Datenschutzerklärung

Wir nehmen den Schutz deiner personenbezogenen Daten ernst. Diese Erklärung informiert dich gemäß Datenschutz-Grundverordnung (DSGVO), österreichischem Datenschutzgesetz (DSG) und Telekommunikationsgesetz 2021 (TKG) darüber, welche Daten wir verarbeiten, zu welchem Zweck und welche Rechte dir zustehen.

1. Verantwortlicher

Anton Steiner
Funkestraße 5, 5020 Salzburg, Österreich
E-Mail: anton@salzguide.com

2. Grundsätze

Wir verarbeiten Daten nur, soweit es für den Betrieb der App nötig ist, auf Basis einer Rechtsgrundlage und – wo möglich – datensparsam bzw. pseudonymisiert. Server und Datenbank stehen in der EU (Supabase, Region Frankfurt/Deutschland).

3. Welche Daten wir verarbeiten

a) Konto & Login

Für Registrierung und Anmeldung verarbeiten wir deine E-Mail-Adresse. Die Anmeldung erfolgt passwortlos per Magic-Link oder über „Anmelden mit Google“. Bei Google-Login erhalten wir von Google deine E-Mail-Adresse und die Bestätigung, dass sie verifiziert ist. Die Angabe der E-Mail-Adresse ist für Registrierung, Login und Kauf erforderlich; ohne sie können diese Funktionen nicht bereitgestellt werden.

b) Newsletter

Der Newsletter ist freiwillig und vom Konto unabhängig: Du kannst dich anmelden, ohne ihn zu abonnieren, und du bekommst ohne dein Häkchen keine Werbung von uns. Setzt du das Häkchen beim Anmelden, speichern wir deine Einwilligung erst, wenn du den Link in der E-Mail an diese Adresse geöffnet hast (Double-Opt-in) – zusammen mit dem Zeitpunkt, damit wir die Einwilligung nachweisen können. Widerrufen kannst du jederzeit mit Wirkung für die Zukunft, über den Abmeldelink in jeder E-Mail oder in deinem Profil unter „Daten & Einwilligungen“. Der Widerruf ist genauso einfach wie die Erteilung und kostet dich nichts.

c) Nutzung der App

Gespeicherte Spots/Events, selbst erstellte Touren und ähnliche Einstellungen werden deinem Konto zugeordnet, damit sie dir geräteübergreifend zur Verfügung stehen.

d) KI-Assistent „Toni“

Stellst du dem KI-Assistenten Fragen, wird dein Text zur Beantwortung an unseren KI-Dienstleister (Anthropic) übermittelt. Bitte gib dort keine sensiblen personenbezogenen Daten ein. Bist du angemeldet, speichern wir deinen Chat-Verlauf, damit du ihn später wieder öffnen kannst: bis du ihn löschst, spätestens 24 Monate nach der letzten Aktivität; er ist im Datenexport enthalten. Als Gast wird kein Verlauf auf unseren Servern gespeichert. Angemeldet nutzt Toni außerdem die Art deiner gemerkten Spots (z. B. Seen oder Wanderungen) für passendere Vorschläge; ein Werbeprofil entsteht daraus nicht. Zur Verbesserung des Angebots speichern wir ausschließlich anonyme Auswertungen (z. B. Themen-Kategorien) ohne Bezug zu deiner Person, deinem Konto oder deiner IP. Wo überall KI mithilft, erklärt unsere Seite „Mit Liebe und KI gemacht“.

e) Kauf von SalzGuide Pro

Du kannst Pro ohne Konto kaufen. Die Zahlung wickelt unser Zahlungsdienstleister Stripe ab. Zahlungsdaten (z. B. Kartendaten) werden ausschließlich von Stripe verarbeitet und erreichen unsere Server nicht. Von Stripe erhalten wir die E-Mail-Adresse, mit der du bezahlt hast, den bezahlten Betrag und die Kennungen des Vorgangs (Checkout-Sitzung, Kunden- und Zahlungskennung). Das speichern wir mit dem Zeitpunkt, um dir den Zugang zu geben, die Freischaltung deinem Konto zuzuordnen und den Kauf im Rückerstattungs- oder Streitfall belegen zu können. Hast du noch kein Konto, entsteht es aus genau dieser Adresse; du bekommst den Zugang dazu passwortlos per Link an dieselbe Adresse. Rechtsgrundlage ist die Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO), für die Aufbewahrung des Zahlungsvorgangs zusätzlich unsere gesetzlichen Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Löschst du dein Konto, bleibt der Zahlungsvorgang als Nachweis bestehen, ohne Verknüpfung zu einem Konto.

