TripHar ← Startseite

Datenschutzerklärung der TripHar-App

Hier steht, welche Daten die TripHar-App verarbeitet, wofür, wer sie sieht, wie lange wir sie behalten und welche Rechte du hast. Stand: DATUM EINTRAGEN. Für die Website gilt zusätzlich die Datenschutzerklärung der Website.

Kurz gesagt

Wir verkaufen keine Daten und zeigen keine Werbung, die auf einem Profil über dich beruht.
Die App enthält kein Tracking, keine Werbe-Werkzeuge und keinen Werbe-Identifier. Nur wenn du in der App mit Karte oder Apple Pay bezahlst, erfasst das Zahlungsmodul von Stripe, wie es genutzt wird, und prüft auf Betrug.
tripHARRY, unsere KI, bekommt deine Inhalte nur mit deinem Ja. Besonders geschützte Angaben (Ernährung, Bedürfnisse) nur mit einem zweiten, eigenen Ja.
Dein Geburtsdatum, dein Geschlecht und deine Notfallkontakte sieht niemand außer dir.
Du kannst deine Daten jederzeit exportieren und dein Konto in der App löschen.

1. Wer verantwortlich ist

Manuel Harrer, Lilienweg 1, 4064 Oftering, Österreich.
Datenschutz-Fragen und -Anträge: privacy@triphar.com · Hilfe zur App: support@triphar.com · Weitere Angaben im Impressum.

Eine Datenschutzbeauftragte bzw. einen Datenschutzbeauftragten haben wir nicht bestellt; dazu sind wir nicht verpflichtet (prüfen).

2. Welche Daten, wofür, auf welcher Grundlage

„Vertrag“ heißt: Wir brauchen die Daten, um dir die App so bereitzustellen, wie du sie nutzt (Art. 6 Abs. 1 lit. b DSGVO). „Einwilligung“: Art. 6 Abs. 1 lit. a, bei besonders geschützten Angaben Art. 9 Abs. 2 lit. a — jederzeit widerrufbar. „Berechtigtes Interesse“: Art. 6 Abs. 1 lit. f — du kannst widersprechen (siehe Deine Rechte). „Rechtliche Pflicht“: Art. 6 Abs. 1 lit. c.

