Datenschutz

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

SpuhlerLabs UG (haftungsbeschränkt)

Rambacher Straße 79

65193 Wiesbaden

Handelsregister: Amtsgericht Wiesbaden, HRB 36825

Geschäftsführer: Tom Spuhler

E-Mail: [email protected]

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

2. Überblick: Was Copreo tut

Copreo ist eine App zur persönlichen Finanzverwaltung. Sie können Bankkonten, Kreditkarten und Depots verbinden; die App zeigt Ihnen Salden, Umsätze und Auswertungen (Budgets, Kategorien, wiederkehrende Zahlungen). Der technische Zugriff auf Ihre Konten erfolgt über den lizenzierten Kontoinformationsdienst BANKSapi Technology GmbH (siehe Ziffer 6.1). Wir verwenden keine Werbe- oder Tracking-SDKs und zeigen keine Werbung an. Zur Erkennung technischer Fehler setzen wir eine von uns selbst betriebene Fehlererfassung ein, an die ausschließlich im Fehlerfall ein gefilterter Bericht übermittelt wird (Ziffer 4.12).

Diese Datenschutzerklärung gilt für die Copreo App (Ziffern 3 bis 13) und für unsere Website https://copreo.com (Ziffer 14). Die Angaben zum Verantwortlichen (Ziffer 1) sowie zu Ihren Rechten (Ziffer 10) gelten für beide.

3. Kategorien verarbeiteter Daten

Konto- und Profildaten: Vorname, Nachname, E-Mail-Adresse, Passwort (nur als Hash gespeichert), optional Profilbild und Spracheinstellung; bei „Mit Apple anmelden“ bzw. „Mit Google anmelden“ die vom jeweiligen Anbieter übermittelten Daten (Name, E-Mail-Adresse, Identity Token bzw. OAuth-Token). Auch bei der Anmeldung über Apple oder Google fragt die App Vor- und Nachnamen ab.

Sicherheitsdaten: optional ein App-Sperrcode (6-stellige PIN, nur als Hash gespeichert) sowie ein lokales Merkmal, ob die biometrische Entsperrung aktiviert ist. Biometrische Daten selbst (z. B. Gesichts- oder Fingerabdruckdaten) verbleiben ausschließlich auf Ihrem Gerät und werden von uns zu keinem Zeitpunkt verarbeitet.

Bank- und Finanzdaten: IBAN, BIC, Kontoinhaber, Bankname, Kontobezeichnung, Kontoart, Salden und Währungen; Transaktionsdaten (Betrag, Währung, Buchungs-/Wertstellungsdatum, Name/IBAN/BIC der Gegenpartei, Verwendungszweck, Buchungstext, Mandatsreferenz, End-to-End-ID, Gläubiger-ID); bei verbundenen Depots Wertpapierdaten (Name, ISIN, WKN, Stückzahl, Kurs).

Von Ihnen erstellte Inhalte: Budgets (Name, Symbol, Farbe, Limits, Kategorien), manuell angelegte oder bearbeitete wiederkehrende Zahlungen inkl. Freitextnotizen, Feedback-Nachrichten (Freitext), Suchanfragen in der App.

Geräte- und Nutzungsdaten: bei aktivierten Push-Benachrichtigungen ein Push-Token, Plattform (iOS/Android) und Gerätename; bei jedem Login serverseitig IP-Adresse und User-Agent (Session-Metadaten); beim Absenden von Feedback automatisch App-Version, Plattform, Betriebssystemversion und Sprache.

Fehlerberichte: Tritt in der App oder auf unseren Servern ein technischer Fehler auf, erfassen wir Fehlerart, Fehlermeldung und den technischen Ablauf bis zum Fehler (Stacktrace), den aufgerufenen Programmpfad ohne Parameterwerte sowie die zuletzt aufgerufenen Bereiche der App ohne Inhalte. Bei Fehlern auf unseren Servern enthält der Bericht Ihre interne Nutzerkennung (UUID); bei Fehlern in der App enthält er Gerätemodell, Betriebssystemversion, App-Version und Build-Nummer, aber keine Nutzerkennung. Einzelheiten in Ziffer 4.12.

Vertrags- und Zahlungsdaten: bei In-App-Käufen die vom jeweiligen Store übermittelten Kaufnachweise (Apple: Transaktions-ID; Google: Purchase Token). Ihre Zahlungsdaten (z. B. Kreditkartennummer) erhalten wir nicht; die Zahlungsabwicklung erfolgt vollständig durch Apple bzw. Google.

Einwilligungsdaten: ein Einwilligungsprotokoll (Zweck, Version, Zeitpunkt der Erteilung und ggf. des Widerrufs, Quelle), mit dem wir die Rechtmäßigkeit der Verarbeitung nachweisen (Art. 7 Abs. 1 DSGVO).

Löschdaten: bei beantragter Kontolöschung Zeitpunkt des Antrags, geplanter Ausführungszeitpunkt und ein Abbruch-Token (als Hash).

4.1 Bereitstellung der App und des Nutzerkontos

(Registrierung, Login, Profilverwaltung, App-Sperre, Abonnementverwaltung): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4.2 Kontozugriff und Anzeige Ihrer Finanzdaten

Der Abruf Ihrer Konto- und Transaktionsdaten über BANKSapi erfolgt nur nach Ihrer ausdrücklichen Einwilligung, die Sie in der App aktiv erteilen (Einwilligungszweck „Bankkonto-Zugriff“); Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.

Soweit Transaktionsdaten im Einzelfall Rückschlüsse auf besondere Kategorien personenbezogener Daten zulassen (z. B. Zahlungen an Gewerkschaften, religiöse Einrichtungen oder Gesundheitsdienstleister), stützen wir die Verarbeitung auf Ihre ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO.

