BETA
Neuer Report Beispiel
Beispiel Preise Reiseziele
TripBriefing · Datenschutz

Datenschutz

Wir nehmen den Schutz deiner Daten ernst. Diese Erklärung beschreibt welche Daten wir verarbeiten, wozu, und wie lange wir sie speichern. Rechtsgrundlage: DSGVO (EU-Verordnung 2016/679) und das österreichische DSG.

Verantwortliche Stelle

Daniel Fekete
Tischlerweg 4, 4643 Pettenbach
E-Mail: founder@tripbriefing.ai

Was wir speichern

1. Account: E-Mail-Adresse

Wenn du dich per Anmelde-Link registrierst, speichern wir deine E-Mail-Adresse in unserer users-Tabelle. Zweck: Account-Zuordnung + Zustellung des Anmelde-Links. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Aufbewahrung: bis du die Löschung anforderst (siehe unten).

Du kannst dich stattdessen auch mit Google anmelden. Erst wenn du auf „Mit Google anmelden“ klickst, geht dein Browser zu Google (Google Ireland Limited, siehe Abschnitt 8). Google schickt uns dann deine E-Mail-Adresse und eine Kennung deines Google-Kontos (sub), keinen Namen und kein Profilbild. Die E-Mail-Adresse speichern wir wie oben, die Kennung in der Tabelle user_identities. Zweck: dein Konto bei der nächsten Anmeldung mit Google wiederzuerkennen. Wir nehmen die Anmeldung nur an, wenn Google die Adresse bestätigt und selbst verwaltet (eine Gmail-Adresse oder die Adresse einer Organisation, die Google nutzt); sonst bitten wir dich um den Anmelde-Link. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Aufbewahrung: bis dein Konto gelöscht wird.

Du kannst in deinem Konto zusätzlich einen Passkey anlegen und dich damit anmelden. Dabei erzeugt dein Gerät oder dein Passwortmanager ein Schlüsselpaar. Den geheimen Schlüssel behält dein Gerät, wir bekommen ihn nie. Wir speichern in der Tabelle passkeys den öffentlichen Schlüssel, eine Kennung des Passkeys, einen Zähler, den dein Gerät mitschickt, eine zufällige Kennung deines Kontos (nicht deine E-Mail-Adresse), den Namen, den du dem Passkey gibst, und wann du ihn angelegt und zuletzt benutzt hast. Fingerabdruck, Gesicht oder Geräte-PIN prüft dein Gerät selbst. Davon bekommen wir nichts, nur die Bestätigung, dass die Prüfung geklappt hat. Damit dein Passwortmanager den Passkey deinem Konto zuordnen kann, geben wir deinem Browser deine E-Mail-Adresse als Namen mit. Dort ist sie für dich sichtbar. Synchronisiert dein Passwortmanager deine Passkeys, zum Beispiel über Apple oder Google, geschieht das nach deinen Einstellungen bei diesem Anbieter und nicht durch uns. Zweck: Anmeldung ohne Anmelde-Link. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Aufbewahrung: bis du den Passkey entfernst oder dein Konto gelöscht wird. Während du einen Passkey anlegst oder dich damit anmeldest, hält unser Server einen einmaligen Prüfwert höchstens 5 Minuten (nur als Prüfsumme). Nach dem Anlegen schicken wir dir eine kurze Hinweis-Mail ohne Werbung, damit du es merkst, falls das nicht du warst. Rechtsgrundlage dafür: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz deines Kontos).

1a. Kontoanlage: IP-Adresse

Bei der erstmaligen Kontoanlage speichern wir die anfragende IP-Adresse. Zweck: Missbrauchsabwehr (Begrenzung massenhafter Kontoanlagen). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Das gilt für beide Wege der Anmeldung (Anmelde-Link und Google). Aufbewahrung: Nach 30 Tagen brauchen wir die IP-Adresse nicht mehr. Gelöscht wird sie beim nächsten Aufräumlauf, also bei jedem Start unseres Dienstes, bei jeder Anforderung eines Anmelde-Links und einmal am Tag, solange er läuft. Dein Account bleibt davon unberührt.

Zum selben Zweck speichern wir zusätzlich ein Einweg-Pseudonym dieser IP-Adresse (ein schlüsselbasierter Hash; die IP selbst wird dabei nicht gespeichert) zusammen mit dem Zeitpunkt der Kontoanlage, damit die Begrenzung auch nach einem Serverneustart greift. Nach 48 Stunden brauchen wir diesen Eintrag nicht mehr; gelöscht wird er in denselben Aufräumläufen. Er überdauert die Löschung deines Kontos bewusst. Sonst ließe sich die Begrenzung durch Löschen und Neuanlegen von Konten zurücksetzen. Aus dem Pseudonym allein können wir dich nicht erkennen. Solange die oben genannte IP-Adresse noch gespeichert ist, können wir die Verbindung aber technisch herstellen.

1b. Nutzung der Vorschau-Funktionen

Zwei Funktionen lassen sich benutzen, bevor eine Suche startet: der KI-Ortsvorschlag und die Event-Vorschau. Beide lösen Kosten bei externen Diensten aus, verbrauchen aber keines deiner Such-Guthaben. Damit das nicht missbraucht werden kann, speichern wir je Nutzung deine Konto-Kennung, welche der beiden Funktionen es war, und den Zeitpunkt. Zweck: Missbrauchs- und Kostenabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Inhalte speichern wir in diesem Protokoll nicht: weder den Ortsnamen noch deine Reisedaten noch das Ergebnis. Nur die Tatsache und den Zeitpunkt eines Abrufs (für die Websuche gibt es eine Ausnahme, siehe den nächsten Absatz). Aufbewahrung: Nach 7 Tagen brauchen wir diese Einträge nicht mehr. Gelöscht werden sie bei jedem Start unseres Dienstes und einmal am Tag, solange er läuft. Bei einer Kontolöschung löschen wir sie sofort.

Lädt die Event-Vorschau für Pro die Feste mit Websuche, speichern wir dafür nach demselben Muster drei Arten von Einträgen: je Ort, der einen Platz am Deckel von 50 Orten in 30 Tagen nimmt, einen Eintrag beim ersten Laden seiner Feste (auch wenn sie schon gespeichert waren) und einen weiteren bei jedem weiteren Websuche-Versuch für ihn; für einen weiteren Versuch höchstens einen Eintrag je gescheiterter Websuche und höchstens einen je Ort, dessen Websuche wegen unseres Tagesbudgets zurückgestellt wurde; und je schon gezähltem Ort, dessen gespeicherte Feste fehlen, höchstens einen Eintrag in 30 Tagen für ein Nachladen ohne neuen Platz. Auch hier nur deine Konto-Kennung, die Art und den Zeitpunkt, keinen Ortsnamen. Alle drei Arten tragen zusätzlich eine Kennung, die wir mit einem geheimen Schlüssel aus Ort und Reisemonaten bilden, damit ein Ort in 30 Tagen nur einmal zählt und nur dieser Ort den Versuch bekommt. Andere können den Ortsnamen aus ihr nicht zurückrechnen. Wir selbst können sie mit unserem Schlüssel einem Ort zuordnen. Sie ist deshalb ein Pseudonym, keine anonyme Angabe. Die Einträge für den Deckel und für das Nachladen brauchen wir 30 Tage, weil der Deckel so lange zählt; die Einträge für einen weiteren Versuch nach 7 Tagen wie oben. Gelöscht wird wie oben beschrieben.

Lässt du Zielfelder leer, schlägt dir die KI Städte vor. Für die leeren Stopps, zu denen du einen Wunschtext eingegeben hast (eine begrenzte Anzahl je Anfrage), senden wir diese Wunschtexte gemeinsam in einer einzigen Anfrage an Anthropic (Abschnitte 6 und 8), zusammen mit den Namen deiner übrigen Stopps. Weil alle Wunschtexte in derselben Anfrage stehen, kann jeder von ihnen auch den Vorschlag und die Begründung für einen anderen Stopp beeinflussen. Hat ein solcher Stopp einen unmittelbaren Nachbar-Stopp, für den bereits ein Ort steht (auch das kann ein früherer, noch nicht angenommener Vorschlag sein), lassen wir den vorgeschlagenen Ortsnamen schon vor deiner Annahme über die Ortssuche von Geoapify (Abschnitte 6 und 8) in eine Koordinate auflösen (zusammen mit den Namen dieser Nachbar-Stopps), um dich vor einer ungewöhnlich langen Überland-Etappe zu warnen. Dein Wunschtext selbst geht nicht an Geoapify. Vorschlag und aufgelöste Koordinate liegen technisch zwischengespeichert (der Vorschlag 5 Stunden, die Koordinate 30 Tage), damit dieselbe Anfrage nicht erneut berechnet werden muss; der Zwischenspeicher-Eintrag für die Vorschläge deckt dabei die gesamte Anfrage. Dieser Zwischenspeicher trägt keinen Konto-Bezug und verfällt automatisch.