f) Bot-Schutz an unseren Formularen

Zum Schutz vor automatisiertem Missbrauch (Bots, Massen-Mailversand) setzen wir an unseren Formularen Cloudflare Turnstile ein: beim Anmelden, beim Absenden einer Support-Anfrage und beim Online-Widerruf. Dabei werden technische Signale deines Browsers sowie deine IP-Adresse durch Cloudflare verarbeitet, um „Mensch oder Bot“ zu unterscheiden.

g) Server-Logs & Sicherheit

Beim Aufruf fallen technisch notwendige Verbindungsdaten an (z. B. gekürzte/verarbeitete IP-Adresse, Zeitpunkt, aufgerufene Ressource), die der Auslieferung, Stabilität und Missbrauchsabwehr dienen. Zusätzlich führen wir selbst zwei Aufzeichnungen:

• Zähler gegen Missbrauch: Damit niemand ein fremdes Postfach mit Anmeldelinks zuschütten oder unsere Messung vollschreiben kann, zählen wir kurzzeitig, wie oft von derselben Stelle etwas kommt. Als Schlüssel dient nie die Adresse selbst, sondern ein daraus errechneter Hashwert. Diese Zähler löschen wir täglich, sobald sie älter als einen Tag sind.
• Betriebs-Logbuch: Fehler, abgewiesene Zugriffe und Änderungen im Verwaltungsbereich halten wir fest, um Störungen und Angriffe nachvollziehen zu können. Freitexte werden dabei geschwärzt, Personen erscheinen nur als Hashwert. Nach 90 Tagen wird gelöscht.

Rechtsgrundlage für beides ist unser berechtigtes Interesse an einem sicheren, funktionierenden Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

h) Reichweitenmessung (cookielos)

Wir messen selbst und mit eigenen Mitteln, wie unsere Seiten genutzt werden. Kein Google Analytics, keine Werbenetzwerke, keine Weitergabe an Dritte. Auf deinem Gerät wird dafür nichts gespeichert und nichts ausgelesen; ein Cookie-Hinweis ist dafür nicht erforderlich (§ 165 Abs. 3 TKG).

Zu einem Aufruf halten wir fest:

• welche Seite aufgerufen wurde (bei einem Spot oder einer Tour deren Kürzel, sonst nur die Art der Seite),
• woher du gekommen bist: die Art der Quelle (direkt, Suchmaschine, soziales Netzwerk) oder die Domain der verweisenden Seite, und die Kampagne aus dem angeklickten Link,
• das Land als Länderkürzel (z. B. „AT“, nie ein genauerer Ort), die Geräteart (Handy, Tablet, Computer) und die eingestellte Sprache,
• welche Spots und Events gemerkt, welche Event-Links angeklickt, wie viele Fragen an den KI-Assistenten gestellt und wie viele Käufe abgeschlossen wurden, jeweils nur als Anzahl.

Um abschätzen zu können, wie viele verschiedene Menschen an einem Tag da waren, bilden wir aus deiner IP-Adresse, deiner Browserkennung und einem Zufallswert, der jede Nacht wechselt, einen Hashwert. Die IP-Adresse selbst speichern wir nicht. Innerhalb eines Tages erkennen wir daran, dass mehrere Aufrufe zusammengehören – nur so entstehen überhaupt Besuchs- und Besucherzahlen. Über den Tag hinaus, auf ein anderes Gerät oder auf andere Websites ist keine Wiedererkennung möglich und auch nicht gewollt. Den Zufallswert löschen wir nach spätestens zwei Tagen; danach lässt sich der Hashwert niemandem mehr zuordnen. Die anonymen Ereignisse selbst bewahren wir rund 14 Monate auf, damit ein Vergleich mit dem Vorjahr möglich bleibt.

Nicht mitgezählt werden Aufrufe aus unserem eigenen Betrieb und die von Suchmaschinen- und Vorschau-Robotern. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), formlos an anton@salzguide.com. Wir werten ausschließlich zusammengefasste Zahlen aus; eine Ansicht einzelner Personen gibt es nicht und ist mit diesen Daten auch nicht herstellbar.

i) Cookies und ähnliche Technologien

Wir setzen ausschließlich technisch notwendige Cookies und vergleichbare Speicher ein. Es gibt bei uns keine Marketing-, Werbe- oder Tracking-Cookies und keine Dienste, die dich über Websites hinweg wiedererkennen. Deshalb musst du bei uns auch keinen Cookie-Hinweis wegklicken. Im Einzelnen:

• Anmeldung (Cookie): Das Session-Cookie von Supabase hält dich angemeldet. Ohne es müsstest du auf jeder Seite neu einsteigen.
• Gast-Kennung „sg_aid“ (Cookie): Eine Zufallszahl, damit das Gratis-Limit des KI-Assistenten (drei Fragen ohne Konto) überhaupt zählbar ist. Sie enthält keine Angaben über dich, ist für Skripte nicht auslesbar (httpOnly) und läuft nach 90 Tagen ab.
• Kauf-Nachweis „sg_buy“ (Cookie):Eine Zufallszahl, die beim Start des Bezahlvorgangs gesetzt wird. Sie belegt bei der Rückkehr von Stripe, dass es derselbe Browser ist, der bezahlt hat – nur deshalb können wir dir den Zugang sofort geben, ohne dass du erst eine E-Mail suchen musst. Sie enthält keine Angaben über dich, ist für Skripte nicht auslesbar (httpOnly) und läuft nach zwei Stunden ab.
• Deine Einstellungen (lokaler Speicher): deine Wahl zwischen Sommer und Winter, dein laufender Chat mit Toni (damit er da ist, wenn du zurückkommst) und ein Merker, dass der Hinweis auf Toni in dieser Sitzung schon erschienen ist. Das bleibt auf deinem Gerät und wird nicht an uns übertragen.
• Karte (lokaler Speicher): siehe Punkt l).

All das ist für die Funktionen erforderlich, die du aufrufst; eine Einwilligung ist dafür nicht nötig (§ 165 Abs. 3 TKG). Löschen kannst du es jederzeit über die Einstellungen deines Browsers.

j) Support- und Kontaktanfragen

Schreibst du uns über das Hilfe-Formular, verarbeiten wir deine E-Mail-Adresse, deinen Namen (falls angegeben), deine Nachricht und die gewählte Sprache, um zu antworten. Bist du angemeldet, ordnen wir die Anfrage deinem Konto zu, damit wir den Zusammenhang sehen. Die Anfrage wird bei uns gespeichert und zusätzlich per E-Mail an uns zugestellt. Rechtsgrundlage ist unser berechtigtes Interesse an der Beantwortung deiner Anfrage (Art. 6 Abs. 1 lit. f DSGVO), bei Anfragen zu einem Kauf die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Wir bewahren Anfragen so lange auf, wie es für die Bearbeitung und für Rückfragen nötig ist.

k) Online-Widerruf

Nutzt du das Online-Widerrufsformular, verarbeiten wir die angegebenen Daten (Name, E-Mail-Adresse, Vertrags-/Bestellkennung, ggf. Anschrift) zur Bearbeitung deines Widerrufs und für die gesetzlich vorgeschriebene Eingangsbestätigung. Rechtsgrundlage ist die Erfüllung einer rechtlichen Verpflichtung sowie die Vertragsabwicklung.

l) Karte

Die Karten kommen von Mapbox (auf Basis von OpenStreetMap). Beim Laden einer Karte legt Mapbox eine anonyme Kennung im lokalen Speicher deines Browsers ab und meldet den Kartenaufruf an Mapbox. Das dient der Nutzungsmessung, über die unser Kartenvertrag abgerechnet wird, nicht der Werbung und nicht der Wiedererkennung über andere Websites. Dabei wird auch deine IP-Adresse an Mapbox übermittelt (Sitz in den USA, siehe Punkt 6). Nutzt du die Standortanzeige, wertet dein Gerät den Standort aus; wir speichern ihn nicht.

m) Unsere Profile auf Instagram und TikTok

Wir betreiben Profile auf Instagram (Meta) und TikTok. Rufst du eines auf, verarbeiten diese Plattformen deine Daten nach ihren eigenen Bestimmungen, auf die wir keinen Einfluss haben. Für die Nutzungsstatistiken, die uns die Plattformen zu unseren Profilen bereitstellen, sind wir gemeinsam mit ihnen verantwortlich (Art. 26 DSGVO); wir sehen daraus nur zusammengefasste Zahlen, keine einzelnen Personen. Bestimmungen der Plattformen: Meta und TikTok. Rechtsgrundlage für unsere Präsenz ist unser berechtigtes Interesse an Öffentlichkeitsarbeit (Art. 6 Abs. 1 lit. f DSGVO).

n) Instagram-Beiträge auf unserer Seite

Auf der Startseite und unter „Über uns“ zeigen wir eine Auswahl unserer Instagram-Beiträge. Die Bilder dafür laden wir selbst in unseren Speicher in der EU und liefern sie von dort aus. Dein Browser nimmt dabei keine Verbindung zu Instagram oder Meta auf, es werden keine Cookies gesetzt und keine Daten über dich an Meta übertragen. Es gibt auch keinen automatischen Abruf bei Meta. Erst wenn du einen Beitrag antippst, wechselst du zu Instagram; wir geben dabei nicht mit, von welcher unserer Seiten du kommst.

4. Rechtsgrundlagen

• Vertrag (Art. 6 Abs. 1 lit. b DSGVO): Konto, gespeicherte Inhalte, Bereitstellung und Abwicklung von SalzGuide Pro.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Newsletter. Widerruf jederzeit mit Wirkung für die Zukunft möglich.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit und Missbrauchsabwehr (Turnstile, Rate-Limits), stabiler Betrieb, cookielose Reichweitenmessung, unsere Profile auf Instagram und TikTok samt Anzeige unserer eigenen Beiträge.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungs-/Buchhaltungsdaten (§ 132 BAO).

5. Empfänger & Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen – soweit erforderlich – Auftragsverarbeitungsverträge (Art. 28 DSGVO) bestehen:

• Supabase – Datenbank, Authentifizierung, Speicher (Hosting in der EU; Unternehmenssitz USA).
• Vercel – Hosting/Auslieferung der Anwendung (CDN), USA.
• Stripe – Zahlungsabwicklung, Irland/USA.
• Anthropic – KI-Assistent und KI-gestützte Inhalte, USA.
• Google – „Anmelden mit Google“ sowie Öffnungszeiten (Google Places), Irland/USA.
• Mapbox (mit OpenStreetMap) – Kartendarstellung (siehe Punkt 3l), USA.
• Cloudflare – Bot-Schutz (Turnstile), USA.
• ElevenLabs – Sprachausgabe der Audio-Touren (unsere Texte, keine Nutzerdaten), USA.
• Open-Meteo – Wetterdaten, Deutschland (es werden nur gerundete Koordinaten des jeweiligen Ortes übermittelt, keine personenbezogenen Daten).
• Resend bzw. Supabase-Mailversand – Versand von System-, Login-, Kauf- und Widerruf-Bestätigungs-E-Mails, USA.

6. Übermittlung in Drittländer

Einzelne Dienstleister haben ihren Sitz in den USA. Übermittlungen erfolgen nur bei geeigneten Garantien: entweder auf Basis eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework, sofern der Anbieter zertifiziert ist) oder gestützt auf Standardvertragsklauseln der EU-Kommission samt ergänzender Schutzmaßnahmen.

7. Speicherdauer

• Kontodaten: bis zur Löschung deines Kontos durch dich oder auf deine Anfrage.
• Anonyme KI-Auswertungen: ohne Personenbezug; Nutzungszähler der KI max. 90 Tage; gespeicherte Chat-Verläufe: bis du sie löschst, spätestens 24 Monate nach der letzten Aktivität.
• Reichweitenmessung: der Zufallswert nach spätestens 2 Tagen gelöscht, die Ereignisse danach ohne Personenbezug und nach rund 14 Monaten gelöscht.
• Zähler gegen Missbrauch: 1 Tag.
• Betriebs-Logbuch (Fehler, abgewiesene Zugriffe, Verwaltungsspur): 90 Tage.
• Support-Anfragen: solange die Bearbeitung und mögliche Rückfragen es erfordern.
• Rechnungs-/Zahlungsdaten: gesetzliche Aufbewahrungsfrist (i. d. R. 7 Jahre, § 132 BAO).

8. Deine Rechte

Dir stehen jederzeit folgende Rechte zu:

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17),
• Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Auskunft, Export und Löschung kannst du großteils selbst im Bereich „Deine Daten & Datenschutz“ in deinem Profil ausführen. Es besteht kein automatisiertes Entscheidungsverfahren mit rechtlicher Wirkung; der KI-Assistent liefert ausschließlich unverbindliche Informationen.

9. Beschwerderecht

Du hast das Recht auf Beschwerde bei einer Aufsichtsbehörde. In Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

10. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitungen ändern. Es gilt die jeweils hier veröffentlichte Fassung (Stand siehe oben).