Datenschutz­informationen

Verantwortlicher

Matthias Kratzel c/o GAM
Pappelallee 64
10437 Berlin
Deutschland

E-Mail: info@kontenstand.app

Geltungsbereich und Grundsatz

Diese Hinweise gelten für den Besuch der Kontenstand-Website, die Beta-Registrierung und die Kontaktaufnahme mit dem Betreiber. In der Website sind keine Werbepixel, externen Analysedienste, Session-Replay oder Marketing-Cookies eingebunden. Schriftarten, Bilder, Styles und Skripte werden mit der Website ausgeliefert; es sind keine externen Schriftarten, Karten, Videos oder Captcha-Dienste eingebunden.

Die Website bietet keinen Upload von Bankdateien und fragt keine Kontonummern oder Onlinebanking-Zugangsdaten ab. Bitte sende solche Daten auch nicht per E-Mail oder Post.

Lokale App und Website

Die lokale Verarbeitung der Finanzdaten und die Nutzung ohne App-Konto beziehen sich auf die Desktop-App. Der Abruf dieser Website, die Beta-Registrierung und die geplante Lizenzfreischaltung sind davon getrennte Onlinevorgänge. Für die spätere Beta-Freischaltung sind eine persönliche Einladung und ein bestätigter E-Mail-Kontakt vorgesehen.

Empfänger, Hosting und Verarbeitungsorte

Matthias Kratzel bearbeitet Registrierungen und Anfragen selbst. Website, allgemeine Website-Datenbank und getrennte Registrierungsdatenbank laufen auf einem V-Server der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin. Der vom Betreiber bestätigte Betriebsstandort ist Deutschland. STRATO stellt die Serverinfrastruktur bereit und ist als Hostingdienstleister in die Verarbeitung eingebunden. Die Zuordnung und Dokumentation der erforderlichen Dienstleistervereinbarungen einschließlich eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO sind noch nicht abschließend geprüft.

E-Mails werden über einen selbst betriebenen Mailserver verarbeitet. Weitere Empfängerkategorien sind dessen Infrastruktur- und gegebenenfalls Backupdienstleister sowie der beauftragte Adressdienst für Postannahme und Weiterleitung. Die vollständige Zuordnung der Maildienstleister, ihrer Standorte, Zugriffsrechte und datenschutzrechtlichen Rollen ist noch offen. Eigenbetrieb schließt technisch erforderliche Zugriffe des Infrastrukturbetreibers nicht aus.

Die Registrierungsdatenbank wird verschlüsselt auf einem vom Betreiber verwalteten Rechner außerhalb des Websiteservers gesichert. Eine zusätzliche verschlüsselte Kopie liegt in einer selbst betriebenen Nextcloud im Heimnetz in Deutschland. Zugriff und Schlüssel werden vom Betreiber verwaltet. Dieser nachgewiesene Sicherungsweg gilt für die Registrierungsdatenbank; er belegt nicht die vollständige Sicherung der allgemeinen Website-Datenbank oder der E-Mail-Daten.

Für den Website- und Datenbankbetrieb bei STRATO in Deutschland ist keine Übermittlung in ein Land außerhalb der EU beziehungsweise des Europäischen Wirtschaftsraums vorgesehen. Die Länder- und Dienstleisterzuordnung der übrigen Verarbeitungen, insbesondere E-Mail und Sicherungskopien, ist noch nicht vollständig geprüft. Etwaige Drittlandzugriffe oder Übermittlungen müssen einschließlich der Voraussetzungen nach Art. 44 ff. DSGVO und der anwendbaren Garantien konkret beschrieben werden. Bei E-Mail-Kommunikation ist außerdem der von dir verwendete Mailanbieter am Transport und an der Speicherung deiner Nachrichten beteiligt.

Eine Weitergabe zu Werbezwecken ist nicht vorgesehen. Soweit eine gesetzliche Pflicht besteht, können zuständige Behörden oder andere gesetzlich berechtigte Stellen Empfänger sein.

Websiteaufrufe und Sicherheitsprotokolle

Beim Abruf der Website verarbeitet die Serverinfrastruktur deine IP-Adresse und die für die Übertragung erforderlichen Anfragedaten. Abhängig von der tatsächlich eingesetzten Server- und Proxy-Konfiguration können insbesondere Zeitpunkt, angefragter Pfad, HTTP-Status, übertragene Datenmenge, zuvor besuchte Seite (Referrer) sowie Browser- und Betriebssystemangaben protokolliert werden. Der vollständige Abgleich der tatsächlichen Logfelder mit diesen Hinweisen ist noch offen; Formularinhalte sollen nicht in Zugriffsprotokolle aufgenommen werden.

