Datenschutzerklärung

1. Verantwortliche Stelle

Alexander Seibold
Einzelunternehmen
Lohningerweg 44
8240 Thayngen
Schweiz

E-Mail: info@batzi.ch

2. Grundsätze

Wir bearbeiten Personendaten im Einklang mit dem Schweizer Datenschutzgesetz (DSG). Wir erheben nur die Daten, die für den Betrieb der App nötig sind, und geben sie nicht an Dritte weiter, es sei denn, es ist in dieser Erklärung beschrieben.

Wofür diese Erklärung gilt: Batzi richtet sich an Haushalte in der Schweiz. Der Anbieter hat weder Sitz noch Niederlassung in der EU, rechnet ausschliesslich in Schweizer Franken ab und bewirbt das Angebot nicht in EU-Staaten. Massgebend ist deshalb das Schweizer DSG, und wir haben keine Vertretung in der EU nach Art. 27 DSGVO bestellt. Nutzt du Batzi aus dem EU-Ausland, behandeln wir deine Anfragen zu Auskunft, Berichtigung, Löschung, Herausgabe und Widerspruch gleichwertig zu den Rechten nach Ziffer 11, ohne dass wir damit die Anwendbarkeit der DSGVO anerkennen.

Warum es Batzi in zehn Sprachen gibt: Gut ein Viertel der Menschen, die in der Schweiz leben, hat keinen Schweizer Pass. Batzi gibt es deshalb neben Deutsch, Französisch und Italienisch auch auf Englisch, Spanisch, Portugiesisch, Albanisch, Serbisch, Türkisch und Ukrainisch. Das sind die Sprachen der grössten Bevölkerungsgruppen im Inland, damit auch wer kein Deutsch spricht das eigene Haushaltsbudget versteht. Vier davon, nämlich Albanisch, Serbisch, Türkisch und Ukrainisch, gehören zu Ländern ausserhalb der EU. Sprachen, die für ein EU-Angebot naheliegend wären, hier aber nur kleine Bevölkerungsgruppen betreffen, etwa Polnisch, Niederländisch oder Rumänisch, bieten wir bewusst nicht an. Die Sprachauswahl ist also ein Angebot an Menschen mit Wohnsitz in der Schweiz und keine Ausrichtung auf ausländische Märkte.

