Datenschutzerklärung für Schuldnix

1. Einleitung

Willkommen bei Schuldnix, einem Service der Lutec Solutions GmbH. Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten erheben, verwenden und schützen, wenn Sie unseren Schuldnix-Service nutzen.

2. Verantwortliche Stelle

3. Erhobene personenbezogene Daten

Bei der Nutzung von Schuldnix erheben wir folgende Arten von personenbezogenen Daten:

• Kontoinformationen: E-Mail-Adresse, Name, optionaler Anzeigename, Passwort-Hash und Benutzereinstellungen.
• Nutzergenerierte Inhalte: Informationen zu Ausgaben, Gruppen, Gruppenmitgliedschaften und Zahlungsausgleichen, die Sie in unserem Service erstellen. Hierzu zählen insbesondere Kommentare zu Ausgaben sowie optionale Notizen zu Ausgleichszahlungen, die Sie als Freitext erfassen können. Diese Freitextfelder können personenbezogene Daten enthalten, soweit Sie diese freiwillig dort eintragen.
• Bilder: Optional hochgeladene Profilbilder und Gruppen-Titelbilder, die Sie zur Personalisierung Ihres Kontos und Ihrer Gruppen verwenden können. Wenn Sie ein Gruppen-Titelbild über die integrierte Bildauswahl (basierend auf Unsplash) auswählen, wird das gewählte Bild von unseren Servern heruntergeladen und auf unserer eigenen Infrastruktur gespeichert. Eine direkte Verbindung Ihres Geräts zu Unsplash findet hierbei nicht statt; es werden keine personenbezogenen Daten an Unsplash übermittelt.
• Hochgeladene Dateien: Nutzer haben die Möglichkeit, Bilder und Dateien hochzuladen, beispielsweise Fotos von Belegen oder Quittungen zu Ausgaben. Die Inhalte dieser Uploads werden von uns nicht automatisiert ausgewertet, können jedoch personenbezogene Daten enthalten (z. B. Namen, Adressen oder Zahlungsinformationen auf Belegen).
• Nutzungsdaten: Informationen darüber, wie Sie mit unserem Service interagieren, einschließlich Zugriffszeiten, aufgerufener Seiten und genutzter Funktionen.
• Geräteinformationen: Informationen über das Gerät, mit dem Sie auf unseren Service zugreifen, einschließlich Gerätetyp, Gerätemodell, Betriebssystem (inkl. Version), Browsertyp und Spracheinstellung.
• IP-Adresse und Sitzungsdaten: Bei der Anmeldung und während aktiver Sitzungen speichern wir Ihre IP-Adresse sowie technische Sitzungsinformationen (User-Agent, Zeitpunkt der Anmeldung). Diese Daten dienen der Authentifizierung, der Absicherung Ihres Kontos sowie der Erkennung und Verhinderung von Missbrauch.
• Push-Benachrichtigungs-Token (Mobile-App): Wenn Sie der Mobile-App den Versand von Push-Benachrichtigungen erlauben, speichern wir das vom Betriebssystem ausgestellte Geräte-Token sowie die Plattform (iOS/Android), das Gerätemodell, die Betriebssystemversion, die Spracheinstellung sowie den Zeitpunkt der letzten Nutzung. Diese Daten sind notwendig, um Benachrichtigungen an Ihr Gerät zustellen zu können, und werden nach Abmeldung des Geräts oder bei Kontolöschung entfernt. Push-Benachrichtigungen können je nach Benachrichtigungstyp Informationen wie Gruppennamen, Namen anderer Gruppenmitglieder, Ausgabenbezeichnungen oder Beträge enthalten. Sie können Push-Benachrichtigungen jederzeit in den Einstellungen Ihres Betriebssystems deaktivieren.
• Kamera- und Foto-Zugriff (Mobile-App): Die Mobile-App kann auf Ihre Anfrage hin auf die Kamera bzw. die Foto-Mediathek Ihres Geräts zugreifen, damit Sie z. B. Belegfotos oder Profilbilder aufnehmen oder auswählen können. Der Zugriff erfolgt ausschließlich nach Ihrer ausdrücklichen Freigabe über das Berechtigungssystem Ihres Betriebssystems. Es werden nur die von Ihnen aktiv ausgewählten Bilder an unseren Service übertragen; ein automatischer oder verdeckter Zugriff auf Ihre Foto-Mediathek findet nicht statt.
• Feedback-Eingaben: Wenn Sie uns über die In-App-Feedback-Funktion eine Rückmeldung zukommen lassen, speichern wir den von Ihnen eingegebenen Nachrichtentext, eine optionale Bewertung (1–5) sowie die gewählte Kategorie zusammen mit Ihrer Nutzer-ID und dem Zeitpunkt der Übermittlung. Der Nachrichtentext kann personenbezogene Daten enthalten, soweit Sie diese freiwillig in Ihre Rückmeldung aufnehmen.
• Cookies: Wir setzen ausschließlich technisch notwendige Sitzungs-Cookies zur Authentifizierung und Sitzungsverwaltung ein. Tracking- oder Analyse-Cookies setzen wir nicht (siehe auch Abschnitt 10).

