Datenschutz

1. Wer wir sind

Tendle (die "App", "wir") ist eine iPhone-App, die Eltern hilft, präsent bei ihrem kleinen Kind zu sein, sowie diese Website. Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO ist:

Nils Schiwora, handelnd unter Nils Schiwora Trading Services Ahornstr. 37 14547 Beelitz Deutschland

Bei Fragen zu dieser Erklärung oder zur Ausübung deiner Rechte schreib an support@tendle.me.

Für unsere Geschäftsanschrift in Brandenburg ist Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg) zuständige Aufsichtsbehörde. Du kannst dich jederzeit auch an die Behörde deines gewöhnlichen Aufenthalts wenden (Art. 77 DSGVO).

2. Was die App macht und wie sie mit Daten umgeht

Tendle ist lokal-first. Die App schlägt Spielideen für Kinder von 1 bis 5 Jahren vor und hält fest, wie lange ihr zusammen gespielt habt. Eine optionale Challenge zählt eure Spieltage. Ein Wochenplan mit Erinnerungen hilft dir, feste Zeiten zum Spielen einzuhalten. Nach dem Spielen kannst du eine optionale Erinnerung behalten: ein Foto, eine Notiz, einen Titel und eine Erinnerungsseite, die die App auf deinem Gerät gestaltet. Der optionale App-Schutz pausiert während des Spielens die Apps, die du ausgewählt hast — über Apples Family Controls (Bildschirmzeit).

Es gibt keine Benutzerkonten. Vollständige Spiel-Einträge, Erinnerungen, Fotos, dein Wochenplan und deine ausgewählten Apps bleiben auf deinem Gerät. Die begrenzten Nutzungs-, Einwilligungs- und Erinnerungsangaben für Mitteilungen, Analyse und Kauf-Support beschreiben wir unten, ebenso freiwilliges Feedback, Forschungsantworten, Gründer-Chat und Abonnements.

2.1 Lokale Speicherung und begrenzte Dienstdaten

Fotos sind freiwillig. Du kannst ein Foto mit der Kamera aufnehmen oder in der Fotoauswahl des Systems auswählen. Über die Fotoauswahl erhält die App nur das Foto, das du auswählst, und sieht den Rest deiner Mediathek nicht. Die App bewahrt Fotos und Erinnerungsseiten in ihrem eigenen privaten Container auf und analysiert sie nur auf deinem Gerät, zum Beispiel um das Motiv für die Erinnerungsseite freizustellen und Gesichter und Personen für das Layout zu finden. Die App identifiziert dabei keine Person auf einem Foto. Ein Foto oder eine Erinnerungsseite gelangt nur dann zu Apple Fotos oder in eine andere App, wenn du auf Exportieren oder Teilen tippst. Für den Export fordert Tendle nur Zugriff zum Hinzufügen an und kann deine Mediathek nicht ansehen. Wenn iCloud-Fotos aktiviert ist, kann Apple exportierte Kopien zwischen deinen Geräten synchronisieren. Tendle lädt Fotos, Notizen und Erinnerungsseiten nie auf eigene oder fremde Server hoch.

Wenn du eine frühere Version von Tendle genutzt hast, bleiben deine früheren Kinderzeit-Sitzungen, Fotos und deine Serie nach dem Update auf deinem Gerät. Bevor die neue Version sie zum ersten Mal öffnet, legt die App einmalig eine Sicherheitskopie der früheren Datenbank auf deinem Gerät an. „Daten löschen“ in den Einstellungen entfernt auch diese Kopie.

Der App-Schutz ist freiwillig. Er nutzt Family Controls (Bildschirmzeit), um die von dir ausgewählten Apps während des Spielens zu pausieren. Deine Auswahl wird durch undurchsichtige Betriebssystem-Token dargestellt; die App kann nicht erkennen, um welche Apps es sich handelt, und diese Auswahl verlässt dein Gerät nie.