1c. Report per E-Mail: Anfragezähler

Wenn du dir einen fertigen Bericht per E-Mail schicken lässt, speichern wir deine Konto-Kennung und den Zeitpunkt der Anfrage. Zweck: Missbrauchs- und Kostenabwehr. Diese Mails laufen über dasselbe Kontingent wie dein Anmelde-Link. Ohne Begrenzung könnte ein einzelnes Konto dieses Kontingent leerräumen, und danach käme für niemanden mehr ein Anmelde-Link durch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Inhalte speichern wir hier nicht. Weder um welchen Bericht es ging, noch den Betreff, noch die Empfängeradresse. Nur die Tatsache und den Zeitpunkt einer Anfrage. Gezählt wird die Anfrage selbst, nicht die Zustellung: scheitert der Versand danach, bleibt der Eintrag stehen. Aufbewahrung: Nach 48 Stunden brauchen wir diese Einträge nicht mehr. Gelöscht werden sie bei jedem Start unseres Dienstes und einmal am Tag, solange er läuft. Bei einer Kontolöschung löschen wir sie sofort.

1d. Reise starten: Anfragezähler

Wenn du eine Reise startest, speichern wir deine Konto-Kennung, die aktuelle Stunde und die Zahl der Orte, die diese Reise sucht. Bearbeitest du einen Bericht, zählen wir mindestens einen Ort, auch wenn dabei kein Ort neu gesucht wird. Zweck: Missbrauchs- und Kostenabwehr. Jede Reise löst bei uns bezahlte Suchen aus, und für einen Ort, an dem keine Unterkunft gefunden wird, bekommst du deine Steps zurück. Ohne eine Grenze dafür, wie viel ein einzelnes Konto pro Stunde starten kann, ließen sich diese Suchen auf unsere Kosten beliebig oft auslösen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Inhalte speichern wir hier nicht. Weder wohin du reisen willst, noch deine Reisetermine, noch deine Notizen. Nur deine Konto-Kennung, die Stunde und eine Zahl. Es gibt eine Zeile je Konto und Stunde, nicht eine je Anfrage. Aufbewahrung: Nach 4 Stunden brauchen wir diese Einträge nicht mehr. Gelöscht werden sie beim nächsten Aufräumlauf, also wenn wieder Reisen gestartet werden, bei jedem Start unseres Dienstes und einmal am Tag, solange er läuft. Bei einer Kontolöschung löschen wir sie sofort.

1e. Anmelde-Links: Tagesgrenze je Netz-Adresse

Jeder Anmelde-Link ist eine E-Mail, und alle laufen über ein gemeinsames Tageskontingent. Ohne Begrenzung könnte ein einzelner Absender dieses Kontingent leerräumen, und danach käme für niemanden mehr ein Anmelde-Link durch. Wir zählen deshalb, wie viele Anmelde-Mails am laufenden Tag von einer Netz-Adresse angefordert wurden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, den Anmeldeweg für alle offen zu halten).

Gespeichert werden ein Einweg-Pseudonym der Netz-Adresse (ein schlüsselbasierter Hash; die Adresse selbst steht hier nicht), der Kalendertag in UTC und eine Zahl. Sonst nichts: keine E-Mail-Adresse, keine Konto-Kennung, keine Inhalte. Es gibt eine Zeile je Adresse und Tag, nicht eine je Anfrage. Aufbewahrung: Nach 48 Stunden brauchen wir diese Einträge nicht mehr. Gelöscht werden sie bei jedem Start unseres Dienstes und einmal am Tag, solange er läuft.

Diese Einträge hängen nicht an deinem Konto und überdauern deshalb auch dessen Löschung. Sonst ließe sich die Grenze durch das Löschen eines Kontos zurücksetzen. Aus dem Hash allein können wir dich nicht erkennen. Solange deine bei der Kontoanlage gespeicherte IP-Adresse noch vorliegt (siehe 1a), können wir die Verbindung aber technisch herstellen.

1f. Zustimmung zu AGB und Datenschutzerklärung

Bei jeder Anmeldung bestätigst du die AGB und diese Datenschutzerklärung. Wir speichern dazu deine Konto-Kennung, den Zeitpunkt und die Fassung der Texte, die du bestätigt hast; je Fassung halten wir die erste Bestätigung fest. Zweck: Nachweis, wann welche Fassung bestätigt wurde. Rechtsgrundlage: Art. 6 Abs. 1 lit. f iVm Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht). Aufbewahrung: bis zur Löschung deines Kontos.

Anders als die Pseudonym-Einträge in 1a und 1e und anders als das Eingabe-Protokoll in Abschnitt 10 überdauern diese Zeilen die Kontolöschung nicht. Die Fassung, die du bei einem Kauf bestätigt hast, bleibt davon unberührt bei den Kaufunterlagen (Abschnitt 8).

1g. Schutz vor Missbrauch: Adressen kurz im Arbeitsspeicher

Damit einzelne Absender unseren Dienst nicht mit massenhaften Anfragen blockieren oder Kosten verursachen, begrenzen wir an einigen Stellen, wie oft etwas von einer IP-Adresse aus ausgelöst werden kann: beim Anfordern eines Anmelde-Links, bei der Anmeldung mit Google und bei der Anmeldung mit Passkey, beim Eintragen in die Warteliste und beim Abmelden von ihr, bei der Creator-Bewerbung, beim Prüfen eines Rabattcodes, beim Abbestellen über den Knopf in deinem Mailprogramm, beim Einreichen einer Widerrufserklärung, bei der Freigabe der Hotelfotos im Beispiel-Bericht und in geteilten Berichten und beim Öffnen geteilter Berichte. Beim Anfordern eines Anmelde-Links, beim Eintragen in die Warteliste und bei der Creator-Bewerbung begrenzen wir zusätzlich, wie oft das für dieselbe E-Mail-Adresse geschieht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, den Dienst für alle erreichbar zu halten und Missbrauch und Kosten abzuwehren.

Dafür merkt sich unser Server die IP-Adresse oder E-Mail-Adresse zusammen mit den Zeitpunkten der Anfragen (bei einer gesperrten E-Mail-Adresse zusätzlich die Zahl der Überschreitungen und das Ende der Sperre), und zwar nur im Arbeitsspeicher, nicht in der Datenbank und nicht auf der Festplatte. Davon getrennt ist die Tagesgrenze je Netz-Adresse für Anmelde-Links in Abschnitt 1e. Bei der Widerrufserklärung ist es bei IPv6 nur der vordere Teil der Adresse, der deinen Anschluss bezeichnet.

Aufbewahrung: Wir löschen die Adresse spätestens zwei Minuten nach der letzten Anfrage von ihr (IP-Adressen bei Anmeldung, Google, Passkey, Warteliste, Creator-Bewerbung, Rabattcode und Abbestellen), eine Stunde danach (Hotelfotos, geteilte Berichte, E-Mail-Adressen), 24 Stunden danach (Widerrufserklärung) und zwei Stunden danach, wenn eine E-Mail-Adresse wegen zu vieler Anmelde-Links kurz gesperrt war. In jedem Fall löschen wir sie, wenn unser Dienst neu startet.

2. Anmelde-Links (Magic-Links)

Pro Anmelde-Link speichern wir einen Hash mit 15 Minuten Gültigkeit. Nach Verwendung oder Ablauf wird der Link entwertet. Der Klartext-Token wird nie gespeichert.