Zusätzlich autorisieren Sie den Kontozugriff gegenüber Ihrer Bank nach deren Vorgaben — in der Regel über PSD2-Schnittstellen mit starker Kundenauthentifizierung; bei einzelnen Instituten erfolgt der Zugriff über andere von BANKSapi betriebene Zugangswege (z. B. Online-Banking-Schnittstellen). Die Autorisierung ist zeitlich befristet und muss periodisch erneuert werden.

4.3 Automatische Analyse Ihrer Transaktionen

(Kategorisierung, Erkennung wiederkehrender Zahlungen, Budgetauswertung): nur nach gesonderter Einwilligung (Zweck „Transaktionsanalyse“), Art. 6 Abs. 1 lit. a DSGVO. Ohne diese Einwilligung findet keine automatische Kategorisierung und keine automatische Erkennung wiederkehrender Zahlungen statt.

4.4 Händler-Anreicherung

(Zuordnung von Händlernamen und Logos zu Ihren Umsätzen, teilweise KI-gestützt): nur nach gesonderter Einwilligung (Zweck „Händler-Anreicherung“), Art. 6 Abs. 1 lit. a DSGVO. Dabei werden ausschließlich öffentliche Händlernamen bzw. Domains an die in Ziffer 6 genannten Dienstleister übermittelt — nicht Ihr Name, nicht Ihre IBAN und nicht der vollständige Verwendungszweck.

4.5 Mitwirkung am gemeinschaftlichen Kategorisierungssystem („Crowd-Learning“)

Nur nach gesonderter Einwilligung (Zweck „Crowd-Beitrag“), Art. 6 Abs. 1 lit. a DSGVO. Ihre Korrekturen an Händlerzuordnungen fließen dann in aggregierter Form in das gemeinschaftliche Kategorisierungssystem ein. Sensible Kategorien werden von der gemeinschaftlichen Auswertung ausgeschlossen. Ohne Einwilligung werden Ihre Daten per technischem Filter von allen gemeinschaftlichen Auswertungen ausgenommen.

Alle vier Einwilligungen nach 4.2–4.5 sind in den Einstellungen unter „Sicherheit & Datenschutz“ jederzeit einzeln mit Wirkung für die Zukunft widerrufbar (Ziffer 10). Keine der Einwilligungen ist voreingestellt.

4.6 Benachrichtigungen und Zusammenfassungen

(Push-Nachrichten, wöchentliche/monatliche Recaps per E-Mail): Push-Benachrichtigungen setzen Ihre Erlaubnis auf Betriebssystemebene voraus. Zusammenfassungen versenden wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO als Teil des Dienstes; Häufigkeit und Inhalte können Sie in den Benachrichtigungseinstellungen anpassen oder vollständig deaktivieren.

4.7 Transaktionale E-Mails

(E-Mail-Bestätigung, Passwort-Zurücksetzen, Löschbestätigungen und -erinnerungen, Sicherheitshinweise): Art. 6 Abs. 1 lit. b DSGVO.

4.8 Kauf- und Aboverwaltung

(Verifizierung von In-App-Käufen gegenüber Apple/Google): Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Pflichten).

4.9 Sicherheit und Missbrauchsvermeidung

(Session-Verwaltung inkl. IP-Adresse und User-Agent, Fehlerprotokolle, Zugriffsbeschränkungen): Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Absicherung der Systeme, der Missbrauchserkennung und der Fehlerbehebung.

4.10 Feedback-Funktion

Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes). Die Nutzung ist freiwillig.

4.11 Nachweis von Einwilligungen und Löschungen

(Einwilligungsprotokoll, pseudonymisierte Ereignisprotokolle): Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO (Rechenschaftspflicht).

4.12 Fehlerberichte (Absturz- und Fehlererfassung)

Tritt in der App oder in unserem Backend ein Programmfehler auf, wird ein Fehlerbericht an eine von uns selbst betriebene Fehlererfassung (Bugsink) übermittelt. Ein Bericht entsteht ausschließlich im Fehlerfall; die normale Nutzung der App erzeugt keine Übertragung. Sitzungs- und Nutzungsstatistiken, Leistungsmessungen, Bildschirmaufzeichnungen und Bildschirmfotos sind abgeschaltet.

Vor dem Versand werden aus jedem Bericht entfernt: Name, E-Mail-Adresse und sonstige Profildaten, die IP-Adresse, Inhalte von Anfragen (etwa Eingaben in Formularen oder beim Login), Kopfzeilen, Cookies und Sitzungs-Token sowie Parameterwerte in aufgerufenen Adressen. Diese Filterung erfolgt in der App bzw. auf dem Server, bevor der Bericht abgesendet wird; entfernte Daten verlassen das Gerät bzw. den Server nicht. Bank- und Finanzdaten werden nicht erfasst, weil lokale Programmvariablen und Inhalte von Hintergrundaufträgen nicht angehängt werden. Auf dem Server werden nur Serverfehler gemeldet, keine fehlgeschlagenen Anmeldeversuche oder sonstigen Eingabefehler.

Fehlerberichte aus der App enthalten keine Nutzerkennung. Fehlerberichte des Backends enthalten Ihre interne Nutzerkennung (UUID), damit wir einen von Ihnen gemeldeten Fehler Ihrem Konto zuordnen und beheben können; eine Zuordnung zu Name oder E-Mail-Adresse ist nur uns über die Datenbank möglich.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Fehler und Abstürze zu erkennen und zu beheben, bevor sie die Nutzung der App beeinträchtigen, sowie in der Sicherheit und Stabilität des Dienstes (Erwägungsgrund 49 DSGVO). Die Berichte dienen ausschließlich der Fehleranalyse; sie werden nicht zur Analyse des Nutzungsverhaltens, zur Profilbildung oder zu Werbezwecken verwendet. Sie können dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, nach Art. 21 DSGVO widersprechen (Ziffer 10).

