Datenschutzerklärung

Verantwortlicher

Verantwortlicher für die hier beschriebene Verarbeitung ist Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Deutschland.

Bei Fragen zu deinen Daten schreib an [email protected]. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa in dem EU-Land, in dem du wohnst.

Was gespeichert wird

Kontodaten, sobald du ein Konto anlegst: deine E-Mail-Adresse, die Kennungen des genutzten Anmeldeverfahrens (Apple oder Google, wenn du dich so anmeldest) und die technischen Zeitstempel deiner Sitzungen.

Das Buch selbst: Buchungen, Konten, Kategorien, wiederkehrende Buchungen, geplante Zahlungen, Budgets, Währungseinstellungen und die Notizen, die du schreibst. Bei einem gemeinsamen Buch außerdem die Mitgliedschaft in dieser Gruppe und ihre Einladungscodes.

Wenn du Topf Plus kaufst: dass der Kauf stattgefunden hat und wie lange er gilt, die anonyme Kennung, die der Kaufdienst deiner Installation zuweist, und — wenn du ein Konto hast — die Verknüpfung zwischen beiden. Nicht deine Karte, deine Apple-ID oder dein Google-Konto: die behält der Store und zeigt uns nichts davon.

Spracheingaben, wenn du ein Konto nutzt: Für jeden Kalendermonat speichern wir, wie viele erfolgreiche Spracheingaben deinem Konto zugerechnet wurden, damit die jeweils geltende Grenze angewendet werden kann — in der kostenlosen Version eine Monatsgrenze, bei Plus eine Obergrenze zum Schutz vor Missbrauch. Gespeichert werden der Kalendermonat, die Anzahl und der Zeitpunkt der letzten Änderung; nicht gespeichert werden dein gesprochener Satz und die daraus entstandenen Entwürfe. In einem gemeinsamen Buch werden die Spracheingaben von Mitgliedern ohne eigenes Plus dem Konto des Besitzers der Gruppe zugerechnet.

Belegscans, wenn du ein Konto nutzt: Für jeden Kalendermonat speichern wir, wie viele Belege für dein Konto gelesen wurden, damit die jeweils geltende Grenze angewendet werden kann. Wie bei der Spracheingabe werden der Kalendermonat, die Anzahl und der Zeitpunkt der letzten Änderung gespeichert; nicht gespeichert werden das Foto des Belegs und die daraus entstandenen Entwürfe. In einem gemeinsamen Buch werden die Belegscans von Mitgliedern ohne eigenes Plus dem Konto des Besitzers der Gruppe zugerechnet.

Das ist die vollständige Liste dessen, was mit einem Konto gespeichert wird. Es gibt keine Werbekennung, keinen Geräte-Fingerabdruck und kein Tracking durch Dritte in der App; die unten beschriebene Nutzungsstatistik ist nicht mit deinem Konto verknüpft.

Nutzung ohne Konto

Topf lässt sich ohne Konto nutzen. Dein Buch bleibt dann auf deinem Gerät und wird nicht hochgeladen. Spracheingabe und Belegscan brauchen Internet und senden bei der Nutzung Daten. Käufe von Plus laufen über den App Store oder Google Play und den Kaufdienst. Außerdem sendet die App eine anonyme Nutzungsstatistik, die du ausschalten kannst. Mehr dazu unten.

Zwecke und Rechtsgrundlagen

Bereitstellung des Produkts, das du nutzen willst: dein Buch aufbewahren, es zwischen deinen Geräten synchronisieren und auf einem neuen Gerät wiederherstellen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldung: Versand des Anmeldecodes an deine E-Mail-Adresse. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Prüfung, ob du Plus hast: Abgleich des Kaufs mit dem Kaufdienst und Vorhalten seines aktuellen Stands auf unserem Server. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Einhaltung der Monatsgrenzen für Spracheingaben und Belegscans: Zählen beider je Kalendermonat, weil die kostenlose Version nur eine begrenzte Zahl davon umfasst. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Verbesserung der App anhand einer Nutzungsstatistik. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Betrieb des Dienstes und Schutz der Spracheingabe und des Belegscans vor Missbrauch. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Wo die Daten liegen

Eine vollständige Kopie deines Buches liegt in einer lokalen Datenbank auf deinem Gerät und funktioniert dort auch ohne Netz.

Mit Konto liegen dieselben Daten zusätzlich in einer PostgreSQL-Datenbank, die Supabase in Frankfurt am Main betreibt (AWS eu-central-1), und erreichen deine Geräte über den Synchronisierungsdienst PowerSync. Der Zugriff ist je Nutzer durch Row-Level-Security begrenzt: ein Konto liest sein eigenes Buch und, bei einem gemeinsamen Buch, dieses.