Wofür	Welche Daten	Grundlage
Konto und Anmeldung	Kennung von Apple bzw. Google oder E-Mail-Adresse und Passwort (das Passwort speichert nur Firebase Authentication, verschlüsselt — wir sehen es nie), E-Mail-Adresse (bei Apple ggf. eine Weiterleitungsadresse), Name, Nutzer-ID, @Handle; welche Fassung der Nutzungsbedingungen galt, als du dich in der App angemeldet hast, und wann (Nachweis des Vertragsschlusses)	Vertrag; Nachweis der Fassung: berechtigtes Interesse
Bestätigung per SMS	Telefonnummer und Zeitpunkt. Die Nummer liegt in deinem Anmeldekonto bei Firebase Authentication (Google); in unserer Datenbank steht nur ein Prüfwert (Hash), damit eine Nummer nicht für viele Konten reicht. Die SMS mit dem Code verschickt Google.	Vertrag; Schutz vor Mehrfach- und Fake-Konten (berechtigtes Interesse)
Profil	Anzeigename, Handle, Bild, Titelbild, Bio, Links, Interessen, Zuhause-Land (freiwillig, als Flagge neben deinem Namen: das Land, in dem du wohnst, nicht deine Herkunft), Punkte, Stufe, Serien, Abzeichen, Follower	Vertrag
Private Angaben	Geburtsdatum, Geschlecht und Anfrage-Filter, Notfallkontakte (Daten Dritter), Reise-Vorlieben, Heimatort, Sprache, Währung, Benachrichtigungs-Einstellungen, Push-Kennungen	Vertrag; Notfallkontakte: berechtigtes Interesse an deiner Sicherheit
„Lieblinge der Einheimischen“ bei Restaurants	dein Heimatort (nur wenn du ihn angegeben hast) und deine Sterne für Lokale in dieser Stadt. Nur unser Server gleicht beides ab, einmal nachts. Am Lokal steht danach nur ein Ja oder nichts — und ein Ja erst, wenn mindestens 5 verschiedene Leute aus der Stadt es gut bewertet haben. Wer gezählt wurde, speichern wir nicht, und niemand kann es sehen.	berechtigtes Interesse (bessere Restaurant-Tipps aus einem anonymen Ergebnis). Widerspruch: Heimatort im Profil leeren oder per Mail an privacy@triphar.com
Reisen, Trippys, Stories, Beiträge, Bewertungen, Kommentare, Likes, Fotoalben, Merklisten	deine Inhalte, Fotos, Videos, Orte, Reisezeitraum, Mitreisende, Sichtbarkeit	Vertrag
Nachrichten	Text, Fotos, Sprachnachrichten, geteilte Inhalte, Lesebestätigungen	Vertrag
Eingetragene Tische und Orte mit Glocke	Tische, die du selbst einträgst (Ort, Datum, Uhrzeit, Personen, Zeitzone des Lokals, wahlweise die Reise) — für die Erinnerung vorher und die Frage „Wie war's?“ danach; Orte, denen du mit der Glocke folgst (sieht niemand außer dir, auch nicht der Inhaber)	Vertrag
Verabreden und Sicherheit	Anfragen, Treffen, Treffpunkt, Check-in beim Treffen, Absage eines Treffens (wer, wann und dein Grund, falls du einen angibst; sieht nur die andere Person), Bewertung nach dem Treffen, Vertrauens-Wert (Schnitt der Sterne aus diesen Bewertungen, je Person, die dich bewertet hat, ihre neueste). Liegt dein Vertrauens-Wert nach mindestens 3 bewerteten Treffen unter 4,0 Sternen, kannst du keine neuen Verabredungen anfragen und keine offenen Verabredungen anlegen oder ihnen beitreten, bis er wieder 4,0 erreicht. Das entscheidet unser System automatisch aus den Bewertungen deiner Treffen; du bekommst eine Begründung und kannst widersprechen. Vereinbarte Treffen und Anfragen anderer an dich gehen weiter. AUTOMATISCHE ENTSCHEIDUNG OHNE FRIST — ZULÄSSIG? ANWALT (FRAGE 46)	Vertrag; Sicherheit der Teilnehmenden (berechtigtes Interesse)
Standort-Funktionen	siehe Standort	Vertrag (du schaltest sie selbst ein)
tripHARRY	siehe KI-Funktionen	Einwilligung
Moderation, Melden, Sperren	Meldungen, Gründe, Sperren, Einsprüche, Begründungen an dich, automatische Vorprüfung öffentlicher Texte; von entfernten Inhalten eine Kopie zur Beweissicherung (Inhalt, Zeitpunkt, wer ihn eingestellt hat), nur für unser Admin-Team	berechtigtes Interesse; Pflichten aus dem Gesetz über digitale Dienste (DSA); Beweissicherung: rechtliche Pflicht (z. B. Art. 6 der Verordnung (EU) 2021/784 bei terroristischen Inhalten) und berechtigtes Interesse
Angaben zu Orten vorschlagen und Orte melden	was du vorschlägst (z. B. Öffnungszeiten, Küche), dein Konto, Zeitpunkt, Entscheidung der Moderation; Meldungen zu Orten (gibt es nicht mehr, falsche Angaben, doppelt); intern, wer im Moderations-Team einen Ort aus- oder eingeblendet hat	berechtigtes Interesse (richtige Angaben für alle)
Schutz vor Betrug bei Cashback und Provisionen	Hinweise auf auffällige Buchungen und Mehrfach-Konten	berechtigtes Interesse; rechtliche Pflicht (Buchhaltung)
Cashback, Credits, Auszahlungen	Provisionen, Saldo, IBAN oder PayPal-Adresse (vollständig als Beleg gespeichert, nur für die Buchhaltung zugänglich); ist eine Auszahlung an dich als Guide oder Creator angehalten (Altersnachweis verlangt, unter 18, Alter nicht bestätigt), seit wann, warum, Betrag und Frist und ob wir dich gebeten haben, deinen Geburtstag einzutragen (bis zur Auszahlung) ANWALT (Q1, FRAGE 65): NEU „ALTER NICHT BESTÄTIGT“ PRÜFEN; für den Bonus für vollständige Reisen, ob deine Reise abgeschlossen, öffentlich und vor Ort bestätigt ist, ihre Fotos und deine Check-ins an ihren Orten (das Ergebnis steht beim Cashback-Beleg der Buchung)	Vertrag; Aufbewahrung: rechtliche Pflicht
Buchungen über Partner	Weiterleitung zum Partner mit einer zufälligen Kennung je Klick — der Partner bekommt weder deine Nutzer-ID noch Reise oder Ort und kann deine Klicks nicht miteinander verbinden. Welche Kennung zu deinem Konto, deiner Reise und dem Ort gehört, speichern nur wir (90 Tage nach dem Klick)	Vertrag (damit dein Cashback zugeordnet werden kann)
TripHar+ und Käufe	Kaufbelege von Apple, Abo-Status, Credits	Vertrag; Aufbewahrung: rechtliche Pflicht
Original Creator (nur auf Einladung) und Verified Creator	das Abzeichen bzw. der Status und seit wann (öffentlich im Profil); Original Creator sind zugleich Verified Creator, öffentlich steht also auch der Status. Bis wann Status und Creator-Vorteile laufen, ob vor dem Store-Start, ob wir automatisch oder von Hand verlängert haben und wie oft, ob unser Team bei dir nachgefragt hat (bis wann), ob wir nicht verlängern und an welchem Tag dein Status endet bzw. geendet hat (nur für dich); beim Original Creator zusätzlich, ob du den Status Verified Creator schon vorher hattest, samt dem Zeitraum von davor (damit wir ihn dir beim Entziehen des Abzeichens lassen können). Hast du das Abzeichen vor dem 22. Oktober 2026 bekommen, steht bis zur Umstellung statt der Creator-Vorteile dein Gratis-TripHar+ dort, öffentlich nur, dass es gerade läuft (für das Gold-Abzeichen). Für die Vergabe, die Freigabe eines Creator-Antrags und jedes Verlängern prüft unser Server, ob dein Alter ab 18 bestätigt ist; unser Team sieht dabei nur, ob ja oder warum nicht, nie dein Geburtsdatum. Für die Verlängerung zählt unser Server, wie viele deiner Reisen aus den 3 und den 6 Monaten vor dem Ablauf vollständig sind (öffentlich, abgeschlossen, vor Ort bestätigt, mit Reiseziel, Titelbild und mindestens 3 Fotos, an allen verlinkten Orten eingecheckt, mit einem eigenen öffentlichen Trippy und einer eigenen Story an der Reise; dieselben Bedingungen wie beim Bonus für vollständige Reisen); dafür liest er deine Check-ins an den Orten der Reise, ob einer deiner Trippys mit ihr verknüpft ist und ob eine deiner Storys an ihr hängt. ANWALT (83, 2026-10-22): NEU — STORY AN DER REISE FÜR DIE PRÜFUNG Sind es mindestens 3 in 3 Monaten oder 6 in 6 Monaten, verlängert er automatisch. In der App siehst du deine Reisen aus diesem Zeitraum, je vollständig oder was noch fehlt (nur du). ANWALT (R1, 2026-10-22): NEU — CHECK-INS UND TRIPPY-VERKNÜPFUNG FÜR DIE PRÜFUNG Sonst sieht unser Team eine Übersicht deiner Aktivität nach Bereichen: vollständige und öffentliche Reisen, öffentliche Trippys, Storys, geteilte Reise-Links und Buchungen darüber, eigene Events, eingetragene Orte und angenommene Vorschläge, je für den Zeitraum und den davor, mit dem Tag der letzten Aktivität (nur Zahlen, Bewertungen zählen nicht). Dieselben Zahlen siehst du in der App. Intern: wer im Team vergeben und entschieden hat und den Text einer Nachfrage an dich; deine Antwort darauf geht an creator@triphar.com (eine Weiterleitung in unser Support-Postfach, Frist wie Support-Mails). Endet dein Status, bleibt der Eintrag mit dem Tag des Endes noch 12 Monate stehen, damit wir über einen Einspruch entscheiden, einen neuen Antrag (bis dahin vereinfacht) zuordnen und schon Verdientes auszahlen können; danach löschen wir ihn, das Abzeichen „Original Creator“ am Profil bleibt. Beim Entziehen (Original Creator) und beim Löschen deines Kontos gelöscht ANWALT (NR. 76, 2026-10-22): 12 MONATE NACH DEM STATUS-ENDE	Vertrag
Guide-Buchungen	Gast, Datum, Personen, Preis, Zahlungsstatus; nach einem Storno die Erstattung (Betrag, abgezogene Stripe-Gebühr und wer sie trägt, Kennungen bei Stripe, wer storniert hat und ob wegen eines gelöschten Kontos; auch „Ich komme nicht“ ohne Erstattung; ohne Zahlung, wer abgesagt hat und ob wegen eines gelöschten Kontos) und bei einer Absage der Grund des Guides, den der Gast sieht; für den Guide die Auszahlung seines Anteils nach der Tour (Betrag, Stand, Datum, Kennung der Auszahlung bei Stripe)	Vertrag
Geschäfts-Profile	Firmenname, Team, beanspruchte Orte; Kontakt- und Nachweisdaten (nicht öffentlich); Nachrichten an Leute, die dem Ort folgen (Text, wer im Team sie geschickt hat, wie viele sie erreicht hat, Meldungen)	Vertrag
Aufrufe und Klicks für Betriebe	wie oft eine Ortsseite geöffnet und Website, Telefon, Route, „Tisch reservieren“ oder Speisekarte getippt wurde — gespeichert nur als Zahl je Ort und Tag, ohne zu speichern, wer. Gegen Doppelzählung (jede Person zählt je Ort, Knopf und Tag einmal) ein gekürzter Merker aus deiner Nutzer-ID, Ort, Knopf und Tag, den wir nach zwei Tagen löschen. Das Team eines Betriebs zählt bei seinen eigenen Orten nicht mit. Die Zahlen sieht nur der Betrieb (und die Moderation), und zwar erst ab 5: liegt ein Tag oder die Summe der letzten 30 Tage darunter, steht dort nur „weniger als 5“, damit niemand auf einzelne Gäste schließen kann. Damit sich das auch nicht zurückrechnen lässt, zählt die Summe der Aufrufe nur Tage ab 5, und die getippten Knöpfe zeigen wir nur in Fünferschritten. Den laufenden Tag zeigen wir erst am nächsten	berechtigtes Interesse (Betriebe sehen, ob TripHar ihnen Gäste bringt — aus anonymen Zahlen)
Fotobuch, Postkarten (derzeit nicht verfügbar)	Fotos, Texte, Lieferadresse, Adressbuch mit Adressen Dritter	Vertrag; Empfänger: berechtigtes Interesse
Auszahlung beim Löschen deines Kontos	Kontoinhaber:in, IBAN, Betrag, Referenz (Beleg, ohne Verbindung zu deinem gelöschten Konto); ein Prüfwert deines Abholcodes (nicht der Code selbst); freiwillig eine Kontakt-E-Mail und die Sprache der App — nur, um dir Bescheid zu geben, falls die Überweisung zurückkommt	Vertrag, auch nach Vertragsende (Art. 6 Abs. 1 lit. b DSGVO); Beleg: rechtliche Pflicht
Warnung vor dem Löschen inaktiver Konten	E-Mail-Adresse deiner Anmeldung, Sprache, wann du zuletzt aktiv warst, wann wir dich gewarnt haben und ob die E-Mail rausging (nicht die Adresse)	Vertrag; berechtigtes Interesse (du sollst dein Konto nicht unbemerkt verlieren)
Datenexport	alle Daten zu deinem Konto als Datei	rechtliche Pflicht (Art. 15, 20 DSGVO)
Betrieb und Sicherheit	IP-Adresse, Nutzer-ID und Objekt-IDs in Server-Protokollen, technische Zähler (z. B. Tageslimits), Geräte-Echtheitsprüfung (Apple App Attest)	berechtigtes Interesse

