Verantwortlicher

Verantwortlich für die Datenverarbeitung (Art. 4 Nr. 7 DSGVO, Art. 5 lit. j DSG) ist:

[Name des Verantwortlichen]
[Anschrift]
Schweiz
E-Mail: privacy@sparfuxx.app

Sparfuxx wird von der Schweiz aus betrieben und richtet sich auch an Personen in der EU. Vertreter nach Art. 27 DSGVO: [Name/Anschrift/Kontakt des EU-Vertreters, oder Vermerk „nicht erforderlich, weil …“]. Weitere Angaben zum Anbieter stehen im Impressum.

Zwecke und Rechtsgrundlagen

Wir verarbeiten Daten nur, wenn eine Rechtsgrundlage es erlaubt. Welche das ist, hängt von der Funktion ab:

Vertrag

Art. 6 Abs. 1 lit. b DSGVO – Konto, Anmeldung, Rechnen, Erfassen, Haushalt, E-Mails zum Konto, Sparfuxx Pro.

Einwilligung

Art. 6 Abs. 1 lit. a DSGVO – Push-Benachrichtigungen, Benachrichtigungszugriff unter Android; für Kassenbons, die Gesundheitsdaten enthalten können, Art. 9 Abs. 2 lit. a DSGVO. Widerrufbar jederzeit für die Zukunft.

Berechtigtes Interesse

Art. 6 Abs. 1 lit. f DSGVO – Sicherheit und Missbrauchsschutz, Sicherungen, Fehlersuche, die eigene Messung der Einrichtung, Mengengrenzen für kostenpflichtige Dienste.

Rechtspflicht

Art. 6 Abs. 1 lit. c DSGVO – Aufbewahrung von Zahlungsbelegen nach Handels- und Steuerrecht.

Für Personen in der Schweiz gilt das Datenschutzgesetz (DSG); die Grundsätze dort decken sich mit dem, was hier steht. Wir treffen keine automatisierten Entscheidungen über dich und erstellen kein Profil im Sinne von Art. 22 DSGVO.

Website und Probierseite

Wenn du sparfuxx.app aufrufst, laufen die Anfragen über Cloudflare zu unserem Server. Dabei fallen technisch notwendige Verbindungsdaten an, vor allem deine IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browser-Kennung. Unser Server hält die IP-Adresse nur kurz im Arbeitsspeicher, um zu viele Anmelde- oder Registrierversuche abzubremsen; in die Datenbank schreiben wir sie nicht. Fehlermeldungen des Servers landen in einem Protokoll, das nur der Fehlersuche dient.

Unsere Seiten laden keine Schriften, Skripte oder Bilder von Dritten – auch keine Google Fonts. Die Schrift liegt auf unserem Server, Coin-Logos holt unser Server stellvertretend.

Die Probierseite

Auf /probieren rechnest du deinen Monat ohne Konto durch. Das geschieht in deinem Browser: Währung, Ziele, ob du allein oder zu zweit planst, Einkommen, Kontostand und Fixkosten bleiben zunächst im lokalen Speicher deines Browsers (ft-probe, sieben Tage). Registrierst du dich danach, gehen diese Angaben mit der Registrierung an unseren Server, damit die Einrichtung dort weitermacht, wo du aufgehört hast – auch wenn du den Bestätigungslink in einem anderen Browser öffnest. Ist die Einrichtung abgeschlossen, löschen wir diese Kopie.

