Zum Inhalt springen
vord Join waitlist macOS 15+ · Apple Silicon & Intel

Legal

Datenschutzerklärung für die vord-Apps

Stand: 14. Juli 2026

Diese Datenschutzerklärung gilt für die Apps vord (macOS), vord mobile (iOS), vord Cowork (macOS) und vord Cowork (iOS) sowie für den zugehörigen Konto-, Lizenz- und Verbindungsdienst unter vord-app.dev (Nutzerbereich, API und Relay). Für den Besuch unserer Website gilt eine separate Datenschutzerklärung.

1. Verantwortlicher

Tiamat UG (haftungsbeschränkt)
An der Strusbek 12
22926 Ahrensburg
Deutschland

Vertreten durch: Ansgar Holtmann
Handelsregister: HRB 25322 HL, Amtsgericht Lübeck
E-Mail: mail@tiamat-labs.com

Datenschutzanfragen richten Sie bitte an mail@tiamat-labs.com.

2. Das Grundprinzip: Ihre Inhalte bleiben bei Ihnen

Die vord-Apps sind Werkzeuge, um Coding-Agenten-Sitzungen zu betreiben, die vollständig auf Ihrem eigenen Mac laufen. Ihr Quellcode, Ihre Terminal-Ein- und -Ausgaben, Ihre Chat-Nachrichten und Ihre Bildanhänge werden von uns weder gespeichert noch gelesen:

  • Die Mac-Apps führen alle Sitzungen lokal auf Ihrem Gerät aus.
  • Die Verbindung zwischen Ihrem Mac und Ihrem iPhone läuft über unseren Vermittlungsserver (Relay), ist aber Ende-zu-Ende-verschlüsselt (ChaCha20-Poly1305 mit für jede Verbindung neu ausgehandelten Schlüsseln). Der Relay-Server leitet diese verschlüsselten Datenpakete nur weiter; er kann sie nicht entschlüsseln und speichert sie nicht.

Eine bewusste Ausnahme von diesem Prinzip sind Push-Benachrichtigungen (Abschnitt 7): Deren Titel und Text müssen zur Zustellung kurzzeitig im Klartext auf unserem Server verarbeitet und an Apple übermittelt werden.

Damit die Apps funktionieren, verarbeiten wir die in den folgenden Abschnitten beschriebenen Konto-, Geräte- und Verbindungsdaten.

3. Konto und Anmeldung

Für Kauf, Testphase und die Pro-Funktionen (iPhone-Anbindung, Sitzungs-Freigabe) ist ein Konto erforderlich. Dabei verarbeiten wir:

  • E-Mail-Adresse (zugleich Anmeldename; wird per Bestätigungs-E-Mail verifiziert, Double-Opt-In)
  • Passwort — ausschließlich als kryptografischer Hash (scrypt) gespeichert, niemals im Klartext
  • Konto-Metadaten: Zeitpunkt der Registrierung, Verifizierungsstatus, Beginn und Dauer einer Testphase, gewähltes Produkt

Einen Namen oder weitere Stammdaten erheben wir bei der Registrierung nicht.

Die Bereitstellung von E-Mail-Adresse und Gerätedaten ist für den Vertragsschluss erforderlich: Ohne diese Angaben können wir Konto, Lizenz und die Pro-Funktionen nicht bereitstellen. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

Wenn Sie Teammitglieder einladen (Organisations-Funktion), speichern wir die von Ihnen eingegebene E-Mail-Adresse der eingeladenen Person, um die Einladung zuzustellen und zuzuordnen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen).

4. Lizenzen, Testphase und Geräte

Zur Durchsetzung der Lizenz (Anzahl gleichzeitig aktivierter Geräte, „Seats") speichern wir je aktiviertem Gerät:

  • eine Gerätekennung (auf dem Mac die Hardware-UUID des Geräts; sie dient ausschließlich der Seat-Zuordnung)
  • den Gerätenamen, wie er in den Systemeinstellungen Ihres Geräts vergeben ist (z. B. „MacBook Pro von …"; Sie können diesen Namen in den Systemeinstellungen jederzeit ändern)
  • Plattform und Produkt (z. B. macOS/vord) sowie Zeitstempel der Aktivierung und der letzten Lizenzprüfung (die Apps prüfen die Lizenz etwa einmal täglich)

Bei einer kostenlosen Testphase speichern wir deren Startzeitpunkt an Ihrem Konto. Deaktivierte Geräte und beendete Aktivierungen werden als widerrufen markiert; vollständig gelöscht werden sie mit der Löschung Ihres Kontos (Abschnitt 14).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Lizenzmissbrauch).

