Datenschutzerklärung

Techbutler e.U., Inhaber Christian Sterba
Kunerolgasse 5, 1230 Wien, Österreich
E-Mail: support@groschn.at

Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO nicht bestellt; die Voraussetzungen dafür liegen nicht vor.

Kontodaten. E-Mail-Adresse und — bei Anmeldung mit Passwort — ein kryptografischer Hash des Passworts (bcrypt; das Passwort selbst wird nie gespeichert). Bei Anmeldung über Google die von Google übermittelte Kennung, dein Name und, wenn dein Google-Konto eines hat, die Adresse deines Profilbilds; die Zugangs-Token dieser Anmeldung speichern wir nicht. Dazu Zeitpunkte von Registrierung, letzter Anmeldung, letzter Aktivität und letzter Datenauskunft sowie die Zahl fehlgeschlagener Anmeldeversuche; haben wir dir Premium freigeschaltet, auch seit wann und bis wann.

Finanzdaten. Was du hochlädst oder einträgst: Konten und Kreditkarten samt IBAN, Kontoinhaber und Kontostand; eingelesene Kontoauszüge mit Zeitraum, einem neutralen Dateinamen aus Art und Tag des Hochladens (deinen eigenen Dateinamen schickt die App nicht mit) und einem Datum, das darin stand, um zwei Dateien desselben Exports zu erkennen; einzelne Buchungen mit Datum, Verwendungszweck, Betrag und Saldo; Belege mit Händler, Datum, Summe, Steuersätzen, Zahlungsmittel und einzelnen Positionen; wiederkehrende Einkommen; erkannte Abos; eigene Kategorien und Zuordnungsregeln, und welche Standardkategorien du ausgeschaltet hast; dein Monatsbudget, wenn du eines festlegst.

Dein Name und deine Wohnadresse, wenn du sie einträgst — beim Start oder in den Einstellungen. Beides ist freiwillig. Vor allem dafür: Wo Groschn sie im Text eines Auszugs oder Belegs erkennt, ersetzt es sie vor der Übermittlung an das Sprachmodell durch Platzhalter (Punkt 4). Die Adresse hilft außerdem bei der Einordnung: Buchungstexte nennen ständig Adressen — die des Händlers, der Filiale, des Firmensitzes —, und nur wenn es die eigene ist, spricht sie für eine Wohnausgabe. Den Namen verwenden wir zudem in der Anrede unserer E-Mails an dich.

Dein Geburtsjahr und wie du meistens zahlst, wenn du es angibst — beim Start oder, das Geburtsjahr, in den Einstellungen. Das Geburtsjahr ist freiwillig, gespeichert wird nur das Jahr, kein Datum. Auf die Frage „Wie zahlst du meistens?“ merken wir uns deine Antwort (fast alles mit Karte, oft bar oder gemischt); sie bestimmt auch, welcher Weg beim Start oben steht. Beides werten wir nur zusammengefasst aus — wie viele Konten in welcher Altersgruppe, wie viele mit welcher Antwort —, um Groschn dorthin weiterzuentwickeln, wo es gebraucht wird. Eine Gruppe mit weniger als fünf Konten zeigen wir dabei auch uns selbst nicht als Zahl an.

Hochgeladene Dateien werden nicht gespeichert. Fotos und PDFs bestehen nur für die Dauer der Auswertung im Arbeitsspeicher. Danach existieren ausschließlich die daraus gelesenen Werte. Es gibt keinen Dateispeicher, aus dem sich ein Beleg wiederherstellen ließe. Auf deinem Gerät hält der Browser Fotos, die du aufgenommen, aber noch nicht hochgeladen hast — dazu Punkt 7.

Wenn du uns etwas meldest. Der Text deiner Meldung und, damit er einzuordnen ist, die Seite, auf der du warst, deine Abostufe, die Zahl deiner Belege und Auszüge sowie eine gekürzte Angabe zu Browser und Betriebssystem. Beträge, Händler, Kategorien und IBAN gehen nie mit — eine Fehlermeldung ist kein Grund, Finanzdaten zu bewegen. Meldest du aus der Probe unter „Name und Adresse“, geht zusätzlich der Bauplan des geprüften Auszugs mit: seine Form, in der jeder Buchstabe als X und jede Ziffer als 0 steht, dein Name und deine Adresse nur als Marke. Du siehst ihn vor dem Absenden. Den Auszug selbst bekommen wir nicht.

