TidyPepple
Funktionen FAQ Datenschutz Impressum
DE EN

Datenschutzerklärung für TidyPepple

Stand: 3. Oktober 2026

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung von TidyPepple („die App“) und dieser Website. TidyPepple ist eine installierbare Web-App (Progressive Web App, „PWA“) zur Aufgabenverwaltung, die im Browser läuft.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Frank Röseler
c/o POSTFLEX PFX-656-694
Emsdettener Straße 10
48268 Greven
Deutschland

E-Mail: tidypepple@roeslr.com

2. Grundsatz: lokal zuerst, verschlüsselt im Übrigen

TidyPepple ist eine Local-first-App. Alle Inhalte, die du eingibst (Aufgaben, Notizen, Projekte, Kontexte, Anhänge), werden auf deinem Gerät bzw. in deinem Browser gespeichert und dort verarbeitet.

  • Ohne die optionale Synchronisation verlassen deine Inhalte das Gerät nie. Es gibt dann kein Benutzerkonto, keine Anmeldung und keine Registrierung.
  • Mit Synchronisation werden deine Inhalte auf deinem Gerät Ende-zu-Ende verschlüsselt, bevor sie übertragen werden. Weder der Verantwortliche noch der Hosting-Anbieter können sie lesen (siehe Ziffer 5).
  • Es findet kein Tracking, keine Auswertung des Verhaltens einzelner Nutzer und keine Werbung statt. Es werden keine Cookies zu Analyse- oder Werbezwecken gesetzt. Gezählt wird lediglich anonym, wie viele Geräte die App pro Tag starten (siehe Ziffer 4).

3. Auf dem Gerät bzw. im Browser gespeicherte Daten

Für die Funktion der App werden lokal in deinem Browser gespeichert (technisch in IndexedDB, im localStorage und im Cache des Service Workers):

  • deine Aufgaben mit Titel, Notizen, Status, Daten, Kontexten und Anhängen,
  • technische Angaben für die Synchronisation (Geräte-Kennung, Zeitstempel, Liste noch zu übertragender Änderungen),
  • Einstellungen wie Sprache, Schriftgröße, Sortierung und Filter,
  • sofern du die Synchronisation nutzt: der entsperrte Schlüssel deines Vaults als nicht exportierbares Schlüsselobjekt des Browsers sowie deine Anmeldesitzung,
  • die App-Dateien selbst, damit die App auch offline startet.

Diese Daten verbleiben auf deinem Gerät. Du kannst sie jederzeit löschen, indem du in der App Aufgaben löschst, die Websitedaten für TidyPepple in deinem Browser entfernst oder die installierte App deinstallierst. Über *Einstellungen → Daten* kannst du deine Aufgaben als JSON-Datei exportieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir genutzten Funktionen) sowie § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderliche Speicherung auf dem Endgerät).

4. Server-Logdateien beim Aufruf von Website und App

Website und App werden als statische Dateien über einen Webserver ausgeliefert. Beim Aufruf werden – wie bei jedem Website-Aufruf technisch bedingt – Verbindungsdaten in Server-Logdateien verarbeitet:

  • IP-Adresse des anfragenden Geräts,
  • Datum und Uhrzeit des Zugriffs,
  • Name der abgerufenen Datei und übertragene Datenmenge,
  • Statuscode, verweisende Seite (Referrer) sowie Browser- und Betriebssystemkennung.

Diese Daten sind erforderlich, um Website und App auszuliefern und die Stabilität und Sicherheit des Servers zu gewährleisten. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und funktionsfähigen Bereitstellung).

Hosting-Anbieter und damit Auftragsverarbeiter im Sinne des Art. 28 DSGVO ist die netcup GmbH, Emmy-Noether-Straße 10, 76185 Karlsruhe, Deutschland. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag. Die Server-Logdateien werden nach 30 Tagen automatisch gelöscht.

Zählung der App-Starts. Damit wir wissen, wie viele Geräte die App nutzen, schickt die App bei jedem Start eine kurze Anfrage an unseren Webserver (/beacon). Sie enthält nur, ob die App installiert oder im Browser läuft, und die App-Version sowie, ob die Synchronisation genutzt wird (nur lokal, Konto ohne Sync, synchronisiert). Die App vergibt dafür keine Geräte-Kennung und speichert dafür nichts auf deinem Gerät; Inhalte werden nicht übertragen.

Beim Eingang der Anfrage werden – wie bei jedem Abruf – IP-Adresse und Browserkennung verarbeitet. Sie landen in einer eigenen Logdatei, die in der Regel spätestens nach einer Stunde automatisch ausgewertet und gelöscht wird. Dabei werden IP-Adresse und Browserkennung zusammen mit einem täglich neu erzeugten Zufallswert zu einem Einweg-Hashwert verrechnet. Dieser dient nur dazu, mehrere Starts desselben Geräts am selben Tag einmal zu zählen. Der Zufallswert wird nach Tagesende gelöscht; danach bleiben ausschließlich Tageszahlen übrig (z. B. „120 Geräte, davon 80 installiert“). Ein Rückschluss auf einzelne Personen ist uns damit nicht möglich, eine Zusammenführung mit anderen Daten findet nicht statt.

Wenn du nicht mitgezählt werden möchtest, kannst du Anfragen an /beacon z. B. mit einem Inhaltsblocker unterbinden; die App funktioniert dann unverändert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Verbreitung der App und ihrer Versionen zu kennen, um Weiterentwicklung und Betrieb zu planen).

