Datenschutzerklärung

Hosting

Die Website läuft auf meinem eigenen Server bei der Hetzner Online GmbH in Nürnberg (Deutschland), demselben, der auch die Daten der App hält (siehe „Wo die Daten liegen“). Bei jedem Aufruf braucht der Server technisch nötige Daten, um die Seite auszuliefern: IP-Adresse, aufgerufene Adresse, Zeitpunkt, Browser und Betriebssystem. Ein dauerhaftes Zugriffsprotokoll der Website führe ich nicht; was kurz mitgeschrieben wird, steht unter „Reichweitenmessung“. Das ist nötig, um die Seite auszuliefern und vor Angriffen zu schützen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Reichweitenmessung

Ich zähle Seitenaufrufe mit GoatCounter, das auf meinem eigenen Server läuft. Dafür schreibt der Server bei Abrufen von Seiten und Dateien, auch der Landesbilder für die App, eine Zeile in ein Protokoll: Adresse, Zeitpunkt, deine IP-Adresse, die Kopfzeilen der Anfrage (etwa Herkunftsseite, Browser und Betriebssystem, Sprache des Browsers) und Status und Größe der Antwort. Alles hinter einem Fragezeichen in der Adresse lässt er weg, ebenso mitgeschickte Cookies und Anmeldedaten. Cookies und Kennungen speichere ich nicht, im Browser läuft dafür kein Skript, und auf deinem Gerät wird nichts gespeichert oder gelesen. GoatCounter liest das Protokoll alle zehn Minuten ein und ich lösche es danach; fällt das Einlesen aus, bleibt es höchstens einen Tag liegen.

Aus der IP-Adresse bestimmt GoatCounter das Land; die Adresse selbst speichert es nicht. Damit ein Besuch nicht mehrfach zählt, merkt es sich IP-Adresse und Browser acht Stunden lang nur im Arbeitsspeicher, als zufällige Kennung, nie in der Datenbank und nie auf der Platte. Gespeichert werden nur Zahlen je Seite, Herkunftsseite, Land, Browser, Betriebssystem und Sprache.

Seiten mit einer Einladung (/join/…) oder einer Anmeldung (/consent, /assistants) und die Datei /version.txt werden nicht mitgeschrieben. Rechtsgrundlage ist mein berechtigtes Interesse zu sehen, ob die Seite genutzt wird und aus welchen Ländern die Besuche kommen (Art. 6 Abs. 1 lit. f DSGVO). Einzelne Aufrufe kann ich keiner Person zuordnen, ein Widerspruch lässt sich deshalb nur allgemein umsetzen, nicht für deine Aufrufe.

Schriften

Die Schriften liefert die Website selbst aus. Beim Aufruf wird keine Verbindung zu Google Fonts aufgebaut. Nur das Formular auf tripm8s.de/notify lädt nach deinem Klick Schriften von Google und Brevo (siehe „Early Access und Neuigkeiten per Mail“).

Einladungslinks

Ein Einladungslink enthält die Reise (Veranstalter, Titel, Länder, Monat) in seiner Adresse, nie Namen von Reiseleitern oder Reisenummern. Ist die App nicht installiert, öffnet er hier eine Seite, die den Inhalt des Links nicht liest und nichts speichert. Die Adresse sieht mein Server wie jede aufgerufene Adresse (siehe Hosting).

Early Access und Neuigkeiten per Mail

Auf tripm8s.de/notify kannst du dich eintragen, damit ich dir Bescheid sage, wenn die App da ist, und dir bis dahin Neuigkeiten zu Tripm8s schicke. Dafür brauche ich nur deine E-Mail-Adresse. Freiwillig kannst du ankreuzen, dass du auf Android früh dabei sein willst. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du bestätigst sie über einen Link in einer Mail und kannst sie jederzeit widerrufen, mit dem Link zum Abmelden in jeder Mail oder per Mail an mich. Danach lösche ich deine Adresse aus der Liste. Unbestätigte Eintragungen lösche ich nach 30 Tagen, die ganze Liste spätestens 12 Monate nach dem Start der App.

Formular, Liste und Versand laufen bei Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin) als Auftragsverarbeiter. Erst wenn du auf „Einverstanden, Formular öffnen“ tippst, kommt das Formular direkt von Brevo, dein Browser überträgt dabei deine IP-Adresse an Brevo. Brevo zählt in diesen Mails wie in den Mails mit dem Code Öffnungen und Klicks, ohne sie deiner Adresse zuzuordnen (siehe „Wo die Daten liegen“). Einige dieser Daten nutzt Brevo nach eigenen Angaben zusätzlich in eigener Verantwortung, um seine Plattform zu sichern, etwa gegen Betrug; dafür gilt die Datenschutzerklärung von Brevo.

