Finanz-App und Datenschutz: 7 Punkte, die du prüfen solltest
Serverstandort, Tracking, Dienstleister, Löschkonzept: sieben Punkte, an denen du in zehn Minuten erkennst, wie ernst eine Finanz-App den Datenschutz nimmt.
Eine App zum Aufteilen gemeinsamer Ausgaben weiß mehr über dich, als der Funktionsumfang vermuten lässt. Sie kennt deine Mitbewohner, deine Reisebegleitung, deinen Partner, die Höhe eurer Miete, wie oft ihr essen geht und wer im Freundeskreis regelmäßig Geld schuldet. Das ist kein Kontoauszug, aber es ist ein ziemlich genaues Bild eures Alltags.
Umso erstaunlicher, wie selten diese Apps nach ihrem Datenschutz gefragt werden. Dieser Artikel zeigt die sieben Punkte, an denen sich das in etwa zehn Minuten selbst beurteilen lässt, ganz ohne juristische Vorkenntnisse und ohne dass du dafür ein Konto anlegen musst.
Die kurze Antwort
Bei einer Finanz-App prüfst du sieben Dinge, alle davon vor der Anmeldung:
- Serverstandort. Steht in der Datenschutzerklärung ein Land oder nur eine Region? Deutschland oder EU ist gut, „weltweit" ist eine Antwort auf eine andere Frage.
- Dienstleister. Der Abschnitt zu Datenempfängern muss Firmen mit Namen und Sitz nennen, nicht „ausgewählte Partner".
- Tracking. Ein Cookie-Banner mit Kategorien wie Marketing oder Statistik bedeutet Tracking. Kein Banner und ein kurzer Hinweis auf technisch notwendige Cookies bedeuten in der Regel keins.
- Datenumfang. Was wird bei der Registrierung abgefragt? Alles über Name und E-Mail-Adresse hinaus braucht eine Begründung.
- Löschung. Gibt es einen Löschknopf im Konto, und steht dabei, was mit gemeinsamen Daten passiert?
- Export. Kommst du an deine Daten heran, ohne den Support zu bitten?
- Verschlüsselung und Finanzierung. HTTPS ist Pflicht. Und wenn die App kostenlos und werbefinanziert ist, sind deine Daten Teil des Geschäftsmodells.
Die kürzeste Version: Wenn eine App ohne Bankzugriff auskommt, in Deutschland oder der EU hostet und kein Consent-Banner mit Marketing-Kategorien zeigt, hast du die drei größten Risiken bereits ausgeschlossen.
Was heißt Datenschutz bei einer Finanz-App überhaupt?
Datenschutz ist nicht dasselbe wie Datensicherheit. Sicherheit heißt: Niemand Unbefugtes kommt an die Daten. Datenschutz heißt: Auch die Befugten dürfen nur das tun, wofür sie eine Rechtsgrundlage haben. Eine App kann technisch hervorragend abgesichert sein und trotzdem deine Nutzungsdaten an ein Werbenetzwerk verkaufen.
Die DSGVO regelt den zweiten Teil. Für dich als Nutzerin oder Nutzer sind vier Grundsätze aus Artikel 5 relevant, weil sich an ihnen fast jede App messen lässt:
- Zweckbindung. Daten, die für die Abrechnung erhoben werden, dürfen nicht ohne Weiteres für Werbung verwendet werden.
- Datenminimierung. Erhoben werden darf nur, was für den Zweck erforderlich ist.
- Speicherbegrenzung. Daten müssen gelöscht werden, wenn sie nicht mehr gebraucht werden.
- Transparenz. Du musst all das nachlesen können, in verständlicher Sprache.
Der letzte Punkt ist der praktisch wichtigste, denn er ist der einzige, den du von außen direkt überprüfen kannst. Eine Datenschutzerklärung, die keine Firmennamen, keine Länder und keine Fristen nennt, ist schon deshalb ein Warnsignal, weil Transparenz selbst eine Pflicht ist.
Punkt 1: Serverstandort, und warum „EU" nicht dasselbe ist wie „Deutschland"
Der Serverstandort entscheidet darüber, wessen Behörden theoretisch Zugriff nehmen können und wie aufwendig die rechtliche Konstruktion dahinter ist.
