Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Betreiber von Impflotse:

Alexander Seipel
Jeseniova 2829/20
130 00 Praha 3
Tschechische Republik
E-Mail: hallo@impflotse.de

Eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten haben wir nicht bestellt: Die Voraussetzungen des Art. 37 Abs. 1 DSGVO liegen nicht vor, weil dieser Dienst Gesundheitsdaten weder umfangreich noch als Kerntätigkeit einer großen Organisation verarbeitet. Fragen zum Datenschutz beantwortet die oben genannte Adresse.

2. Welche Daten wir verarbeiten

Terminbuchung

Anrede, Vor- und Nachname, E-Mail-Adresse, Telefonnummer, gewählte Impfung, Termin und Apotheke. Die Telefonnummer benötigt die Apotheke für kurzfristige Absagen. Dazu die Sprache, in der Sie gebucht haben — damit Erinnerung und Absage in derselben Sprache ankommen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Wir vermitteln Ihnen den Termin, und dieser Vertrag ist ohne diese Angaben nicht zu erfüllen. Für die gewählte Impfung kommt Art. 9 Abs. 2 lit. a DSGVO hinzu (Abschnitt 3). Diese Felder sind deshalb Pflichtfelder — ohne sie kommt die Buchung nicht zustande. Gesetzlich verpflichtet sind Sie zu keiner Angabe.

Name, E-Mail-Adresse und Telefonnummer liegen bei uns verschlüsselt. Wer die Datenbank oder eine Sicherungskopie davon in die Hand bekommt, liest dort keinen Namen. Ihre Adresse ist nur über einen daraus berechneten Schlüsselwert wiederauffindbar — er beantwortet „dieselbe Adresse“, ohne „welche Adresse“ zu beantworten.

Das Geburtsdatum geben Sie im Formular an, damit wir die Altersgrenze der gewählten Impfung prüfen können. Wir speichern es nicht: Die Prüfung läuft beim Absenden, das Datum wird danach verworfen und steht in keinem Datensatz. Den Ausweis prüft die Apotheke vor Ort.

Nach dem Termin hält die Apotheke fest, ob Sie erschienen sind. Das gehört zu der Dokumentation, zu der § 22 IfSG sie verpflichtet, und es ist die einzige Angabe, die die Anonymisierung überdauert — gezählt wird danach ein Termin, keine Person.

Anamnese vor dem Termin

Vor dem Absenden können Sie sechs Fragen mit Ja oder Nein beantworten, die die Apotheke am Tresen ohnehin stellt: akute Erkrankung, bekannte Allergien gegen Impfstoffbestandteile, ungewöhnliche Reaktionen auf frühere Impfungen, geschwächtes Immunsystem, blutverdünnende Medikamente, Schwangerschaft oder Stillzeit. Ein Freitextfeld gibt es nicht.

Die Antwort ist freiwillig. Sie können jede Frage offen lassen oder den ganzen Schritt überspringen; die Buchung ist dann trotzdem vollständig, und eine offen gelassene Frage bleibt als „nicht beantwortet“ von einem „Nein“ unterscheidbar.

Die Antworten sieht nur die Apotheke, bei der Sie gebucht haben. Sie stehen in keiner Liste, keiner Suche und keiner E-Mail, sie liegen verschlüsselt, jeder Abruf wird protokolliert, und mit der Anonymisierung der Buchung werden sie gelöscht. Auf welcher Grundlage wir sie verarbeiten, steht in Abschnitt 3.

Terminanfrage bei nicht angebundenen Apotheken

Vor- und Nachname, E-Mail-Adresse, optional Telefonnummer, Geschlecht, Alter, gewünschte Impfung, Wunschdatum und die Sprache der Anfrage. Diese Angaben leiten wir an die von Ihnen gewählte Apotheke weiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — die Anfrage ist der Schritt vor einem Termin, den Sie selbst auslösen —, für die gewünschte Impfung zusätzlich Ihre Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Anfragen von Apotheken

Wenn Sie das Formular für Apotheken nutzen: Name der Apotheke, Straße, PLZ und Ort, Ansprechpartnerin oder Ansprechpartner, E-Mail-Adresse, Telefonnummer und Ihre Nachricht. Zweck ist die Anbahnung und Durchführung eines Vertrags mit der Apotheke (Art. 6 Abs. 1 lit. b und f DSGVO).

