Datenschutzerklärung

Stand: 5. August 2026

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Andrii Lavus Hohenzollernstraße 70 66117 Saarbrücken Deutschland

E-Mail: support@triphaus.app

(Die aktuellen Kontaktdaten werden im Impressum gepflegt.)

2. Datenschutzbeauftragter

Triphaus wird als Einzelunternehmen betrieben. Nach Art. 37 DSGVO i. V. m. § 38 BDSG besteht für Unternehmen dieser Größe keine Pflicht zur Benennung eines Datenschutzbeauftragten. Es wurde kein Datenschutzbeauftragter bestellt.

3. Welche Daten wir verarbeiten und warum

Die folgenden Kategorien personenbezogener Daten werden bei der Nutzung der Triphaus-App verarbeitet. Diese Übersicht entspricht dem Apple-Datenschutzlabel für Triphaus (deklariert in PrivacyInfo.xcprivacy).

Die Bereitstellung Ihrer Kontodaten ist für die Nutzung eines Triphaus-Kontos erforderlich (Art. 13 Abs. 2 lit. e DSGVO); ohne sie kann kein Konto angelegt werden. Alle übrigen Angaben sind freiwillig.

3.1 Kontodaten (mit Ihrer Identität verknüpft)

Daten	Zweck	Rechtsgrundlage
E-Mail-Adresse	Kontoerstellung per Sign in with Apple; Versand servicebezogener Nachrichten	Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO
Name (optionaler Anzeigename von Apple)	Personalisierung des In-App-Erlebnisses; Anzeige gegenüber Personen, mit denen Sie eine Reise teilen (Abschnitt 3.4)	Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO
Nutzer-Kennungen (interne Konto-ID; opaker Apple-Bezeichner)	Identifikation Ihres Kontos geräteübergreifend; Absicherung von API-Anfragen; Missbrauchsvermeidung	Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO

Sign in with Apple ist die einzige Anmeldemethode. Triphaus erhält zu keinem Zeitpunkt Ihr Apple-ID-Passwort. Anmelde-Token werden ausschließlich im iOS-Schlüsselbund (Keychain) Ihres Geräts gespeichert.

3.2 Abonnement- und Kaufdaten (mit Ihrer Identität verknüpft)

Daten	Zweck	Rechtsgrundlage
App-Store-Transaktionskennungen und Abonnementstatus (keine Zahlungsdaten)	Durchsetzung des Gratis-/Bezahlkontingents; Wiederherstellung Ihres Abonnements	Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO; gesetzliche Aufbewahrungspflichten, Art. 6 Abs. 1 lit. c DSGVO

Die Zahlungsabwicklung erfolgt vollständig durch Apple. Triphaus erhält keine Zahlungs- oder Rechnungsdaten, sondern nur signierte Transaktions- und Produktkennungen.

3.3 Von Ihnen bereitgestellte Inhalte (mit Ihrer Identität verknüpft)

Daten	Zweck	Rechtsgrundlage
Reisedokumente, Buchungsbestätigungen, Fotos für die KI-Funktion	Extraktion strukturierter Reisedaten mithilfe des KI-Modells	Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO
Reisepläne und Reisedaten	Speicherung Ihrer Reisen (lokal auf Ihrem Gerät; serverseitig nur beim Teilen, Abschnitt 3.4)	Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO

Ihre Reisen werden lokal auf Ihrem Gerät gespeichert. Für die KI-Funktion hochgeladene Dateien werden auf dem Triphaus-Server nur flüchtig im Arbeitsspeicher gehalten und unmittelbar nach der Bearbeitung Ihrer Anfrage gelöscht (siehe Abschnitte 4 und 6).