Ideen. Wählst du auf der Seite „Ideen“ bei einer Idee „Interessiert mich“, speichern wir an deinem Konto, welche Idee es war und wann. Das dient allein der Entscheidung, was wir zuerst bauen: du siehst, worauf du gestimmt hast, wir sehen nur die Zahl der Stimmen je Idee.

Kontaktformular und Widerruf. Was du ins Kontaktformular im Impressum schreibst, samt Name und E-Mail-Adresse, kommt als E-Mail zu uns. Beim Widerruf eines Premium-Kaufs sind es Name, E-Mail-Adresse, Vertrag, auf Wunsch die Bestellnummer und der Zeitpunkt des Eingangs; dieselben Angaben gehen als Eingangsbestätigung an dich.

Technische Daten. Wer ohne Konto einen Beleg ausprobiert, wird über einen gesalzenen Hash seiner IP-Adresse gezählt (bei IPv6 ihres vorderen Teils, des Netzes) — nicht über die Adresse selbst. Der Hash dient allein dazu, dass jeder Anschluss höchstens 3 Belege ohne Konto ausprobiert, und wird nach 30 Tagen gelöscht. Bei offenen Wegen ohne Anmeldung (Registrierung, Passwort vergessen, Bestätigungsmail erneut, Kontaktformular, Widerruf) wird die IP-Adresse für wenige Minuten im Arbeitsspeicher gezählt, um Massenversand zu verhindern; gespeichert wird sie dort nicht. Ein Zugriffsprotokoll mit IP-Adressen schreibt der Server nicht mit. Fehler hält die Anwendung in einem Serverprotokoll fest; ein Konto steht darin nur mit seiner internen Kennung, nie mit der E-Mail-Adresse, und Meldungen aus der Auswertung von Belegen und Auszügen werden vorher um ihre Inhalte bereinigt. Das Protokoll ist auf wenige Megabyte begrenzt und beginnt mit jedem Update der Anwendung neu. Aufrufe der Startseite zählen wir je Tag und nach grober Herkunft (Suchmaschine, Reddit, TikTok, andere Seite, direkt) – ohne IP-Adresse, ohne Cookie und ohne Bezug zu einer Person. Außerdem protokollieren wir je Auswertung die Zahl der verbrauchten KI-Token und die daraus entstandenen Kosten. Für das Monatskontingent kommt je Auswertung ein Eintrag mit Zeitpunkt und Art (Beleg oder Kontoauszug) dazu, ohne Inhalt.

Betriebsprotokoll. Wenn der Betreiber eine Einstellung an einem Konto ändert — etwa ein höheres Kontingent —, wird das mit Zeitpunkt, Handlung und Konto-Kennung festgehalten. Löscht der Betreiber ein Konto oder dessen Daten, steht dazu die E-Mail-Adresse darin, als Nachweis, wessen Daten gelöscht wurden. Es enthält keine Finanzinhalte.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Konto und Finanzdaten. Das ist keine Formalie: Groschn rechnet aus, wie lange dein Geld reicht — ohne deine Umsätze kann es das nicht. Die Speicherung ist der Dienst, nicht eine Zugabe dazu. Deshalb fragen wir dafür auch keine gesonderte Einwilligung ab: sie würde eine Wahl vortäuschen, die es nicht gibt. Dazu gehört auch die monatliche Erinnerung an den Kontoauszug per E-Mail – eine Dienstmail ohne Werbung, in den Einstellungen abbestellbar. Ebenso gehören die Verwaltung deines Premium-Abos und eine Freischaltung von Premium durch uns zur Vertragserfüllung.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für Missbrauchsabwehr, Kostenkontrolle und einen nachvollziehbaren Betrieb: Sperre nach mehrfach falschem Passwort, Sperre eines Kontos bei Verstößen gegen die Nutzungsbedingungen, eine Grenze je Anschluss für Uploads ohne Konto, Grenzen für Umfang und Menge hochgeladener Dateien, Protokollierung des KI-Verbrauchs, das Weiterzählen des Kontingents nach einer Kontolöschung und das Betriebsprotokoll über Änderungen des Betreibers. Ohne sie wäre der Dienst weder sicher noch bezahlbar zu betreiben.

Vertragserfüllung und berechtigtes Interesse (Art. 6 Abs. 1 lit. b und lit. f DSGVO) für Support: Wer uns eine Meldung oder über das Kontaktformular eine Nachricht schickt, will eine Antwort — das geht nicht, ohne sie zu speichern.

Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) für den Widerruf: Das Gesetz verlangt eine Eingangsbestätigung, und wir müssen den Widerruf nachweisen können.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für dein Geburtsjahr: Du gibst es freiwillig an, für den genannten Zweck. Leerst du das Feld in den Einstellungen (oder wählst beim Start „Lieber nicht“), ist es gelöscht – das ist der Widerruf. Die Antwort auf „Wie zahlst du meistens?“ verarbeiten wir aus berechtigtem Interesse (Art. 6 Abs. 1 lit. f DSGVO): sie ordnet den Start, und zusammengefasst zeigt sie uns, ob Groschn eher für Kontoauszüge oder für Belege gebraucht wird.

Ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO) für besondere Kategorien personenbezogener Daten. Das ist kein Formalismus, sondern der Kern: In jedem österreichischen Kontoauszug stehen Angaben, die besonders geschützt sind — der Kirchenbeitrag verrät die Religion, die Ordination und die Apotheke den Gesundheitszustand, der Gewerkschafts- oder Parteibeitrag eine Zugehörigkeit. Groschn liest sie nicht nur mit, es ordnet sie einer Kategorie zu und macht damit erst eine Aussage daraus. Dafür reicht die Vertragserfüllung nicht; es braucht deine ausdrückliche Zustimmung, und ohne sie werten wir weder Auszüge noch Belege aus. Sie steht als kurze Frage, bevor du einen Beleg oder Kontoauszug hochlädst, und in den Einstellungen — dort lässt sie sich unter „Besondere Angaben“ jederzeit widerrufen, mit Wirkung für die Zukunft.

Belege und Kontoauszüge werden von einem Sprachmodell gelesen: es erkennt Händler, Datum, Summe und Positionen und ordnet Buchungen einer Kategorie zu. Dazu wird der Inhalt der Datei beziehungsweise der Verwendungszweck der Buchung an den Anbieter übermittelt. Einen Kontoauszug als CSV-Datei liest Groschn selbst; an das Modell gehen davon nur die einzelnen Verwendungszwecke zur Einordnung. Die Namen deiner eigenen Kategorien gehen zur Einordnung von Buchungen und Belegpositionen mit, so wie die Namen der Standardkategorien; ausgeschaltete Kategorien bietet Groschn dem Modell nicht an.

Kontonummern, Name und Adresse werden vorher ersetzt. Bevor Text an das Modell geht, ersetzt Groschn jede IBAN, jede Kartennummer und jede Zeichenfolge, die wie eine IBAN aussieht, durch Platzhalter wie „[IBAN-1]“ oder „[EIGENES-KONTO-1]“. Ebenso deinen Namen und deine Wohnadresse, wo Groschn sie im Text erkennt — auch in den üblichen Abkürzungen der Banken. Dafür muss Groschn sie kennen: aus deinem Eintrag beim Start oder in den Einstellungen, den Namen auch aus der Anmeldung über Google oder als Kontoinhaber aus einer CSV-Datei. Ohne Eintrag gehen sie so mit, wie sie im Dokument stehen. In sehr ungewöhnlicher Schreibweise, etwa nur mit Initiale, kann das misslingen; Groschn ersetzt dann lieber nichts als eine fremde Angabe. Das Modell erkennt an den Platzhaltern noch, dass zweimal derselbe Empfänger gemeint ist oder dass Geld auf ein eigenes Konto geht, erfährt aber die Nummer nicht. Die Zuordnung der Platzhalter zu den echten Angaben verlässt Groschn nicht; nach der Antwort werden sie zurückübersetzt, gespeichert wird also, was im Dokument stand (Pseudonymisierung, Art. 4 Nr. 5 und Art. 25 DSGVO). Eine technische Sperre verhindert, dass ein Text übermittelt wird, in dem noch eine Kontonummer zu erkennen ist. Namen von Händlern und Empfängern, Beträge und Daten bleiben stehen — ohne sie gäbe es nichts auszuwerten.