Wir nutzen kein Tracking, keine Werbe-Werkzeuge, kein Crash-Reporting eines Drittanbieters und keine Kontakte-Synchronisierung. Nur wenn du in der App mit Karte oder Apple Pay bezahlst (Guide-Touren), erfasst das Zahlungsmodul von Stripe, wie es genutzt wird, und prüft auf Betrug (siehe Empfänger). Wir zählen, wie oft Ortsseiten geöffnet und Knöpfe getippt werden — ohne zu speichern, wer; ein gekürzter Merker gegen Doppelzählung wird nach zwei Tagen gelöscht. Betriebe sehen diese Zahlen erst ab 5 je Tag bzw. je 30 Tage. Suchen kann man andere nur nach Name und Handle, nicht nach Telefonnummer oder E-Mail.

3. Was andere sehen

Für alle Angemeldeten: dein öffentliches Profil (Name, Handle, Bild, Bio, Links, Interessen, dein Zuhause-Land, wenn du eins gewählt hast (als Flagge), Punkte, Stufe, Serien, Abzeichen, Follower-Zahlen, ob du deine Handynummer bestätigt hast) und alles, was du öffentlich teilst. Deine Platzierung in der Bestenliste und, wenn du Restaurants bewertest, unter den „Top-Foodies“ einer Stadt (wie viele Restaurants dort du in den letzten 12 Monaten bewertet hast) — außer du schaltest „In Bestenliste zeigen“ aus.
Reisen sind öffentlich, nur für deine Follower oder privat — du stellst es je Reise ein. Bevorstehende Reisen sind standardmäßig nur für deine Follower, damit Fremde nicht sehen, wann du unterwegs bist. Private Reisen sehen nur du und deine Mitreisenden. Budget, Ausgaben und Packlisten sehen immer nur die Mitreisenden.
„Offen für Dating“ schaltest du selbst ein (ab 18, mit eigener Bestätigung). Es steht nicht in deinem Profil, sondern ist nur zu sehen, solange du in deiner Stadt für andere Reisende sichtbar bist. Ausschalten nimmt es sofort zurück.
Nie sichtbar für andere: Geburtsdatum, Geschlecht und Anfrage-Filter, Notfallkontakte, Ernährung und Bedürfnisse, Heimatort, Reise-Vorlieben, wann du zuletzt aktiv warst, deine Einstellungen, ob du zum Moderations-Team gehörst und wer im Team eine Entscheidung getroffen hat, dein Vertrauens-Wert (den sehen nur du, unser Moderations-Team und wer mit dir eine Treffen-Anfrage oder ein Treffen hat — angezeigt erst, wenn du mindestens 3 Treffen hattest, und nie Personen, die du blockiert hast).
Nachrichten sehen nur die Teilnehmenden der Unterhaltung.
Bewertungen sind öffentlich. Wer dir folgt, sieht an einem Ort, dass du dort warst („3 Leute, denen du folgst, waren hier“), und bekommt eine Mitteilung, wenn du einen Ort auf seiner Merkliste gut bewertest. Eingetragene Tische und Orte, denen du folgst, sieht niemand außer dir.

4. Standort

TripHar nutzt deinen Standort nur, während du die App verwendest — und nur, wenn du es erlaubst. Im Hintergrund nur für die Routen-Aufzeichnung, wenn du sie an einer Reise selbst einschaltest (siehe unten).

Funktion	Genauigkeit	Wer sieht es	Wie lange
Karte, Orte in der Nähe	genau, nur auf dem Gerät	niemand	nicht gespeichert
Check-in an einem Ort	wir prüfen, ob du am Ort bist; gespeichert wird danach nur der Ort, nicht deine Geräte-Position	je nach Wahl: niemand, nur deine Follower (ohne Personen, die du blockiert hast) oder bestätigte Reisende (Handynummer bestätigt), jeweils nur, wer selbst gerade für andere sichtbar ist (wer selbst nur für Follower sichtbar ist, nur, wenn ihr euch gegenseitig folgt)	sichtbar 3 Stunden; der Beleg „war vor Ort“ 24 Monate (länger, solange du den Ort bewertet hast oder er für eine Gruppenreise zählt)
„Lass mich in meiner Stadt finden“ / Stadt-Präsenz	auf ca. 5 km gerundet	bestätigte Reisende ab 18, die selbst gerade für andere sichtbar sind (wer nur für Follower sichtbar ist, nur, wenn ihr euch gegenseitig folgt)	endet nach 24 Stunden bzw. 15 Tagen ohne App-Nutzung
Live-Standort teilen	genau (ca. 10 m)	nur die Personen bzw. der Chat, die du auswählst	15 Minuten bis 8 Stunden; spätestens 15 Minuten nach dem Ende ist die Position gelöscht, nach 24 Stunden die ganze Sitzung
tripHARRY-Tipps in der Nähe	auf ca. 100 m gerundet	unser KI-Anbieter (mit deinem Ja)	siehe KI
Reise-Start und Treffpunkt prüfen	genau, nur für die Prüfung	niemand; gespeichert wird nur „bestätigt ja/nein“	nicht gespeichert
Aufnahmeort von Bewertungsfotos	aus den Foto-Daten	niemand; dient als Besuchsnachweis	nur das Ergebnis
Aufnahmeort von Reise-Fotos	aus den Foto-Daten, nur auf deinem Gerät gelesen	wer die Reise sehen darf, sieht nur, zu welchem Reiseziel der Reise ein Foto gehört	nur das Reiseziel, nie der Ort selbst; das Foto speichern wir ohne Ortsdaten
Route automatisch aufzeichnen (an einer Reise, freiwillig)	genau, mit Zeitpunkt, auch im Hintergrund; nur auf deinem Gerät	nur du; teilst du die Reise-Route, eine vereinfachte Strecke ohne Anfang, Ende und Orte, an denen du länger warst (ca. 500 m)	bis du die Spur, die Reise oder dein Konto löschst oder dich abmeldest
Notruf-Knopf beim Treffen	nur, um das Land für die richtige Nummer zu finden: zuerst das Land des Treffpunkts; fehlt es, seine Koordinate; sonst die Position, die dein Gerät schon kennt (nur mit deiner Standort-Freigabe, höchstens 6 Stunden alt, keine neue Ortung). Die Koordinate rechnet der Geocoder von Apple in ein Land um.	niemand; Apple bekommt die Koordinate für die Umrechnung	nicht gespeichert; das Land merkt sich die App, bis sie beendet wird

Routen-Aufzeichnung (freiwillig, nur auf deinem Gerät). Wenn du an einer Reise „Route automatisch aufzeichnen“ einschaltest, speichert TripHar während des Reisezeitraums (vom Starttag bis zum Ende des Endtags; ohne Enddatum bis zum Abschließen der Reise, höchstens 30 Tage) laufend deinen genauen Standort mit Zeitpunkt und Genauigkeit, auch wenn die App im Hintergrund läuft. iOS zeigt das mit der blauen Standort-Anzeige. Die Aufzeichnung ist standardmäßig aus, du kannst sie jederzeit pausieren oder ausschalten. Die Daten bleiben ausschließlich auf deinem Gerät: Sie werden weder an TripHar noch an Dritte übertragen und nicht in dein iCloud-Backup aufgenommen. Sie dienen nur dazu, dir deine Strecke auf der Reise-Route zu zeigen. Andere sehen deine Strecke in der App nicht. Teilst du die Reise-Route selbst als Bild, Story oder Beitrag, wird ein Bild der vereinfachten Strecke hochgeladen und wie deine anderen Beiträge behandelt; Anfang und Ende sowie die Umgebung von Orten, an denen du länger warst (etwa Unterkunft oder Wohnort), lässt TripHar dabei im Umkreis von rund 500 m weg. Du kannst die Spur je Reise löschen; beim Löschen der Reise, beim Abmelden und beim Löschen deines Kontos entfernt TripHar alle Spuren vom Gerät. Rechtsgrundlage: deine Einwilligung durch das Einschalten (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar durch Ausschalten; Speicherung auf dem Endgerät auf deinen ausdrücklichen Wunsch (§ 165 Abs. 3 TKG 2021). PRÜFEN (Anwalt): Rechtsgrundlage.

Gegenseitig: Andere Reisende in der Nähe siehst du nur, solange du dich selbst zeigst. Bist du für alle sichtbar, siehst du alle, die für alle sichtbar sind, und die Check-ins „nur für Follower“ von Leuten, denen du folgst; bist du nur für deine Follower sichtbar, siehst du nur Leute, denen du folgst und die dir folgen (egal, wie sie sichtbar sind). Diese Liste stellt unser Server zusammen: Er gleicht dafür ab, wem du folgst und wer dir folgt, und gibt nur diese Personen weiter. Dasselbe gilt für Hinweise „… ist gerade in der Nähe“. So schaut niemand zu, ohne selbst gesehen zu werden.

5. tripHARRY und andere KI-Funktionen

Mit deiner Einwilligung

tripHARRY ist eine KI unseres Anbieters Anthropic (USA). Bevor er zum ersten Mal etwas für dich tut, fragt die App, ob du einverstanden bist. Mit deinem Ja gehen an Anthropic: was du tripHARRY schreibst und an Fotos schickst, deine Reise-Vorlieben und dein Heimatort, deine Reisen und gespeicherten Orte, beim Begleiter dein ungefährer Standort (ca. 100 m), was tripHARRY sich über dich merkt (nur mit eingeschaltetem Gedächtnis), und für Bildunterschriften Ort und Stichworte deines Trippys. Anthropic nutzt diese Daten nach seinen Vertragsbedingungen nicht zum Training seiner Modelle.

Ernährung und Bedürfnisse (z. B. halal, koscher, Allergien, Barrierefreiheit) bekommt tripHARRY nur mit einem zweiten, eigenen Ja.
Gruppenreisen: Fragst du tripHARRY im Gruppen-Chat, gehen deine Frage und die letzten Nachrichten von Mitreisenden, die tripHARRY ebenfalls erlaubt haben, an Anthropic. Die Vorlieben anderer nur, wenn sie „In Gruppenreisen mitplanen lassen“ eingeschaltet haben. Wer nicht einbezogen wurde, bekommt höchstens alle 30 Tage einen Hinweis.
Gedächtnis: Nur wenn du „Harry darf sich Dinge merken“ einschaltest (standardmäßig aus), merkt sich tripHARRY eine kurze Zusammenfassung deiner Vorlieben. Du siehst und löschst sie unter Einstellungen → „tripHARRY & deine Daten“. Schaltest du es aus, liest und schreibt tripHARRY nichts mehr ins Gedächtnis; ziehst du das Ja für Ernährung und Bedürfnisse zurück, löschen wir es.
Widerruf: jederzeit unter Einstellungen → „tripHARRY & deine Daten“. Danach geht nichts mehr an Anthropic, und das Gedächtnis wird gelöscht.

Ohne Einwilligung (berechtigtes Interesse)

Um die Gemeinschaft vor Belästigung, Spam und rechtswidrigen Inhalten zu schützen, prüft eine KI von Anthropic automatisch Texte, die öffentlich oder für andere sichtbar werden: Bewertungen, Trippy-Texte, Kommentare, Status-Beiträge, Story-Texte und eingereichte Events. Außerdem übersetzt und fasst sie öffentliche Bewertungen zusammen („Was Reisende sagen“). Übersetzungen einer Bewertung speichern wir bei der Bewertung, damit sie nicht für jede Person neu entstehen, bis die Bewertung geändert oder gelöscht wird. Die KI markiert nur; ob ein Inhalt entfernt wird, entscheidet die Moderation (siehe Moderation). Eine markierte Bewertung zählt allerdings nicht für das Foodie-Abzeichen und die Gerichte-Tipps eines Lokals. Anfragen an Geschäfte werden nur dann automatisch vorgeprüft, wenn du der KI zugestimmt hast; hält die KI eine Anfrage klar für Spam oder themenfremd, zeigen wir dir eine Warnung mit dem Grund. Sendest du trotzdem, geht die Anfrage an das Geschäft, und unser Team sieht eine Kopie zur Kontrolle der KI (Betreff, Text, Grund der KI). Wir löschen sie 12 Monate nach der Prüfung, ungeprüft nach 90 Tagen, und sofort, wenn du dein Konto löschst (siehe Abschnitt 9). Das Geschäft erfährt von der Warnung nichts. Vor deinem ersten öffentlichen Text weisen wir dich in der App darauf hin. Gegen diese Verarbeitung kannst du widersprechen (privacy@triphar.com).

Übermittlung in die USA: auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag mit Anthropic. Nach dem EU-US Data Privacy Framework ist Anthropic nicht zertifiziert (Liste auf dataprivacyframework.gov, abgerufen am 19.10.2026: kein Eintrag, weder aktiv noch inaktiv). DPF BEI ANTHROPIC NICHT BELEGT — VOR DER VERÖFFENTLICHUNG NOCH EINMAL AUF DER LISTE PRÜFEN Anthropic löscht Anfragen und Antworten nach eigenen Angaben binnen 30 Tagen; verstößt ein Inhalt gegen seine Nutzungsrichtlinien, bis zu 2 Jahre.

6. Besonders geschützte Angaben

Ernährung und Bedürfnisse (Religion, Gesundheit): freiwillig und nur mit deiner ausdrücklichen Einwilligung gespeichert (Häkchen beim Angeben, Art. 9 Abs. 2 lit. a DSGVO). Nur für dich sichtbar, an tripHARRY nur mit einem weiteren, eigenen Ja. In der App wählt sie den Ernährungs-Filter bei Restaurants vor — das passiert nur auf deinem Gerät. Nimmst du das Häkchen zurück, löschen wir die Angaben.
„Offen für Dating“, Geschlecht und Anfrage-Filter können Rückschlüsse auf das Sexualleben zulassen. Alle drei sind privat. Geschlecht und Filter bestimmen nur, wer dich anfragen darf und bei welchen offenen Verabredungen („nur Frauen“/„nur Männer“) du mitmachen kannst; das prüft unser Server anhand deiner Angabe (Selbstauskunft), die Gastgebenden erfahren sie nicht.
Schritte aus Apple Health: nur, wenn du an einer Reise ausdrücklich „Schritte hinzufügen“ tippst. Gelesen wird nur die Summe der Schritte im Reisezeitraum; sie ist sichtbar für alle, die die Reise sehen. Du kannst sie jederzeit entfernen.
Ausweisprüfung vor der ersten Auszahlung (über Stripe Identity, noch nicht aktiv) ENTWURF FÜR DEN ANWALT (B21): WORTLAUT, ROLLE VON STRIPE (AUFTRAGSVERARBEITER ODER EIGENER VERANTWORTLICHER FÜR DIE BIOMETRIE), FRIST BEI STRIPE, ALTERNATIVE VON HAND
- Wofür: Bevor wir dir zum ersten Mal Geld auszahlen (Cashback, Creator-Cash), prüfen wir einmal, dass du es bist und mindestens 18 Jahre alt bist.
- Wie: Die Prüfung macht Stripe (Stripe Payments Europe Ltd., Irland). Du fotografierst deinen Ausweis und machst ein Selfie; Stripe vergleicht dein Gesicht mit dem Foto im Ausweis. Das sind biometrische Daten (Art. 9 DSGVO). Wir verarbeiten sie nur mit deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die wir direkt vor dem Start in der App einholen.
- Was wir bekommen: nur das Ergebnis (geprüft ja/nein) und das Datum. Ausweisbild, Selfie und Gesichtsdaten sehen und speichern wir nicht.
- Wie lange: bei uns „geprüft“ mit Datum, solange dein Konto besteht. Bei Stripe FRIST BEI STRIPE EINTRAGEN (STRIPE-VERTRAG/DPA, „IDENTITY DATA RETENTION“) — VORSCHLAG: NACH DER PRÜFUNG SOFORT SCHWÄRZEN LASSEN (REDACT). Löschst du dein Konto, lassen wir die Aufnahmen bei Stripe löschen (schwärzen).
- Widerruf: jederzeit per Mail an privacy@triphar.com; dann lassen wir die Aufnahmen bei Stripe löschen. Was bis dahin geprüft wurde, bleibt rechtmäßig (Art. 7 Abs. 3 DSGVO). ANWALT: DARF „GEPRÜFT“ NACH DEM WIDERRUF STEHEN BLEIBEN (ANDERE GRUNDLAGE)?
- Ohne Einwilligung: Du musst nicht zustimmen; dein Cashback bleibt dir erhalten, ausgezahlt wird es ohne Prüfung aber nicht. Lieber ohne Gesichtsabgleich? Dann prüfen wir deinen Ausweis von Hand (Foto, auf dem nur Name und Geburtsdatum zu sehen sind, sofort nach der Prüfung gelöscht; Mail an support@triphar.com). ENTSCHEIDUNG MANUEL + ANWALT: REICHT DIE PRÜFUNG VON HAND ALS ALTERNATIVE?

7. Alter und Minderjährige

Bei der Anmeldung fragen wir nach deinem Geburtsdatum. Es bleibt privat und lässt sich nur über den Support ändern.

Mindestalter für die App: 18 Jahre. Wer bei der Anmeldung ein jüngeres Datum angibt, bekommt kein Konto: Wir speichern das Datum nicht und löschen die Anmeldung sofort. Eine Sperre auf dem Gerät gibt es nicht. Ergibt sich bei einem bestehenden Konto ein Alter unter 18, löschen wir es nicht, sondern lassen es bis zum 18. Geburtstag ruhen: Wir speichern dann das Geburtsdatum und den Tag, an dem die Sperre endet. Bis dahin zeigt die App nur einen Hinweis; Treffen-Funktionen, Standort und Push-Mitteilungen sind aus, und das Konto steht nicht in der Bestenliste. Profil und schon Geteiltes bleiben sichtbar. Du kannst das Konto jederzeit selbst löschen. Ist das Geburtsdatum falsch, heben wir die Sperre nur mit einem Nachweis auf: ein Foto von Ausweis, Pass oder Führerschein, auf dem nur Name und Geburtsdatum zu sehen sind. Wir sehen es uns an, löschen es sofort danach und speichern nur, dass ein Nachweis geprüft wurde — kein Bild, kein Gesichtsabgleich.

Zweifel am Alter: Meldet uns jemand, du seist noch nicht 18, fragen wir dich zuerst. Haben wir danach begründete Zweifel, sperren wir die Funktionen, bei denen man sich mit Fremden trifft (Verabreden, offene Verabredungen, „Jetzt nah“, sichtbare Check-ins, Stadt-Präsenz, „Offen für Dating“), bis du dein Alter nachweist. Bis dahin gilt außerdem: Nachrichten und Reise-Einladungen bekommst du nur von Leuten, denen du folgst; Events ab 18 und Auszahlungen gibt es nicht; neue Reisen sind standardmäßig nur für deine Follower. Wir speichern dafür nur, seit wann ein Nachweis verlangt ist (privat, bis zum Nachweis oder bis du dein Konto löschst), und schicken dir den Grund. Wer gemeldet hat, erfährst du nicht. Der Nachweis läuft wie oben: Foto mit nur Name und Geburtsdatum, sofort gelöscht. Grundlage: unser berechtigtes Interesse, Minderjährige bei Treffen mit Fremden zu schützen (Art. 6 Abs. 1 lit. f DSGVO). ANWALT: GRUNDLAGE DER SPERRE OHNE ANFRAGE DER PERSON UND ART.-14-INFO AN DIE GEMELDETE PERSON PRÜFEN

8. Empfänger und Übermittlung ins Ausland

Wir geben Daten nur weiter, wenn es für die jeweilige Funktion nötig ist. Auftragsverarbeiter arbeiten nach unserer Weisung auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Empfänger	Wofür	Rolle	Ort
Google Ireland Ltd. (Firebase)	Konto, Datenbank, Dateien, Server-Funktionen, Push-Mitteilungen, SMS-Bestätigung, Protokolle	Auftragsverarbeiter	Datenbank und Funktionen in Frankfurt (europe-west3) STORAGE-REGION PRÜFEN; Anmeldung, Push und Protokolle teils weltweit/USA. Google LLC (USA) ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, Art. 45 DSGVO; Liste auf dataprivacyframework.gov, abgerufen am 19.10.2026: aktiv, auch für Daten außerhalb der Personalverwaltung); zusätzlich gelten Standardvertragsklauseln.
Google (Anmelden mit Google)	Anmeldung	eigener Verantwortlicher	USA möglich
Apple Distribution International Ltd.	Anmelden mit Apple, Push (APNs), Käufe, Karten und Ortssuche (auch das Land für den Notruf-Knopf), Spracherkennung (wenn dein Gerät sie nicht selbst kann), Geräte-Echtheitsprüfung	überwiegend eigener Verantwortlicher	USA möglich
Anthropic, PBC	tripHARRY, KI-Prüfung, Übersetzung	Auftragsverarbeiter	USA (siehe KI)
Stripe Payments Europe Ltd.	Zahlungen für Guide-Touren (und Postkarten/Fotobücher, derzeit nicht verfügbar), Auszahlungen an Guides und Creator, Ausweisprüfung (noch nicht aktiv); beim Bezahlen in der App zusätzlich Nutzungs- und Gerätedaten des Zahlungsmoduls (Betrugsabwehr, Verbesserung des Moduls)	teils Auftragsverarbeiter, teils eigener Verantwortlicher ROLLE BEI DEN DATEN DES ZAHLUNGSMODULS: EIGENER VERANTWORTLICHER? — PRÜFEN	EU/USA
Buchungspartner (z. B. Hotels, Flüge, Aktivitäten, Restaurants)	deine Buchung, wenn du über einen TripHar-Button weitergehst; von uns nur eine zufällige Klick-Kennung, keine Nutzer-ID	eigene Verantwortliche	je nach Partner
PayPal bzw. deine Bank	Cashback-Auszahlung	eigene Verantwortliche	EU
Hostinger International Ltd.	Website triphar.com, Support-Postfach, Versand von Service-E-Mails (Warnung vor dem Löschen inaktiver Konten, Rückläufer einer Auszahlung) MAIL-DIENST FESTLEGEN — bei anderem Anbieter (siehe docs/MAIL_VERSAND.md) eigene Zeile	Auftragsverarbeiter (Art. 28 DSGVO)	Larnaca, Zypern (EU); Weitergaben außerhalb der EU nach Standardvertragsklauseln VERTRAGSPARTEI IM HOSTINGER-KONTO PRÜFEN (MANUEL)
Prodigi (UK), POKAmax	Fotobuch- und Postkartendruck (derzeit nicht verfügbar)	Auftragsverarbeiter	UK (Angemessenheitsbeschluss) / PRÜFEN

Ohne Bezug zu deiner Person fragt unser Server außerdem Wetter (Apple WeatherKit; bis zur Umstellung Open-Meteo), freie Ortsdaten (OpenStreetMap über eine bezahlte Overpass-Instanz von Geofabrik GmbH, Karlsruhe; bis dahin über die öffentliche Instanz overpass-api.de), Flugpreise (Travelpayouts) und Veranstaltungen (Ticketmaster) ab. Dabei geht nur die Lage mit, für das Wetter auf etwa 1 km gerundet, für die Ortssuche auf etwa 100 m, nie dein Konto. Die Antworten speichern wir kurz zwischen, damit gleiche Fragen nicht noch einmal abgefragt werden: Wetter höchstens eine Stunde, Ortssuche 24 Stunden, ohne Konto-Bezug; die Ortssuche unter einer Prüfsumme (Hash) der Anfrage statt der Lage. GEOFABRIK UND WEATHERKIT ERST NACH BESTELLUNG BZW. EINSCHALTEN AKTIV — DANN „BIS ZUR UMSTELLUNG“ STREICHEN Bilder von importierten Veranstaltungen lädt die App direkt vom Server des Veranstalters bzw. von Ticketmaster; dabei sieht dieser deine IP-Adresse.