Die Fehlererfassung wird auf einem von uns angemieteten Server in einem Rechenzentrum in Deutschland betrieben (Ziffer 6.2). Fehlerberichte werden 90 Tage nach Eingang automatisch gelöscht (Ziffer 8).

5. Herkunft der Daten; der Datenübergabepunkt bei BANKSapi

Ihre Bank- und Finanzdaten erheben wir nicht selbst bei Ihrer Bank. Der Ablauf ist wie folgt:

1. Sie stoßen die Kontoverbindung in der App an und werden in eine von der BANKSapi Technology GmbH bereitgestellte Umgebung weitergeleitet.

2. Dort geben Sie Ihre Online-Banking-Zugangsdaten ein und autorisieren den Zugriff gegenüber Ihrer Bank. Ihre Online-Banking-Zugangsdaten werden zu keinem Zeitpunkt an uns übermittelt oder von uns gespeichert. Für diesen Vorgang ist BANKSapi als lizenzierter Kontoinformationsdienst datenschutzrechtlich verantwortlich; es gelten insoweit ergänzend die Datenschutzhinweise von BANKSapi.

3. BANKSapi ruft die Konto- und Transaktionsdaten bei Ihrer Bank ab und stellt sie uns über eine gesicherte Schnittstelle bereit. Der Datenübergabepunkt — der Punkt, an dem die datenschutzrechtliche Verantwortung von BANKSapi auf uns übergeht — liegt an dieser Schnittstelle: Ab Entgegennahme der Daten an der Schnittstelle sind wir Verantwortlicher für die weitere Verarbeitung in Copreo; für die Erhebung bei der Bank und die Verarbeitung bis zur Übergabe ist BANKSapi verantwortlich.

4. BANKSapi prüft die von den Banken übermittelten Daten nicht auf Richtigkeit oder Vollständigkeit; die Daten werden in Copreo so angezeigt, wie sie übergeben wurden (siehe hierzu auch § 5 unserer AGB).

6. Empfänger der Daten

Wir übermitteln personenbezogene Daten nur, soweit dies für die jeweiligen Zwecke erforderlich ist, und haben mit Auftragsverarbeitern Verträge nach Art. 28 DSGVO geschlossen.

6.1 BANKSapi Technology GmbH (Kontoaggregation)

BANKSapi Technology GmbH, Pettenkoferstr. 35, 80336 München, Deutschland. BANKSapi erhält im Rahmen der Kontoverbindung die zur Kontoanbindung erforderlichen Daten und stellt uns Ihre Konto- und Transaktionsdaten bereit (Ziffer 5). Für den regulierten Kontozugriff ist BANKSapi eigenständig Verantwortlicher; soweit BANKSapi darüber hinaus in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage eines Auftragsverarbeitungsvertrags.

Von BANKSapi eingesetzte, vertraglich genehmigte Subunternehmer:

noris network AG — Nürnberg, Deutschland — Betrieb des Rechenzentrums

Niiio wealth management GmbH (vormals fundsaccess AG) — Görlitz, Deutschland — Technische Administration

Finconomy AG — München, Deutschland — Kaufmännische Administration

Hawk AI GmbH — München, Deutschland — Unterstützung bei der Untersuchung von Verdachtsfällen nach dem Geldwäschegesetz

Bios-tec GmbH — München, Deutschland — Client-Administration (Windows/Microsoft)

SurePay B.V. — Utrecht, Niederlande — Unterstützung bei der Zahlungsempfängerüberprüfung

Sämtliche Subunternehmer von BANKSapi haben ihren Sitz in der Europäischen Union; das Rechenzentrum für den Betrieb der BANKSapi-Systeme betreibt die noris network AG in Nürnberg. Ein Drittlandtransfer findet auf dieser Verarbeitungsstrecke nicht statt.

6.2 Weitere Empfänger

Anthropic PBC (Claude API), USA — KI-gestützte Händlerkategorisierung. Übermittelt werden ausschließlich öffentliche Händlernamen bzw. Domains und Kategorielisten; keine Namen von Nutzern, keine IBANs, keine vollständigen Verwendungszwecke. Nur bei erteilter Einwilligung „Händler-Anreicherung“ (Ziffer 4.4). Zum Drittlandtransfer siehe Ziffer 7.

Apple Inc. / Apple Distribution International Ltd. — „Mit Apple anmelden“ (Name, E-Mail, Identity Token) sowie Verifizierung von In-App-Käufen (opake Transaktions-ID). Apple ist für den App-Store-Vertrieb und die Zahlungsabwicklung eigenständig Verantwortlicher.

Google Ireland Ltd. / Google LLC — „Mit Google anmelden“ (Name, E-Mail-Adresse, OAuth-Token), Verifizierung von In-App-Käufen über Google Play (Purchase Token) und Empfang von Abo-Statusmeldungen. Google ist für den Play-Store-Vertrieb und die Zahlungsabwicklung eigenständig Verantwortlicher.

Netcup GmbH (Object Storage) — Speicherung von Händler-Logo-Bildern sowie von Datenexport-Archiven im Rahmen von Auskunfts-/Übertragbarkeitsanfragen; Rechenzentrum in Deutschland. Datenexport-Archive werden vor der Ablage zusätzlich verschlüsselt (AES-256-GCM) und sind nur über einen zugriffsgeschützten Abruf erhältlich.

650 Industries, Inc. („Expo“), USA (Push-Dienst) — Zustellung von Push-Benachrichtigungen (Push-Token, Titel, Nachrichtentext, ggf. verlinkte Inhalte). Push-Inhalte können Finanzinformationen wie Beträge oder Händlernamen enthalten; Sie steuern dies über die Benachrichtigungseinstellungen und können Push-Benachrichtigungen vollständig deaktivieren. Zum Drittlandtransfer siehe Ziffer 7.

logo.dev, Wikimedia Foundation (Wikidata / Wikimedia Commons) und Händler-Websites — Zur Beschaffung von Logos und Markendaten übermitteln wir ausschließlich öffentliche Händlernamen bzw. -domains als Suchbegriffe (logo.dev nur bei Einwilligung „Händler-Anreicherung“). Personenbezogene Daten unserer Nutzer werden an diese Dienste nicht übermittelt; sie sind daher keine Empfänger personenbezogener Daten im Sinne der DSGVO.

Fehlererfassung (Bugsink, selbst betrieben) — Fehlerberichte nach Ziffer 4.12 werden auf einem von uns angemieteten Server der Contabo GmbH, Aschauer Straße 32a, 81549 München, in einem Rechenzentrum in Deutschland gespeichert. Es wird kein externer Fehlererfassungsdienst eingesetzt; der Hosting-Anbieter verarbeitet in unserem Auftrag (Art. 28 DSGVO). Zugriff auf die Berichte hat ausschließlich der Geschäftsführer.

Eigener E-Mail-Server — Versand transaktionaler E-Mails über eine selbst betriebene Mailserver-Infrastruktur mit Serverstandort in Deutschland; es wird kein externer E-Mail-Dienstleister eingesetzt.

Hosting — Backend und Datenbank werden bei der Netcup GmbH, Karlsruhe, in Rechenzentren in Deutschland betrieben.

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. gegenüber Finanz- oder Strafverfolgungsbehörden) oder Sie eingewilligt haben.

7. Drittlandtransfers

Die Verarbeitung Ihrer Daten findet ganz überwiegend in Deutschland statt: Unser Backend, unsere Datenbank und unser Objektspeicher werden bei der Netcup GmbH in deutschen Rechenzentren betrieben, unser E-Mail-Server steht in Deutschland, unsere Fehlererfassung (Ziffer 4.12) wird auf einem Server in Deutschland betrieben, und BANKSapi betreibt seine Systeme im Rechenzentrum der noris network AG in Nürnberg. Sämtliche Subunternehmer von BANKSapi haben ihren Sitz in der Europäischen Union (Ziffer 6.1).

In den folgenden Fällen werden personenbezogene Daten in die USA übermittelt:

Anthropic PBC, San Francisco, USA (KI-gestützte Händlerkategorisierung, Ziffer 4.4): Grundlage der Übermittlung ist ein Auftragsverarbeitungsvertrag (Data Processing Addendum) mit den Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO. Als zusätzliche Schutzmaßnahme im Sinne der EDSA-Empfehlungen 01/2020 beschränken wir die übermittelten Daten strikt auf öffentliche Händlernamen bzw. -domains und Kategorielisten — es werden keine Namen, Kontodaten, IBANs oder Verwendungszwecke unserer Nutzer übermittelt, sodass ein Personenbezug für den Empfänger weitestgehend ausgeschlossen ist.

Apple Inc., Cupertino, USA („Mit Apple anmelden“ sowie Verifizierung von In-App-Käufen): Apple Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 Abs. 3 DSGVO. Vertragspartner für den App-Store-Vertrieb im EWR ist Apple Distribution International Ltd., Irland.

Google LLC, Mountain View, USA („Mit Google anmelden“, Verifizierung von In-App-Käufen über Google Play, Abo-Statusmeldungen): Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 Abs. 3 DSGVO); Vertragspartner im EWR ist die Google Ireland Ltd. Ergänzend gelten die von Google angebotenen Standardvertragsklauseln.

650 Industries, Inc. („Expo“), USA (Zustellung von Push-Benachrichtigungen): Übermittelt werden Push-Token und Benachrichtigungsinhalte. Expo hat sich den Grundsätzen des EU-U.S. Data Privacy Framework unterworfen; ergänzend gelten die Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag (Art. 46 Abs. 2 lit. c DSGVO). Den Umfang der Inhalte in Push-Benachrichtigungen steuern Sie selbst über die Benachrichtigungseinstellungen; ohne aktivierte Push-Benachrichtigungen findet keine Übermittlung an Expo statt.

An logo.dev, die Wikimedia Foundation und Händler-Websites werden ausschließlich öffentliche Händlernamen bzw. -domains übermittelt (Ziffer 6.2); ein Drittlandtransfer personenbezogener Daten findet insoweit nicht statt.

Den aktuellen Zertifizierungsstatus von Empfängern unter dem EU-U.S. Data Privacy Framework können Sie unter dataprivacyframework.gov einsehen. Kopien der jeweils einschlägigen Garantien (Standardvertragsklauseln) stellen wir Ihnen auf Anfrage an [email protected] zur Verfügung.

8. Speicherdauer und Löschung

Nutzerkonto: Sie können die Löschung Ihres Kontos jederzeit in der App unter „Profil → Einstellungen → Konto → Konto löschen“ oder über das Formular unter copreo.com/konto-loeschen beantragen.

Sofortige Wirkung des Antrags: Mit Eingang des Antrags wird der Zugriff auf Ihr Konto sofort gesperrt und alle bestehenden Sitzungen werden beendet. Die Ihrem Konto zugeordneten Zugriffsfreigaben (Consents) bei unserem Kontoinformationsdienst BANKSapi Technology GmbH werden unverzüglich widerrufen; es werden ab diesem Zeitpunkt keine weiteren Finanzdaten mehr bei Ihren Banken abgerufen.

