Datenschutzerklärung

Stand: September 2026

1. Verantwortlicher

Markus Leprich
Ruprechtstraße 26
46049 Oberhausen
E-Mail: [email protected]

2. Überblick

Diese Erklärung unterscheidet zwei Fälle: den Besuch der öffentlichen Seiten unter https://hafino.de und die Nutzung der Anwendung Hafino mit einem Konto. Die öffentlichen Seiten setzen keine Cookies und binden keine Analyse- oder Werbedienste ein. Schriftarten und Skripte liegen auf unserem eigenen Server.

3. Hosting und Server-Protokolle

Hafino läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in einem Rechenzentrum in Nürnberg. Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Bei jedem Aufruf speichert der Server technisch notwendige Angaben: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserkennung. Sie dienen dem sicheren Betrieb und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Server-Protokolle sind in ihrer Größe begrenzt; ältere Einträge werden laufend überschrieben.

4. Cloudflare

Zum Schutz vor Überlastungsangriffen und automatisierten Zugriffen laufen alle Verbindungen über Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Cloudflare verarbeitet dabei IP-Adresse und technische Verbindungsdaten und entschlüsselt die Verbindung, um sie prüfen zu können. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert.

5. Cookies

Die öffentlichen Seiten setzen keine Cookies. Nach der Anmeldung verwendet die Anwendung nur technisch notwendige Cookies für die Sitzung und den Schutz vor gefälschten Anfragen (§ 25 Abs. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich.

6. Nutzerkonto und Inhalte

Für ein Konto verarbeiten wir E-Mail-Adresse, Anzeigename, Passwort (nur als Hash), Anmeldemerkmale für Passkeys und Authenticator-Apps sowie freiwillige Angaben im Profil. Dazu kommen die Inhalte, die ihr in Hafino ablegt: Dokumente, Verträge, Buchungen, Einkommen, Kontakte, Termine und weitere Daten eures Haushalts. Rechtsgrundlage ist die Bereitstellung der Anwendung (Art. 6 Abs. 1 lit. b DSGVO).

Dokumente, IBANs, Vertrags- und Kundennummern sowie Bank-Zugangsdaten werden mit einem Schlüssel verschlüsselt, der nur zu eurem Kundenkonto gehört. Anmeldungen und wichtige Änderungen werden in einem Protokoll festgehalten. Die Daten werden gespeichert, bis ihr sie oder euer Konto löscht.

Löschen und Fristen. Inhaberinnen und Inhaber löschen das ganze Konto unter Einstellungen → Tenant; nach 14 Tagen, in denen sich das zurücknehmen lässt, werden alle Daten, Dateien und der Schlüssel endgültig gelöscht. Einzelne Personen löschen ihr Benutzerkonto im Profil; es wird in der folgenden Nacht gelöscht, zusammen mit ihren privaten Einträgen. Daneben gelten feste Fristen:

• Gelöschte Einträge und Haushalte: nach 30 Tagen im Papierkorb endgültig gelöscht.
• Protokoll: IP-Adresse und Browserkennung nach 90 Tagen entfernt, Einträge nach 2 Jahren gelöscht.
• Protokoll des E-Mail-Postfachs nach 12 Monaten, gelesene Benachrichtigungen nach 90 Tagen gelöscht.
• Nicht angenommene Einladungen 30 Tagen nach Ablauf gelöscht; Warteliste 6 Monaten nach der Einladung, ohne Einladung nach 2 Jahren.
• Sicherungen: täglich, lokal 14 Tage, verschlüsselt außer Haus bis zu 6 Monate. Gelöschte Daten verschwinden aus den Sicherungen mit deren Ablauf; Dokumente eines gelöschten Kontos sind darin schon vorher nicht mehr lesbar, weil ihr Schlüssel vernichtet ist.
• Rechnungen und Zahlungsdaten bei Stripe bewahren wir nach den handels- und steuerrechtlichen Fristen auf (bis zu 10 Jahre).

7. KI-Einordnung von Dokumenten

Um hochgeladene Dokumente einzuordnen, übermittelt Hafino den auf unserem Server erkannten Text – bei schlecht lesbaren Fotos auch ein Bild der ersten Seite – an Anthropic PBC, San Francisco, USA (Dienst „Claude“). Im Modus „Vertraulich“ werden nur kurze Textausschnitte und keine Bilder übermittelt. Anthropic verarbeitet die Daten in unserem Auftrag und verwendet sie nach eigenen Angaben nicht zum Training seiner Modelle. Die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln. Rechtsgrundlage ist die Bereitstellung der Anwendung (Art. 6 Abs. 1 lit. b DSGVO).

8. E-Mails und Benachrichtigungen

E-Mails (Einladungen, Passwort-Zurücksetzen, Erinnerungen) versenden wir über den Mailserver von Hetzner. Wenn ihr Push-Benachrichtigungen aktiviert, werden diese verschlüsselt über den Push-Dienst eures Browsers bzw. Betriebssystems zugestellt (etwa Google, Apple oder Mozilla).

9. Eure Rechte

Ihr habt das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Einen vollständigen Export eurer Daten könnt ihr in Hafino jederzeit selbst erstellen. Für alle Anliegen genügt eine E-Mail an die oben genannte Adresse.

Außerdem könnt ihr euch bei einer Datenschutz-Aufsichtsbehörde beschweren, etwa bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf.