Wie TCG-GPT Daten und Zugänge schützt

Was mit Foto und Daten passiert

Ein Foto wird im Arbeitsspeicher auf Inhalt und Größe geprüft, gedreht, auf höchstens 1.280 Pixel verkleinert und ohne EXIF- oder GPS-Daten neu als JPEG erzeugt. Nur diese normalisierte Fassung geht zur Erkennung an den KI-Anbieter deines Tarifs (Pro: Nebius, Demo und Free: Google Gemini). Es wird keine Fotodatei gespeichert; nach Abschluss werden die Binärpuffer überschrieben. Gespeichert bleiben die Erklärung, Nachrichten sowie Hash und Bildmaße, bis du Verlauf oder Konto löschst.

Pro und Admin laufen über Nebius in der EU. Die anonyme Demo und Free-Konten laufen über Google Gemini im kostenlosen Tarif; Google darf diese Eingaben zur Verbesserung seiner Modelle nutzen, deshalb nie für Pro. Die Suche im Regelindex (Embeddings) läuft immer über Nebius. Fotos und Kontodaten gehen nicht an Kartenhersteller; Kartenadapter erhalten nur die für die Suche nötigen Kartendaten. Die formale Bestätigung von Region, Auftragsverarbeitung und Aufbewahrungsbedingungen ist noch offen.

Für Pro-Zahlungen wirst du zu Stripe weitergeleitet. TCG-GPT übergibt deine E-Mail-Adresse und die gewählte Preis-ID. Zahlungsdaten gibst du direkt bei Stripe ein; TCG-GPT speichert nur Kunden-, Abonnement- und Laufzeit-ID.

Die Demo auf der Startseite funktioniert ohne Konto. Sie erlaubt drei Läufe am Tag je IP-Adresse; dafür speichern wir nur einen täglich wechselnden, mit einem Server-Schlüssel gebildeten Hash der IP, nie die Adresse selbst. Das Foto wird wie in der App nur im Arbeitsspeicher verarbeitet und danach überschrieben. Das Ergebnis liegt bis zu 30 Tage unter einer zufälligen Kennung im Cookie anon_id und zieht beim Registrieren in dein Konto um; sonst wird es gelöscht.

Für den Vergleich zweier Startseiten zählt TCG-GPT selbst mit, ohne Drittanbieter: Variante (Cookie lv), Ereignis wie Aufruf, Demo gestartet, Scrolltiefe oder Klick auf Registrieren, die zufällige Kennung und die Seite. Keine IP-Adresse, kein Browser-Kennzeichen. Freiwilliges Feedback speichert Bewertung und höchstens 300 Zeichen Text.

Was am 22.09.2026 geprüft wurde

• Passwort-Hashing, Sessions, Cookie-Flags, Login-Limits sowie Ablauf und Einmaligkeit von Links.
• CSRF für normale, HTMX- und Multipart-POSTs sowie Rate-Limits nach IP und Konto.
• Dateityp, Inhaltsprüfung, Größenlimit, Metadatenentfernung und Foto-Lifecycle ohne temporäre Datei.
• Prompt-Injection-Grenzen, harte JSON-Schemata und erlaubte externe Linkziele.
• EJS-Escaping, SSRF, vorbereitete SQL-Statements und Fehlerseiten ohne Stacktrace.
• Security-Header, Secrets, Logs, Dateirechte und Production-Abhängigkeiten.
• Kaskadierende Löschung von Konto, Sitzungen, Verlauf, Nachrichten, Nutzung und Warteliste.

Was noch offen ist

• Nebius-Region, AVV und Aufbewahrungsbedingungen müssen vor Production vertraglich bestätigt werden. Die Nutzung des kostenlosen Gemini-Tarifs für Demo und Free (Datenübermittlung in die USA, Trainingsnutzung) ist in Datenschutzerklärung und Einwilligung juristisch noch zu prüfen.
• Rate-Limits liegen im einzelnen App-Prozess; vor horizontaler Skalierung brauchen sie einen gemeinsamen Store.
• Verfügbare Major-Upgrades werden separat getestet; der Production-Audit meldete am Prüftag keine bekannte Lücke.
• Ob das Cookie für die Seitenvariante ohne Einwilligung gesetzt werden darf (§ 25 TDDDG), ist juristisch noch zu prüfen.

Schwachstelle melden

Bitte sende Sicherheitsmeldungen mit reproduzierbaren Schritten an hello@loeser.solutions

Zuletzt geprüft 22.09.2026