Zwecke sind die Bereitstellung der angefragten Seiten, die Fehlerbehebung und der Schutz vor Angriffen und Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unsere berechtigten Interessen sind eine funktionsfähige und sichere Website. Für reguläre Zugriffs- und Sicherheitsprotokolle ist eine Aufbewahrung von höchstens sieben Tagen vorgesehen. Bei einem konkreten Sicherheitsvorfall werden nur die dafür erforderlichen Daten bis zur Klärung beziehungsweise zur erforderlichen Rechtsverfolgung gesondert aufbewahrt und anschließend gelöscht. Die tatsächliche Protokollierung und Löschung sind noch im Betrieb nachzuweisen.

Eigene Nutzungsstatistik

Wir erfassen Aufrufe öffentlicher Seiten und ausgewählte Klicks, um zu verstehen, welche Informationen und Funktionen gefragt sind und aus welchen Ländern beziehungsweise von welchen Websites Besuche kommen.

Gespeichert werden der serverseitige Zeitpunkt, ein festgelegter Seitenpfad ohne URL-Parameter, die Art des Ereignisses (Aufruf oder Klick), bei Klicks eine festgelegte Aktionsbezeichnung, soweit ermittelbar ein Länderkennzeichen und die Domain der zuvor verweisenden Website. Vollständige Referrer-URLs, deren Pfade, Suchbegriffe und Parameter werden nicht in der Statistik gespeichert. Herkunftsangaben können fehlen oder unzutreffend sein, etwa bei VPN-Nutzung.

Zur ungefähren Länderzuordnung wird die IP-Adresse vorübergehend auf unserem Server mit einer lokal gespeicherten Zuordnungstabelle verglichen. Sie wird nicht an einen Geolokalisierungsdienst übermittelt und weder als IP-Adresse noch als Hash im Ereignis gespeichert. Wir verwenden dafür Country Lite von DB-IP (CC BY 4.0). Es wird kein genauer Standort abgefragt.

Die Klickmessung übermittelt ausschließlich festgelegte Aktionen über ein eigenes Skript an unsere Website. Ohne deine Zustimmung erfolgt keine Sitzungszuordnung. Local oder Session Storage und Fingerprints werden nicht verwendet. Formularinhalte, E-Mail-Adressen und Browserprofile gehören nicht zu den Ereignissen. Die Statistik wird nicht mit Beta-Registrierungen oder Feedback verknüpft; Feedback- und Bestätigungsseiten werden nicht erfasst. Aufrufe und Klicks sind keine eindeutigen Personenzahlen.

Optionale Statistik-Cookies

Mit deiner Zustimmung verwenden wir eigene Statistik-Cookies, um zu erkennen, welche Seiten und Funktionen während eines Besuchs zusammen genutzt werden. Das hilft uns, Inhalte und Bedienung unserer Website zu verbessern. Dazu werden nachfolgende Aufrufe und Klicks über eine zufällige Kennung einer Sitzung zugeordnet, auch über mehrere Tabs desselben Browsers. Die Kennung wird nicht aus deiner IP-Adresse abgeleitet. Eine Verbindung mit Beta-Registrierungen oder Feedback findet nicht statt.

Die Zuordnung endet nach 30 Minuten ohne erfassten Aufruf oder Klick. Bei weiterer Nutzung entsteht eine neue Kennung, sofern deine Zustimmung noch vorliegt. Die folgenden eigenen Cookies gelten nur für diese Website und werden für die Browsersitzung gesetzt:

• __Host-ks-analytics enthält die zufällige Kennung für die freiwillige Sitzungsstatistik.
• __Host-ks-analytics-choice merkt sich deine Auswahl. Bei Zustimmung werden auch deren Zeitpunkt und die Fassung der Einwilligung geschützt hinterlegt; bei Ablehnung enthält das Cookie keine individuelle Kennung.

Browser können Sitzungscookies beim Wiederherstellen einer Sitzung erhalten. Unabhängig davon wird eine nach 30 Minuten Inaktivität abgelaufene Zuordnung nicht fortgesetzt. Deployments und Server-Neustarts unterbrechen eine noch aktive Zuordnung nicht. Zusammen mit zugeordneten Ereignissen speichern wir die Sitzungskennung sowie Zeitpunkt und Fassung der Zustimmung. Frühere Ereignisse werden nicht nachträglich verbunden.