Ihre Verantwortung für hochgeladene Inhalte. Sie sind für die Inhalte verantwortlich, die Sie in die KI-Funktion hochladen. Sie dürfen keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; genetische Daten; biometrische Daten; Gesundheitsdaten; oder Daten zum Sexualleben oder zur sexuellen Orientierung) oder sonstige sensible Informationen hochladen — weder eigene noch solche Dritter —, es sei denn, dies ist für die von Ihnen organisierte Buchung zwingend erforderlich und gesetzlich zulässig. Sie sind dafür verantwortlich, sicherzustellen, dass die von Ihnen hochgeladenen Dokumente, Fotos und Dateien keine solchen sensiblen Daten enthalten, und tragen — soweit gesetzlich zulässig — die Verantwortung für die hochgeladenen Inhalte sowie für die Rechte etwaiger Dritter, deren Daten darin enthalten sein könnten.

3.4 Teilen von Reisen (mit Ihrer Identität verknüpft)

Wenn Sie eine Reise mit einer anderen Person teilen, wird die Reise (der vollständige Reiseinhalt, den Sie angelegt haben) auf den Triphaus-Server hochgeladen und dort gespeichert, solange die Freigabe aktiv ist. Änderungen an einer aktiv geteilten Reise werden zum Server synchronisiert. Die empfangende Person sieht den Reiseinhalt sowie Ihren Anzeigenamen. Einladungslinks sind 14 Tage gültig, an eine empfangende Person gebunden und können von Ihnen jederzeit widerrufen werden. Beenden Sie alle Freigaben einer Reise oder löschen Sie die Reise bzw. Ihr Konto, wird die serverseitige Kopie gelöscht.

Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO (die Freigabe wird von Ihnen aktiv ausgelöst).

3.5 App-Interaktionsdaten (mit Ihrer Identität verknüpft)

Daten	Zweck	Rechtsgrundlage
Funktionsnutzung (verbrauchtes KI-Kontingent, Kontingentzähler)	Kontingentsteuerung	Berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO — Interesse: nachhaltiges Kontingentmanagement und Missbrauchsvermeidung
Klicks auf Partner-Links (Datum, betroffener Reiseabschnitt, Partnernetzwerk — keine Ziel-URL)	Zuordnung von Partnervergütungen (Affiliate-Attribution)	Berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO — Interesse: Finanzierung des Dienstes über Partnerprovisionen

3.6 Optionale Marketing- und Analyseeinwilligungen

Die folgende Verarbeitung erfolgt nur, wenn Sie bei der Registrierung oder unter Profil → Kommunikation & Datenschutz eingewilligt haben. Alle drei Einwilligungen sind standardmäßig deaktiviert, granular und jederzeit widerrufbar.

Einwilligung	Was wir verarbeiten	Rechtsgrundlage
Marketing-E-Mails	Ihre E-Mail-Adresse für Produktneuigkeiten, Tipps und Werbeangebote	Einwilligung, Art. 6 Abs. 1 lit. a DSGVO
Marketing-Pushnachrichten	Ihre Präferenz wird gespeichert; eine Push-Versand-Infrastruktur existiert derzeit nicht	Einwilligung, Art. 6 Abs. 1 lit. a DSGVO
Produktanalytik	Nutzungsereignisse (App-Öffnungen, erstellte Reisen, Funktionsinteraktionen — keine Reiseinhalte) an unseren eigenen Server; Aufbewahrung 90 Tage, danach nur aggregierte Zahlen	Einwilligung, Art. 6 Abs. 1 lit. a DSGVO

Einwilligungen widerrufen: App öffnen → Profil → Kommunikation & Datenschutz → jeweiligen Schalter deaktivieren. Der Widerruf wirkt sofort in der App; die E-Mail-Abbestellung kann bis zu 48 Stunden dauern. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung (Art. 7 Abs. 3 DSGVO). Zum Nachweis Ihrer Einwilligung speichern wir die akzeptierte Fassung und den Zeitpunkt (Art. 7 Abs. 1 DSGVO).