Das gilt für Text. Fotos und gescannte PDFs ohne Textebene gehen als Bild an das Modell, so wie sie sind — steht darauf eine IBAN, ist sie im Bild enthalten. Ein Kontoauszug aus dem Online-Banking hat fast immer eine Textebene; wer das vermeiden will, lädt ihn als PDF oder CSV hoch statt als Foto. Ein PDF, dessen Textebene Groschn nicht lesen kann, geht nicht als Bild hinaus, sondern wird abgelehnt.

Was von einem Auszug übrig bleibt, kannst du selbst prüfen: die Seite schwärzt deine Datei mit derselben Funktion, direkt in deinem Browser. Sie wird dabei nicht an uns übertragen.

Eingesetzt wird derzeit Gemini 3.1 Flash Lite von Google, angebunden über das AI Gateway der Vercel Inc. Die Auswertung selbst läuft in einem Rechenzentrum in der EU: Groschn verlangt das bei jeder einzelnen Anfrage, und wenn die Region nicht eingehalten werden kann, bricht die Auswertung ab, statt woanders zu laufen. Meldet eine Antwort keine Auswertung in der EU, verwirft Groschn das Ergebnis. Die Daten werden nicht zum Training von Modellen verwendet. Einen anderen Anbieter oder ein anderes Modell lässt Groschn im Betrieb nicht zu: eine solche Anfrage scheitert, bevor etwas übermittelt wird.

Trotzdem ist es eine Übermittlung in ein Drittland, und wir sagen das deutlich: Vercel ist ein US-Unternehmen, und die Festlegung der Region bindet den Anbieter des Modells — nicht den Weg, den die Anfrage bis dorthin nimmt. Sie kann über einen Server außerhalb der EU laufen. Auch behandelt jeder Anbieter Anfragen, die er als Missbrauch einstuft, nach eigenen Regeln, die außerhalb der gewählten Region liegen können.

Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt. Die KI schlägt Kategorien vor; jede Zuordnung lässt sich korrigieren, und jede Auswertung ist eine Rechnung über deine eigenen Zahlen, keine Bewertung deiner Person.

Hosting und Datenbank: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die Server stehen in Deutschland; Anwendung und Datenbank verlassen die EU nicht.

AI Gateway: Vercel Inc. (USA, Drittland). Der Inhalt des Belegs oder Kontoauszugs, so wie er an das Modell geht: Text mit Beträgen, Händlern und Verwendungszwecken, in dem IBANs und Kartennummern vorher durch Platzhalter ersetzt sind, ebenso der eigene Name und die Wohnadresse, wenn sie hinterlegt sind und wo Groschn sie erkennt; bei Fotos und gescannten PDFs das Bild, so wie es ist. Vercel leitet die Anfrage weiter und speichert sie nicht; die Weiterleitung selbst kann über einen Server außerhalb der EU laufen. Übermittlung: Standardvertragsklauseln der EU-Kommission im Auftragsverarbeitungsvertrag; zertifiziert nach dem EU-US Data Privacy Framework.

Gemini 3.1 Flash Lite: Google LLC (Inferenz in der EU, Unternehmenssitz USA, Drittland). Derselbe Inhalt wie oben. Das Modell rechnet in einem Rechenzentrum in der EU, und was der Anbieter ablegt, legt er dort ab — Groschn verlangt das technisch bei jeder einzelnen Anfrage; eine vertragliche Zusage von Google an uns ist es nicht. Ebenso bei jeder Anfrage verlangt: Anfrage und Antwort werden nach der Verarbeitung nicht aufbewahrt (Zero Data Retention). Nicht zum Training von Modellen verwendet. Groschn speichert das Bild selbst nie, nur was darauf stand. Übermittlung: über den Vertrag mit Vercel; Google LLC ist selbst nach dem EU-US Data Privacy Framework zertifiziert.