Damit eine aktive Sitzung nach einem Server-Neustart fortgesetzt werden kann, speichern wir ihre zufällige Kennung, den Zustimmungszeitpunkt und den Zeitpunkt der letzten Aktivität in der Website-Datenbank. Für gleichzeitig eintreffende Anfragen beim Sitzungswechsel wird eine Übergangszuordnung höchstens eine Minute verwendet. Abgelaufene Sitzungszustände werden im laufenden Betrieb regelmäßig bereinigt; bei Widerruf wird der aktive Zustand entfernt. Die bereits gespeicherten Aufrufe und Klicks unterliegen dem unten beschriebenen gesonderten Aufbewahrungs- und Löschprozess.

Du entscheidest freiwillig über „Statistik-Cookies erlauben“ oder „Ohne Statistik-Cookies“. Ohne Zustimmung bleibt die Website vollständig nutzbar; Aufrufe und Klicks werden weiterhin in der oben beschriebenen Form ohne Sitzungszuordnung erfasst. Rechtsgrundlagen für die freiwillige Zuordnung sind Art. 6 Abs. 1 lit. a DSGVO und für den Cookie-Zugriff § 25 Abs. 1 TDDDG. Das Merken deiner Auswahl dient der Umsetzung deiner Datenschutzeinstellung.

Du kannst deine Zustimmung jederzeit unter „Statistikeinstellungen“ am Anfang dieser Datenschutzseite mit „Ohne Statistik-Cookies“ für die Zukunft widerrufen. Die Datenschutzseite ist über den Link „Datenschutz“ im Fußbereich jeder Seite erreichbar. Dann wird das Kennungs-Cookie entfernt und die weitere Sitzungszuordnung beendet. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt. Übermittelte Signale „Do Not Track“ und „Global Privacy Control“ gehen einer Zustimmung vor.

Das Ende einer Sitzung oder ein Widerruf löscht bereits gespeicherte Ereignisse nicht automatisch. Für sie gilt der nachfolgend beschriebene, noch umzusetzende Aufbewahrungs- und Löschprozess.

Die Ereignisse liegen ohne zusätzliche Feldverschlüsselung in einer eigenen Website-Datenbank. Der Websiteabruf erfolgt über HTTPS; der Datenbankzugriff ist auf berechtigte technische Konten und den Betreiber begrenzt. Zur Begrenzung missbräuchlicher Klickmeldungen wird die IP-Adresse vorübergehend im Arbeitsspeicher verarbeitet. Davon getrennt gelten die oben beschriebenen Sicherheitsprotokolle.

Die vorgesehene Rechtsgrundlage für die Ereigniserfassung ohne Sitzungszuordnung ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die bedarfsgerechte Verbesserung des Websiteangebots. Du kannst aus Gründen deiner besonderen Situation widersprechen. Übermittelt dein Browser „Do Not Track“ oder „Global Privacy Control“, erfassen wir für diese Anfragen keine Statistikereignisse.

Eine feste Aufbewahrungsfrist für die Einzelereignisse und deren automatische Löschung werden noch festgelegt und umgesetzt. Auch die Berechnung zusammengefasster Tagesstatistiken ist noch nicht eingerichtet. Eine bereits laufende automatische Löschung oder Anonymisierung wird deshalb nicht zugesagt. Sobald die konkreten Speicherfristen festgelegt und die Löschung eingerichtet sind, aktualisieren wir diese Hinweise.

Beta-Registrierung

Wenn du das Registrierungsformular absendest, speichern wir deine E-Mail-Adresse, System und Architektur, die Anzahl deiner Konten oder Karten als Bandbreite, verfügbare Exportformate und deine Bereitschaft zum Folgeimport. Bank- oder Kartenanbieter und bisherige Methode sind freiwillige Angaben. Dazu speichern wir eine interne Kennung, den Eingangszeitpunkt, Zeitpunkt und Version deiner Bestätigung dieser Datenschutzhinweise sowie den vorgesehenen Löschzeitpunkt.

Diese Angaben dienen der Auswahl und dem Kontakt zur geschlossenen Beta. Sie werden serverseitig in einer Datenbank gespeichert und nicht für einen Newsletter verwendet. Deine E-Mail-Adresse wird dabei verschlüsselt und nicht im Klartext abgelegt. Es gibt keinen Dateiupload und kein allgemeines Freitextfeld. Bitte übermittle keine Finanzdateien, Kontonummern oder Zugangsdaten.

Rechtsgrundlage für die Interessentenregistrierung, die Zusammenstellung einer geeigneten Testgruppe und den von dir angefragten Kontakt ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind die Organisation einer geschlossenen Beta und die Erprobung der Software mit unterschiedlichen Systemen und Exportformaten. Dafür werden strukturierte Angaben verwendet und die Auswahlmerkmale auf diesen Zweck begrenzt. Eine Registrierung garantiert keinen Beta-Zugang; die Auswahl und Einladung erfolgen durch den Betreiber. Deine Auswahlantworten werden nicht automatisiert zur Bewertung deiner Person verwendet. Es gibt keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung.