Karenzzeit: Die endgültige Löschung erfolgt sieben Tage nach Eingang des Antrags. Dann werden Ihr Konto und die verknüpften Daten (Profil, Bank- und Transaktionsdaten, Budgets, wiederkehrende Zahlungen, Depotdaten, Geräte, Suchverlauf, Feedback) endgültig gelöscht. In der Karenzzeit beschränkt sich die Verarbeitung Ihrer Daten auf deren Speicherung sowie auf die Abwicklung eines etwaigen Abbruchs; eine Auswertung oder sonstige Nutzung findet nicht statt. Wir erinnern Sie drei Tage und einen Tag vor der Ausführung per E-Mail.

Zweck der Karenzzeit: Sie dient dem Schutz vor unbefugter Löschung Ihres Kontos, insbesondere nach einer Übernahme Ihres Zugangs, sowie vor versehentlicher Löschung. Sie bemisst sich nach dem Zeitraum, innerhalb dessen ein privates E-Mail-Postfach üblicherweise mindestens einmal abgerufen wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Abwehr missbräuchlicher Löschanträge.

Abbruch: Sie können die Löschung bis zur Ausführung über den Link in unserer Bestätigungs-E-Mail oder in der App abbrechen. Nach einem Abbruch ist Ihr Konto unverändert nutzbar; die Zugriffsfreigaben bei Ihren Banken müssen Sie jedoch neu erteilen, da diese bereits widerrufen wurden.

Löschung ohne Karenzzeit: Auf ausdrückliches Verlangen führen wir die Löschung sofort aus. Diese Möglichkeit besteht in der App sowie auf Anfrage über unsere Support-Adresse.

Nachweisdaten: Bestimmte Ereignisprotokolle (Abo-Berechtigungen, Bankverbindungs-Ereignisse, Kontoverknüpfungs-Metadaten) werden bei der Kontolöschung nicht gelöscht, sondern pseudonymisiert — Ihre Nutzerkennung wird dabei durch einen zufälligen, nicht rückführbaren Wert ersetzt. Diese pseudonymisierten Protokolle dienen dem Nachweis der ordnungsgemäßen Verarbeitung (Art. 5 Abs. 2 DSGVO) und der Abrechnungssicherheit.

Sessions: Login-Sitzungen laufen nach spätestens 30 Tagen ab; abgelaufene Sitzungen werden stündlich automatisch gelöscht.

Datenexport-Archive: Im Rahmen von Auskunfts- oder Übertragbarkeitsanfragen erstellte Exportarchive werden verschlüsselt gespeichert und nach 14 Tagen automatisch gelöscht.

Fehlerberichte: Berichte nach Ziffer 4.12 werden 90 Tage nach ihrem Eingang automatisch gelöscht, unabhängig davon, ob der zugrunde liegende Fehler behoben wurde.

Nach Abo-Ende: Nach Ablauf eines Abonnements bleibt Ihr Konto 90 Tage im Nur-Lese-Modus; danach wird der Zugriff gesperrt. Ihre Daten bleiben bis zu einer Kontolöschung gespeichert, damit Sie den Dienst später fortsetzen oder Ihre Daten exportieren können.

Nach Testmonat/Testphase: Endet ein kostenloser Testzeitraum ohne Abschluss eines Abonnements, wird der Zugriff auf die Inhalte gesperrt. Ihre Daten bleiben bis zu einer Kontolöschung gespeichert, damit Sie den Dienst später mit einem Abonnement fortsetzen können; die Kontolöschung ist jederzeit möglich.

Gesetzliche Aufbewahrungspflichten: Rechnungs- und buchungsrelevante Daten bewahren wir nach Maßgabe der handels- und steuerrechtlichen Fristen (§ 257 HGB, § 147 AO: bis zu 10 Jahre) auf.

Lokale Daten auf Ihrem Gerät: Einstellungen (Design, Sprache, Kontoreihenfolge u. a.), das Sitzungs-Token und der Logo-Bildcache werden lokal auf Ihrem Gerät gespeichert (Ziffer 12) und können durch Deinstallation der App vollständig entfernt werden.

9. Sicherheit der Verarbeitung

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

– Transportverschlüsselung (TLS) für sämtliche Verbindungen zwischen App, Backend und Drittdiensten;

– zusätzliche anwendungsseitige Verschlüsselung (AES-256-GCM) für Bankkonto-, Transaktions-, Depot- und Daueraufträge/wiederkehrende-Zahlungen-Daten in der Datenbank — diese Daten liegen dort nicht im Klartext;

– Speicherung von Passwörtern und App-PINs ausschließlich als kryptografische Hashes;

– verschlüsselte Ablage von OAuth-Tokens und von Datenexport-Archiven;

– Schwärzung von Sitzungs- und Authentifizierungsmerkmalen in System- und Fehlerprotokollen;

– Filterung von Fehlerberichten im Programm vor dem Versand, sodass entfernte Daten das Gerät bzw. den Server nicht verlassen; automatisierte Prüfung dieser Filterregeln bei jeder Softwareänderung (Ziffer 4.12);

– Datenminimierung in internen Verarbeitungswarteschlangen (E-Mail-Versand ohne Ablage von Inhalten oder Adressen in Zwischenspeichern);

– rollenbasierte Zugriffskontrollen und protokollierte Administrationszugriffe;

– lokale Absicherung der App durch optionalen Sperrcode und Biometrie.