Damit keine Programme fremde Adressen eintragen, nutzt das Formular reCAPTCHA von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Den Schlüssel dafür habe ich selbst angelegt, Google arbeitet dabei als mein Auftragsverarbeiter nach den Bedingungen von Google Cloud, Zweck ist allein der Schutz vor Missbrauch. Mit dem Klick lädt dein Browser auch reCAPTCHA und Schriften von Google und übermittelt dabei unter anderem deine IP-Adresse an Google. reCAPTCHA prüft Merkmale deines Browsers und wie du die Seite benutzt, um Programme zu erkennen, und speichert Angaben auf deinem Gerät. Das kann auch Daten in die USA übertragen; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist deine Einwilligung, die du mit dem Klick gibst (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne Klick lädt nichts von Brevo oder Google. Die Einwilligung gilt nur für diesen Aufruf, ich speichere sie nicht. Du widerrufst sie, indem du die Seite verlässt oder neu lädst; was auf deinem Gerät liegt, löschst du in deinem Browser.

Ohne Formular und ohne reCAPTCHA geht es auch: Schreib mir an app@tripm8s.de, dass du auf die Liste möchtest. Dann trage ich deine Adresse bei Brevo ein; alles Übrige gilt wie beim Formular, und Rechtsgrundlage ist deine Einwilligung in der Mail.

Hast du angekreuzt, dass du auf Android früh dabei sein willst, schicke ich dir per Mail die Einladung zum geschlossenen Test. Dem trittst du selbst bei (siehe „Wo die Daten liegen“). Rechtsgrundlage für die Einladung ist ebenfalls deine Einwilligung.

Assistenten verbinden und Freigaben verwalten

Auf tripm8s.de/consent stimmst du zu, dass ein Assistent auf dein Konto zugreift, auf tripm8s.de/assistants siehst und entfernst du deine Freigaben. Dafür meldest du dich dort mit einem Code per Mail an, wie in der App. Dein Browser spricht dabei direkt mit api.tripm8s.de; die Anmeldung bleibt in deinem Browser gespeichert, bis du dich abmeldest. Diese Speicherung ist für den Dienst, den du dort selbst aufrufst, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Landesbilder in der App

Die App lädt die Fotos der Länder von dieser Website. Dabei verarbeitet mein Server wie bei jedem Seitenaufruf technisch nötige Daten, vor allem die IP-Adresse des Geräts, die angefragte Datei und den Zeitpunkt. Ich werte diese Abrufe nicht aus und verknüpfe sie nicht mit einem Konto in der App. Rechtsgrundlage ist mein berechtigtes Interesse an einer kleinen App, die Bilder nicht dauerhaft mitliefern muss (Art. 6 Abs. 1 lit. f DSGVO). Einmal geladene Bilder speichert die App auf dem Gerät.

Konto und Anmeldung mit E-Mail

Für ein Konto brauchst du eine E-Mail-Adresse und einen Vornamen. Zum Anmelden schicke ich dir einen sechsstelligen Code per Mail, er gilt 15 Minuten. Ein Passwort gibt es nicht. Damit niemand Codes durchprobiert, begrenzt der Server die Versuche pro IP-Adresse. Anmeldeversuche stehen mit IP-Adresse und E-Mail-Adresse im Protokoll des Servers, Protokolle werden nach 7 Tagen gelöscht. Deine E-Mail-Adresse sieht niemand außer dir und einem Assistenten, den du selbst verbindest.

Erinnerung an eine offene Anmeldung

Forderst du einen Code an und gibst ihn nie ein, erinnere ich dich nach drei Tagen einmalig per Mail über Brevo daran, dass die Anmeldung noch offen ist. Darauf weise ich dich bei der Anmeldung hin. Du kannst dieser Erinnerung jederzeit widersprechen, eine Mail an app@tripm8s.de genügt; die Erinnerung nennt diesen Weg ebenfalls. Die Mail nennt keinen Vornamen und führt zur App; dass sie rausging, vermerke ich, damit keine zweite kommt. Der Vermerk verschwindet, sobald du dein Konto bestätigt hast, sonst mit der Löschung. Rechtsgrundlage ist mein berechtigtes Interesse, eine begonnene Anmeldung zu Ende zu bringen (Art. 6 Abs. 1 lit. f DSGVO).

Anmeldung mit Google oder Apple

Statt mit einem Code kannst du dich mit deinem Google- oder Apple-Konto anmelden. Dann leitet dich die App (oder die Seite zum Verbinden eines Assistenten, /consent und /assistants) zu Google bzw. Apple weiter, du meldest dich dort an und stimmst zu. Ich frage nur Name, E-Mail-Adresse und, bei Google, Profilbild ab, keine weiteren Daten aus deinem Konto. Google bzw. Apple erfahren dabei, dass du dich bei Tripm8s anmeldest.