4. Zweck und Rechtsgrundlage der Verarbeitung

Wir verarbeiten Ihre personenbezogenen Daten zu folgenden Zwecken und auf folgenden Rechtsgrundlagen:

5. Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die Erfüllung der Zwecke erforderlich ist, für die sie erhoben wurden, oder wie es durch geltende Gesetze und Vorschriften vorgeschrieben ist:

• Kontoinformationen: Wir bewahren diese Informationen auf, solange Sie ein Konto bei uns führen. Wenn Sie Ihr Konto löschen, erfolgt die Löschung Ihrer personenbezogenen Identifikationsmerkmale (Name, E-Mail-Adresse, Anzeigename, Profilbild) sofort und ohne Wartefrist. Ihr Nutzerprofil wird durch eine technische Ersatzkennung in der Form „Ehemaliges Mitglied #xxxx" ersetzt. Wir speichern keine separate Zuordnung zwischen dieser Ersatzkennung und Ihrer ursprünglichen E-Mail-Adresse oder Ihrem Namen. Eine Identifizierung kann im Einzelfall jedoch für andere Gruppenmitglieder aus dem Kontext früherer gemeinsamer Ausgaben möglich sein. Aktive Sitzungen, Anmeldedaten (Passwort) sowie registrierte Push-Geräte-Tokens werden ebenfalls sofort entfernt; eine erneute Anmeldung mit diesem Konto ist nicht möglich. Die ursprüngliche E-Mail-Adresse wird freigegeben und kann erneut für eine Registrierung verwendet werden.
• Ausgaben- und Gruppendaten: Wir speichern diese Daten, solange Sie ein Konto bei uns führen, sofern Sie diese nicht manuell löschen. Bitte beachten Sie:
  • Wenn Sie eine Gruppe verlassen, beendet dies Ihre künftige Teilnahme an dieser Gruppe. Bereits entstandene Ausgaben-, Anteils- und Ausgleichsdaten (einschließlich der von Ihnen bezahlten Ausgaben und der auf Sie entfallenden Anteile) bleiben jedoch als Teil der gemeinsamen Gruppenhistorie für die übrigen Gruppenmitglieder erhalten, soweit dies zur Nachvollziehbarkeit der Abrechnungen und zur Wahrung berechtigter Interessen der übrigen Gruppenmitglieder erforderlich ist.
  • Wenn Sie Ihr gesamtes Konto löschen, löschen wir Ihre unmittelbaren Identifikationsdaten wie Name, E-Mail-Adresse, Anzeigename und Profilbild sofort und ohne Wartefrist. Soweit Sie an gemeinsamen Gruppen, Ausgaben oder Ausgleichsvorgängen beteiligt waren, bleiben die hierfür erforderlichen historischen Abrechnungsdaten erhalten und werden Ihrem ersetzten Nutzerprofil („Ehemaliges Mitglied #xxxx", siehe oben unter „Kontoinformationen") zugeordnet. Dies dient der Nachvollziehbarkeit gemeinsamer Abrechnungen, der Integrität der Gruppenhistorie und gegebenenfalls der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; die Einschränkung des Löschanspruchs kann sich aus Art. 17 Abs. 3 DSGVO ergeben. Eigene Kommentare zu Ausgaben werden bei der Kontolöschung gelöscht.
• Bilder: Profilbilder und Gruppen-Titelbilder werden gespeichert, solange Sie ein Konto bei uns führen. Bei Aktualisierung oder Entfernung eines Bildes wird das vorherige Bild gelöscht. Nach Kontolöschung werden alle zugehörigen Bilder gelöscht.
• Hochgeladene Dateien: Zu Ausgaben hochgeladene Dateien (z. B. Belegfotos) werden gespeichert, solange die zugehörige Ausgabe besteht. Bei Löschung der Ausgabe oder des Kontos werden die zugehörigen Dateien ebenfalls gelöscht.
• Sitzungsdaten (IP-Adresse, User-Agent): Aktive Sitzungen laufen automatisch nach 30 Tagen ab. Abgelaufene Sitzungseinträge werden durch einen regelmäßig laufenden Bereinigungslauf aus unserer Datenbank gelöscht.
• Push-Benachrichtigungs-Token: Werden gelöscht, sobald Sie sich von einem Gerät abmelden bzw. die Mobile-App deinstallieren. Geräte ohne Aktivität (kein Zugriff seit mehr als 90 Tagen) werden zusätzlich automatisch entfernt.
• Feedback-Eingaben: Über die In-App-Feedback-Funktion übermittelte Rückmeldungen (Nachricht, Bewertung, Kategorie) speichern wir bis zur abschließenden Bearbeitung Ihrer Rückmeldung, längstens jedoch 24 Monate nach Eingang. Bei Kontolöschung werden zugeordnete Feedback-Einträge ebenfalls gelöscht.
• Server-Zugriffsprotokolle (Logs): Technische Zugriffsprotokolle unserer Server (z. B. IP-Adresse, Zeitpunkt, aufgerufene Ressource) werden zur Sicherstellung des Betriebs sowie zur Abwehr von Angriffen für maximal 14 Tage gespeichert und anschließend gelöscht.
• Nutzungsstatistiken (Umami): Aggregierte Statistikdaten unserer selbst betriebenen Umami-Instanz (Seitenaufrufe, Referrer, Browser- und Gerätetyp) speichern wir in aggregierter Form. IP-Adressen werden nicht dauerhaft gespeichert und nicht zur Wiedererkennung einzelner Nutzer verwendet. Details siehe Abschnitt 10.