3.7 Support-E-Mails

Wenn Sie uns über Kontakt in der App schreiben, wird an den E-Mail-Text automatisch ein kurzer Diagnoseblock angehängt, damit wir Ihre Anfrage effizient bearbeiten können:

Enthaltene Daten	Zweck
User-ID (Konto-Kennung aus Ihrem Anmeldetoken)	Ihr Konto identifizieren
Abo-Stufe (free / payg / annual)	Ihren Abo-Kontext verstehen
App-Version und Build-Nummer	Die genaue Version ermitteln
iOS-Version	Betriebssystemspezifische Probleme erkennen
Gerätemodell (z. B. iPhone16,2)	Gerätespezifische Probleme erkennen
In-App-Sprache	Sprachspezifische Probleme reproduzieren

Der Diagnoseblock ist für Sie im Mail-Fenster sichtbar, bevor Sie auf Senden tippen — es wird nichts ohne Ihr Wissen versandt. Rechtsgrundlage: berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO — effizienter und präziser Support.

Was wir NICHT erheben

• Keine Standortdaten: Die App fragt keine Standortberechtigung an und erhebt keine Standortdaten.
• Kein Tracking: kein Werbenetzwerk, kein Drittanbieter-Analyse-SDK, kein Social-Media-Pixel, kein geräteübergreifendes Tracking, keine Werbe-ID (IDFA). NSPrivacyTracking ist im Apple Privacy Manifest als false deklariert.
• Keine Zahlungsdaten: Zahlungen wickelt ausschließlich Apple ab.

4. Empfänger und Drittdienste

OpenAI (KI-Funktion)

Bei Nutzung der KI-Importfunktion übermittelt Triphaus den von Ihnen eingereichten Inhalt (Text einer Buchungsbestätigung, Bild oder PDF-Textinhalt, samt Dateiname) an OpenAI Ireland Ltd., Dublin, Irland, über die OpenAI-API. OpenAI verarbeitet diese Daten, um strukturierte Reiseinformationen zu extrahieren, und übermittelt das Ergebnis an die App zurück.

OpenAI nutzt API-Anfragedaten nicht für das Training seiner Modelle. Triphaus fordert OpenAI zudem bei jedem Aufruf an, das Antwortobjekt nicht zu speichern (store=false). OpenAI kann Ein- und Ausgaben von API-Anfragen gleichwohl für bis zu 30 Tage zur Missbrauchs- und Betrugsüberwachung aufbewahren und löscht sie anschließend (OpenAI-Datenverwendungsrichtlinie für die API, Stand dieser Erklärung).

Vertragspartei und internationaler Transfer: Für Nutzer aus dem Europäischen Wirtschaftsraum und der Schweiz ist OpenAI Ireland Ltd. unser Auftragsverarbeiter nach Art. 28 DSGVO; Grundlage ist der Datenverarbeitungszusatz (Data Processing Addendum) von OpenAI. Gibt OpenAI Irland Daten zur Erbringung des Dienstes an verbundene Unternehmen oder Dienstleister außerhalb des EWR weiter — insbesondere an OpenAI OpCo, LLC, 1455 3rd Street, San Francisco, CA 94158, USA —, geschieht dies auf Grundlage von EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) oder eines Angemessenheitsbeschlusses der EU-Kommission nach Art. 45 DSGVO. Die von OpenAI eingesetzten Unterauftragsverarbeiter sind unter https://platform.openai.com/subprocessors gelistet.

Apple Inc. (Sign in with Apple, App Store)

Apple verarbeitet den Authentifizierungs- und Zahlungsablauf nach eigener Datenschutzrichtlinie. Triphaus erhält lediglich den opaken Nutzerbezeichner und beim ersten Anmelden eine E-Mail-Adresse sowie einen optionalen Namen, deren Weitergabe Sie steuern. Apple Inc. (USA) ist unter dem EU-US Data Privacy Framework zertifiziert.

Hetzner Online GmbH (Hosting und Backups)

Der Triphaus-Server (api.triphaus.app) wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in einem Rechenzentrum in Deutschland betrieben (Auftragsverarbeitung gemäß Art. 28 DSGVO). Serverdaten werden täglich verschlüsselt auf einen Backup-Speicher von Hetzner innerhalb der EU gespiegelt; Löschungen wirken sich spätestens mit dem nächsten täglichen Spiegellauf auch auf das Backup aus.