Nachrichten über das Kontaktformular

Name, E-Mail-Adresse, Ihre Nachricht und die Sprache, in der Sie die Seite gelesen haben — letztere, damit die Antwort in dieser Sprache kommt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Wer uns schreibt, erwartet eine Antwort. Geht es um einen Vertrag mit uns, ist es Art. 6 Abs. 1 lit. b DSGVO.

Die Nachricht geht in unser Postfach und in keine Datenbank. Bitte schreiben Sie uns nichts über Ihre Gesundheit: Das Formular fragt danach nicht, und für alles, was zum Termin gehört, ist die Apotheke die richtige Stelle.

Selbstanmeldung einer Apotheke

Eine Apotheke kann sich selbst anmelden. Dabei verarbeiten wir Name und Anschrift der Apotheke, Telefonnummer, die E-Mail-Adresse, an die der Bestätigungslink geht, die Ansprechperson sowie die Fassung dieser Geschäftsbedingungen und den Zeitpunkt, zu dem sie angenommen wurden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Steht die Apotheke bereits in unserer Liste, geht der Link an die dort hinterlegte Adresse und nie an eine frisch getippte: Eine Anmeldung schließt deshalb nur ab, wer das Postfach der Apotheke liest. Wird die Anschrift von Hand eingegeben, lassen wir sie einmal geokodieren (MapTiler, Abschnitt 5). Wie oft eine Adresse einen solchen Link angefordert hat, zählen wir mit, damit die Auswahl nicht als Mailschleuder dient (Art. 6 Abs. 1 lit. f DSGVO).

Apotheken, die wir ansprechen

Für den Vertrieb führen wir eine Liste der Berliner Apotheken aus öffentlich zugänglichen Verzeichnissen: Name, Anschrift, Telefonnummer und die geschäftliche E-Mail-Adresse. Dazu kommt, was aus dem Kontakt entsteht — Name der Ansprechpartnerin oder des Ansprechpartners, Notizen zum Gespräch, Wiedervorlagen und der Stand der Zusammenarbeit.

Das sind Daten über Menschen in ihrer beruflichen Rolle; Rechtsgrundlage ist unser berechtigtes Interesse an der Anbahnung dieser Zusammenarbeit (Art. 6 Abs. 1 lit. f DSGVO). Sie können dem nach Art. 21 DSGVO formlos widersprechen — wir löschen die Notizen dann und halten nur fest, dass kein Kontakt gewünscht ist.

Zugang zum Apothekenportal

Ein Portalkonto trägt die dienstliche E-Mail-Adresse und das Passwort als Prüfwert, nie im Klartext. Wurde ein Passkey eingerichtet, kommen dessen öffentlicher Schlüssel, seine Kennung und die selbst vergebene Bezeichnung dazu. Ein Passkey enthält keine biometrischen Daten: Fingerabdruck oder Gesicht prüft Ihr Gerät bei sich und schickt uns nur eine Signatur.

Server-Protokolle

Beim Aufruf der Seiten protokolliert unser Webserver IP-Adresse, Zeitpunkt, aufgerufene Adresse, Antwortstatus und Browserkennung. Das ist für den Betrieb und die Abwehr von Angriffen erforderlich (Art. 6 Abs. 1 lit. f DSGVO).

Aus der aufgerufenen Adresse entfernen wir vor dem Schreiben, was empfindlich ist: die Einmal-Links aus unseren E-Mails — Absagelink, Passwortlink, Einladung, der Bestätigungslink einer Anmeldung und die Adresse eines Kalenderabos — sowie jede Suchanfrage. Die Postleitzahl oder Straße, die Sie in die Suche eingeben, steht in keiner Protokollzeile. Cookies, Anmeldedaten und die zuvor besuchte Seite werden gar nicht erst protokolliert.