3. Welche Personendaten wir bearbeiten

• Registrierung: Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Schlüssel deiner Zwei-Faktor-Anmeldung und deine Backup-Codes (verschlüsselt gespeichert). Richtest du einen Passkey ein, speichern wir dessen öffentlichen Schlüssel, eine Kennung, einen Zähler gegen Kopien und den von dir gewählten Namen; der private Schlüssel bleibt auf deinem Gerät.
• Zahlung: Die Zahlungsabwicklung erfolgt über Stripe. Wir speichern nur eine Stripe-Kunden-ID und den Zahlungsstatus. Kreditkartendaten werden ausschliesslich von Stripe verarbeitet.
• Nutzung der App: Budget-Daten, die du selbst eingibst: Haushaltsnamen, Personennamen und Einkommen, Konten, Budget-Posten (Kategorie, Betrag, Frequenz, Aufteilung), tatsächliche Ausgaben, Sparziele, sowie daraus berechnete Zusammenfassungen (Snapshots).
• Kontoauszüge, die du hochlädst: Buchungsdatum, Betrag, Währung und die Richtung der Buchung, also Ausgabe, Gutschrift oder Eigenübertrag. Vom Buchungstext behalten wir nur einen kurzen Namen der Gegenpartei, höchstens drei Wörter und keine Ziffern, dazu die zugeordnete Kategorie und einen Prüfwert, an dem wir dieselbe Buchung bei einem zweiten Import wiedererkennen. Dazu der Zeitraum des Auszugs und der Dateiname, aus dem wir Konto- und IBAN-Nummern vorher entfernen. Merkt sich die App eine Zuordnung als Regel, speichern wir den Namen dafür nicht im Klartext, sondern nur seinen Prüfwert. Eine solche Regel entsteht nur, wenn du beim Übernehmen zustimmst. Für den Kategorievorschlag vergleichen wir den Namen zusätzlich mit einer von uns gepflegten Liste bekannter Schweizer Unternehmen; sie enthält keine Privatpersonen und keine Gesundheitsanbieter, lernt nichts aus deinen Daten und wird nicht mit anderen Haushalten geteilt. Liefert deine Bank die Buchungsart mit, nutzen wir sie nur in der Vorschau und speichern sie nicht. Den Verwendungszweck speichern wir nicht. Er wird bereits in der Vorschau verworfen. Diese Daten stammen ausschliesslich aus der Datei, die du selbst hochlädst, sie werden erst gespeichert, wenn du die Vorschau bestätigt hast, und der Import setzt deine ausdrückliche Einwilligung voraus.
• Berechnetes Sparpotenzial: Nutzt du die Vergleichsrechner, speichern wir den errechneten Betrag, den du pro Monat sparen könntest, dazu den Zeitpunkt der Berechnung und einen kurzen Prüfwert, mit dem wir eine unveränderte Neuberechnung erkennen. Gespeichert wird nur, wo ein Wechsel wirklich möglich ist; das ist heute allein die Krankenkasse. Standortgebundene Vergleiche (Steuern, Miete, Strom, Nebenkosten) und die Modellrechnungen zu Pendlerkosten und Hypothek legen wir nicht ab. Deine Eingaben in den Rechner selbst speichern wir ebenfalls nicht.
• Geteilter Haushalt: Teilst du einen Haushalt, speichern wir, wer Mitglied ist und mit welcher Rolle (Eigentümer, Bearbeiter oder Mitleser), dazu den Zeitpunkt des Beitritts. Für eine Einladung speichern wir ein zufälliges Token, die vorgesehene Rolle, den Ablaufzeitpunkt und, falls du sie einträgst, die E-Mail-Adresse der eingeladenen Person. Erfasst du bei einer Ausgabe, wer sie bezahlt hat, speichern wir diese Zuordnung ebenfalls; sie ist die Grundlage des Ausgleichs.
• Technische Daten: Bei jeder Anmeldung speichern wir IP-Adresse und User-Agent zur Sicherung deines Kontos (Session-Verwaltung). Sicherheitsrelevante Ereignisse an deinem Konto (Anmeldung mit zweitem Faktor oder Passkey, neue Backup-Codes, Passwortänderung, Passkey hinzugefügt oder entfernt, Geräte abgemeldet, Wiederherstellungsantrag) protokollieren wir mit Zeitpunkt, IP-Adresse und Browserkennung, zeigen sie dir in den Einstellungen und löschen sie nach 180 Tagen. Beantragst du die Wiederherstellung deiner Zwei-Faktor-Anmeldung, speichern wir den Antrag mit Status, Fristende, IP-Adresse und Browserkennung, bis er erledigt ist.
• E-Mail-Versand: Deine E-Mail-Adresse wird für Passwort-Reset-Mails und, sofern du es aktivierst, für Benachrichtigungen (z.B. Budget-Erinnerungen) verwendet. Der Versand erfolgt über Brevo (ehemals Sendinblue), ein DSGVO-konformer E-Mail-Dienst mit Servern in der EU.
• Push-Benachrichtigungen: Wenn du Push-Benachrichtigungen aktivierst, speichern wir einen technischen Endpunkt (Push-Subscription) und kryptografische Schlüssel, die dein Browser bereitstellt. Sie enthalten weder deinen Namen noch deine E-Mail-Adresse, kennzeichnen aber deinen Browser auf diesem Gerät, und sie dienen ausschliesslich dem Versand von Benachrichtigungen (Einzelheiten in Ziffer 7). Du kannst sie jederzeit in den App-Einstellungen oder in deinen Browser-Einstellungen deaktivieren.
• Feedback: Wenn du uns über die App Feedback sendest, speichern wir deinen Text und, sofern du sie beifügst, einen Screenshot und eine kurze Bildschirmaufnahme. Diese Anhänge liegen auf demselben Schweizer Server wie die übrigen Daten und werden ausschliesslich zur Bearbeitung deiner Meldung verwendet. Bitte achte darauf, was auf einem Screenshot sichtbar ist.

Erkennt Batzi das Format deiner Datei nicht, kannst du uns freiwillig die Kopfzeile und zwei Beispielzeilen mit überschriebenen Beträgen senden, damit wir deine Bank ergänzen können. Was gesendet wird, siehst du vorher im Wortlaut. Ohne diesen ausdrücklichen Klick verlässt nichts davon deinen Browser, und die Datei selbst wird auch in diesem Fall nicht gespeichert.