2.2 Von Dienstleistern verarbeitete Daten

Wenn du in den Einstellungen Feedback sendest, überträgt die App die gewählte Kategorie, deine Nachricht, eine optionale Antwort-E-Mail, App-Version und Build-Nummer, Sprache und den aktuellen Abo-Status an unsere API. Cloudflare Workers und D1 speichern diese Angaben 90 Tage lang und löschen sie danach automatisch. Die E-Mail-Adresse wird nur für die Antwort auf dieses Feedback verwendet. Nach jedem Eingang schickt unser Server über den E-Mail-Dienst PurelyMail eine kurze Hinweis-E-Mail an das Postfach des Gründers. Der Hinweis enthält nur eine zufällige Eintrags-Kennung, die Kategorie, App-Version und Build-Nummer, die Sprache und den Abo-Status. Deine Nachricht und deine E-Mail-Adresse enthält er nie. Dasselbe gilt für Antworten in eigenen Worten aus den Forschungsfragen. Das RevenueCat Customer Center kann außerdem einen vordefinierten Kündigungsgrund erfassen; es fragt nicht nach einem freien Kündigungstext.

Freiwillige Forschungsfragen. Im Onboarding stellen wir einige freiwillige Fragen, zum Beispiel, was mit Tendle für dich leichter werden soll. Deine gewählten Antworten gehen als Ereignisse an PostHog und enthalten keinen Freitext. Wenn du zusätzlich etwas in eigenen Worten eintippst, sendet die App diesen Text mit den oben genannten Angaben an unseren Feedback-Dienst. Wir speichern dazu keinen Namen, keine E-Mail-Adresse und keine Gerätekennung, und wir antworten nicht darauf. Bitte schreib keine Namen oder andere persönliche Angaben in dieses Feld.

Kauf-Support. Ist diese Einstellung aktiviert, verknüpft unsere API deine Entscheidung (einschließlich Version und Quelle) über die RevenueCat-Nutzerkennung mit groben Tageszählern abgeschlossener Sitzungen und Premium-Aktionen sowie Kennzeichen für aktiven Zugang und Berechtigungsfehler. Damit beantworten wir Apples Rückerstattungsanfragen und beugen Rückerstattungsmissbrauch vor. Nur wenn du bei Apple eine Erstattung beantragst, senden wir Apple eine begrenzte Antwort zur Nutzung. Fotos, Notizen, Aktivitätstitel oder Zeitstempel einzelner Aktionen sind darin nicht enthalten. Tageszähler und Apple-Mitteilungen werden nach 730 Tagen gelöscht. Du kannst in den Einstellungen widersprechen, indem du Kauf-Support ausschaltest. Diese Entscheidung ist von Produktanalyse unabhängig und bleibt beim Löschen lokaler Daten erhalten.

Mitteilungen in App 2.0. Mit dem Aktivieren im Onboarding und der iOS-Erlaubnis werden Spielideen, Challenge-Mitteilungen, Angebote und Feedback-Einladungen eingeschaltet. Jede Kategorie kann auch ohne Abo in Einstellungen oder Hilfe geändert werden. Produktanalyse ist davon unabhängig. Gewählte Erinnerungen folgen deiner Uhrzeit auf dem iPhone.

Unser Cloudflare-Dienst verarbeitet Installations- und Push-Kennungen, die bestehende pseudonyme RevenueCat-Kennung, Kategorien, Sprache, Zeitzone, App-Version und bestätigten Abo-Status. Bei aktiven verhaltensbezogenen Kategorien kommen gerundete Nutzungs- und Abschlusszeiten, verschiedene Spieltage der letzten 30 Tage und der Challenge-Fortschritt hinzu. Grober Spielstatus und nächste Erinnerungszeiten verhindern Unterbrechungen, auch wenn nur Angebote aktiv sind. Namen, Fotos, Notizen, ausgewählte Apps, Aktivitätstitel und vollständige Spieleinträge werden dafür nicht hochgeladen. Kampagnenkennungen sind unabhängig von Analysekennungen.

Vor dem Versand werden die Voraussetzungen geprüft; lange inaktive zahlende Eltern erhalten keine freiwilligen Kampagnen. Wir speichern Entscheidungen, Annahmen durch den Push-Dienst und Öffnungen. Apple erhält Token und Text; eine Annahme beweist keine Anzeige oder gelesene Nachricht. Gerätezustände werden beim Ausschalten aller Kategorien oder beim Löschen lokaler Daten entfernt, sonst nach 90 Tagen ohne Abgleich. Versand- und Ereignisabgleichdaten verfallen nach 548 Tagen. Die Abo-Zuordnung bleibt, solange die Push-Registrierung oder aufbewahrte Versandhistorie besteht.

Um Benachrichtigungskampagnen zu vergleichen, erfasst unser Kampagnendienst geeignete Testgruppen, abgegebene Rückmeldungen und das Abschalten von Kategorien. Bei Personen, die einem Test zugeordnet sind, verknüpft er außerdem Käufe, Verlängerungen, Erstattungen und geschätzte Erlöse nach Store-Gebühren und Steuern über die bestehende Abrechnungskennung. Diese Kampagnenmessung ist von der Produktanalyse getrennt und erfolgt auch, wenn die PostHog-Einstellung ausgeschaltet ist. Keine Kampagnenkennung wird an PostHog gesendet. Messdaten werden höchstens 548 Tage aufbewahrt.

Frage nach einer Kündigung. Eine bestätigte freiwillige Kündigung kann nach 24 Stunden zu einer Feedback-Einladung führen, solange Zugang und Feedback-Kategorie aktiv sind. Vorheriges Feedback, wieder eingeschaltete Verlängerung, lange Inaktivität, Erstattungen, unbekannte Angaben und Häufigkeitsgrenzen können sie verhindern. Das Formular verlangt weder Abo noch Kauf. Notwendige Zahlungshinweise und angeforderte Support-Antworten folgen eigenen Serviceregeln.

An die Analyse gehen keine Fotos, Notizen, Titel, Dateipfade oder Erinnerungs-Referenzen. Produktanalyse nutzt Zähler, Zeitdauern, vorgegebene Antwortmöglichkeiten und Gerätekontext. Ereignisse, reduzierte Apple-Ads-Zuordnung und maskierte Sitzungswiedergaben werden einer pseudonymen, installationsbezogenen PostHog-Kennung und ihrem Profil zugeordnet. Wir fügen dort weder deinen Namen noch eine RevenueCat-Kennung hinzu. Für Apples Datenschutzangaben sind dies verknüpfte Daten, auch wenn kein Benutzerkonto erforderlich ist.

Produktnutzung und Abo-Ergebnisse. Solange Produkt-Analyse eingeschaltet ist, erstellt die App eine zufällige Messkennung für diese Installation. Sie fügt diese Kennung den Produktereignissen hinzu und sendet sie zusammen mit der bestehenden pseudonymen RevenueCat-App-Nutzerkennung an Tendles privaten Cloudflare-Dienst. Diese Zuordnung benötigt keine Mitteilungsberechtigung. So können wir Gruppen nach Onboarding-Antworten und Produktnutzung mit späteren bestätigten Abo-Ereignissen, etwa Verlängerungen und Erstattungen, vergleichen. Die Zuordnung bezieht sich auf eine Installation, nicht auf die überprüfte Identität einer Person. Frühere Nutzung vor der Zuordnung wird nicht nachträglich rekonstruiert.

Die RevenueCat-Kennung geht nicht an PostHog; die Messkennung geht nicht an RevenueCat. Zugriffsbeschränkte Berichte verbinden pseudonyme Gruppenzugehörigkeiten aus der Produktanalyse mit unseren privaten Abrechnungsdatensätzen und geben zusammengefasste Ergebnisse aus. Wir nutzen diese Zuordnung nicht für unternehmensübergreifende Werbung.

Das Ausschalten von Produkt-Analyse beendet die Erfassung neuer Produktereignisse und fordert die Löschung der privaten Zuordnung samt verknüpften Abrechnungsdatensätzen an. Ist die App offline, bleibt die Löschanfrage für die Übertragung bei verfügbarer Verbindung gespeichert. Auch das Löschen lokaler Daten beendet die Zuordnung. Bereits bei PostHog gespeicherte Ereignisse werden dadurch nicht automatisch gelöscht; Abschnitt 7 beschreibt die Anfrage dafür. Minimale Sperrvermerke ohne Abo-Kennung oder Abrechnungsdatensätze verhindern, dass verspätete Übertragungen eine gelöschte Zuordnung erneut anlegen.