3. Reisen und Berichte

Reise-Konfigurationen (Städte, Nächte, Präferenzen, Fragen zur Reise) und die generierten Berichte (samt den Antworten auf deine Fragen) werden in deinem Account gespeichert, damit du sie erneut ansehen kannst. Sie werden nicht an Dritte weitergegeben: mit Ausnahme der in den Abschnitten 6 und 8 genannten Dienste (unsere Auftragsverarbeiter sowie die für die Recherche server-seitig abgefragten Buchungs- und Geodienste) und der Personen, denen du selbst einen Link zu einem Bericht gibst (siehe „Bericht teilen per Link“ unten). Aufbewahrung: bis du die Reise oder deinen Account löschst. Berichte aus dem kostenlosen Kontingent verfallen zusätzlich 30 Tage nach Erstellung und werden mit dem nächsten automatischen Bereinigungslauf endgültig gelöscht; Berichte aus einem Pro-Konto oder aus zugekauften Steps verfallen nicht. Ruht Pro wegen einer Rückbuchung, gilt Abschnitt 11. Schaltest du Pro frei, solange ein solcher Bericht noch nicht verfallen ist, verfällt er nicht mehr. Bearbeitest du einen Bericht, entsteht ein neuer Bericht. Er übernimmt die unveränderten Stopps mit ihren damaligen Ergebnissen und wird ab der Bearbeitung nach denselben Regeln aufbewahrt; dein bisheriger Bericht bleibt davon unberührt.

Chat mit Tibo: Bist du angemeldet, kannst du im Reiseformular und in deinem Bericht unserem Maskottchen Tibo, einer KI, allgemeine Fragen zu deiner Reise stellen (Abschnitte 6 und 11). Den Inhalt des Chats speichern wir auf unserem Server nicht: weder deine Fragen noch Tibos Antworten noch Tibos Merkzettel. Verlauf und Merkzettel liegen nur im Speicher deines Browsers (siehe Cookie-Übersicht). Wir speichern nur Zahlen: wie viele Fragen du im Reiseformular und aus dem Pro-Kontingent gestellt hast (an deinem Konto) und wie viele zu einem Bericht (an diesem Bericht). Sie werden mit dem Konto bzw. dem Bericht gelöscht. Zusätzlich halten wir je Frage deine Konto-Kennung, die Art „Tibo-Chat" und den Zeitpunkt fest, damit ein Konto höchstens 100 Fragen in 24 Stunden stellen kann. Zweck: Missbrauchs- und Kostenabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Nach 7 Tagen brauchen wir diese Einträge nicht mehr. Gelöscht werden sie bei jedem Start unseres Dienstes und einmal am Tag, solange er läuft; bei einer Kontolöschung löschen wir sie sofort. Die Protokollzeile, die unser Server je Frage schreibt, enthält weder den Inhalt noch deine Konto-Kennung, nur den Ort der Frage (Reiseformular oder Bericht), was sie gekostet hat und wie sie ausging.

Deine Berichte sind nur in deinem eingeloggten Konto abrufbar, außer du teilst einen Bericht per Link (siehe unten). Die Bericht-Mail geht ausschließlich an deine eigene Konto-Adresse. Exportierst du einen Bericht als PDF, liegt der weitere Umgang mit dieser heruntergeladenen Kopie (Speichern, Weitergeben) in deiner Verantwortung; der Bericht in deinem Konto bleibt davon unberührt.

Bericht teilen per Link: In deinem Bericht kannst du einen Link erstellen, mit dem andere den Bericht ohne Anmeldung ansehen, aber nicht ändern können. Du wählst, was der Link zeigt: nur die Hotels (Karten, Hotels und Buchungslinks, ohne Ortstexte, ohne die Liste deiner Aktivitäten und ohne Reisefragen) oder den ganzen Bericht so, wie du ihn siehst, also auch mit deinen Wünschen und Reisefragen. Auch wenn der Link nur die Hotels zeigt, steht bei jedem Hotel, wie weit es von deinen Aktivitäten und von deinem Bahnhof oder Flughafen entfernt ist, mit deren Namen, und wie gut es zu deinen Wünschen passt. Steht in deinen Wünschen oder Reisefragen etwas über dich oder deine Mitreisenden, das andere nicht lesen sollen, teile nicht den ganzen Bericht. Je Bericht und Ansicht gibt es höchstens einen Link. Wer den Link hat, sieht den Bericht; dein Name, deine E-Mail-Adresse, der Name deiner Reise und dein Tarif stehen nicht auf der Seite. Wem du den Link gibst, entscheidest du. Wir speichern je Link einen Prüfwert des Links (nicht den Link selbst), eine Zufallszahl, aus der wir dir den Link wieder anzeigen können, die gewählte Ansicht, wann er erstellt wurde, wann er abläuft und zu welchem Bericht er gehört. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (du nutzt eine Funktion unseres Dienstes). Der Link gilt bis 7 Tage nach dem Ende deiner Reise, bei einem Bericht aus dem kostenlosen Kontingent höchstens so lange wie der Bericht selbst. Danach löschen wir den Eintrag beim nächsten Start unseres Dienstes oder beim täglichen Bereinigungslauf. Du kannst den Link jederzeit löschen oder einen neuen erzeugen; der alte Link funktioniert dann sofort nicht mehr. Löschst du den Bericht oder dein Konto, löschen wir auch seine Links.

Wer einen geteilten Bericht öffnet, ist für uns ein Besucher wie auf jeder anderen Seite. Unser Server verarbeitet seine IP-Adresse, um die Seite auszuliefern, begrenzt damit für eine Stunde im Arbeitsspeicher, wie oft von einer Adresse geteilte Berichte abgerufen werden können, und schreibt sie in die Server-Logs, siehe Abschnitt 8 (Hosting). Den Link selbst schreiben wir unkenntlich gemacht ins Protokoll. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die Seite sicher auszuliefern, das massenhafte Durchprobieren von Links abzuwehren und Fehler zu finden. Die Server-Logs bewahrt unser Hoster 7 Tage auf. Hotelfotos lädt die Seite erst, wenn der Besucher sie dort freigibt, mit derselben Einwilligung wie im Beispiel-Bericht (siehe Übermittlung nach Singapur). Dauerhaft gespeichert wird dabei nur die Zahl der Freigaben je Stunde, ohne IP-Adresse und ohne Konto. Damit niemand die Freigabe massenhaft auslöst, merkt sich unser Server die IP-Adresse dabei bis zu einer Stunde im Arbeitsspeicher (Abschnitt 1g).

3a. Besondere Kategorien im Freitext (sensible Angaben)

Unser Dienst ist nicht darauf ausgelegt, besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO zu verarbeiten (etwa Angaben zu Gesundheit, Behinderung oder Mobilitätsbedarf, Religion (z. B. religiöse Ernährung), Weltanschauung, ethnischer Herkunft oder sexueller Orientierung). Bitte gib solche Angaben nicht in die Freitextfelder ein (Reiseziel im Feld „Ort", allgemeine Wünsche, „Fragen zur Reise", Wünsche je Stopp, Aktivitäten, „Bahnhof / Flughafen", „Bevorzugter Stadtteil", „Hotel soll nah sein an", „Frage an Tibo"); und Angaben dieser Art über andere Personen (Mitreisende, Kinder) gar nicht: für deren Daten kann nur die betroffene Person selbst einwilligen. Bevor du eine Reise startest, musst du zusätzlich bestätigen, dass du den Hinweis vor dem Knopf zum Starten gelesen hast; an den Freitextfeldern führt ein kurzer Verweis dorthin. Derselbe Hinweis steht vor deiner ersten Frage an Tibo, und auch dort musst du ihn bestätigen.

Eingaben in diese neun Freitextfelder werden automatisiert geprüft. Erkennt die Prüfung typische sensible Angaben, wird die Eingabe mit einem Hinweis abgelehnt und nicht gespeichert. Die kurzzeitige Prüf-Verarbeitung dient ausschließlich der Ablehnung, abgelehnte Eingaben werden nicht protokolliert. Die Prüfung erkennt typische sensible Angaben; sie ist ausdrücklich kein vollständiger Art-9-Filter und kann nicht jede Formulierung erfassen. Weil Ortsnamen sich mit sensiblen Begriffen überschneiden können, kann die Prüfung im Feld „Ort" in seltenen Fällen auch einen unverfänglichen Ortsnamen ablehnen; schreib die Angabe dann bitte anders (etwa den nächstgrößeren Ort). Erkennt die Prüfung solche Angaben in einer Frage an Tibo, sagt dir Tibo, dass er sie nicht aufnehmen darf; die Frage geht dann nicht an Anthropic und zählt nicht zu deinen Fragen.

