art. 7 Absatz 3 DSGVO), unbeschadet der Rechtmäßigkeit der auf der Einwilligung vor dem Widerruf beruhenden Verarbeitung;

• (i) Recht, Beschwerde bei der zuständigen Aufsichtsbehörde einzulegen (Art. 77), insbesondere bei der italienischen Datenschutzbehörde (Garante) im Fall Italiens, nach den auf der Website https://www.garanteprivacy.it veröffentlichten Modalitäten.

8.2 Modalitäten der Ausübung. Die Rechte können ausgeübt werden:

• (a) mittels des Präferenzfensters der Plattform für die Änderung/den Widerruf der Einwilligung in Cookies und in Marketingzwecke;

• (b) mittels des Abschnitts «Datenschutz» des Fensters des registrierten Nutzers für die Anfragen auf Auskunft, Berichtigung, Löschung, Übertragbarkeit;

• (c) mittels einer an support@stravagando.com gesendeten schriftlichen Anfrage (Betreff: «Ausübung der Datenschutzrechte») oder an horizonserviziintegrati@pec.it (für formelle Anfragen per zertifizierter E-Mail — PEC), begleitet von einem Ausweisdokument zur Überprüfung der Identität des Antragstellers;

• (d) mittels Briefpost an die in Art. 2.1 angegebene Adresse des Verantwortlichen.

8.3 Antwortfristen. Stravagando erteilt eine Antwort auf die Anfragen zur Ausübung der Rechte innerhalb von 1 Monat ab dem Eingang, verlängerbar um weitere 2 Monate in Fällen besonderer Komplexität oder einer hohen Anzahl von Anfragen, im Sinne von Art. 12 Absatz 3 DSGVO, mit vorheriger Mitteilung der Gründe der Verlängerung an die betroffene Person innerhalb des ersten Monats der Bearbeitung des Vorgangs.

ART. 9 — BROWSER- UND GERÄTEEINSTELLUNGEN

9.1 Steuerung über den Browser. Zusätzlich zu den von Stravagando bereitgestellten Mechanismen kann der Nutzer seinen Browser so konfigurieren, dass er die Cookies anzeigt, löscht und blockiert. Jeder Browser verfügt über eigene Einstellungen; aktualisierte operative Anleitungen sind auf den offiziellen Seiten der wichtigsten Browser verfügbar:

• (a) Google Chrome: https://support.google.com/chrome/answer/95647

• (b) Mozilla Firefox: https://support.mozilla.org/de/kb/cookies-erlauben-und-ablehnen

• (c) Apple Safari: https://support.apple.com/de-de/guide/safari/sfri11471/mac

• (d) Microsoft Edge: https://support.microsoft.com/de-de/microsoft-edge

• (e) Opera: https://help.opera.com/de/latest/web-preferences/

9.2 Grenzen der Browser-Einstellungen. Die Browser-Einstellungen ermöglichen keine granulare Steuerung nach Cookie-Kategorie, die der im Präferenzfenster der Plattform verfügbaren gleichwertig ist. Die vollständige Deaktivierung der Cookies über den Browser kann die vollständige oder teilweise Unmöglichkeit der Nutzung der Plattform zur Folge haben.

9.3 Mobile Werbekennungen. Auf mobilen Geräten kann der Nutzer das Werbe-Tracking mittels der Einstellungen des Betriebssystems einschränken:

• (a) iOS: «Einstellungen > Datenschutz & Sicherheit > Tracking» und Deaktivierung der Einwilligung in das Tracking für die Apps, mit der Folge der Übermittlung eines IDFA in Form einer Nullzeichenkette durch die App von Stravagando;

• (b) Android: «Einstellungen > Datenschutz > Werbung» und Aktivierung von «Werbe-ID löschen» oder «Personalisierung der Werbung deaktivieren».

9.4 Do-Not-Track-Signal. Das Do-Not-Track-(DNT)-Signal des Browsers wird von Stravagando als weiterer Ausdruck der Präferenz des Nutzers betrachtet, obwohl seine technische Auslegung bis heute nicht standardisiert ist. Die Verwaltung der Einwilligung in die Tracking-Tools erfolgt in jedem Fall primär mittels des Banners und des Präferenzfensters, die in Art. 4 beschrieben sind.