Diese Protokolle haben keine Frist in Tagen, sondern eine feste Größe: Der Webserver hält sieben Dateien zu je 20 MB, die Anwendungsprotokolle drei zu je 10 MB je Dienst. Was aus diesem Ring herausfällt, ist gelöscht — wie lange das dauert, hängt vom Aufkommen ab. Die Anwendungsprotokolle enthalten dabei weder Namen noch E-Mail-Adressen: Wem wir eine Nachricht geschickt haben, steht dort nur als Pseudonym, das sich bei jedem Neustart ändert und sich gegen nichts auflösen lässt.

Anmeldeversuche und Sperren

Damit niemand Passwörter durchprobieren oder unsere Formulare als Mailschleuder benutzen kann, zählen wir Versuche je Absenderadresse. Die Zähler tragen dabei nicht die IP-Adresse selbst, sondern einen daraus berechneten Wert — die Tabelle und jede Sicherungskopie davon bleiben so frei von lesbaren Adressen.

Eine Ausnahme sind fehlgeschlagene Anmeldungen am Apothekenportal: Sie stehen mit IP-Adresse und E-Mail-Adresse in der Datenbank, weil die Sperre beide auseinanderhalten muss. Diese Zeilen werden nach 15 Minuten gelöscht, bei einer erfolgreichen Anmeldung sofort. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, ergänzend Art. 32 DSGVO.

Nachweisprotokoll (Änderungen und Zugriffe)

Getrennt davon führen wir ein Protokoll darüber, wer wann welchen Datensatz geändert, gelöscht oder eingesehen hat und wer sich an- und abgemeldet hat. Das ist eine Sicherheitsmaßnahme, zu der wir verpflichtet sind (Art. 5 Abs. 2 und Art. 32 DSGVO): Ohne sie ließe sich ein unbefugter Zugriff auf Ihre Daten weder feststellen noch Ihnen gegenüber melden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, für die Abwehr von Angriffen ergänzend lit. f.

Ein Eintrag enthält den Zeitpunkt, das Konto oder die Rolle der handelnden Person, die Art der Handlung und die Kennnummer des betroffenen Datensatzes — bei Änderungen zusätzlich die Namen der geänderten Felder. Er enthält keine Inhalte: weder Namen, noch Kontaktdaten, noch die gewählte Impfung, noch die Werte vor oder nach einer Änderung. Bei Anmeldevorgängen wird zusätzlich die IP-Adresse gespeichert.

Das Protokoll wird gegen feste Schwellenwerte geprüft — etwa eine Serie fehlgeschlagener Anmeldungen oder ein ungewöhnlich großer Abruf —, damit ein Angriff auffällt, ohne dass jemand jede Zeile liest. Geprüft wird ausschließlich gegen diese festen Werte, nicht gegen das bisherige Verhalten einzelner Konten; eine Entscheidung über Sie wird dabei nicht getroffen. Schlägt eine Regel an, geht eine Nachricht an unseren Betrieb; sie nennt die Zahl der Auffälligkeiten und ausdrücklich nicht, wer sie ausgelöst hat.

Einträge werden nach 365 Tagen automatisch gelöscht, die IP-Adresse bereits nach 90 Tagen. Einträge können nachträglich nicht verändert werden — das ist der Zweck eines solchen Protokolls. Ein Löschverlangen nach Art. 17 DSGVO können wir für diese Einträge deshalb bis zum Ablauf der Frist ablehnen (Art. 17 Abs. 3 lit. b und e DSGVO); Ihr Auskunftsrecht nach Art. 15 DSGVO umfasst sie.

