Datenschutzerklärung

1. Verantwortlicher und Kontakt

DolFin wird betrieben von EMIGLOBAL S.R.L. („DolFin", „wir", „uns", „unser"), Strada Democratiei 103, Bl. ICIM, 100562 Ploiesti, Rumänien.

Bei Fragen zum Datenschutz, Datenanfragen, Support oder Beschwerden erreichst du uns unter support@dolfinapp.org. Datenschutzanfragen beantworten wir innerhalb eines Monats (Art. 12 Abs. 3 DSGVO).

Wir haben keinen Datenschutzbeauftragten bestellt; die Voraussetzungen des Art. 37 Abs. 1 DSGVO liegen nicht vor. Da wir in der Europäischen Union niedergelassen sind, benötigen wir keinen Vertreter nach Art. 27 DSGVO.

2. Welche Daten wir erheben

2.1 Konto- und Authentifizierungsdaten

• E-Mail-Adresse, Nutzer-ID, Benutzername oder Anzeigename, bevorzugte Sprache und Authentifizierungskennungen.
• Apple- oder Google-Anmeldekennungen, wenn du diese Anmeldewege wählst.
• Sitzungs- und Sicherheitsdaten, die nötig sind, um dich angemeldet zu halten und dein Konto zu schützen.
• Wenn du DolFin nutzt, bevor du ein Konto anlegst, eine anonyme Sitzungskennung, damit dein Fortschritt nicht verloren geht. Legst du später ein Konto an, wird daraus dein Konto.

2.2 App-Profil, Lern- und Fortschrittsdaten

• Onboarding-Antworten wie Einkommensbereich, Geldziel, Erfahrungsstand, Ausgabentyp sowie Land- und Regionseinstellungen.
• Lektionen, Quizantworten, XP, Level, Serien, Gewohnheiten, Erfolge und App-Fortschritt.
• Money-Leak-Audit-Aktionen, Prüfstatus wiederkehrender Zahlungen und weitere Entscheidungen in der App.

2.3 Finanz- und Buchungsdaten, die du selbst hinzufügst

• Manuelle Ausgaben, Kategorien, Budgets, wiederkehrende Zahlungen, Händlernamen, Notizen und Daten.
• Importierte Buchungszeilen, die du prüfst und speicherst.
• Angaben aus der Finanzübersicht und Antworten aus dem Money Leak Check auf dieser Website.

2.4 Hochgeladene Kontoauszüge

• Der Inhalt der PDF- oder CSV-Datei, die du hochlädst, und die daraus gewonnenen Buchungen: Datum, Betrag, Händlername, Beschreibung, Saldo, Kategorie, Konfidenzwerte und Import-Hashes.
• PDF-Auszüge werden auf unseren Server hochgeladen und dort im Arbeitsspeicher gelesen. CSV-Dateien werden auf deinem Gerät gelesen, sofern wir das Format erkennen.
• Die gefundenen Buchungen zeigen wir dir zur Prüfung. Im Gratis-Tarif wird der neueste Monat eines Auszugs als Teil deines Reports in deinem Tracker gespeichert; die übrigen Monate bleiben auf deinem Gerät, sofern du nicht upgradest.
• Diagnoseprotokolle können Parser-Metadaten sowie rohen oder bereinigten Händlertext enthalten, um die Zuverlässigkeit der Parser zu verbessern.
• Wir speichern deine hochgeladene Datei nicht absichtlich – außer in einem Fall: wenn du dich entscheidest, einen Auszug mit uns zu teilen, damit wir deine Bank unterstützen können. Das ist eine gesonderte, freiwillige Entscheidung, die du auf dem Bildschirm triffst, und der einzige Fall, in dem deine Rohdatei aufbewahrt wird. Zur Dauer siehe Abschnitt 8.

Lade nur Kontoauszüge hoch, die du verwenden darfst.