Du bist weder gesetzlich noch vertraglich verpflichtet, Angaben für die Registrierung bereitzustellen. Wenn du dich registrieren möchtest, benötigen wir die im Formular als Pflichtfelder gekennzeichneten Angaben für Kontakt und Zusammenstellung der Testgruppe; ohne sie kann das Formular nicht abgesendet werden. Die optionalen Angaben kannst du weglassen. Deine Bestätigung der Kenntnisnahme dieser Hinweise ist keine datenschutzrechtliche Einwilligung, keine Werbeeinwilligung und keine Annahme von Beta-Bedingungen.

Registrierungen werden sechs Monate nach Eingang zur automatischen Löschung fällig und beim nächsten stündlichen Löschlauf entfernt. Das gilt auch bei geschlossener Registrierung. Erneutes Absenden mit einer bereits registrierten E-Mail-Adresse überschreibt die bisherigen Antworten nicht und verlängert die Frist nicht; für eine Berichtigung nutze bitte den unten genannten Kontakt. Wenn der Auswahlzweck früher entfällt oder du deine Registrierung zurückziehst, werden die Daten bereits vorher gelöscht. Bei einer Ablehnung ist die Löschung spätestens 30 Tage nach Mitteilung vorgesehen, sofern die ursprüngliche Sechsmonatsfrist nicht früher endet. Die vorzeitige Löschung erfolgt durch den Betreiber. Löschung und erneuter Löschabgleich nach Wiederherstellung wurden für die Registrierungsdatenbank mit synthetischen Daten geprüft; die vollständige Bereinigung verbundener Exporte, Postfächer und anderer Kopien ist damit nicht nachgewiesen.

Für Berichtigung oder vorzeitige Löschung deiner Registrierung schreibe an info@kontenstand.app.

Zum Schutz vor massenhaften Registrierungsversuchen wird deine IP-Adresse vorübergehend im Arbeitsspeicher zur Begrenzung auf fünf Absendeversuche innerhalb von zehn Minuten verwendet. Sie wird nicht im Registrierungsdatensatz gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist der Schutz des Registrierungsverfahrens. Davon unabhängig können die oben beschriebenen Infrastrukturprotokolle die IP-Adresse enthalten.

Notwendige Cookies und Darstellung im Browser

Beim geöffneten Registrierungsformular und nach erfolgreichem Absenden werden folgende eigene Cookies verwendet:

• Formularschutz (.AspNetCore.Antiforgery.*): ein zufälliger Sicherheitswert schützt gegen das Absenden fremder Formulare in deinem Namen.
• Eingangsbestätigung (.AspNetCore.Mvc.CookieTempDataProvider): eine verschlüsselte Statusangabe ermöglicht die Bestätigungsseite. Sie enthält keine E-Mail-Adresse oder übrigen Registrierungsantworten.

Diese Cookies werden ohne festes Ablaufdatum als Sitzungscookies gesetzt. Wie lange dein Browser eine Sitzung erhält, hängt auch von seiner Wiederherstellungsfunktion ab; du kannst die Cookies über die Browsereinstellungen löschen. Sie werden nicht für Werbung oder Wiedererkennung über andere Websites verwendet. Ohne die Cookies funktionieren Formularschutz beziehungsweise Eingangsbestätigung nicht vollständig.

Die Speicherung und das Auslesen sind für den von dir angeforderten sicheren Registrierungsvorgang erforderlich und erfolgen nach § 25 Abs. 2 Nr. 2 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) ohne gesonderte Einwilligung. Soweit dabei personenbezogene Daten verarbeitet werden, ist Art. 6 Abs. 1 lit. f DSGVO die Rechtsgrundlage; das berechtigte Interesse ist die sichere Abwicklung deiner Registrierung.

Die Website startet standardmäßig im hellen Farbschema. Ein manueller Wechsel des Farbschemas und das Öffnen der Navigation wirken nur im geöffneten Dokument. Dafür werden weder Local Storage noch Session Storage verwendet; die Farbschemaeinstellung wird nicht an unseren Server übermittelt.

E-Mail und postalische Kontaktaufnahme

Wenn du uns kontaktierst, verarbeiten wir deine Absender- und Kontaktdaten, Zeitpunkt und Inhalt der Nachricht sowie gegebenenfalls von dir übermittelte Anhänge. Bei Briefpost ist der beauftragte Adressdienst an Annahme und Weiterleitung beteiligt. Zweck ist die Bearbeitung deiner Anfrage. Für allgemeine Anfragen gilt Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist die Beantwortung der an uns gerichteten Nachricht.