| Standort | Rechtliche Lage | Was das für dich bedeutet |
|---|---|---|
| Deutschland | DSGVO plus deutsches Recht, keine Übermittlung in Drittländer nötig | Einfachster Fall, nichts weiter zu prüfen |
| EU oder EWR | DSGVO gilt unmittelbar | Praktisch gleichwertig, Aufsicht sitzt in einem anderen Mitgliedsstaat |
| USA | Übermittlung auf Basis des Angemessenheitsbeschlusses von 2023, der juristisch angegriffen wird | Zulässig, aber die Grundlage kann sich ändern |
| Sonstige Drittländer | Standardvertragsklauseln plus eigene Risikoprüfung des Anbieters | Prüfbar nur, wenn der Anbieter sie offenlegt, was selten passiert |
Zwei Fallen dabei. Erstens: Ein Anbieter mit Sitz in Deutschland hostet nicht automatisch in Deutschland. Impressum und Serverstandort sind zwei verschiedene Angaben, und nur die zweite steht in der Datenschutzerklärung. Zweitens: Auch wenn die Hauptdatenbank in der EU liegt, können einzelne Bausteine woanders sitzen, typischerweise Fehler-Tracking, Push-Nachrichten, Support-Chat und E-Mail-Versand. Deshalb ist der nächste Punkt genauso wichtig.
Punkt 2: Die Liste der Dienstleister
Jeder Dienst, der im Auftrag des Anbieters Daten verarbeitet, muss in der Datenschutzerklärung genannt werden, mit Name, Sitz und Zweck. Diese Liste ist der ehrlichste Abschnitt jeder Datenschutzerklärung, weil sie sich schlecht schönschreiben lässt.
Kurze Listen sind ein gutes Zeichen. Eine typische, unauffällige Aufstellung für eine Ausgaben-App umfasst drei bis fünf Einträge: Hosting, E-Mail-Versand, bei mobilen Apps zusätzlich der Push-Dienst und der jeweilige App-Store. Wird es deutlich länger, lohnt der Blick auf die Zwecke. Namen aus dem Werbe- und Analyseumfeld haben in einer Finanz-App wenig verloren.
Ein Sonderfall sind Push-Nachrichten. Wer eine Android-App anbietet, kommt an Firebase Cloud Messaging kaum vorbei, und damit an einer Übermittlung in die USA. Das ist für sich genommen kein Ausschlusskriterium, sollte aber benannt und auf die Push-Funktion begrenzt sein.
Punkt 3: Tracking erkennen, ohne Fachwissen
Der Cookie-Banner verrät mehr als jede Selbstbeschreibung. Nach Paragraf 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes darf ein Anbieter ohne deine Einwilligung nur auf dein Gerät zugreifen, wenn das technisch unbedingt erforderlich ist. Ein Login-Cookie fällt darunter, ein Analyse-Cookie nicht. Daraus folgt eine einfache Faustregel:
- Kein Banner oder nur ein kurzer Hinweis: Der Anbieter kommt mit technisch notwendigen Cookies aus. Das ist die datensparsamste Variante.
- Banner mit Kategorien wie Statistik, Marketing, Personalisierung: Es wird getrackt. Öffne die Details, dort stehen die Anbieter namentlich.
- Banner ohne echte Ablehnen-Option: Neben dem Datenschutzproblem ist das inzwischen auch aufsichtsrechtlich angreifbar. Ein deutlicher Hinweis darauf, wie ernst der Anbieter das Thema nimmt.
Wer es genauer wissen will, öffnet die Entwicklerwerkzeuge des Browsers mit F12, wechselt auf den Reiter Netzwerk und lädt die Seite neu. In der Liste stehen alle aufgerufenen Domains. Alles, was nicht zur Domain der App selbst gehört, ist eine Verbindung zu einem Dritten.
Übrigens muss Reichweitenmessung nicht automatisch Tracking bedeuten. Selbst betriebene, cookie-lose Analyse zählt Seitenaufrufe, ohne dich über Websites hinweg wiederzuerkennen. Der Unterschied liegt nicht darin, ob gemessen wird, sondern ob ein Profil entsteht und wer es bekommt.
Punkt 4: Wie viel die App überhaupt wissen will
Das Registrierungsformular ist ein Datenschutzhinweis, den kaum jemand als solchen liest. Für eine App, die gemeinsame Ausgaben aufteilt, ist die Liste des wirklich Erforderlichen kurz:
| Datum | Erforderlich? | Wofür |
|---|---|---|
| Anzeigename | ja | Damit die Gruppe erkennt, wer wer ist |
| E-Mail-Adresse | ja | Login, Passwort zurücksetzen, Einladungen |
| Passwort | ja | Zugangsschutz |
| Beträge und Beschreibungen | ja | Der eigentliche Zweck, von euch selbst eingegeben |
| Telefonnummer | nein | Nur bei Anmeldung per SMS, sonst überflüssig |
| Adresse, Geburtsdatum | nein | Für eine Abrechnung unter Freunden nicht erforderlich |
| Kontaktliste des Telefons | nein | Bequemer beim Einladen, offenbart aber Daten Dritter |
| Standort | nein | Für das Aufteilen von Beträgen ohne jede Funktion |
| Bankzugang | nein | Siehe unten, das ist die größte Einzelentscheidung |
Der Bankzugang verdient einen eigenen Absatz. Sobald eine App deine Umsätze automatisch einliest, ist sie ein Kontoinformationsdienst, braucht dafür eine Erlaubnis der BaFin und sieht anschließend jeden Umsatz auf dem Konto, nicht nur die gemeinsamen. Für die Frage, wer wem nach dem Wochenende wie viel schuldet, ist das ein sehr großer Hebel für einen sehr kleinen Komfortgewinn. Wie diese Rechnung auch ohne Kontozugriff aufgeht, steht in Wer schuldet wem? Schulden in der Gruppe einfach berechnen.
Punkt 5 bis 7: Löschung, Export, Verschlüsselung
Löschung. Artikel 17 DSGVO gibt dir das Recht, deine Daten löschen zu lassen. Die Frage ist nur, wie leicht der Anbieter es dir macht. Ein Löschknopf in den Kontoeinstellungen ist der Normalfall guter Umsetzung, ein Formular für eine E-Mail an den Support das Gegenteil. Achte außerdem darauf, ob erklärt wird, was mit gemeinsamen Daten passiert. Bei einer Gruppenabrechnung ist das keine Ausrede, sondern eine echte Abwägung: Würden mit deinem Konto auch alle Beträge verschwinden, an denen du beteiligt warst, wäre die Abrechnung der anderen kaputt. Sauber gelöst heißt das: Deine personenbezogenen Daten werden entfernt, die Beträge der anderen bleiben rechnerisch intakt.
Export. Artikel 20 DSGVO gibt dir zusätzlich ein Recht auf Datenübertragbarkeit, also auf deine Daten in einem gängigen, maschinenlesbaren Format. Praktisch erkennbar an einer Export-Funktion für Gruppen oder Ausgaben. Wer exportieren kann, kann auch wechseln, und Anbieter, die einen Wechsel technisch erschweren, tun das selten aus Versehen.
Verschlüsselung und Finanzierung. HTTPS ist heute Mindeststandard und kein Qualitätsmerkmal mehr, sein Fehlen aber ein sofortiges Ausschlusskriterium. Interessanter ist die Finanzierungsfrage. Kostenlos und werbefrei bedeutet, dass die Kosten von woanders getragen werden, etwa aus einem Abo für Zusatzfunktionen oder weil das Projekt schlicht klein und günstig zu betreiben ist. Kostenlos mit Werbung bedeutet fast immer, dass Nutzungsdaten Teil des Geschäftsmodells sind. Diese Frage lässt sich in fünf Sekunden beantworten und erklärt oft die anderen sechs Punkte gleich mit.
Beispiel: eine App in zehn Minuten bewerten
Aus den sieben Punkten wird eine Bewertung, wenn ihr sie einfach abhakt. Ein Punkt je erfülltem Kriterium, so sieht das für eine ausgedachte App namens „SplitFix" aus:
| Kriterium | Befund | Punkt |
|---|---|---|
| Serverstandort | „Server in den USA und weiteren Regionen" | 0 |
| Dienstleister namentlich genannt | 11 Einträge, darunter zwei Werbenetzwerke | 0 |
| Kein Tracking | Banner mit Marketing und Statistik, kein direktes Ablehnen | 0 |
| Datenminimierung | Registrierung verlangt Telefonnummer und Kontaktzugriff | 0 |
| Löschung im Konto möglich | ja, unter Einstellungen | 1 |
| Datenexport möglich | ja, als CSV | 1 |
| Werbefrei | nein, Bannerwerbung in der Übersicht | 0 |
| Summe | 2 von 7 |
Zwei von sieben. Das Ergebnis ist kein Skandal, aber es beantwortet die eigentliche Frage: Für eine reine Abrechnung im Freundeskreis ist der Datenumfang unnötig groß, und die vier verfehlten Punkte hängen alle am selben Grund, nämlich der Werbefinanzierung.
Die Bewertung ist bewusst grob. Ihr Nutzen liegt darin, dass ihr die Prüfung überhaupt macht und die Antwort für euch nachvollziehbar wird, statt sich auf ein Siegel oder eine Store-Bewertung zu verlassen. Vier oder mehr Punkte sind für eine kostenlose App ein solider Wert, sieben von sieben ist erreichbar, kommt aber selten vor.
Wie Schuldnix damit umgeht
Weil die Frage naheliegt: Schuldnix läuft auf Servern in Deutschland, setzt keine Tracking-Cookies und nutzt für die Reichweitenmessung eine selbst betriebene, cookie-lose Instanz, deren Daten nicht an Dritte gehen. Für die Abrechnung braucht die App einen Namen, eine E-Mail-Adresse und die Beträge, die ihr selbst eintragt. Ein Bankzugang ist nicht vorgesehen, weil die Rechnung ihn nicht braucht.