Das Feld „Hotel soll nah sein an": Was du dort einträgst, speichern wir nicht als Text. Nach der Prüfung schicken wir die Angabe zusammen mit dem Ort des Stopps an unseren Auftragsverarbeiter Anthropic (Abschnitte 6 und 8). Das Modell nennt uns eine Ortsart (etwa Meer, See, Bahnhof oder Sehenswürdigkeit) und eine Koordinate. Daraus bilden wir eine Ortsklasse (Ort, Berg, Gewässer samt Art: Meer, See, Fluss), eine Entfernung in Metern und die Koordinate; gespeichert wird nur diese Struktur, der eingegebene Text wird verworfen. In die Texterstellung deines Briefings fließt der Text nicht ein; die abgeleitete Ortsklasse und die Entfernungsschwelle sehr wohl, nur eben ohne den von dir getippten Namen. Vollständig verschwindet die Angabe dadurch nicht: aus einer Koordinate lässt sich der gemeinte Ort weiterhin ableiten; weg ist die Begründung, warum du ihn gewählt hast. Nur dieses eine Feld wird so behandelt: „Bahnhof / Flughafen" und „Bevorzugter Stadtteil" speichern wir als Text und geben sie an Anthropic weiter, auch um ihre Lage zu bestimmen (Abschnitt 6).

Sollten trotz dieser Prüfung besondere Kategorien zu uns gelangen (etwa weil die Prüfung eine Formulierung nicht erkennt), dann geschieht das ungewollt. Wir fragen solche Angaben nicht ab, raten oben ausdrücklich davon ab, prüfen die oben genannten Freitextfelder automatisch, sobald du eine Vorschau startest, ein Briefing erstellst oder Tibo eine Frage stellst, und werten solche Angaben nicht als besondere Kategorie aus. Eine Einwilligung leiten wir daraus nicht ab: Wer einen Reisewunsch tippt, gibt damit keine Erklärung über Datenverarbeitung ab. Technisch laufen solche Angaben denselben Weg wie der übrige Text deines Wunsches: sie fließen in die Recherche und in die Texterstellung durch unseren Auftragsverarbeiter Anthropic ein (Abschnitte 6 und 8; den getippten Text aus „Hotel soll nah sein an" bekommt Anthropic nur, um den Ort zu bestimmen, in die Texterstellung fließt allein die daraus abgeleitete Ortsklasse ein). Eine Frage an Tibo, die die Prüfung nicht erkennt, geht wie jede andere Frage zum Beantworten an Anthropic, zusammen mit dem in Abschnitt 6 genannten Zusammenhang. Verwendet werden sie ausschließlich dafür: nicht für Werbung, nicht für Analysen, nicht für eine Profilbildung über die konkrete Reiseplanung hinaus.

Wir behandeln solche Fälle als das, was sie sind: etwas, das wir durch Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und durch Datenschutz durch Technikgestaltung (Art. 25 DSGVO) so selten wie möglich machen wollen; nicht als etwas, wozu wir eine Erlaubnis hätten. Wenn dir auffällt, dass du solche Angaben gemacht hast: lösche die betreffende Reise in deinem Konto oder schreib uns an founder@tripbriefing.ai; wir entfernen die Angaben (Art. 17 DSGVO). Stehen sie in deinem Chat mit Tibo, liegt davon bei uns auf dem Server nichts. Im Reiseformular entfernt das Schließen des Tabs Verlauf und Merkzettel; im Bericht leert der Knopf zum Löschen am Chat Merkzettel und Verlauf (siehe Cookie-Übersicht). Technische Zwischenspeicher verfallen danach automatisch (PDF-Zwischenspeicher nach spätestens 7 Tagen, KI-bezogene Zwischenergebnisse nach spätestens 30 Tagen; die endgültige Entfernung übernimmt der nächste Bereinigungslauf). Du kannst dich außerdem jederzeit bei der österreichischen Datenschutzbehörde beschweren.

4. Cookies

Wir setzen ausschließlich technisch notwendige Cookies (Login-Session, Sprach-Präferenz und ein Nachweis deiner Cookie-Auswahl). Klickst du auf „Mit Google anmelden“, setzen wir zusätzlich für 10 Minuten das Kurzzeit-Cookie tb_oidc. Es ordnet die Antwort von Google deinem Klick zu und wird gelöscht, sobald du zurück bist. Legst du einen Passkey an oder meldest du dich damit an, setzen wir zusätzlich für 5 Minuten das Kurzzeit-Cookie tb_passkey. Es ordnet die Antwort deines Geräts deinem Klick zu. Der Cookie-Hinweis bietet „Alle akzeptieren" und „Nur notwendige akzeptieren" gleichwertig an. Eine einwilligungspflichtige Kategorie gibt es derzeit nicht, beide Schaltflächen führen heute also zum selben Ergebnis. Der Hinweis bleibt vorsorglich bestehen: sollten wir je eine Kategorie wie Statistik ergänzen, kann sie ohne deine Auswahl nicht starten. Details und Einstellungen unter Cookie-Übersicht.

5. Tracking / Analytics

Wir setzen beim Aufruf unserer Seiten keine Analyse- oder Tracking-Skripte Dritter ein: kein Google Analytics, Hotjar, Meta Pixel oder vergleichbare Tools. Eine Ausnahme betrifft die Links zur Preisprüfung in Briefings: Sie führen über den Werbepartner CJ zu Booking.com, und CJ erfasst dabei den Klick (Abschnitt 8).

Besuchszählung auf unserem eigenen Server (keine Cookies, kein Skript in deinem Browser): Wenn du eine unserer öffentlichen Seiten aufrufst (Startseite, Beispiel-Briefing, Reiseziel-Seiten, Preise, Warteliste, Anmeldung, Rechtstexte), zählt unser Server diesen Aufruf, während er die Seite ausliefert. Zweck: wissen, ob die Seite besucht wird, woher Besuche kommen und ob der Kaufweg erreicht wird. Gespeichert wird je Tag nur eine Anzahl: der Tag, die Seite oder der Schritt (Kauf gestartet, Rückkehr von der Zahlungsseite, Route ins Formular übernommen, im Reiseformular vom Pro-Angebot weiter zu den Preisen oder zur Anmeldung) und nur bei Startseite, Beispiel-Briefing und den Reiseziel-Seiten eine grobe Herkunft aus einer festen Liste (zum Beispiel „TikTok“, „Google“ oder „direkt aufgerufen“). Die Herkunft leiten wir aus der Angabe ab, die dein Browser von sich aus mitschickt (Referrer), und behalten davon nur den Namen der Quelle, nicht die Adresse. Schickt dein Browser diese Angabe nicht, nehmen wir eine Markierung im Link, wenn sie in unserer festen Liste steht (zum Beispiel „?ref=se“ in unseren eigenen Links auf Stack Exchange). Auch davon zählt nur der Name der Quelle. Eine Ausnahme ist die Markierung „?ref=ga“ in der Adresse unserer Google-Anzeigen: sie zählt als Herkunft „Anzeige“, auch wenn dein Browser eine andere Seite mitschickt, aber nicht, wenn du innerhalb unserer Seite weiterklickst. Nicht gespeichert werden deine IP-Adresse, ein Cookie, eine Kennung, dein Browser, die vollständige Herkunftsadresse und der Weg einzelner Besucher über mehrere Seiten. Bekannte Suchmaschinen und Programme, die Link-Vorschauen erzeugen, zählen wir nicht mit. Ausgenommen sind Programme von KI-Anbietern (OpenAI, Perplexity, Anthropic), die für ihre Suche oder für die Frage einer Person eine unserer Seiten lesen: ihre Abrufe zählen wir getrennt von den Besuchen, je Tag nur als Anzahl je Anbieter und Zweck, ohne die Seite. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, zu wissen, ob und wie die Seite gefunden wird).

