Datenschutzerklärung

1. Wer ist verantwortlich?

Verantwortlich für die Datenverarbeitung in dieser App im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Welche Daten wir verarbeiten

Die App verarbeitet nur Daten, die du selbst eingibst oder die für den Betrieb nötig sind:

• Konto: E-Mail-Adresse, Passwort (nur als Hash gespeichert, nie im Klartext), Anzeigename, deine gewählte Sprache und dein Farbschema (damit sie auf all deinen Geräten gleich sind) und – wenn du möchtest – Profilbild oder Emoji und Telefonnummer.
• Gruppen und Ausgaben: Gruppennamen und Mitglieder, Ausgaben mit Beschreibung, Betrag, Währung, Datum, Kategorie und Notiz, wer bezahlt hat und wie die Kosten geteilt werden, Zahlungen zwischen Mitgliedern, Budgets, Kommentare, Reaktionen und Freundschaften zwischen Konten.
• Gäste: Für Personen ohne Konto, die ein Mitglied in einer Gruppe anlegt, wird nur ein Name gespeichert.
• Optionale Angaben: ein Ort zu einer Ausgabe (Ortsname und Koordinaten) sowie Beleg- und Gruppenfotos, die du hochlädst.
• Benachrichtigungen: Wenn du Push-Benachrichtigungen einschaltest, speichern wir die Adresse deines Geräts beim Push-Dienst deines Browsers oder Betriebssystems samt Schlüsseln und der gewählten Sprache.
• Technische Daten: der Zeitpunkt deiner letzten Aktivität, Fehlermeldungen der App und – wie bei jedem Webserver – IP-Adresse und Zeitpunkt in den Server-Protokollen des Hosters.

Es gibt kein Tracking, keine Analyse-Werkzeuge von Dritten und keine Werbung.

3. Wozu und auf welcher Grundlage

• Konto, Gruppen, Ausgaben und Abrechnung: Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).
• Optionale Angaben wie Ort, Fotos, Telefonnummer und Push-Benachrichtigungen: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit für die Zukunft widerrufen, zum Beispiel indem du die Angabe entfernst oder Benachrichtigungen ausschaltest.
• Sicherheit, Missbrauchsschutz, Fehlerbehebung und Datensicherung: berechtigtes Interesse des Betreibers an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Dienstleister und Empfänger

Für den Betrieb nutzen wir Dienstleister, die Daten in unserem Auftrag verarbeiten:

• Supabase (Datenbank, Anmeldung und Dateispeicher): Die Daten liegen auf Servern in der EU. Anbieter ist Supabase Inc., USA.
• Vercel (Hosting der App, Region Frankfurt): Dabei fallen technische Zugriffsdaten wie IP-Adresse und Zeitpunkt an. Anbieter ist Vercel Inc., USA.
• Brevo (Versand von E-Mails wie der Bestätigung bei der Registrierung und „Passwort zurücksetzen“): Dabei werden deine E-Mail-Adresse und der Inhalt der Nachricht verarbeitet. Anbieter ist Brevo, Frankreich (EU).
• Push-Dienste von Apple, Google, Mozilla oder Microsoft, je nach Browser und Gerät – nur wenn du Benachrichtigungen einschaltest.
• OpenStreetMap: Beim Öffnen der Reisekarte lädt dein Browser Kartenkacheln von tile.openstreetmap.org. Dabei erfährt die OpenStreetMap Foundation deine IP-Adresse.
• Wechselkurse holt unser Server bei open.er-api.com – ohne Bezug zu dir und ohne personenbezogene Daten.

Für Anbieter mit Sitz in den USA gelten die Standardvertragsklauseln der EU-Kommission oder eine Zertifizierung nach dem EU-US Data Privacy Framework. Darüber hinaus geben wir keine Daten an Dritte weiter.

5. Cookies und lokale Speicherung

Anteilo setzt nur Cookies, die für den Betrieb nötig sind oder Einstellungen speichern, die du selbst gewählt hast:

• Anmeldung (Supabase-Cookies, Name beginnt mit „sb-“): hält dich angemeldet.
• an_lang: deine gewählte Sprache (ein Jahr).
• an_theme: dein gewähltes Farbschema.
• an_next: merkt sich eine Stunde lang, wohin du nach der E-Mail-Bestätigung weiter willst, zum Beispiel zu einem Einladungslink.
• an_last_group: die zuletzt geöffnete Gruppe.

Diese Cookies enthalten keine Tracking-Kennungen, deshalb gibt es keinen Cookie-Banner. Zusätzlich speichert dein Gerät einen Offline-Zwischenspeicher und Einstellungen wie die App-Sperre (die Kennung des Passkeys bleibt auf deinem Gerät).

6. Wer sieht was?

• Mitglieder deiner Gruppen sehen deinen Namen, dein Profilbild und die Ausgaben, Zahlungen, Kommentare und Fotos dieser Gruppe.
• Deine E-Mail-Adresse und deine Telefonnummer sehen andere Mitglieder nicht.
• Der Betreiber sieht in der Admin-Ansicht Namen, E-Mail-Adressen, Zähler und Aktivitätszeitpunkte, aber keine Ausgabentexte oder Beträge. Technisch hat er als Datenbank-Administrator Zugriff auf alle gespeicherten Daten und nutzt ihn nur für Betrieb, Support und Sicherheit.

7. Speicherdauer und Löschung

Deine Daten bleiben, solange dein Konto besteht. Unter Konto → Deine Daten → Konto löschen entfernst du dein Konto jederzeit selbst: Login, Profil und persönliche Angaben werden gelöscht. Ausgaben und Zahlungen in gemeinsamen Gruppen bleiben, damit die Abrechnung der anderen stimmt, und werden dann einem anonymen „Gelöschten Konto“ zugeordnet.

Für den Notfall wird täglich eine Sicherung der Datenbank angelegt und 14 Tage aufbewahrt; danach wird sie gelöscht. Gelöschte Daten verschwinden dort also spätestens nach 14 Tagen.

8. Deine Rechte

Nach der DSGVO hast du das Recht auf:

• Auskunft über die zu dir gespeicherten Daten (Art. 15)
• Berichtigung falscher Daten (Art. 16) – das meiste änderst du direkt in der App
• Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18) – dein Konto löschst du selbst in der App
• Datenübertragbarkeit (Art. 20) – den Export findest du unter Konto → Deine Daten
• Widerspruch gegen Verarbeitung aufgrund berechtigter Interessen (Art. 21) und Widerruf erteilter Einwilligungen
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), zum Beispiel der Behörde an deinem Wohnort

Für Anfragen schreib an die E-Mail-Adresse des Verantwortlichen oben.

9. Sicherheit

Die Verbindung zur App ist verschlüsselt (HTTPS). In der Datenbank ist der Zugriff so geregelt, dass du nur die Daten deiner eigenen Gruppen siehst (Row Level Security). Passwörter werden nur als Hash gespeichert.

10. Änderungen

Wenn sich die App ändert, passen wir diese Erklärung an. Das Datum der letzten Änderung steht oben.