Beim Löschen des Kontos werden die persönlichen Daten entfernt, die Beträge bleiben für die anderen Gruppenmitglieder rechnerisch bestehen, damit deren Abrechnung stimmt. Gruppen lassen sich exportieren. Wer es genau nachlesen möchte, findet alle Dienstleister mit Name und Sitz in der Datenschutzerklärung. Das ist genau die Prüfung, zu der dieser Artikel rät, nur eben an unserem eigenen Beispiel.
Was das für die Praxis heißt
Die meisten Gruppen wählen ihre Abrechnungs-App danach aus, wer sie schon hat. Das ist verständlich, ändert aber nichts daran, dass ihr damit zu fünft oder zu sechst eine gemeinsame Entscheidung über eure Daten trefft, die nur eine Person getroffen hat.
Zehn Minuten vor der Anmeldung genügen, und sie lohnen sich besonders dann, wenn die App dauerhaft im Alltag laufen soll, also bei einer WG oder als Paar. Wie ihr die Aufteilung selbst regelt, unabhängig vom Werkzeug, steht in WG-Kosten fair aufteilen: 7 Tipps, die wirklich funktionieren und in Getrennte Konten, gemeinsame Ausgaben: 4 Modelle für Paare.
Die Kurzfassung fürs Merken: Serverstandort prüfen, Dienstleisterliste lesen, Cookie-Banner ansehen, Registrierungsformular zählen. Wer bei diesen vier Handgriffen nichts Auffälliges findet, hat mit hoher Wahrscheinlichkeit eine App vor sich, die mit euren Zahlen sorgfältig umgeht.
Häufige Fragen
Auf sieben Punkte: Serverstandort, Liste der eingesetzten Dienstleister, Tracking und Cookies, Umfang der abgefragten Daten, Löschkonzept, Datenexport und Verschlüsselung. Alle sieben stehen in der Datenschutzerklärung und im Cookie-Banner, ihr müsst dafür kein Konto anlegen. Wer die Erklärung nicht findet oder nur eine Textbausteinseite ohne konkrete Namen und Länder liefert, hat den ersten Punkt schon verfehlt.
Sie kann es sein, aber es ist aufwendiger und rechtlich weniger stabil. Für Übermittlungen in die USA gibt es seit 2023 einen Angemessenheitsbeschluss der EU-Kommission, gegen den juristisch vorgegangen wird, und für alle anderen Drittländer braucht es Standardvertragsklauseln plus eine eigene Risikoprüfung. Server in Deutschland oder der EU ersparen diese ganze Konstruktion, deshalb ist der Serverstandort ein guter erster Filter.
Der schnellste Test ist der Cookie-Banner: Wer dir nur einen Hinweis auf technisch notwendige Cookies zeigt und keine Auswahl abverlangt, setzt in der Regel kein Tracking ein. Sobald ein Banner Kategorien wie Marketing, Statistik oder Personalisierung anbietet, wird getrackt, und du siehst unter Details die Namen der Anbieter. Im Abschnitt zu Datenempfängern der Datenschutzerklärung stehen dieselben Namen noch einmal vollständig.
Nur die, die für den Zweck wirklich nötig sind, das ist der Grundsatz der Datenminimierung aus Artikel 5 DSGVO. Für das Aufteilen gemeinsamer Ausgaben reichen ein Name, eine E-Mail-Adresse für Login und Einladungen sowie die von euch selbst eingetragenen Beträge. Adresse, Geburtsdatum, Telefonnummer, Kontaktliste oder Standort sind für diesen Zweck nicht erforderlich, und eine App, die sie trotzdem verlangt, sollte erklären können, warum.
Ja, Artikel 17 DSGVO gibt dir ein Recht auf Löschung, und Artikel 20 zusätzlich das Recht, deine Daten in einem gängigen Format zu exportieren. Gute Apps bieten beides als Knopf im Konto an, statt dich auf eine E-Mail an den Support zu verweisen. Beachte, dass Beträge, die andere Gruppenmitglieder betreffen, aus deren Sicht erhalten bleiben dürfen, weil sonst deren Abrechnung unbrauchbar würde. Dein Name und deine Kontaktdaten müssen trotzdem entfernt werden.
Nein. Das Aufteilen gemeinsamer Kosten funktioniert vollständig mit selbst eingetragenen Beträgen. Sobald eine App Umsätze automatisch aus deinem Konto liest, ist sie ein Kontoinformationsdienst nach dem Zahlungsdiensteaufsichtsgesetz, braucht dafür eine BaFin-Erlaubnis und sieht jeden einzelnen Umsatz, auch die privaten. Der Komfortgewinn ist klein, der Datenumfang riesig.