9. Wie lange wir Daten behalten

Solange dein Konto besteht: Profil, Inhalte, Einstellungen. Einzelne Inhalte kannst du jederzeit selbst löschen — auch Check-ins und deine Bewertungen nach Treffen oder Touren.
Beim Löschen deines Kontos entfernen wir Profil, private Angaben, Reisen (samt Abstimmungen, Packlisten, Ausgaben, Highlights), Trippys, Stories, Beiträge, Bewertungen, Kommentare, Likes, Follows, Merklisten, Adressbuch, tripHARRY-Verläufe und -Gedächtnis, deine Fotos, Videos und Sprachnachrichten, offene Verabredungen, Guide-Angebote, Check-ins, eingetragene Tische, die Orte, denen du folgst, die Zuordnung deiner Klicks auf Partner-Links, Punkte und technische Zähler; aus fremden Reisen und Teams wirst du ausgetragen. Gruppenreisen, die du organisiert hast, gehen an das Mitglied mit der höchsten Erfahrungs-Stufe (bei Gleichstand an das, das am längsten dabei ist). Bezahlte Guide-Touren, die noch bevorstehen, sagen wir dabei ab bzw. stornieren sie (als Gast nur, wenn sie mehr als 24 Stunden später beginnen) und erstatten über Stripe; beginnt eine gebuchte Tour früher, sagen wir dem Guide, dass du nicht kommst. Als Guide sagen wir auch offene Anfragen und noch nicht bezahlte Buchungen ab. Die andere Seite bekommt eine Mitteilung, bei einer Absage durch einen Guide mit dem Hinweis, dass er sein Konto gelöscht hat. Die Buchung bleibt mit der Erstattung als Beleg (siehe unten). Damit das auch klappt, wenn beim Löschen etwas schiefgeht, merken wir uns den Zeitpunkt des Löschens mit deiner Konto-Kennung, bis alle Erstattungen erledigt sind, höchstens 30 Tage. ANWALT: HINWEIS „KONTO GELÖSCHT“ AN DIE GÄSTE (ART. 6 ABS. 1 LIT. B/F DSGVO) PRÜFEN
Was bleibt und warum:
- Lässt du dir beim Löschen dein Cashback auszahlen, bewahren wir den Auszahlungsbeleg (Betrag, Kontoinhaber:in, IBAN, Datum, Referenz) ohne Verbindung zu deinem gelöschten Konto auf — wie alle Buchhaltungsbelege. Vor dem Löschen zeigt dir die App eine Referenz und einen Abholcode; vom Code speichern wir nur einen Prüfwert. Damit holst du dein Geld, falls die Überweisung zurückkommt. Eine Kontakt-E-Mail kannst du freiwillig angeben: wir nutzen sie nur, um dir Bescheid zu geben, wenn die Überweisung zurückkommt, und löschen sie 60 Tage nach der Überweisung. Kommt die Überweisung zurück, behalten wir sie, bis wir neu überwiesen haben (dann wieder 60 Tage danach) — meldest du dich nicht, höchstens 12 Monate. Den Prüfwert des Codes löschen wir 60 Tage nach der Überweisung; kam sie zurück, bleibt er beim Beleg, solange du das Geld noch holen kannst. Eine Kopie davon bekommst du nicht über den Datenexport — das Konto gibt es dann nicht mehr; frag uns per Mail.
- Buchungen, Zahlungen, Auszahlungen, Cashback und Credits — gesetzliche Aufbewahrung (Buchhaltung): 7 Jahre ab Ende des Kalenderjahres, unverändert (Guide-Buchungen sowie Fotobuch- und Postkarten-Bestellungen 10 Jahre); danach gelöscht;
- Treffen, Bewertungen nach Treffen, Meldungen und Sperren — zur Sicherheit der anderen: Treffen und Bewertungen 3 Jahre ab dem Treffen; Meldungen ohne Verstoß 12 Monate nach der Entscheidung; Meldungen mit Maßnahme und Sperren 3 Jahre ab der Entscheidung, höchstens 5 Jahre; dauerhafte Sperren als Minimal-Datensatz, solange sie gelten; bei einem gesperrten Konto der Prüfwert der Telefonnummer, solange die Sperre gilt;
- Nachweise über erteilte und widerrufene Einwilligungen und darüber, welcher Fassung der Nutzungsbedingungen du zugestimmt hast — 3 Jahre nach dem Ende;
- Begründungen zu Entscheidungen der Moderation bewahren wir 3 Jahre auf, auch nach dem Löschen deines Kontos (Verteidigung von Rechtsansprüchen, Art. 17 Abs. 3 lit. e DSGVO); sie stehen in deiner Datenkopie;
- Nachrichten, die du anderen geschickt hast — sie gehören auch der Gegenseite. Eigene Nachrichten kannst du jederzeit „für alle löschen“ (Text und Dateien sind dann weg, es bleibt der Hinweis „Diese Nachricht wurde gelöscht“). Chats ohne neue Nachricht seit 24 Monaten löschen wir ganz.
Automatisch: Stories nach 24 Stunden; Live-Standort nach dem Ende; Stadt-Präsenz nach 24 Stunden; gelesene Mitteilungen nach 90, alle nach 180 Tagen; Server-Protokolle nach 30 Tagen PRÜFEN (Konsole; Ziel ~14 Tage). Was du löschst, entfernt Google bei Anmeldung und Push-Mitteilungen binnen 180 Tagen auch aus seinen Sicherungen.
Weitere Fristen: tripHARRY-Verläufe 12 Monate nach der letzten Nachricht; Check-ins 24 Monate (länger nur, solange du den Ort bewertet hast oder er für eine Gruppenreise zählt); Anfragen an Geschäfte und Chats 24 Monate nach der letzten Nachricht; die Zuordnung deiner Klicks auf Partner-Links 90 Tage nach dem Klick (eine Buchung steht danach nur noch im Cashback-Beleg); Reiseplan-PDFs 30 Tage, Fotobuch-PDFs 60 Tage nach dem Versand; eingetragene Tische 30 Tage nach dem Termin; der Merker gegen Doppelzählung bei Aufrufen und Klicks für Betriebe nach 2 Tagen; dein Geburtsdatum löschen wir nach deinem 18. Geburtstag und merken uns nur, dass du volljährig bist.
Moderation, Orte, Betrug: Vorschläge zu Orten 90 Tage nach der Entscheidung, nie entschiedene nach 12 Monaten; wer einen Ort aus- oder eingeblendet hat, 3 Jahre nach der letzten solchen Entscheidung; Nachweise für weitere Filialen eines Geschäfts, solange der Ort zum Geschäft gehört, abgelehnte 90 Tage nach der Ablehnung; Hinweise auf Betrug bei Cashback und Provisionen 3 Jahre nach der Erledigung; Unterlagen zu Creator-Anträgen und Veranstalter-Nachweisen 12 Monate nach der Entscheidung; der Creator-Eintrag (Zeitraum, Verlängerungen, Prüfung) 12 Monate nach dem Ende deines Status; Kopien von Anfragen an Geschäfte, die du trotz KI-Warnung gesendet hast, 12 Monate nach der Prüfung, ungeprüft 90 Tage, beim Löschen deines Kontos sofort; Kopien entfernter Inhalte zur Beweissicherung 10 Wochen nach der Entfernung, auch wenn du dein Konto vorher löschst FRIST LAUT N3 — ANWALT BESTÄTIGT (AMD-G: 10 WOCHEN; TCO: 6 MONATE BEI TERROR-INHALTEN NACH BEHÖRDLICHER ANORDNUNG).
Inaktive Konten: Nutzt du TripHar 24 Monate nicht, löschen wir dein Konto. Vorher warnen wir dich viermal — 60, 30 und 7 Tage sowie 1 Tag vor dem Löschtag — per Mitteilung in der App und per E-Mail an die Adresse deiner Anmeldung (bei Apple ggf. die Weiterleitungsadresse; ohne Adresse nur in der App). Es reicht, die App zu öffnen. Hast du Guthaben, Credits, ein Abo, eine Sperre oder ein laufendes Verfahren, legen wir es stattdessen still und erinnern dich höchstens alle 90 Tage.
Warteliste (Website, auch der Vorabzugang für Betriebe und Guides und die Anmeldung als Original Creator): deinen Eintrag bewahren wir bis zur Start-Mail auf und löschen ihn danach binnen 30 Tagen, spätestens 24 Monate nach deinem Eintrag.
Support-Mails: 6 Monate nach Abschluss; länger nur, was wir länger aufbewahren müssen: Geschäftsbriefe 7 Jahre, Datenschutz-Anfragen 3 Jahre nach Abschluss, Widersprüche gegen Entscheidungen der Moderation so lange wie der Vorgang. Ausweisfotos aus Support-Anfragen löschen wir sofort nach der Prüfung.

