Tusen Takk

DE EN NO

← Zurück

Datenschutzerklärung

Stand: Mai 2026

1 Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung („DSGVO") ist:

Constantin Hirt
Gasborn 23
52062 Aachen, Deutschland
E-Mail: hello@tusentakk.app

2 Geltungsbereich

Diese Datenschutzerklärung gilt für die mobile Anwendung „Tusen Takk" (iOS, ggf. Android) sowie die Webseite tusentakk.app.

3 Welche Daten wir verarbeiten

3.1 Konto- und Profildaten

Bei der Registrierung und Nutzung verarbeiten wir folgende Daten:

• Name (Anzeigename in der App);
• E-Mail-Adresse;
• Passwort als bcrypt-Hash (Salt-Rounds: 10) — das Klartextpasswort wird zu keinem Zeitpunkt gespeichert;
• Registrierungszeitpunkt;
• PayPal.Me-Benutzername (sofern vom Nutzer im Profil hinterlegt);
• Profilfoto / Avatar (sofern hochgeladen).

3.2 Transaktions- und Aktivitätsdaten

• Versendete und empfangene Geschenk-Token (Geschenkart, Betrag in Cent, Status, Zeitstempel);
• Anlasstexte und Notizen, die du beim Senden optional eingibst;
• Selfies und Captions, die zur Einlösung hochgeladen werden;
• Freigabe-/Ablehnungsentscheidungen und Zeitstempel;
• Chat-Beiträge (Kommentare, Reaktionen, Fotos) im Geschenk-Verlauf;
• Punkte-Ereignisse („Social Score"), Wochen-Challenges, Achievements, Freundschaftsbeziehungen;
• Bei nicht registrierten Empfängern: deren E-Mail-Adresse als Pending-Gift-Eintrag, bis zur Registrierung oder maximal 90 Tage.

3.3 Geräte- und technische Daten

• Authentifizierungs-Token (JWT, Gültigkeit 30 Tage, lokal auf dem Gerät gespeichert);
• Push-Notification-Token (Expo Push Service), sofern der Nutzer Push-Benachrichtigungen erlaubt;
• Server-Log-Daten (Zeitpunkt, IP-Adresse, User-Agent, aufgerufene Endpunkte) zur Sicherstellung der Funktionsfähigkeit und Abwehr von Angriffen.

4 Zwecke und Rechtsgrundlagen der Verarbeitung

Zweck	Rechtsgrundlage
Bereitstellung der App, Authentifizierung und Kontoverwaltung	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Abwicklung von Geschenk-Transaktionen einschließlich Einlösung und Auszahlung	Art. 6 Abs. 1 lit. b DSGVO
Anzeige von Selfies an den Sender zur Freigabe	Art. 6 Abs. 1 lit. b DSGVO; ggf. Art. 9 Abs. 2 lit. a DSGVO (Einwilligung), siehe Ziffer 6
Push-Benachrichtigungen	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und lit. b DSGVO
Punkte-, Stufen- und Leaderboard-Funktion	Art. 6 Abs. 1 lit. b DSGVO
Server-Logs zur IT-Sicherheit	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
Erfüllung gesetzlicher Pflichten (z. B. Auskunfts-, Aufbewahrungspflichten)	Art. 6 Abs. 1 lit. c DSGVO

5 Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur an Empfänger weiter, wenn dies zur Erbringung des Dienstes erforderlich ist oder eine gesetzliche Verpflichtung besteht. Zum Einsatz kommen folgende Auftragsverarbeiter bzw. eigenverantwortliche Empfänger:

• PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg — Abwicklung der Auszahlungen via PayPal.Me. Übermittelt werden ausschließlich der PayPal.Me-Username sowie der Auszahlungsbetrag.
• Expo (650 Industries, Inc.), USA — Bereitstellung des Push-Notification-Service. Datentransfer in die USA auf Grundlage der EU-Standardvertragsklauseln.
• Replit, Inc., USA — Hosting und Betrieb der Backend-Server (Express) sowie der App-Infrastruktur. Datentransfer in die USA auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework).
• Apple Inc. — Vertrieb der App über den App Store; übermittelt werden technische Telemetriedaten gemäß Apple-Richtlinien.

