Datenschutzerklärung

1. Verantwortlicher

2. Geltungsbereich und Rechtsgrundlagen

Diese Erklärung beschreibt, wie wir personenbezogene Daten bei Nutzung unserer Marketing-Website, Web-App und mobilen Apps verarbeiten.

Wir verarbeiten Daten insbesondere

• zur Anbahnung und Erfüllung des Nutzungsvertrags nach Art. 6 Abs. 1 Buchst. b DSGVO,
• zur Erfüllung gesetzlicher Pflichten nach Art. 6 Abs. 1 Buchst. c DSGVO,
• zur Wahrung berechtigter Interessen nach Art. 6 Abs. 1 Buchst. f DSGVO, etwa für einen sicheren, stabilen und missbrauchsarmen Betrieb,
• auf Grundlage einer Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO, wenn wir ausdrücklich danach fragen, etwa für optionale Push-Mitteilungen.

Die Registrierung erfordert Name, E-Mail-Adresse und Passwort. Ohne diese Pflichtangaben können wir das Konto nicht bereitstellen. Andere Angaben sind als optional gekennzeichnet.

hin&her richtet sich an Personen ab 16 Jahren. Personen unter 16 Jahren dürfen kein eigenes Konto anlegen oder uns über ein Konto personenbezogene Daten bereitstellen. Hat eine Person unter 16 Jahren dennoch ein Konto oder personenbezogene Daten übermittelt, kann ihre gesetzliche Vertretung unter den oben genannten Kontaktdaten die Löschung verlangen.

3. Website, Hosting und technische Protokolle

Die Anwendung wird auf Servern der Hetzner Online GmbH in Deutschland beziehungsweise der Europäischen Union betrieben. Beim Aufruf werden technisch notwendige Verbindungsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Referrer, Browser-/Geräteinformationen, HTTP-Status sowie eine zufällige Request-ID.

Diese Verarbeitung ist erforderlich, um Inhalte auszuliefern, Angriffe und Fehler zu erkennen und den Betrieb abzusichern. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb.

Server- und Containerprotokolle werden größenbasiert rotiert (höchstens drei Dateien zu je 10 MB pro Dienst) und gelöscht, sobald sie für Betrieb, Sicherheit oder die Aufklärung eines konkreten Vorfalls nicht mehr erforderlich sind.

Beim Öffnen und Absenden des Formulars für Inhaltsmeldungen verwenden wir Google reCAPTCHA, um automatisierte Zugriffe und Missbrauch zu erkennen. Dabei verarbeitet Google technisch erforderliche Geräte-, Browser- und Anwendungsinformationen, insbesondere IP-Adresse, Browser- und Geräteeigenschaften, Referrer sowie Sicherheits-Cookies. Unsere Anwendung übermittelt Google keine in das Meldeformular eingegebenen Inhalte, sondern nur das von reCAPTCHA erzeugte Prüftoken zur serverseitigen Validierung. Google verarbeitet diese Daten für uns als Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt im Schutz des gesetzlich bereitgestellten Meldewegs und unserer Systeme.

Wir verwenden aktuell keine Werbenetzwerke, Reichweitenanalyse oder Marketing-Tracker.

4. Konto, Anmeldung und Nachweise

Für ein Konto verarbeiten wir Anzeigename, E-Mail-Adresse, Passwort-Hash, Sprache, Standardwährung, Verifikationsstatus sowie Zeitpunkte und Versionen der zur Kenntnis genommenen Datenschutzerklärung und akzeptierten AGB.

Wenn du freiwillig „Mit Google anmelden“ auswählst, erhalten wir von Google eine signierte Kennung des Google-Kontos (Subject-ID), E-Mail-Adresse, E-Mail-Verifikationsstatus, Anzeigename und gegebenenfalls die Google-Workspace-Domain. Wir speichern die Subject-ID zur sicheren Wiedererkennung und Verknüpfung mit deinem hin&her-Konto. Das Google-Passwort erhalten wir nicht. Bei einer externen, nicht von Google verwalteten E-Mail-Domain verlangen wir zusätzlich unsere eigene E-Mail-Bestätigung und verknüpfen ein bereits bestehendes Konto nicht automatisch.

Für E-Mail-Bestätigung, Passwort-Reset und Kontolöschung erzeugen wir signierte, zeitlich begrenzte Links. Der Bestätigungslink ist 24 Stunden, Reset- und Löschlinks sind 30 Minuten gültig. Refresh-Tokens werden beim Webzugriff in einem HttpOnly-, Secure- und SameSite-Lax-Cookie gespeichert und rotieren; in den mobilen Apps liegen Zugangstokens im geschützten Systemspeicher.