Zählung der Ortsvorschläge: Für diese Zählung der KI-Ortsvorschläge (Abschnitt 1b) speichert unser Server je Tag nur fünf Zahlen: wie viele Vorschläge neu erstellt und ausgeliefert wurden (ein wiederholter gleicher Abruf aus dem Zwischenspeicher zählt nicht mit), bei wie vielen davon die Etappe zu einem Nachbar-Stopp geprüft werden konnte, wie oft wir dabei vor einer langen Überland-Etappe gewarnt haben, bei wie vielen dieser Warnungen in derselben Prüfung eine Ortssuche an Geoapify ging (eine Näherung), und wie viele Ortssuchen dafür insgesamt an Geoapify gingen. Zweck: prüfen, ob es nötig ist, den vorgeschlagenen Ortsnamen schon vor deiner Annahme aufzulösen (Abschnitt 1b). Nicht gespeichert werden in dieser Zählung deine Konto-Kennung, eine andere Kennung, ein Ortsname, dein Wunschtext oder der Vorschlag selbst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, zu belegen, ob das Auflösen des Ortsnamens vor deiner Annahme nötig ist).

Zählung der Anmeldungen mit Google: Unser Server speichert je Tag nur, wie oft eine Anmeldung mit Google gelungen ist (insgesamt, mit neuem Konto, mit bestehendem Konto, mit bei Google geänderter Adresse) und wie oft sie gescheitert ist, je Grund aus einer festen Liste (zum Beispiel bei Google abgebrochen, Adresse nicht von Google verwaltet, Google nicht erreichbar). Zweck: merken, ob die Anmeldung mit Google funktioniert. Nicht gespeichert werden in dieser Zählung deine Konto-Kennung, deine E-Mail-Adresse oder eine andere Kennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden Anmeldung).

Zählung der Passkey-Vorgänge: Unser Server speichert je Tag nur, wie oft Anmelden, Anlegen und Entfernen eines Passkeys gelungen sind, wie oft eine Hinweis-Mail nicht versendet werden konnte und wie oft sie gescheitert sind, je Grund aus einer festen Liste. Zweck: merken, ob die Anmeldung mit Passkey funktioniert. Nicht gespeichert werden in dieser Zählung deine Konto-Kennung, deine E-Mail-Adresse oder eine andere Kennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden Anmeldung).

Eigene Auswertung der Konten (keine Cookies, keine Dritten): Wir messen, wie viele der angemeldeten Konten tatsächlich ein Briefing starten. Dafür werten wir aus: wann du dich angemeldet hast, ob und wann ein Briefing gestartet wurde, ob es ein Pro-Konto ist, und (bei gelöschten Konten) den Löschzeitpunkt (Abschnitt 10). Nicht ausgewertet werden deine Reisewünsche, Freitexte, Zielorte oder Reisedaten. Das Ergebnis sind zusammengefasste Zahlen je Tag und je Woche ohne Namen, Adressen oder Kennungen (Anmeldungen und Käufe je Tag, gestartete Briefings je Anmeldewoche). Sie werden nicht weitergegeben und nie für eine Entscheidung über dich als einzelne Person verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, zu wissen, ob das Produkt benutzt wird); als Weiterverarbeitung zu statistischen Zwecken gilt sie nach Art. 5 Abs. 1 lit. b iVm Art. 89 Abs. 1 DSGVO nicht als unvereinbar mit dem ursprünglichen Zweck.

Speicherdauer: Auf unserem Server löschen wir Tageszahlen der Zählungen, die älter als 90 Tage sind, beim Start des Servers und im täglichen Aufräumlauf. Die Zahlen aus allen Zählungen dieses Abschnitts überträgt der Verantwortliche auf seinen eigenen Rechner. Tageswerte bleiben dort bis zu 90 Tage erhalten; ältere Tageswerte werden beim nächsten Lauf des Auswertungsprogramms zu Wochensummen zusammengelegt, und nur die Wochensummen bleiben.

Du kannst allen Verarbeitungen dieses Abschnitts jederzeit widersprechen (Art. 21 DSGVO): per E-Mail an founder@tripbriefing.ai.

6. Externe APIs

Für die Hotel-Recherche fragen wir externe APIs server-seitig ab: die Agoda-Affiliate-API für Hoteldaten, die Anthropic Claude API für Ranking, redaktionelle Texte, das Verorten deiner Aktivitäten und Lage-Wünsche, das Beantworten deiner Fragen zur Reise, die Suche nach Veranstaltungen an deinen Reisezielen und -daten, das Übersetzen eines Berichts in eine andere Sprache und das Klären eines Ortsnamens, den die Ortssuche allein nicht zuordnen kann oder zu dem die Hotelsuche keine Unterkunft findet (dabei auch anhand deiner übrigen Reiseziele), sowie die Ortssuche von Geoapify (Umwandlung der Namen deiner Reiseziele und des KI-Ortsvorschlags nach Abschnitt 1b in Koordinaten; Bezirksnamen zu den Koordinaten gefundener Hotels; Umriss der Gemeinde eines Stopps; Bahnhöfe rund um deine Ziele). Diese Anfragen stellt unser Server; deine IP-Adresse wird an keinen dieser Dienste übertragen; nur die jeweils nötigen Teile deiner Reise-Konfiguration (etwa Ortsnamen, Daten und von dir eingegebene Präferenzen; beim Chat mit Tibo zusätzlich deine Fragen, siehe unten). Darüber hinaus werden keine personenbezogenen Daten übertragen; Anthropic ist dabei unser Auftragsverarbeiter (siehe Abschnitt 8, Übermittlung in die USA via SCCs). Für das Verorten schicken wir den Text deiner Aktivitäten, „Bevorzugter Stadtteil", „Bahnhof / Flughafen" und „Hotel soll nah sein an" zusammen mit dem Ort und dem Mittelpunkt des jeweiligen Stopps an Anthropic; das Modell nennt uns Koordinaten (und beim Feld „Hotel soll nah sein an" eine Ortsart). Wir prüfen nur, ob ein Punkt in vernünftiger Nähe des Stopps liegt; Entfernungen berechnen wir selbst. Damit soll die Aktivität auf der Karte am gemeinten Ort erscheinen und mit der passenden Entfernung in die Reihung der Unterkünfte eingehen. Die KI kann sich dabei irren (Abschnitt 11). Abstände zur Küste und zu Seeufern berechnen wir mit einer eigenen Kopie von Kartendaten auf unserem Server (OpenStreetMap-Küstenlinie und HydroLAKES); dafür geht nichts nach außen. Außerdem lässt uns das Modell einstufen, ob eine Aktivität ein Ort ist, an dem du dich aufhältst (etwa ein Ausgehviertel), oder ein Ziel, das du einmal besuchst. Dafür schicken wir den Text deiner Aktivitäten zusammen mit dem Ort des Stopps an Anthropic; zurück kommt nur die Einstufung. Hast du Fragen zur Reise gestellt oder allgemeine Wünsche eingetragen, sucht das Modell darin nach Fragen und beantwortet sie kurz in deinem Bericht. Dafür schicken wir Anthropic deine Fragen, deine allgemeinen Wünsche sowie Ort und Reisezeitraum jedes Stopps; Angaben zu den gefundenen Unterkünften schicken wir dafür nicht mit. Agoda ist dagegen eigenständig verantwortlich und sitzt in Singapur. Was dorthin geht und wie wir das einordnen, steht in Abschnitt 8. Booking.com wird nicht als API abgefragt: Briefings enthalten Links zu Booking.com, die über den Werbepartner CJ führen (Abschnitt 8). Über einen solchen Link fließen Daten erst, wenn du ihn anklickst. Eine Ausnahme gibt es aber: ein Teil der Hotelfotos liegt auf dem Bildserver von Booking.com BV (Amsterdam, Niederlande), weil die Agoda-Schnittstelle solche Bildadressen mitliefert. Diese Fotos lädt dein Browser direkt dort, sobald du im Briefing dem Laden der Hotelfotos zugestimmt hast. Näheres in Abschnitt 7. Bitte gib in Freitextfeldern keine personenbezogenen Daten anderer Personen ein (siehe auch Abschnitt 3a).

