Privacy · Datenschutz

Deutsch

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten in taldro (Art. 4 Nr. 7 DSGVO) ist:

Florian Schauer
Sudetenring 50
94234 Viechtach
Deutschland

E-Mail: taldro@schauer.to

Einen Datenschutzbeauftragten haben wir nicht benannt, da keine gesetzliche Pflicht dazu besteht (Art. 37 DSGVO, § 38 BDSG). Fragen zu Ihren Daten und Anträge auf Ausübung Ihrer Rechte richten Sie bitte an die oben genannte E-Mail-Adresse oder Postanschrift.

2. Geltungsbereich

Diese Erklärung gilt für

• die Website taldro.com,
• die Web-App unter ui.taldro.com,
• den Server unter api.taldro.com, mit dem die Web-App, die taldro-Apps für Android und iOS und das Druckprogramm taldro-print sprechen,
• die taldro-Apps, solange sie mit unserem Server (api.taldro.com) verbunden sind, und
• die Demo unter demo.taldro.com (Abschnitt 20).

taldro kann auch auf eigenen Servern betrieben werden. Nutzen Sie die App oder die Web-App mit einem Server, den jemand anderes betreibt, ist dessen Betreiber für die dort verarbeiteten Daten verantwortlich; diese Erklärung gilt dafür nicht, und die App sendet uns in diesem Fall nichts.

3. Die Website taldro.com

Die Website setzt keine Cookies, führt kein JavaScript aus und lädt keine Inhalte von fremden Servern (die Schrift wird von unserem eigenen Server ausgeliefert). Es gibt keine Statistik, kein Tracking und keine Werbung.

Beim Aufruf jeder Seite verarbeitet unser Server zwangsläufig Ihre IP-Adresse, um die Seite an Sie ausliefern zu können. Zu jeder Anfrage wird außerdem ein Eintrag im Zugriffsprotokoll gespeichert (siehe Abschnitt 4).

4. Zugriffs- und Fehlerprotokolle (alle Dienste)

Bei jeder Anfrage an taldro.com und seine Subdomains (u. a. ui.taldro.com, api.taldro.com und unsere Testumgebungen) speichert unser Reverse Proxy einen Protokolleintrag mit: Ihrer IP-Adresse und dem Quellport, Datum und Uhrzeit, dem aufgerufenen Host, der Anfragemethode, dem aufgerufenen Pfad einschließlich etwaiger URL-Parameter (bei Links aus unseren E-Mails und Einladungslinks also auch des darin enthaltenen Codes), dem Protokoll, der TLS-Version und dem Verschlüsselungsverfahren, dem Antwortstatus, der übertragenen Datenmenge, der Bearbeitungsdauer und dem internen Dienst, der die Anfrage beantwortet hat. Die Kennung Ihres Browsers (User-Agent), die zuvor besuchte Seite (Referrer) und andere Anfrage-Header werden nicht protokolliert. Daneben schreiben unsere Server technische Fehler- und Betriebsprotokolle; diese können interne Kennungen (z. B. von Konten, Inventaren oder Gegenständen) und in Fehlerfällen kurze Ausschnitte verarbeiteter Inhalte enthalten.

Für einige Funktionen (etwa die Anmeldung, die Registrierung, das Versenden von E-Mails zum Bestätigen der Adresse oder zum Zurücksetzen des Passworts, das Einlösen von Tarifschlüsseln, das Koppeln eines Druckers oder die KI-Funktionen) begrenzen wir die Zahl der Anfragen je IP-Adresse bzw. Netz oder je Konto; bei der Anmeldung zählen wir außerdem falsche Versuche je E-Mail-Adresse (höchstens 5 in 15 Minuten). Die dafür nötigen Zähler (die IP-Adresse bzw. das Netz, die Kennung des Kontos oder die bei der Anmeldung eingegebene E-Mail-Adresse, mit den Zeitpunkten der letzten Versuche) werden nur im Arbeitsspeicher gehalten und nie dauerhaft gespeichert; ein Versuch zählt höchstens eine Stunde, und alle Zähler werden spätestens beim nächsten Neustart des Servers verworfen.

Zweck: Betrieb, Stabilität und Sicherheit des Dienstes, Fehlersuche, Abwehr und Aufklärung von Angriffen und Missbrauch.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem funktionierenden und sicheren Dienst.
Speicherdauer: Die Protokolle werden nach 31 Tagen automatisch gelöscht.

5. Ihr Konto

Die Registrierung ist nur mit einer Einladung möglich. Für ein Konto geben Sie Ihre E-Mail-Adresse, einen Anzeigenamen und ein Passwort an. Wir speichern die E-Mail-Adresse, den Anzeigenamen, einen nicht umkehrbaren Hash des Passworts (Argon2; das Passwort selbst speichern wir nicht), den Zeitpunkt der Anlage und letzten Änderung des Kontos, ob und wann Sie Ihre E-Mail-Adresse bestätigt haben, einen Zähler für Passwort-Zurücksetzungen und den Zeitpunkt Ihres letzten Imports.

Wenn Sie sich anmelden, erzeugen wir ein Zugangstoken. Gespeichert werden davon nur ein Hash, ein Name (z. B. für das Gerät), die Art, der Erstellungszeitpunkt und der Zeitpunkt der letzten Nutzung. Eine Anmeldung endet auf dem Server 30 Tage nach der Anmeldung, oder früher, wenn Sie sich abmelden, sie in den Kontoeinstellungen unter „Devices and tokens" beenden, Ihr Passwort ändern (dann enden Ihre anderen Anmeldungen) oder zurücksetzen (dann enden alle) oder Ihr Konto löschen. API-Tokens, die Sie selbst erstellen, werden ebenso gespeichert, auf Wunsch mit Ablaufdatum.

Eine Einladung hält fest, für welches Inventar sie gilt, welche Rolle sie vergibt, wer sie erstellt hat, wie oft sie genutzt werden darf und wurde und wann sie abläuft. Mitgliedschaften halten fest, wer mit welcher Rolle (Eigentümer, Bearbeiter, Betrachter) seit wann Mitglied eines Inventars ist. Die anderen Mitglieder eines Inventars sehen in der Mitgliederliste Ihren Anzeigenamen, Ihre Rolle und Ihr Beitrittsdatum; Ihre E-Mail-Adresse sehen nur Eigentümer und Bearbeiter, Betrachter nicht.

Entfernt ein Eigentümer ein Mitglied aus einem Inventar, halten wir fest, wer wann entfernt wurde, und speichern zusätzlich einen mit einem geheimen Schlüssel gebildeten Hash (HMAC) der E-Mail-Adresse, nicht die Adresse selbst. So kann die entfernte Person nicht über eine ältere Einladung zurückkehren, auch nicht mit einem neuen Konto unter derselben Adresse. Wer ein Inventar selbst verlässt, wird nicht festgehalten.

Zweck und Rechtsgrundlage: Bereitstellung des Kontos und des Dienstes (Art. 6 Abs. 1 lit. b DSGVO); für die Vermerke über entfernte Mitglieder Art. 6 Abs. 1 lit. f DSGVO (das berechtigte Interesse der Eigentümer und unser Interesse, dass ein entzogener Zugang entzogen bleibt).
Speicherdauer: bis zur Löschung Ihres Kontos; Anmeldungen bis zu ihrem Ende wie oben beschrieben, abgelaufene Anmeldungen und API-Tokens werden innerhalb einer Stunde nach Ablauf gelöscht. Der Vermerk, wer entfernt wurde, wird mit dem Konto der entfernten Person oder mit dem Inventar gelöscht, der Hash der E-Mail-Adresse erst mit dem Inventar.

Konto löschen: Sie können Ihr Konto jederzeit in den Kontoeinstellungen löschen. Dabei werden sofort gelöscht: Ihr Konto, Ihre Anmeldungen und API-Tokens, Ihre Mitgliedschaften, die von Ihnen erstellten Einladungen, Ihre offenen E-Mail-Links, Ihre eingelösten Tarifschlüssel, Ihre Erlaubnis für die KI-Funktionen und Ihre Gespräche mit „Frag taldro" samt den darin gemachten Vorschlägen. Sind Sie alleiniger Eigentümer eines Inventars, müssen Sie das Inventar vorher einem anderen Eigentümer übertragen oder löschen. Inhalte, die Sie in gemeinsam genutzte Inventare eingetragen haben, gehören zum Inventar und bleiben dort erhalten, auch Kaufangaben und Belege. Wo Datensätze nur auf Ihr Konto verweisen (z. B. „erstellt von" bei gekoppelten Druckprogrammen, Druckaufträgen und Belegen oder „ausgeführt von" im Änderungsprotokoll von „Frag taldro"), wird dieser Verweis entfernt. Zur KI-Nutzungsstatistik siehe Abschnitt 9.6, zu Datensicherungen Abschnitt 14.

6. E-Mail

Systemmails. Wir senden E-Mails nur, wenn es für Ihr Konto nötig ist: zur Bestätigung Ihrer E-Mail-Adresse, zum Zurücksetzen Ihres Passworts und zur Bestätigung einer neuen E-Mail-Adresse. Keine Newsletter, keine Werbung. Jeder Link in einer solchen Mail ist nur einmal gültig und läuft ab; wir speichern nur einen Hash des Links, die Art der Mail, bei einer Adressänderung die neue Adresse sowie Erstellungs-, Ablauf- und Nutzungszeitpunkt. Diese Einträge werden spätestens 7 Tage nach Ablauf gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Kontakt per E-Mail. Wenn Sie uns an taldro@schauer.to schreiben (etwa mit Fragen oder um eine Einladung zu erbitten), verarbeiten wir Ihre Adresse, Ihren Namen, soweit angegeben, und den Inhalt Ihrer Nachricht, um Ihre Anfrage zu beantworten; eine Einladung schicken wir Ihnen per E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage Ihr Konto betrifft oder auf eine Nutzung von taldro gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen die Korrespondenz, wenn sie erledigt ist. Nur soweit eine Nachricht steuer- oder handelsrechtlich aufzubewahren ist (§ 147 AO, § 257 HGB), bewahren wir sie bis zum Ende der gesetzlichen Frist auf (Art. 6 Abs. 1 lit. c DSGVO). „Help & feedback“ in den Apps und im Web sowie „Schreib uns“ auf der Fehlerseite öffnen nur Ihr eigenes E-Mail-Programm mit einem vorausgefüllten Entwurf (Version, Plattform, Betriebssystemversion); bei uns kommt nur an, was Sie selbst absenden.

Dienstleister. Versand und Empfang der E-Mails laufen über Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz, die in unserem Auftrag tätig ist. Proton erhält dabei die Empfänger- bzw. Absenderadresse und den Inhalt der Mail. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

7. Ihre Inventare und Fotos

Was Sie in taldro eintragen, speichern wir auf unserem Server: Inventare, Gegenstände, Kisten, Regale und Räume mit Namen, Beschreibungen, Eigenschaften, Mengen, Nummern, Tags und Codes (NFC, QR, Barcodes), Fotos (samt Vorschaubild) und den Papierkorb.

Kaufangaben und Belege. Zu einem Gegenstand können Sie Kaufangaben speichern: Preis und Währung, Kaufdatum, Geschäft, Garantie bis und woher diese Angabe stammt (vom Beleg, aus der Standard-Garantiedauer des Inventars oder von Ihnen eingetragen). Einen Beleg (Kassenbon, Rechnung, Bestellbestätigung) können Sie dazu als Foto, PDF oder Text im Inventar ablegen, zusammen mit Geschäft, Datum, Währung und Gesamtbetrag. Der Beleg wird ohne Schwärzungen gespeichert und enthält alles, was darauf steht, etwa die letzten Ziffern einer Karte, eine Kundennummer oder bei Bestellungen eine Lieferadresse. In taldro öffnen nur Eigentümer und Bearbeiter den Beleg; Betrachter sehen die Kaufangaben, nicht den Beleg. Ein Export des Inventars, den jedes Mitglied erstellen kann, enthält die gespeicherten Belege nur, wenn ein Eigentümer oder Bearbeiter ihn erstellt; der Export eines Betrachters enthält die Kaufangaben ohne die Belege. Wie ein Beleg mit der KI-Funktion gelesen wird, steht in Abschnitt 9.1.

Die Web-App und die Apps verkleinern ein Foto vor dem Hochladen und speichern es dabei neu als JPEG. Außerdem entfernt unser Server aus jedem Foto, das gespeichert wird (Fotos von Gegenständen und von Belegen, gleich ob aus der App, über die Programmierschnittstelle oder aus einer Importdatei), die Metadaten der Kamera, z. B. GPS-Standort, Aufnahmezeit, Gerät und Seriennummer; erhalten bleiben nur die Angaben, die für die Darstellung nötig sind (Ausrichtung und Farbprofil). PDF- und Text-Belege speichern wir so, wie sie ankommen.

Bitte beachten Sie: Ihre Einträge und Fotos können personenbezogene Daten enthalten, auch über andere Menschen (z. B. Personen auf einem Foto). Speichern Sie nur, was Sie speichern dürfen.

Die Mitglieder eines Inventars sehen dessen Inhalt entsprechend ihrer Rolle; andere Nutzer von taldro sehen ihn nicht. Als Betreiber haben wir technisch Zugriff auf die gespeicherten Daten; wir nutzen ihn nur für den Betrieb des Dienstes.

Wo: in einer PostgreSQL-Datenbank (Fotos eingeschlossen) auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, im Rechenzentrumspark Falkenstein (Vogtland), Deutschland. Hetzner betreibt die Server in unserem Auftrag.

Zweck und Rechtsgrundlage: Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO).

Speicherdauer: bis Sie die Daten löschen. Gelöschte Gegenstände liegen im Papierkorb und werden dort nach 30 Tagen endgültig gelöscht, oder früher, wenn Sie den Papierkorb leeren; ihre Kaufangaben werden mit ihnen gelöscht. Einen Beleg können Sie jederzeit löschen (die Kaufangaben bleiben dann erhalten); ein Beleg, auf den keine Kaufangabe verweist, wird automatisch gelöscht, sobald er älter als einen Tag ist. Wird ein Inventar gelöscht, wird sein gesamter Inhalt gelöscht.

Export und Import: Sie können ein Inventar mit seinen Gegenständen, Fotos, Kaufangaben und, als Eigentümer oder Bearbeiter, seinen Belegen jederzeit als Datei exportieren. Beim Import wird die hochgeladene Datei nur vorübergehend während der Verarbeitung gespeichert.

Daten anderer Personen: Tragen Sie Daten anderer Personen ein (z. B. von Familienmitgliedern, Beschäftigten oder Kunden), stützen wir deren Speicherung auf Art. 6 Abs. 1 lit. f DSGVO (Ihr und unser berechtigtes Interesse an der Nutzung des von Ihnen gewählten Dienstes). Eine Auftragsverarbeitungsvereinbarung für Unternehmen bieten wir derzeit nicht an.

8. Suche nach Bedeutung, Duplikat-Hinweise und Platz-Vorschläge

Damit Sie Dinge auch ohne den genauen Wortlaut finden, wandelt taldro den Text jedes Gegenstands (Name, Beschreibung, Tags, Eigenschaften) und Ihre Suchanfragen in Zahlenvektoren um („Embeddings"). Das geschieht ausschließlich auf unserem eigenen Server mit einem frei verfügbaren Modell (multilingual-e5-small); der Text wird dafür an niemanden übermittelt. Die Embeddings werden beim Gegenstand gespeichert und mit ihm gelöscht. Hinweise auf mögliche Duplikate und Vorschläge, wo ein neuer Gegenstand hingehört, nutzen dieselben Embeddings und laufen ebenfalls nur auf unserem Server.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. KI-Funktionen (Anthropic)

9.1 Welche Funktionen Daten an einen KI-Anbieter senden

Die folgenden Funktionen nutzen ein externes KI-Modell (Claude) und senden dafür Daten an Anthropic. Die Anfragen stellt unser Server, nicht Ihr Gerät; Anthropic erhält daher weder Ihre IP-Adresse noch Ihren Anzeigenamen, Ihre E-Mail-Adresse oder eine Kennung Ihres Kontos. Was Sie selbst in Fotos, Fragen, Belegen oder Gegenständen festhalten, wird jedoch wie beschrieben übermittelt.

• Entwurf aus einem Foto: Das Foto eines neuen Gegenstands wird gesendet; Anthropic schlägt Name, Beschreibung, Eigenschaften und Tags vor. Gespeichert wird erst, wenn Sie speichern. In der Web-App und in den Apps ist diese Funktion standardmäßig eingeschaltet, wenn sie auf dem Server verfügbar ist: Wählen Sie für einen neuen Gegenstand ein Foto aus, wird es automatisch gesendet. Sie können das in den Einstellungen abschalten; die Einstellung gilt je Gerät bzw. Browser.
• Suche per Foto: Das Foto wird zusammen mit den Namen von bis zu 12 zuletzt geänderten Gegenständen des durchsuchten Inventars gesendet (damit die Beschreibung in der Sprache Ihres Inventars kommt). Mit der Beschreibung sucht taldro auf dem eigenen Server. Zur Bestätigung eines Treffers kann ein zweiter Aufruf das Foto mit den Namen von bis zu 5 Kandidaten senden. Das Foto wird von taldro nicht gespeichert.
• „Frag taldro": Ihre Frage (bis zu 2.000 Zeichen) wird zusammen mit bis zu 40 Gegenständen gesendet, die sie beantworten könnten (jeweils interne Kennung, Name, Ort, Menge, Anzahl enthaltener Dinge und Zeitpunkt der letzten Änderung), sowie mit den bisherigen Fragen und Antworten desselben Gesprächs (bis zu 20 Runden). Gesprochene Fragen werden in der Android-App auf dem Gerät selbst in Text umgewandelt; es verlässt dabei kein Ton das Gerät. Antworten liest die Sprachausgabe Ihres Geräts vor; taldro sendet dafür nichts an uns oder Anthropic. Fragen Eigentümer oder Bearbeiter nach einer Änderung (z. B. etwas umzuräumen, eine Menge oder einen Namen zu ändern, einen Tag zu setzen oder etwas in den Papierkorb zu legen), kann die Antwort einen Vorschlag enthalten. Geändert wird erst, wenn Sie ihn mit „Do it" bestätigen; ein Vorschlag, den Sie nicht innerhalb von 30 Minuten bestätigen, verfällt. Eine bestätigte Änderung können Sie 24 Stunden lang rückgängig machen.
• Beleg lesen: Der Text eines PDF-Belegs (höchstens 10 Seiten; den Text liest unser Server aus dem PDF, das PDF selbst wird nicht gesendet) oder ein eingefügter oder mit der Android-App geteilter Text wird vollständig gesendet; Anthropic liest daraus Geschäft, Datum, Beträge und bis zu 40 Positionen. Aus Ihrem Inventar wird nichts mitgesendet. Fotos von Belegen werden derzeit nicht an Anthropic gesendet. Gespeichert wird erst, was Sie in der Übersicht übernehmen, und der Beleg selbst nur, wenn „Keep the receipt" eingeschaltet ist.

Die Funktionen laufen nur, wenn Sie sie auslösen (beim Entwurf aus einem Foto: durch die Auswahl des Fotos, solange die Automatik eingeschaltet ist). Bitte senden Sie keine Fotos, Belege oder Fragen mit Inhalten, die kein Dritter sehen soll, etwa Dokumente mit personenbezogenen Daten anderer Menschen.

Bevor eine KI-Funktion zum ersten Mal etwas sendet, fragt taldro, ob es das darf, und sagt, was an wen geht. Bis Sie es erlauben, wird nichts an Anthropic gesendet, auch nicht vom automatischen Entwurf: Unser Server lehnt jede KI-Anfrage ab, solange Ihre Erlaubnis fehlt. Die Erlaubnis gilt für Ihr Konto auf allen Geräten; wir speichern den Zeitpunkt, zu dem Sie sie erteilt haben. Sie können sie jederzeit in den Einstellungen („Allow AI features") zurücknehmen; danach wird nichts mehr gesendet, bis Sie erneut zustimmen. Diese Abfrage ist die Art, wie die Apps Sie entscheiden lassen; an der Rechtsgrundlage in Abschnitt 9.4 ändert sie nichts.

9.2 Empfänger

Anbieter ist Anthropic Ireland, Limited, Dublin, Irland, über die kommerzielle Programmierschnittstelle (API), das in unserem Auftrag tätig ist. Die Verarbeitung findet auch bei der Muttergesellschaft Anthropic, PBC (San Francisco, USA) und deren Unterauftragsverarbeitern statt, also in den USA.

Nach Anthropics Bedingungen für kommerzielle Kunden werden die Daten nicht zum Training von KI-Modellen verwendet und von Anthropic innerhalb von 30 Tagen gelöscht. Inhalte, die Anthropics automatische Systeme als Verstoß gegen die Nutzungsrichtlinien einstufen, kann Anthropic bis zu 2 Jahre aufbewahren und die dabei ermittelten Bewertungen bis zu 7 Jahre; außerdem länger, soweit gesetzlich vorgeschrieben.

9.3 Übermittlung in die USA

Wir stützen diese Übermittlung nicht auf den Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework. Grundlage sind die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 2 bzw. 3; Art. 46 Abs. 2 lit. c DSGVO), die nach Anthropics Bedingungen für kommerzielle Kunden Bestandteil von Anthropics Data Processing Addendum sind. Eine Kopie erhalten Sie auf Anfrage an die Adresse in Abschnitt 1. Behörden in den USA können unter Umständen auf die übermittelten Daten zugreifen.

9.4 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO: Die KI-Funktionen sind Teil des Dienstes, und jede Übermittlung geschieht, weil Sie die Funktion nutzen. Soweit Ihre Inhalte personenbezogene Daten Dritter enthalten, stützen wir die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (Ihr und unser berechtigtes Interesse an der von Ihnen gewünschten Funktion). Sie müssen die KI-Funktionen nicht nutzen und können den automatischen Entwurf jederzeit abschalten oder die Erlaubnis zurücknehmen; alle übrigen Funktionen von taldro bleiben verfügbar.

9.5 Was taldro speichert

• Gespräche mit „Frag taldro": Ihre Fragen und die Antworten (nicht die an Anthropic gesendeten Gegenstandslisten), als Titel die ersten 60 Zeichen der ersten Frage, und Verweise auf die genannten Gegenstände, damit Folgefragen auf allen Geräten funktionieren. Sie werden 30 Tage nach der letzten Nutzung des Gesprächs automatisch gelöscht; Sie können ein Gespräch oder alle jederzeit selbst löschen.
• Vorschläge von „Frag taldro": die vorgeschlagenen Änderungen, ihr Stand (vorgeschlagen, bestätigt, abgebrochen, verfallen) und die Zeitpunkte; sie werden mit dem Gespräch gelöscht.
• Änderungsprotokoll: Für jede bestätigte Änderung speichert taldro, welcher Gegenstand wie geändert wurde (der Wert vorher und nachher), wer sie bestätigt hat und wann, und ob sie rückgängig gemacht wurde. Das braucht das Rückgängigmachen; die Einträge werden 90 Tage nach der Änderung gelöscht.
• Fotos für einen Entwurf oder die Suche speichert taldro nicht, solange Sie sie nicht selbst als Foto eines Gegenstands speichern.
• Belege, die Sie lesen lassen, speichert taldro nur, wenn Sie sie mit „Keep the receipt" behalten (Abschnitt 7).

9.6 Nutzungsstatistik

Jede KI-Anfrage wird mit ihrem Zeitpunkt, Ihrem Konto, dem Inventar, der Art der Anfrage, dem KI-Anbieter und Modell, den verarbeiteten Tokens, ihren Kosten, ihrem Ergebnis (z. B. erfolgreich oder Zeitüberschreitung) und gegebenenfalls dem Tarif, über den sie abgerechnet wurde, festgehalten. Nie das Foto, die Frage, den Beleg oder die Antwort. Damit zählen wir freie Kontingente und Tarifkontingente und behalten die KI-Kosten im Blick.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Kontingente Ihres Kontos bzw. Tarifs) und Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Kontrolle der Kosten und der Verhinderung von Missbrauch).
Speicherdauer: Wir bewahren diese Einträge 12 Monate auf; innerhalb einer Stunde danach werden sie gelöscht, und es bleiben nur anonyme Monatssummen je Anbieter, Modell und Art der Anfrage, ohne Bezug zu einem Konto, Inventar oder Kunden. Damit das Löschen alter Einträge keine Kontingente zurücksetzt, behalten wir zwei Zählungen: für das kostenlose Kontingent die Zahl der KI-Aktionen, die ein Konto verbraucht hat, gespeichert beim Konto; und für einen Tarif die Zahl der KI-Aktionen je Abrechnungszeitraum, je Tarifkunde und Platz. Löschen Sie Ihr Konto, wird Ihre Kontokennung sofort aus allen KI-Nutzungseinträgen entfernt. Einträge, die über einen Tarif abgerechnet wurden, behalten eine zufällige Kennung, die sich nicht auf Sie zurückführen lässt, bis sie nach 12 Monaten gelöscht werden. Wird ein Inventar gelöscht, wird auch der Verweis auf das Inventar entfernt.

10. Etiketten drucken

Wenn Sie einen Etikettendrucker koppeln, läuft das Programm taldro-print auf einem Ihrer Rechner und holt Druckaufträge von unserem Server. Wir speichern zum gekoppelten Programm einen Namen, einen Hash seines Zugangsschlüssels, seine Version, die gemeldeten Drucker und Etikettenformate und den Zeitpunkt des letzten Kontakts. Ein Druckauftrag enthält ein PDF mit dem Etikett (QR-Link, Nummer, Name des Gegenstands); das PDF wird gelöscht, sobald das Etikett gedruckt, fehlgeschlagen oder abgebrochen ist. Der Eintrag über den Auftrag (Status, Zeiten, Fehlergrund, wer ihn ausgelöst hat) wird 30 Tage nach Abschluss gelöscht. Kopplungscodes werden nach einem Tag gelöscht, widerrufene Druckprogramme 30 Tage nach dem Widerruf. Ein gekoppeltes Druckprogramm kann nur seine eigenen Aufträge abrufen, nicht Ihr Inventar lesen.

Etiketten, die Sie ohne gekoppelten Drucker aus dem Browser drucken, speichert taldro nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

11. Tarifschlüssel

Bezahlte Tarife können derzeit nicht gebucht werden; taldro verarbeitet keine Zahlungen und keine Rechnungsdaten. Tarife werden als Tarifschlüssel vergeben, die man in taldro einlöst. Lösen Sie einen Tarifschlüssel ein, den wir Ihnen ausgegeben haben, speichern wir den Schlüssel und was er gewährt (Tarif, Plätze, Gegenstandsgrenze, KI-Kontingent, Laufzeit, Name des Lizenznehmers, Kundenkennung), mit Ihrem Konto und dem Zeitpunkt der Einlösung. Sobald Tarife gebucht werden können, ergänzen wir diese Erklärung vorher.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: bis zur Löschung Ihres Kontos, auch wenn Sie den Schlüssel vorher freigeben.

12. Cookies und Speicher auf Ihrem Gerät

Web-App: Die Web-App setzt ein einziges Cookie, __Host-taldro_session. Es hält Sie angemeldet: Es enthält Ihr Zugangstoken so verschlüsselt, dass weder die Seite selbst noch Dritte es lesen können, und wird nur an ui.taldro.com gesendet. Es läuft nach 30 Tagen ab, beim Schließen des Browsers, wenn Sie sich ohne die Option „Stay signed in for 30 days" (angemeldet bleiben) anmelden, und wird beim Abmelden gelöscht. Endet das Cookie beim Schließen des Browsers, ohne dass Sie sich abmelden, bleibt die zugehörige Anmeldung auf dem Server bestehen, bis sie wie in Abschnitt 5 beschrieben endet, spätestens 30 Tage nach der Anmeldung.

Außerdem speichert die Web-App einige Einstellungen im lokalen Speicher Ihres Browsers: ob Entwürfe aus Fotos automatisch starten, ob beim Speichern ein Etikett gedruckt wird, welches Inventar Sie zuletzt geöffnet haben, welche Fotos eines unterbrochenen Imports noch zu senden sind und gegebenenfalls die gewählte Hell-/Dunkel- Darstellung. Diese Angaben verlassen Ihren Browser nicht.

Apps: Die Apps speichern auf Ihrem Gerät Ihr Zugangstoken, die Adresse des Servers und Ihre Einstellungen, damit Sie angemeldet bleiben und die App funktioniert.

Das Cookie und diese Speicherungen sind unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen; eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b DSGVO. Es gibt keine Tracking-, Statistik- oder Werbe-Cookies, und weder die Website noch die Web-App lädt Inhalte von fremden Servern.

13. Die Apps

Die Apps nutzen die Kamera nur, um Fotos aufzunehmen und Codes zu scannen, NFC nur, um Tags zu lesen und zu beschreiben, und das Mikrofon nur, während Sie eine Frage sprechen. Die Spracherkennung läuft auf dem Gerät; ist auf Ihrem Gerät keine Erkennung ohne Internet verfügbar, bietet die App das Mikrofon gar nicht an. Antworten liest die Sprachausgabe Ihres Geräts vor; ob diese dafür Daten an ihren Anbieter sendet, hängt von deren Einstellungen ab. Die Apps enthalten keine Werbung, kein Tracking und keine eigenen Absturzberichte; zum Barcode-Scanner der Android-App siehe unten.

Barcode-Scanner (Android): QR- und Barcodes erkennt die Android-App mit der freien Bibliothek zxing auf dem Gerät selbst; dafür wird nichts gesendet, weder an uns noch an Dritte. Versionen der Android-App vor 0.19.0 nutzten dafür die Bibliothek ML Kit von Google, die technische Diagnosedaten an Google übermittelt; wenn Sie noch eine solche Version verwenden, vermeiden Sie das durch ein Update.

App-Stores: Wenn Sie eine App über Google Play oder den Apple App Store laden, verarbeiten Google bzw. Apple dabei Daten (etwa zu Ihrem Konto und dem Download) in eigener Verantwortung. Es gelten deren Datenschutzhinweise.

14. Datensicherung

Zum Schutz vor Datenverlust wird die gesamte Datenbank stündlich gesichert, verschlüsselt (restic), auf einen Speicher (Storage Box) der Hetzner Online GmbH in Falkenstein (Vogtland), Deutschland. Wir behalten stündliche Sicherungen für 24 Stunden, tägliche für 7 Tage, wöchentliche für 4 Wochen und monatliche für 12 Monate. Daten, die Sie löschen, bleiben deshalb in älteren Sicherungen enthalten, bis diese automatisch ablaufen, höchstens etwa 13 Monate. Sicherungen nutzen wir nur, um den Dienst nach einem Datenverlust wiederherzustellen. Wird eine Sicherung eingespielt, sind Daten, die Sie nach dem Zeitpunkt dieser Sicherung gelöscht haben, zunächst wieder vorhanden; Sie können sie dann erneut löschen oder uns um Löschung bitten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser und Ihr berechtigtes Interesse, keine Daten zu verlieren, sowie Art. 32 DSGVO.

15. Sicherheit

Alle Verbindungen zu taldro sind per TLS verschlüsselt. Passwörter speichern wir nur als Argon2-Hash, Zugangstoken, E-Mail-Links und Kopplungscodes nur als Hash. Die Datensicherungen sind verschlüsselt.

16. Empfänger

Wir verkaufen keine Daten und geben sie an niemanden weiter, außer an die folgenden Dienstleister, oder wenn wir gesetzlich dazu verpflichtet sind:

Die anderen Mitglieder eines Inventars sehen dessen Inhalte und die Mitgliederliste (Abschnitte 5 und 7).

17. Speicherdauer im Überblick

18. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Verarbeitung auf Grundlage einer Einwilligung findet nicht statt; es gibt daher auch keine Einwilligung zu widerrufen. Viele dieser Rechte können Sie direkt in taldro ausüben: Sie können Ihre Daten jederzeit ändern, löschen und Inventare mit Gegenständen und Fotos als Datei exportieren. Im Übrigen genügt eine Nachricht an die Adresse in Abschnitt 1.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht (Art. 77 DSGVO): Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der für uns zuständigen: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, https://www.lda.bayern.de.

19. Pflicht zur Bereitstellung, keine automatisierten Entscheidungen

Ohne E-Mail-Adresse, Anzeigenamen und Passwort können wir kein Konto anlegen; ohne die IP-Adresse kann keine Verbindung zu unseren Servern hergestellt werden. Alle weiteren Angaben sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Vorschläge der KI-Funktionen werden erst wirksam, wenn Sie sie übernehmen.

20. Die Demo (demo.taldro.com)

Unter demo.taldro.com können Sie taldro ohne Konto ausprobieren. Sie geben dafür keine E-Mail-Adresse, keinen Namen und kein Passwort an.

• Wegwerf-Gastkonto: Beim Start legt unser Server ein Gastkonto mit einer Kopie eines Beispiel-Inventars an. Nach 30 Minuten wird das Gastkonto mit allem gelöscht, was Sie darin eingetragen, fotografiert oder gefragt haben (in der Regel innerhalb einer weiteren Minute). Angemeldet hält Sie das Cookie aus Abschnitt 12; in der Demo gilt es nur für demo.taldro.com und endet spätestens, wenn Sie den Browser schließen.
• Tägliches Zurücksetzen: Jede Nacht ab 03:00 Uhr (deutsche Zeit) wird die Demo zurückgesetzt. Dabei werden alle Gastkonten gelöscht, auch solche, deren 30 Minuten noch nicht abgelaufen sind.
• KI-Funktionen: Ein Gast kann derzeit bis zu 3 KI-Aktionen nutzen. Wie in der App fragt taldro vor der ersten, ob es dafür Daten an Anthropic senden darf; erst nach Ihrer Erlaubnis werden Foto oder Frage wie in Abschnitt 9 beschrieben an Anthropic gesendet und verarbeitet. Beleg lesen ist in der Demo nicht verfügbar. Der Nutzungseintrag (Abschnitt 9.6) bleibt nach dem Löschen des Gastkontos ohne Bezug zu ihm erhalten.
• Begrenzung der Starts: Damit die Demo für alle verfügbar bleibt, ist die Zahl der Starts je Netz begrenzt. Dafür speichern wir zu jedem Start einen Hashwert (SHA-256) Ihres Netzes (bei IPv6 des /64-Präfixes, bei IPv4 der Adresse), nicht die IP-Adresse selbst, und löschen ihn nach 2 Tagen.
• Die Demo hat eine eigene Datenbank, die nicht gesichert wird; Abschnitt 14 gilt für sie nicht. Für die Zugriffs- und Fehlerprotokolle gilt Abschnitt 4.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Demo selbst und Abschnitt 9.4 für die KI-Funktionen; für die Begrenzung der Starts Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, die Demo vor Überlastung und Missbrauch zu schützen.

21. Änderungen

Wir passen diese Erklärung an, wenn sich taldro oder die Rechtslage ändert. Es gilt die jeweils auf taldro.com veröffentlichte Fassung.

English

Translation for information only. The German version above is binding.

1. Controller

The controller for the processing of personal data in taldro (Art. 4(7) GDPR) is:

Florian Schauer
Sudetenring 50
94234 Viechtach
Germany

Email: taldro@schauer.to

We have not appointed a data protection officer because the law does not require one (Art. 37 GDPR, § 38 BDSG). Please send questions about your data and requests to exercise your rights to the email or postal address above.

2. Scope

This notice covers

• the website taldro.com,
• the web app at ui.taldro.com,
• the server at api.taldro.com, which the web app, the taldro apps for Android and iOS and the taldro-print program talk to,
• the taldro apps while they are connected to our server (api.taldro.com), and
• the demo at demo.taldro.com (section 20).

taldro can also be run on other servers. If you use the app or the web app with a server someone else runs, that operator is responsible for the data processed there; this notice does not apply to it, and the app sends nothing to us in that case.

3. The website taldro.com

The website sets no cookies, runs no JavaScript and loads nothing from other servers (its font is served from our own server). There is no analytics, no tracking and no advertising.

To deliver a page, our server necessarily processes your IP address. Every request is also recorded in the access log (see section 4).

4. Access and error logs (all services)

For every request to taldro.com and its subdomains (including ui.taldro.com, api.taldro.com and our test environments) our reverse proxy stores a log entry with: your IP address and source port, date and time, the host requested, the request method, the path requested including any URL parameters (so, for links from our emails and invitation links, the code they contain), the protocol, the TLS version and cipher, the response status, the amount of data transferred, the processing time and the internal service that answered. Your browser's identifier (user agent), the page you came from (referrer) and other request headers are not logged. Our servers also write technical error and operations logs; these may contain internal identifiers (e.g. of accounts, inventories or items) and, when something fails, short excerpts of the content being processed.

For some functions (such as signing in, registering, sending emails to confirm an address or reset a password, redeeming plan keys, pairing a printer or the AI features) we limit the number of requests per IP address or network or per account; when you sign in we also count wrong attempts per email address (at most 5 in 15 minutes). The counters for this (the IP address or network, the account's identifier or the email address entered to sign in, with the times of the latest attempts) are held only in memory and never stored permanently; an attempt counts for at most one hour, and all counters are discarded at the latest when the server next restarts.

Purpose: operating the service, keeping it stable and secure, finding faults, preventing and investigating attacks and abuse.
Legal basis: Art. 6(1)(f) GDPR; our legitimate interest is a working and secure service.
Retention: logs are deleted automatically after 31 days.

5. Your account

Registration requires an invitation. To create an account you provide your email address, a display name and a password. We store the email address, the display name, a one-way hash of the password (Argon2; we do not store the password itself), when the account was created and last changed, whether and when you confirmed your email address, a counter of password resets and when you last ran an import.

When you sign in we create an access token and store only its hash, a name (e.g. for the device), its type, and when it was created and last used. A sign-in ends on the server 30 days after you signed in, or earlier if you sign out, end it under "Devices and tokens" in the account settings, change your password (which ends your other sign-ins) or reset it (which ends all of them), or delete your account. API tokens you create yourself are stored the same way, with an expiry if you choose one.

An invitation records which inventory it is for, the role it grants, who created it, how often it may be and has been used, and when it expires. Memberships record who is a member of an inventory, with which role (owner, editor, viewer) and since when. The other members of an inventory see your display name, your role and your joining date in its member list; only owners and editors see your email address, viewers do not.

If an owner removes a member from an inventory, we record who was removed and when, and also store a hash of the email address made with a secret key (HMAC), not the address itself. This way the removed person cannot come back through an older invitation, not even with a new account on the same address. Leaving an inventory yourself is not recorded.

Purpose and legal basis: providing the account and the service (Art. 6(1)(b) GDPR); for the records of removed members Art. 6(1)(f) GDPR (the owners' and our legitimate interest in access that was taken away staying taken away).
Retention: until you delete your account; sign-ins until they end as described above, and expired sign-ins and API tokens are deleted within an hour of expiring. The record of who was removed is deleted with the removed person's account or with the inventory, the hash of the email address only with the inventory.

Deleting your account: you can delete your account at any time in the account settings. This immediately deletes your account, your sign-ins and API tokens, your memberships, the invitations you created, your pending email links, the plan keys you redeemed, your permission for the AI features and your "Ask taldro" conversations with the proposals made in them. If you are the only owner of an inventory, you must first hand it to another owner or delete it. Content you added to shared inventories belongs to the inventory and stays there, purchase details and receipts included. Where records merely point to your account (e.g. "created by" on paired print programs, print jobs and receipts, or "done by" in the Ask taldro change log), that link is removed. For AI usage records see section 9.6, for backups section 14.

6. Email

Account emails. We send email only when your account needs it: to confirm your email address, to reset your password and to confirm a new email address. No newsletters, no advertising. Each link in such an email works once and expires; we store only a hash of the link, the kind of email, for an address change the new address, and when the link was created, expires and was used. These records are deleted no later than 7 days after they expire. Legal basis: Art. 6(1)(b) GDPR.

Contacting us by email. If you write to taldro@schauer.to (for example with a question or to ask for an invitation), we process your address, your name if given, and the content of your message to answer you; an invitation is sent to you by email. Legal basis: Art. 6(1)(b) GDPR where your request concerns your account or aims at using taldro, otherwise Art. 6(1)(f) GDPR (our legitimate interest in answering enquiries). We delete the correspondence once it is settled. Only where a message must be kept under tax or commercial law (§ 147 AO, § 257 HGB) do we keep it until the statutory period ends (Art. 6(1)(c) GDPR). "Help & feedback" in the apps and on the web, and "Write to us" on the error page, only open your own mail app with a prefilled draft (version, platform, operating system version); only what you send yourself reaches us.

Service provider. Email is sent and received through Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland, which acts on our behalf. Proton receives the recipient or sender address and the content of the email. Switzerland is covered by an adequacy decision of the European Commission (Art. 45 GDPR).

7. Your inventories and photos

What you enter in taldro is stored on our server: inventories, items, boxes, shelves and rooms with their names, descriptions, properties, quantities, numbers, tags and codes (NFC, QR, barcodes), photos (with a thumbnail) and the trash.

Purchase details and receipts. For an item you can store purchase details: price and currency, purchase date, shop, warranty end and where that date came from (the receipt, the inventory's default warranty period, or you). You can also keep a receipt (till receipt, invoice, order confirmation) in the inventory as a photo, a PDF or text, together with the shop, date, currency and total. The receipt is stored unredacted and contains whatever is printed on it, such as the last digits of a card, a customer number or, for orders, a delivery address. In taldro only owners and editors can open the receipt; viewers see the purchase details, not the receipt. An export of the inventory, which every member can make, contains the stored receipts only when an owner or editor makes it; a viewer's export contains the purchase details without the receipts. How a receipt is read with the AI feature is described in section 9.1.

The web app and the apps shrink a photo before uploading it and save it anew as a JPEG. In addition, our server removes the camera's metadata, e.g. GPS location, time taken, device and serial number, from every photo it stores (photos of items and of receipts, whether from the app, through the programming interface or from an import file); only what is needed to display it correctly (orientation and colour profile) is kept. PDF and text receipts are stored as they arrive.

Please note: your entries and photos may contain personal data, including about other people (e.g. people in a photo). Only store what you are allowed to store.

The members of an inventory see its content according to their role; other taldro users do not. As the operator we have technical access to the stored data; we use it only to run the service.

Where: in a PostgreSQL database (photos included) on servers of Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany, in its data centre park in Falkenstein (Vogtland), Germany. Hetzner runs the servers on our behalf.

Purpose and legal basis: providing the service (Art. 6(1)(b) GDPR).

Retention: until you delete it. Deleted items go to the trash and are deleted for good after 30 days, or earlier if you empty the trash; their purchase details are deleted with them. You can delete a receipt at any time (the purchase details then stay); a receipt that no purchase details point to is deleted automatically once it is more than a day old. Deleting an inventory deletes all of its content.

Export and import: you can export an inventory with its items, photos, purchase details and, as an owner or editor, its receipts as a file at any time. During an import, the uploaded file is stored only temporarily while it is processed.

Other people's data: if you enter data about other people (e.g. family members, employees or customers), we base storing it on Art. 6(1)(f) GDPR (your and our legitimate interest in using the service you chose). We do not currently offer a data processing agreement for businesses.

8. Search by meaning, duplicate hints and placement suggestions

So that you can find things without the exact words, taldro turns the text of each item (name, description, tags, properties) and your search queries into vectors of numbers ("embeddings"). This happens only on our own server with an openly available model (multilingual-e5-small); the text is not sent to anyone for this. Embeddings are stored with the item and deleted with it. Hints about possible duplicates and suggestions of where a new item belongs use the same embeddings and also run only on our server.

Legal basis: Art. 6(1)(b) GDPR.

9. AI features (Anthropic)

9.1 Which features send data to an AI provider

The following features use an external AI model (Claude) and send data to Anthropic for this. The requests are made by our server, not by your device, so Anthropic receives neither your IP address nor your display name, your email address or an identifier of your account. Whatever you yourself record in photos, questions, receipts or items is, however, sent as described.

• Draft from a photo: the photo of a new item is sent; Anthropic suggests a name, description, properties and tags. Nothing is saved until you save. In the web app and the apps this feature is switched on by default when the server offers it: when you choose a photo for a new item, it is sent automatically. You can switch this off in the settings; the setting applies per device or browser.
• Find by photo: the photo is sent together with the names of up to 12 recently changed items of the inventory you search (so that the description comes in your inventory's language). taldro then searches with that description on its own server. To confirm a match, a second call may send the photo with the names of up to 5 candidates. taldro does not store the photo.
• Ask taldro: your question (up to 2,000 characters) is sent together with up to 40 items that may answer it (for each: internal identifier, name, location, quantity, number of things inside and when it was last changed), and the earlier questions and answers of the same conversation (up to 20 turns). In the Android app, spoken questions are turned into text on the device itself; no audio leaves the device. Answers are read aloud by your device's text-to-speech engine; taldro sends nothing to us or Anthropic for this. When owners or editors ask for a change (e.g. to move something, change a quantity or a name, add a tag or put something in the trash), the answer may contain a proposal. Nothing changes until you confirm it with "Do it"; a proposal you do not confirm within 30 minutes lapses. You can undo a confirmed change for 24 hours.
• Reading a receipt: the text of a PDF receipt (at most 10 pages; our server reads the text from the PDF, the PDF itself is not sent) or text you paste or share with the Android app is sent in full; Anthropic reads the shop, date, amounts and up to 40 lines from it. Nothing from your inventory is sent along. Photos of receipts are currently not sent to Anthropic. Nothing is saved until you accept it in the review, and the receipt itself only if "Keep the receipt" is switched on.

The features run only when you trigger them (for drafts from a photo: by choosing the photo while the automatic draft is switched on). Please do not send photos, receipts or questions containing anything no third party should see, such as documents with personal data of other people.

Before any AI feature sends anything for the first time, taldro asks whether it may, and says what is sent and to whom. Until you allow it, nothing is sent to Anthropic, also not by the automatic draft: our server refuses every AI request while your permission is missing. The permission applies to your account on all devices; we store when you gave it. You can take it back in the settings ("Allow AI features") at any time; after that nothing is sent until you agree again. This question is how the apps let you decide; it does not change the legal basis in section 9.4.

9.2 Recipient

The provider is Anthropic Ireland, Limited, Dublin, Ireland, through its commercial programming interface (API), which acts on our behalf. Processing also takes place at its parent company Anthropic, PBC (San Francisco, USA) and its sub-processors, i.e. in the USA.

Under Anthropic's terms for commercial customers the data is not used to train AI models and is deleted by Anthropic within 30 days. Content that Anthropic's automated systems flag as violating its usage policy may be kept for up to 2 years and the resulting classification scores for up to 7 years; data may be kept longer where the law requires.

9.3 Transfer to the USA

We do not rely on the adequacy decision for the EU-U.S. Data Privacy Framework for this transfer. Its basis is the EU standard contractual clauses (Commission Implementing Decision (EU) 2021/914, Module 2 or 3; Art. 46(2)(c) GDPR), which under Anthropic's terms for commercial customers are part of Anthropic's Data Processing Addendum. You can obtain a copy by writing to the address in section 1. Authorities in the USA may in some circumstances access the transferred data.

9.4 Legal basis

Art. 6(1)(b) GDPR: the AI features are part of the service, and each transfer happens because you use the feature. Where your content contains personal data of third parties, we rely on Art. 6(1)(f) GDPR (your and our legitimate interest in the feature you asked for). You do not have to use the AI features and can switch off the automatic draft or take back the permission at any time; everything else in taldro keeps working.

9.5 What taldro stores

• Ask taldro conversations: your questions and the answers (not the item lists sent to Anthropic), the first 60 characters of the first question as the title, and references to the items mentioned, so that follow-up questions work on all your devices. They are deleted automatically 30 days after the conversation was last used; you can delete one or all of them at any time.
• Ask taldro proposals: the proposed changes, their state (proposed, confirmed, cancelled, lapsed) and the times; they are deleted with the conversation.
• Change log: for every confirmed change taldro stores which item was changed and how (the value before and after), who confirmed it and when, and whether it was undone. Undo needs this; the entries are deleted 90 days after the change.
• Photos sent for a draft or a search are not stored by taldro unless you save them yourself as an item's photo.
• Receipts you have read are stored by taldro only if you keep them with "Keep the receipt" (section 7).

9.6 Usage records

Each AI request is recorded with its time, your account, the inventory, the kind of request, the AI provider and model, the tokens used, its cost, its outcome (e.g. success or timeout) and, where applicable, the plan it was counted against. Never the photo, the question, the receipt or the answer. We use these records to count free and plan allowances and to keep track of AI costs.

Legal basis: Art. 6(1)(b) GDPR (the allowances of your account or plan) and Art. 6(1)(f) GDPR (our legitimate interest in controlling costs and preventing abuse).
Retention: we keep these records for 12 months; within an hour after that they are deleted and only anonymous monthly totals per provider, model and kind of request remain, with no link to any account, inventory or customer. So that deleting old records cannot reset limits, we keep two counts: for the free allowance, the number of AI actions an account has used, stored with the account; and for a paid plan, the number of AI actions used in each billing period, per plan customer and seat. When you delete your account, your account id is removed from all AI usage records at once. Records that a paid plan paid for keep a random identifier that cannot be linked back to you, until they are deleted after 12 months. If an inventory is deleted, the link to the inventory is removed as well.

10. Printing labels

If you pair a label printer, the taldro-print program runs on a computer of yours and fetches print jobs from our server. For the paired program we store a name, a hash of its access key, its version, the printers and label formats it reports and when it was last in contact. A print job contains a PDF with the label (QR link, number, item name); the PDF is deleted as soon as the label is printed, fails or is cancelled. The record of the job (state, times, reason for a failure, who started it) is deleted 30 days after it finished. Pairing codes are deleted after one day, revoked print programs 30 days after revocation. A paired print program can fetch only its own jobs; it cannot read your inventory.

Labels you print from the browser without a paired printer are not stored by taldro.

Legal basis: Art. 6(1)(b) GDPR.

11. Plan keys

Paid plans cannot be booked yet; taldro processes no payments and no invoicing data. Plans are issued as plan keys that are redeemed in taldro. When you redeem a plan key we issued to you, we store the key and what it grants (plan, seats, item limit, AI allowance, period, licensee name, customer identifier) with your account and the time of redemption. Before plans can be booked, we will extend this notice.

Legal basis: Art. 6(1)(b) GDPR.
Retention: until you delete your account, even if you release the key earlier.

12. Cookies and storage on your device

Web app: the web app sets one cookie, __Host-taldro_session. It keeps you signed in: it holds your access token, encrypted so that neither the page itself nor anyone else can read it, and it is sent only to ui.taldro.com. It expires after 30 days, when you close the browser if you signed in without "Stay signed in for 30 days", and is deleted when you sign out. If the cookie ends when you close the browser without you signing out, the sign-in it belongs to stays on the server until it ends as described in section 5, at the latest 30 days after you signed in.

The web app also keeps a few settings in your browser's local storage: whether drafts from photos start automatically, whether a label prints when you save an item, the inventory you last opened, which photos of an interrupted import are still to be sent and, if chosen, light or dark mode. These never leave your browser.

Apps: the apps store your access token, the server address and your settings on your device, so that you stay signed in and the app works.

The cookie and this storage are strictly necessary to provide the service you asked for, so no consent is needed (§ 25(2) no. 2 TDDDG). The subsequent processing is based on Art. 6(1)(b) GDPR. There are no tracking, analytics or advertising cookies, and neither the website nor the web app loads anything from other servers.

13. The apps

The apps use the camera only to take photos and scan codes, NFC only to read and write tags, and the microphone only while you speak a question. Speech recognition runs on the device; if your device offers no offline recognition, the app does not offer the microphone at all. Answers are read aloud by your device's text-to-speech engine; whether it sends data to its provider depends on its settings. The apps contain no advertising, no tracking and no crash reporting of their own; for the Android app's barcode scanner see below.

Barcode scanner (Android): the Android app recognises QR codes and barcodes on the device itself with the open source library zxing; nothing is sent for this, neither to us nor to anyone else. Versions of the Android app before 0.19.0 used Google's ML Kit library for this, which sends technical diagnostic data to Google; if you still use such a version, updating avoids that.

App stores: if you download an app through Google Play or the Apple App Store, Google or Apple process data (e.g. about your account and the download) as independent controllers. Their privacy notices apply.

14. Backups

To protect against data loss, the whole database is backed up every hour, encrypted (restic), to a storage service (Storage Box) of Hetzner Online GmbH in Falkenstein (Vogtland), Germany. We keep hourly backups for 24 hours, daily ones for 7 days, weekly ones for 4 weeks and monthly ones for 12 months. Data you delete therefore remains in older backups until they expire automatically, at most about 13 months. Backups are used only to restore the service after a data loss. If a backup is restored, data you deleted after that backup was made is present again at first; you can then delete it again or ask us to delete it.

Legal basis: Art. 6(1)(f) GDPR, our and your legitimate interest in not losing data, and Art. 32 GDPR.

15. Security

All connections to taldro are encrypted with TLS. Passwords are stored only as Argon2 hashes; access tokens, email links and pairing codes only as hashes. Backups are encrypted.

16. Recipients

We do not sell data and do not pass it on to anyone except the following service providers, or where the law obliges us to:

The other members of an inventory see its content and its member list (sections 5 and 7).

17. Retention at a glance

18. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18) and data portability (Art. 20). No processing is based on consent, so there is no consent to withdraw. You can exercise many of these directly in taldro: you can change and delete your data at any time and export inventories with their items and photos as a file. Otherwise, a message to the address in section 1 is enough.

Right to object (Art. 21 GDPR): where we process data on the basis of Art. 6(1)(f) GDPR, you may object at any time on grounds relating to your particular situation. We will then stop processing the data unless we can demonstrate compelling legitimate grounds that override your interests, or the processing serves the establishment, exercise or defence of legal claims.

Right to lodge a complaint (Art. 77 GDPR): you may complain to a data protection supervisory authority, for example the one responsible for us: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Germany, https://www.lda.bayern.de.

19. Obligation to provide data; no automated decisions

Without an email address, a display name and a password we cannot create an account; without your IP address no connection to our servers can be made. Everything else is voluntary. There is no automated decision-making, including profiling, within the meaning of Art. 22 GDPR. Suggestions from the AI features take effect only when you accept them.

20. The demo (demo.taldro.com)

At demo.taldro.com you can try taldro without an account. You give no email address, no name and no password for it.

• Throwaway guest account: when you start, our server creates a guest account with a copy of a sample inventory. After 30 minutes the guest account is deleted together with everything you entered, photographed or asked in it (usually within one more minute). The cookie from section 12 keeps you signed in; in the demo it is sent only to demo.taldro.com and ends at the latest when you close the browser.
• Daily reset: every night from 03:00 (German time) the demo is reset. This deletes every guest account, also those whose 30 minutes are not yet over.
• AI features: a guest can currently use up to 3 AI actions. As in the app, taldro asks before the first one whether it may send data to Anthropic for this; only after you allow it are the photo or the question sent to and processed by Anthropic as described in section 9. Reading receipts is not available in the demo. The usage record (section 9.6) is kept after the guest account is deleted, without any link to it.
• Limiting starts: so that the demo stays available to everyone, the number of starts per network is limited. For this we store, for each start, a hash (SHA-256) of your network (for IPv6 its /64 prefix, for IPv4 the address), not the IP address itself, and delete it after 2 days.
• The demo has its own database, which is not backed up; section 14 does not apply to it. Access and error logs are covered by section 4.

Legal basis: Art. 6(1)(b) GDPR for the demo itself and section 9.4 for the AI features; for limiting starts Art. 6(1)(f) GDPR, our legitimate interest in protecting the demo from overload and abuse.

21. Changes

We update this notice when taldro or the law changes. The version published on taldro.com applies.