5. Optionale Synchronisation

Die Synchronisation zwischen mehreren Geräten ist eine optionale, kostenpflichtige Funktion. Nur wenn du sie einrichtest, werden Daten an einen Server übertragen.

Anmeldung. Du meldest dich mit deiner E-Mail-Adresse an und erhältst einen Anmeldelink per E-Mail. Ein Passwort wird nicht gespeichert. Verarbeitet werden dabei deine E-Mail-Adresse, eine Benutzerkennung sowie Zeitpunkte der Anmeldung.

Verschlüsselte Inhalte. Deine Aufgaben und Anhänge werden auf deinem Gerät mit einem nur dir bekannten Schlüssel (AES-256-GCM) verschlüsselt, der mit deiner Passphrase bzw. deinem Wiederherstellungsschlüssel geschützt ist. Auf dem Server liegen ausschließlich verschlüsselte Datensätze. Titel, Notizen, Kontexte, Dateinamen und Dateiinhalte sind für den Verantwortlichen und den Hosting-Anbieter nicht lesbar. Passphrase und Wiederherstellungsschlüssel verlassen dein Gerät nicht.

Technisch sichtbare Metadaten. Für den Abgleich sind folgende Angaben auf dem Server unverschlüsselt: zufällige Kennungen der Datensätze, Zeitpunkte von Änderungen, die Anzahl der Datensätze, ob ein Datensatz gelöscht wurde, sowie Anzahl und Größe von Anhängen.

Anbieter. Anmeldung, Datenbank und Dateispeicher werden von Supabase, Inc. (USA) als Auftragsverarbeiter betrieben. Die Daten werden in einem Rechenzentrum in der Europäischen Union gespeichert. Mit Supabase besteht ein Auftragsverarbeitungsvertrag einschließlich der EU-Standardvertragsklauseln für etwaige Zugriffe aus Drittländern.

E-Mail-Versand. Anmelde- und Bestätigungslinks verschickt Supabase über den E-Mail-Dienst Resend, betrieben von Plus Five Five, Inc. (USA), als Auftragsverarbeiter. Verarbeitet werden dabei deine E-Mail-Adresse, der Inhalt der jeweiligen E-Mail (der Anmelde- bzw. Bestätigungslink) sowie Angaben zur Zustellung (Zeitpunkt, Zustellstatus). Mit Resend besteht ein Auftragsverarbeitungsvertrag einschließlich der EU-Standardvertragsklauseln; da Resend ein US-Anbieter ist, kann eine Übermittlung von Daten in die USA stattfinden. Inhalte deiner Aufgaben werden darüber nicht versendet.

Speicherdauer. Gelöschte Datensätze werden nach 90 Tagen bis auf eine leere Markierung bereinigt. Alle übrigen Daten bleiben gespeichert, bis du die Löschung deines Kontos verlangst (siehe Ziffer 9); auch nach Ende eines Abos bleiben sie abrufbar, damit keine Daten verloren gehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über die Synchronisation).

6. Kauf des Sync-Abos über Lemon Squeezy

Kauf und Zahlungsabwicklung des Sync-Abos erfolgen über Lemon Squeezy, betrieben von Lemon Squeezy, LLC, USA. Du wirst dazu auf die Bestellseite von Lemon Squeezy weitergeleitet. Lemon Squeezy tritt als Verkäufer (Merchant of Record) und Zahlungsdienstleister auf und verarbeitet die im Bestellprozess anfallenden Daten (z. B. Name, E-Mail-Adresse, Zahlungs- und Rechnungsdaten) als eigenständig Verantwortlicher nach seinen eigenen Datenschutzbestimmungen: https://www.lemonsqueezy.com/privacy

Bist du bereits angemeldet, übergibt die App deine Benutzerkennung und E-Mail-Adresse an die Bestellseite, damit das Abo deinem Konto zugeordnet werden kann. Lemon Squeezy teilt dem Verantwortlichen anschließend den Status des Abos mit (E-Mail-Adresse aus der Bestellung, Kennungen von Bestellung und Abo, Status, Laufzeitende). Vollständige Zahlungsdaten erhält der Verantwortliche nicht.

Da Lemon Squeezy ein US-Anbieter ist, kann eine Übermittlung von Daten in die USA stattfinden. Lemon Squeezy stützt diese auf geeignete Garantien nach Art. 44 ff. DSGVO (u. a. Standardvertragsklauseln).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Kaufvertrags) sowie Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrungspflichten).

7. Kontaktaufnahme per E-Mail

Wenn du uns eine E-Mail schreibst, verarbeiten wir die übermittelten Angaben (Name, E-Mail-Adresse, Inhalt der Nachricht) ausschließlich zur Bearbeitung deiner Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen) bzw. Art. 6 Abs. 1 lit. b DSGVO, sofern die Anfrage mit einem Kauf zusammenhängt.

8. Keine Einbindung von Drittanbietern auf der Website

Diese Website lädt keine Schriften, Skripte oder sonstigen Inhalte von fremden Servern. Es gibt keine Analyse-Werkzeuge, keine Social-Media-Plugins und keine eingebetteten Videos.

9. Deine Rechte

Dir stehen im Rahmen der gesetzlichen Voraussetzungen folgende Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Lokal gespeicherte Daten kannst du jederzeit selbst in der App oder über die Einstellungen deines Browsers einsehen, exportieren und löschen. Zur Löschung deines Sync-Kontos samt aller verschlüsselten Daten genügt eine E-Mail an die oben genannte Adresse.

Zudem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

10. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann angepasst werden, um sie an geänderte Rechtslagen oder Funktionen der App anzupassen. Es gilt jeweils die auf dieser Website veröffentlichte aktuelle Fassung.