Stellst du angemeldet unserem Maskottchen Tibo im Reiseformular oder in deinem Bericht eine Frage (Abschnitt 3), beantwortet das Modell sie. Tibo ist für allgemeine Reisefragen da, etwa zu Vierteln, Sehenswürdigkeiten, Unternehmungen und dazu, wie man von einem Ort zum anderen kommt; eine persönliche Beratung ist das nicht, und Fragen ohne Reisebezug lehnt Tibo ab. Zu Gesundheit, Recht, Sicherheitslage und Einreise gibt Tibo keine eigene Antwort, sondern verweist auf die offiziellen Stellen. Für das Beantworten deiner Fragen an Tibo schicken wir Anthropic je Frage: deine Frage; im Reiseformular einen Auszug deiner aktuellen Eingaben (Orte der Stopps mit Nächten, Reisebeginn, Zahl der Erwachsenen, Zahl der Zimmer, Zahl der Kinder ohne ihr Alter, Budget und allgemeine Wünsche); im Bericht einen Auszug, den unser Server aus deinem Bericht bildet (Orte und Reisezeitraum der Stopps und je Stopp bis zu fünf gefundene Unterkünfte mit Name, Art, Sternen, Bewertung, Preis je Nacht (bei mehreren Zimmern mit der Zimmerzahl), Frühstück und Stornierbarkeit); dazu Tibos Merkzettel und deine letzten zwei Fragen samt Tibos Antworten. Merkzettel und Verlauf liegen im Speicher deines Browsers, und dein Browser schickt sie mit jeder Frage wieder an uns (siehe Cookie-Übersicht). Der Merkzettel ist eine kurze Liste mit festen Feldern (Ziele, Termine, Nächte, Budget, Lage, Ausstattung und die Zahl der Kinder ohne ihr Alter), die unser Server aus der Antwort des Modells übernimmt und prüft, bevor er sie weitergibt; auf Preise, Kontingent oder Reihung hat er keinen Einfluss.

Auch das statische Kartenbild in Briefings holt unser Server server-seitig bei Geoapify (siehe Abschnitt 8) und liefert es dir von unserem eigenen Server aus: Dein Browser kontaktiert Geoapify nicht, und deine IP-Adresse wird dafür an keinen Kartendienst übertragen.

7. Eingebundene Drittinhalte (dein Browser)

Schriften, Skripte und Styles liefern wir von unserem eigenen Server aus: dein Browser kontaktiert weder Google Fonts noch andere CDNs. Karten in deinem Briefing sind ein statisches Bild, das unser Server holt und selbst ausliefert; dein Browser kontaktiert dafür keinen Kartendienst (siehe Abschnitt 6). Auch die Fotos und Kartenbilder unserer Reiseziel-Seiten kommen von unserem eigenen Server. Links zu Google Maps im Bericht öffnet dein Browser erst, wenn du einen davon anklickst. Erst dann gehen an Google deine IP-Adresse und das, was im Link steht: je nach Link der Name einer deiner Aktivitäten oder eines Bahnhofs mit dem Reiseort, die Lage eines Hotels als Startpunkt eines Wegs oder als gesuchter Ort, oder die Lage mehrerer Hotels als Route. Bei manchen Links sieht Google zusätzlich, dass du von unserer Website kommst, aber nicht, von welcher Seite. Es bleibt eine Ausnahme, bei der dein Browser deine IP-Adresse an Dritte übermittelt, ohne dass du einen Link anklickst; sie greift erst nach deiner Zustimmung:

Nachweis deiner Einwilligung. Bist du angemeldet, halten wir je Briefing fest, wann du dem Laden der Hotelfotos zugestimmt oder deine Zustimmung widerrufen hast: Konto-Kennung, Briefing-Kennung, die Fassung des Hinweistexts, den du gesehen hast, den Stand des Briefings und den Zeitpunkt. Keine IP-Adresse und keine Browserkennung. Zweck: Nachweis der Einwilligung (Art. 7 Abs. 1 und Art. 5 Abs. 2 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, wie bei der Bestätigung nach Abschnitt 1f. Aufbewahrung: bis zur Löschung des Briefings oder deines Kontos, bei einem Briefing mit Ablaufdatum bis zu dessen Ablauf. Auf dem Beispiel-Briefing und auf geteilten Briefings speichern wir dauerhaft nur, wie oft je Stunde eingewilligt wurde, ohne Bezug zu deiner Person. Damit niemand die Freigabe massenhaft auslöst, merkt sich unser Server dabei deine IP-Adresse bis zu einer Stunde im Arbeitsspeicher (Abschnitt 1g).

8. Auftragsverarbeiter & Hosting

Wir setzen folgende Auftragsverarbeiter ein (Art. 28 DSGVO); Abweichungen vom abgeschlossenen Auftragsverarbeitungsvertrag (in Vorbereitung / inaktiv) sind beim jeweiligen Dienst vermerkt:

Weitere Empfänger (eigenständige Verantwortliche, keine Verarbeitung in unserem Auftrag):

Buchungs-Steps. Läuft für Agoda oder Booking.com das Programm „Buchungs-Steps" (erkennbar an der Zeile am jeweiligen Buchungsknopf in einem Briefing), hängen wir an die Links dieses Partners eine zufällige Kennung je Briefing an (bei Agoda als tag, bei Booking.com über CJ als sid). Sie enthält weder deinen Namen noch deine E-Mail-Adresse noch die Kennung deines Kontos und erreicht den Partner wie der übrige Link erst, wenn du klickst. Buchst du über einen solchen Link, meldet uns der Partner (bei Booking.com über CJ) zu dieser Kennung den Buchungsstatus und die Provision zurück; Quelle dieser Angaben ist der Partner. Daraus erfahren wir, dass über dein Briefing gebucht wurde, und schreiben dir die Buchungs-Steps gut (Art. 6 Abs. 1 lit. b DSGVO, AGB § 6). Läuft das Programm für einen Partner nicht, hängt an dessen Links keine Kennung. Die Kennung bleibt auch dann gespeichert, wenn du das Briefing löschst, damit eine spätere Buchung noch zugeordnet werden kann. Aufbewahrung: 18 Monate nach dem letzten Öffnen des Briefings brauchen wir sie nicht mehr; sie wird beim nächsten automatischen Bereinigungslauf (beim Serverstart und täglich) gelöscht. Mit deinem Konto wird sie sofort gelöscht. Die Gutschriften (Partner, ein mit einem geheimen Schlüssel gebildeter Prüfwert der Buchungsnummer, Zahl der Steps, Zeitpunkt) speichern wir bis zur Löschung deines Kontos. Die Buchungsnummer selbst speichern wir nicht.

Unterlagen zu Käufen (z. B. Rechnungsdaten) bewahren wir so lange auf, wie es gesetzliche Aufbewahrungspflichten verlangen (§ 212 UGB / § 132 BAO: 7 Jahre), und löschen oder anonymisieren sie danach. Dieselbe Frist gilt für eine Kopie der Vertragsbestätigung, die wir dir nach dem Kauf per E-Mail schicken (Text der E-Mail, Zeitpunkt, Kennung des Versanddienstes), damit wir belegen können, welche Vertragsbedingungen dir bestätigt wurden (Art. 6 Abs. 1 lit. f DSGVO).

9. Creator-Bewerbungen

Wenn du dich über unsere Creator-Seite bewirbst, speichern wir deine Angaben: Vor- und Nachname, E-Mail-Adresse, Land, Plattform, Profil-Link, Followerzahl (optional) und deinen Freitext. Zum Nachweis deiner Einwilligung (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO) speichern wir zusätzlich einen Zeitstempel, deine IP-Adresse, den User-Agent deines Browsers und die Fassung des Einwilligungstextes.

Zweck & Rechtsgrundlage: Bearbeitung deiner Bewerbung und Kontaktaufnahme dazu: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage) und Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Partner-Akquise). Stimmst du zusätzlich Programm-Neuigkeiten zu, verarbeiten wir deine E-Mail-Adresse zu diesem Zweck auf Grundlage deiner Einwilligung: Art. 6 Abs. 1 lit. a DSGVO iVm § 174 TKG 2021. Diese Einwilligung wird per Double-Opt-In bestätigt und ist jederzeit mit Wirkung für die Zukunft widerrufbar.

Empfänger: Bewerbungen landen in einem internen, von uns kontrollierten Postfach; die Bestätigungs- und Benachrichtigungsmails versenden wir über unseren Auftragsverarbeiter Brevo (siehe Abschnitt 8). Eine Weitergabe deiner Daten an Dritte zu Werbezwecken findet nicht statt.