Spracheingabe

Bei der Spracheingabe wird dein Satz im Normalfall vom Spracherkennungsdienst deines Geräts erkannt. Auf dem iPhone ist das der Dienst von Apple, unter Android der im System eingestellte Erkennungsdienst, meist der von Google. Er kann auf dem Gerät oder auf den Servern seines Anbieters nach dessen eigenen Bedingungen arbeiten. An unseren Server geht nur der Text, zusammen mit dem Kontext, ohne den er nicht zu deuten wäre: Sprache der Oberfläche, heutiges Datum, Zeitzone, Hauptwährung sowie die Namen deiner aktiven Konten und Kategorien.

Dieser Text geht an OpenAI und kommt als Buchungsentwürfe zurück. Die Entwürfe erscheinen auf deinem Gerät; in dein Buch geschrieben wird erst, was du bestätigst.

Ist die Erkennung des Geräts nicht verfügbar, wird stattdessen die Aufnahme selbst gesendet und von demselben Anbieter transkribiert. In beiden Fällen laufen Audio und Text nur im Arbeitsspeicher durch unsere Funktion und werden von uns nicht gespeichert — weder in der Datenbank noch in einer Datei noch in einem Log. Wenn du ein Konto nutzt, wird nach einer erfolgreichen Eingabe lediglich die oben beschriebene monatliche Anzahl um eins erhöht.

OpenAI verarbeitet diese Daten als Auftragsverarbeiter weisungsgebunden. Die Schnittstelle wird in der Betriebsart genutzt, in der übermittelte Daten nicht zum Training von Modellen verwendet werden; zur Missbrauchskontrolle kann der Anbieter die Anfrage und die Antwort darauf bis zu 30 Tage speichern, länger nur, wenn dies gesetzlich vorgeschrieben oder vernünftigerweise erforderlich ist, um seine Dienste oder Dritte vor Schäden zu schützen. Diktiere nichts, was ein Auftragsverarbeiter nicht sehen soll.

Belegscan

Für einen Belegscan fotografierst du den Beleg in der App oder wählst ein Bild aus deinen Fotos; die App erhält nur das Bild, das du auswählst. Bevor das Foto dein Gerät verlässt, wird es verkleinert und ohne seine Metadaten neu gespeichert, etwa ohne Ort und Zeitpunkt der Aufnahme. Gesendet wird erst, wenn du es in der App erlaubt hast; die Erlaubnis kannst du jederzeit unter Einstellungen → Datenschutz widerrufen.

Das Foto geht an unseren Server, zusammen mit dem Kontext, den das Lesen braucht: Sprache der Oberfläche, heutiges Datum, Zeitzone, Hauptwährung und die Namen deiner Ausgabenkategorien. Von dort geht es an OpenAI, das den Beleg liest und daraus Buchungsentwürfe macht. Die Entwürfe erscheinen auf deinem Gerät; in dein Buch geschrieben wird erst, was du bestätigst.

Mit dem Foto geht alles, was auf dem Beleg gedruckt ist: Stehen dein Name, deine Anschrift oder deine E-Mail-Adresse darauf, erhält OpenAI auch diese. Das Foto durchläuft unsere Funktion im Arbeitsspeicher und wird von uns nicht gespeichert, weder in der Datenbank noch in einer Datei oder einem Log. Wenn du ein Konto nutzt, erhöht ein gelesener Beleg die monatliche Zahl der Belegscans um eins; ein Foto, aus dem nichts gelesen werden konnte, zählt nicht.

OpenAI verarbeitet diese Daten als Auftragsverarbeiter weisungsgebunden, mit denselben Einstellungen und derselben Speicherung zur Missbrauchskontrolle wie bei der Spracheingabe. Scanne nichts, was ein Auftragsverarbeiter nicht sehen soll.

E-Mail

Anmeldecodes werden über Amazon Simple Email Service versendet (AWS, Frankfurt am Main). Der Dienst erhält deine E-Mail-Adresse, um die Nachricht zuzustellen. Werbemails versenden wir nicht, einen Verteiler gibt es nicht.

Wechselkurse

Die täglichen Wechselkurse stammen vom öffentlichen Dienst api.frankfurter.dev. Die Anfrage stellt einmal täglich unser Server für alle, nicht dein Gerät — wer mehrere Währungen führt, verrät diesem Dienst also nichts über sich.

Käufe

Topf Plus wird auf dem iPhone über den App Store von Apple und unter Android über Google Play gekauft, mit oder ohne Konto. Die Zahlung selbst, deine Karte und deine Apple-ID oder dein Google-Konto bleiben beim Store; wir sehen sie nie. Apple und Google verarbeiten den Kauf als eigenständige Verantwortliche nach ihren eigenen Datenschutzbestimmungen. RevenueCat (RevenueCat, Inc., USA) erhält den Kaufnachweis des Stores (den App-Store-Beleg oder das Kauf-Token von Google Play), eine anonyme Kennung deiner Installation und — wenn du ein Konto hast — dessen Kennung und teilt der App und unserem Server mit, ob Plus aktiv ist und bis wann. RevenueCat verarbeitet diese Daten weisungsgebunden als Auftragsverarbeiter; die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln.

