Datenschutz

Tandu teilt Gruppenausgaben. Dafür braucht es ein paar Daten, aber nicht mehr als nötig. Hier steht, welche, wofür, wo sie liegen, wer sie bekommt und wie sie wieder verschwinden. Kurz vorab: kein Tracking, keine Analyse, keine Werbung, kein Verkauf von Daten.

Wer verantwortlich ist

Dominik Chwalisz
Donarstraße 17
14482 Potsdam
Deutschland
E-Mail: dom.chwalisz@gmail.com

Diese Erklärung gilt für die iPhone-App Tandu, ihre Widgets und Erweiterungen und die Web-Seiten unter tandu.life, die Freunde ohne App über einen Gruppen-Link öffnen. Die frühere Adresse tandu.zaunserv.de führt auf denselben Server.

Welche Daten es gibt und wofür

• Namen: Gruppenname, Namen der Mitglieder und Emojis dazu. Zweck: Die Gruppe anzeigen und rechnen. Du wählst sie selbst, es muss kein echter Name sein.
• Ausgaben: Beträge, Währungen, Titel, Notizen, Kategorien, Datum, Aufteilung, Positionen vom Bon und der Verlauf der Änderungen. Zweck: Salden und Rechenweg berechnen und für alle in der Gruppe zeigen.
• Bezahldaten: IBAN, Kontoinhaber, PayPal.me-Name, Wero-Link. Nur wenn du sie einträgst und für die Gruppe freigibst. Zweck: Die anderen können dir mit einem Tipp Geld schicken. Wer sie nicht eintragen will, lässt sie leer. Tandu führt selbst keine Zahlungen aus und hält nie Geld.
• Bonfotos: Nur wenn du ein Foto an eine Ausgabe hängst. Zweck: Beleg für die Gruppe. Ein Bon, den du nur scannst und nicht anhängst, bleibt auf deinem Gerät.
• Geräte-ID: Eine zufällige Kennung deines iPhones, dazu ein Geheimnis, von dem der Server nur einen Hash speichert. Dazu die Sprache der App. Zweck: Den Server wissen lassen, welches Gerät zu welcher Gruppe gehört, und Mitteilungen in deiner Sprache schicken. Es gibt keinen Benutzernamen und kein Passwort. Die Geräte-ID ist keine Werbe-ID und keine Kennung von Apple.
• Apple-Nutzer-ID: Nur wenn du dich mit Apple anmeldest. Tandu bekommt dabei eine stabile Kennung von Apple, keine E-Mail-Adresse. Dazu speichert Tandu ein Token von Apple, mit dem es beim Löschen deines Kontos deine Anmeldung bei Apple widerrufen kann. Zweck: Deine Gruppen auf mehreren Geräten und auf einem neuen iPhone wiederfinden.
• Push-Token: Die Adresse deines iPhones bei Apple für Mitteilungen, auch für Live-Aktivitäten. Zweck: Dich benachrichtigen, wenn in einer Gruppe etwas passiert. Wer Mitteilungen nicht erlaubt, hat keinen.
• Käufe: Tandu Pro und Reise-Pass. Der Server prüft die von Apple signierte Transaktion und speichert Produkt, Kaufdatum, Ablauf und bei einem Reise-Pass die Gruppe. Zahlungsdaten bekommt Tandu nie, die hat nur Apple. Dazu zählt der Server, wie viele Cloud-Scans du im Monat genutzt hast.
• Web-Link: Wer eine Gruppe im Browser öffnet, bekommt technisch notwendige Cookies, die den Browser wiedererkennen (damit „Das bin ich“ gilt), Formulare absichern und eine eingegebene PIN merken. Sie enthalten keine Angaben zur Person und gelten höchstens 400 Tage. Die Verbindung des Browsers zur Gruppe vergisst der Server nach 400 Tagen ohne Aufruf. Die IP-Adresse wird nur als gesalzener Hash für die Missbrauchsbremse genutzt und nach spätestens einem Tag gelöscht.
• Wechselkurse: Der Server holt täglich die Referenzkurse der Europäischen Zentralbank. Dabei gehen keine Personendaten an die EZB.

Du musst Tandu keine dieser Angaben machen. Ohne sie fehlen nur die Funktionen, die sie brauchen: ohne Namen keine Gruppe, ohne Bezahldaten kein Bezahl-Knopf, ohne Push-Token keine Mitteilungen.

Künstliche Intelligenz

Tandu nutzt KI an drei Stellen. Zwei davon laufen nur auf deinem iPhone:

• Bon auf dem Gerät auslesen: Die Texterkennung von Apple (Vision) liest den Bon direkt auf dem iPhone. Dabei verlässt nichts das Gerät.
• Schnelleingabe: Einen Satz wie „Lea hat 30 € fürs Kino bezahlt“ deutet das Sprachmodell von Apple auf dem Gerät (Apple Intelligence), wenn es auf deinem iPhone verfügbar ist. Auch dabei verlässt nichts das Gerät.
• Cloud-Scan („Genauer auslesen“): Nur auf Knopfdruck und erst nach deiner ausdrücklichen Einwilligung in der App. Dann gehen die Fotos dieses einen Bons (bis zu vier Seiten, verkleinert) und die Sprache der App über den Tandu-Server an Anthropic (Claude), ein Unternehmen für KI. Anthropic liest den Bon und schickt Händler, Datum, Summe und Positionen zurück. Namen, Beträge aus der Gruppe oder andere Fotos gehen nicht mit. Der Tandu-Server speichert das Bild dabei nicht.

Zum Cloud-Scan im Einzelnen:

• Empfänger: Für Kunden in der EU ist Vertragspartner Anthropic Ireland, Limited (Dublin, Irland). Verarbeitet werden die Daten von Anthropic, PBC in den USA und gegebenenfalls in weiteren Ländern, in denen Anthropic oder seine Unterauftragnehmer Rechenzentren betreiben.
• Grundlage: Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Für die Übermittlung in die USA gelten die Standardvertragsklauseln der EU-Kommission, die Teil des Auftragsverarbeitungsvertrags mit Anthropic sind (Art. 46 Abs. 2 lit. c DSGVO). In den USA können Behörden unter Umständen auf Daten zugreifen, ohne dass du davon erfährst oder dich wirksam dagegen wehren kannst. Darüber informiert dich die App, bevor du einwilligst.
• Kein Training: Anthropic darf die Bonfotos und Ergebnisse nach seinen Geschäftsbedingungen nicht zum Training von KI-Modellen verwenden.
• Speicherdauer bei Anthropic: Anthropic löscht Eingaben und Ergebnisse in der Regel innerhalb von 30 Tagen. Nur Inhalte, die Anthropic als Verstoß gegen seine Nutzungsrichtlinien einstuft, kann es länger aufbewahren (bis zu zwei Jahre).
• Was auf einem Bon stehen kann: Neben Artikeln und Preisen manchmal auch der Name des Geschäfts, der Name einer Bedienung, die letzten Ziffern einer Karte oder eine Kundennummer. Wenn dich das stört, nutze das Auslesen auf dem Gerät oder deck die Stelle beim Fotografieren ab.
• Ergebnisse prüfen: KI kann sich verlesen. Tandu zeigt das Ergebnis zum Prüfen an, bevor etwas gespeichert wird, und sagt, wenn die Summe der Positionen nicht zum Bon passt. Es gibt keine automatisierte Entscheidung, die dir gegenüber rechtliche Wirkung hat (Art. 22 DSGVO), und kein Profiling.
• Widerruf: Jederzeit in der App unter Einstellungen. Danach geht kein Foto mehr an Anthropic, das Auslesen auf dem Gerät geht weiter. Was vor dem Widerruf geschehen ist, bleibt rechtmäßig.

Server-Protokolle

Der Webserver des Hosters schreibt, wie bei jedem Webserver üblich, ein Zugriffsprotokoll: IP-Adresse, Zeitpunkt und aufgerufene Adresse. Die aufgerufene Adresse kann bei einem Web-Link das geheime Gruppen-Token oder den Beitritts-Code enthalten. Diese Protokolle bleiben 30 Tage gespeichert und dienen dem Betrieb und der Sicherheit des Servers (Art. 6 Abs. 1 lit. f DSGVO). Tandu selbst schreibt keine Inhalte und keine IP-Adressen ins Protokoll.

Wo die Daten liegen

Geteilte Gruppen liegen immer auf dem Tandu-Server, denn der Link braucht sie dort. Gruppen, die du nicht teilst, bleiben auf deinem iPhone. Bist du mit Apple angemeldet, legt Tandu sie zusätzlich als Backup unter deinem Konto ab, ohne Link und nur für deine eigenen Geräte.

Der Server steht in der EU, auch wenn du Tandu außerhalb der EU nutzt. Die Verbindung ist mit TLS verschlüsselt. Auf dem Server liegen die Daten im Klartext, damit der Web-Link funktioniert. Zugriff hat nur, wer zur Gruppe gehört oder den Link hat. Der Betreiber liest Inhalte nicht aus und wertet sie nicht aus. Inhalte schreibt der Server nicht ins Protokoll.

An wen Daten gehen

• Andere in deiner Gruppe: Wer zur Gruppe gehört oder den Link hat, sieht die Gruppe, auch Namen, Ausgaben, Bonfotos und freigegebene Bezahldaten. Teil den Link deshalb nur mit Leuten, die dazugehören. Als Verwalter kannst du eine PIN setzen und den Link jederzeit erneuern.
• Hoster: Der Server läuft bei einem Hosting-Anbieter in der EU. Mit ihm besteht ein Auftragsverarbeitungsvertrag.
• Anthropic: Nur beim Cloud-Scan und nur nach deiner Einwilligung, siehe „Künstliche Intelligenz“.
• Apple: Für die Anmeldung mit Apple, für Käufe und für Mitteilungen. Mitteilungen und Live-Aktivitäten laufen über den Push-Dienst von Apple (APNs). Dabei gehen Name, Titel und Betrag der Änderung, über die Tandu dich informiert, an Apple, das sie an dein iPhone zustellt. Für all das gelten zusätzlich die Datenschutzbestimmungen von Apple. Apple ist dafür selbst verantwortlich.
• Europäische Zentralbank: Nur der Kursabruf durch den Server, ohne Personendaten.
• Behörden: Nur, wenn ein Gesetz es verlangt.

Sonst geht nichts raus. Es gibt keine Analyse-Dienste, kein Tracking, keine Werbung und keine Weitergabe zu Werbezwecken. Daten werden nicht verkauft.

Rechtsgrundlagen

• Die Verarbeitung ist nötig, damit die App tut, was du von ihr willst (Art. 6 Abs. 1 lit. b DSGVO): Gruppen, Ausgaben, Sync, Backup, Mitteilungen, Käufe.
• Der Cloud-Scan beruht auf deiner Einwilligung (lit. a), ebenso Mitteilungen, die iOS vorher abfragt.
• Die Missbrauchsbremse und die Server-Protokolle beruhen auf dem berechtigten Interesse, den Server vor Überlastung und Angriffen zu schützen (lit. f).
• Die Cookies der Web-Seiten sind technisch notwendig, damit die Seite tut, was du willst (§ 25 Abs. 2 Nr. 2 TDDDG). Sie brauchen keine Einwilligung.

Wie lange Daten bleiben

• Gruppen und Ausgaben: Solange die Gruppe besteht.
• Papierkorb: Gelöschte Ausgaben liegen 30 Tage im Papierkorb. Danach entfernt der Server ihre Angaben (Titel, Beträge, Notizen, Aufteilung) und ihre Belegfotos, übrig bleibt nur der Vermerk, dass es sie gab. Der Verlauf der Gruppe, der Änderungen festhält, bleibt bis zum Löschen der Gruppe.
• Mitglied entfernen: Entfernt der Verwalter ein Mitglied endgültig, verlieren die Geräte dieses Mitglieds sofort den Zugang zur Gruppe.
• Gruppe löschen: Der Verwalter kann eine Gruppe für alle löschen. Ihre Daten und Bonfotos sind dann sofort vom Server entfernt.
• Konto löschen: In der App unter Einstellungen, Konto und Sync. Das entfernt deine Backups auf dem Server und die Verknüpfung mit Apple. Geteilte Gruppen laufen für die anderen weiter. Die Geräte-ID mit Push-Token und Sprache bleibt gespeichert, damit geteilte Gruppen auf deinem iPhone weiterlaufen. Sie lässt sich keiner Person zuordnen. Sollen sie auch weg, schreib an die E-Mail-Adresse oben.
• App löschen: Was nur auf deinem iPhone liegt, ist mit der App weg.
• Alles andere: Schreib an die E-Mail-Adresse oben, dann kümmern wir uns darum.

Sicherheit

Die Verbindung zum Server ist verschlüsselt. Geräte melden sich mit einem zufälligen Geheimnis an, von dem der Server nur einen Hash kennt. Gruppen-Links sind lang und zufällig, Beitritts-Codes und PINs sind gegen Raten begrenzt. Fremde Geräte kommen nicht an Gruppen, in denen sie nicht sind. Ein Restrisiko bleibt bei jedem Dienst im Internet. Merkst du etwas, das nach einer Sicherheitslücke aussieht, schreib an die E-Mail-Adresse oben.

Kinder

Tandu richtet sich nicht an Kinder. Wer jünger als 16 Jahre ist, braucht für den Cloud-Scan die Zustimmung der Eltern. Wir sammeln wissentlich keine Daten von Kindern unter 13 Jahren. Erfahren wir davon, löschen wir sie.

Nutzung außerhalb der EU

Tandu gibt es weltweit. Egal, wo du bist: Die Daten liegen auf dem Server in der EU, und es gilt diese Erklärung mit den Rechten der DSGVO. Für Menschen in Kalifornien und anderen US-Bundesstaaten mit eigenen Datenschutzgesetzen: Tandu verkauft keine personenbezogenen Daten, teilt sie nicht für personalisierte Werbung und nutzt keine sensiblen Daten für Schlüsse über dich. Für Menschen im Vereinigten Königreich und in der Schweiz gelten die dortigen Regeln entsprechend, für den Cloud-Scan mit den britischen und schweizerischen Zusätzen zu den Standardvertragsklauseln.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Viele Daten kannst du direkt in der App ändern, exportieren (PDF, CSV) und löschen. Für alles andere genügt eine E-Mail an die Adresse oben.

Widerspruchsrecht: Wo wir Daten auf Grund eines berechtigten Interesses verarbeiten (Missbrauchsbremse, Server-Protokolle), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Widerruf: Eine Einwilligung (Cloud-Scan, Mitteilungen) kannst du jederzeit mit Wirkung für die Zukunft widerrufen, in der App oder in den iOS-Einstellungen.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der deines Wohnorts oder bei der für uns zuständigen: Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow, lda.brandenburg.de.

Änderungen

Ändert sich etwas an Tandu, das den Datenschutz betrifft, passen wir diese Erklärung an. Die aktuelle Fassung steht immer hier und ist in der App unter Einstellungen verlinkt. Für neue Zwecke fragen wir vorher, wenn das nötig ist.

Stand: November 2026