6. Datenempfänger und Übermittlungen

Wir können Ihre personenbezogenen Daten an folgende Kategorien von Empfängern weitergeben:

• Dienstleister: Wir nutzen Drittanbieter zur Unterstützung unseres Services:
  • Hetzner Online GmbH (Server-Hosting sowie Objektspeicher/Bildspeicherung in Deutschland über Hetzner Object Storage) – Datenschutzerklärung
  • Brevo GmbH (Köpenicker Str. 126, 10179 Berlin, Deutschland) – Versand transaktionaler E-Mails (z. B. E-Mail-Verifizierung, Passwort-Zurücksetzung). Verarbeitet werden insbesondere Ihre E-Mail-Adresse und der Inhalt der E-Mail. – Datenschutzerklärung
  • Unsplash Inc. (USA) – Wenn Sie ein Gruppen-Titelbild über die integrierte Bildauswahl suchen, übermittelt ausschließlich unser Server (nicht Ihr Endgerät) den von Ihnen eingegebenen Suchbegriff an die Unsplash-API (api.unsplash.com). Es werden weder Ihre IP-Adresse noch Konto- oder Gerätedaten an Unsplash übertragen. Das ausgewählte Bild wird anschließend von unserem Server heruntergeladen und auf unserer eigenen Infrastruktur bereitgestellt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Bildsuche zur Bereitstellung der gewünschten Gruppenbild-Funktion erforderlich ist, sowie ergänzend Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses an einer sicheren, serverseitig vermittelten Bereitstellung externer Bildinhalte. Die Übertragung des Suchbegriffs erfolgt in die USA und stützt sich auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). – Datenschutzerklärung
  • AYR Tech (Pty) Ltd (Südafrika) – Wechselkurs-Service ExchangeRate-API. Wenn Sie eine Ausgabe in einer von der Gruppenwährung abweichenden Währung erfassen, ruft ausschließlich unser Server (nicht Ihr Endgerät) für den jeweiligen Währungs-Code (z. B. „USD", „CHF") aktuelle Wechselkurse bei der ExchangeRate-API ab. Bei der Nutzung der ExchangeRate-API übermitteln wir keine personenbezogenen Daten, sondern ausschließlich technische Währungsinformationen wie den Währungs-Code. Insbesondere werden weder Ihre IP-Adresse, Konto- oder Gerätedaten noch Namen, Belege, Beträge, Ausgabenbeschreibungen oder sonstige Nutzerinhalte übertragen. Eine direkte Verbindung Ihres Endgeräts zur ExchangeRate-API findet nicht statt. – Nutzungsbedingungen
  • Apple Inc. (USA) – Push Notification Service (APNs) für die Zustellung von Push-Benachrichtigungen an iOS-Geräte sowie Bereitstellung der Mobile-App über den Apple App Store. Im Rahmen der Zustellung von Benachrichtigungen werden Geräte-Token sowie Inhalte der Benachrichtigung an Apple übermittelt. Die Übertragung erfolgt in die USA und stützt sich auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). – Datenschutzerklärung