Nutzungsstatistik

Um zu verstehen, wo Menschen hängen bleiben und was besser werden muss, sendet die App eine Nutzungsstatistik an PostHog (PostHog Inc., USA; die Daten liegen in der EU, in Frankfurt): wie die App genutzt wird — welche Bildschirme geöffnet und welche Aktionen in ihr ausgeführt werden. Jedes Ereignis enthält die App-Version, das Betriebssystem und seine Version, die Sprache, die Zeitzone und eine zufällige Kennung der Installation.

Nie gesendet werden Beträge, Notizen, Namen von Konten und Kategorien, das, was du gesagt hast, deine E-Mail-Adresse und die Kennung deines Kontos. Die IP-Adresse wird verworfen und nicht verwendet, um deinen Standort zu bestimmen. Die Statistik ist nicht mit deinem Konto verknüpft; nach einer Neuinstallation der App bekommt die Installation eine neue Kennung. Das Senden lässt sich in der App ausschalten: Einstellungen → Datenschutz → Nutzungsstatistik.

Rechtsgrundlage: unser berechtigtes Interesse an der Verbesserung der App (Art. 6 Abs. 1 lit. f DSGVO). PostHog verarbeitet diese Daten weisungsgebunden als Auftragsverarbeiter; die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln. Die Ereignisse stehen ein Jahr lang für Auswertungen zur Verfügung; ältere erscheinen nicht mehr in Berichten, PostHog kann sie aber in seinem Archiv aufbewahren. Weil die Statistik nicht mit dir verknüpft ist, können wir die Ereignisse einer einzelnen Installation weder heraussuchen noch löschen.

Diese Website

Die Website läuft auf Cloudflare Pages. Sie hat keine Formulare, keine Cookies, keine Analyse und keine eingebetteten Inhalte Dritter. Nur die Startseite liest die in deinem Browser eingestellten Sprachen, um in einer davon zu öffnen; gespeichert wird dabei nichts. Cloudflare verarbeitet die technischen Daten, die jeder Webserver sieht — IP-Adresse, aufgerufene Adresse, User-Agent —, um die Seite auszuliefern und den Dienst zu schützen.

Wer die Daten sonst noch sieht

Nur die genannten Auftragsverarbeiter, jeder für die eine Aufgabe, die er erfüllt:

• Supabase — Betrieb der Datenbank und des Anmeldedienstes;
• PowerSync — Synchronisierung zwischen Datenbank und deinen Geräten;
• OpenAI — Umwandlung eines gesprochenen Satzes oder eines Belegfotos in Entwürfe;
• Amazon Web Services — E-Mail-Zustellung sowie die Infrastruktur der Datenbank;
• RevenueCat — Abwicklung der In-App-Käufe und Stand deiner Plus-Berechtigung;
• PostHog — Nutzungsstatistik der App;
• Cloudflare — Betrieb dieser Website und der Domain.

Wir stellen sicher, dass Drittanbieter, an die wir Nutzerdaten übermitteln, diese Daten in gleichem oder vergleichbarem Maß schützen, wie in dieser Datenschutzerklärung beschrieben und nach den für unsere App geltenden Datenschutzanforderungen erforderlich.

Deine Daten werden nicht verkauft, nicht vermietet, nicht an Werbetreibende weitergegeben und nicht zum Training von Modellen verwendet.

Speicherdauer

So lange, wie dein Konto besteht. Mit der Löschung des Kontos wird das Buch auf dem Server gelöscht; eine bereits auf deine eigenen Geräte synchronisierte Kopie verschwindet, sobald du dich abmeldest oder die App entfernst.

Eine Buchung, die du in der App löschst, verschwindet sofort aus dem Buch und aus allen Summen; direkt danach lässt sich das Löschen noch rückgängig machen. Auf dem Server bleibt sie als gelöscht markiert gespeichert, bis du dein Konto löschst.

Deine Rechte

Nach der DSGVO hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit sowie das Recht, einer auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen.

Die Löschung ist in die App eingebaut: Einstellungen → Konto → Konto löschen entfernt deine Daten auf dem Server und widerruft bei einer Anmeldung über Apple zugleich diese Erlaubnis. Für alles Weitere schreib an [email protected].

Kinder

Topf richtet sich nicht an Kinder und ist nicht für Personen unter 16 Jahren bestimmt.

Änderungen

Ändert sich diese Erklärung, ändert sich das Datum oben mit. Eine Änderung, die den Umgang mit deinen Daten wesentlich betrifft, wird vorher in der App angekündigt.