Speicherdauer: Bewerbungen, die du nie bestätigst, werden nach 14 Tagen automatisch gelöscht; abgelehnte Bewerbungen nach 6 Monaten; angenommene Bewerbungen für die Dauer der Partnerschaft und die anschließenden gesetzlichen Aufbewahrungsfristen.

10. Kontolöschung & Lösch-Log

Du kannst dein Konto jederzeit selbst in deinem Konto-Bereich löschen (Art. 17 DSGVO): nach Bestätigung über einen Link an deine E-Mail-Adresse werden dein Konto und seine Inhalte (Trips, Reports, gespeicherte Reports, Teilen-Links, Anmelde-Daten samt der Verknüpfung mit deinem Google-Konto und deinen Passkeys, verbleibendes Kontingent samt der Zahl deiner Fragen an Tibo, eine allfällige Creator-Bewerbung) sofort und endgültig gelöscht. Der formlose Weg per E-Mail an founder@tripbriefing.ai bleibt daneben bestehen. Was aus rechtlichen Gründen bleibt: Kaufbelege 7 Jahre (§ 132 BAO; Art. 17 Abs. 3 lit. b DSGVO), Widerrufs-Nachweise, solange sie zur Nachweisführung rechtlicher Ansprüche erforderlich sind (Art. 17 Abs. 3 lit. e DSGVO), der Vermerk zu einer Zahlungsanfechtung (4 Jahre ab Anlage) und die Vermerke an Käufen, ob sie Pro tragen oder noch zählen (4 Jahre ab Setzen; beides Art. 17 Abs. 3 lit. e DSGVO, Abschnitt 11), sowie das Eingabe-Protokoll (siehe unten).

Bewertungen von Berichten (Abschnitt 14) erfasst die Kontolöschung nicht, weil wir sie ohne Verknüpfung mit deinem Konto speichern. Auf Bitte löschen wir sie über den Wortlaut des Kommentars (Abschnitt 14).

Eingabe-Protokoll: Startest du eine Reise mit Freitext-Eingaben (Wünsche, Aktivitäten), halten wir die Tatsache der Eingabe fest: deine Konto-Kennung, den Zeitpunkt, die Fassung der Rechtstexte, die Fassung des Hinweises, den du vor dem Start bestätigt hast, die Sprache und den Zweck; keinen Freitext und keinen Bezug zur einzelnen Reise. Zweck ist der Nachweis, dass und wann unter welcher Textfassung eingegeben wurde; es ist ausdrücklich kein Einwilligungsnachweis im Sinne von Art. 7 DSGVO; die Bestätigung ist eine Kenntnisnahme, keine Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f iVm Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht). Dieser Eintrag bleibt nach einer Kontolöschung bestehen (Art. 17 Abs. 3 lit. e DSGVO) und wird nach 3 Jahren automatisch gelöscht, gerechnet ab dem Eintrag.

Lösch-Log (E-Mail-Hash): Bei einer Kontolöschung speichern wir einen pseudonymen HMAC-Hash der E-Mail-Adresse (kein Klartext) für 24 Monate. Zweck: Missbrauchsvermeidung beim Gratis-Kontingent: ein innerhalb dieser Frist neu registriertes Konto mit derselben Adresse erhält kein frisches Gratis-Kontingent; bezahlte Leistungen sind nicht betroffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Nach 24 Monaten wird der Hash automatisch gelöscht. Der bloße Löschzeitpunkt (nicht der Hash) fließt zusätzlich in die Auswertung der Konten nach Abschnitt 5 ein. Du kannst dieser Verarbeitung per E-Mail an founder@tripbriefing.ai widersprechen (Art. 21 DSGVO). Zusätzlich wird jede Löschung in einer Betreiber-Benachrichtigung journaliert (E-Mail-Adresse + Löschzeitpunkt), damit Löschungen nach einer Backup-Wiederherstellung erneut angewendet werden können (Art. 6 Abs. 1 lit. f iVm Art. 5 Abs. 2 DSGVO; Rechenschaftspflicht); Zugriff nur über das Betreiber-Postfach.

11. Automatisierte Verarbeitung: Reihung und KI-Inhalte

Um dir passende Unterkünfte vorzuschlagen, wertet unser System deine Reise-Konfiguration automatisiert aus (Ziele, Zeitraum, Budget, angegebene Präferenzen) und reiht die gefundenen Angebote danach. Diese Auswertung ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Sie dient allein der Erstellung deines Briefings, entfaltet keine rechtliche Wirkung und beeinträchtigt dich nicht in ähnlicher Weise erheblich. Bei dieser Reihung findet keine ausschließlich automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO statt; die Ausgaben sind Vorschläge, Auswahl und Buchung triffst du selbst. Welche Kriterien in die Reihung einfließen und welche nicht, steht unter So ranken wir Hotels. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von dir angeforderten Leistung).

Die redaktionellen Texte, Begründungen, Empfehlungen und die Antworten auf deine Fragen in deinem Briefing werden KI-gestützt erzeugt (Anthropic Claude, siehe Abschnitt 8). Wir kennzeichnen das sichtbar im Bericht und maschinenlesbar in den Metadaten von HTML und PDF (Transparenz im Sinne von Art. 50 der KI-Verordnung, Verordnung (EU) 2024/1689). KI-generierte Angaben können unvollständig oder veraltet sein; prüfe buchungsrelevante Angaben vor einer Buchung beim jeweiligen Anbieter (siehe auch § 9 unserer AGB). Auch wo deine Aktivitäten und Lage-Wünsche auf der Karte liegen (Koordinaten, Abschnitt 6), bestimmt die KI. Sie kann dabei danebenliegen; eine Entfernung im Bericht kann dann falsch sein.

Auch Tibos Antworten im Chat erzeugt eine KI (Anthropic Claude, siehe Abschnitt 8). Wir kennzeichnen jede Antwort sichtbar als KI-Antwort, im Reiseformular steht ausdrücklich, dass Tibo eine KI ist, und jede Antwort trägt eine maschinenlesbare Kennzeichnung. Tibos Antworten können falsch, unvollständig oder veraltet sein, besonders bei Verbindungen, Zeiten und Preisen; prüfe sie beim jeweiligen Anbieter. Übernimmst du eine von Tibo vorgeschlagene Route ins Formular, gilt sie ab dann als deine eigene Eingabe. Tibos Merkzettel fließt nicht in die Reihung der Unterkünfte ein.

Rückbuchung einer Zahlung. Meldet uns unser Zahlungsdienstleister Stripe, dass du eine Zahlung an uns über deine Bank oder deinen Kartenanbieter angefochten hast (Quelle dieser Angabe ist Stripe), sperrt unser System ohne menschliche Prüfung den Kauf, zu dem die Zahlung gehört. Dabei gilt der angefochtene Kauf als zuerst verbraucht: gesperrt werden nur die Steps, die nach deinen anderen bezahlten Käufen noch übrig sind. Ist er dein einziger bezahlter Pro-Kauf, ruht auch Pro: der günstigere Step-Pack-Preis für Pro gilt dann nicht, und neue Reports, für die du keine gekauften Steps einsetzt, sind wie Free-Reports nur befristet abrufbar. Die Sperre endet, wenn deine Bank für uns entscheidet oder du die Rückbuchung zurücknimmst; bekommst du das Geld endgültig zurück, gilt der Kauf als nicht bezahlt (§ 6 unserer AGB). Das ist eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO. Sie ist für die Erfüllung unseres Vertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO), weil eine Rückbuchung jederzeit eintreffen kann und Steps in Minuten verbraucht sein können. Rechtsgrundlage dieser Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst verlangen, dass ein Mensch die Sperre prüft, uns deine Sicht schildern und der Sperre widersprechen (Art. 22 Abs. 3 DSGVO), per E-Mail an founder@tripbriefing.ai. Sperren wir beim Eintreffen der Rückbuchung Steps oder Pro, schreiben wir dir per E-Mail, was gesperrt ist und warum. Fließen danach Steps aus einem Report zurück, der schon vor der Rückbuchung lief und dann scheitert, gestoppt wird oder nur teilweise geliefert wird, sperren wir sie ebenfalls, ohne dir dazu eine eigene E-Mail zu schreiben. Was gesperrt ist, sagen wir dir jederzeit auf Nachfrage.