3. Gesundheitsbezogene Daten (Art. 9 DSGVO)

Zwei Angaben in diesem Dienst sind Gesundheitsdaten: die gewählte Impfung, die Rückschlüsse auf Ihre Gesundheit zulässt, und — wenn Sie sie beantworten — die Fragen der Anamnese. Diese besondere Kategorie personenbezogener Daten verarbeiten wir ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Es sind zwei getrennte Einwilligungen mit je einem eigenen Kästchen: eine für die Terminabwicklung samt gewählter Impfung, eine für die Anamnese. Die zweite können Sie auslassen, ohne die erste zu verlieren — die Buchung kommt dann ohne Anamnese zustande. Zu beiden speichern wir den Zeitpunkt und die Fassung des Textes, dem Sie zugestimmt haben (Art. 7 Abs. 1 DSGVO).

Sie können jede Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. durch Absage des Termins über den Link in Ihrer Bestätigungs-E-Mail oder per E-Mail an uns.

4. Minderjährige

Impfungen in der Apotheke sind erst ab 18 Jahren möglich. Wer jünger ist, kann über Impflotse weder einen Termin buchen noch eine Terminanfrage stellen — das Formular weist die Eingabe ab. Wozu wir dafür das Geburtsdatum brauchen und warum wir es nicht speichern, steht in Abschnitt 2.

5. Empfänger

Die Apotheke, bei der Sie buchen, erhält Ihre Angaben, um die Impfung durchzuführen. Für alles, was sie danach damit tut — Beratung, Impfung, ihre eigene Dokumentation —, ist sie selbst Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO.

Auf Wunsch stellen wir ihr die Termine des Tages zusätzlich als Kalenderabo bereit: eine Adresse, die ihr Kalenderprogramm von selbst abruft und die Uhrzeit, Ihren Namen, Ihre Telefonnummer und die Impfung enthält. Welches Programm das ist, entscheidet die Apotheke; nutzt sie einen Kalenderdienst im Netz, gelangen diese Angaben dorthin, und dafür ist die Apotheke verantwortlich. Die Adresse ist nur bei uns abrufbar, steht in keinem Verzeichnis und lässt sich von der Apotheke jederzeit ungültig machen.

Daneben setzen wir folgende Dienstleister ein (Auftragsverarbeitung nach Art. 28 DSGVO, soweit nicht anders angegeben):

Hetzner — Serverbetrieb im Rechenzentrum Falkenstein (Deutschland) sowie verschlüsselte Sicherungskopien auf einer Storage Box. Dort liegen alle oben genannten Daten.
Brevo — Versand unserer E-Mails: Bestätigungscode, Terminbestätigung, Erinnerung, Absage und Terminanfrage an die Apotheke, dazu die Nachrichten rund um Anmeldung und Zugang einer Apotheke. Übermittelt werden die E-Mail-Adresse, der Name und der Inhalt der jeweiligen Nachricht.
MapTiler — Kartenkacheln und Adresssuche. Beim Aufruf der Kartenansicht übermittelt Ihr Browser Ihre IP-Adresse an MapTiler; bei der Adresssuche übermitteln zusätzlich wir den eingegebenen Suchtext von unserem Server aus, ohne Ihre IP-Adresse.
Porkbun — Domainverwaltung und Weiterleitung unserer E-Mail-Postfächer. Antworten, die Sie an unsere Adressen schicken, laufen über diesen Anbieter.
Sentry — Fehler-Monitoring, gespeichert in der EU-Region. Gemeldet wird nur, was unser Server vorher gefiltert hat: Art des Fehlers, Stapelspur, betroffener Dienst und die Kennnummer eines betroffenen Datensatzes. Anfrage, Kopfzeilen, Cookies, Formularinhalte und Ihre IP-Adresse gehen nicht mit; den Text einer Datenbankfehlermeldung halten wir zurück, weil er die Daten zitiert, an denen der Fehler auftrat.

6. Übermittlung in Drittländer

Server und Sicherungskopien liegen in Deutschland. Drei Stellen führen dennoch aus der EU heraus:

Porkbun hat seinen Sitz in den USA. Jede E-Mail, die Sie an eine unserer Adressen schicken, läuft über die dortige Weiterleitung.
MapTiler hat seinen Sitz in der Schweiz. Beim Laden der Karte kann die Verbindung zudem über Auslieferungsserver außerhalb der Schweiz und der EU laufen.
Sentry speichert unsere Fehlermeldungen in der EU-Region. Die Betreiberin sitzt in den USA und kann von dort darauf zugreifen.

