Zum Inhalt springen
Zurück zur Startseite

Datenschutzerklärung

Zuletzt aktualisiert:

Wir sind die Entwickler von TabMates, einer App zum Teilen gemeinsamer Ausgaben mit Freundinnen und Freunden, Mitbewohnenden und Reisegruppen. Diese Erklärung beschreibt, welche personenbezogenen Daten die App verarbeitet, warum, und welche Wahlmöglichkeiten Sie haben. Die Abschnitte 12 und 13 behandeln speziell diese Website (tabmates.de) und die Web-App (app.tabmates.de).

Anders als eine rein offline arbeitende App nutzt TabMates einen Backend-Server, damit die Mitglieder einer Gruppe Gruppen und Ausgaben teilen und geräteübergreifend synchron halten können. Ein Teil der von Ihnen eingegebenen Daten wird deshalb an den TabMates-Server übertragen und dort gespeichert. Was das konkret bedeutet, beschreibt diese Erklärung.

1. Welche Daten wir erheben

Wir erheben nur, was für den Betrieb der App erforderlich ist. Wir erheben keine Daten für Werbung, Profilbildung oder Verkauf.

Kontodaten

  • E-Mail-Adresse — nur bei registrierten Konten. Sie dient der Anmeldung, der Verifizierung Ihres Kontos und der Passwortwiederherstellung.
  • Benutzername — der Anzeigename, den andere Mitglieder Ihrer Gruppen sehen.
  • Passwort — auf dem Server ausschließlich gehasht und gesalzen gespeichert. Wir speichern Ihr Passwort niemals im Klartext und haben keinen Zugriff darauf.
  • Kontotyp und -status — ob es sich um ein registriertes Konto oder ein Gastkonto handelt, der Status der E-Mail-Verifizierung und eine interne Benutzer-ID.

Wenn Sie als Gast fortfahren (anonymes Konto), geben Sie lediglich einen Benutzernamen an — eine E-Mail-Adresse wird nicht erhoben.

Von Ihnen erstellte Inhalte

  • Gruppen — Gruppennamen, optionale Beschreibungen, Gruppenmitgliedschaften sowie Einladungslinks bzw. -tokens, die Sie erstellen oder zum Beitritt nutzen.
  • Ausgaben — die von Ihnen erfassten Ausgaben, Einnahmen und Ausgleichszahlungen: Titel, Beschreibungen, Beträge, Währungen, wer bezahlt hat, wie ein Eintrag auf die Mitglieder aufgeteilt wird, und die zugehörigen Zeitstempel.

Diese Inhalte werden bauartbedingt mit den anderen Mitgliedern Ihrer Gruppen geteilt — genau das ist der Zweck der App.

Geräte- und technische Daten

  • Push-Token — ein Firebase-Cloud-Messaging-Token (FCM), über das Benachrichtigungen an Ihr Gerät zugestellt werden.
  • Geräteplattform (z. B. Android, iOS, Desktop, Web), Sprache/Locale der App und App-Version — zur Zustellung lokalisierter Benachrichtigungen und zur Prüfung, ob ein Update verfügbar ist.
  • Server-Logs — übliche Anfrageinformationen (etwa IP-Adresse und Anfrage-Metadaten), die jeder Webserver zum sicheren Betrieb des Dienstes protokolliert.

2. Wie wir Ihre Daten verwenden

Wir verwenden die oben genannten Daten ausschließlich, um:

  • den Kerndienst bereitzustellen — Gruppen und Ausgaben anzulegen und zu synchronisieren, Salden und Schulden zu berechnen und Änderungen in Echtzeit zwischen den Mitgliedern zu verteilen;
  • Sie zu authentifizieren und Ihr Konto abzusichern;
  • Ihnen transaktionale E-Mails zu senden — Kontoverifizierung und Passwort-Zurücksetzung. Das sind keine Werbe-E-Mails;
  • Push-Benachrichtigungen über Aktivitäten in Ihren Gruppen zuzustellen;
  • zu prüfen, ob eine neuere Version der App verfügbar ist;
  • den Dienst sicher zu halten, Missbrauch zu verhindern und Probleme zu diagnostizieren.

Wir nutzen Ihre Daten nicht für Werbung, wir erstellen keine Profile über Sie, und wir verkaufen oder vermieten Ihre Daten an niemanden.

3. Rechtsgrundlagen der Verarbeitung (DSGVO)

Wenn Sie sich im Europäischen Wirtschaftsraum befinden, verarbeiten wir Ihre Daten auf folgenden Rechtsgrundlagen:

  • Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Betrieb Ihres Kontos und Bereitstellung des von Ihnen gewünschten Dienstes zum Teilen von Ausgaben.
  • Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) — Absicherung des Dienstes, Missbrauchsprävention sowie Wartung und Verbesserung der Zuverlässigkeit.
  • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — für Push-Benachrichtigungen, um die Ihr Gerät (z. B. Android 13+ und iOS) Sie bittet. Sie können sie jederzeit in den Geräteeinstellungen widerrufen.