Die Angaben des Anbieters (Name, E-Mail-Adresse, bei Google die Adresse deines Profilbilds) speichere ich bei deinem Konto. Anderen zeige ich davon nur den Vornamen, den du nach der ersten Anmeldung bestätigst oder änderst. Dein Google-Profilbild biete ich dir nach der ersten Anmeldung und auf der Seite für dein Foto als Vorschlag an: Dafür lädt dein Gerät es direkt von Google, Google erfährt dabei deine IP-Adresse. Zu deinem Profilfoto wird es nur, wenn du einwilligst; dann behandle ich es wie ein Foto, das du selbst auswählst (verkleinert, ohne Metadaten, jederzeit löschbar). Ohne deine Einwilligung zeige ich es niemandem. Bei Apple kannst du deine E-Mail-Adresse verbergen, dann erhalte ich nur eine Weiterleitungsadresse von Apple.

Anbieter sind Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland. Dabei können Daten in die USA übermittelt werden; Google LLC und Apple Inc. sind unter dem EU-US Data Privacy Framework zertifiziert. Für die Verarbeitung bei Google und Apple gelten deren Datenschutzerklärungen: Google, Apple. Die Anmeldung mit Google oder Apple ist freiwillig, die Anmeldung mit Code geht immer.

Reisen und Treffer

Du trägst deine Gruppenreisen ein: Veranstalter, Titel, Länder, Monat und Jahr, auf Wunsch die Reisenummer und den Vornamen der Reiseleitung. Die App vergleicht diese Angaben mit den Reisen anderer, berechnet daraus einen Punktwert für die Übereinstimmung und schlägt dir Leute vor, die wahrscheinlich dabei waren. Der Punktwert bewertet Reisen, nicht Menschen. Ein Treffer ist nur ein Vorschlag: Verbunden seid ihr erst, wenn ihr beide bestätigt. Veranstalter, Titel und Länder einer neuen Reise kommen außerdem ohne deinen Namen in die gemeinsame Liste (siehe unten), Monat, Reisenummer und Reiseleitung nicht. Veranstalter und Titel können etwas über dich verraten, etwa Glauben oder Gesundheit. Trag nur ein, was du teilen willst; ich werte das nicht aus.

• Die Reisenummer dient nur dem Vergleich und wird niemandem angezeigt.
• Der Vorname der Reiseleitung dient nur dem Vergleich und wird niemandem angezeigt.
• Bei einem Vorschlag sieht die andere Seite deinen Vornamen, dein Profilfoto (falls du eins hast) und die gemeinsame Reise.
• Wen du ausblendest, schlägt dir die App nicht mehr vor. Die Person sieht nur noch deinen Vornamen und eure gemeinsamen Reisen, nicht mehr dein Foto (eine Ausnahme steht unter „Profilfoto“), deine Kontaktwege, Pläne und Tipps und keine weiteren Länder. Dein eigenes offenes Ja wird dabei gelöscht, eine angenommene Kontaktanfrage ruht. Das erfährt sie nicht: Ein offener Vorschlag oder eine Verbindung bleibt bei ihr stehen. Nur du kannst es zurücknehmen.

Gemeinsame Liste der Reisen

Damit dieselbe Reise bei allen gleich heißt, gibt es eine gemeinsame Liste mit Veranstaltern und Reisen. Trägst du eine Reise ein, die dort noch nicht steht, kommen ihr Veranstalter, ihr Titel und ihre Länder in die Liste, ein selbst getippter Veranstalter ebenso. Die Liste sehen alle, die bei Tripm8s angemeldet sind, auch Assistenten, die jemand mit seinem Konto verbunden hat; so gehen Einträge auch an deren Anbieter. In der Liste steht nicht, wer einen Eintrag angelegt hat oder nutzt, auch kein Datum und keine Anzahl. Monat, Reisenummer, Vorname der Reiseleitung und alles Weitere zu deiner Reise kommen nicht hinein. Namen mit der Adresse einer Website oder Mail oder mit ungewöhnlichen Zeichen bleiben draußen, ebenso Reisen, die du vor dem Start der Liste eingetragen hast, bis du Veranstalter oder Titel änderst.

Ein Eintrag bleibt, solange eine Reise ihn nutzt, auch die eines anderen Kontos. Nutzt ihn keine mehr, verschwindet er, spätestens in der Nacht danach; ein Veranstalter bleibt, solange eine Reise seinen Namen trägt. Rechtsgrundlage ist der Nutzungsvertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO). Trag nur den Namen der Reise und des Veranstalters ein, keine Namen von Personen.

Einen Eintrag entfernen lassen kannst du in der App über „Eintrag melden“, das öffnet eine Mail an app@tripm8s.de, oder mit einer eigenen Mail dorthin. Entferne ich einen Eintrag, behalten die Reisen, die ihn nutzen, ihren Titel. Damit ihn niemand neu einträgt, behalte ich statt des Textes nur einen Prüfwert.

