Datenschutz & Datenverarbeitung

Diese Seite erklärt transparent, welche Daten in unserer privaten Familien-App verarbeitet werden, wofür sie benötigt werden und welche externen Dienste technisch beteiligt sind.

Die App ist ein privates, nicht-kommerzielles Reiseprojekt für einen geschlossenen Familienkreis. Es gibt keine Werbung und keinen Verkauf von Familien- oder Nutzungsdaten.

Private Familien-App

Die App dient ausschließlich der gemeinsamen Organisation unserer Vietnamreise 2026. Inhalte sind nicht für eine öffentliche Plattform, Werbung, Profilbildung oder kommerzielle Auswertung bestimmt.

Welche Daten werden gespeichert?

Je nach verwendeter Funktion können insbesondere folgende Daten in der App gespeichert werden:

Konto- und Profildaten: interne Benutzerkennung, Anzeigename, Rolle, Demo-Status, Profilbild und Zeitpunkt der letzten Aktivität.
Reiseplanung: Touren, Tour-Anmeldungen, Kalendertermine, Checklisten sowie Mitteilungen und deren Bestätigungsstatus.
Kommunikation und Medien: Nachrichten im Familienchat, hochgeladene Reisefotos und zugehörige technische Metadaten.
Reisekasse: Beträge, Währungen, zahlende Person, zugeordnete Personen und Zahlungs- bzw. Ausgleichsstatus.
Sicherheitsdaten: Login-Ereignisse wie Zeitpunkt, versuchter Benutzername, Erfolg oder Fehler, IP-Adresse, Browser-/Gerätekennung und gegebenenfalls Fehlergrund.
Push-Benachrichtigungen: bei freiwilliger Aktivierung der technische Push-Endpunkt und die zugehörigen kryptografischen Subscription-Schlüssel.

Zugriff & Schutz

Die App ist nicht als öffentliches soziales Netzwerk gedacht. Der Zugriff auf private Reiseinhalte wird technisch beschränkt.

Private Bereiche erfordern eine gültige Anmeldung; besonders sensible Funktionen prüfen Berechtigungen zusätzlich serverseitig.
Supabase Row Level Security (RLS) und eingeschränkte Datenbankrechte begrenzen, welche Datensätze Benutzer lesen oder verändern dürfen.
Demo-Konten erhalten keinen Zugriff auf private Familiennamen, Chat-Inhalte, Reisekasse, private Fotos oder den KI-Assistenten, soweit diese Bereiche entsprechend geschützt sind.
Private Dateien wie Profilbilder und Fotos liegen in geschütztem Storage und werden nur über kontrollierte Zugriffe bzw. zeitlich begrenzte URLs bereitgestellt.
Geheime Server-Schlüssel und der OpenAI-API-Schlüssel werden nicht an den Browser ausgeliefert.
Eine automatische Inaktivitätsabmeldung reduziert das Risiko, dass eine offen gelassene Sitzung dauerhaft aktiv bleibt.

KI-Reise-Assistent von OpenAI

Für eingeloggte Nicht-Demo-Konten steht ein optionaler KI-Reise-Assistent zur Verfügung. Eine Frage an den Assistenten wird serverseitig über die OpenAI API verarbeitet.

An OpenAI werden die vom Benutzer eingegebenen KI-Nachrichten sowie ein begrenzter Reise-Kontext aus Touren und Kalenderterminen übertragen.
Namen der gesamten Reisegruppe werden nur dann ergänzt, wenn die konkrete Frage erkennbar nach der Reisegruppe fragt.
Namen von Tour-Teilnehmern werden nur dann ergänzt, wenn die konkrete Frage nach Teilnehmern oder Anmeldungen zu Touren fragt.
Profilbilder, Familienchat-Nachrichten, Reisefotos und Daten der Reisekasse werden nicht automatisch an den KI-Assistenten übertragen.
Der persönliche Begrüßungsname im Chatfenster wird lokal für die Anzeige geladen und nicht allein wegen der Begrüßung an OpenAI gesendet.
Zusätzlich wird ein pseudonymisierter Sicherheitsbezeichner aus einem Hash der internen Benutzer-ID an OpenAI übermittelt.
Die Unterhaltung des KI-Widgets wird von dieser App nicht dauerhaft in Supabase gespeichert; sie verbleibt im laufenden Browserzustand, solange das Widget aktiv ist.
Die API-Anfrage wird mit „store: false“ gesendet. OpenAI verwendet API-Eingaben und -Ausgaben standardmäßig nicht zum Training seiner Modelle, sofern nicht ausdrücklich in eine Datenfreigabe eingewilligt wurde.

Aufbewahrung bei OpenAI

„store: false“ verhindert eine von der App gewünschte dauerhafte Response-Speicherung. Unabhängig davon können OpenAI-API-Eingaben und -Ausgaben nach den derzeitigen Standardregeln in Abuse-Monitoring-Protokollen für bis zu 30 Tage aufbewahrt werden, sofern keine speziell freigeschaltete Zero-Data-Retention-Regelung gilt.

Keine garantierte EU-only-Verarbeitung

Für dieses Projekt ist derzeit keine OpenAI Data Residency bzw. Zero Data Retention aktiviert. Deshalb kann nicht zugesichert werden, dass KI-Anfragen ausschließlich innerhalb der EU oder Deutschlands verarbeitet werden.