4. Zweck der Datenbearbeitung

• Bereitstellung und Betrieb der Budget-App
• Gemeinsame Führung eines Haushalts mit Personen, die du selbst einlädst (siehe Ziffer 4a)
• Authentifizierung und Kontosicherheit
• Zahlungsabwicklung (Abonnement)
• Kommunikation (Passwort-Reset, optionale Benachrichtigungen)
• Automatisierte Hinweise zu deinem Budget (siehe Ziffer 12)
• Anonymisierte, aggregierte Statistik über Schweizer Haushaltsbudgets (siehe Ziffer 13)
• Messung der Werbewirksamkeit und Analyse des Nutzerverhaltens (nur nach deiner ausdrücklichen Zustimmung via Cookie-Banner)

Für andere Zwecke bearbeiten wir deine Daten nicht. Wir verkaufen keine Personendaten, vermieten keine Adressen, blenden in der App keine Fremdwerbung ein und erstellen keine Profile für Dritte. Werbung schalten wir ausschliesslich in eigener Sache, um Batzi bekannt zu machen; gemessen wird sie nur, wenn du im Cookie-Banner zugestimmt hast.

4a. Wenn du einen Haushalt teilst

Du kannst einen Haushalt mit weiteren Personen teilen, damit ein Paar oder eine Wohngemeinschaft dieselben Zahlen führt, ohne einen Login zu teilen. Das geschieht nur, wenn du es selbst auslöst: über eine Einladung, die du erzeugst und weitergibst. Wer die Einladung annimmt, wird Mitglied deines Haushalts. Du siehst jederzeit, wer Mitglied ist, und kannst jedes Mitglied wieder entfernen.

Die Einladung selbst besteht aus einem zufälligen Link mit begrenzter Gültigkeit. Sie lässt sich nur mit einem angemeldeten Konto einlösen und jederzeit zurückziehen. Trägst du beim Einladen eine E-Mail-Adresse ein, dient sie ausschliesslich deiner eigenen Übersicht und ist keine Bedingung beim Einlösen. Verlässt du einen Haushalt oder wirst du entfernt, endet dein Zugriff sofort; die bereits erfassten Zahlen bleiben beim Haushalt.

5. Drittdienste und Datenübermittlung ins Ausland

Stripe (Zahlungsabwicklung)

Stripe Inc., USA. Stripe ist nach dem Swiss-U.S. Data Privacy Framework zertifiziert. Es werden nur die für die Zahlung nötigen Daten übermittelt.

Datenschutzerklärung von Stripe

Brevo (E-Mail-Versand)

Brevo (ehemals Sendinblue), Frankreich/EU. Wird für den Versand von Passwort-Reset-Mails, Verifizierungs-Mails und E-Mail-Benachrichtigungen verwendet. Brevo ist DSGVO-konform und verarbeitet die Daten in der EU. Es werden ausschliesslich deine E-Mail-Adresse und der E-Mail-Inhalt übermittelt.

Datenschutzerklärung von Brevo

Meta Pixel (Werbung)

Meta Platforms Ireland Ltd. Wir setzen das Meta-Pixel ein, um die Wirksamkeit unserer Werbeanzeigen auf Instagram und Facebook zu messen. Das Pixel wird nur nach deiner ausdrücklichen Zustimmung (Cookie-Banner) geladen. Es erfasst pseudonymisierte Nutzungsdaten wie Seitenaufrufe und Kaufabschlüsse. Meta kann diese Daten mit deinem Meta-Profil verknüpfen.

Serverseitige Kaufmessung (Conversions API): Kaufst du den Premium-Zugang und hast du zuvor Werbe-Cookies erlaubt, meldet unser Server den Kaufabschluss zusätzlich direkt an Meta. Übermittelt werden dabei deine E-Mail-Adresse in irreversibel gehashter Form (SHA-256), deine IP-Adresse, dein Browser-Kennzeichen (User-Agent), die Meta-Cookiewerte sowie Betrag und Währung. Zweck ist ausschliesslich, denselben Kauf nicht doppelt zu zählen und die Wirksamkeit unserer Werbung zu messen. Ohne deine Werbe-Einwilligung findet diese Übermittlung nicht statt, auch nicht in gehashter Form. Der Kauf selbst funktioniert davon völlig unabhängig.

Datenschutzerklärung von Meta

Google Analytics 4 (Analyse)

Google Ireland Ltd. Wir nutzen Google Analytics 4 zur Analyse der Website-Nutzung. GA4 wird nur nach deiner ausdrücklichen Zustimmung (Cookie-Banner) geladen. IP-Adressen werden anonymisiert. Google kann die Daten auf Servern in den USA verarbeiten (Standardvertragsklauseln).

