Datenschutzerklärung

Stand: November 2026

Kurz gesagt

Todo nutzt kein Tracking und keine Analysewerkzeuge und lädt keine Inhalte von fremden Servern. Gespeichert wird nur, was die App zum Funktionieren braucht: Ihr Konto (Name, E-Mail-Adresse, Passwort als Hash) und Ihre Listen und Aufgaben. Für die Anmeldung wird ein einziges, technisch notwendiges Cookie gesetzt. Zahlungen für das Abo laufen über Stripe. Sie können Ihr Konto samt allen Daten jederzeit selbst in der App löschen.

1. Verantwortlicher

Martin Pappenberger
MAPA AI – eine Marke von MAPA Webdesign
Waldstrasse 4, 94113 Tiefenbach
E-Mail: mapa.webdesign.ai@gmail.com

2. Hosting und Server-Logfiles

Diese Anwendung wird bei Hostinger gehostet (Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern). Beim Aufruf speichert der Server automatisch Informationen, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Referrer-URL sowie Browsertyp und Betriebssystem.

Diese Daten sind technisch nötig, um die Anwendung auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb). Eine Zusammenführung mit anderen Daten findet nicht statt. Die Logfiles werden nach Ablauf der vom Hoster festgelegten Speicherfrist automatisch gelöscht. Mit dem Hoster besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

3. Nutzerkonto und Aufgaben

Um Todo zu nutzen, legen Sie ein Konto an. Dabei verarbeite ich Ihren Namen, Ihre E-Mail-Adresse und Ihr Passwort. Das Passwort wird ausschließlich als Hash gespeichert und ist für mich nicht lesbar. Außerdem speichere ich die Inhalte, die Sie in der App anlegen: Listen und Aufgaben einschließlich Notizen, Fälligkeitsdaten und Markierungen, sowie den Zeitpunkt der Registrierung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen gewünschten Anwendung). Die Daten liegen auf dem Server des Hosters und werden nicht an Dritte weitergegeben. Sie bleiben gespeichert, solange Ihr Konto besteht. Löschen Sie Ihr Konto in der App unter „Konto“, werden Konto, Listen und Aufgaben sofort und unwiderruflich entfernt.

4. Anmeldung, Cookie und Schutz vor Missbrauch

Nach der Anmeldung setzt die App ein Sitzungs-Cookie („todo_sid“), damit Sie angemeldet bleiben. Es enthält nur eine zufällige Kennung, ist bis zu 30 Tage gültig und wird beim Abmelden ungültig. Das Cookie ist für die Nutzung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig.

Zum Schutz vor dem Ausprobieren von Passwörtern werden fehlgeschlagene Anmeldeversuche mit IP-Adresse, eingegebener E-Mail-Adresse und Zeitpunkt kurzzeitig gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Konten).

5. E-Mails zum Zurücksetzen des Passworts

Wenn Sie „Passwort vergessen“ nutzen, sendet die App eine E-Mail mit einem Link an die hinterlegte Adresse. Der Link ist eine Stunde gültig. Der Versand erfolgt über den Mailserver des Hosters. Andere E-Mails, etwa Newsletter oder Werbung, verschickt die App nicht.

6. Abo und Zahlung

Nach einer kostenlosen Testphase ist Todo kostenpflichtig. Wenn Sie ein Abo abschließen, wird die Zahlung über Stripe abgewickelt (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Dafür übermittle ich Ihren Namen, Ihre E-Mail-Adresse und eine interne Kontonummer an Stripe. Ihre Zahlungsdaten (z. B. Karten- oder Kontodaten) geben Sie ausschließlich auf den Seiten von Stripe ein; ich erhalte und speichere sie nicht.

In der App gespeichert werden nur die Kundennummer und die Abo-Nummer bei Stripe, der Status des Abos und das Ende des bezahlten Zeitraums. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Abos). Rechnungs- und Zahlungsbelege bewahre ich im Rahmen der gesetzlichen Aufbewahrungspflichten auf (Art. 6 Abs. 1 lit. c DSGVO).

Stripe verarbeitet Daten auch in den USA; Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Stripe verarbeitet Daten außerdem in eigener Verantwortung, etwa zur Betrugsvermeidung. Näheres steht in der Datenschutzerklärung von Stripe unter stripe.com/de/privacy.

7. Kontakt per E-Mail

Wenn Sie mich per E-Mail kontaktieren, verarbeite ich Ihre Angaben (z. B. Name, E-Mail-Adresse, Inhalt der Anfrage), um Ihre Anfrage zu bearbeiten und mögliche Anschlussfragen zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage mit einem Vertrag oder vorvertraglichen Maßnahmen zusammenhängt, ansonsten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Für E-Mails nutze ich den Dienst Gmail der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Dabei können Daten auch an Google LLC in den USA übermittelt werden. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Wenn Sie das vermeiden möchten, schreiben Sie mir gerne per Post an die oben genannte Anschrift.

Ihre Angaben lösche ich, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten (z. B. aus Handels- oder Steuerrecht) entgegenstehen.

8. Tracking und externe Inhalte

Todo verwendet keine Analyse- oder Trackingdienste, keine Social-Media-Plugins und keine eingebetteten Inhalte Dritter. Es werden die Schriften Ihres Geräts verwendet; es findet keine Verbindung zu Google Fonts oder anderen Anbietern statt.

9. SSL- bzw. TLS-Verschlüsselung

Diese Anwendung nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie an „https://“ in der Adresszeile Ihres Browsers.

10. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie auf Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21). Eine Nachricht an die oben genannte Adresse genügt.

Außerdem können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

11. Änderungen

Ich passe diese Datenschutzerklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.