2.5 Sensible Angaben in Kontoauszügen

Wir fragen keine besonderen Kategorien personenbezogener Daten ab. Ein Kontoauszug kann sie aber dennoch offenbaren. Eine Zahlung an eine Apotheke, eine Klinik, eine Religionsgemeinschaft, eine Partei, eine Gewerkschaft oder einen Dating-Dienst kann auf Gesundheit, religiöse oder weltanschauliche Überzeugungen, politische Meinungen, Gewerkschaftszugehörigkeit oder sexuelle Orientierung hindeuten. Das sind besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO.

Wir behandeln daher alles in einem hochgeladenen Auszug als sensibel. Wir nutzen es nicht für Werbung, nicht für App-übergreifendes Tracking, und wir verkaufen es nicht. Bevor wir deine Datei verarbeiten, holen wir deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO ein – siehe Abschnitt 4.

2.6 Kauf- und Abodaten

• Abo-Stufe, Produkt-ID, Berechtigungsstatus, Verlängerungs- und Wiederherstellungsereignisse sowie App-Store- oder RevenueCat-Kennungen zur Kaufprüfung.
• Die Zahlung wickeln der Apple App Store oder Google Play ab. DolFin erhält deine vollständigen Kartendaten nicht.

2.7 Website- und E-Mail-Daten

• E-Mail-Adressen aus dem Early-Access-Formular.
• Antworten aus dem Money Leak Check auf der Website, einschließlich Einkommen, Fixkosten, Ausgabenschätzungen, Sparbetrag, Anlagestatus, Ziel und Sorge.
• Nachrichten, die du an den Support sendest.

2.8 Diagnose-, Sicherheits- und lokale Gerätedaten

• App-Version, Parser-Ergebnis, Dateigröße, Seitenzahl, Textlänge, Bank- bzw. Parsername, Fehlerklasse und Sicherheitsereignisse.
• IP-Adresse, User-Agent und Anfrage-Metadaten, soweit von unserem Hosting, Backend oder der Sicherheitsinfrastruktur protokolliert.
• Lokale App-Einstellungen, Benachrichtigungseinstellungen, zwischengespeicherte App-Daten und kopierte Auszugsdateien während der Verarbeitung.

2.9 Produktanalysedaten

Nur wenn du die Analyse einschaltest. Bis dahin wird unser Analyseanbieter gar nicht erst gestartet und speichert nichts auf deinem Gerät.

• Ereignisse wie aufgerufene Bildschirme, Onboarding- und Lernfortschritt, gestartete Importe und aufgerufene Kaufseiten, zusammen mit deiner Kontokennung (einer zufälligen Nutzer-ID), App-Version, Gerätetyp und ungefährer Region.
• Wir senden unserem Analyseanbieter keine Finanzbeträge, Buchungsdetails, Auszugsinhalte, E-Mail-Adressen oder Namen. Es gibt keine Sitzungsaufzeichnung.
• Du kannst sie jederzeit unter Profil → Nutzungsanalyse teilen ausschalten; dabei wird auch die Kennung von deinem Gerät entfernt.

3. Zwecke und Rechtsgrundlagen

• Dienst bereitstellen: Konto, Lektionen, Fortschritt, Ausgabenverfolgung, Importe und Money-Leak-Audits. Rechtsgrundlage: Art. 6 Abs. 1 lit. b – Vertragserfüllung.
• App personalisieren: Lektionen, Hinweise und App-Zustand an dein Profil und deine Aktivität anpassen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder lit. f.
• Auszug lesen und Buchungen extrahieren: Rechtsgrundlage: Art. 6 Abs. 1 lit. b – Vertrag. Für offenbarte besondere Kategorien und für die KI-Verarbeitung nach Abschnitt 5: Art. 9 Abs. 2 lit. a – deine ausdrückliche Einwilligung, erteilt auf dem Upload-Bildschirm vor der Verarbeitung.
• Parser mit einer von dir geteilten Datei verbessern: Rechtsgrundlage: Art. 6 Abs. 1 lit. a – deine Einwilligung.
• Abos prüfen: Pro-Zugang, Wiederherstellungen, Verlängerungen und Kauf-Support verwalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b; Art. 6 Abs. 1 lit. c für steuer- und handelsrechtliche Aufzeichnungen.
• Sicherheit und Missbrauchsprävention: Konten schützen, Uploads begrenzen, Missbrauch untersuchen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f.
• Parser- und Zuverlässigkeitsdiagnose: Fehler beim Einlesen und in der App beheben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f, mit begrenzter Speicherdauer.
• Produktanalyse: Funktionsnutzung verstehen und die App verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. a – Einwilligung, standardmäßig aus.
• Benachrichtigungen: lokale Erinnerungen und Serienhinweise, wenn du sie aktivierst. Rechtsgrundlage: Einwilligung / Geräteberechtigung.
• Website-Formulare und Early Access: angeforderten Money Leak Check, Zugang zum Start oder Support-Antwort senden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a oder vorvertragliche Anfrage nach Art. 6 Abs. 1 lit. b.
• Rechtliche Pflichten: Steuern, Buchhaltung, Streitfälle, Verbraucherrecht und regulatorische Vorgaben. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und lit. f.

Soweit wir uns auf eine Einwilligung stützen, kannst du sie jederzeit widerrufen, und der Widerruf ist so einfach wie die Erteilung – siehe Abschnitt 10. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht. Soweit wir uns auf berechtigte Interessen stützen, hast du ein Widerspruchsrecht.

4. Verarbeitung von Kontoauszügen

DolFin fragt nicht nach deinem Online-Banking-Passwort und verbindet sich nicht direkt mit deinem Bankkonto. Es gibt kein Bank-Login und keine Open-Banking-Verbindung. Wenn du einen Auszug importierst, wählst du die Datei selbst aus.

• PDF-Uploads sind auf 10 MB begrenzt und werden auf unseren Server hochgeladen – eine Supabase Edge Function – und dort im Arbeitsspeicher gelesen. Wenn unsere eigenen Parser das Layout nicht lesen können, wird der extrahierte Text an einen externen KI-Anbieter weitergegeben, wie in Abschnitt 5 beschrieben.
• Vorschauzeilen werden erst gespeichert, wenn du sie importierst.
• Parser-Diagnoseprotokolle können rohen und bereinigten Händlertext bis zu 30 Tage speichern.
• Parser-Metadaten können bis zu 90 Tage gespeichert werden.
• Importierte Buchungen bleiben in deinem Konto, bis du sie oder dein Konto löschst, vorbehaltlich gesetzlicher und sicherheitsbedingter Aufbewahrung.

Einwilligung. Bevor wir deine Datei verarbeiten, zeigen wir dir, was mit ihr geschieht, und bitten dich um eine ausdrückliche Bestätigung. Diese Bestätigung ist deine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO für alle besonderen Kategorien, die der Auszug offenbaren kann, sowie deine Einwilligung in die KI-Verarbeitung nach Abschnitt 5. Wir speichern den genau angezeigten Wortlaut, um belegen zu können, wozu du zugestimmt hast.

5. Wie wir KI einsetzen

Wenn du einen Kontoauszug hochlädst, versucht DolFin zuerst, ihn mit eigenen Parsern zu lesen – ganz ohne KI. Die meisten Auszüge von Banken, die wir bereits unterstützen, werden so gelesen; dabei verlassen die Daten unsere eigenen Systeme nicht.

Wenn das Layout deiner Bank nicht erkannt wird, senden wir den aus diesem Auszug extrahierten Text an einen externen KI-Anbieter – ein Unternehmen, das eine Schnittstelle zu einem großen Sprachmodell betreibt. Dieser liest den Text als Liste von Buchungen zurück und schlägt je Buchung eine Ausgabenkategorie vor. Diese Kategorien nutzen wir, um wiederkehrende Zahlungen zu erkennen und deinen Money-Leak-Report zu erstellen.

CSV-Dateien, in einem eng begrenzten Fall. Wenn DolFin die Spalten nicht zuordnen kann, senden wir die Kopfzeile und bis zu drei deiner echten Buchungszeilen an denselben Anbieter, damit er die Spalten erkennt. Der Rest der Datei wird auf deinem Gerät gelesen.

Händlerbezeichnungen, gesondert. In einem Offline-Prozess senden wir Händlerbezeichnungen – den Geschäfts- oder Firmennamen, wie er auf einem Auszug erscheint – an denselben Anbieter, um die Kategorisierung für alle zu verbessern. Dieser Prozess enthält keine Nutzerkennung, keinen Betrag und kein Datum.

Was wir nicht senden. Wir senden diesem Anbieter zusammen mit dem Auszugstext weder deinen Namen noch deine E-Mail-Adresse noch deine Kontokennung. Der Auszugstext selbst kann jedoch personenbezogene Angaben enthalten – darunter deine IBAN, dein Gehalt und die Namen von Personen, an die du gezahlt hast.

Was das nicht ist. DolFin trifft keine verbindlichen finanziellen, Kredit-, Versicherungs-, Beschäftigungs-, rechtlichen oder ähnlich erheblichen Entscheidungen über dich und bewertet weder deine Kreditwürdigkeit noch erstellt es einen Score. Die Kategorisierung und der Money-Leak-Report dienen der Information und der Überprüfung. Sie sind keine Finanzberatung. Du kannst jede Kategorie in der App selbst korrigieren, und nichts wird an Kreditgeber, Versicherer, Arbeitgeber oder Vermieter weitergegeben.

Deine Wahl. Du kannst deine Einwilligung in diese Verarbeitung jederzeit in der App unter Profil widerrufen. Danach sendet DolFin keinen Auszugstext mehr an den KI-Anbieter; Auszüge, die unsere eigenen Parser nicht lesen können, melden dann einfach, dass sie nicht gelesen werden konnten. Der Widerruf macht bereits erfolgte Verarbeitung nicht rückgängig.

6. Auftragsverarbeiter und Empfänger

Wir setzen Dienstleister nur ein, soweit das für den Betrieb von DolFin nötig ist. Jeder verarbeitet personenbezogene Daten nach unserer Weisung, auf Grundlage eines Vertrags nach Art. 28 DSGVO:

• Supabase: Authentifizierung, Datenbank, Speicherinfrastruktur und die Edge Functions, die Auszüge lesen.
• Unser KI-Anbieter: liest Auszüge, die unsere eigenen Parser nicht lesen können, und schlägt Kategorien vor (Abschnitt 5).
• RevenueCat: Verwaltung von Abo-Berechtigung und Kaufstatus.
• PostHog: pseudonyme Produktanalyse, verarbeitet auf PostHogs EU-Infrastruktur, nur wenn du die Analyse eingeschaltet hast.
• Apple App Store und Google Play: Vertrieb, Anmeldung soweit gewählt, Käufe, Erstattungen und Store-Kontoverwaltung.
• Website-, E-Mail- und Support-Anbieter: Hosting, Domain, E-Mail-Zustellung und Support-Kommunikation.

Wir geben deine personenbezogenen Daten nicht an Datenhändler weiter und nutzen sie nicht für Werbung Dritter. Eine Offenlegung erfolgt, soweit gesetzlich vorgeschrieben oder zur Geltendmachung oder Verteidigung von Rechtsansprüchen. Wenn wir einen neuen Anbieter einsetzen, der personenbezogene Daten verarbeitet, aktualisieren wir diese Erklärung und die erforderlichen Store-Angaben vor oder mit Wirksamwerden der Änderung.

7. Übermittlung in Drittländer

Einige unserer Anbieter verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums, unter anderem in den Vereinigten Staaten.

Unser KI-Anbieter, die OpenAI Ireland Ltd, ist in der Europäischen Union niedergelassen, und unser Auftragsverarbeitungsvertrag besteht mit dieser Gesellschaft. Die Verarbeitung erfolgt über die Infrastruktur von OpenAI in den Vereinigten Staaten. Für diese Weiterübermittlung stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission, die Bestandteil desselben Vertrags sind. Eine Kopie erhältst du per E-Mail an support@dolfinapp.org.

Für unsere übrigen Anbieter stützen wir uns auf Standardvertragsklauseln oder einen anwendbaren Angemessenheitsbeschluss. Unter derselben Adresse teilen wir dir mit, welcher Mechanismus für welchen Anbieter gilt.

8. Speicherdauer

• Konto-, Profil-, Fortschritts-, Finanz- und importierte Buchungsdaten: solange dein Konto aktiv ist, sofern du sie nicht früher löschst.
• Auszüge, die du geteilt hast, damit wir deine Bank unterstützen können: bis zu 90 Tage, danach Löschung.
• Parser-Protokolle mit Händlertext: bis zu 30 Tage, sofern nicht früher mit der Kontolöschung entfernt.
• Parser-Metadaten: bis zu 90 Tage.
• Early-Access- und Money-Leak-Check-Formulare der Website: solange nötig, um das angeforderte Ergebnis zu senden, den Zugang zu verwalten oder Support zu leisten, sofern du nicht früher die Löschung verlangst.
• Kauf-, Steuer-, Buchhaltungs-, Betrugspräventions-, Streit- und Sicherheitsunterlagen: solange erforderlich oder angemessen notwendig.
• Store- und Anbieterunterlagen: nach den Richtlinien von Apple, Google, RevenueCat und weiteren Anbietern.

Mit der Löschung deines Kontos löschen wir die dazu gespeicherten Daten, soweit wir sie nicht gesetzlich aufbewahren müssen.

9. Sicherheit

Wir setzen technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ein, darunter Zugriffskontrollen für Konten, verschlüsselte Übertragung, Zugriffsregeln auf Zeilenebene, die verhindern, dass ein Nutzer die Daten eines anderen liest, authentifizierte Serverfunktionen, Ratenbegrenzungen und eine begrenzte Speicherdauer für Parser-Diagnosen. Keine App und kein Cloud-Dienst kann vollkommene Sicherheit garantieren, und wir behaupten das nicht. Halte dein Gerät und deine Zugangsdaten sicher.

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, die deine Rechte gefährdet, melden wir sie der Aufsichtsbehörde innerhalb von 72 Stunden und informieren dich unmittelbar, soweit gesetzlich vorgeschrieben.

10. Deine Rechte

Wenn du dich in der EU oder im EWR befindest, hast du die folgenden Rechte. Sie stehen unter keinem Vorbehalt, und ihre Ausübung ist kostenlos:

• Auskunft über die zu dir gespeicherten Daten (Art. 15).
• Berichtigung unrichtiger Daten (Art. 16).
• Löschung deiner Daten (Art. 17).
• Einschränkung der Verarbeitung während einer Klärung (Art. 18).
• Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).
• Widerruf der Einwilligung, jederzeit (Art. 7 Abs. 3).

Mehrere davon sind direkt in der App eingebaut:

• Konto löschen unter Profil → Konto löschen oder auf dolfinapp.org/delete-account.
• Analyse ausschalten unter Profil → Nutzungsanalyse teilen.
• Einwilligung in die KI-Verarbeitung von Auszügen widerrufen unter Profil.
• Benachrichtigungsberechtigung in den Geräteeinstellungen entziehen.

Für alles Weitere schreib an support@dolfinapp.org. Wir antworten innerhalb eines Monats.