Cloudflare, Inc. (Auslieferung der Website)

Die Marketing-Website (triphaus.app) wird über das Content-Delivery-Netzwerk von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, ausgeliefert. Dabei verarbeitet Cloudflare technisch notwendige Verbindungsdaten (insbesondere Ihre IP-Adresse) zur Auslieferung und zum Schutz der Website. Rechtsgrundlage: berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO — sichere und performante Bereitstellung. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert und bindet sich zusätzlich an EU-Standardvertragsklauseln.

Wetter- und Kartendienste

Zur Anzeige von Wetter- und Ortsinformationen für Ihre Reiseziele ruft die App direkt von Ihrem Gerät Daten bei Open-Meteo (api.open-meteo.com) und OpenStreetMap/Overpass (overpass-api.de) ab. Übermittelt werden dabei die Koordinaten bzw. Namen des Reiseziels und technisch bedingt die IP-Adresse Ihres Geräts — keine Konto-Kennung und nicht Ihr Aufenthaltsort. Rechtsgrundlage: Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO.

Weiterleitungen zu Buchungs- und Partnerseiten

Die App enthält Links zu Buchungs- und Aktivitätsanbietern (z. B. GetYourGuide, Booking.com, Airbnb, Omio, Rome2Rio, GetTransfer, Hostelworld). Öffnen Sie einen solchen Link, verlässt Ihre Anfrage Triphaus: Der jeweilige Anbieter erhält die aufgerufene URL (einschließlich Reiseziel-Parametern und bei Partnerlinks einer Triphaus-Partnerkennung) sowie Ihre IP-Adresse; ab dem Öffnen gilt die Datenschutzerklärung des Anbieters. Triphaus übermittelt dabei keine Konto- oder Profildaten an den Anbieter; intern protokollieren wir nur den Klick (Abschnitt 3.5).

Eigene Analytik (einwilligungspflichtig)

Bei entsprechender Einwilligung erfasst Triphaus eigene Nutzungsereignisse auf dem eigenen Server (Abschnitt 3.6). Es werden kein Analyse-SDK von Drittanbietern, kein Werbenetzwerk und kein Tracking-Pixel eingesetzt.

5. Website, Cookies und Server-Logs

Die Triphaus-Marketingwebsite (triphaus.app) setzt keine Cookies, verwendet keine Web-Analyse, keine Werbepixel und keine Drittanbieter-Skripte; Schriftarten werden lokal ausgeliefert. Ein Cookie-Einwilligungsbanner ist daher nicht erforderlich.

Beim Aufruf unserer Dienste fallen technisch notwendige Server-Zugriffsprotokolle an (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode). Sie dienen dem Betrieb, der Fehleranalyse und der Abwehr von Angriffen. Rechtsgrundlage: berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden laufend überschrieben (rotierende Dateien) und sind in der Regel nach wenigen Tagen bis Wochen gelöscht; IP-Adressen werden nicht in Datenbanken gespeichert.

Die iOS-App verwendet keine Browser-Cookies. Die gerätseitige Speicherung erfolgt über Apples UserDefaults (für Einstellungen, deklariert unter Grund CA92.1) und den Keychain (für Authentifizierungstoken).

6. Speicherfristen

Datenkategorie	Speicherfrist
Konto- und Reisedaten	Bis zur Löschung Ihres Kontos (Abschnitt 8).
Serverseitige Kopien geteilter Reisen	Bis Sie die Freigabe beenden, die Reise löschen oder Ihr Konto löschen. Einladungslinks verfallen nach 14 Tagen.
KI-Eingabedaten (Uploads)	Bei Triphaus nur flüchtig für die Dauer der Anfrage (kein persistenter Speicher). Bei OpenAI bis zu 30 Tage (Missbrauchsüberwachung), kein Training.
Kaufhistorie (Transaktionskennungen)	Gemäß handels- und steuerrechtlichen Aufbewahrungspflichten — in der Regel 10 Jahre (§ 147 AO).
Server-Zugriffsprotokolle	Rotierend, größenbasiert — in der Regel wenige Tage bis Wochen.
Pseudonyme Request-Diagnosen (Konto-Kennung, Pfad, Latenz — keine Inhalte)	90 Tage, danach automatische Löschung.
Analytik-Ereignisse (nur mit Einwilligung)	90 Tage; danach verbleiben ausschließlich aggregierte Zählwerte ohne Personenbezug.
Klick-Protokoll Partner-Links	Bis zur Löschung Ihres Kontos.
Einwilligungsnachweise (Fassung, Zeitpunkt)	Für die Dauer des Kontos zzgl. gesetzlicher Verjährungsfristen.
Lösch-Nachweis (Abschnitt 8)	Unbefristet zur Missbrauchsvermeidung; Erforderlichkeit wird regelmäßig überprüft.