  • Google LLC / Google Ireland Ltd. – Firebase Cloud Messaging (FCM) für die Zustellung von Push-Benachrichtigungen an Android-Geräte sowie Bereitstellung der Mobile-App über den Google Play Store. Im Rahmen der Zustellung von Benachrichtigungen werden Geräte-Token sowie Inhalte der Benachrichtigung an Google übermittelt. Soweit hierbei Daten in die USA übertragen werden, stützt sich die Übertragung auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). – Datenschutzerklärung
• App-Stores: Beim Bezug bzw. der Aktualisierung unserer Mobile-App aus dem Apple App Store oder Google Play Store verarbeiten die jeweiligen Betreiber (Apple Inc. bzw. Google LLC/Google Ireland Ltd.) eigenständig Daten (z. B. Apple-ID/Google-Konto, Geräteinformationen, Download-Verlauf). Auf diese Verarbeitung haben wir keinen Einfluss; sie unterliegt den Datenschutzbestimmungen des jeweiligen Anbieters.
• Rechtliche Anforderungen: Wir können Ihre personenbezogenen Daten offenlegen, wenn dies gesetzlich vorgeschrieben ist oder als Reaktion auf rechtmäßige Anfragen von Behörden erforderlich ist.

7. Auftragsverarbeitung (Art. 28 DSGVO)

Soweit Dienstleister in unserem Auftrag personenbezogene Daten ausschließlich nach unseren Weisungen verarbeiten, schließen wir mit diesen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO ab. Diese Verträge stellen sicher, dass die Anbieter geeignete technische und organisatorische Maßnahmen zum Schutz Ihrer Daten getroffen haben und Ihre Daten nur im Rahmen unserer Weisungen verarbeiten.

Auftragsverarbeitungsverträge bestehen insbesondere mit folgenden Anbietern:

• Hetzner Online GmbH – Server-Hosting und Objektspeicher in Deutschland.
• Brevo GmbH (Köpenicker Str. 126, 10179 Berlin, Deutschland) – Versand transaktionaler E-Mails.

Daneben nutzen wir Dienste, deren Anbieter (z. B. Apple, Google, Unsplash) im Rahmen ihrer Push-, Store- bzw. API-Funktionen teilweise als eigenverantwortliche Verarbeiter (Art. 4 Nr. 7 DSGVO) auftreten. Soweit Anbieter in den USA unter dem EU-U.S. Data Privacy Framework zertifiziert sind, stützen wir die Übermittlung auf den entsprechenden Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Andernfalls stützen wir die Übermittlung auf Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, gegebenenfalls ergänzt durch zusätzliche Schutzmaßnahmen. Eine Kopie dieser Garantien stellen wir Ihnen auf Anfrage gerne zur Verfügung.