Die Verarbeitung erfolgt zur Vertragserfüllung und Kontosicherheit nach Art. 6 Abs. 1 Buchst. b und f DSGVO.

5. Gruppen, Gäste und Finanzdaten

Zur Kostenaufteilung verarbeiten wir Gruppenname, Beschreibung, Emoji, Teilnehmernamen, Gruppenzugriffe, die je Account gewählte Teilnehmerperspektive, den zurücksetzbaren Gruppenlink, Währung, Ausgaben, Erstattungen, Ausgleiche, Zahler, Anteile, Kategorien, Notizen, Wechselkurse, Salden und den Aktivitätsverlauf.

Diese Angaben werden den berechtigten Mitgliedern der jeweiligen Gruppe angezeigt. Alle Mitglieder können – abhängig von ihrer Rolle – gemeinsame Einträge bearbeiten. Ein Audit-Log dokumentiert Akteur, Zeitpunkt, Aktion und Vorher-/Nachher-Werte, um Änderungen nachvollziehbar zu halten.

Gruppenmitglieder können Teilnehmernamen anlegen und bearbeiten. Diese Namen erhalten wir daher gegebenenfalls nicht direkt von der benannten Person. Sie werden ausschließlich für die gemeinsame Abrechnung verarbeitet; Teilnehmer sind nicht fest an ein Konto gebunden und mehrere Konten können dieselbe Perspektive auswählen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser und das berechtigte Interesse der Gruppe ist die nachvollziehbare gemeinsame Abrechnung. Betroffene Personen können der Verarbeitung widersprechen oder die Löschung verlangen, soweit keine vorrangigen Gründe beziehungsweise gemeinsame Abrechnungsinteressen entgegenstehen.

Finanzielle Beträge werden als Ganzzahlen in der kleinsten Währungseinheit gespeichert. Wechselkurse werden als unveränderliche Momentaufnahme gesichert, damit frühere Berechnungen nachvollziehbar bleiben.

6. Kommentare, Belege und Zahlungsdaten

Gruppenmitglieder können Kommentare und Belegbilder hochladen. Belege werden mit zufälligen Dateinamen in einem privaten Bereich gespeichert, von Metadaten bereinigt, technisch geprüft und nur authentifizierten, berechtigten Gruppenmitgliedern ausgeliefert.

Wenn du ChatGPT ausdrücklich verwendest, übermitteln wir deine jeweilige Texteingabe oder das von Metadaten bereinigte Belegbild zusammen mit den für den gewünschten Entwurf oder die gewünschte Erklärung erforderlichen Gruppendaten an OpenAI. Dazu können Anzeigenamen und interne IDs der Gruppenmitglieder, passende frühere Buchungsmuster, begrenzte Transaktionsdaten und zusammengefasste Kennzahlen gehören. Für Sicherheitsprüfungen verwenden wir außerdem eine nicht rückrechenbare, kontobezogene Kennung.

Der Assistent erstellt ausschließlich Vorschläge, Erklärungen und Entwürfe. Er bucht keine Ausgabe und verändert keinen Saldo automatisch. Finanzielle Berechnungen und die endgültige Validierung erfolgen weiterhin durch hin&her; du prüfst und bestätigst jeden Entwurf selbst. Wir speichern Eingabe und Modellantwort nicht als eigenen KI-Chatverlauf. Bestätigte Buchungen und bewusst hochgeladene Belege unterliegen den normalen Speicherregeln. Rechtsgrundlage für die von dir angeforderte Verarbeitung ist Art. 6 Abs. 1 Buchst. b DSGVO.

Optional können eine IBAN, ein Link und ein PayPal-Name im Profil hinterlegt werden. Die IBAN wird normalisiert und verschlüsselt gespeichert; in Listen verwenden wir nur die letzten vier Zeichen. Links werden ausschließlich als externe Hilfestellung geöffnet. Aus dem PayPal-Namen, dem offenen Betrag und der Währung erzeugen wir einen vorausgefüllten PayPal.Me-Link und einen QR-Code. Wir erhalten keinen automatischen Zahlungsstatus und wickeln selbst keine Zahlungen ab.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO. Nutzende Personen dürfen nur Inhalte und Daten einstellen, zu deren Verarbeitung und Weitergabe an die jeweilige Gruppe sie berechtigt sind.

7. E-Mail, Benachrichtigungen und Push

Wir versenden transaktionale E-Mails ausschließlich zur Verifikation, zum Passwort-Reset und zur Kontolöschung. Dabei verarbeitet unser E-Mail-Dienstleister Empfängeradresse, Absender, Betreff, Inhalt und technische Zustelldaten als Auftragsverarbeiter. E-Mail-Benachrichtigungen zu Gruppenaktivitäten versenden wir nicht.

