Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

E-Mail: kontakt@horst.net.in

2. Hosting und Server-Logfiles

Die Website wird bei Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern, gehostet. Bei jedem Aufruf speichert der Server automatisch Informationen, die dein Browser übermittelt (Server-Logfiles):

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei, HTTP-Statuscode und übertragene Datenmenge
• zuvor besuchte Seite (Referrer), sofern übermittelt
• Browsertyp und Betriebssystem

Diese Daten werden nur verarbeitet, um die Website auszuliefern, ihren stabilen und sicheren Betrieb zu gewährleisten und Angriffe zu erkennen. Sie werden nicht mit anderen Daten zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im sicheren und fehlerfreien Betrieb der Website. Die Logfiles werden vom Hoster nur so lange gespeichert, wie es für diese Zwecke erforderlich ist, und anschließend gelöscht.

Mit Hostinger besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Hostinger verarbeitet Daten in Rechenzentren in der EU (u. a. Litauen, Niederlande, Zypern) und im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der EU-Kommission besteht. Weitere Informationen: Datenschutzerklärung von Hostinger.

3. Anmeldung und Schutz vor Missbrauch

Um das Erraten von Passwörtern zu verhindern, ist die Zahl der Anmeldeversuche begrenzt. Dafür speichert die Anwendung bei jedem Anmeldeversuch die IP-Adresse zusammen mit der Zahl der Versuche und dem Zeitpunkt des letzten Versuchs. Diese Zähler werden spätestens nach einem Tag gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im Schutz der gespeicherten Daten vor unbefugtem Zugriff.

Für jede Anmeldung speichert die Anwendung außerdem die IP-Adresse und die Browserkennung (User-Agent) der jeweiligen Sitzung. Abgelaufene Sitzungen werden gelöscht.

Meldest du dich mit einem Passkey an, prüft dein Gerät Fingerabdruck, Gesicht oder PIN selbst; diese Merkmale verlassen das Gerät nicht. Die Anwendung speichert nur den öffentlichen Schlüssel des Passkeys, seine Kennung, eine Bezeichnung, den Gerätetyp und das Datum, an dem du ihn hinzugefügt hast.

4. Cookies

Die Website setzt ausschließlich Cookies, die für die Anmeldung technisch erforderlich sind:

• ein Sitzungs-Cookie, das dich nach der Anmeldung angemeldet hält; es gilt 7 Tage ab der letzten Nutzung und wird beim Abmelden gelöscht
• ein Cookie für den zweiten Anmeldeschritt mit dem Bestätigungscode, das nach 10 Minuten abläuft
• beim Anmelden mit Passkey oder beim Hinzufügen eines Passkeys: ein Cookie mit der Kennung der Anmelde-Aufgabe (Challenge), das nach 5 Minuten abläuft
• nur wenn du „Diesem Gerät 30 Tage vertrauen“ wählst: ein Cookie, das für 30 Tage den Bestätigungscode auf diesem Gerät überspringt

Die Cookies enthalten keine Daten zu Werbung oder Analyse. Da sie für die Anmeldung unbedingt erforderlich sind, ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Andere Cookies oder Speicher im Browser (z. B. localStorage) nutzt die Website nicht.

5. Konten für Familienmitglieder

Familienmitglieder, die ich einlade, bekommen ein eigenes Konto mit einem eigenen Bereich für ihre Finanzen:

• Einladung: Ein Konto kann nur anlegen, wer von mir einen Einladungslink bekommen hat. Zu jeder Einladung speichert die Anwendung meine Notiz, für wen sie ist (z. B. einen Vornamen), ihren Zeitpunkt und, sobald sie genutzt wurde, mit welchem Konto; vom Link selbst nur einen Hashwert. Der Link gilt sieben Tage und nur einmal. Einladungen werden 30 Tage nach Ablauf des Links gelöscht, ob sie genutzt wurden oder nicht.
• Dein Konto: Beim Anlegen speichert die Anwendung deinen Namen, deine E-Mail-Adresse und dein Passwort (nur als Hashwert), später die Zwei-Faktor-Anmeldung und Passkeys, wenn du sie einrichtest (Abschnitt 3). Dein Bereich startet mit einer Kopie der Kategorien und Produkttypen, die ich als Vorlage ausgewählt habe; Daten aus meinem Bereich werden nicht kopiert.
• Dein Bereich: Alles, was du in der Anwendung erfasst oder einliest – Konten, Buchungen, Kontoauszüge, Partner, Berichte, Einstellungen, Logos –, liegt in einem eigenen Bereich. Weder ich noch andere Familienmitglieder können ihn in der Anwendung sehen. Gemeinsam genutzt werden nur öffentliche Marktdaten (Kurse, Wechselkurse, Zusammensetzungen von Fonds) und die Liste der Währungen: Legst du eine neue Währung an, sehen sie alle.
• Technischer Zugriff: Als Betreiber habe ich Zugriff auf den Server und die Datenbank, in der die Daten aller Bereiche liegen; auch die Datensicherung, die nur ich herunterladen kann, enthält sie. Ich nutze diesen Zugriff nur, um die Anwendung zu betreiben, zu sichern, wiederherzustellen und Fehler zu beheben.
• Löschung: Du kannst dein Konto jederzeit selbst unter „Konto & Sicherheit“ → „Konto löschen“ löschen, oder ich lösche es auf deinen Wunsch. Dabei werden dein Bereich mit allen Daten, dein Konto mit Sitzungen, Passkeys und Zwei-Faktor-Anmeldung, deine Claude-Verbindung und deren Protokoll endgültig gelöscht. Datensicherungen, die ich vorher heruntergeladen habe, enthalten deine Daten noch, bis ich sie lösche.

Ich verarbeite diese Daten, um dir die Anwendung auf deinen Wunsch bereitzustellen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sie bleiben gespeichert, solange du die Anwendung nutzt.

6. Inhalte der Anwendung

In der Anwendung verwaltet jedes Konto seine eigenen Finanzen: Konten, Buchungen und eingelesene Kontoauszüge. Darin können auch Namen von Zahlungsempfängern und Auftraggebern sowie Verwendungszwecke enthalten sein. Meine eigenen Daten verarbeite ich ausschließlich zu persönlichen Zwecken; für eine solche Verarbeitung gilt die DSGVO nicht (Art. 2 Abs. 2 lit. c DSGVO). Die Daten liegen in einer Datenbank auf dem Server bei Hostinger und werden weder veröffentlicht noch weitergegeben, mit diesen Ausnahmen:

• Logos: Ist bei einem Partner oder Anbieter eine Website hinterlegt (selbst eingetragen oder aus dem Buchungstext übernommen, z. B. „www.steampowered.com“), ruft der Server die Startseite dieser Website auf und lädt deren Symbol; die Website erfährt dabei nur die Adresse des Servers. Findet er dort keins, fragt er das Logo bei DuckDuckGo (wahlweise Google) ab und übermittelt nur die Domain (z. B. „rewe.de“). Namen oder sonstige Daten werden nicht übermittelt. Ein gefundenes Logo speichert der Server ein halbes Jahr lang zu seiner Domain, für alle Konten; sucht danach jemand das Logo derselben Domain, wird es von dort übernommen und nicht erneut abgefragt. Ob und wo Logos gesucht werden, lege ich für alle Konten fest.
• Claude: Jedes Konto kann die Anwendung über eine geschützte Schnittstelle mit dem KI-Assistenten Claude von Anthropic verbinden – mit einer eigenen Verbindung, die nur den eigenen Bereich erreicht und mit dem eigenen Claude-Konto genutzt wird. Nutzt du das in einem Chat, werden die dafür abgefragten Daten aus deinem Bereich an Anthropic übermittelt; das können auch Namen aus Kontoauszügen sein. Hast du in Claude weitere Dienste verbunden (z. B. Scalable Capital), kann Claude auf deine Bitte deren Daten – Umsätze, Kurse, Sparpläne, Bestände – in die Anwendung übertragen; die Anwendung selbst ruft diese Dienste nicht auf. Für die Berichte liest Claude – auch in einer geplanten Aufgabe, ohne dass du chattest – die Kennzahlen eines Monats, Quartals oder Jahres (Beträge, Kategorien, Konten, Positionen und die Namen der größten Händler) und speichert seinen Text dazu in der Anwendung. Jeder Zugriff von Claude wird ohne Beträge, Namen oder Texte protokolliert (Werkzeug, Zeitpunkt, Bereich, Kennungen geänderter Einträge); das Protokoll wird nach einem Jahr gelöscht.