E-Mail-Versand: Plus Five Five, Inc. (Resend) (USA, Drittland) — Bestätigungs-, Passwort- und Hinweismails; Support-Meldungen, Kontaktformular und Widerrufe an den Betreiber, Eingangsbestätigung eines Widerrufs, monatliche Erinnerung an den Kontoauszug (abbestellbar). Name und E-Mail-Adresse; bei Support-Meldung, Kontaktformular und Widerruf auch deren Text. Resend bewahrt versandte Mails 30 Tage auf. Übermittlung: Standardvertragsklauseln der EU-Kommission im Auftragsverarbeitungsvertrag; zertifiziert nach dem EU-US Data Privacy Framework.

Zahlungsabwicklung als Merchant of Record: Link, LLC (Lemon Squeezy) (USA, Drittland) — beim Abschluss eines Premium-Abos, wenn du es verwaltest oder fortsetzt, und wenn wir dir bei laufendem Abo Premium freischalten. Name, E-Mail-Adresse, Rechnungsanschrift und Zahlungsdaten. Groschn selbst liest und speichert keine Zahlungsdaten — bei uns liegen nur eine Kunden- und eine Abonummer, der Zustand des Abos, der Tag der nächsten Abbuchung und bis wann es pausiert ist. Groschn fragt dort den Stand deines Abos ab und ändert ihn, wenn du es fortsetzt oder wenn wir dir bei laufendem Abo Premium bis zu einem Tag freischalten – dann pausieren wir die Abbuchungen bis zu diesem Tag. Übermittelt werden dafür nur die Abonummer und dieser Tag. Übermittlung: nicht nach dem Data Privacy Framework zertifiziert; sagt in seiner Datenschutzvereinbarung zu, Übermittlungen auf die Standardvertragsklauseln der EU-Kommission zu stützen. Datenschutzerklärung des Anbieters.

Anmeldung über Google: Google Ireland Limited (Irland) — nur wenn du diesen Anmeldeweg wählst. Name und E-Mail-Adresse des Google-Kontos. Datenschutzerklärung des Anbieters.

Worauf eine Übermittlung in die USA gestützt ist (Art. 44 ff. DSGVO), steht beim jeweiligen Empfänger. Eine Kopie der Standardvertragsklauseln schicken wir auf Anfrage an support@groschn.at; die Zertifizierungen lassen sich unter dataprivacyframework.gov nachschlagen. Deine Daten werden nicht verkauft und nicht für Werbung Dritter genutzt.

Fehlerprotokoll: Functional Software, Inc. (Sentry), Speicherung in der EU (Frankfurt), Unternehmenssitz USA, Drittland — nur wenn auf dem Server ein Fehler auftritt. Übermittelt werden Zeitpunkt, die aufgerufene Adresse ohne ihren Abfrageteil und die technische Fehlerspur. Inhalt der Anfrage, Cookies und Kopfzeilen werden vorher entfernt, ebenso Werte, die eine Fehlermeldung aus der Datenbank oder aus der Antwort des Sprachmodells mitbringen würde; Finanzdaten sind nicht darunter. Grundlage ist unser berechtigtes Interesse daran, Fehler zu finden, bevor sie jemand meldet (Art. 6 Abs. 1 lit. f DSGVO). Übermittlung: zertifiziert nach dem EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln der EU-Kommission im Auftragsverarbeitungsvertrag.

Innerhalb des Unternehmens hat allein der Betreiber Zugang. Die Betreiberansicht zeigt Zählerstände, Zustände und die Texte von Support-Meldungen — keine Buchungen, keine Belege, keine IBAN fremder Konten. Als Verwalter von Server und Datenbank könnte der Betreiber technisch auch die gespeicherten Daten selbst einsehen; das geschieht nur, wenn der Betrieb es verlangt, etwa um einen Fehler zu beheben, den du meldest.

Verarbeitet wird damit in: Deutschland (Hosting), USA, EU, Irland. Wir sagen das auch auf der Startseite und nicht nur hier — eine Auskunft, die man suchen muss, ist keine.

Solange du das Konto hast. Deine Daten bleiben, bis du sie löschst oder das Konto auflöst. Beides geht jederzeit selbst, in den Einstellungen, ohne Wartezeit und ohne dass wir zustimmen müssten. Abgefragt wird dabei nur dein Passwort — nicht als Hürde, sondern damit ein fremder Griff auf dein geöffnetes Gerät nicht dein Konto löscht. Das Geburtsjahr bleibt, bis du das Feld leerst oder das Konto auflöst; „Nur Daten löschen“ behält es wie deinen Namen. Die Antwort auf die Zahlungsfrage geht mit „Nur Daten löschen“ und mit dem Konto.