2.3 Optionaler Chat mit dem Gründer

Wenn du ein Gespräch startest, speichern wir deine Nachrichten, einen freiwillig angegebenen eigenen Namen und eine zufällige Installationskennung. Hinzu kommen Sprache, Zeitzone, App-/Build-Version und das ungefähre Land aus der Netzwerkverbindung mit Erfassungsdatum. Reisen oder VPNs können das Land beeinflussen. Kindernamen, Fotos, Notizen und Spiel-Einträge werden dem Supportkontext nicht automatisch beigefügt.

Cloudflare Workers, Durable Objects und D1 betreiben den Chat. Bei Abofragen können wir signierte Apple-Kaufbelege mit RevenueCat abgleichen und einen kleinen, datierten Ausschnitt zu Tarif und Status speichern. Das erstellt kein Konto, verknüpft keine anderen Gespräche und benötigt keine Produktanalyse. Der signierte Beleg wird nur zur Prüfung verarbeitet, nicht gespeichert.

Bei aktivierten Antwortbenachrichtigungen erhält Apple APNs den Gerätetoken und eine allgemeine Antwortmeldung. Zur Vermeidung von Störungen übertragen wir nur den groben Kid-Time-Status aktiv/inaktiv. Offline können Hintergrundmeldungen nicht zuverlässig verhindert werden. Gründer-Benachrichtigungen über PurelyMail und Browser-Push enthalten keine Nachrichtentexte, Namen oder Abodetails.

Nachrichten und zugehörige Ereignis-/Zustellungsdaten werden nach 90 Tagen gelöscht. Inaktive Supportdetails, Namen und Gerätezuordnungen verfallen nach 90 Tagen. Der lokale Cache enthält höchstens 500 Nachrichten für bis zu 90 Tage; ungesendete Nachrichten bleiben bis zum Senden, Verwerfen oder Löschen. In den Gesprächseinstellungen kannst du das Gespräch löschen und Benachrichtigungen abschalten. Offline werden lokale Inhalte sofort gelöscht; die Löschung auf dem Server wird sichtbar bis zur nächsten Verbindung vorgemerkt. Ein inhaltsfreier Sperrvermerk verhindert die Wiederherstellung durch wiederholte Anfragen. Chatinhalte gehen weder an Analytics noch an Session Replay.

2.4 Datenschutzkategorien im App Store

Apple bezeichnet Daten als „mit dir verknüpft“, wenn sie einer Nutzer-, Geräte- oder Profilkennung zugeordnet sind, auch ohne Benutzerkonto oder Namen. Wir geben alle folgenden Kategorien als verknüpft an. Freiwillige Supportnachrichten und Forschungsantworten können außerdem identifizierende Angaben enthalten. Keine dieser Daten werden verwendet, um dich über Apps oder Websites anderer Unternehmen hinweg zu verfolgen. Wir verwenden keine Werbe-ID (IDFA).

„Werbung oder Marketing des Entwicklers“ umfasst unsere eigenen Angebots-Mitteilungen mit den in Abschnitt 2.2 beschriebenen Kampagnendaten. Gemeint sind weder Drittanbieter-Werbung noch unternehmensübergreifendes Tracking. Fotos, Notizen, Erinnerungsseiten und deine ausgewählten Apps werden von diesen Diensten nicht erfasst. Diese Version enthält Sentry nicht und überträgt keine Absturz- oder Leistungsdiagnosen.

3. Zweck und Rechtsgrundlagen

4. Dienstleister und Empfänger

Wir setzen wenige Auftragsverarbeiter ein. Da Tendle lokal-first ist, erreicht das meiste, was du tust, keinen von ihnen.

Wir verkaufen deine Daten nicht und nutzen sie nicht für Werbung, die dich über Apps oder Websites anderer Unternehmen hinweg verfolgt. Bei aktivierten Angeboten wählt Tendle anhand der begrenzten Kampagnendaten aus Abschnitt 2.2 passende Tendle-Angebote aus und misst ihre Ergebnisse.