ART. 10 — MINDERJÄHRIGE

10.1 Mindestalter. Die Plattform ist für volljährige Personen oder für Minderjährige bestimmt, die die durch die auf ihren Wohnsitz anwendbare Gesetzgebung vorgesehene Mindestzugangsschwelle erreicht haben. Stravagando erhebt nicht wissentlich personenbezogene Daten von Minderjährigen im Alter von unter 14 Jahren in Italien (Schwelle im Sinne von Art. 2-quinquies des italienischen Datenschutzkodex für die Einwilligung in die Datenverarbeitung im Rahmen der Dienste der Informationsgesellschaft) noch, für die in anderen EU-Mitgliedstaaten ansässigen Nutzer, im Alter unterhalb der durch die lokale Gesetzgebung im Sinne von Art. 8 Absatz 1 DSGVO festgelegten Schwelle.

10.2 Modalität der Löschungsanfrage. Sofern ein Elternteil oder gesetzlicher Vormund der Auffassung ist, dass sein minderjähriges Kind Stravagando personenbezogene Daten unter Verletzung der Altersbeschränkungen bereitgestellt hat, kann er deren Löschung per E-Mail an support@stravagando.com beantragen, mit der Folge der unverzüglichen Entfernung der Daten und der Löschung etwaiger Konten.

ART. 11 — ÄNDERUNGEN DER VORLIEGENDEN COOKIE-RICHTLINIE

11.1 Aktualisierungen. Stravagando behält sich das Recht vor, die vorliegende Cookie-Richtlinie jederzeit zu ändern, insbesondere um regulatorische Änderungen, technologische Entwicklungen, die Einführung neuer Tracking-Tools oder neuer Drittanbieter, die Aktualisierung der Verarbeitungszwecke widerzuspiegeln.

11.2 Mitteilung. Die erheblichen Änderungen — wie die Einführung neuer Kategorien von Tracking-Tools, neuer Zwecke oder neuer Drittanbieter — werden dem Nutzer mitgeteilt mittels:

• (a) eines Hinweises auf der Plattform mit einer Vorankündigung von mindestens 30 Tagen vor dem Wirksamwerden;

• (b) einer E-Mail an die registrierte Adresse, sofern der Nutzer Kontoinhaber ist;

• (c) der erneuten Anzeige des Erstbesuchs-Banners für die erneute Erteilung der Einwilligung, sofern erforderlich.

11.3 Frühere Versionen. Die früheren Versionen der Cookie-Richtlinie werden archiviert und der betroffenen Person auf Anfrage zu Zwecken der historischen Rekonstruktion der Verarbeitung zur Verfügung gestellt.

11.4 Aktuelle Version. Die aktuelle Version der Cookie-Richtlinie trägt das Datum des Inkrafttretens an der Spitze des Dokuments und ersetzt jede frühere Version.

ART. 12 — KONTAKTE UND BESCHWERDEN

12.1 Verantwortlicher.

Geschäftliche Bezeichnung: Stravagando Firmenbezeichnung: Horizon Servizi Integrati S.r.l.s. Geschäftssitz: Viale Giovanni Bovio, 103/1 65124 Pescara (PE), Italien Steuernummer / MwSt.-Nr.: 02445190685 E-Mail allgemeiner Support: support@stravagando.com
PEC: horizonserviziintegrati@pec.it

12.2 Datenschutzbeauftragter (DSB).

E-Mail: support@stravagando.com (Betreff: «DSB»)

12.3 Beschwerde bei der Aufsichtsbehörde.

Italienische Datenschutzbehörde (Garante per la protezione dei dati personali) Piazza Venezia Nr. 11 — 00187 Rom (RM), Italien Website: https://www.garanteprivacy.it E-Mail: protocollo@gpdp.it PEC: protocollo@pec.gpdp.it Beschwerdeformular verfügbar unter der Adresse: https://www.garanteprivacy.it/home/modulistica-e-servizi-online

Für die in anderen EU-Mitgliedstaaten ansässigen Nutzer bleibt die Möglichkeit bestehen, Beschwerde bei der Aufsichtsbehörde des Staates des Wohnsitzes, des Arbeitsplatzes oder des Ortes der mutmaßlichen Verletzung einzulegen, im Sinne von Art. 77 DSGVO. Die Liste der EU-Aufsichtsbehörden ist auf der Website des Europäischen Datenschutzausschusses verfügbar: https://www.edpb.europa.eu.

Dokument genehmigt und angenommen von Horizon Servizi Integrati S.r.l.s.

Version: 1.0 Datum des Inkrafttretens: 26.04.2026 Bezugsdokument: Beschluss der italienischen Datenschutzbehörde vom 10. Juni 2021 — Leitlinien zu Cookies und anderen Tracking-Tools (Reg. Beschl. Nr. 231/2021)