Zu jeder Anfechtung speichern wir einen Vermerk: die Kennungen der Anfechtung und der Zahlung bei Stripe, deren Status, welcher Kauf betroffen ist, was gesperrt wurde und warum, die Sprache für unsere E-Mail, deinen Kontostand davor als Beleg und die Zeitpunkte. Zweck ist die Abwehr und der Nachweis von Ansprüchen rund um die Anfechtung (Art. 6 Abs. 1 lit. f DSGVO). Der Vermerk wird 4 Jahre nach seiner Anlage gelöscht und bleibt bis dahin auch nach einer Kontolöschung erhalten (Art. 17 Abs. 3 lit. e DSGVO). An deinen Käufen vermerken wir außerdem, ob ein Kauf kein Pro mehr trägt (etwa nach einem Rücktritt) und ob er nach einer verlorenen Anfechtung nicht mehr zählt. Solange dein Konto besteht, gehören diese Vermerke zur Durchführung deines Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Nach einer Kontolöschung bewahren wir sie zur Abwehr von Ansprüchen auf (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO) und leeren sie 4 Jahre nach dem Setzen.

12. Warteliste zum Start

Trägst du deine Adresse auf unserer Wartelisten-Seite ein, speichern wir deine E-Mail-Adresse, die Sprache der genutzten Seite, die Fassung des Einwilligungstextes, dem du zugestimmt hast, sowie die Zeitpunkte deines Eintrags und deiner Bestätigung. Deine IP-Adresse und den User-Agent deines Browsers speichern wir in deinem Eintrag bewusst nicht. Bei Creator-Bewerbungen (Abschnitt 9) tun wir es. Zusätzlich hält unser Server deine IP-Adresse und deine E-Mail-Adresse kurz im Arbeitsspeicher, um massenhafte Einträge zu bremsen (Abschnitt 1g). Dein Bestätigungsklick zusammen mit Zeitstempel und Fassung ist der Nachweis, den Art. 7 Abs. 1 DSGVO verlangt.

Zweck & Rechtsgrundlage: eine einzige E-Mail, die dir sagt, dass TripBriefing gestartet ist. Grundlage ist deine Einwilligung. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO iVm § 174 Abs. 3 TKG 2021. Wir bestätigen die Einwilligung per Double-Opt-In: nach deiner Eingabe geht genau eine Bestätigungsmail an dich, und ohne diesen Klick schreiben wir dir nie wieder. Diese Bestätigungsmail und die Abmelde-Quittung sind rein transaktional und enthalten keine Werbung.

Empfänger: die Mails versenden wir über unseren Auftragsverarbeiter Brevo (siehe Abschnitt 8). Durch die Warteliste kommt kein neuer Empfänger hinzu, und deine Adresse wird nicht an Dritte weitergegeben.

Speicherdauer: Einträge, die du nie bestätigst, werden nach 14 Tagen automatisch gelöscht. Bestätigte Einträge werden spätestens 90 Tage nach der Bestätigung gelöscht. Löschst du dein TripBriefing-Konto, wird ein Eintrag mit derselben Adresse mitgelöscht.

Widerruf: die Bestätigungsmail und jede spätere Mail zur Warteliste enthalten einen Abmelde-Link. Ein Klick darauf öffnet eine Seite mit einer einzigen Schaltfläche, und diese Schaltfläche löscht deinen Eintrag sofort (Art. 7 Abs. 3 DSGVO). Der Link läuft nicht ab. Manche E-Mail-Programme zeigen zusätzlich einen eigenen Abmelde-Knopf über der Nachricht an. Dieser Knopf löscht deinen Eintrag direkt, ohne die Zwischenseite. Auch die Quittung, mit der wir dir eine Abmeldung bestätigen, kann einen solchen Knopf zeigen. Ein Klick darauf bleibt ohne Wirkung, denn dein Eintrag ist dann schon gelöscht. Du kannst uns stattdessen natürlich auch schreiben, an die Adresse im Abschnitt über deine Rechte.

13. Widerruf eines Kaufs (Widerrufsfunktion)

Widerrufst du einen Vertrag über unsere Widerrufsfunktion, speichern wir die Angaben aus dem Formular: deinen Namen, die angegebene E-Mail-Adresse, die Vertrags- oder Bestell-ID, die Sprache der Seite und den Zeitpunkt des Eingangs. Dazu speichern wir, ob und wann die Eingangsbestätigung versandt wurde. Passen deine Angaben zu einem Kauf, verknüpfen wir die Erklärung mit diesem Kauf.

Zweck & Rechtsgrundlage: die gesetzlich vorgeschriebene Eingangsbestätigung auf einem dauerhaften Datenträger (§ 13 Abs. 2 FAGG; für Verträge ab 1. Oktober 2026 zusätzlich § 13a Abs. 5 FAGG) und der Nachweis, dass und wann deine Erklärung eingegangen ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung). Um massenhafte Einreichungen abzuwehren, merkt sich unser Server dabei die IP-Adresse (bei IPv6 nur den vorderen Teil) bis zu 24 Stunden im Arbeitsspeicher; Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO (Abschnitt 1g).

Empfänger: die Eingangsbestätigung versenden wir über unseren Auftragsverarbeiter Brevo (siehe Abschnitt 8) an die E-Mail-Adresse, die du im Formular angegeben hast. Eine Benachrichtigung mit denselben Angaben geht an unser eigenes Postfach, damit wir den Widerruf bearbeiten können.

Speicherdauer: solange die Angaben zur Nachweisführung rechtlicher Ansprüche erforderlich sind (Art. 17 Abs. 3 lit. e DSGVO). Sie bleiben auch nach einer Kontolöschung bestehen (siehe Abschnitt 10).

Unter deinem fertigen Bericht kannst du ihn mit 1 bis 5 Sternen bewerten und freiwillig einen Kommentar dazuschreiben. Zweck ist, zu erfahren, wie hilfreich unsere Berichte sind, und sie zu verbessern.

Was wir speichern: die Sterne, den Kommentar (wenn du einen schreibst), den Monat der Bewertung und die Sprache der Seite. Wir speichern die Bewertung ohne Verknüpfung mit deinem Konto oder dem Bericht. Am Bericht vermerken wir nur, dass er bewertet wurde (ohne Zeitpunkt), damit jeder Bericht nur einmal bewertet werden kann.

Prüfung des Kommentars: Vor dem Speichern prüfen wir den Kommentar automatisch auf besondere Kategorien personenbezogener Daten, etwa Gesundheit oder Glauben, so wie die Freitextfelder in Abschnitt 3a. Findet die Prüfung eine solche Angabe, speichern wir nichts. Die Prüfung erkennt nicht jede solche Angabe, und Namen oder andere Angaben zu Personen erkennt sie gar nicht. Deshalb bitten wir dich am Formular, keine Namen und keine Angaben zu Gesundheit oder Glauben zu schreiben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Qualität unserer Berichte zu messen und zu verbessern). Die Bewertung ist freiwillig. Du kannst dieser Verarbeitung widersprechen (Art. 21 Abs. 1 DSGVO), per E-Mail an founder@tripbriefing.ai.

Empfänger: Die Bewertung liegt in unserer Datenbank beim Hoster und in der Datenbanksicherung, wie in Abschnitt 8 beschrieben. Weitere Empfänger gibt es nicht.

Speicherdauer: Die ganze Bewertung (Sterne, Kommentar, Monat, Sprache) ist nach Ablauf des 12. vollen Kalendermonats nach dem Monat der Bewertung löschreif und wird beim nächsten Start des Dienstes oder im täglichen Lauf entfernt. Während der Dienst gestoppt ist, läuft keine Löschung. Der Vermerk „bewertet“ am Bericht bleibt so lange wie der Bericht.

Auskunft und Löschung: Weil die Bewertung nicht mit deinem Konto verknüpft ist, finden wir sie nur über den Wortlaut des Kommentars. Für Auskunft oder Löschung schick uns den Wortlaut (oder einen Teil davon) an founder@tripbriefing.ai. Eine Bewertung ohne Kommentar lässt sich so nicht finden. Eine Kontolöschung löscht Bewertungen nicht (Abschnitt 10).

Deine Rechte

Für die Ausübung dieser Rechte schreib uns an founder@tripbriefing.ai.

Stand: 2026-11-03