4.1 Diese Website

Die Website-Messung sendet serverseitige Anfragen an den EU-Dienst von PostHog. Die Website lädt kein Analyse-SDK in deinem Browser und setzt keine Analyse-Cookies. Wir zählen geeignete HTML-Anfragen für öffentliche Seiten, PDF-Anfragen und eigene Weiterleitungen zu App-Links. Erkannte Bots, Prefetch-Anfragen, Byte-Range-Anfragen sowie Anfragen mit Do Not Track oder Global Privacy Control werden ausgeschlossen. Einige automatisierte oder wiederholte Anfragen können trotzdem gezählt werden.

Jedes Ereignis enthält das UTC-Datum und feste Kategorien: Seiten- oder Ressourcenpfad, Kampagne und Platzierung des App-Links sowie eine grobe Referrer-Kategorie. PostHog erfasst auch den Eingangszeitpunkt. Berichte gruppieren die Ereignisse nach UTC-Datum. Alle Ereignisse verwenden dieselbe Kennung für den Zählstrom; PostHog erstellt daraus kein Personenprofil. An PostHog gehen keine Besucher-, Sitzungs- oder Gerätekennung, keine Cookie- oder Speicherangabe, IP-Adresse, User-Agent, vollständiger Referrer oder Abfragezeichenfolge.

Bei Tests der Startseiten-Überschrift zählen wir zusätzlich die feste Testkennung, Variante (A, B oder C) und Seitensprache. Geeignete Seitenaufrufe werden zufällig auf die Varianten verteilt; die Variante wird nicht für dich gespeichert. App-Links tragen dieselbe Variante als Kampagnenkategorie weiter. Es entstehen keine Besucher- oder Sitzungskennungen.

Bei Download-Links zählen zu den festen Kategorien außerdem die Herkunftsplattform, unser öffentlicher Accountname, die Link-Platzierung (Bio, Story, Nachricht oder Website), die Seitensprache, die grobe Browser-/Gerätekategorie und ob eine App-Store-Link-Anfrage durch einen Button oder eine automatische Weiterleitung ausgelöst wurde. Diese Angaben beschreiben den geteilten Link, nicht die Person. Sie bleiben beim Öffnen in einem anderen Browser im Link erhalten. Wir führen diese Browserbesuche nicht zusammen. Apple-Kampagnenlinks ermöglichen zusätzlich aggregierte Download-Berichte in App Store Connect nach Apples Meldeschwellen. Website-Anfragen belegen keine Installation.

Es handelt sich um Anfragenzählungen. Sie zeigen weder eindeutige Personen noch bestätigen sie abgeschlossene PDF-Downloads oder App-Installationen. Einzelne Besucherwege sind daraus nicht ersichtlich. Eine Navigation innerhalb der Website, die kein neues HTML-Dokument anfordert, wird nicht gezählt. Auswahlen in den Filtern des Spielideen-Finders bleiben im Browser und werden nicht gezählt. QR-Codes auf der Startseite führen direkt zum App Store; ihre Scans werden nicht gezählt. Der QR-Code auf der Download-Seite öffnet dieselbe gekennzeichnete Download-Seite. Die folgende Seitenanfrage wird gezählt, ohne sie als eindeutigen Scan zu erkennen.

Dein Browser sendet weiterhin übliche Anfragedaten wie IP-Adresse, User-Agent und Referrer an Vercel, damit die Website gehostet und vor Missbrauch geschützt werden kann. Vercel verarbeitet diese Daten getrennt von den begrenzten Zählereignissen, die an PostHog gehen.

5. Übermittlung in Drittländer

Apple, RevenueCat und PurelyMail sitzen in den USA bzw. werden von dort aus betrieben. PostHog nutzt für die Analysespeicherung der iOS-App und dieser Website die EU-Region (eu.i.posthog.com). Zugriffsbeschränkte Berichte können pseudonyme Gruppenzugehörigkeiten in Tendles Cloudflare-Dienst verarbeiten, wie in Abschnitt 2.2 beschrieben. Die Auftragsverarbeiter-Bedingungen für die Nicht-EU-Anbieter sind für den Launch bestätigt. Übermittlungen an Nicht-EU-Empfänger stützen wir auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln, ggf. mit ergänzenden Maßnahmen nach Schrems II. Soweit ein Anbieter am EU-US Data Privacy Framework teilnimmt, stützen wir uns zusätzlich auf dessen aktuelle Zertifizierung.