Konto und Anmeldung

• E-Mail-Adresse. Verschlüsselt gespeichert (AES-256-GCM). Für den Abgleich beim Anmelden liegt daneben ein HMAC-„Blindindex“ – ein Wert, der einen Gleichheitsvergleich erlaubt, die Adresse aber nicht preisgibt.
• Benutzername und die gewählte Sprache.
• Passwort. Nur als Einweg-Hash (bcrypt). Konten, die sich nur über Google anmelden, haben keines.
• Bestätigung. Bei der Registrierung schicken wir einen Link und einen sechsstelligen Code. Gespeichert wird nur ein Hash davon; der Code gilt 30 Minuten und fünf Versuche lang.
• Anmelden mit Google, wenn du es nutzt: deine Google-Konto-ID (siehe «Empfänger»).
• Zweifaktor (TOTP), wenn aktiviert: ein verschlüsseltes Geheimnis und Wiederherstellungscodes, diese nur als Hash.
• Passkeys, wenn du welche anlegst: der öffentliche Schlüssel deines Geräts, eine Kennung, ein Zähler, die unterstützten Übertragungswege, ein Name, den du vergibst, und wann er zuletzt benutzt wurde. Dein Fingerabdruck oder Gesicht verlässt das Gerät nie – wir erhalten nur eine Signatur.
• App-Sperre. Ist ein Passkey hinterlegt, verlangt die App beim Start eine Entsperrung. Gespeichert wird nur, ob die Sperre an ist.
• Einrichtung und Hilfe. Wie weit du die Einrichtung durchlaufen hast, welches Ziel du dort gewählt hast, welche Rundgänge du gesehen hast und ob du über eine Einladung gekommen bist – damit die App weiss, was sie dir noch zeigen muss.

Ohne E-Mail-Adresse kann kein Konto entstehen: über sie bestätigst du das Konto und setzt ein vergessenes Passwort zurück. Alles andere ist freiwillig.

Deine Finanzdaten

Alles, was du einträgst, damit Sparfuxx rechnen kann:

• Monatsplan: Einkommen, Fixkosten, Sparbeträge – und je Monat eine Momentaufnahme davon, damit vergangene Monate mit ihrem damaligen Plan verglichen werden.
• Ausgaben und Gutschriften: Betrag, Datum, Kategorie, Händler, Notiz, Karte; wer bezahlt hat, wer erfasst hat und für wen eine Ausgabe war.
• Karten und Konten mit Stand, Einzahlungen und Korrekturen; das Haushaltskonto.
• Rechnungen mit Fälligkeit, Betrag, Empfänger und Referenz, sowie wann wir dich daran erinnert haben.
• Budgets je Kategorie, Sparziele, Schulden und Ausgleichszahlungen zwischen euch.
• Vermögen: Edelmetall- und Krypto-Bestände mit Menge, Kaufkurs und Kaufdatum.

Diese Beträge liegen unverschlüsselt in der Datenbank. Das ist eine bewusste Entscheidung: die Monatsrechnung summiert und gruppiert direkt in der Datenbank («alle Ausgaben dieser Kategorie in diesem Monat»), und über verschlüsselte Werte geht das nicht. E-Mail-Adressen werden nirgends summiert und sind deshalb verschlüsselt.

Zu zweit: der Haushalt

Lädst du jemanden in deinen Haushalt ein, speichern wir die Adresse der eingeladenen Person verschlüsselt und schicken ihr eine Einladung. Darin steht deine E-Mail-Adresse, damit sie weiss, von wem sie kommt. Ein Einladungslink gilt sieben Tage, ein Einladungs-QR-Code eine Stunde.

Im gemeinsamen Haushalt sieht die andere Person deinen Benutzernamen, deine E-Mail-Adresse, alle gemeinsamen Posten und wie sie aufgeteilt werden. Teilt ihr nach Anstellungsgrad, speichern wir dein Pensum in Prozent – der Anteil, den es ergibt, ist für beide sichtbar. Deine persönlichen Posten, Karten und dein Vermögen bleiben für sie unsichtbar. Der Datenexport der anderen Person enthält eure gemeinsamen Daten sowie Benutzernamen und E-Mail-Adressen der Mitglieder.

Verlässt jemand den Haushalt oder löscht sein Konto, gehen die gemeinsamen Posten an die Person über, die bleibt.

Automatisch erfassen (Android)

Die Android-App kann Zahlungs-Benachrichtigungen als Entwurf übernehmen. Das ist freiwillig und läuft nur, wenn du in Android den Benachrichtigungszugriff erteilst, dein Gerät mit dem Konto koppelst und den Schalter in der App aktiv lässt. Beim Koppeln speichern wir Hersteller und Modell des Geräts als Bezeichnung und wann es sich zuletzt gemeldet hat.