OpenAI Datenkontrollen ↗

Externe technische Dienstleister

Für Betrieb, Speicherung und einzelne Funktionen werden externe Plattformen eingesetzt. Diese Anbieter können technische Betriebs-, Sicherheits- und Nutzungsdaten nach ihren jeweiligen Bedingungen verarbeiten.

Supabase

Datenschutz ↗

Supabase stellt Datenbank, Authentifizierung, Storage und Realtime-Funktionen bereit. Die primären Projektdaten dieser App liegen in der Supabase-Region Frankfurt. Supabase weist darauf hin, dass die gewählte Projektregion den Speicherort der primären Projektdaten bestimmt.

Vercel

Datenschutz ↗

Vercel hostet die Next.js-Anwendung und führt serverseitige Funktionen aus. Dabei können unter anderem HTTP-Anfragen, technische Metadaten, Runtime- und Sicherheitsinformationen verarbeitet werden. Vercel kann für die Bereitstellung eine globale Infrastruktur und Unterauftragnehmer einsetzen.

OpenAI

Datenschutz ↗

OpenAI wird ausschließlich verwendet, wenn der KI-Reise-Assistent aktiv genutzt wird. Welche Inhalte dabei übertragen werden, ist im Abschnitt zum KI-Assistenten beschrieben.

Vercel Web Analytics & Speed Insights

Die App nutzt Vercel Web Analytics und Vercel Speed Insights, um Aufrufe und technische Performance der App zu verstehen und Fehler bzw. langsame Seiten besser erkennen zu können.

Vercel Web Analytics arbeitet laut Vercel ohne Cookies und speichert anonymisierte bzw. aggregierte Analysedaten.
Zur Ermittlung eindeutiger Besucher wird ein Hash aus der Anfrage verwendet, der nicht dauerhaft und nicht seitenübergreifend über verschiedene Websites hinweg zur Personenverfolgung dient.
Speed Insights erfasst technische Leistungswerte wie Web Vitals, Route, Browser, Gerätetyp, Betriebssystem, Land und Netzwerkklasse, ohne diese Daten laut Vercel einer einzelnen Person oder IP-Adresse zuzuordnen.
Es werden keine eigenen Werbe-, Marketing- oder Profiling-Tracker in die App eingebaut.

Web Analytics ↗Speed Insights ↗

Push-Benachrichtigungen

Push-Mitteilungen sind freiwillig. Erst nach Zustimmung des Benutzers wird eine Push-Subscription für das jeweilige Gerät bzw. den Browser gespeichert.

Gespeichert werden der technische Push-Endpunkt und die für Web Push erforderlichen öffentlichen Subscription-Schlüssel.
Beim Versand ist zusätzlich der Push-Dienst des verwendeten Browsers oder Betriebssystems beteiligt; welcher Anbieter dies ist, hängt vom Gerät und Browser ab.
Eine Push-Subscription kann wieder deaktiviert bzw. entfernt werden.

Cookies & Browser-Speicher

Die App verwendet nur technisch erforderliche bzw. funktionsbezogene Browser-Speicherung. Es gibt keine eigenen Werbe- oder Marketing-Cookies.

Für Anmeldung und Sitzungsverwaltung können technisch notwendige Supabase-Auth-Cookies bzw. Session-Daten verwendet werden.
Die gewählte Sprache wird gespeichert, damit die App beim nächsten Aufruf wieder in derselben Sprache erscheint.
Für Sitzungsaktivität, Push-Funktionen und einzelne UI-Zustände können Browser-Funktionen wie Local Storage, Service Worker oder flüchtiger Arbeitsspeicher verwendet werden.
Vercel Web Analytics verwendet laut Vercel keine Cookies.

Speicherdauer & Löschung

Die App ist ein zeitlich begrenztes privates Reiseprojekt. Daten sollen nicht länger gespeichert werden, als sie für Organisation, Sicherheit und Nutzung der Familien-App benötigt werden.

Reise-, Profil-, Chat-, Foto- und Reisekassendaten bleiben grundsätzlich gespeichert, solange die App für die Familie betrieben wird oder bis sie gezielt gelöscht werden.
Einträge im app-eigenen Login-Protokoll werden automatisch gelöscht, sobald sie älter als 60 Tage sind.
Nach Abschluss der Reise und wenn die App nicht mehr benötigt wird, können die Projektdaten und Benutzerkonten vollständig entfernt werden.
Externe Anbieter können bestimmte technische, Sicherheits- oder Abrechnungsdaten nach ihren eigenen gesetzlichen und vertraglichen Aufbewahrungsfristen speichern.
Für OpenAI gelten zusätzlich die im KI-Abschnitt genannten API-Aufbewahrungsregeln.

Fragen, Auskunft oder Löschung

Bei Fragen zu gespeicherten Daten, einem Benutzerkonto oder dem Wunsch nach Korrektur bzw. Löschung wendet euch bitte an die Person, die diese private Familien-App verwaltet. Technisch vorhandene Daten können dann geprüft und – soweit für den Betrieb nicht mehr erforderlich – gelöscht oder angepasst werden.