10. Mitteilungen

Mitteilungen zu deinen Reisen, Nachrichten, Treffen und deinem Konto bekommst du, wenn du Push-Mitteilungen erlaubst; welche, stellst du unter Einstellungen → „Push-Einstellungen“ ein. Tipps & Inspiration (Werbe-Mitteilungen, z. B. ein Essens-Tipp in der Stadt deiner Reise) gibt es nur, wenn du ausdrücklich Ja sagst; wir speichern dazu, wann du zugestimmt hast. Folgst du einem Ort mit der Glocke, bekommst du höchstens 4 Nachrichten des Inhabers im Monat; die Glocke am Ort schaltet sie ab. Über deine Inhalte: Wer dir folgt und die Glocke für dich eingeschaltet hat, bekommt eine Mitteilung über deine neuen Inhalte, die er sehen darf — z. B. eine Bewertung („… war im … essen“), einen Trippy, eine geteilte oder abgeschlossene Reise oder dass du unterwegs bist. Wer dir folgt, kann so einen Inhalt auch in der wöchentlichen Zusammenfassung „Das hast du verpasst“ sehen. Inhalte, die jemand nicht sehen darf (z. B. private Reisen), nennen wir ihm nie. Push-Mitteilungen laufen über Apple und Google; sie können deinen Namen und eine kurze Vorschau enthalten. E-Mails schicken wir nur zu deinem Konto (derzeit: Warnung vor dem Löschen inaktiver Konten; und an die freiwillige Kontakt-E-Mail, wenn eine Auszahlung nach dem Löschen deines Kontos zurückkommt) — ohne Werbung, ohne Zählpixel, ohne nachgeladene Bilder.

11. Zugriffe am Gerät

Kamera, Fotos, Mikrofon: nur, wenn du etwas aufnimmst oder auswählst. Hochgeladen wird nur, was du teilst; Bilder speichern wir ohne Ortsdaten in der Datei.
Spracheingabe: wenn dein Gerät es kann, direkt auf dem Gerät, sonst über Apple.
Kalender: nur Schreiben, wenn du einen Termin eintragen lässt.
Kontakte: nur der eine Kontakt, den du als Notfallkontakt auswählst.
Apple Health: siehe besonders geschützte Angaben.
Auf dem Gerät gespeichert: deine Anmeldung (Schlüsselbund), eine Kopie deines Profils für den schnellen Start, Suchverläufe und Einstellungen. Beim Abmelden löschen wir sie und melden das Gerät von Push-Mitteilungen ab. Dazu kommen eine technische Kennung für Push-Mitteilungen und eine für die Prüfung, dass Anfragen von einer echten TripHar-App kommen (Apple App Attest); beide sind für diese Funktionen nötig. Cookies setzt die App nicht.

12. Melden, Moderation, Sperren

Du kannst Profile, Inhalte und Nachrichten melden. Meldungen prüft unser Moderations-Team; du bekommst eine Rückmeldung, wenn entschieden ist. Wird ein Inhalt von dir entfernt, dein Konto gesperrt oder etwas zurückgebucht, sagen wir dir warum, ob es automatisch geschah und wie du widersprechen kannst; diese Begründungen bewahren wir 3 Jahre auf (siehe Abschnitt 9). Was automatisch passiert (z. B. die 7-Tage-Sperre nach zwei bestätigten Meldungen aus echten Treffen oder die Pause beim Verabreden nach einem niedrigen Vertrauens-Wert, siehe Abschnitt 2) und was immer ein Mensch entscheidet (z. B. jede dauerhafte Sperre), steht in den Nutzungsbedingungen, Abschnitt 13.2. Von entfernten Inhalten bewahren wir eine Kopie zur Beweissicherung auf, die nur unser Admin-Team sehen kann (Frist in Abschnitt 9). Bei Gefahr für Leben oder Sicherheit informieren wir die Behörden (Art. 18 DSA).

Schutz vor falschen Bewertungen (berechtigtes Interesse: echte Bewertungen für alle, Art. 6 Abs. 1 lit. f DSGVO). Damit nur Bewertungen bestätigter Konten im Schnitt zählen, merkt sich unser Server an jeder Bewertung, ob die Handynummer der Person bestätigt ist (das steht ohnehin in deinem öffentlichen Profil), und wann er sie angelegt hat. Für das Tageslimit (höchstens 10 neue Bewertungen am Tag) zählt er, welche Bewertungen du heute geschrieben hast; der Zähler wird jeden Tag überschrieben und geht mit deinem Konto. Ein Lauf prüft stündlich, ob an einem Ort auffällig viele Bewertungen in kurzer Zeit von neuen Konten oder ohne Besuchsnachweis kommen; dafür liest er, wann die Konten angelegt wurden. Er meldet der Moderation nur den Ort und Zahlen, keine Personen, und entscheidet nichts. Wer dauerhaft gesperrt ist, steht auf einer Liste, die nur unser Server liest — solange die Sperre gilt; dessen Bewertungen zählen dann nicht mehr mit.

13. Deine Rechte

Auskunft und Kopie (Art. 15, 20): Einstellungen → „Datenschutz & Account“ → „Meine Daten exportieren“ (Datei im JSON-Format), oder per Mail.
Berichtigung (Art. 16): im Profil; das Geburtsdatum über den Support.
Löschung (Art. 17): einzelne Inhalte selbst, das ganze Konto unter „Account löschen“.
Einschränkung (Art. 18) und Widerspruch (Art. 21) gegen Verarbeitungen aus berechtigtem Interesse: per Mail an privacy@triphar.com.
Widerruf einer Einwilligung: in der App (tripHARRY, Ernährung und Bedürfnisse, Gruppenreisen, Tipps & Inspiration, Apple Health, Standort, Kamera usw. in den iPhone-Einstellungen). Bis zum Widerruf bleibt die Verarbeitung rechtmäßig.
Wir antworten innerhalb eines Monats.
Beschwerde: bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at, oder bei der Aufsichtsbehörde deines Wohnsitzes.

14. Änderungen

Ändert sich, was die App mit deinen Daten macht, passen wir diese Erklärung an. Betrifft die Änderung eine Einwilligung (z. B. ein neuer KI-Anbieter), fragen wir dich in der App erneut.

Entwurf, keine Rechtsberatung. Diese Erklärung beschreibt genau, was die App laut Code tut (Datenschutz-Audit vom 16.10.2026, docs/DATENSCHUTZ_AUDIT.md; Nachtrag aus der Rechts-Vorprüfung vom 18.10.2026, docs/rechtspruefung/). Vor der Veröffentlichung: die rot markierten Stellen entscheiden bzw. ausfüllen, die Auftragsverarbeitungsverträge abschließen und den Text von jemandem prüfen lassen, der das darf (WKO-Erstberatung ist kostenlos).

In English (summary)

Controller: Manuel Harrer, Lilienweg 1, 4064 Oftering, Austria — privacy@triphar.com. TripHar does not sell data, shows no profile-based ads and contains no tracking or advertising SDKs and no advertising identifier. Only when you pay by card or Apple Pay in the app does Stripe's payment module record how it is used and check for fraud. We count how often place pages are opened and buttons tapped — without storing who; a shortened marker against double counting is deleted after two days. Places only see these numbers from 5 per day or per 30 days upwards; view totals only count days with 5 or more, and taps are shown in steps of five, so small numbers cannot be worked out. tripHARRY (AI by Anthropic, USA) only receives your content with your consent; dietary and accessibility needs only with a separate consent. Moderation uses automated checks of public texts (legitimate interest; you may object). Location is used only while you use the app. Your birth date, gender and emergency contacts are private. You can export your data and delete your account in the app (Settings → “Privacy & account”). If you don't use TripHar for 24 months, we delete your account after warning you four times (60, 30, 7 days and 1 day before) in the app and by email; opening the app is enough to keep it. You may complain to the Austrian Data Protection Authority (dsb.gv.at). The full English translation is at triphar.com/en/privacy/.