Datenschutzerklärung

Stand: 6.8.2026 ·⚠ TODO: anwaltlich prüfen lassen

Platzhalter. Diese Datenschutzerklärung ist eine Vorlage und muss vor Launch von einem Anwalt auf den konkreten Use-Case (insb. minderjährige Nutzer, B2B-Subscription, Drittstaaten-Transfer) geprüft werden. Wir übernehmen keine Haftung für die Nutzung dieses Platzhalters.

1. Verantwortlicher

TODO: Vollständiger Name + Adresse des Verantwortlichen i.S.d. Art. 4 Nr. 7 DSGVO. Bei Trip Together voraussichtlich:

André Marquardt
[TODO: vollständige Postadresse]
E-Mail: [TODO: Datenschutz-E-Mail]

2. Erhebung & Speicherung personenbezogener Daten

Wir erheben und verarbeiten folgende personenbezogene Daten:

Account-Daten: E-Mail-Adresse, Name, Profilbild (optional), Anmeldedatum
Auth-Daten: Auth.js Sessions, OAuth-Tokens (verschlüsselt)
Reise-Daten: Titel, Beschreibungen, Ziel-Optionen, Stimmen, Beiträge, Bilder die du hochlädst
Org-Daten: Name, Typ, Mitglieder, Subscription-Status
Log-Daten: IP-Adresse, Browser, Referrer (für Sicherheit & DSGVO-konformes Logging)

3. Zweck der Verarbeitung

Bereitstellung der Plattform (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO)
Sicherheit, Missbrauchsprävention (berechtigtes Interesse, Art. 6 Abs. 1 lit. f)
Rechnungsstellung (rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c)

4. Empfänger der Daten

TODO: Liste aller Auftragsverarbeiter (AVV erforderlich):

Vercel Inc. (Hosting) — Daten können in den USA verarbeitet werden
Neon / Postgres (Datenbank) — siehe [TODO: AVV-Status]
Resend (E-Mail-Versand) — siehe [TODO: AVV-Status]
Auth.js / NextAuth (Authentifizierung) — Open-Source, selbst gehostet
[TODO: Weitere Dienstleister ergänzen]

5. Speicherdauer

TODO: Konkrete Fristen definieren. Vorschlag:

Account-Daten: bis zur Löschung des Accounts + 30 Tage Soft-Delete
Reise-Daten: bis 7 Jahre nach Abschluss (Aufbewahrungspflicht §147 AO)
Log-Daten: 30 Tage

6. Deine Rechte

Du hast jederzeit das Recht auf:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16)
Löschung (Art. 17)
Einschränkung der Verarbeitung (Art. 18)
Datenübertragbarkeit (Art. 20)
Widerspruch (Art. 21)
Beschwerde bei einer Aufsichtsbehörde (Art. 77)

Wende dich an [TODO: Datenschutz-E-Mail].

7. Cookies & Tracking

TODO: Wir verwenden aktuell nur technisch notwendige Cookies (Auth.js Session-Cookie). Tracking (z.B. PostHog) ist für Phase 3 geplant — dann Cookie-Banner erforderlich.

8. Minderjährige

TODO — WICHTIG: Trip Together plant auch Reisen für Schulklassen, also potenziell minderjährige Nutzer. Bei unter 16-Jährigen ist die Einwilligung der Erziehungsberechtigten erforderlich (Art. 8 DSGVO). Mechanismus dazu: Eltern-Einwilligungs-Flow vor Account-Erstellung. Bis dahin: Minderjährige-Accounts nur via Einladung durch Erziehungsberechtigte (Schul-Org-Workspace).

9. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen. Wesentliche Änderungen werden dir per E-Mail mitgeteilt.