7. Ihre Rechte nach der DSGVO

Als betroffene Person stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie können eine Kopie der von uns gespeicherten personenbezogenen Daten anfordern.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können unrichtige Daten korrigieren lassen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) gestützten Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen.
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Einwilligungen (Marketing-E-Mails, Marketing-Push, Produktanalytik) können Sie jederzeit unter Profil → Kommunikation & Datenschutz widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Zur Ausübung Ihrer Rechte wenden Sie sich an support@triphaus.app. Wir antworten innerhalb von 30 Tagen.

8. Kontolöschung

Um Ihr Konto zu löschen, gehen Sie in der App zu Profil → Konto löschen oder senden Sie eine Anfrage an support@triphaus.app. Die Löschung erfolgt unverzüglich, spätestens innerhalb von 30 Tagen, und umfasst Ihre Konto-, Reise-, Freigabe-, Kontingent- und Klickdaten sowie die Kennungen in Diagnose-Protokollen.

Von der Löschung ausgenommen bleiben: (a) Transaktionskennungen, soweit steuer- und handelsrechtliche Aufbewahrungspflichten bestehen (Art. 6 Abs. 1 lit. c DSGVO), (b) ein minimaler Lösch-Nachweis — der Anbieter-Anmeldebezeichner (ohne E-Mail, ohne Namen) und der Löschzeitpunkt —, den wir speichern, um die mehrfache Inanspruchnahme von Neukunden-Freikontingenten nach wiederholter Konto-Neuanlage zu verhindern (berechtigte Interessen, Art. 6 Abs. 1 lit. f DSGVO), sowie (c) aggregierte Statistikwerte ohne Personenbezug.

9. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO) — insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für Triphaus ist die Datenschutz-Aufsichtsbehörde des Bundeslandes zuständig, in dem der Verantwortliche seinen Sitz hat (siehe Abschnitt 1). Eine Übersicht aller deutschen Aufsichtsbehörden finden Sie beim BfDI: https://www.bfdi.bund.de/DE/Service/Anschriften/anschriften_node.html

10. Automatisierte Entscheidungsfindung und Profiling

Triphaus setzt keine automatisierte Entscheidungsfindung und kein Profiling ein, das rechtliche oder ähnlich erhebliche Wirkung entfaltet (Art. 22 DSGVO). Die KI-Funktion extrahiert Reisedaten aus von Ihnen bereitgestellten Dokumenten; das Ergebnis wird stets von Ihnen geprüft, bevor eine Reise gespeichert wird.

11. Kinder

Triphaus richtet sich nicht an Kinder unter 16 Jahren, entsprechend der Einwilligungsaltersgrenze nach Art. 8 DSGVO in Deutschland. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Sollten Sie der Auffassung sein, dass ein Kind Daten übermittelt hat, wenden Sie sich bitte an support@triphaus.app; wir löschen diese Daten unverzüglich.

12. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung aktualisieren, um Änderungen unserer Datenpraktiken oder des geltenden Rechts widerzuspiegeln. Das Datum oben auf dieser Seite zeigt an, wann die aktuelle Fassung in Kraft getreten ist. Wesentliche Änderungen werden in der App mitgeteilt.

13. Kontakt

Bei datenschutzbezogenen Fragen schreiben Sie bitte an: support@triphaus.app