Außerdem ruft der Server, wenn ich „Live-Kurse von Bitvavo laden“ eingeschaltet habe, höchstens alle 15 Minuten die öffentliche Kursliste aller Märkte bei der Kryptobörse Bitvavo ab; daraus erfährt Bitvavo nicht, wer welche Werte hält. Für den Kursverlauf fragt er zusätzlich die Tageskurse der Märkte ab, mit denen Produkte in der Anwendung bewertet werden (z. B. „BTC-EUR“), meist einmal am Tag. Dabei erfährt Bitvavo diese Märkte, aber nicht, zu welchem Konto sie gehören; weitere Daten aus der Anwendung werden nicht übermittelt, Bitvavo erhält nur die Anfragen des Servers.

Habe ich „Wechselkurse von der Banca d'Italia laden“ eingeschaltet, ruft der Server höchstens alle sechs Stunden, wenn jemand die Übersicht oder die Währungen ansieht, die öffentliche Liste der Euro-Wechselkurse aller Währungen bei der Banca d'Italia (italienische Zentralbank) ab; diese Anfrage nennt keine Währung. Öffnest du die Seite einer Währung, fragt er zusätzlich deren Kursverlauf ab (beim ersten Mal seit 1999, danach nur neue Tage); öffnest du die Übersicht, tut er das für jede fremde Währung deiner Konten und Daueraufträge. Dabei erfährt die Bank, welche Währungen das sind, aber nicht, wessen. Daten aus der Anwendung werden nicht übermittelt, die Bank erhält nur die Anfragen des Servers.

Hast du bei einem Konto „An EZB-Einlagesatz koppeln“ eingeschaltet, ruft der Server höchstens alle zwölf Stunden, wenn du die Seite eines Produkts ansiehst oder Claude deine Konten abfragt, den öffentlichen Verlauf des Einlagesatzes bei der Europäischen Zentralbank ab (data-api.ecb.europa.eu; beim ersten Mal seit 1999, danach nur neue Tage). Die Anfrage nennt nur diese Zinsreihe und den ersten gewünschten Tag; Daten aus der Anwendung werden nicht übermittelt, die EZB erhält nur die Anfrage des Servers.

Verbindest du dein Bitvavo-Konto unter „Konto & Sicherheit“, fragt der Server mit deinem Schlüssel, der nur lesen darf, deine Kontodaten bei Bitvavo ab. Gesendet werden dabei nur der Schlüssel und die Anfrage, keine Daten aus der Anwendung. Das geschieht, wenn du einen Abgleich startest, und – wenn du „Automatisch abgleichen“ eingeschaltet hast – höchstens alle 15 Minuten beim Öffnen von Übersicht, Importen oder Produkten. Jedes Konto hat seine eigene Verbindung; Schlüssel und Secret liegen verschlüsselt in der Datenbank.

7. Kontakt per E-Mail

Wenn du mir eine E-Mail schreibst, verarbeite ich deine E-Mail-Adresse und den Inhalt der Nachricht, um deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Beantwortung deiner Anfrage. Das E-Mail-Postfach wird ebenfalls von Hostinger bereitgestellt. Die Nachrichten werden gelöscht, sobald sie erledigt sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8. Verschlüsselung

Die Verbindung zur Website ist per TLS verschlüsselt (erkennbar an „https://“ in der Adresszeile). Dein Browser wird angewiesen, die Website nur verschlüsselt aufzurufen.

9. Deine Rechte

Du hast im Rahmen der gesetzlichen Vorgaben das Recht auf

• Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) und
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO).

Wende dich dafür einfach per E-Mail an mich:

E-Mail: kontakt@horst.net.in

Die Daten deines Bereichs kannst du in der Anwendung jederzeit selbst einsehen und ändern und dein ganzes Konto selbst löschen (Abschnitt 5).

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für mich zuständigen Behörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.