Datenschutzerklärung von Google

Hinweis zu Übermittlungen ins Ausland: Die genannten Dienste verarbeiten Daten teilweise in Ländern, deren Datenschutzniveau nicht dem schweizerischen entspricht, insbesondere in den USA. Wir stützen diese Übermittlungen auf Standardvertragsklauseln bzw. auf das Swiss-U.S. Data Privacy Framework. Trotzdem lässt sich nicht ausschliessen, dass Behörden des betreffenden Landes, etwa Nachrichtendienste, auf diese Daten zugreifen, und dass sich deine Rechte dort nicht gleich wirksam durchsetzen lassen wie in der Schweiz. Deine Budget-Daten sind davon nicht betroffen: gespeichert werden sie ausschliesslich in der Schweiz. Ins Ausland gehen nur die Beträge, die in einer von dir eingeschalteten E-Mail-Erinnerung stehen, und zwar an Brevo in der EU, deren Datenschutzniveau der Bundesrat als angemessen anerkennt.

Auftragsbearbeitung (Art. 9 DSG): Infomaniak (Hosting), Brevo (E-Mail-Versand) und Stripe (Zahlung) bearbeiten Daten für uns und nach unseren Weisungen. Mit allen dreien bestehen die dafür nötigen Vereinbarungen zur Auftragsbearbeitung, sie dürfen die Daten nicht für eigene Zwecke verwenden und keine weiteren Unterbeauftragten ohne unsere Zustimmung beiziehen. Stripe verarbeitet die Kartendaten zusätzlich in eigener Verantwortung, soweit das für Betrugsabwehr und aufsichtsrechtliche Pflichten nötig ist.

Bei Meta und Google ist das anders, und wir sagen es offen: Für die Werbemessung sind diese beiden keine reinen Auftragsbearbeiter, sondern verfolgen mit den erhobenen Daten auch eigene Zwecke. Wir können ihnen dort keine Weisungen erteilen. Genau deshalb werden beide ausschliesslich nach deiner ausdrücklichen Einwilligung geladen, sind einzeln abwählbar und jederzeit widerrufbar. Auf deine Budget-Daten hat keiner von beiden je Zugriff.

Für den Import deiner Kontoauszüge kommt kein weiterer Dienstleister hinzu. Weder die oben genannten Anbieter noch ein Kontodaten-Aggregator noch sonst ein Dritter erhält Zugriff auf die Datei oder die daraus übernommenen Buchungen. Die Verarbeitung findet vollständig auf unserem eigenen Server statt.

Für die Umrechnung von Buchungen in Fremdwährung holt unser Server die Monatsmittelkurse der Schweizerischen Nationalbank (data.snb.ch). Diese Anfrage enthält keine Angaben über dich: weder Beträge noch Währungen noch eine Kennung. Die Tabelle wird als Ganzes geladen und 24 Stunden zwischengespeichert.

6. Cookies und lokale Speicherung

Für die anonyme Nutzungsstatistik setzen wir Umami ein, ein datenschutzfreundliches Analyse-Tool. Umami setzt keine Cookies, speichert keine IP-Adressen und erhebt keine personenbezogenen Daten. Es wird auf unserem eigenen Server in der Schweiz betrieben.

Zusätzlich setzen wir nach deiner Zustimmung (Cookie-Banner) Tracking-Cookies von Meta (Facebook/Instagram Pixel) und Google (Analytics 4) ein. Diese dienen der Messung der Werbewirksamkeit und der Analyse des Nutzerverhaltens. Du kannst im Cookie-Banner separat wählen, ob du Statistik-Cookies (Google Analytics) und/oder Werbe-Cookies (Meta Pixel) erlauben möchtest.

Widerruf: Du kannst deine Zustimmung jederzeit widerrufen, indem du im Footer auf «Cookie-Einstellungen» klickst. Danach erscheint der Cookie-Banner erneut und du kannst deine Auswahl ändern.

Die App verwendet ausserdem technisch notwendige Cookies für die Anmeldung. Das Anmelde-Cookie bleibt bis zu sieben Tage gültig und verlängert sich bei aktiver Nutzung, damit du dich nicht bei jedem Besuch neu anmelden musst. Beim Abmelden wird es entfernt, ebenso wenn du eine Sitzung in den Einstellungen beendest. Es ist kein reines Sitzungs-Cookie: es überlebt das Schliessen des Browsers. Wählst du beim Anmelden «Diesem Gerät vertrauen», setzen wir ein weiteres Cookie, das 30 Tage lang die Code-Abfrage auf diesem Browser überspringt; ein Passwort-Reset oder eine Wiederherstellung löschen es.

Dazu kommt der lokale Speicher deines Browsers (localStorage). Darin liegen nicht nur Farbschema, Sprache, deine Cookie-Auswahl und der Zwischenstand im Budget-Wizard, sondern auch die Eingaben der Vergleichs- und Planungsrechner, damit du sie nicht in jedem Rechner neu eintippen musst: Postleitzahl, Alter, Franchise, Versicherungsmodell und Unfalldeckung, Einkommen und Partnereinkommen, Vermögen, Zivilstand, Anzahl Kinder, Konfession sowie Angaben zu Arbeitsweg, Wohnung, Hypothek und Liegenschaft. Die Konfession ist ein besonders schützenswertes Personendatum; sie dient allein der Kirchensteuer im Steuervergleich. Dieser Speicher liegt auf deinem Gerät und wird von uns nicht ausgelesen; für die Berechnung gehen die nötigen Werte an unseren Server, der sie nur zum Rechnen verwendet und nicht ablegt. Löschen kannst du ihn jederzeit über die Einstellungen deines Browsers. Klickst du auf eine Werbeanzeige, enthält die Adresse eine Klick-Kennung (gclid, fbclid) oder Kampagnenparameter. Diese legen wir nur mit deiner Werbe-Einwilligung auf dem Gerät ab; ohne sie werden sie nicht gespeichert, und mit dem Widerruf löschen wir sie wieder.

Über HTTPS tragen unsere eigenen Cookies zusätzlich das Präfix __Secure-, sie werden also nur über verschlüsselte Verbindungen übertragen.

7. Push- und E-Mail-Benachrichtigungen

Du kannst in den Einstellungen der App Push-Benachrichtigungen und E-Mail-Benachrichtigungen verwalten. E-Mail-Benachrichtigungen sind standardmässig aktiviert, Push-Benachrichtigungen müssen manuell aktiviert werden.

• Push-Benachrichtigungen: Beim Aktivieren erfragt dein Browser deine Zustimmung. Wir speichern die vom Browser generierte Push-Subscription (ein technischer Endpunkt und Verschlüsselungsschlüssel). Der Versand läuft über den Web-Push-Standard (VAPID): Inhalt und Titel jeder Nachricht sind zwischen unserem Server und deinem Browser Ende-zu-Ende verschlüsselt.

  Der Weg dorthin führt allerdings über den Push-Dienst deines Browserherstellers, den dein Browser selbst festlegt: bei Chrome und Android über Google, bei Safari, iPhone und iPad über Apple, bei Firefox über Mozilla. Diese Dienste können den Inhalt nicht lesen, erfahren aber, dass an deinen Endpunkt zu einem bestimmten Zeitpunkt eine Nachricht zugestellt wurde. Wir übermitteln ihnen weder deinen Namen noch deine E-Mail-Adresse und keine Budget-Daten. Willst du auch diese Randinformation vermeiden, lass die Push-Benachrichtigungen aus und nutze die E-Mail-Erinnerungen.

• E-Mail-Benachrichtigungen: Beim Aktivieren nutzen wir deine bestehende E-Mail-Adresse, um dir maximal 1 bis 2 Mal pro Monat Erinnerungen zu deinem Budget zu senden (z.B. Budget-Check). Saisonale Hinweise auf die Vergleichsrechner (Krankenkassenprämien im Herbst, Steuern im Frühjahr) sind Werbung und kommen nur, wenn du sie in den Einstellungen gesondert einschaltest; sie sind standardmässig aus. Jede E-Mail trägt einen Abbestell-Link, der beide Arten mit einem Klick abschaltet. Der Versand erfolgt über Brevo (EU).
• Deaktivierung: Du kannst beide Kanäle jederzeit in den Einstellungen der App deaktivieren. Bei Push-Benachrichtigungen wird deine Subscription sofort gelöscht.

8. Hosting und Verschlüsselung

Die App und die Datenbank werden auf einem eigenen Server bei Infomaniak in Genf, Schweiz, betrieben (virtueller Server in der Infomaniak Public Cloud). Es handelt sich nicht um eine US-amerikanische Cloud-Lösung (kein AWS, Google Cloud oder Azure).