Android-Push-Mitteilungen sind optional. Nach Freigabe durch das Betriebssystem verarbeiten wir Plattform, FCM-Token, Zeitpunkt der letzten Nutzung sowie die für die Nachricht nötigen Inhalte. Der Versand erfolgt direkt über Firebase Cloud Messaging von Google. Im Betriebssystem können Push-Mitteilungen jederzeit deaktiviert werden. Push-Tokens werden beim Logout entfernt; 90 Tage inaktive Tokens werden automatisch gelöscht.

Rechtsgrundlage für vertragsnotwendige E-Mails ist Art. 6 Abs. 1 Buchst. b DSGVO, für sicherheits- und betriebsbezogene Kommunikation Art. 6 Abs. 1 Buchst. f DSGVO und für optionale Push-Mitteilungen Art. 6 Abs. 1 Buchst. a DSGVO.

Bei einer Inhaltsmeldung nach Artikel 16 DSA verarbeiten wir Kategorie, genaue Fundstelle, Begründung, Gutglaubenserklärung, Referenz, Bearbeitungsstatus, Entscheidung, Zustellstatus und grundsätzlich Name und E-Mail-Adresse der meldenden Person. Bei Meldungen zu mutmaßlicher sexualisierter Gewalt gegen Kinder dürfen Name und E-Mail entfallen. Soweit eine Entscheidung eine identifizierbare nutzende Person betrifft, verarbeiten wir außerdem deren bereits beim Konto hinterlegte E-Mail-Adresse, um ihr die Entscheidung und Begründung mitzuteilen. Die Identität der meldenden Person wird dabei nicht offengelegt. Wir verwenden diese Daten zur Erfüllung unserer gesetzlichen Melde-, Prüf-, Bestätigungs- und Begründungspflichten nach Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit Artikeln 16 und 17 DSA sowie zur Dokumentation und Rechtsverteidigung nach Art. 6 Abs. 1 Buchst. f DSGVO.

8. Cookies und lokale Speicherung auf deinem Gerät

Die Marketing-Website setzt selbst keine Cookies. Google reCAPTCHA kann ausschließlich beim Formular für Inhaltsmeldungen den technisch erforderlichen Sicherheits-Cookie _GRECAPTCHA setzen und weitere Sicherheitsinformationen auf deinem Gerät speichern oder auslesen. Die Web-App verwendet einen technisch erforderlichen Refresh-Cookie für die Anmeldung. Spracheinstellungen werden im Browser gespeichert. Ein nach Konto getrennter Lesecache in IndexedDB hält den zuletzt synchronisierten Stand für höchstens 24 Stunden verfügbar. Beim Logout oder Kontowechsel wird der kontobezogene Cache entfernt.

Die mobilen Apps speichern Tokens im SecureStore und den kontogetrennten Lesecache in AsyncStorage, ebenfalls für höchstens 24 Stunden. Offline werden keine Schreibaktionen vorgespiegelt.

Diese Zugriffe sind für den ausdrücklich gewünschten Anmelde-, Sprach- und Offline-Lesedienst erforderlich und erfolgen nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung. Solange keine optionalen Analyse- oder Marketingtechnologien hinzukommen, ist kein Cookie-Banner erforderlich.

9. Empfänger und Auftragsverarbeiter

Wir geben Daten nur weiter, soweit dies zur Bereitstellung erforderlich ist, eine gesetzliche Pflicht besteht oder eine Einwilligung vorliegt. Empfänger beziehungsweise Kategorien von Empfängern sind:

• berechtigte Mitglieder derselben Gruppe,
• Hetzner Online GmbH für Server, Datenbank, private Mediendateien und verschlüsselte lokale Restic-Backups auf demselben Produktionsserver,
• Brevo (Sendinblue GmbH) für transaktionale E-Mails,
• Google Ireland Limited beziehungsweise verbundene Google-Unternehmen für optional aktivierte Android-Push-Mitteilungen über Firebase Cloud Messaging,
• Google Ireland Limited beziehungsweise verbundene Google-Unternehmen für die von dir optional gewählte Google-Anmeldung,
• OpenAI für die nur auf deine ausdrückliche Aktion verwendeten KI-Funktionen,
• Google Ireland Limited beziehungsweise verbundene Google-Unternehmen für die Missbrauchsprüfung des Formulars für Inhaltsmeldungen mit reCAPTCHA,

Mit weisungsgebundenen Dienstleistern schließen wir, soweit erforderlich, Verträge zur Auftragsverarbeitung. Externes Fehlertracking ist im aktuellen Produktivbetrieb nicht aktiviert. Vor einer künftigen Aktivierung werden diese Erklärung, die Store-Angaben, die Übermittlungsgrundlage und die Filterung personenbezogener Fehlerdaten aktualisiert.