10. Ihre Rechte

Ihnen stehen die folgenden Rechte zu; zur Ausübung genügt eine formlose Mitteilung an [email protected]:

Auskunft (Art. 15 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO): Auf Anfrage erstellen wir einen vollständigen Export Ihrer Daten in einem strukturierten, gängigen, maschinenlesbaren Format (JSON und CSV) und stellen ihn Ihnen als zeitlich befristeten Download bereit. Die Bearbeitung erfolgt unverzüglich, spätestens innerhalb eines Monats.

Berichtigung (Art. 16 DSGVO): Profildaten (Name, E-Mail, Passwort) können Sie direkt in der App berichtigen. Von Ihrer Bank übermittelte Finanzdaten können wir inhaltlich nicht ändern; wenden Sie sich insoweit an Ihr kontoführendes Institut.

Löschung (Art. 17 DSGVO): per Self-Service in der App (Ziffer 8) oder über das Formular unter copreo.com/konto-loeschen. Löschanträge, die Sie uns per E-Mail übermitteln, durchlaufen dasselbe Verfahren nach Ziffer 8.

Einschränkung der Verarbeitung (Art. 18 DSGVO): auf Anfrage an [email protected].

Widerspruch (Art. 21 DSGVO): gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen.

Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Alle in Ziffer 4.2–4.5 genannten Einwilligungen können Sie in der App unter Einstellungen → Sicherheit & Datenschutz jederzeit einzeln widerrufen. Der Widerruf wirkt für die Zukunft; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Der Widerruf des Zwecks „Bankkonto-Zugriff“ führt dazu, dass alle Bankverbindungen getrennt, der Zugriff bei BANKSapi widerrufen und keine neuen Finanzdaten mehr abgerufen werden.

Beschwerde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

11. Automatisierte Kategorisierung; keine automatisierte Entscheidungsfindung

Die App kategorisiert Transaktionen und erkennt wiederkehrende Zahlungen automatisiert (nur bei Einwilligung, Ziffer 4.3–4.4), teilweise unter Einsatz von KI-Diensten. Diese Auswertungen dienen ausschließlich Ihrer Information; es findet keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO statt. Jede automatische Kategorisierung können Sie manuell ändern; Ihre manuelle Zuordnung hat stets Vorrang.

12. Lokale Speicherung auf Ihrem Gerät; keine Cookies zu Werbezwecken, kein Tracking

Die App verwendet keine Analyse-, Tracking- oder Werbedienste und zeigt keinen Cookie-Banner an, weil ausschließlich technisch notwendige Speichervorgänge stattfinden (§ 25 Abs. 2 Nr. 2 TDDDG):

– Sitzungs-Token zur Anmeldung (im sicheren Gerätespeicher / SecureStore; in der Web-Version als Cookie bzw. im Browser-Speicher, Laufzeit 30 Tage);

– Einstellungs-Flags (Design, Sprache, Onboarding-Status, Kontoreihenfolge, ausgeblendete Konten, Logo-Anzeige, Biometrie-Aktivierung u. a.) im lokalen Gerätespeicher;

– temporärer Verbindungsstatus während der Bank-Weiterleitung (nur Web-Version, wird nach Abschluss gelöscht);

– Bildcache für Händler-Logos auf dem Gerät;

– Absturzberichte: Im Fehlerfall werden die in Ziffer 4.12 genannten technischen Geräteangaben ausgelesen und übermittelt. Eine dauerhafte Kennung wird dafür auf Ihrem Gerät nicht gespeichert.

Diese lokalen Daten verlassen Ihr Gerät nicht (mit Ausnahme des Sitzungs-Tokens zur Authentifizierung gegenüber unserem Server und der Geräteangaben in Absturzberichten) und werden bei Deinstallation der App entfernt.

13. Keine Pflicht zur Bereitstellung; Erforderlichkeit

Die Bereitstellung von Name, E-Mail-Adresse und Passwort ist für die Registrierung erforderlich; ohne diese Angaben kann das Nutzerkonto nicht erstellt werden. Die Verbindung von Bankkonten ist für die Kernfunktion der App erforderlich, beruht aber auf Ihrer freiwilligen Einwilligung. Alle übrigen Angaben (Profilbild, PIN, Feedback usw.) sind freiwillig.

14. Besuch unserer Website copreo.com

Die Website https://copreo.com informiert über die App und stellt die Hilfe, das Bankverzeichnis, die Rechtstexte und das Formular zur Kontolöschung bereit. Ein Nutzerkonto oder Login gibt es auf der Website nicht. Wir setzen dort keine eigenen Cookies, keine Analyse-, Reichweitenmess-, Tracking- oder Werbedienste und keine Social-Media-Plugins ein; es werden keine Nutzungsprofile erstellt. Lediglich unser vorgelagerter Sicherheits- und CDN-Dienstleister Cloudflare kann technisch notwendige Sicherheits-Cookies setzen (Ziffer 14.3 und 14.8).

Für die Verarbeitung beim Besuch der Website ist ebenfalls die in Ziffer 1 genannte SpuhlerLabs UG (haftungsbeschränkt) verantwortlich. Die in Ziffer 10 beschriebenen Rechte, das Beschwerderecht bei der Aufsichtsbehörde und der Hinweis in Ziffer 11, dass keine automatisierte Entscheidungsfindung stattfindet, gelten für die Website entsprechend.

14.1 Hosting der Website

Die Website wird als statische Seite auf einem von uns angemieteten Server der Contabo GmbH, Aschauer Straße 32a, 81549 München, Deutschland (nachfolgend „Contabo“), betrieben. Der Server steht in einem Rechenzentrum in Deutschland. Wenn Sie die Website aufrufen, verarbeitet Contabo in unserem Auftrag die technischen Daten, die Ihr Browser übermittelt (Ziffer 14.2).

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und effizienten Bereitstellung unseres Online-Angebots (Art. 6 Abs. 1 lit. f DSGVO). Mit Contabo besteht ein Vertrag über Auftragsverarbeitung gemäß Art. 28 DSGVO.