Beschwerden. Du kannst dich bei der rumänischen Aufsichtsbehörde Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) unter dataprotection.ro beschweren – oder bei der Datenschutzbehörde deines Wohn- oder Arbeitsorts, in Österreich der Datenschutzbehörde, in Deutschland der zuständigen Landesbehörde.

11. Automatisierte Verarbeitung

DolFin ordnet Buchungen Kategorien zu, weist auf mögliche wiederkehrende Zahlungen und Gebühren hin und schätzt Ausgabenmuster. Ein Teil dieser Kategorisierung erfolgt durch die in Abschnitt 5 beschriebene KI.

DolFin leitet außerdem aus den in deinem Auszug gefundenen Abbuchungen eine kurze Verhaltensbezeichnung zu deinen wiederkehrenden Zahlungen ab – etwa „Jahresvergesser“. Das ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Sie wird auf deinem Gerät aus bereits importierten Daten berechnet, nur dir angezeigt und nirgendwohin gesendet, sofern du nicht selbst die Karte teilst, auf der sie erscheint. Unabhängig davon werden von uns zentral gepflegte Kategorisierungsregeln beim nächsten App-Start auf bereits gespeicherte Buchungen angewendet, sodass ein später erkannter Händler rückwirkend korrigiert wird.

Das ist keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 Abs. 1 DSGVO. Nichts, was DolFin ausgibt, geht an Dritte, die darauf handeln; nichts wirkt sich auf deinen Zugang zu Krediten, Versicherungen, Wohnraum oder Beschäftigung aus; und du kannst jede Kategorie jederzeit selbst überschreiben. Wer aus einem Money-Leak-Report welche Konsequenz zieht, entscheidest allein du.

12. Kinder

DolFin richtet sich an Personen ab 16 Jahren in der EU. Personen unter 16 dürfen kein Konto anlegen und keine Website-Formulare absenden. Erfahren wir, dass wir Daten eines Kindes unter 16 Jahren ohne Einwilligung der Träger der elterlichen Verantwortung gespeichert haben, löschen wir sie. Wenn du glaubst, dass ein Kind unter 16 Daten an DolFin übermittelt hat, wende dich an support@dolfinapp.org.

13. Cookies, Analyse und Tracking

Die DolFin-App verwendet keine Browser-Cookies und enthält weder Werbung noch App-übergreifendes Tracking.

Die Produktanalyse ist aus, solange du sie nicht einschaltest. Bis dahin wird unser Analyseanbieter gar nicht erst gestartet und speichert nichts auf deinem Gerät. Schaltest du sie ein, nutzen wir PostHog wie in Abschnitt 2.9 beschrieben. Du kannst sie jederzeit unter Profil → Nutzungsanalyse teilen wieder ausschalten; dabei wird auch die Kennung von deinem Gerät entfernt.

Diese Website setzt keine Cookies und führt keine Analyse- oder Marketing-Skripte aus. Sie nutzt jedoch zwei Drittanbieter, die beim Laden einer Seite zwangsläufig deine IP-Adresse sehen: unseren Hoster Vercel, der die Seite ausliefert und kurzlebige Anfrageprotokolle führt, und Google Fonts, das die Schriftarten bereitstellt. Falls wir nicht erforderliche Website-Analyse- oder Marketing-Cookies aktivieren, stellen wir vorher den erforderlichen Cookie-Hinweis bzw. die Einwilligungssteuerung bereit.

14. Änderungen

Wir aktualisieren diese Erklärung, wenn sich ändert, was wir mit deinen Daten tun, oder wenn sich rechtliche Anforderungen ändern. Bei wesentlichen Änderungen – etwa einer neuen Verarbeitungsart oder einem neuen Empfänger deiner Daten – informieren wir dich in der App, auf dieser Website oder per E-Mail vor oder mit Wirksamwerden der Änderung und aktualisieren das Datum oben.

Vorherige Fassung: 6. Juni 2026.