• Standort: Rechenzentrum Infomaniak, Genf, Schweiz. Deine Daten verlassen die Schweiz nicht (Ausnahme: E-Mail-Versand via Brevo, EU; Zahlungsabwicklung via Stripe, USA).
• Verschlüsselung: Alle Verbindungen sind TLS-verschlüsselt (HTTPS). Passwörter werden mit scrypt gehasht und nie im Klartext gespeichert. Die Schlüssel der Zwei-Faktor-Anmeldung sind ebenfalls verschlüsselt abgelegt. Sicherungskopien der Datenbank werden mit AES-256 verschlüsselt. Von Passkeys speichern wir nur den öffentlichen Schlüssel; damit allein lässt sich niemand anmelden.
• Zugriff: Nur der Betreiber hat Server-Zugang, ausschliesslich per SSH-Schlüssel, ein Login mit Passwort ist abgeschaltet. Die Datenbank ist von aussen nicht erreichbar. Es gibt keine Drittanbieter mit Zugriff auf die Datenbank.

9. Datenexport

Du kannst jederzeit in den Einstellungen der App alle deine Daten als JSON-Datei exportieren. Der Export umfasst dein Profil, alle Haushalte, Personen, Konten, Budget-Pläne, Ausgaben, Sparziele, historische Zusammenfassungen, deine Feedback-Einsendungen und die Mitteilungen in der App sowie die aus Kontoauszügen übernommenen Kontobewegungen und die zugehörigen Import-Protokolle sowie das berechnete Sparpotenzial samt Bereich und Berechnungsdatum. Dazu kommt ein Abschnitt zu deinem Konto selbst: deine Anmeldungen mit Zeitpunkt, IP-Adresse und Gerätekennung, die angeforderten Bestätigungs- und Zurücksetzungs-Mails, deine Push-Abonnements, das Versandprotokoll der Erinnerungen und deine Freigabelinks. Zugangsdaten selbst sind bewusst nicht dabei, also keine Token, kein Zwei-Faktor-Schlüssel, keine Backup-Codes und keine vollständige Push-Adresse: Sie in einer Datei auszuliefern wäre ein Sicherheitsrisiko. So kannst du deine Daten sichern oder zu einem anderen Dienst mitnehmen.

Bei geteilten Haushalten gilt eine bewusste Grenze: Haushalte, die du selbst angelegt hast, sind vollständig enthalten. Von Haushalten, in die du nur eingeladen wurdest, enthält der Export die Mitgliedschaft mit Name, Rolle und Beitrittsdatum sowie die Kontobewegungen und Import-Protokolle, die du dort selbst erfasst hast. Alles Übrige aus diesen Haushalten bleibt draussen. Eine Auskunft ist eine Auskunft über deine Daten, nicht ein Abzug der Daten anderer Personen, aber sie hört auch nicht an der Haushaltsgrenze auf.

10. Aufbewahrung und Löschung

Deine Daten werden gespeichert, solange dein Konto besteht. Du kannst dein Konto jederzeit in den Einstellungen der App selbst löschen. Alternativ kannst du die Löschung per E-Mail an info@batzi.ch verlangen. In beiden Fällen werden alle deine Daten unwiderruflich gelöscht: Profil, Haushalte, Personen, Konten, Budgets, Ausgaben, Sparziele, Auswertungen sowie allfällige Feedback-Meldungen samt hochgeladenen Screenshots und Bildschirmaufnahmen.

Einschränkungen, die wir offenlegen wollen:

• Sicherungskopien: Von der Datenbank erstellen wir täglich ein verschlüsseltes Backup und bewahren die letzten 14 Stände auf. Gelöschte Daten können deshalb noch bis zu 14 Tage in diesen Sicherungen enthalten sein, bevor sie endgültig verschwinden. Die Sicherungen dienen ausschliesslich der Wiederherstellung nach einem technischen Ausfall und werden nicht ausgewertet.
• Automatische Bereinigung: Auch ohne Kontolöschung entfernen wir täglich, was seinen Zweck erfüllt hat: abgelaufene Anmelde-Sitzungen samt der dazu gespeicherten IP-Adresse und Browserkennung, abgelaufene Bestätigungs- und Zurücksetzungs-Links sowie abgelaufene Freigabelinks. Ebenso erledigte oder verfallene Wiederherstellungsanträge nach sieben Tagen und die Sicherheitsereignisse deines Kontos nach 180 Tagen.
• Kontoauszüge und Kontobewegungen: Die hochgeladene Datei bewahren wir gar nicht auf, sie wird nach der Vorschau verworfen. Die von dir bestätigten Kontobewegungen bleiben gespeichert, solange dein Konto besteht, denn sie sind der Zweck der Nutzung. Die Import-Protokolle, also die Angabe wann und aus welchem Zeitraum du importiert hast, löschen wir automatisch 24 Monate nach dem Import. Der Name einer importierten Buchung wird schon 90 Tage nach dem Import automatisch durch ihre Kategorie ersetzt; Betrag, Datum und Kategorie bleiben. Einzelne Buchungen kannst du jederzeit selbst löschen.
• Geteilter Haushalt: Eine Mitgliedschaft besteht, solange sie besteht: sie endet, wenn du den Haushalt verlässt, der Eigentümer dich entfernt oder eines der beiden Konten gelöscht wird. Offene Einladungen löschen wir automatisch, sobald sie abgelaufen oder eingelöst sind. Besitzt du beim Löschen deines Kontos einen geteilten Haushalt, fragen wir vorher ausdrücklich, ob wir ihn an ein verbleibendes Mitglied übergeben oder mitsamt allen Zahlen löschen sollen. Ohne deine Wahl geschieht nichts.
• Berechnetes Sparpotenzial: Was die Vergleichsrechner ermittelt haben, löschen wir automatisch 12 Monate nach der Berechnung. Preise und Prämien ändern sich jährlich, danach wäre die Zahl ohnehin überholt. Bereits ab 90 Tagen zeigt die App sie gedämpft an und bietet dir eine Neuberechnung an.
• Zahlungsbelege: Hast du Premium gekauft, sind wir buchhalterisch verpflichtet, den Beleg zehn Jahre aufzubewahren (Art. 958f OR). Dafür bleibt in unserer Datenbank ein Kaufbeleg mit Betrag, Währung, Datum, den Stripe-Kennungen der Zahlung und deiner E-Mail-Adresse als Zuordnung, losgelöst von deinem Konto, auch nach dessen Löschung. Name, Adresse und Kartendaten enthält er nicht. Nach zehn Jahren löscht ihn der tägliche Aufräumlauf. Der Zahlungsbeleg selbst bleibt zusätzlich bei Stripe.

11. Deine Rechte

Du hast folgende Rechte gemäss dem Schweizer Datenschutzgesetz (DSG):

• Auskunft: Du kannst Auskunft darüber verlangen, welche Daten wir über dich gespeichert haben.
• Berichtigung: Du kannst die Korrektur unrichtiger Daten verlangen.
• Löschung: Du kannst die Löschung deiner Daten verlangen (in den App-Einstellungen oder per E-Mail).
• Datenherausgabe: Du kannst deine Daten direkt in den App-Einstellungen als JSON exportieren. Alternativ kannst du die Herausgabe per E-Mail verlangen.
• Widerruf der Einwilligung: Erteilte Einwilligungen (Cookies, Benachrichtigungen) kannst du jederzeit mit Wirkung für die Zukunft widerrufen, ohne Angabe von Gründen.
• Widerspruch: Du kannst der Bearbeitung deiner Daten widersprechen, insbesondere den automatisierten Hinweisen nach Ziffer 12. Wir stellen die betreffende Bearbeitung dann ein, soweit ihr keine gesetzliche Pflicht oder ein überwiegendes Interesse entgegensteht.

Anfragen richtest du an info@batzi.ch. Wir beantworten sie in der Regel innert 30 Tagen und kostenlos. Damit wir Daten nicht an die falsche Person herausgeben, können wir bei Auskunfts- und Herausgabebegehren einen Nachweis deiner Identität verlangen, im Normalfall genügt die Anfrage von der bei uns hinterlegten E-Mail-Adresse.

Beschwerde: Bist du der Ansicht, dass wir das Datenschutzrecht verletzen, kannst du dich jederzeit beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, melden. Wir bitten dich aber, dich zuerst direkt an uns zu wenden, meist ist es schneller geklärt.

12. Automatisierte Auswertungen deiner Budget-Daten

Batzi wertet die von dir erfassten Budget-Daten automatisch aus, um dir Hinweise zu geben, etwa dass deine Krankenkassenprämie über dem Schweizer Median liegt, dass deine Mietbelastung ein Drittel des Einkommens übersteigt oder dass kein Sparbetrag eingeplant ist. Auch die Erinnerungen per E-Mail und Push entstehen aus solchen Auswertungen. Nach dem Datenschutzgesetz gilt das als Profiling, weshalb wir es hier offenlegen.

