Datenschutz

Tandu teilt Gruppenausgaben. Dafür braucht es ein paar Daten, aber nicht mehr als nötig. Hier steht, welche, wofür, wo sie liegen und wie sie wieder verschwinden. Kurz vorab: kein Tracking, keine Analyse, keine Werbung.

Wer verantwortlich ist

Dominik Chwalisz
Donarstraße 17
14482 Potsdam
E-Mail: dom.chwalisz@gmail.com

Welche Daten es gibt und wofür

• Namen: Gruppenname, Namen der Mitglieder und Emojis dazu. Zweck: Die Gruppe anzeigen und rechnen. Du wählst sie selbst, es muss kein echter Name sein.
• Ausgaben: Beträge, Währungen, Titel, Notizen, Aufteilung, Positionen vom Bon und der Verlauf der Änderungen. Zweck: Salden und Rechenweg berechnen und für alle in der Gruppe zeigen.
• Bezahldaten: IBAN, PayPal.me-Name, Wero. Nur wenn du sie einträgst und für die Gruppe freigibst. Zweck: Die anderen können dir mit einem Tipp Geld schicken. Wer sie nicht eintragen will, lässt sie leer.
• Bonfotos: Nur wenn du ein Foto an eine Ausgabe hängst. Zweck: Beleg für die Gruppe. Ein Bon, den du nur scannst und nicht anhängst, bleibt auf deinem Gerät.
• Geräte-ID: Eine zufällige Kennung deines iPhones, dazu ein Geheimnis, von dem der Server nur einen Hash speichert. Dazu die Sprache des Geräts. Zweck: Den Server wissen lassen, welches Gerät zu welcher Gruppe gehört, und Mitteilungen in deiner Sprache schicken. Es gibt keinen Benutzernamen und kein Passwort.
• Apple-Nutzer-ID: Nur wenn du dich mit Apple anmeldest. Tandu bekommt dabei eine stabile Kennung von Apple, keine E-Mail-Adresse. Dazu speichert Tandu ein Token von Apple, mit dem es beim Löschen deines Kontos deine Anmeldung bei Apple widerrufen kann. Zweck: Deine Gruppen auf mehreren Geräten und auf einem neuen iPhone wiederfinden.
• Push-Token: Die Adresse deines iPhones bei Apple für Mitteilungen, auch für Live-Aktivitäten. Zweck: Dich benachrichtigen, wenn in einer Gruppe etwas passiert. Wer Mitteilungen nicht erlaubt, hat keinen.
• Käufe: Tandu Pro und Reise-Pass. Der Server prüft die von Apple signierte Transaktion und speichert Produkt, Kaufdatum, Ablauf und bei einem Reise-Pass die Gruppe. Zahlungsdaten bekommt Tandu nie, die hat nur Apple. Dazu zählt der Server, wie viele Cloud-Scans du im Monat genutzt hast.
• Web-Link: Wer eine Gruppe im Browser öffnet, bekommt ein technisches Cookie, das den Browser wiedererkennt (damit „Das bin ich“ gilt). Es enthält keine Angaben zur Person und gilt bis zu 400 Tage. Die Verbindung des Browsers zur Gruppe vergisst der Server nach 400 Tagen ohne Aufruf. Die IP-Adresse wird nur als gesalzener Hash für die Missbrauchsbremse genutzt und nach spätestens einem Tag gelöscht.
• Wechselkurse: Der Server holt täglich die Referenzkurse der Europäischen Zentralbank. Dabei gehen keine Personendaten an die EZB.

Server-Protokolle

Der Webserver des Hosters schreibt, wie bei jedem Webserver üblich, ein Zugriffsprotokoll: IP-Adresse, Zeitpunkt und aufgerufene Adresse. Die aufgerufene Adresse kann bei einem Web-Link das geheime Gruppen-Token oder den Beitritts-Code enthalten. Diese Protokolle bleiben 30 Tage gespeichert und dienen dem Betrieb und der Sicherheit des Servers (Art. 6 Abs. 1 lit. f DSGVO). Tandu selbst schreibt keine Inhalte und keine IP-Adressen ins Protokoll.

Wo die Daten liegen

Geteilte Gruppen liegen immer auf dem Tandu-Server, denn der Link braucht sie dort. Gruppen, die du nicht teilst, bleiben auf deinem iPhone. Bist du mit Apple angemeldet, legt Tandu sie zusätzlich als Backup unter deinem Konto ab, ohne Link und nur für deine eigenen Geräte.

Der Server steht in der EU. Die Verbindung ist mit TLS verschlüsselt. Auf dem Server liegen die Daten im Klartext, damit der Web-Link funktioniert. Der Server liest sie nicht aus und wertet sie nicht aus. Inhalte schreibt er nicht ins Protokoll.

An wen Daten gehen

• Hoster: Der Server läuft bei einem Hosting-Anbieter in der EU. Mit ihm besteht ein Auftragsverarbeitungsvertrag.
• Anthropic: Nur beim Cloud-Scan („Genauer auslesen“) und nur nach deiner Einwilligung. Dann geht das Foto des Bons über den Tandu-Server an Anthropic (Claude), das den Bon liest. Der Tandu-Server speichert das Bild dabei nicht. Anthropic sitzt in den USA, die Übermittlung stützt sich auf deine Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit in den Einstellungen widerrufen. Ohne Einwilligung geht nie ein Bild an Anthropic, der Scan auf dem Gerät funktioniert trotzdem.
• Apple: Für die Anmeldung mit Apple, für Käufe und für Mitteilungen. Dafür gelten die Datenschutzbestimmungen von Apple.
• Europäische Zentralbank: Nur der Kursabruf durch den Server, ohne Personendaten.
• Andere in deiner Gruppe: Wer den Link hat, sieht die Gruppe, auch Namen, Ausgaben und freigegebene Bezahldaten.

Sonst geht nichts raus. Es gibt keine Analyse-Dienste, kein Tracking, keine Werbung und keine Weitergabe zu Werbezwecken.

Rechtsgrundlagen

Die Verarbeitung ist nötig, damit die App tut, was du von ihr willst (Art. 6 Abs. 1 lit. b DSGVO). Der Cloud-Scan beruht auf deiner Einwilligung (lit. a). Die Missbrauchsbremse beruht auf unserem Interesse, den Server vor Überlastung zu schützen (lit. f).

Löschen

• Papierkorb: Gelöschte Ausgaben liegen 30 Tage im Papierkorb. Danach entfernt der Server ihre Angaben (Titel, Beträge, Notizen, Aufteilung) und ihre Belegfotos, übrig bleibt nur der Vermerk, dass es sie gab. Der Verlauf der Gruppe, der Änderungen festhält, bleibt bis zum Löschen der Gruppe.
• Gruppe löschen: Der Verwalter kann eine Gruppe für alle löschen. Ihre Daten sind dann sofort vom Server entfernt.
• Konto löschen: In der App unter Einstellungen, Konto und Sync. Das entfernt deine Backups auf dem Server und die Verknüpfung mit Apple. Geteilte Gruppen laufen für die anderen weiter. Die Geräte-ID mit Push-Token und Sprache bleibt gespeichert, damit geteilte Gruppen auf deinem iPhone weiterlaufen. Sie lässt sich keiner Person zuordnen. Sollen sie auch weg, schreib an die E-Mail-Adresse oben.
• Alles andere: Schreib an die E-Mail-Adresse oben, dann kümmern wir uns darum.

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nach der DSGVO. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Behörde deines Bundeslandes.

Stand: November 2026