5. Zahlungsabwicklung (Stripe)

Käufe und Abonnements wickeln wir über den Zahlungsdienstleister Stripe ab (Stripe Payments Europe, Ltd., Irland; ggf. Datenübermittlung an Stripe, Inc., USA). Die Eingabe Ihrer Zahlungsdaten erfolgt direkt bei Stripe im gehosteten Bezahlformular; Ihre Kartendaten erreichen unsere Server zu keinem Zeitpunkt. Auch Rechnungsadresse und optionale USt-IdNr. geben Sie direkt bei Stripe ein; uns erreichen sie ausschließlich als Bestandteil der Rechnung (siehe unten).

Wir speichern:

  • Referenz-IDs (Stripe-Kunden-, Abo- und Rechnungsnummern) zur Zuordnung von Kauf und Lizenz
  • eine Rechnungskopie mit Name, Rechnungsadresse und ggf. USt-IdNr., wie von Stripe übermittelt — diese Angaben sind gesetzlicher Pflichtinhalt der Rechnung (§ 14 UStG)

Rechnungsdaten bewahren wir gemäß den handels- und steuerrechtlichen Aufbewahrungspflichten 10 Jahre auf (§ 147 AO, § 257 HGB).

Stripe ist für die Zahlungsabwicklung teilweise eigenständig Verantwortlicher; Details in der Datenschutzerklärung von Stripe: https://stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Kaufabwicklung), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten).

6. Verbindung zwischen Mac und iPhone (Relay)

Die iPhone-Apps verbinden sich mit Ihrem Mac über unseren Relay-Server, weil Mac und iPhone selten direkt erreichbar sind. Dabei gilt:

Was der Relay-Server technisch bedingt verarbeitet:

  • Ihr Konto (Anmeldung der Geräte am Dienst)
  • je Gerät: Gerätename, Plattform, öffentlicher Schlüssel (dieser ist konstruktionsbedingt nicht geheim), Zeitpunkte von Kopplung, Verbindung und letzter Aktivität
  • beim Koppeln: ein kurzlebiges Pairing-Ticket (120 Sekunden gültig, nur als Prüfsummen-Hash gespeichert)
  • Verbindungs-Metadaten (wann welche Geräte verbunden sind, Umfang und Timing der weitergeleiteten verschlüsselten Pakete)

Was der Relay-Server nicht kann: Die Inhalte Ihrer Sitzungen — Terminal-Ein-/Ausgaben, Chat-Nachrichten, Bilder, Diktat-Audio — sind Ende-zu-Ende-verschlüsselt. Die Schlüssel werden ausschließlich zwischen Ihrem Mac und Ihrem iPhone ausgehandelt (mit Schlüsselwechsel bei jeder Verbindung, Perfect Forward Secrecy); der Relay-Server besitzt sie zu keinem Zeitpunkt und speichert die weitergeleiteten Pakete nicht.

Ihre IP-Adresse verwenden wir bei Verbindungsaufbau und API-Zugriffen ausschließlich flüchtig im Arbeitsspeicher zur Missbrauchsabwehr (Rate-Limiting); sie wird weder protokolliert noch gespeichert (Abschnitt 11).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO.

7. Push-Benachrichtigungen (iPhone)

Wenn Sie Benachrichtigungen aktivieren, damit Ihr iPhone Sie informiert, sobald eine Sitzung auf Sie wartet:

  • speichern wir das von Apple vergebene Push-Token Ihres Geräts, um Benachrichtigungen zustellen zu können;
  • werden Titel und Text der Benachrichtigung (im Standardfall einschließlich Sitzungs- bzw. Projektname) von Ihrem Mac erzeugt, zur Zustellung kurzzeitig im Klartext auf unserem Server verarbeitet und an den Apple Push Notification service (Apple Inc., USA) übermittelt. Dies ist die in Abschnitt 2 genannte Ausnahme von der Ende-zu-Ende-Verschlüsselung — eine Zustellung über Apple ist ohne lesbaren Inhalt technisch nicht möglich.

In den Einstellungen der Mac-App können Sie Projektnamen aus Benachrichtigungen ausblenden (es wird dann ein neutraler Text gesendet) und Benachrichtigungen je Anlass einzeln abschalten. Deaktivieren Sie Benachrichtigungen, wird kein Inhalt an Apple übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von Ihnen aktivierte Funktion); die Berechtigung auf dem iPhone erteilen Sie zusätzlich über den iOS-Systemdialog.

8. Diktatfunktion (Skald)

Die Apps bieten optional eine Diktatfunktion über unseren Diktatdienst Skald (heyskald.com), der auf derselben von uns betriebenen Server-Infrastruktur läuft (Abschnitt 11). Wenn Sie diese Funktion einrichten und nutzen:

  • wird Ihre Sprachaufnahme vom Mikrofon direkt verarbeitet und zu keinem Zeitpunkt auf einem Datenträger gespeichert — weder auf Ihren Geräten noch auf Servern;
  • wird das Audio vom iPhone Ende-zu-Ende-verschlüsselt an Ihren eigenen Mac übertragen und von dort an das Skald-Backend gesendet;
  • übermittelt das Skald-Backend das Audio zur Spracherkennung an einen darauf spezialisierten Spracherkennungsdienst mit Sitz in den USA und den erkannten Text zur sprachlichen Bereinigung an einen Anbieter von KI-Sprachmodellen mit Sitz in den USA. Ihre Audio- und Textdaten werden bei diesen Dienstleistern vertraglich nicht für das Training von KI-Modellen verwendet.

Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln bzw. einer Zertifizierung nach dem EU-US Data Privacy Framework des jeweiligen Anbieters. Ohne Einrichtung der Diktatfunktion findet keinerlei Audio-Verarbeitung statt; die Mikrofonberechtigung erteilen Sie über den Systemdialog.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von Ihnen aktiv genutzte Funktion).

9. Sitzungs-Freigabe an andere Nutzer (Pro)

Geben Sie eine Sitzung für eine andere Person frei, speichern wir die E-Mail-Adresse des Gasts zur Zuordnung und Zustellung der Einladung sowie kryptografische Prüfdaten der Freigabe. Der Sitzungsinhalt selbst bleibt auch hier Ende-zu-Ende-verschlüsselt zwischen den beteiligten Geräten; unser Server kann ihn nicht lesen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Berechtigungen und lokale Daten auf Ihren Geräten

Kamera (iPhone): ausschließlich zum Scannen des QR-Codes beim Koppeln mit dem Mac. Es wird kein Bild übertragen oder gespeichert; verarbeitet wird nur der dekodierte Kopplungs-Code.

Fotoauswahl (iPhone-Apps): Wählen Sie Bilder als Anhang für eine Sitzung oder einen Chat aus, nutzen die Apps die iOS-Fotoauswahl (die App erhält keinen Zugriff auf Ihre Fotobibliothek, nur auf die ausgewählten Bilder). Die Bilder werden Ende-zu-Ende-verschlüsselt an Ihren eigenen Mac übertragen und nicht auf unseren Servern gespeichert.

Mikrofon: nur für die Diktatfunktion (Abschnitt 8).

Lokal auf Ihren Geräten speichern die Apps: die Kopplungs- und Anmeldeschlüssel im geschützten Schlüsselbund des Geräts (ohne iCloud-Synchronisierung, nicht auf andere Geräte übertragbar) sowie Einstellungen und Verbindungsdaten (Relay-Adresse, Gerätekennungen, Benachrichtigungs-Einstellungen; bei vord Cowork zusätzlich die E-Mail-Adresse des angemeldeten Kontos) im App-Speicher. Terminal- und Chat-Inhalte werden auf dem iPhone nicht dauerhaft gespeichert, sondern nur im Arbeitsspeicher gehalten.

Die Apps enthalten keine Analyse-, Tracking- oder Werbe-SDKs und erstellen keine Nutzungsprofile.

11. Server, Protokolle und Sicherheit

Unsere Server (Konto-Dienst und Relay) werden bei der netcup GmbH, Karlsruhe, Deutschland betrieben. Die Verbindung erfolgt ausschließlich TLS-verschlüsselt.

Unsere Anwendungsprotokolle enthalten keine IP-Adressen und keine Sitzungsinhalte; protokolliert werden Zugriffe auf API-Endpunkte (Methode, Pfad, Statuscode, Dauer) mit gekürzten, nicht direkt identifizierenden Kennungs-Hinweisen zur Fehlersuche. IP-Adressen werden ausschließlich flüchtig im Arbeitsspeicher zur Missbrauchsabwehr (Rate-Limiting) verwendet und bei Neustart des Dienstes verworfen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit und Fehlerdiagnose).

12. Diagnose- und Feedbackdaten (optional, nur mit Einwilligung)

Die Mac-Apps können Absturzberichte und — auf Ihre Initiative — Feedback an uns übermitteln. Absturzberichte werden nur gesendet, wenn Sie dem zugestimmt haben (Abfrage beim Start von Beta-Versionen); Feedback senden Sie selbst aktiv. Übermittelt werden dabei:

  • der technische Absturzbericht des Systems sowie App-Version, macOS-Version und Hardware-Modell
  • eine pseudonyme Gerätekennung (zur Gruppierung von Berichten desselben Geräts)
  • ein kurzer Auszug des technischen Ereignisprotokolls der App; dieser kann Projektnamen, Dateipfade und kurze technische Meldungen (etwa Fehler- und Automatik-Auszüge) enthalten. Benutzernamen in Pfaden und erkennbare Zugangsdaten werden vor dem Versand automatisch entfernt; Ihre vollständigen Terminal-Ausgaben, Chat-Nachrichten und Ihr Quellcode sind darin nicht enthalten
  • beim Feedback: Ihr Freitext sowie optional Ihre E-Mail-Adresse (für Rückfragen) und ein von Ihnen ausgewählter Screenshot

Die Daten gehen ausschließlich an unseren eigenen Server (Abschnitt 11) und werden nicht an Dritte weitergegeben. Ohne Ihre Zustimmung werden keine Absturzberichte übermittelt; die Einwilligung können Sie jederzeit mit Wirkung für die Zukunft in den Einstellungen widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

13. E-Mail-Versand, Updates und App-Vertrieb

Transaktions-E-Mails (Verifizierung, Passwort-Zurücksetzen, Einladungen) versenden wir über den Dienstleister Resend (Resend, Inc., USA) auf Grundlage von Standardvertragsklauseln. Übermittelt werden Empfängeradresse und der jeweilige E-Mail-Inhalt.

Updates der Mac-Apps werden über GitHub (GitHub, Inc., USA) verteilt. Beim Update-Check ruft die App die Update-Informationen dort ab; dabei wird Ihre IP-Adresse gegenüber GitHub sichtbar (wie bei jedem Webseitenabruf). Es werden keine Systemprofil- oder Nutzungsdaten an uns oder GitHub übermittelt.

Die iOS-Apps beziehen Sie über den Apple App Store bzw. TestFlight. Apple verarbeitet dabei Daten in eigener Verantwortung. Nehmen Sie an einer Beta-Phase über TestFlight teil, erhalten wir von Apple die von Ihnen gesendeten Rückmeldungen sowie Absturzberichte, sofern Sie dem in TestFlight zugestimmt haben.

14. Speicherdauer und Löschung

  • Kontodaten (E-Mail, Passwort-Hash, Lizenz- und Gerätedaten) speichern wir, solange Ihr Konto besteht. Zur Löschung Ihres Kontos genügt eine formlose Nachricht an mail@tiamat-labs.com; wir löschen Ihre Daten dann unverzüglich, spätestens innerhalb eines Monats.
  • Rechnungs- und Kaufdaten unterliegen der 10-jährigen gesetzlichen Aufbewahrungspflicht und werden erst danach gelöscht.
  • Kopplungs-Tickets verfallen nach 120 Sekunden; nicht bestätigte Kopplungen werden nach 10 Minuten verworfen.
  • Push-Token werden mit der Entkopplung des Geräts funktionslos und spätestens mit der Kontolöschung entfernt.
  • Sitzungsinhalte werden von uns zu keinem Zeitpunkt gespeichert; es gibt daher nichts zu löschen.

15. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Wenden Sie sich dazu an mail@tiamat-labs.com.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für uns zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, https://www.datenschutzzentrum.de.

16. Empfänger im Überblick

  • netcup GmbH — Server-Hosting (Konto-Dienst, Relay) — Deutschland
  • Stripe — Zahlungsabwicklung — Irland / USA
  • Resend, Inc. — Transaktions-E-Mails — USA
  • Apple Inc. — Push-Zustellung (APNs), App-Vertrieb, TestFlight — USA
  • Spezialisierter Spracherkennungsdienst — Sprache-zu-Text-Umwandlung (nur Diktatfunktion) — USA
  • Anbieter von KI-Sprachmodellen — Textbereinigung (nur Diktatfunktion) — USA
  • GitHub, Inc. — Update-Verteilung der Mac-Apps — USA

Übermittlungen in die USA erfolgen auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) bzw. einer Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework.

17. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Apps oder die eingesetzten Dienste ändern. Die jeweils aktuelle Fassung finden Sie unter dieser Adresse; das Datum oben zeigt den Stand.