Die sensibelsten Unterlagen eures Haushalts. Entsprechend geschützt.
Steuerbescheide, Gehaltsabrechnungen, Kontodaten: Bis jemand an ein Dokument kommt, liegen mehrere Schichten dazwischen. Hier steht, was jede davon leistet.
Von außen nach innen. Jede Schicht steht unten mit dem, was sie tut.
Was dahintersteckt.
Ein eigener Schlüssel je Kundenkonto
Dokumente, Vorschaubilder, IBANs, Vertrags- und Kundennummern sowie Zugangsdaten werden mit AES-256-GCM verschlüsselt – mit einem Schlüssel, der nur zu eurem Konto gehört. Er liegt selbst verschlüsselt vor; der Hauptschlüssel dazu liegt getrennt von der Datenbank.
Server in Deutschland
Hafino läuft in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum in Deutschland. Auch die Texterkennung für Fotos und Scans läuft dort. Verbindungen sind ausschließlich über HTTPS möglich.
Kunden sind streng getrennt
Die Trennung erzwingt die Datenbank selbst, nicht nur der Programmcode: Auch ein Fehler in einer Abfrage liefert keine Daten eines anderen Kunden. Innerhalb eures Kontos sind eure Haushalte getrennt, etwa der eurer Eltern von eurem.
Wer im Haushalt was sieht
Jede Person hat einen eigenen Zugang. Jeder Eintrag ist für den ganzen Haushalt oder nur für dich sichtbar; Bank-Zugangsdaten sieht nur, wer sie eingetragen hat. Wer Hafino betreibt, pflegt Konten und Tarife in einem getrennten Bereich – ohne Einblick in eure Inhalte.
Anmeldung mit Passkey
Als zweiter Faktor dienen Passkeys oder eine Authenticator-App, dazu Wiederherstellungscodes. Anmeldeversuche sind begrenzt, Sitzungen lassen sich einzeln beenden.
Schutz vor Angriffen
Vorgeschaltet fängt Cloudflare Überlastungsangriffe und automatisierte Zugriffe ab. Hochgeladene Dateien werden auf ihren tatsächlichen Dateityp geprüft, Vorschaubilder neu erzeugt – ohne versteckte Metadaten wie den Aufnahmeort.
Ein Protokoll, das niemand umschreibt
Anmeldungen, Dokumentzugriffe, Exporte und wichtige Änderungen stehen in einem Protokoll, das sich nachträglich nicht ändern lässt – auch nicht von uns. Gelöscht wird es nur nach festen Fristen.
Sicherungen, die geprüft werden
Jede Nacht eine Sicherung, zusätzlich verschlüsselt an einem getrennten Ort. Ein automatischer Test spielt jede Woche eine Sicherung zurück und meldet, ob alles vollständig ist.
KI: was sie sieht und was nicht
Beim Einordnen geht nur der erkannte Text eines Dokuments an Claude von Anthropic, Namen und Nummern vorher durch Platzhalter ersetzt. Übernommen wird nichts ohne eure Bestätigung, und abschalten lässt sich die KI jederzeit. Im Einzelnen
Keine Werbung, kein Tracking
Keine Analyse-Werkzeuge, keine Werbenetzwerke, kein Datenverkauf. Alles lässt sich jederzeit exportieren: Dokumente im Original, der Rest als JSON und CSV.
Löschen heißt löschen – mit festen Fristen.
Was ihr löscht oder was nicht mehr gebraucht wird, entfernt ein Job jede Nacht endgültig. Die Fristen sind fest eingestellt, nicht von Hand gepflegt.
Das ganze Konto löschen
Inhaberinnen und Inhaber löschen es selbst unter Einstellungen → Tenant. Innerhalb von 14 Tagen lässt sich das zurücknehmen und ein Export herunterladen, dann ist alles weg: Haushalte, Dokumente samt Dateien, Verträge, Buchungen, Zugänge, Protokoll – und der Schlüssel. Ein laufendes Abo endet zum Ende der bezahlten Zeit.
Nur das eigene Benutzerkonto
Jede Person kann ihren Zugang im Profil löschen. Er ist sofort gesperrt und in der folgenden Nacht gelöscht, zusammen mit den Einträgen „nur für mich“. Was für den ganzen Haushalt angelegt wurde, bleibt dem Haushalt.
Und die Sicherungen?
Die täglichen Sicherungen laufen aus: lokal nach 14 Tagen, außer Haus nach spätestens 6 Monaten. Bis dahin stecken gelöschte Daten noch darin – die Dokumente eines gelöschten Kontos aber nicht mehr lesbar, weil ihr Schlüssel vernichtet ist.
| Was | Endgültig gelöscht nach |
|---|---|
| Konto (auf Antrag) | 14 Tagen |
| Benutzerkonto (auf Antrag) | der folgenden Nacht |
| Papierkorb: Einträge und Haushalte | 30 Tagen |
| Protokoll: IP-Adresse und Browser | 90 Tagen |
| Protokoll: Einträge | 2 Jahren |
| Protokoll des E-Mail-Postfachs | 12 Monaten |
| Gelesene Benachrichtigungen | 90 Tagen |
| Nicht angenommene Einladungen | 30 Tagen nach Ablauf |
| Warteliste | 6 Monaten nach der Einladung, sonst 2 Jahren |
| Sicherungen | 14 Tagen lokal, bis 6 Monaten außer Haus |
Details zur Verarbeitung personenbezogener Daten stehen in der Datenschutzerklärung.