Gelesen werden ausschliesslich Meldungen der Apps, die du in deinem Konto angehakt hast; jede andere App wird ignoriert. Bei einem neuen Konto ist nur Google Wallet angehakt. Die TWINT-Apps der Schweizer Banken stehen in der Liste, sind aber aus, bis du sie selbst anhakst. Die Liste siehst und änderst du unter «Einstellungen → Automatisch erfassen».

Die Suche nach Absendern

Fehlt die App deiner Bank, startest du im Handy eine Suche. Sie läuft fünf Minuten, endet von selbst und notiert nur, welche Apps eine Meldung anzeigen – Paketname und, wenn Android ihn hergibt, Klarname. Der Inhalt dieser Meldungen wird dabei weder gelesen noch gespeichert noch übertragen. Ohne dein Zutun läuft die Suche nie.

Was mit einer erkannten Meldung geschieht

Titel und Text gehen an unseren Server. Dort lesen wir Betrag, Händler und die mutmassliche Karte heraus und legen einen Entwurf in deinen Eingang. Der Rohtext bleibt am Entwurf, damit sich ein noch nicht verstandenes Format später nachbessern lässt. Ist das Handy offline, wartet die Meldung in der App (höchstens 200 Stück) und wird übertragen, sobald wieder Netz da ist. Die App schliesst sich von Android-Sicherungen in die Cloud aus.

Es wird nie automatisch gebucht. Kategorie und Zuordnung setzt immer ein Mensch. Meldungen, die sich als blosse Mitteilung erweisen (etwa «neue Monatsrechnung verfügbar»), sortieren wir aus und zeigen sie unter «Einstellungen → Automatisch erfassen».

Formate lernen – ohne Dritte

Kennt Sparfuxx das Format einer Meldung nicht, tippst du die erste Zahlung von Hand; daraus leitet unser Server selbst eine Leseregel ab. Der Wortlaut geht dabei an keinen weiteren Dienst. Die Regel gilt nur für deinen Haushalt. Zusätzlich behalten wir eine maskierte Vorlage des Formats: Beträge, Kontonummern und Ziffern sind darin durch Platzhalter ersetzt, Namen von Händlern oder Absendern können darin stehen bleiben. Auf ausdrücklichen Wunsch merkt sich dein Konto ausserdem, welche Karte zu einer App ohne eigene Kartenerkennung gehört (etwa TWINT).

Bon und QR-Code scannen

QR-Code

Den QR-Code einer Rechnung oder eines Kassenbelegs liest dein Gerät; das Kamerabild verlässt es nicht. An unseren Server geht nur der Text des Codes. Je nach Land stehen darin Name und Konto (IBAN) des Rechnungsstellers, Betrag, Währung, Referenz, Mitteilung, bei Steuer-Codes auch Steuernummern und Belegnummer. Am Entwurf speichern wir Betrag, Währung, Datum, Fälligkeit, den Namen des Rechnungsstellers und einen kurzen Text aus Mitteilung, Rechnungs-, Referenz- und Steuernummer. Die Kontonummer speichern wir nicht.

Kassenbon fotografieren (Sparfuxx Pro)

Findet dein Gerät auf dem Foto keinen QR-Code, kannst du den Bon lesen lassen. Dann schickt unser Server das Foto, verkleinert, und den Währungscode deines Haushalts an Anthropic PBC (USA); deren Modell liest den Bon. Keine E-Mail-Adresse, keine Konto-ID, keine Kontostände. Bei uns wird das Foto nicht gespeichert – am Entwurf bleibt nur der gelesene Text. Wir zählen die Scans im laufenden Monat, um die Obergrenze je Konto einzuhalten; der Zähler beginnt jeden Monat neu.

Ein Bon nennt jede gekaufte Position, eine Apothekenquittung etwa ein Medikament. Er kann also Gesundheitsdaten enthalten. Du löst jede Übermittlung selbst aus und willigst damit ausdrücklich ein (Art. 9 Abs. 2 lit. a DSGVO). Aufbewahrung und Training bei Anthropic: [Wie lange hält Anthropic Eingaben vor, und sind sie vom Training ausgeschlossen? Belegen und eintragen].

E-Mails und Push

E-Mails

Sparfuxx schickt dir nur Mails, die zum Betrieb deines Kontos gehören:

• Bestätigung der Registrierung, Hinweis «Konto existiert schon», Passwort zurücksetzen, E-Mail-Adresse ändern.
• Einladung in einen Haushalt (an die eingeladene Person).
• Eine Willkommensmail und in den ersten Tagen bis zu zwei Hinweise, wie du anfängst – nur solange du die betreffende Funktion noch nicht genutzt hast und nur per Mail, wenn kein Push ankommt.
• Die Erinnerung drei Tage vor der ersten Abbuchung nach der Probezeit.
• Warteliste: Trägst du dich auf der «Bald da»-Seite ein, bekommst du eine Bestätigungsmail und, wenn Sparfuxx startet, genau eine Startmail. Grundlage ist deine Einwilligung; sie gilt erst nach dem Klick auf den Link in der Bestätigungsmail. Mit dem Link «Adresse löschen» – schon in der Bestätigungsmail und wieder in der Startmail – löschst du deine Adresse jederzeit.

Versendet werden sie über Brevo (siehe «Empfänger»). Werbung für Dritte enthalten sie nie.

Push-Benachrichtigungen

Nur wenn du sie einschaltest und dein Browser zustimmt (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Dann melden wir: einen neu erkannten Entwurf mit Betrag und Händler, Rechnungen vor, am und nach dem Fälligkeitstag, ein erreichtes Budget, den Monatsbericht und in den ersten Tagen einen Hinweis zum Anfangen.

Wir speichern dafür die Zustelladresse, die dein Browser vergibt, dessen öffentlichen Schlüssel, eine Bezeichnung aus Browser und Betriebssystem und wann zuletzt etwas verschickt wurde. Zugestellt wird über den Push-Dienst deines Browserherstellers – Google, Mozilla oder Apple; welcher, bestimmt dein Browser. Die Nachricht wird verschlüsselt, bevor sie unseren Server verlässt (RFC 8291); der Push-Dienst kann sie nicht lesen und erfährt weder E-Mail-Adresse noch Konto-ID. Schaltest du die Benachrichtigungen aus, löschen wir die Zustelladresse.

Sparfuxx Pro und Bezahlen

Bezahlt wird über Stripe Payments Europe, Ltd. (Irland). Startest du die Probezeit oder ein Abo, gibst du deine Karte auf einer Seite von Stripe ein, nicht bei uns – auch für die Probezeit, in der noch nichts abgebucht wird. Verwalten und kündigen kannst du das Abo im Kundenportal von Stripe.

Wir sehen keine Kartendaten. An Stripe geht eine Referenz auf dein Konto und den gewählten Plan; deine E-Mail-Adresse erhebt Stripe selbst. Zurück erhalten wir nur den Stand deines Abos: Status, Plan, Ende der Probezeit und der laufenden Periode, eine vorgemerkte Kündigung und die Kundennummer bei Stripe. Dass ein Haushalt die Probezeit schon genutzt hat, merken wir uns, weil es sie nur einmal je Haushalt gibt. Stripe verarbeitet Daten auch in den USA und bewahrt Zahlungsdaten nach eigenen gesetzlichen Pflichten auf.

Rund um das Angebot von Sparfuxx Pro halten wir fest, welche Schritte gezeigt und welcher Plan gewählt wurde, auf welcher Plattform (Web oder Android) und an welcher Stelle – mit deiner Konto-ID. Zweck ist, das Angebot verständlich zu machen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Beträge oder Zahlungsdaten stehen darin nicht.

Kurse für dein Vermögen

Hinterlegst du Edelmetall- oder Krypto-Bestände, holt unser Server – nie dein Browser – die Kurse: CoinGecko (Krypto-Kurse, Coin-Suche, Coin-Logos), gold-api.com (Gold und Silber), frankfurter.dev (EZB-Referenzkurse) und für Kursverläufe und den Kaufkurs am Kaufdatum Binance, MEXC, Bitfinex oder CoinDesk. Die Anfragen enthalten nur Coin-Kennungen, Zeiträume, den Währungscode des Haushalts und den Suchbegriff, den du in der Coin-Suche tippst. Welche Mengen du hältst, erfährt keiner dieser Dienste – gefragt wird nach Kursen, nicht nach Beständen.

Cookies und lokaler Speicher

Sparfuxx setzt nur technisch notwendige Cookies, alle «httpOnly» (für JavaScript nicht lesbar). Eine Einwilligung braucht es dafür nicht (§ 25 Abs. 2 TDDDG).

ft_token

Deine Sitzung. Sieben Tage, beim Abmelden gelöscht.

ft_unlock

Die Freigabe der App-Sperre. Ohne Frist – verschwindet, wenn der Browser schliesst.

ft_google

Sichert die Anmeldung mit Google gegen Fälschung ab. Zehn Minuten, danach gelöscht.

ft_mfa

Zwischenschritt, wenn nach der Google-Anmeldung noch der Zweifaktor-Code fehlt. Fünf Minuten.

Im lokalen Speicher deines Browsers liegen ausserdem Einstellungen, die nie an uns gehen, solange nicht anders genannt: hell oder dunkel (ft-theme), Sprache (sparfuxx_lang), die Probierseite (ft-probe, siehe oben), die Kennung der Messung (ft-anon, siehe unten), ob die App-Sperre gilt, ob du Push wolltest und kurzlebige Merker für den Weg nach dem Anmelden und die gesehenen Rundgänge. Der Service Worker hält nur eine Offline-Seite vor. Leerst du den Speicher deines Browsers für diese Seite, ist alles davon weg.

Eigene Messung

Es gibt keine Analyse-Werkzeuge von Dritten, keine Werbung und kein Profiling. Eine eigene, kleine Messung gibt es dennoch: auf der Startseite, der Probierseite und während der Einrichtung halten wir fest, welche Abschnitte und Bildschirme erreicht und welche Knöpfe zum Weitergehen gedrückt wurden. Auf der Probierseite zählen auch die Antworten auf die Auswahlfragen dazu – welche Ziele, allein oder zu zweit, welche Währung, ob es Fixkosten gibt – und wie viele Posten eingetragen wurden. Beträge, Namen und Kontodaten stehen nicht darin.

Verwendet wird eine zufällige Kennung, die dein Browser selbst erzeugt (ft-anon); bist du angemeldet, steht die Konto-ID daneben. Die Daten bleiben bei uns und gehen an niemanden weiter. Zweck ist allein, zu sehen, an welcher Stelle die Einrichtung abbricht (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Du kannst widersprechen, indem du den Speicher deines Browsers für diese Seite leerst oder uns schreibst. Aufbewahrung: [Löschfrist festlegen, z. B. 13 Monate – heute löscht kein Lauf diese Messwerte].

Empfänger

Damit die App läuft, verarbeiten diese Dienstleister Daten in unserem Auftrag bzw. für uns:

Hetzner Online GmbH
Deutschland

Server der App, Standort Nürnberg. Jede Anfrage läuft über ihn; die Daten selbst liegen in der Datenbank.

Supabase, Inc.
USA, Daten in Frankfurt

Datenbank für Konto- und Finanzdaten, bei Amazon Web Services in Frankfurt. Eigene Tagessicherungen, sieben Tage aufbewahrt.

Cloudflare, Inc.
USA

Domain, Zugang zur App (HTTPS, Schutz vor Angriffen) mit Verbindungsdaten wie der IP-Adresse; eingehende Mails an @sparfuxx.app; Ablage der verschlüsselten Sicherungen (R2, Speicherort EU).