Eine Datenübermittlung in Drittländer außerhalb der EU/EWR erfolgt nur auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

6 Verarbeitung des Einlösungs-Selfies

Zum Nachweis, dass ein Empfänger das ihm zugedachte Geschenk tatsächlich in Anspruch genommen hat, lädt der Empfänger im Rahmen des Einlösungsprozesses ein Foto (in der Regel ein Selfie mit dem Geschenk) hoch. Dieses Foto wird ausschließlich dem Sender des Geschenks zur Bestätigung angezeigt.

Zweck der Verarbeitung: Nachweis der tatsächlichen Einlösung, um den Sender in die Lage zu versetzen, die Zahlung freizugeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des vom Nutzer initiierten Einlösungsvorgangs) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch bewusstes Hochladen). Soweit ein Selfie Gesichtsmerkmale enthält, die im Einzelfall als biometrische Daten i. S. d. Art. 9 DSGVO eingestuft werden können, erfolgt die Verarbeitung zusätzlich auf Grundlage der ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.

Speicherdauer: Das Foto wird 30 Tage nach der finalen Bestätigung durch den Sender automatisch aus unseren Systemen gelöscht. Wird die Einlösung vom Sender nicht bestätigt, erfolgt die Löschung 30 Tage nach dem Hochladen. Der Empfänger kann das Foto jederzeit vorher selbst löschen.

Empfänger der Daten: Das Foto wird ausschließlich dem Sender des jeweiligen Geschenks angezeigt. Es findet keine automatisierte Gesichtserkennung, kein biometrischer Abgleich und keine Weitergabe an Dritte statt.

Widerruf und Löschung: Der Empfänger kann seine Einwilligung jederzeit widerrufen und die Löschung des Fotos mit sofortiger Wirkung anfordern, ohne dass hierfür ein Grund erforderlich ist. Kontakt hierfür: hello@tusentakk.app.

7 Speicherdauer

• Konto- und Profildaten: bis zur Löschung des Kontos.
• Transaktionsdaten: bis zur Löschung des Kontos, danach Anonymisierung; gesetzliche Aufbewahrungsfristen bleiben unberührt.
• Selfies aus Einlösungen: automatische Löschung 30 Tage nach finaler Bestätigung durch den Sender bzw. 30 Tage nach Upload, falls keine Bestätigung erfolgt (siehe Ziffer 6). Chat-Inhalte: bis zur Löschung durch den Nutzer oder bis zur Kontolöschung, spätestens jedoch 30 Tage nach Kontolöschung.
• Pending-Gifts (E-Mails nicht registrierter Empfänger): automatische Löschung nach 90 Tagen ohne Claim.
• Server-Logs: max. 30 Tage.
• Push-Token: bis zum Widerruf der Push-Einwilligung oder Kontolöschung.

8 Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO);
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an hello@tusentakk.app sowie die in der App vorhandene Funktion „Konto löschen" (Profil → Einstellungen).

9 Sicherheit

• Datenübertragung ausschließlich verschlüsselt über HTTPS/TLS;
• Passwörter werden mit bcrypt gehasht und nicht im Klartext gespeichert;
• Authentifizierung über JWT-Token mit begrenzter Gültigkeitsdauer;
• Zugriff auf die Datenbank ist nur autorisierten Diensten und Personen möglich;
• Rate-Limiting auf sensiblen Endpunkten (Login, Signup, Coin-Send, Avatar-Upload);
• Regelmäßige Updates der eingesetzten Komponenten.

10 Automatisierte Entscheidungen und Profiling

Es findet keine ausschließlich automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Die Freigabe eines Selfies erfolgt stets manuell durch den Sender. Punkte werden anhand fester Regeln vergeben und führen nicht zu rechtlichen oder vergleichbar erheblichen Wirkungen.

11 Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich Funktionen der App ändern oder die Rechtslage dies erfordert. Wesentliche Änderungen werden über die App oder per E-Mail mitgeteilt.

12 Kontakt zum Datenschutz

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter:

Constantin Hirt — Datenschutz
Gasborn 23
52062 Aachen
E-Mail: hello@tusentakk.app