Soweit eine Anfrage für einen konkreten Vertrag oder eine auf deine Anfrage erfolgende Vertragsanbahnung erforderlich ist, gilt Art. 6 Abs. 1 lit. b DSGVO. Das betrifft auch erforderliche Kommunikation zur Durchführung einer später tatsächlich vereinbarten Beta-Teilnahme. Diese Registrierung allein begründet noch keinen Teilnahmevertrag. Für die Erfüllung gesetzlicher Datenschutzpflichten bei einer Rechteanfrage gilt Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 bis 22 DSGVO.

Für allgemeine Anfragen ist eine Löschung grundsätzlich spätestens 90 Tage nach abschließender Bearbeitung vorgesehen, für Teilnahme- und zugehörige Supportkommunikation spätestens 90 Tage nach Abschluss der jeweiligen Beta-Runde. Bei einem noch offenen Vorgang wird bis zu dessen Abschluss nur der erforderliche Inhalt aufbewahrt. Eine gesetzliche Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO) oder die erforderliche Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 6 Abs. 1 lit. f DSGVO) kann im Einzelfall eine längere Speicherung bestimmter Daten begründen; diese Daten werden auf den jeweiligen Zweck beschränkt und nach dessen Wegfall gelöscht. Postfach- und Postbereinigung sind noch im Betrieb nachzuweisen. Die ursprüngliche Registrierungsfrist wird durch spätere Kommunikation nicht verlängert.

Sicherungen und Löschung

Die Registrierungsdatenbank wird täglich manuell verschlüsselt gesichert. Für diese Sicherungen gilt eine Aufbewahrung von höchstens 30 Tagen; Rotation, Löschabgleich und Wiederherstellung wurden geprüft. Der Betreiber hat den Auslauf der zusätzlichen Nextcloud-Kopien einschließlich Papierkorb, Versionen und weiterer Sicherungen innerhalb dieser Frist bestätigt.

Sicherungen werden ausschließlich zur Wiederherstellung nach einem Ausfall verwendet. Das berechtigte Interesse ist die Wiederherstellbarkeit und Sicherheit des Dienstes; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Für Sicherungen anderer personenbezogener Website- und Kommunikationsdaten bleibt eine Höchstfrist von 30 Tagen vorgesehen. Deren vollständiger Sicherungs- und Löschbetrieb ist noch nicht nachgewiesen. Der geprüfte Datenbankweg ersetzt keine Abnahme des vollständigen Website- oder Mailserver-Wiederaufbaus.

Nach einer Löschung im aktiven Bestand können Daten bis zum Auslaufen einer bestehenden Sicherung noch in ihr enthalten sein. Sie werden dort nicht für laufende Kontakte oder Auswahl genutzt. Nach einer Wiederherstellung müssen bereits erteilte Löschaufträge und abgelaufene Speicherfristen vor der regulären Nutzung erneut angewendet werden. Die Sicherungsfrist verlängert keine Verarbeitung im aktiven Datenbestand.

Deine Rechte

Unter den gesetzlichen Voraussetzungen kannst du Auskunft und eine Kopie deiner personenbezogenen Daten (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17) oder Einschränkung der Verarbeitung (Art. 18) verlangen. Das Recht auf Datenübertragbarkeit (Art. 20) gilt, soweit die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt; es besteht nicht allein aufgrund einer Verarbeitung auf Grundlage berechtigter Interessen.

Richte deine Anfrage an info@kontenstand.app oder an die oben angegebene Postanschrift. Rechteanfragen werden grundsätzlich unentgeltlich und unverzüglich, spätestens innerhalb eines Monats nach Eingang beantwortet. Falls eine gesetzlich zulässige Verlängerung erforderlich ist, informieren wir dich innerhalb dieses Monats über die Gründe. Zusätzliche Angaben zur Identitätsprüfung verlangen wir nur bei begründeten Zweifeln an deiner Identität.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere an deinem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder dem Ort des vermuteten Verstoßes. Für einen Verantwortlichen mit Sitz in Berlin ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit die zuständige Landesaufsicht.

Widerspruch gegen berechtigte Interessen

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Danach werden die betreffenden Daten nicht weiterverarbeitet, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen können, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Schreibe dafür an info@kontenstand.app. Unabhängig davon kannst du deine Beta-Registrierung jederzeit ohne Begründung zurückziehen und ihre Löschung verlangen.