Ruhende Konten. War ein Konto ohne laufendes Premium 120 Tage lang nicht in Gebrauch, schreiben wir dich an und löschen es 14 Tage später samt allen Daten. Eine einzige Anmeldung in dieser Zeit genügt, um es zu behalten. Wer ein laufendes Abo hat oder für wen Premium freigeschaltet ist, ist davon nicht betroffen — eine abgelaufene Freischaltung dagegen zählt wie der kostenlose Zugang.

Gesperrte Konten. Sperren wir ein Konto nach Punkt 7 der Nutzungsbedingungen, bleiben seine Daten zunächst stehen, damit du sie auf Anfrage erhältst; die Frist für ruhende Konten läuft dabei nicht. Löschen wir die Daten anschließend, bleiben E-Mail-Adresse, Name und der Zeitpunkt der Sperre gespeichert, solange die Sperre gilt. Nur so erkennt Groschn eine erneute Anmeldung unter derselben Adresse, auch über Google. Grundlage ist unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Belege ohne Konto. Wer einen Beleg ausprobiert, ohne sich zu registrieren, dessen Beleg wird nach 24 Stunden restlos gelöscht. Ohne den Beleg bleibt nur der Hash der Herkunft mit dem Zeitpunkt stehen, bis 30 Tage nach dem Hochladen — damit die Probe begrenzt bleibt.

Support-Meldungen. Sie bleiben, bis sie erledigt sind, und gehen mit, wenn du deine Daten oder dein Konto löschst. Die Benachrichtigung darüber liegt als E-Mail in unserem Postfach, bis die Meldung erledigt ist. Nachrichten aus dem Kontaktformular liegen in unserem Postfach, bis sie beantwortet sind; Widerrufe als Nachweis, solange aus dem Kauf noch Ansprüche bestehen können.

Stimmen auf „Ideen“. Sie bleiben, bis du sie zurücknimmst, und gehen mit, wenn du deine Daten oder dein Konto löschst.

Monatskontingent. Die Einträge, aus denen Groschn dein Kontingent zählt, bleiben bis zum Ende des Folgemonats bestehen, auch wenn du deine Daten löschst — sonst gäbe das Löschen das Kontingent zurück. Die Einträge zum Startguthaben (die ersten Kontoauszüge, die nicht ins Monatskontingent zählen) bleiben, solange das Konto besteht: sie halten nur fest, dass es genutzt ist. Löschst du dein Konto, gehen sie mit ihm – bis auf die, die noch zählen: die des laufenden Monats und die des Startguthabens. Die merken wir uns ohne Konto und ohne deine E-Mail-Adresse, unter einem Schlüssel, der sich aus der Adresse berechnen lässt, aus dem sie sich aber nicht ablesen lässt (ein HMAC; ein Zusatz nach einem Plus und bei Gmail die Punkte zählen dabei nicht). Legst du mit derselben Adresse ein neues Konto an, zählen sie dort weiter – sonst gäbe das Löschen das Kontingent zurück. Die Einträge des Monats verfallen mit dessen Ende, die zum Startguthaben 12 Monate nach der Löschung.

Sicherungen. Die Datenbank wird täglich gesichert. Die Sicherung wird verschlüsselt, bevor sie den Server verlässt, und getrennt vom Server bei Hetzner in Deutschland abgelegt; öffnen lässt sie sich nur mit einem Schlüssel, der nicht auf dem Server liegt. Jede Sicherung wird nach 30 Tagen gelöscht. Zusätzlich liegen die Sicherungen der letzten 7 Tage auf dem Server selbst, um nach einem Fehler schnell zurückspielen zu können. Was du löschst, steht also noch bis zu 30 Tage in älteren Sicherungen; zurückgespielt werden sie nur, um nach einem Ausfall den Betrieb wiederherzustellen.