10. Übermittlungen in Drittländer

Beim optionalen Push-Versand, bei der optionalen Google-Anmeldung, bei einer ausdrücklich gestarteten Nutzung des KI-Assistenten und bei der reCAPTCHA-Missbrauchsprüfung des Inhaltsmeldeformulars können Daten an Anbieter in den USA übermittelt werden. Wir stützen solche Übermittlungen – abhängig vom Anbieter und der konkreten Leistung – auf einen Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, oder auf von der Europäischen Kommission genehmigte Standardvertragsklauseln und ergänzende Schutzmaßnahmen.

Der Kernbetrieb, die primäre Datenbank und die verschlüsselten lokalen Backups liegen innerhalb der Hetzner-Produktionsumgebung in Deutschland beziehungsweise der EU. Für Backups findet keine Übermittlung an einen externen Anbieter statt.

11. Speicherdauer und Löschung

Wir speichern Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten beziehungsweise die Abwehr und Durchsetzung von Ansprüchen dies verlangen. Konkret gilt:

• Gruppenlinks: gültig bis zum Zurücksetzen des Links oder zur Löschung der Gruppe; nach dem Zurücksetzen ist der vorherige Link sofort ungültig,
• Idempotenzdaten zur Vermeidung doppelter Finanzbuchungen: 7 Tage,
• inaktive Push-Tokens: 90 Tage; beim Logout sofort,
• weich gelöschte Gruppen, Transaktionen und Kommentare: 30 Tage Wiederherstellungsfrist, danach automatische endgültige Löschung,
• gelesene In-App-Benachrichtigungen: 90 Tage,
• Inhaltsmeldungen und zugehörige Entscheidungen: automatische Löschung drei Jahre ab Ende des Kalenderjahres der abschließenden Bearbeitung; eine dokumentierte Aufbewahrungssperre verlängert die Frist nur, soweit ein laufendes Verfahren, eine behördliche Anordnung oder die Geltendmachung beziehungsweise Abwehr von Ansprüchen dies erfordert,
• lokale Lesecaches: höchstens 24 Stunden sowie Löschung bei Logout oder Kontowechsel,
• verschlüsselte Backups: 7 tägliche, 4 wöchentliche und 12 monatliche Stände; Löschungen wirken mit Ablauf der jeweiligen Backup-Retention vollständig.

Bei Kontolöschung entfernen oder anonymisieren wir Profil, E-Mail-Adresse, Zahlungsdaten, Geräte, persönliche Einstellungen, Einwilligungs-/Kenntnisnahmenachweise, eigene Kommentare und Belege. Gemeinsam genutzte Buchungen bleiben als Gruppenhistorie erhalten, werden aber von der Identität des gelöschten Kontos getrennt und Mitgliedschaften als „Gelöschte Person“ anonymisiert. Personenbezogene Werte werden auch aus betroffenen Audit-Snapshots entfernt.

Soweit handels- oder steuerrechtliche Unterlagen entstehen, bewahren wir sie für die gesetzlich vorgeschriebene Dauer auf. Zur Geltendmachung oder Abwehr konkreter Rechtsansprüche erforderliche Daten können bis zum Abschluss des Vorgangs gesperrt weiter gespeichert werden.

12. Deine Datenschutzrechte

Unter den gesetzlichen Voraussetzungen hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Wenn wir Daten auf Grundlage berechtigter Interessen verarbeiten, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Gegen Direktwerbung könntest du jederzeit ohne besondere Begründung widersprechen; aktuell betreiben wir keine Direktwerbung.

Du kannst die Kontolöschung direkt in der App anstoßen. Eine außerhalb der App erreichbare Anleitung und Kontaktmöglichkeit findest du unter Konto und Daten löschen. Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes.

13. Sicherheit und automatisierte Entscheidungen

Wir setzen dem Risiko angemessene technische und organisatorische Maßnahmen ein, darunter TLS, Zugriffskontrollen, getrennte private Mediendateien, Passwort-Hashing, verschlüsselte IBANs und Backups, Rate-Limits, Sicherheitsprotokolle und regelmäßige Restore-Tests.

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung und kein Profiling statt. Ausgleichsvorschläge sind rein mathematische Hilfen und werden nicht automatisch als Zahlung ausgeführt.

14. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich Funktionen, Dienstleister oder Rechtslage ändern. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar. Über wesentliche Änderungen informieren wir in geeigneter Form.