Wir geben Daten ausschließlich an Auftragsverarbeiter weiter, die auf unsere Anweisung hin handeln (Art. 28 DSGVO):

Vercel Inc., Webhosting, Region Frankfurt (EU). Betreibt die Plattform und führt technische Zugriffsprotokolle.
Keycloak, Identitätssystem (eigenes Hosting in der EU). Speichert Kontozugangsdaten, Tokens und Sitzungen.
Neon / PostgreSQL, Backend-Datenbank (EU). Speichert Profile, Favoriten, Erinnerungen und Feedback-Berichte.
Resend, Versand von Transaktions-E-Mails (OTP zur Passwortwiederherstellung, Bestätigungen). Europäische Infrastruktur.
DeepL SE, maschinelle Übersetzung der redaktionellen Inhalte ins Deutsche und Englische (EU). Verarbeitet keine personenbezogenen Daten der Nutzer, sondern nur öffentliche Texte der Website.
Anthropic, PBC, Generierung der redaktionellen Inhalte der Stadtseiten (H1-Überschriften, FAQ und SEO-Beschreibungen) mittels des Modells Claude (USA). Wir senden keine personenbezogenen Daten an Anthropic, sondern lediglich den Namen der Stadt und von uns definierte Prompt-Vorlagen. Die Übermittlung erfolgt gemäß den Standardvertragsklauseln der Europäischen Kommission (Art. 46 DSGVO).
Upstash, Inc., Redis-Speicher zur Kontrolle missbräuchlicher Versuche bei Anmelde-, Registrierungs- und Passwortwiederherstellungsformularen (Rate Limiting). Verarbeitet während kurzer Zeitfenster (5–60 Minuten) eine aus deiner IP abgeleitete Kennung und gegebenenfalls den Hash deiner E-Mail-Adresse, ausschließlich zur Zählung der Versuche. Server in der EU (Frankfurt). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Benutzerkonten).
OpenStreetMap / CartoDB, Kartenkacheln in den Listen- und Detailansichten (EU).
Microsoft Clarity und Google Analytics 4, Webanalyse (USA). Diese werden nur aktiviert, wenn du die Analyse-Cookies im Banner akzeptierst. Die Übermittlung erfolgt im Rahmen des EU-US Data Privacy Framework + Standardvertragsklauseln (Art. 46 DSGVO).
Umami Software, Inc. (USA, Dienst cloud.umami.is), aggregierte Analytik ohne Cookies oder Browser-Fingerprint. Keine Einwilligung erforderlich (§ 25 Abs. 2 TTDSG). Übermittlung im Rahmen des EU-US Data Privacy Framework + Standardvertragsklauseln (Art. 46 DSGVO).
Sentry (Functional Software, Inc., USA), Überwachung unbehandelter Fehler und langsamer Transaktionen. Erhält ausschließlich den Fehler-Stacktrace und die URL (ohne Bodies, Header oder Cookies); Session-Replays werden nur mit deiner Analyse-Einwilligung aktiviert und maskieren standardmäßig sämtliche Texte und Formulareingaben. Übermittlung im Rahmen des EU-US Data Privacy Framework + Standardvertragsklauseln (Art. 46 DSGVO).
Better Stack, Inc. (USA), zentrale Erfassung der Serverlogs und Verfügbarkeitsüberwachung (Uptime). Erhält ausschließlich Server-Ereignisse ohne personenbezogene Daten im Klartext (Nutzer-Identifikatoren werden vor dem Verlassen unserer Infrastruktur per FNV-1a-Hash anonymisiert). Übermittlung im Rahmen des EU-US Data Privacy Framework + Standardvertragsklauseln (Art. 46 DSGVO).
Google Ireland Limited / Google LLC, Dienst Firebase Cloud Messaging, ausschließlich zur Zustellung der Push-Benachrichtigungen der Mobile-App. Erhält den Push-Token des Geräts und den Inhalt der Benachrichtigung; Name, E-Mail-Adresse und Standort werden nicht übermittelt. Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework + Standardvertragsklauseln (Art. 46 DSGVO).
Cloudflare, Inc., Objektspeicher (R2) für die Bilder von Geschäften, Veranstaltungen und Profilbilder. Übermittlung auf Grundlage des EU-US Data Privacy Framework + Standardvertragsklauseln (Art. 46 DSGVO).

Wir verkaufen keine personenbezogenen Daten und geben diese auch nicht an externe Werbetreibende weiter. Derzeit arbeiten wir mit keinem Marketing- oder Werbeanbieter zusammen (z. B. Retargeting-Pixel); sollten wir dies in Zukunft tun, würden wir dies hier hinzufügen und es würde nur mit deiner ausdrücklichen Zustimmung aktiviert werden.