14.2 Server-Logfiles

Bei jedem Aufruf der Website erfasst unser Server automatisch Informationen, die Ihr Browser übermittelt: die IP-Adresse des anfragenden Geräts, Datum und Uhrzeit des Zugriffs, die aufgerufene Seite bzw. Datei, die übertragene Datenmenge und die Meldung über den erfolgreichen Abruf, die Referrer-URL (zuvor besuchte Seite), sofern übermittelt, sowie Browsertyp, Browserversion und Betriebssystem.

Diese Daten werden verarbeitet, um die Auslieferung der Website zu ermöglichen, die Systemsicherheit und -stabilität zu gewährleisten und Missbrauch (z. B. Angriffe) abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem technisch fehlerfreien und sicheren Betrieb).

Die Logfiles werden in der Regel nach spätestens 7 Tagen automatisch gelöscht. Eine längere Speicherung einzelner Daten ist möglich, sofern dies zur Aufklärung oder Abwehr eines konkreten Missbrauchs- oder Angriffsfalls erforderlich ist (längstens 30 Tage). Eine Zusammenführung dieser Daten mit anderen Datenquellen zur Identifizierung Ihrer Person nehmen wir nicht vor.

14.3 Content-Delivery-Network und DNS (Cloudflare)

Zur sicheren und leistungsfähigen Bereitstellung der Website nutzen wir Dienste der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (nachfolgend „Cloudflare“). Cloudflare stellt für uns die DNS-Auflösung sowie einen vorgelagerten Reverse-Proxy bzw. ein Content-Delivery-Network (CDN) bereit. Dadurch wird der Datenverkehr zwischen Ihrem Browser und unserem Server über die Infrastruktur von Cloudflare geleitet.

In diesem Zusammenhang verarbeitet Cloudflare technische Verbindungsdaten, insbesondere Ihre IP-Adresse, um Inhalte auszuliefern, die Verbindung per TLS zu verschlüsseln und die Website vor Angriffen (z. B. DDoS) und Missbrauch zu schützen. Zu diesem Zweck kann Cloudflare technisch notwendige Sicherheits-Cookies auf Ihrem Endgerät setzen (Ziffer 14.8). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht in der Sicherheit, Verfügbarkeit und Auslieferungsgeschwindigkeit der Website.

Cloudflare hat seinen Sitz in den USA, sodass eine Übermittlung personenbezogener Daten in die USA stattfinden kann. Cloudflare, Inc. ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert; Grundlage der Übermittlung ist daher der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 gemäß Art. 45 DSGVO. Ergänzend hat Cloudflare EU-Standardvertragsklauseln als geeignete Garantie im Sinne von Art. 46 DSGVO abgeschlossen, die als Grundlage fortbestehen, sollte die DPF-Zertifizierung entfallen. Mit Cloudflare besteht zudem ein Vertrag über Auftragsverarbeitung nach Art. 28 DSGVO. Weitere Informationen finden Sie unter cloudflare.com/de-de/privacypolicy.

14.4 Kontaktformular und Kontaktaufnahme per E-Mail

Auf der Hilfe-Seite bieten wir ein Kontaktformular an. Wenn Sie es nutzen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um Ihre Anfrage zu bearbeiten und zu beantworten. Zur Abwehr von Spam und Missbrauch verarbeitet unser Mailserver zusätzlich Ihre IP-Adresse sowie Datum und Uhrzeit der Absendung; außerdem enthält das Formular ein für Menschen unsichtbares Kontrollfeld, dessen Ausfüllen die Nachricht automatisch als Spam kennzeichnet.

Technischer Ablauf: Die Formulardaten werden nicht in einer Datenbank auf der Website gespeichert, sondern über unseren selbst betriebenen Mailserver (Stalwart, gehostet bei Contabo in Deutschland) unmittelbar als E-Mail an unser Support-Postfach zugestellt. Eine Weitergabe an weitere Dritte erfolgt nicht.

Rechtsgrundlage ist unser berechtigtes Interesse an der Entgegennahme und Beantwortung Ihrer Anfrage in Ihrem Sinne (Art. 6 Abs. 1 lit. f DSGVO). Zielt Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrags ab, ist zusätzlich Art. 6 Abs. 1 lit. b DSGVO Rechtsgrundlage. Alternativ können Sie uns direkt per E-Mail an [email protected] kontaktieren; dann verarbeiten wir die mit der E-Mail übermittelten Daten zur Bearbeitung Ihres Anliegens.

Speicherdauer: Wir speichern Ihre Anfrage, bis diese abschließend bearbeitet ist und keine Gründe für eine weitere Aufbewahrung mehr bestehen. Anschließend werden die Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der auf berechtigte Interessen gestützten Verarbeitung können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen (Ziffer 10).

14.5 Formular zur Kontolöschung

Unter copreo.com/konto-loeschen können Sie die Löschung Ihres Copreo-Kontos auch ohne installierte App beantragen. Dabei verarbeiten wir die von Ihnen eingegebene E-Mail-Adresse, den Zeitpunkt des Antrags sowie zur Abwehr automatisierter Missbrauchsversuche ein unsichtbares Kontrollfeld, die Bearbeitungszeit des Formulars und – für eine zeitlich begrenzte Begrenzung der Anfragen je Verbindung – Ihre IP-Adresse.

Der Antrag wird an unser App-Backend (Netcup GmbH, Rechenzentrum in Deutschland, Ziffer 6.2) übermittelt. Existiert ein Konto mit der angegebenen Adresse, senden wir Ihnen eine E-Mail mit einem 30 Minuten gültigen Bestätigungslink; erst mit dessen Aufruf beginnt das in Ziffer 8 beschriebene Löschverfahren. Ob ein Konto zu der Adresse existiert, wird auf der Website nicht angezeigt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 12 und 17 DSGVO (Erfüllung Ihres Löschungsrechts) sowie, für die Missbrauchsabwehr, Art. 6 Abs. 1 lit. f DSGVO. Nicht bestätigte Anträge werden nach Ablauf des Bestätigungslinks nicht weiterverarbeitet.

14.6 Abrufe von unserem App-Backend

Einzelne Inhalte der Website werden beim Seitenaufruf durch Ihren Browser von unserem App-Backend unter app.copreo.app geladen: auf der Startseite die aktuellen Zahlen zur Testphase (verfügbare Plätze) und im Bankverzeichnis die Logos einzelner Banken. Bei diesen Abrufen erhält unser Backend-Server (Netcup GmbH, Rechenzentrum in Deutschland) die in Ziffer 14.2 genannten technischen Daten, insbesondere Ihre IP-Adresse. Es werden dabei keine Cookies gesetzt und keine Kennungen vergeben; die Abrufe werden nicht mit einem Nutzerkonto verknüpft.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung aktueller Inhalte ohne Einsatz externer Dienstleister). Die Liste der unterstützten Banken selbst wird bereits beim Erstellen der Website abgerufen und statisch ausgeliefert; dabei werden keine personenbezogenen Daten verarbeitet.

14.7 Schriftarten, Symbole und Links zu den App-Stores

Die auf der Website verwendete Schriftart Fraunces wird lokal von unserem eigenen Server ausgeliefert; für den übrigen Text werden die Systemschriften Ihres Geräts verwendet. Symbole sind fest in die Seite eingebettet. Es besteht dabei keine Verbindung zu Servern Dritter (insbesondere nicht zu Google Fonts oder externen Icon-Diensten).

Die Website enthält Links zum Apple App Store und zu Google Play. Es handelt sich um reine Verweise ohne eingebettete Inhalte; erst wenn Sie einen Link anklicken, werden Daten an Apple bzw. Google übermittelt, die insoweit eigenständig Verantwortliche sind. Auf iPhones und iPads kann Safari aufgrund einer Kennzeichnung im Quelltext einen Hinweis auf die App im App Store einblenden (Smart App Banner); die Darstellung erfolgt durch den Browser selbst, wir erhalten dabei keine Daten.

14.8 Cookies auf der Website

Wir setzen auf der Website keine eigenen Cookies und keine Analyse-, Reichweitenmess-, Tracking- oder Werbe-Cookies ein. Es werden keine Nutzungsprofile erstellt. Die Website benötigt daher keinen Cookie-Banner.

Technisch bedingt kann unser vorgelagerter Dienstleister Cloudflare (Ziffer 14.3) im Rahmen seiner Sicherheitsfunktionen folgende Cookies auf Ihrem Endgerät speichern: „__cf_bm“ – Erkennung und Abwehr von automatisiertem Datenverkehr (Bot-Management), Speicherdauer 30 Minuten nach der letzten Aktivität, ohne Bezug zu einer Nutzerkennung und ohne seitenübergreifende Nachverfolgung; „cf_clearance“ – speichert, dass eine Sicherheitsüberprüfung (z. B. eine JavaScript- oder Captcha-Challenge) bestanden wurde, um wiederholte Prüfungen zu vermeiden, Speicherdauer für die konfigurierte Gültigkeitsdauer der Sicherheitsfreigabe.

Diese Cookies dienen ausschließlich der Sicherheit und dem störungsfreien Betrieb der Website und sind für deren Bereitstellung unbedingt erforderlich. Sie sind daher technisch notwendig im Sinne des § 25 Abs. 2 Nr. 2 TDDDG, sodass für ihre Speicherung keine Einwilligung erforderlich ist. Rechtsgrundlage für die damit verbundene Verarbeitung personenbezogener Daten ist Art. 6 Abs. 1 lit. f DSGVO. Sie können das Speichern von Cookies über die Einstellungen Ihres Browsers steuern oder bereits gesetzte Cookies löschen; bei Deaktivierung technisch notwendiger Sicherheits-Cookies kann es sein, dass die Website nicht oder nicht vollständig erreichbar ist.

14.9 Empfänger und Datensicherheit auf der Website

Für den Betrieb der Website sind als Auftragsverarbeiter im Sinne des Art. 28 DSGVO eingebunden: Contabo GmbH, München (Hosting der Website und des Mailservers, Deutschland); Cloudflare, Inc., USA (DNS, Reverse-Proxy/CDN); Netcup GmbH, Karlsruhe (Hosting des App-Backends, das das Löschformular und die in Ziffer 14.6 genannten Abrufe bedient, Deutschland). Darüber hinaus geben wir beim Besuch der Website erhobene Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Die Website ist ausschließlich über eine mit TLS (Transport Layer Security) verschlüsselte Verbindung erreichbar, erkennbar am „https://“ in der Adresszeile Ihres Browsers. Auch die Verbindungen zu unserem Mailserver und zu unserem App-Backend sind TLS-verschlüsselt.

15. Sprachfassungen; Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird in deutscher und englischer Sprache bereitgestellt. Maßgeblich ist die deutsche Fassung; die englische Fassung dient nur der Information.

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitungen ändern (z. B. neue Funktionen oder Dienstleister). Die jeweils aktuelle Fassung ist in der App und unter https://copreo.com/de/datenschutz/ abrufbar. Frühere Fassungen finden Sie unter https://copreo.com/de/datenschutz/versionen/. Bei wesentlichen Änderungen informieren wir Sie in der App und per E-Mail.