8. Ihre Rechte

Gemäß der DSGVO haben Sie folgende Rechte:

• Auskunftsrecht: Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu verlangen.
• Recht auf Berichtigung: Sie haben das Recht, die Berichtigung unrichtiger personenbezogener Daten zu verlangen.
• Recht auf Löschung: Sie haben das Recht, unter bestimmten Umständen die Löschung Ihrer personenbezogenen Daten zu verlangen. Bitte beachten Sie, dass dieses Recht nach Art. 17 Abs. 3 DSGVO eingeschränkt sein kann, etwa zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. In gemeinsamen Gruppenkontexten anonymisieren wir Ihren Datensatz daher zu einem Pseudonym, anstatt die Ausgabenhistorie der übrigen Mitglieder zu löschen. Details siehe Abschnitt 5.
• Recht auf Einschränkung der Verarbeitung: Sie haben das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
• Recht auf Datenübertragbarkeit: Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruchsrecht: Sie haben das Recht, der Verarbeitung Ihrer personenbezogenen Daten auf Grundlage eines berechtigten Interesses zu widersprechen.
• Recht auf Widerruf der Einwilligung: Wenn die Verarbeitung auf einer Einwilligung beruht, haben Sie das Recht, diese jederzeit zu widerrufen.

Um eines dieser Rechte auszuüben, kontaktieren Sie uns bitte unter legal@lutec-solutions.com.

9. Datensicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen ein, um Ihre personenbezogenen Daten gegen versehentliche oder unrechtmäßige Zerstörung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugten Zugang zu schützen.

10. Cookies und Tracking-Technologien

Unser Service verwendet ausschließlich technisch notwendige Cookies für die Authentifizierung und Sitzungsverwaltung. Sie können Cookies über Ihre Browsereinstellungen kontrollieren.

Für die Webanalyse setzen wir eine selbst betriebene Umami-Instanz auf unseren Servern in Deutschland ein. Umami verwendet keine Cookies und erstellt keine nutzerübergreifenden Profile. Wir erfassen aggregierte Nutzungsstatistiken, insbesondere Seitenaufrufe, Referrer, Browser- und Gerätetyp sowie ungefähre technische Nutzungsinformationen. IP-Adressen werden nicht dauerhaft gespeichert und nicht zur Wiedererkennung einzelner Nutzer verwendet. Daten werden nicht an Dritte übermittelt. Die Auswertung dient ausschließlich der technischen und inhaltlichen Verbesserung unseres Services. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Umami respektiert „Do Not Track"-Einstellungen.

11. Automatisierte Entscheidungsfindung und Profiling

Wir verwenden keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO.

12. Erforderlichkeit der Bereitstellung personenbezogener Daten

Die Bereitstellung bestimmter Daten, insbesondere E-Mail-Adresse, Passwort sowie die für Gruppen, Ausgaben und Ausgleichsberechnungen erforderlichen Angaben, ist für die Nutzung des Schuldnix-Services erforderlich. Eine vertragliche oder gesetzliche Pflicht zur Bereitstellung dieser Daten besteht nicht; ohne diese Daten können wir den Service jedoch nicht oder nur eingeschränkt bereitstellen.

Optionale Angaben – etwa Profilbilder, Anzeigenamen, Kommentare, Notizen zu Ausgleichszahlungen, Beleg-Uploads, Gruppen-Titelbilder oder Feedback-Eingaben – sind freiwillig. Wenn Sie diese Daten nicht bereitstellen, können einzelne Komfort- oder Personalisierungsfunktionen nicht genutzt werden; die Grundfunktionen bleiben in der Regel nutzbar.

13. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Über Änderungen informieren wir Sie, indem wir die neue Datenschutzerklärung auf dieser Seite veröffentlichen und das Datum der letzten Aktualisierung anpassen.

14. Kontakt

Bei Fragen oder Bedenken zu dieser Datenschutzerklärung oder unseren Datenpraktiken kontaktieren Sie uns bitte unter:

15. Beschwerden

Sie haben das Recht, eine Beschwerde bei einer Datenschutzaufsichtsbehörde einzureichen, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Die für uns zuständige Aufsichtsbehörde ist: