Datenschutzerklärung

1. Verantwortlicher

2. Geltungsbereich und Rechtsgrundlagen

Diese Erklärung beschreibt, wie wir personenbezogene Daten bei Nutzung unserer Marketing-Website, Web-App und mobilen Apps verarbeiten.

Wir verarbeiten Daten insbesondere

• zur Anbahnung und Erfüllung des Nutzungsvertrags nach Art. 6 Abs. 1 Buchst. b DSGVO,
• zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 Buchst. c DSGVO,
• zur Wahrung berechtigter Interessen nach Art. 6 Abs. 1 Buchst. f DSGVO, etwa für einen sicheren, stabilen und missbrauchsarmen Betrieb,
• auf Grundlage einer Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO, wenn wir ausdrücklich danach fragen, etwa für optionale Push-Mitteilungen.

Die Registrierung erfordert Name, E-Mail-Adresse und Passwort. Ohne diese Pflichtangaben können wir das Konto nicht bereitstellen. Andere Angaben sind als optional gekennzeichnet.

3. Website, Hosting und technische Protokolle

Die Anwendung wird auf Servern der Hetzner Online GmbH in Deutschland beziehungsweise der Europäischen Union betrieben. Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer, Browser-/Geräteinformationen, HTTP-Status sowie eine zufällige Request-ID.

Diese Verarbeitung ist erforderlich, um Inhalte auszuliefern, Angriffe und Fehler zu erkennen und den Betrieb abzusichern. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb.

Server- und Containerprotokolle werden größenbasiert rotiert (höchstens drei Dateien zu je 10 MB pro Dienst) und gelöscht, sobald sie für Betrieb, Sicherheit oder die Aufklärung eines konkreten Vorfalls nicht mehr erforderlich sind.

Wir verwenden aktuell keine Werbenetzwerke, Reichweitenanalyse oder Marketing-Tracker.

4. Konto, Anmeldung und Nachweise

Für ein Konto verarbeiten wir Anzeigename, E-Mail-Adresse, Passwort-Hash, Sprache, Standardwährung, Verifikationsstatus sowie Zeitpunkte und Versionen der zur Kenntnis genommenen Datenschutzerklärung und akzeptierten AGB.

Für E-Mail-Bestätigung, Passwort-Reset und Kontolöschung erzeugen wir signierte, zeitlich begrenzte Links. Der Bestätigungslink ist 24 Stunden, Reset- und Löschlinks sind 30 Minuten gültig. Refresh-Tokens werden beim Webzugriff in einem HttpOnly-, Secure- und SameSite-Lax-Cookie gespeichert und rotieren; in den mobilen Apps liegen Zugangstokens im geschützten Systemspeicher.

Die Verarbeitung erfolgt zur Vertragserfüllung und Kontosicherheit nach Art. 6 Abs. 1 Buchst. b und f DSGVO.

5. Gruppen, Gäste und Finanzdaten

Zur Kostenaufteilung verarbeiten wir Gruppenname, Beschreibung, Emoji, Mitglieder und Gäste, Einladungen, Rollen, Währung, Ausgaben, Erstattungen, Ausgleiche, Zahler, Anteile, Kategorien, Notizen, Wechselkurse, Salden und den Aktivitätsverlauf.

Diese Angaben werden den berechtigten Mitgliedern der jeweiligen Gruppe angezeigt. Alle Mitglieder können – abhängig von ihrer Rolle – gemeinsame Einträge bearbeiten. Ein Audit-Log dokumentiert Akteur, Zeitpunkt, Aktion und Vorher-/Nachher-Werte, um Änderungen nachvollziehbar zu halten.

Gruppeninhaber können Gäste mit Namen und optionaler E-Mail-Adresse anlegen. Diese Daten erhalten wir dann nicht direkt von der betroffenen Person. Sie stammen vom einladenden Mitglied und werden zum Versand beziehungsweise zur Zuordnung einer Einladung verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser und das berechtigte Interesse der Gruppe ist die gemeinsame Abrechnung. Die Einladung enthält einen Link zu dieser Erklärung. Eine eingeladene Person kann der Verarbeitung widersprechen oder die Löschung verlangen, soweit keine vorrangigen Gründe beziehungsweise gemeinsame Abrechnungsinteressen entgegenstehen.

Finanzielle Beträge werden als Ganzzahlen in der kleinsten Währungseinheit gespeichert. Wechselkurse werden als unveränderliche Momentaufnahme gesichert, damit frühere Berechnungen nachvollziehbar bleiben.

6. Kommentare, Belege und Zahlungsdaten

Gruppenmitglieder können Kommentare und Belegbilder hochladen. Belege werden mit zufälligen Dateinamen in einem privaten Bereich gespeichert, von Metadaten bereinigt, technisch geprüft und nur authentifizierten, berechtigten Gruppenmitgliedern ausgeliefert.

Optional können eine IBAN und ein frei benannter HTTPS-Zahlungslink im Profil hinterlegt werden. Die IBAN wird normalisiert und verschlüsselt gespeichert; in Listen verwenden wir nur die letzten vier Zeichen. Zahlungslinks werden ausschließlich als externe Hilfestellung geöffnet. Wir erhalten keinen automatischen Zahlungsstatus und wickeln selbst keine Zahlungen ab.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Nutzende Personen dürfen nur Inhalte und Daten einstellen, zu deren Verarbeitung und Weitergabe an die jeweilige Gruppe sie berechtigt sind.

7. E-Mail, Benachrichtigungen und Push

Wir versenden transaktionale E-Mails zur Verifikation, zum Passwort-Reset, zu Einladungen, zur Kontolöschung und – abhängig von den Einstellungen – zu relevanten Gruppenaktivitäten. Dabei verarbeitet unser E-Mail-Dienstleister Empfängeradresse, Absender, Betreff, Inhalt und technische Zustelldaten als Auftragsverarbeiter.

Push-Mitteilungen sind optional. Nach Freigabe durch das Betriebssystem verarbeiten wir Plattform, Push-Token, Zeitpunkt der letzten Nutzung sowie die für die Nachricht nötigen Inhalte. Der Versand erfolgt über Expo Push Notifications; Expo leitet die Nachricht an Apple Push Notification Service (iOS) beziehungsweise Firebase Cloud Messaging von Google (Android) weiter. Im Betriebssystem können Push-Mitteilungen jederzeit deaktiviert werden. Push-Tokens werden beim Logout entfernt; 90 Tage inaktive Tokens werden automatisch gelöscht.

Rechtsgrundlage für vertragsnotwendige E-Mails ist Art. 6 Abs. 1 Buchst. b DSGVO, für sicherheits- und betriebsbezogene Kommunikation Art. 6 Abs. 1 Buchst. f DSGVO und für optionale Push-Mitteilungen Art. 6 Abs. 1 Buchst. a DSGVO.

Bei einer Inhaltsmeldung nach Artikel 16 DSA verarbeiten wir Kategorie, genaue Fundstelle, Begründung, Gutglaubenserklärung, Referenz, Bearbeitungsstatus, Entscheidung, Zustellstatus und grundsätzlich Name und E-Mail-Adresse der meldenden Person. Bei Meldungen zu mutmaßlicher sexualisierter Gewalt gegen Kinder dürfen Name und E-Mail entfallen. Soweit eine Entscheidung eine identifizierbare nutzende Person betrifft, verarbeiten wir außerdem deren bereits beim Konto hinterlegte E-Mail-Adresse, um ihr die Entscheidung und Begründung mitzuteilen. Die Identität der meldenden Person wird dabei nicht offengelegt. Wir verwenden diese Daten zur Erfüllung unserer gesetzlichen Melde-, Prüf-, Bestätigungs- und Begründungspflichten nach Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit Artikeln 16 und 17 DSA sowie zur Dokumentation und Rechtsverteidigung nach Art. 6 Abs. 1 Buchst. f DSGVO.

8. Cookies und lokale Speicherung auf deinem Gerät

Die Marketing-Website setzt keine Cookies. Die Web-App verwendet einen technisch erforderlichen Refresh-Cookie für die Anmeldung. Spracheinstellungen werden im Browser gespeichert. Ein nach Konto getrennter Lesecache in IndexedDB hält den zuletzt synchronisierten Stand für höchstens 24 Stunden verfügbar. Beim Logout oder Kontowechsel wird der kontobezogene Cache entfernt.

Die mobilen Apps speichern Tokens im SecureStore und den kontogetrennten Lesecache in AsyncStorage, ebenfalls für höchstens 24 Stunden. Offline werden keine Schreibaktionen vorgespiegelt.

Diese Zugriffe sind für den ausdrücklich gewünschten Anmelde-, Sprach- und Offline-Lesedienst erforderlich und erfolgen nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung. Solange keine optionalen Analyse- oder Marketingtechnologien hinzukommen, ist kein Cookie-Banner erforderlich.

9. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit dies zur Bereitstellung erforderlich ist, eine gesetzliche Pflicht besteht oder eine Einwilligung vorliegt. Empfänger beziehungsweise Kategorien von Empfängern sind:

• berechtigte Mitglieder derselben Gruppe,
• Hetzner Online GmbH für Server, Datenbank und private Mediendateien,
• der vor Produktionsstart festzulegende SMTP-Dienstleister für transaktionale E-Mails,
• ein vor Produktionsstart festzulegendes, räumlich getrenntes Speicherziel für verschlüsselte Backups,
• 650 Industries, Inc. (Expo), Apple und Google für optional aktivierte Push-Mitteilungen,
• Sentry beziehungsweise dessen Betreiber Functional Software, Inc. nur, falls das optionale Fehlertracking im Produktivsystem aktiviert wird.