Was die Löschung überlebt. Drei Dinge: Die Aufzeichnung über verbrauchte KI-Token bleibt bestehen — bei der Löschung des Kontos wird die Kennung darin ersetzt, sodass sich die Zeilen keinem Konto mehr zuordnen lassen. Sie enthält keine Finanzdaten, sondern Verbrauchszahlen zur Kostenkontrolle. Und das Betriebsprotokoll über Änderungen des Betreibers bleibt mit der Konto-Kennung stehen, bei einer Löschung durch den Betreiber auch mit der E-Mail-Adresse: ein Protokoll, das sich mit dem löscht, was es festhält, ist keines. Und wenn du beim Löschen deines Kontos freiwillig sagst, warum du gehst, speichern wir deine Antwort ohne Bezug zu deinem Konto und ohne deine E-Mail-Adresse – zusammen mit dem Alter des Kontos in Tagen, der Tarifstufe und der Zahl deiner Belege und Auszüge – und löschen sie nach 12 Monaten. Schreib in das freie Feld bitte nichts, woran man dich erkennt.

Produktnamen. Aus Beleg-Positionen entsteht eine kontenübergreifende Liste von Produktbezeichnungen (etwa „Bio-Vollmilch 1l“), damit dasselbe Produkt nicht bei jedem neu gelernt werden muss. Sie enthält weder Preise noch Mengen noch einen Bezug zu einer Person und bleibt deshalb bestehen; deine eigenen Zuordnungen dazu werden gelöscht.

Groschn setzt keine Cookies zu Werbe- oder Analysezwecken und bindet keine Tracker ein. In deinem Browser abgelegt werden ausschließlich:

• das Sitzungs-Cookie der Anmeldung — ohne es könntest du nicht angemeldet bleiben. Es gilt 14 Tage ab der Anmeldung, danach meldest du dich neu an;
• ein Cookie mit den Kennungen der Belege, die du ohne Konto hochgeladen hast, damit sie bei einer Registrierung in dein neues Konto wandern und die Probe ohne Konto begrenzt bleibt. Es verfällt nach 30 Tagen;
• kurzlebige Begleitwerte derselben Anmeldung: ein Schutzwert gegen untergeschobene Formulare, die Adresse, auf die nach dem Anmelden zurückgeführt wird, und bei der Anmeldung über Google zwei Prüfwerte, die nur für die Dauer des Anmeldevorgangs gelten;
• Fotos von Belegen, die du aufgenommen, aber noch nicht hochgeladen hast, im Speicher des Browsers (IndexedDB) — damit sie ein Neuladen der Seite überstehen. Sie verschwinden nach dem Hochladen, beim Verwerfen, beim Abmelden, sobald du nicht mehr angemeldet bist, und spätestens beim ersten Aufruf nach 24 Stunden;
• solange du die Einführung durchgehst, ein Cookie mit dem Bild, auf dem du gerade bist, damit ein Neuladen dort weitermacht. Es verfällt mit dem Schließen des Browsers und wird gelöscht, sobald die Einführung abgeschlossen ist;
• deine Einstellung für hell oder dunkel, gespeichert im Browser.

Alle sind technisch notwendig beziehungsweise von dir ausgelöst und brauchen deshalb keine Einwilligung nach § 165 Abs. 3 TKG 2021 — und kein Banner, der dir eine Wahl anbietet, die es hier nicht gibt.

Dir stehen Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) zu.

Zwei davon musst du nicht bei uns beantragen: In den Einstellungen lädst du jederzeit alle gespeicherten Daten als maschinenlesbare Datei herunter und löschst mit demselben Griff entweder deine Daten oder das ganze Konto — Schritt für Schritt, auch ohne App oder Zugang, unter groschn.at/konto-loeschen.

Du hast außerdem das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Die Verbindung zwischen deinem Gerät und Groschn ist verschlüsselt; nach dem ersten Besuch baut dein Browser sie gar nicht mehr unverschlüsselt auf. Anwendung und Datenbank laufen auf demselben Server und sprechen nur innerhalb dieses Servers miteinander; die Datenbank ist von außen nicht erreichbar. Passwörter liegen ausschließlich als bcrypt-Hash vor. Nach fünf falschen Versuchen wird ein Konto vorübergehend gesperrt. Jede Abfrage ist an dein Konto gebunden — fremde Daten sind über keine Adresse erreichbar, auch nicht mit geratenen Kennungen.