6. Speicherdauer

Zusätzliche Speicherfristen der Dienste:

7. Deine Rechte

Nach der DSGVO kannst du:

• Auskunft über die Verarbeitung verlangen und eine Kopie erhalten (Art. 15)
• Berichtigung unrichtiger Daten verlangen (Art. 16)
• Löschung verlangen (Art. 17), vorbehaltlich gesetzlicher Aufbewahrungspflichten
• Einschränkung verlangen, solange eine Streitigkeit anhängig ist (Art. 18)
• Deine Daten in maschinenlesbarer Form portieren (Art. 20)
• Der Verarbeitung auf Grundlage berechtigter Interessen widersprechen, auch der Analyse (Art. 21)
• Eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde einlegen (Art. 77)

Da Tendle lokal-first ist, kontrollierst du die meisten deiner Daten direkt: Einstellungen → Daten löschen entfernt von deinem Gerät die Fotos, Erinnerungsseiten, Spiel-Einträge, Notizen und Titel, den Challenge-Verlauf, den Wochenplan, deine Einstellungen (außer deinen Entscheidungen zu „Produktanalyse“ und „Kauf-Support“) und die Sicherheitskopie früherer Daten. Außerdem wird die Löschung des Gründer-Chats (Abschnitt 2.3) und des Kampagnen-Gerätezustands angefordert. Offline wird die Serverlöschung bei der nächsten Verbindung erneut versucht. Das Ausschalten aller Mitteilungskategorien entfernt ebenfalls den Kampagnen-Gerätezustand. Für begrenzte aufbewahrte Versand-, Abrechnungs- und Kampagnenmessdaten gelten die Fristen in Abschnitt 6. Kopien, die du zu Apple Fotos exportiert oder mit anderen Apps geteilt hast, bleiben davon unberührt. Bereits gesendetes Feedback und bereits gesendete Antworten in eigenen Worten werden nach 90 Tagen gelöscht; Daten der Produkt-Analyse richten sich nach der Aufbewahrung bei PostHog (Abschnitt 6). Zur Ausübung jedes weiteren Rechts schreib an support@tendle.me. Wir antworten in der Regel binnen 30 Tagen (Art. 12 Abs. 3). Die praktischen Schritte findest du unter Hilfe & Kontakt.

8. Kinder

Tendle ist ein Werkzeug für die Eltern und richtet sich nicht an Kinder unter 16. Ohne nachweisbare elterliche Einwilligung verarbeiten wir wissentlich keine Daten von Personen unter 16 Jahren (Art. 8 DSGVO). Die App fordert kein Kind auf, ein Konto anzulegen oder personenbezogene Daten preiszugeben. Name und Fotos deines Kindes bleiben auf deinem Gerät und werden nie hochgeladen; Sitzungswiedergaben machen alle Bilder unkenntlich. Die gewählte Altersgruppe geht ohne Namen als Analyse-Ereignis an PostHog, solange Produkt-Analyse aktiviert ist. Wenn du den Verdacht hast, dass ein Kind die App so genutzt hat, dass uns seine Daten erreicht haben, schreib an support@tendle.me — wir löschen sie.

9. Sicherheit

Die sensiblen Inhalte der App — deine Fotos, Erinnerungsseiten, Notizen, deine App-Auswahl und deine Spiel-Einträge — bleiben auf deinem Gerät. Für allen Datenverkehr zu unseren Dienstleistern nutzen wir HTTPS, verlassen uns auf Apples App-Sandbox und, soweit anwendbar, auf den iOS-Schlüsselbund/sichere Speicherung und beschränken interne Zugriffe auf das Notwendige. Kein System ist absolut sicher. Schwachstellen-Meldungen bitte an support@tendle.me.

10. Änderungen dieser Erklärung

Wesentliche Änderungen veröffentlichen wir hier und kündigen sie — falls sie dich betreffen, etwa durch einen neuen Empfänger deiner Daten — mindestens 14 Tage vorher in der App an. Das Datum oben zeigt die letzte Überarbeitung.

11. Kontakt

Für alle Datenschutz-Fragen und Anträge:

Nils Schiwora handelnd unter Nils Schiwora Trading Services Ahornstr. 37 14547 Beelitz Deutschland E-Mail: support@tendle.me