Mit weisungsgebundenen Dienstleistern schließen wir, soweit erforderlich, Verträge zur Auftragsverarbeitung. Der aktuelle Funktionsstand sendet bei Fehlertracking standardmäßig keine direkten Nutzerkennungen; Inhalte sensibler Formulare dürfen nicht als Fehlerkontext übertragen werden.

10. Übermittlungen in Drittländer

Beim optionalen Push-Versand und bei einem möglicherweise aktivierten Fehlertracking können Daten an Anbieter in den USA übermittelt werden. Wir stützen solche Übermittlungen – abhängig vom Anbieter und der konkreten Leistung – auf einen Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, oder auf von der Europäischen Kommission genehmigte Standardvertragsklauseln und ergänzende Schutzmaßnahmen.

Der Kernbetrieb und die primäre Datenbank sind in Deutschland beziehungsweise der EU vorgesehen. Das externe Backupziel wird so gewählt, dass Standort, Verschlüsselung und Übermittlungsgrundlage vor dem Produktivstart dokumentiert sind.

11. Speicherdauer und Löschung

Wir speichern Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten beziehungsweise die Abwehr und Durchsetzung von Ansprüchen dies verlangen. Konkret gilt:

• abgelaufene, nicht eingelöste Einladungen: automatische Löschung nach Ablauf; Einladungen sind 14 Tage gültig,
• Idempotenzdaten zur Vermeidung doppelter Finanzbuchungen: 7 Tage,
• inaktive Push-Tokens: 90 Tage; beim Logout sofort,
• weich gelöschte Gruppen, Transaktionen und Kommentare: 30 Tage Wiederherstellungsfrist, danach automatische endgültige Löschung,
• gelesene In-App-Benachrichtigungen: 90 Tage,
• Inhaltsmeldungen und zugehörige Entscheidungen: automatische Löschung drei Jahre ab Ende des Kalenderjahres der abschließenden Bearbeitung; eine dokumentierte Aufbewahrungssperre verlängert die Frist nur, soweit ein laufendes Verfahren, eine behördliche Anordnung oder die Geltendmachung beziehungsweise Abwehr von Ansprüchen dies erfordert,
• lokale Lesecaches: höchstens 24 Stunden sowie Löschung bei Logout oder Kontowechsel,
• verschlüsselte Backups: 7 tägliche, 4 wöchentliche und 12 monatliche Stände; Löschungen wirken mit Ablauf der jeweiligen Backup-Retention vollständig.

Bei Kontolöschung entfernen oder anonymisieren wir Profil, E-Mail-Adresse, Zahlungsdaten, Geräte, persönliche Einstellungen, Einwilligungs-/Kenntnisnahmenachweise, eigene Kommentare und Belege. Gemeinsam genutzte Buchungen bleiben als Gruppenhistorie erhalten, werden aber von der Identität des gelöschten Kontos getrennt und Mitgliedschaften als „Gelöschte Person“ anonymisiert. Personenbezogene Werte werden auch aus betroffenen Audit-Snapshots entfernt.

Soweit handels- oder steuerrechtliche Unterlagen entstehen, bewahren wir sie für die gesetzlich vorgeschriebene Dauer auf. Zur Geltendmachung oder Abwehr konkreter Rechtsansprüche erforderliche Daten können bis zum Abschluss des Vorgangs gesperrt weiter gespeichert werden.

12. Deine Datenschutzrechte

Unter den gesetzlichen Voraussetzungen hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Wenn wir Daten auf Grundlage berechtigter Interessen verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Gegen Direktwerbung könntest du jederzeit ohne besondere Begründung widersprechen; aktuell betreiben wir keine Direktwerbung.

Du kannst einen maschinenlesbaren Kontoexport und die Kontolöschung direkt in der App anstoßen. Eine außerhalb der App erreichbare Anleitung und Kontaktmöglichkeit findest du unter Konto und Daten löschen. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes.

13. Sicherheit und automatisierte Entscheidungen

Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein, darunter TLS, Zugriffskontrollen, getrennte private Mediendateien, Passwort-Hashing, verschlüsselte IBANs und Backups, Rate-Limits, Sicherheitsprotokolle und regelmäßige Restore-Tests.

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung und kein Profiling statt. Ausgleichsvorschläge sind rein mathematische Hilfen und werden nicht automatisch als Zahlung ausgeführt.

14. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich Funktionen, Dienstleister oder Rechtslage ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar. Über wesentliche Änderungen informieren wir in geeigneter Form.