Verbindungen, Pläne, Tipps und Kontaktwege

Mit bestätigten Reisefreunden (m8s) teilst du, was du dafür einträgst: geplante Reisen, Tipps zu Ländern, die Zahl deiner Reisen und die Kontaktwege, die du freigibst (etwa WhatsApp, Telefon, E-Mail oder Instagram). Außerdem sehen deine m8s, in welchen Ländern du warst, nur die Länder, nicht die einzelnen Reisen. Wen du ausgeblendet hast, sieht nichts davon: Nur die Zahl eurer gemeinsamen Reisen und deren Länder bleiben, die kennt die Person ohnehin.

Deine Tipps sehen auch die m8s deiner m8s, mit deinem Vornamen und eurem gemeinsamen m8. Schaltest du m8s+ ein, sehen sie auch deine Pläne ab „Interesse“ (nie deine Wünsche) und können dich über euren gemeinsamen m8 um Kontakt bitten, wenn auch euer gemeinsamer m8 und sie selbst m8s+ eingeschaltet haben. Deine Kontaktwege sehen sie erst, wenn du ihrer Anfrage zustimmst oder sie deiner.

Zimmersuche und Kontaktanfragen

Bei einem fest gebuchten Plan kannst du angeben, dass du ein Doppelzimmer teilen willst. Das sehen bei deinem Plan deine m8s und, mit eingeschalteten m8s+, auch die m8s+, die deine Pläne sehen. Wer für dieselbe Reise sucht, steht in deiner Liste.

Bittest du jemanden über m8s+ um Kontakt, speichere ich, wer wen gefragt hat, wann, den Anlass (Länder und Zeitraum des Plans) und die Antwort. Die Kontaktwege einer Person siehst du erst nach ihrer Zustimmung und nur beim Plan und in der Zimmersuche; stimmt sie zu, sieht sie dort auch deine. Lehnt sie ab, siehst du nur „Anfrage gesendet“. Bleibt eine Anfrage 90 Tage ohne Antwort, darfst du erneut fragen. Ein Nein bleibt bestehen: Fragst du danach noch einmal, siehst du wieder „Anfrage gesendet“, bei ihr kommt nichts an.

Claude, ChatGPT und andere Assistenten verbinden (freiwillig)

Du kannst einen KI-Assistenten wie Claude oder ChatGPT mit deinem Konto verbinden, damit er in deinem Auftrag Reisen und Pläne einträgt, ändert, löscht und deine m8s nennt. Dafür liest er auch die gemeinsame Liste der Reisen, und was er einträgt, kommt wie in der App hinein (siehe „Gemeinsame Liste der Reisen“). Das ist freiwillig und geht nur, wenn du es selbst in deinem Assistenten anstößt und auf tripm8s.de zustimmst. Rechtsgrundlage ist der Nutzungsvertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO), soweit du die Funktion nutzt.

Was der Assistent sieht: Deine eigenen Reisen und Pläne mit allen Angaben, die du dort eingetragen hast (auch Reisenummer und Vorname der Reiseleitung deiner eigenen Reisen und deine Zimmersuche) und deine Anmelde-Adresse, bei Anmeldung mit Google oder Apple auch die Angaben des Anbieters (siehe unten). Von deinen bestätigten m8s und, wenn du m8s+ eingeschaltet hast, von m8s deiner m8s nur den Vornamen und wie sie zu dir in Beziehung stehen: gemeinsame Reisen mit Land, Monat und Jahr, bei m8s+ der gemeinsame m8 sowie Land, Zeitraum und Stufe (Interesse oder gebucht) eines Plans.

Was der Assistent nie sieht: Kontaktwege (Telefon, E-Mail, Social), Profilfotos aus der App (auch dein eigenes nicht), Kontaktanfragen, die Zimmersuche anderer, Vorschläge für Treffer, Reisenummern und Namen der Reiseleitung anderer Personen. Wen du ausgeblendet hast, nennt der Assistent nicht. Das setzt die Datenbank durch, nicht nur der Assistent: Das Zugangstoken des Assistenten erlaubt dort nur diese Abfragen. Technisch bleibt das Token ein Zugang zu deinem Konto bei meinem Anmeldedienst. Darüber kann ein Assistent die Angaben deines Kontos lesen: deine Anmelde-Adresse und, wenn du dich mit Google oder Apple angemeldet hast, was der Anbieter mitgegeben hat (Name, E-Mail-Adresse, bei Google die Adresse deines Profilbilds dort). Außerdem kann er zum Beispiel andere Freigaben entfernen oder dich überall abmelden. Reisedaten oder Daten anderer Personen gibt das nicht her.

Wohin die Daten gehen: Alles, was der Assistent sieht, geht an den Anbieter, den du für den Assistenten gewählt hast (für Nutzende in der EU zum Beispiel Anthropic Ireland, Limited für Claude oder OpenAI Ireland Limited für ChatGPT), und wird dort nach dessen Bedingungen verarbeitet. Das löst du selbst aus. Der Anbieter arbeitet nicht in meinem Auftrag, und ich habe keinen Einfluss auf seine Verarbeitung. Je nach Anbieter gehen die Daten in die USA oder in andere Länder außerhalb der EU; welche das sind, hängt davon ab, welchen Assistenten du wählst. Für diesen Teil gelten die Datenschutzerklärungen der Anbieter. Auch die Angaben zu deinen m8s und m8s+ landen so beim Anbieter; bevor du zustimmst, steht das auf der Seite, auf der du zustimmst.

Mein Dienst gibt damit auch Angaben über andere an deinen Assistenten aus: von deinen m8s den Vornamen und eure gemeinsamen Reisen, von m8s+ den Vornamen, den gemeinsamen m8 und Land, Zeitraum und Stufe ihrer Pläne. Rechtsgrundlage dafür ist mein berechtigtes Interesse, dass du die Funktion mit deinen eigenen Verbindungen nutzen kannst (Art. 6 Abs. 1 lit. f DSGVO). Ich habe abgewogen: Es sind nie Kontaktwege oder Fotos, sondern nur Angaben, die du in der App ohnehin siehst. m8s haben dich selbst bestätigt, m8s+ erscheinen nur, wenn sie m8s+ selbst eingeschaltet haben. Dagegen kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21 DSGVO, siehe „Deine Rechte“); ich prüfe das dann im Einzelfall.

Was bei mir gespeichert wird: Dass du einen Assistenten freigegeben hast (der Name, den der Assistent selbst angibt und den ich nicht prüfen kann, die Adresse, zu der er zurückführt, und der Zeitpunkt) sowie die technischen Zugangsdaten des Anmeldedienstes. Was du dem Assistenten sagst und was er antwortet, speichere ich nicht. Der Dienst für den Zugriff schreibt Anfragen nicht ins Protokoll. Nur bei einem unerwarteten Fehler schreibt er die Kennung deines Kontos und die Fehlermeldung hinein, meist mit dem Werkzeug; eine Fehlermeldung der Datenbank kann Teile des Eintrags enthalten, an dem es scheiterte. Das Gateway protokolliert Zeit, Pfad, Status, Herkunftsseite und Browserkennung der Anfrage, ohne IP-Adresse. Protokolle werden nach 7 Tagen gelöscht.

Mail nach jeder neuen Freigabe: Gibst du einem Assistenten Zugriff, schicke ich dir eine Mail mit seinem Namen, der Adresse, zu der er zurückführt, und einem Link zum Entfernen. Das schützt dich, falls dich jemand zur Zustimmung gedrängt hat. Die Mail geht über Brevo wie die Mails mit dem Code und enthält keine Reisedaten.

Zugriff entfernen: Auf tripm8s.de/assistants siehst du alle Freigaben und entfernst sie. Die Freigabe gilt dann sofort nicht mehr; dass es sie gab und wann du sie entfernt hast, bleibt bis zur Löschung deines Kontos gespeichert, auch in deiner Kopie der Daten. Ein Zugangstoken, das der Assistent schon hat, gilt noch bis zu einer Stunde weiter. Löschst du dein Konto, entfallen alle Freigaben mit. Ob dein Assistent vor Änderungen bei dir nachfragt, stellst du in ihm selbst ein; ich empfehle, dass er es tut. Was er einträgt oder ändert, korrigierst du in der App, mit denselben Grenzen wie dort: Nach einem Treffer stehen etwa Reisenummer und Guide fest. Was er löscht, ist weg; bei einer Reise auch die Antworten auf Treffer zu ihr. Reisen mit einem bestätigten Treffer kann er nicht löschen.

Profilfoto

Ein Profilfoto ist freiwillig und darf nur dich zeigen. Es sehen deine m8s und Leute mit einem Vorschlag zur selben Reise. Wen du ausblendest, dem zeigt die App es nicht mehr. Eine Adresse des Fotos, die sein Gerät vorher schon bekommen hat, kann aber weiter funktionieren, längstens bis du das Foto ersetzt oder löschst. Die App entfernt vor dem Hochladen die Metadaten des Bildes (etwa Ort und Kamera), den Inhalt des Bildes werte ich nicht aus. Du kannst das Foto jederzeit löschen und damit deine Einwilligung widerrufen.

Vorname der Reiseleitung

Du kannst den Vornamen deiner Reiseleitung eintragen. Diese Person nutzt die App vielleicht gar nicht, die Angabe stammt allein von dir. Sie dient nur dem Abgleich von Reisen und wird anderen nie angezeigt. Rechtsgrundlage ist mein berechtigtes Interesse, gemeinsame Reisen sicher zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Bist du Reiseleiterin oder Reiseleiter, kannst du dem widersprechen; weil ich nur einen Vornamen habe, kann ich ihn dir ohne weitere Angaben zur Reise aber nicht zuordnen (Art. 11 DSGVO).