Für die Schweiz hat die EU-Kommission die Angemessenheit des Datenschutzniveaus festgestellt (Art. 45 DSGVO); diese Übermittlung braucht keine weitere Garantie. Läuft eine Kartenanfrage über einen Auslieferungsserver außerhalb der Schweiz und der EU, gelten die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Für die beiden Anbieter mit Sitz in den USA — die Weiterleitung unserer E-Mail-Postfächer und das Fehler-Monitoring — stützen wir uns ebenfalls auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Wohin ein Kalenderabo führt, entscheidet allein die Apotheke. Wählt sie einen Kalenderdienst außerhalb der EU, ist das ihre Übermittlung und nicht unsere.

7. Speicherdauer

Terminbuchungen: 90 Tage nach dem Termin werden Anrede, Name, E-Mail-Adresse, Telefonnummer und die Anamnese entfernt, der Schlüsselwert zur Adresse mit ihr, und der Zeitpunkt wird auf den Monat vergröbert. Was bleibt, ist ein Datensatz ohne Personenbezug — Impfung, Monat, Apotheke und ob der Termin wahrgenommen wurde —, den die Apotheke für ihre Abrechnung braucht.
Terminanfragen: nach 90 Tagen gelöscht.
Anfragen von Apotheken: nach 365 Tagen gelöscht.
Nachrichten über das Kontaktformular: Sie stehen nur in unserem Postfach. Wir löschen sie dort, sobald die Sache erledigt ist — von Hand, weil es keine Datenbankzeile gibt, die ein nächtlicher Lauf finden könnte.
Selbstanmeldungen: solange die Apotheke bei uns geführt wird — die Zeile belegt, welche Fassung der Geschäftsbedingungen wann angenommen wurde, und wird mit der Apotheke gelöscht. Eine Anmeldung, deren Bestätigungslink nie benutzt wurde, löschen wir vollständig, sobald der Link abgelaufen ist: Er gilt 48 Stunden, gelöscht wird in der Nacht darauf.
Zugangsdaten und Passkeys des Apothekenportals: für die Dauer der Zusammenarbeit.
Fehlgeschlagene Anmeldungen: 15 Minuten, bei einer erfolgreichen Anmeldung sofort.
Apotheken, die wir ansprechen: solange der Kontakt läuft oder die Zusammenarbeit besteht; nach einem Widerspruch bleibt nur der Vermerk, dass kein Kontakt gewünscht ist.
Nachweisprotokoll: 365 Tage; die darin enthaltenen IP-Adressen bereits nach 90 Tagen.
Sicherungskopien: Unsere verschlüsselten Backups laufen gestaffelt aus und enthalten deshalb bis zu sieben Monate alte Stände — also auch Daten, die im laufenden Betrieb bereits anonymisiert oder gelöscht sind. Eine Löschung auf Verlangen wirkt auf den Bestand, nicht rückwirkend in die Sicherungen; diese laufen von selbst aus.

Gesetzliche Aufbewahrungspflichten bleiben unberührt. Sie betreffen die kaufmännische Seite unserer Zusammenarbeit mit Apotheken — Rechnungen und Belege —, nicht Ihre Terminbuchung: Über Impflotse läuft keine Zahlung, und Ihre Buchung ist kein Beleg im Sinne dieser Vorschriften.

8. Karten, Cookies und Reichweitenmessung

Wir setzen ausschließlich technisch notwendige Cookies ein und binden weder Tracker noch externe Schriftarten ein. Deshalb erscheint kein Cookie-Banner: Vor einer Anmeldung wird kein Cookie gesetzt, und die Kartenbibliothek legt nichts auf Ihrem Gerät ab — die Einwilligungspflicht aus Art. 5 Abs. 3 der ePrivacy-Richtlinie und ihren nationalen Umsetzungen ist damit nicht einschlägig.