Dabei gilt:

• Die Auswertung erfolgt nach festen, von uns programmierten Regeln und Schwellenwerten. Es kommt kein selbstlernendes System zum Einsatz.
• Es fliessen ausschliesslich Daten ein, die du selbst in der App erfasst hast, und öffentlich zugängliche Vergleichswerte (BAG, ESTV, BFS, ElCom u.a.). Wir kaufen keine Daten über dich zu und ziehen keine Daten aus anderen Quellen bei.
• Die Hinweise haben keinerlei Rechtsfolge und führen zu keiner Entscheidung über dich. Es findet keine Bonitäts-, Kredit- oder Risikoprüfung statt, und die Ergebnisse werden an niemanden weitergegeben.
• Ein Kontoauszug kann Angaben enthalten, die Rückschlüsse auf besonders schützenswerte Bereiche zulassen, etwa den Namen einer Apotheke, einer Klinik, einer Kirchgemeinde oder einer Partei. Wir werten solche Angaben nicht gezielt aus, bilden daraus keine Kategorien und reichern sie nicht mit fremden Daten an. Du kannst jede Buchung schon in der Vorschau abwählen und jede übernommene Buchung später einzeln löschen. Dass du eine Krankenkassenprämie budgetierst, sagt uns nichts über deine Gesundheit.
• Aus deinen Buchungen erkennt Batzi wiederkehrende Zahlungen, etwa ein Abo oder eine Quartalsrechnung, und zeigt dir, ob sie im Budget stehen. Gerechnet wird mit einem nicht umkehrbaren Prüfwert des Händlernamens, nicht mit dem Namen selbst; das Ergebnis siehst nur du und dein Haushalt, es wird nicht weitergegeben, und du kannst jeden Fund ausblenden.
• Du kannst der Auswertung widersprechen und die Benachrichtigungen jederzeit in den Einstellungen abschalten.

13. Anonymisierte Statistik

Wir werten Budget-Daten in anonymisierter und aggregierter Form aus, um die App zu verbessern und um belastbare Aussagen über Schweizer Haushaltsbudgets zu veröffentlichen, etwa auf Anfrage von Medien. Dabei halten wir uns verbindlich an vier Regeln, die technisch im Auswertungswerkzeug verankert sind:

• Ausgewertet werden ausschliesslich Summen und Durchschnitte, nie einzelne Haushalte.
• Namen, E-Mail-Adressen, Notizen und Kennungen werden dabei weder gelesen noch veröffentlicht.
• Gruppen mit weniger als 20 Haushalten werden vollständig unterdrückt.
• Jede veröffentlichte Zahl trägt die Fallzahl, auf der sie beruht.

Ein Rückschluss auf dich als Person ist damit ausgeschlossen. Wir verkaufen keine Daten und geben auch keine anonymisierten Datensätze an Werbetreibende weiter.

14. Behörden und externe Links

Wir geben Personendaten an Behörden oder Gerichte nur bekannt, wenn wir gesetzlich dazu verpflichtet sind oder es zur Durchsetzung oder Verteidigung von Rechtsansprüchen nötig ist. Soweit rechtlich zulässig, informieren wir dich vorgängig darüber.

Die App und die Website enthalten Links zu Seiten Dritter, etwa zu Quellen der Vergleichsdaten oder zu den Datenschutzerklärungen der oben genannten Dienste. Für deren Inhalte und deren Umgang mit Daten sind wir nicht verantwortlich. Wir betreiben zurzeit keine Profile in sozialen Netzwerken.

15. Änderungen

Wir können diese Datenschutzerklärung anpassen. Die aktuelle Version ist jeweils auf dieser Seite abrufbar. Bei wesentlichen Änderungen, etwa wenn ein neuer Drittdienst hinzukommt oder ein neuer Bearbeitungszweck entsteht, informieren wir dich mindestens 30 Tage vor Inkrafttreten per E-Mail oder in der App. Das entspricht der Frist, die auch für Änderungen der AGB gilt. Diese Erklärung ist eine Information nach Art. 19 DSG und nicht Bestandteil der AGB; ihre Anpassung ist deshalb keine Änderung der AGB und löst keine erneute Zustimmung aus.