Schutz vor Missbrauch

Damit niemand die App missbraucht oder durch Durchprobieren herausfindet, wer wann gereist ist oder wie eine Reisenummer lautet, gelten Grenzen. Dafür speichere ich Zeitpunkte. Gelöscht wird jede Nacht: Was eine Frist überschreitet, verschwindet in der Nacht danach. Rechtsgrundlage ist mein berechtigtes Interesse, die App und die Daten aller zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

• Neue Reisen: Mehr als 20 neue Reisen in 24 Stunden nimmt die App nicht an, über einen verbundenen Assistenten 50. Den Zeitpunkt jeder neuen Reise speichere ich bis zur Löschung des Kontos.
• Änderungen: Den Monat oder die Reise selbst (etwa Veranstalter, Länder, Reisenummer oder Guide) änderst du pro Reise höchstens dreimal in 30 Tagen. Diese Zeitpunkte lösche ich nach 30 Tagen, mit der Reise oder deinem Konto auch früher.
• Pläne: Mehr als 10 neue Pläne in 24 Stunden, mehr als 50 Pläne insgesamt und mehr als drei neue Reisenummern pro Plan in 30 Tagen nimmt die App nicht an. Die Zeitpunkte neuer Pläne lösche ich nach 24 Stunden, die der Reisenummern nach 30 Tagen.

Auf deinem Gerät

Die App speichert auf deinem Gerät, was sie zum Arbeiten braucht: deine Anmeldung, bis du dich abmeldest, ob du die Einführung schon gesehen hast und die Erklärung zum ersten Treffer, ob sie dich schon nach Benachrichtigungen gefragt hat, die Kennung der Installation für Benachrichtigungen, das zuletzt gemeldete Geräte-Token, welche Funktionen gerade eingeschaltet sind, und die Liste der Landesbilder mit den schon geladenen Fotos. Nichts davon dient der Werbung oder geht an Dritte. Diese Speicherung ist für die App unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Damit du unterwegs auch ohne Netz nachsehen kannst, behält die App den zuletzt geladenen Stand deiner Pläne und deiner m8s: von Plänen die Länder, den Zeitraum, die Stufe und den Namen der Reise, von deinen m8s den Vornamen, eine interne Kennung und die Titel eurer gemeinsamen Reisen. Kontaktwege, Fotos, Treffer, m8s+, Reisenummern und Vornamen von Reiseleitungen liegen nicht darin. Jedes Laden mit Verbindung ersetzt diesen Stand ganz. Nach 24 Stunden zeigt die App ihn nicht mehr und löscht ihn, spätestens wenn du sie das nächste Mal öffnest.

Von anderen steht darin nur, was du in der App ohnehin siehst. Rechtsgrundlage dafür ist mein berechtigtes Interesse, dass die App auch bei schlechtem Netz nutzbar bleibt (Art. 6 Abs. 1 lit. f DSGVO). Umgekehrt kann das Gerät eines m8 ohne Verbindung noch deine Pläne im alten Stand zeigen, bis es wieder lädt, höchstens 24 Stunden, auch wenn du sie geändert, die Person inzwischen ausgeblendet oder dein Konto gelöscht hast.

Verlässt du das Formular für eine neue Reise oder einen neuen Plan, ohne zu speichern, merkt sich die App deine Eingaben als Entwurf, auch eine Reisenummer und den Vornamen der Reiseleitung, wenn du sie schon eingetragen hast. Der Entwurf bleibt nur auf deinem Gerät, bis du speicherst oder ihn verwirfst, höchstens 30 Tage. Danach löscht die App ihn, spätestens wenn du sie das nächste Mal öffnest.

Stand und Entwürfe gehören zu deinem Konto, dafür merkt sich die App dessen Kennung. Sie sind nicht eigens verschlüsselt, sie liegen im geschützten Speicher der App auf deinem Gerät. Die App löscht beides, sobald du dich abmeldest, dein Konto löschst oder sich jemand anderes auf dem Gerät anmeldet, und wenn deine Anmeldung von selbst endet, sobald sie das merkt. In Sicherungen von Android oder iCloud landet es nicht. Auch das gehört zur App, die du nutzt (Art. 6 Abs. 1 lit. b DSGVO, § 25 Abs. 2 Nr. 2 TDDDG).

Nutzt du in der App „Meine Daten herunterladen“, legt sie die Datei mit allen deinen Eingaben im Zwischenspeicher der App ab, damit die App, an die du sie weitergibst, sie lesen kann. Dort bleibt sie nur auf deinem Gerät, bis du das nächste Mal exportierst, die App neu startest, dich abmeldest oder dein Konto löschst; dann löscht die App sie.

Checkst du in der App ein, weil du gerade auf einer Gruppenreise bist, kann sie das Land für dich bestimmen. Erst dann fragt dein Betriebssystem, ob die App deinen Standort verwenden darf, und zwar nur den ungefähren und nur, während du die App benutzt. Erlaubst du es, liest die App deinen Standort einmal und übersetzt ihn auf deinem Gerät in ein Land. Den Standort selbst speichert sie nicht und schickt ihn nirgendwohin, auch nicht an mich; weiter verwendet sie nur das Land, um die Reisen dort von meinem Server zu laden, so als hättest du es selbst gewählt. Im Hintergrund fragt die App den Standort nie ab, und die Website fragt gar nicht danach. Die Erlaubnis ist freiwillig (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO): Ohne sie wählst du das Land selbst, und in den Einstellungen deines Geräts nimmst du sie jederzeit zurück.

Benachrichtigungen

Die App kann dir Bescheid sagen, wenn du einen neuen Treffer, einen neuen m8 oder eine Kontaktanfrage hast oder jemand deine Anfrage annimmt. Das geht derzeit nur unter Android. Die App fragt dich zuerst selbst, danach fragt dein Betriebssystem nach der Erlaubnis. Erlaubst du es, meldet die App ein Geräte-Token an meinen Server, eine Kennung, unter der Google dein Gerät erreicht. Ich speichere das Token mit deinem Konto, der Art des Geräts und dem Zeitpunkt, dazu deine Einstellungen, welche Benachrichtigungen du willst, und welche Arten du in den Einstellungen dieses Geräts abgeschaltet hast. Damit nur dein Gerät sein Token einem anderen Konto zuordnen oder löschen kann, erzeugt die App einmal eine zufällige Kennung dieser Installation und hält sie geschützt auf deinem Gerät; zum Token speichere ich nur einen daraus abgeleiteten Wert, nicht die Kennung selbst. Was für dich neu ist, merke ich mir als Ereignis (Art, Zeitpunkt und die Reise oder Person dazu), auch wenn du Benachrichtigungen nicht erlaubt oder abgeschaltet hast; an Google geht dann nichts. So kommt jede Neuigkeit nur einmal, und du bekommst höchstens eine Benachrichtigung pro Stunde und Art. Rechtsgrundlage dafür ist mein berechtigtes Interesse, dich nicht doppelt zu benachrichtigen (Art. 6 Abs. 1 lit. f DSGVO).

Verschickt werden die Benachrichtigungen über Firebase Cloud Messaging von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) als Auftragsverarbeiter. Erst wenn du es erlaubst, meldet sich die App dafür bei Google an. Google erhält dabei und beim Versand das Geräte-Token, eine zufällige Kennung der App-Installation, technische Angaben wie App-Version, Gerätedaten und Version der Bibliothek, technisch bedingt deine IP-Adresse, dazu einen allgemeinen Titel und Text je nach Art (zum Beispiel „Neuer Treffer“) mit der Zahl gebündelter Benachrichtigungen, die Art der Benachrichtigung und höchstens eine Kennnummer der Reise oder Person, die die App beim Tippen öffnet; diese Nummer sagt außerhalb meiner Datenbank nichts. Namen, Reisen, Länder, Termine und E-Mail-Adressen stehen nie darin, die siehst du erst in der App. Ohne Google gibt es unter Android keine Benachrichtigungen. Dabei können Daten in die USA übermittelt werden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln aus den Datenverarbeitungsbedingungen von Firebase (Firebase Data Processing and Security Terms, Abschnitt 10).

Benachrichtigungen sind freiwillig (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). In der App schaltest du sie unter „Benachrichtigungen“ ganz oder nach Art ab; dann geht dafür nichts mehr an Google. Das Token bleibt dabei gespeichert, damit du sie wieder einschalten kannst. Nimmst du die Erlaubnis in den Einstellungen deines Geräts zurück, löscht die App das Token, sobald du sie das nächste Mal öffnest. Schaltest du dort nur eine Art ab, meldet die App das meinem Server, sobald du sie das nächste Mal öffnest; dann geht dafür an dieses Gerät nichts mehr über Google. Das Token lösche ich, wenn du dich abmeldest, dein Konto löschst oder Google es als ungültig meldet. Klappt das Löschen beim Abmelden nicht, etwa ohne Netz, merkt sich die App das Token auf deinem Gerät und holt das Löschen beim nächsten Start nach. Erledigte Ereignisse, ob verschickt oder verworfen, lösche ich nach 30 Tagen. Damit dieselbe Neuigkeit nicht noch einmal kommt, bleibt bis zur Löschung deines Kontos ein Vermerk mit Art und einem Wert, der aus den Kennnummern der Reisen oder Personen berechnet ist, bei Kontaktanfragen auch aus dem Datum; die Kennnummern selbst stehen nicht darin.