Eine Ausnahme gehört ausdrücklich dazu: Die Kartenkacheln laden wir von MapTiler. Sobald eine Seite mit Karte geöffnet wird — also auch schon vor jeder Eingabe —, erfährt MapTiler Ihre IP-Adresse und welchen Kartenausschnitt Sie ansehen. Grundlage ist unser berechtigtes Interesse an einer brauchbaren Umkreissuche (Art. 6 Abs. 1 lit. f DSGVO). Alle übrigen Bestandteile der Seite — auch die Kartensoftware selbst — liefern wir von unserem eigenen Server aus.

Wie oft unsere Seiten aufgerufen werden, zählen wir mit — um zu erkennen, ob dieser Dienst überhaupt gefunden und benutzt wird und in welchen Bezirken Menschen suchen, ohne eine Apotheke zu finden. Gezählt werden Seitenaufrufe, Suchen, erfolglose Suchen und geöffnete Formulare, jeweils als Tagessumme.

Entscheidend ist, wie eine Seite dabei benannt wird: als Muster („eine Apothekenseite“, „ein Buchungsformular“), nicht als die Adresse, die Sie aufgerufen haben. Was Sie in die Suche eingeben, und die persönlichen Links aus unseren E-Mails kommen in dieser Zählung nicht vor. Es entsteht kein Cookie, kein Eintrag auf Ihrem Gerät, keine Besucher-Kennung und keine gespeicherte IP-Adresse; niemand kann daraus ablesen, welche Seiten eine einzelne Person nacheinander geöffnet hat. Auch deshalb erscheint kein Banner: Auf Ihrem Endgerät wird dafür weder etwas gelesen noch abgelegt.

Gespeichert wird am Ende nur eine Zahl je Tag und Ereignis. Diese Zahlen sind anonym: Sie lassen sich keiner Person zuordnen — auch uns nicht. Ein Widerspruch nach Art. 21 DSGVO geht deshalb ins Leere, weil es keinen Datensatz über Sie gibt, auf den er sich beziehen könnte. Rechtsgrundlage für die Zählung selbst ist unser berechtigtes Interesse an einem funktionierenden Angebot (Art. 6 Abs. 1 lit. f DSGVO). Seiten hinter einer Anmeldung — die Bereiche für Apotheken und für uns selbst — werden nicht gezählt.

9. Automatisierte Entscheidungen

Automatisch entschieden wird an drei Stellen: Das Buchungsformular weist ab, wer die Altersgrenze der gewählten Impfung nicht erreicht; nach mehreren Fehlversuchen sperrt sich eine Anmeldung am Portal für 15 Minuten; und ein Formular, das zu oft von derselben Absenderadresse kommt, wird abgewiesen. Alle drei vergleichen eine einzelne Eingabe mit einem festen Wert.

Ein Profil über Sie entsteht dabei nicht, Ihr früheres Verhalten wird nicht herangezogen, und die Entscheidung fällt jedes Mal neu. Eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 Abs. 1 DSGVO — eine, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie ähnlich erheblich beeinträchtigt — treffen wir nicht.

10. Ihre Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Beschwerde bei einer Aufsichtsbehörde (Art. 77). Für uns zuständig ist das Amt für Persönlichkeitsdatenschutz der Tschechischen Republik (Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7). Sie können sich nach Art. 77 Abs. 1 DSGVO auch an die Aufsichtsbehörde Ihres eigenen Wohnorts oder Arbeitsplatzes wenden — für Berlin ist das die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Anfragen richten Sie an die im Impressum genannte Adresse; wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Bitte nennen Sie die E-Mail-Adresse, mit der Sie gebucht haben — Impflotse findet Ihre Daten darüber. Bei länger zurückliegenden Terminen hilft zusätzlich die Buchungsnummer aus Ihrer Bestätigungs-E-Mail: anonymisierte Buchungen tragen keine Adresse mehr und sind sonst nicht mehr auffindbar.