4. Dienste Dritter

Die App selbst enthält keine Analyse-, Absturzberichts-, Werbe- oder Drittanbieter-Anmeldefunktionen. Für den Betrieb greift der Dienst auf eine kleine Zahl von Anbietern („Auftragsverarbeiter“) zurück:

  • Firebase Cloud Messaging (Google) — stellt Push-Benachrichtigungen zu. Google erhält Ihr Geräte-Push-Token und den Inhalt der Benachrichtigung. Firebase Analytics ist in der App ausdrücklich deaktiviert. In der Web-App wird der Firebase-Code zusätzlich bei jedem Seitenaufruf von Googles Servern geladen; siehe Abschnitt 13. Siehe die Datenschutzerklärung von Google.
  • Infomaniak — E-Mail-Dienstleister für transaktionale E-Mails (Verifizierung und Passwort-Zurücksetzung). Der Anbieter erhält die Empfängeradresse und den zur Zustellung nötigen Nachrichteninhalt. Infomaniak hat seinen Sitz in der Schweiz. Siehe die Datenschutzerklärung von Infomaniak.
  • Cloudflare — die Web-App nutzt Turnstile, eine unsichtbare Bot-Erkennung, auf den Seiten für Registrierung, Anmeldung und Passwort-Zurücksetzung. Cloudflare erhält Ihre IP-Adresse, Ihren User-Agent und technische Browser-Signale, um echte Personen von automatisiertem Missbrauch zu unterscheiden. Dies betrifft ausschließlich die Web-App; siehe Abschnitt 13. Siehe die Datenschutzerklärung von Cloudflare.
  • Hosting — das TabMates-Backend, auf dem Ihr Konto sowie Ihre Gruppen und Ausgaben gespeichert sind, läuft auf eigenen Servern in der Europäischen Union (Deutschland). Die Web-App und diese Website sind davon getrennt: Sie bestehen aus statischen Programm- und Seitendateien, die über GitHub Pages ausgeliefert werden; Kontodaten laufen nicht über sie. Siehe die Abschnitte 12 und 13.
  • App-Stores / Google-Play-In-App-Updates — wenn Sie die App über Google Play oder einen anderen Store installiert haben, erhebt dieser Store Daten wie Ihre Kontoinformationen und Ihren Download-Verlauf nach seiner eigenen Datenschutzerklärung. Unter Android fragt die In-App-Update-Funktion bei Google Play die aktuellste Version ab. Siehe Google Play.
  • GitHub — wenn Sie mit dem Quellcode oder den Issues des Projekts auf GitHub interagieren, gelten dort die Datenschutzpraktiken von GitHub. GitHub hostet außerdem diese Website und die Web-App; siehe die Abschnitte 12 und 13.

5. Speicherung und Sicherheit

  • Bei der Übertragung: die gesamte Kommunikation mit dem Server läuft über verschlüsselte HTTPS-/WSS-Verbindungen.
  • Auf Ihrem Gerät: Authentifizierungs-Token liegen im sicheren Speicher des Betriebssystems (Android Keystore / iOS Keychain). Ihre Gruppen und Ausgaben werden zusätzlich lokal zwischengespeichert, damit die App offline funktioniert.
  • Im Browser: der Web-App steht kein Schlüsselspeicher des Betriebssystems zur Verfügung. Sie hält Ihre Sitzung daher in verschlüsseltem Browser-Speicher und Ihre Offline-Kopie der Gruppen und Ausgaben in einer lokalen Browser-Datenbank. Abschnitt 13 beschreibt genau, was gespeichert wird und wie Sie es löschen.
  • Auf dem Server: Ihre Daten liegen auf Servern in der EU; Passwörter werden gehasht und gesalzen gespeichert.
  • Wir empfehlen, die Bildschirmsperre Ihres Geräts (PIN, Fingerabdruck oder Gesichtserkennung) zu aktivieren, um die lokal zwischengespeicherten Daten zu schützen.

6. Speicherdauer und Löschung

  • Ihr Konto und die von Ihnen erstellten Inhalte bleiben gespeichert, solange Ihr Konto aktiv ist.
  • Das Deinstallieren der App entfernt den lokalen Zwischenspeicher von Ihrem Gerät, löscht Ihre Daten aber nicht vom Server.
  • Sie können Ihr Konto jederzeit selbst löschen, unter Profil → Konto löschen — in der App oder in der Web-App unter app.tabmates.de. Das Konto und die oben genannten personenbezogenen Daten werden sofort gelöscht. Eine Schritt-für-Schritt-Anleitung finden Sie auf der Seite Konto löschen.
  • Verschlüsselte Backups werden innerhalb von 90 Tagen gelöscht.
  • Beachten Sie, dass Ausgaben, die Sie einer geteilten Gruppe hinzugefügt haben, aufbewahrt oder anonymisiert werden, damit den übrigen Mitgliedern eine konsistente Aufstellung der gemeinsamen Ausgaben erhalten bleibt.
  • Soweit wir gesetzlich zur Aufbewahrung bestimmter Unterlagen verpflichtet sind, bewahren wir diese für die gesetzlich vorgeschriebene Dauer auf und löschen sie anschließend.

7. Ihre Rechte (DSGVO)

Je nach Ihrem Aufenthaltsort haben Sie das Recht auf:

  • Auskunft über die von uns über Sie gespeicherten personenbezogenen Daten;
  • Berichtigung unrichtiger Daten (vieles davon können Sie direkt in der App ändern);
  • Löschung Ihrer Daten („Recht auf Vergessenwerden“);
  • Datenübertragbarkeit zu einem anderen Dienst;
  • Einschränkung der Verarbeitung oder Widerspruch gegen bestimmte Verarbeitungen;
  • Beschwerde bei Ihrer zuständigen Datenschutz-Aufsichtsbehörde.

Zur Ausübung dieser Rechte kontaktieren Sie uns über den in Abschnitt 11 genannten Weg.

8. Datenschutz von Kindern

TabMates richtet sich nicht an Kinder unter 16 Jahren, und wir erheben wissentlich keine personenbezogenen Daten von ihnen. Wenn Sie glauben, dass ein Kind personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte, damit wir sie löschen können.

9. Internationale Nutzung

Das TabMates-Backend wird in der Europäischen Union (Deutschland) gehostet; dort sind Ihr Konto sowie Ihre Gruppen und Ausgaben gespeichert. Wenn Sie die App von außerhalb der EU nutzen, werden diese Daten weiterhin auf den EU-Servern verarbeitet.

Einige der in Abschnitt 4 genannten Anbieter haben ihren Sitz außerhalb der EU. Übermittlungen an Google (Firebase Cloud Messaging) und Cloudflare (Turnstile) in den USA sowie an GitHub, Inc. als Hoster der Web-App und dieser Website erfolgen auf Grundlage des EU-US Data Privacy Framework und, soweit einschlägig, der Standardvertragsklauseln der Europäischen Kommission (Art. 45 und Art. 46 DSGVO). Infomaniak hat seinen Sitz in der Schweiz, für die ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt.

10. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden hier mit einem aktualisierten Datum unter „Zuletzt aktualisiert“ kenntlich gemacht. Wir empfehlen, diese Erklärung gelegentlich in der App oder im offiziellen Projekt-Repository zu prüfen.

11. Kontakt

Bei Fragen zu dieser Erklärung oder zur Ausübung Ihrer Datenschutzrechte erreichen Sie uns über das offizielle GitHub-Repository: github.com/TabMates/app. Die postalischen Kontaktdaten finden Sie im Impressum.

12. Diese Website

Dieser Abschnitt gilt für tabmates.de, die Informations-Website, die Sie gerade lesen. Sie ist von der TabMates-App und von der Web-App unter app.tabmates.de getrennt zu betrachten — die Web-App behandelt Abschnitt 13, und ihr Datenschutzprofil unterscheidet sich von dem dieser Website.

  • Keine Cookies. Diese Website setzt keinerlei Cookies. Das Einzige, was in Ihrem Browser gespeichert wird, ist Ihre Einstellung für helles oder dunkles Design — in localStorage auf Ihrem eigenen Gerät, ohne jede Übertragung.
  • Keine Analyse, keine Anfragen an Dritte. Es gibt keine Analyse-Skripte, keine Tag-Manager, keine Werbe-Pixel und keine eingebetteten Widgets Dritter. Schriften und sämtliche weiteren Ressourcen werden von dieser Domain ausgeliefert; das Laden einer Seite kontaktiert daher keinen anderen Server als den ausliefernden.
  • Hosting und Server-Logs. Die Website besteht aus statischen Dateien, die von GitHub Pages (GitHub, Inc.) gehostet werden. Als Hosting-Anbieter verarbeitet GitHub übliche Server-Log-Daten — darunter Ihre IP-Adresse, die aufgerufene Seite und Ihren User-Agent — um die Website auszuliefern und vor Missbrauch zu schützen. Dies ist für den Betrieb der Website erforderlich (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer sicheren und funktionsfähigen Website). Siehe die GitHub-Datenschutzerklärung.
  • Ausgehende Links. Links zur Web-App, zu Google Play und zu GitHub führen zu Diensten mit eigenen Datenschutzerklärungen, wie in Abschnitt 4 beschrieben.

13. Die Web-App

Dieser Abschnitt gilt für die Browser-Version von TabMates unter app.tabmates.de, die Sie auch als App auf Ihrem Gerät installieren können. Es handelt sich um denselben TabMates-Dienst wie bei der mobilen App — die Abschnitte 1 bis 11 gelten vollständig —, doch der Betrieb im Browser bringt einige Besonderheiten mit sich, die es bei der mobilen App nicht gibt.

Hosting. Die Web-App besteht aus statischen Dateien — dem Programm selbst —, die von GitHub Pages (GitHub, Inc.) gehostet werden. Als Hosting-Anbieter verarbeitet GitHub übliche Server-Log-Daten, darunter Ihre IP-Adresse, die angeforderte Datei und Ihren User-Agent, um diese Dateien auszuliefern und den Dienst vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem sicheren und funktionsfähigen Dienst). Siehe die GitHub-Datenschutzerklärung.

Auf diesem Weg wird ausschließlich das Programm ausgeliefert. Ihr Konto, Ihre Gruppen und Ihre Ausgaben laufen nicht über GitHub. Sobald die Web-App geladen ist, kommuniziert sie direkt mit dem TabMates-Backend in Deutschland über verschlüsselte HTTPS- und WSS-Verbindungen — genau wie die mobile App.

Anfragen an Dritte. Anders als die Informations-Website unter tabmates.de kontaktiert die Web-App für ihren Betrieb eine kleine Zahl von Dritten:

  • Google (www.gstatic.com) — die Web-App lädt den Firebase-JavaScript-Code bei jedem Seitenaufruf von Googles Servern, damit Push-Benachrichtigungen zur Verfügung stehen. Google erhält dabei Ihre IP-Adresse und Ihren User-Agent. Die automatische Datenerhebung von Firebase ist ausdrücklich abgeschaltet.
  • Firebase Cloud Messaging (Google) — nur wenn Sie Benachrichtigungen aktivieren, kontaktiert dieser Code firebaseinstallations.googleapis.com und fcmregistrations.googleapis.com, um eine Browser-Installationskennung und ein Web-Push-Token zu erzeugen. Das ist das Browser-Äquivalent des in Abschnitt 1 beschriebenen Push-Tokens.
  • Cloudflare Turnstile (challenges.cloudflare.com) — eine unsichtbare Bot-Erkennung auf den Seiten für Registrierung, Anmeldung und Passwort-Zurücksetzung. Cloudflare erhält Ihre IP-Adresse, Ihren User-Agent und technische Browser-Signale, um echte Personen von automatisiertem Missbrauch dieser Seiten zu unterscheiden (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Schutz der Konten). Turnstile ist eine Bot-Erkennung, keine Analyse und keine Werbung, und wird nicht zur website-übergreifenden Nachverfolgung eingesetzt.

Die Web-App enthält keine Analyse-Skripte, keine Tag-Manager, keine Werbe-Pixel und keine Anmeldedienste Dritter.

Was die Web-App in Ihrem Browser speichert. Die Web-App setzt keine Cookies. Alles Folgende wird auf Ihrem eigenen Gerät gespeichert, ist für den Betrieb der App erforderlich und wird nicht übertragen, außer wie in dieser Erklärung bereits beschrieben:

  • Ihre Sitzung — Ihre E-Mail-Adresse, Ihr Benutzername, Ihre Benutzer-ID und Ihre Anmelde-Token, verschlüsselt im localStorage, damit Sie zwischen Besuchen angemeldet bleiben.
  • Ihre Einstellungen — Design, Sprache, Benachrichtigungseinstellung sowie Marker zum Synchronisationsstand Ihres Geräts, im localStorage.
  • Eine Offline-Kopie Ihrer Daten — Ihre Gruppen, Ihre Ausgaben, die Benutzernamen der übrigen Mitglieder und der Aktivitätsverlauf, in einer lokalen Datenbank im Origin Private File System Ihres Browsers, damit die Web-App offline ebenso funktioniert wie die mobile App.
  • Die Programmdateien — von einem Service Worker zwischengespeichert, damit sich die App auch ohne Verbindung öffnen lässt.

Löschen. Beim Abmelden werden Ihre Sitzung und Ihre lokale Datenkopie entfernt. Das Löschen der Website-Daten in Ihren Browser-Einstellungen entfernt alles oben Genannte. Beides betrifft nur das gerade genutzte Gerät — um Ihr Konto und die auf dem Server gespeicherten Daten zu löschen, nutzen Sie Profil → Konto löschen wie in Abschnitt 6 beschrieben.