Wo die Daten liegen

Die Daten der App liegen auf meinem eigenen Server in einem Rechenzentrum in Nürnberg (Deutschland). Ich betreibe dort die Open-Source-Software Supabase selbst; das Unternehmen Supabase Inc. hat keinen Zugriff darauf. Den Server miete ich bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, die für mich als Auftragsverarbeiter tätig ist; mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Die App verbindet sich verschlüsselt (HTTPS) mit api.tripm8s.de. Der Anmeldedienst protokolliert dabei IP-Adresse, Zeitpunkt, aufgerufene Schnittstelle und Herkunftsseite, bei Vorgängen am Konto (etwa Code anfordern, anmelden, abmelden) auch die Kennung des Kontos und die E-Mail-Adresse, auch eine noch unbestätigte. Das dient dazu, Anfragen zu beantworten und Missbrauch zu erkennen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Zu jeder Anmeldung legt er in der Datenbank eine Sitzung mit IP-Adresse und Browserkennung an; sie bleibt, bis du dich abmeldest oder dein Konto löschst, und steht damit auch in den Sicherungen. Das gehört zur Anmeldung (Art. 6 Abs. 1 lit. b DSGVO). Das Gateway dahinter protokolliert Zeit, Pfad, Status, Herkunftsseite und Browserkennung jeder Anfrage, ohne deine IP-Adresse; der Webserver davor schreibt kein Protokoll. Alle Protokolle werden nach 7 Tagen gelöscht und nur bei Störungen angesehen.

Einmal am Tag sichere ich die Datenbank und die Profilfotos verschlüsselt auf einen Speicher bei Hetzner in Falkenstein (Deutschland). Die Sicherungen werden nach spätestens 30 Tagen überschrieben; was du löschst, ist damit spätestens 30 Tage später auch aus den Sicherungen verschwunden.

Der Zugriff für Assistenten läuft auf demselben Server in Nürnberg unter mcp.tripm8s.de, dafür kommen keine weiteren Dienstleister dazu.

Die Mails mit dem Code, die einmalige Erinnerung an eine offene Anmeldung und die Mail nach einer neuen Freigabe (Anmeldung, Konto löschen, Assistent) verschicke ich über Brevo (Brevo GmbH, Köpenicker Str. 126, 10179 Berlin). Brevo arbeitet für mich als Auftragsverarbeiter, die Datenschutzvereinbarung ist Teil der Nutzungsbedingungen von Brevo. Brevo erhält dafür deine E-Mail-Adresse und den Inhalt der Mail und speichert, ob sie zugestellt wurde. Die Mails mit dem Code und nach einer Freigabe enthalten keine Werbung. Brevo fügt beim Versand selbst ein unsichtbares Zählpixel ein und leitet die Links in der Mail über eigene Adressen um; so zählt Brevo, wie oft Mails geöffnet und Links angeklickt werden. Ich habe bei Brevo eingestellt, dass diese Zählung keiner E-Mail-Adresse zugeordnet wird; ganz abschalten lässt sie sich in meinem kostenlosen Tarif nicht. Beim Öffnen und beim Klick erfährt Brevo dabei wie jeder Server, den dein Mailprogramm aufruft, deine IP-Adresse. Rechtsgrundlage ist mein berechtigtes Interesse, die Mails für ein unentgeltliches Projekt kostenlos zu verschicken (Art. 6 Abs. 1 lit. f DSGVO). Lädt dein Mailprogramm keine Bilder, entfällt die Zählung der Öffnungen; Links laufen trotzdem über Brevo. Das Logo in den Mails holt sich Brevo einmal von meinem Server und liefert es aus seinem eigenen Zwischenspeicher aus.

Brevo speichert Mails und Versandprotokolle auf Servern in Frankreich, Deutschland und Belgien. Für Betrieb und Support können Unternehmen der Brevo-Gruppe und Dienstleister auch aus den USA oder Indien darauf zugreifen; dafür gelten Standardvertragsklauseln und zum Teil das EU-US Data Privacy Framework. Außerdem darf Brevo Inhalte und Nutzungsdaten verwenden, um seine KI-Funktionen gegen Betrug und Spam zu trainieren; abschalten lässt sich das nicht. Bei diesen Mails löscht Brevo die Versandprotokolle nach einem Monat und speichert keine Vorschau ihres Inhalts (so in meinem Konto eingestellt).

Die App bekommst du über Google Play bzw. den App Store. Was dabei verarbeitet wird, regeln Google und Apple in ihren eigenen Datenschutzerklärungen.

Am geschlossenen Test der Android-App nimmst du über die Google Group tripm8s-early-access teil. Trittst du ihr bei, verarbeitet Google dafür dein Google-Konto und deine Mitgliedschaft (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei können Daten in die USA übermittelt werden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Als Inhaber der Gruppe sehe ich die Adresse deines Google-Kontos und nutze sie nur für den Test, andere Mitglieder sehen die Mitgliederliste nicht. Rechtsgrundlage ist der Nutzungsvertrag, zu dem die Teilnahme am Test gehört (Art. 6 Abs. 1 lit. b DSGVO). Der Beitritt ist freiwillig, du kannst die Gruppe jederzeit verlassen. Nach dem Ende des geschlossenen Tests lösche ich die Gruppe.