Brevo (Sendinblue SAS)
Frankreich

Versand der App-Mails und unserer Antworten: deine E-Mail-Adresse und der Inhalt der Mail.

Google
USA/Irland

Postfach, in dem Mails an uns landen. Anmelden mit Google: erst wenn du den Knopf antippst, gehst du zu Google; vorher laden unsere Seiten keinen Code von dort. Stimmst du zu, erhalten wir E-Mail-Adresse, Namen und Google-Konto-ID; den Namen nutzen wir nur für den Benutzernamen eines neuen Kontos.

Google, Mozilla, Apple

Push-Dienst deines Browsers – nur Zustelladresse und verschlüsselte Nachricht.

Stripe Payments Europe, Ltd.
Irland

Bezahlen von Sparfuxx Pro, siehe oben.

Anthropic PBC
USA

Lesen eines fotografierten Kassenbons, siehe oben.

GitHub, Inc.
USA

Führt nachts die Sicherung aus: zieht eine Kopie der Datenbank, verschlüsselt sie und legt sie bei Cloudflare ab. Nur während dieses Laufs liegt die Kopie kurz unverschlüsselt bei GitHub; den Schlüssel haben weder GitHub noch Cloudflare.

UptimeRobot

Ruft alle fünf Minuten die Startseite und eine Statusadresse auf, um Ausfälle zu melden. Daten von dir sind nicht im Spiel.

Kursquellen

CoinGecko, gold-api.com, frankfurter.dev, Binance, MEXC, Bitfinex, CoinDesk – ohne personenbezogene Daten, siehe «Kurse».

Darüber hinaus geben wir Daten nur weiter, wenn ein Gesetz oder eine Behörde es verlangt. Wir verkaufen keine Daten.

Übermittlung in Drittländer

Cloudflare, Supabase, GitHub, Google, Apple, Mozilla, Stripe und Anthropic sind Firmen in den USA oder verarbeiten dort. Soweit dabei Daten in die USA gelangen, stützt sich das auf das EU-US bzw. Swiss-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, sonst auf Standardvertragsklauseln der EU-Kommission. Hetzner und Brevo verarbeiten in der EU; die Datenbank steht in Frankfurt.

Die Wortlaute deiner Zahlungs-Benachrichtigungen gehen an keinen Dienst ausser unserem Server und unserer Datenbank – auch nicht zum Lernen neuer Formate.

Speicherdauer und Löschung

• Konto- und Finanzdaten bleiben, solange dein Konto besteht. Einzelne Einträge, Entwürfe samt Rohtext und Geräte löschst du jederzeit selbst.
• Einmal-Codes und Links (Bestätigung, Passwort, E-Mail-Wechsel, Einladung) verfallen nach kurzer Zeit und werden dann gelöscht.
• Probierseiten-Daten auf dem Server: bis die Einrichtung abgeschlossen ist.
• Warteliste: nicht bestätigte Einträge nach 48 Stunden; bestätigte bis zur Startmail oder bis du dich austrägst, danach löschen wir sie.
• Push-Zustelladresse: bis du Push ausschaltest oder der Browser sie ungültig macht.
• Sicherungen: die nächtlichen sind 30 Tage gegen Löschen gesperrt, auch für uns, und werden nach 90 Tagen entfernt; die von Supabase nach sieben Tagen. Geöffnet wird eine Sicherung nur, um nach einem Ausfall den Betrieb wiederherzustellen, oder in einer Wegwerf-Datenbank, um zu prüfen, ob sie sich wiederherstellen lässt.

Löschst du dein Konto, löschen wir deine Daten und kündigen ein laufendes Abo. Was dabei im Einzelnen bestehen bleibt – etwa gemeinsame Posten für die andere Person im Haushalt – beschreibt die Seite «Konto löschen». Ohne Bezug zu dir bleiben maskierte Format-Vorlagen (siehe «Automatisch erfassen»); die Verknüpfung der Messwerte mit deinem Konto heben wir auf. Zahlungsbelege bewahren wir und Stripe so lange auf, wie Handels- und Steuerrecht es verlangen (in der Schweiz zehn Jahre).

Deine Rechte

Nach DSGVO (Art. 15–21) und DSG hast du das Recht auf:

• Auskunft über die zu dir gespeicherten Daten.
• Berichtigung – das meiste änderst du direkt in der App.
• Löschung – unter «Einstellungen → Konto», oder per Mail.
• Einschränkung der Verarbeitung in den gesetzlich vorgesehenen Fällen.
• Widerspruch gegen Verarbeitungen aus berechtigtem Interesse, etwa die eigene Messung.
• Widerruf einer Einwilligung, etwa für Push oder den Benachrichtigungszugriff – jederzeit für die Zukunft.
• Datenübertragbarkeit – unter «Einstellungen → Deine Daten» lädst du alles herunter, was du in Sparfuxx angelegt hast: als eine Datei (JSON) oder einzelne Tabellen als CSV. Zugangsmittel wie Passkeys, Push-Adressen oder Geräte-Kopplungen stehen bewusst nicht darin.
• Beschwerde bei einer Aufsichtsbehörde – in der EU bei der Behörde deines Wohnorts, in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern.

Schreib uns dafür an privacy@sparfuxx.app. Wir antworten innerhalb eines Monats.

Datensicherheit

• Jede Verbindung zur App ist verschlüsselt (HTTPS).
• E-Mail-Adressen und Zweifaktor-Geheimnisse sind verschlüsselt; Passwörter, Wiederherstellungscodes und alle Einmal-Tokens liegen nur als Hash vor.
• Anmelden geht auf Wunsch mit Zweifaktor oder Passkey, die App lässt sich zusätzlich sperren.
• Sicherungen werden verschlüsselt, bevor sie abgelegt werden; der Schlüssel zum Öffnen liegt nicht auf den Maschinen, die sichern.
• Zu viele Anmeldeversuche werden gebremst.

Gehen die Schlüssel verloren, sind die verschlüsselten Daten nicht mehr lesbar – wir bewahren sie deshalb getrennt und sorgfältig auf.

Änderungen dieser Erklärung

Kommt eine Funktion dazu oder ändert sich die Rechtslage, passen wir diese Erklärung an. Das Datum oben zeigt den letzten Stand.

Controller

The controller for data processing (Art. 4(7) GDPR, Art. 5(j) FADP) is:

[name of the controller]
[address]
Switzerland
Email: privacy@sparfuxx.app

Sparfuxx is operated from Switzerland and is also directed at people in the EU. Representative under Art. 27 GDPR: [name/address/contact of the EU representative, or a note “not required, because …”]. Further details on the provider are in the legal notice.

Purposes and legal bases

We only process data where a legal basis permits it. Which one depends on the feature:

Contract

Art. 6(1)(b) GDPR – account, sign-in, calculations, capture, household, account emails, Sparfuxx Pro.

Consent

Art. 6(1)(a) GDPR – push notifications, notification access on Android; for receipts, which may contain health data, Art. 9(2)(a) GDPR. You can withdraw it at any time with effect for the future.

Legitimate interest

Art. 6(1)(f) GDPR – security and abuse prevention, backups, troubleshooting, our own measurement of the setup, usage limits for paid services.

Legal obligation

Art. 6(1)(c) GDPR – retention of payment records under commercial and tax law.

For people in Switzerland the Federal Act on Data Protection (FADP) applies; its principles match what is written here. We make no automated decisions about you and create no profile within the meaning of Art. 22 GDPR.

Website and try page

When you open sparfuxx.app, requests pass through Cloudflare to our server. Technically necessary connection data arises in the process, above all your IP address, time, requested address and browser identifier. Our server keeps the IP address only briefly in memory to slow down too many sign-in or sign-up attempts; we do not write it to the database. Server error messages go to a log used only for troubleshooting.

Our pages load no fonts, scripts or images from third parties – no Google Fonts either. The typeface is on our server; coin logos are fetched by our server on your behalf.

The try page

On /probieren you work through your month without an account. This happens in your browser: currency, goals, whether you plan alone or as a couple, income, balance and fixed costs initially stay in your browser’s local storage (ft-probe, seven days). If you then sign up, these entries go to our server together with the sign-up, so that the setup continues where you left off – even if you open the confirmation link in another browser. Once the setup is complete, we delete this copy.

Account and sign-in

• Email address. Stored encrypted (AES-256-GCM). For the sign-in lookup an HMAC “blind index” is kept alongside – a value that allows an equality comparison but does not reveal the address.
• Username and your chosen language.
• Password. Only as a one-way hash (bcrypt). Accounts that sign in only through Google have none.
• Confirmation. On sign-up we send a link and a six-digit code. Only a hash of it is stored; the code is valid for 30 minutes and five attempts.
• Sign in with Google, if you use it: your Google account ID (see “Recipients”).
• Two-factor (TOTP), if enabled: an encrypted secret and recovery codes, the latter only as a hash.
• Passkeys, if you create any: your device’s public key, an identifier, a counter, the supported transports, a name you choose, and when it was last used. Your fingerprint or face never leaves the device – we only receive a signature.
• App lock. If a passkey is set up, the app asks to be unlocked on start. We only store whether the lock is on.
• Setup and help. How far you got through the setup, which goal you chose there, which guided tours you have seen and whether you joined through an invitation – so the app knows what it still needs to show you.

No account can be created without an email address: it is how you confirm the account and reset a forgotten password. Everything else is optional.

Your financial data

Everything you enter so that Sparfuxx can calculate:

• Monthly plan: income, fixed costs, savings – and a snapshot of it per month, so past months are compared with the plan of that time.
• Expenses and credits: amount, date, category, merchant, note, card; who paid, who entered it and whom an expense was for.
• Cards and accounts with balance, payments and corrections; the household account.
• Bills with due date, amount, payee and reference, and when we reminded you of them.
• Budgets per category, savings goals, debts and settlements between you.
• Assets: precious-metal and crypto holdings with quantity, purchase price and purchase date.

These amounts are held unencrypted in the database. That is a deliberate decision: the monthly calculation sums and groups directly in the database (“all expenses of this category in this month”), which is not possible over encrypted values. Email addresses are never summed and are therefore encrypted.

Two people: the household

If you invite someone to your household, we store the invitee’s address encrypted and send them an invitation. It contains your email address so they know who it is from. An invitation link is valid for seven days, an invitation QR code for one hour.

In a shared household the other person sees your username, your email address, all shared items and how they are split. If you split by workload, we store your workload in percent – the resulting share is visible to both of you. Your personal items, cards and assets remain invisible to them. The other person’s data export contains your shared data as well as the members’ usernames and email addresses.

If someone leaves the household or deletes their account, the shared items pass to the person who stays.

Automatic capture (Android)

The Android app can take payment notifications over as a draft. This is voluntary and only works if you grant notification access in Android, pair your device with the account and leave the switch in the app on. When pairing, we store the device’s manufacturer and model as its label and when it last checked in.

Only notifications from the apps you have ticked in your account are read; every other app is ignored. For a new account only Google Wallet is ticked. The TWINT apps of the Swiss banks are in the list but switched off until you tick them yourself. You see and change the list under “Settings → Automatic capture”.

The search for senders

If your bank’s app is missing, you start a search on the phone. It runs for five minutes, ends by itself and only notes which apps show a notification – package name and, where Android provides it, the app’s name. The content of these notifications is neither read nor stored nor transmitted. The search never runs without your action.

What happens to a recognised notification

Title and text go to our server. There we extract amount, merchant and the likely card and place a draft in your inbox. The raw text stays with the draft so that a format not yet understood can be improved later. If the phone is offline, the notification waits in the app (at most 200) and is transmitted once there is a connection again. The app opts out of Android cloud backups.

Nothing is ever booked automatically. Category and assignment are always set by a person. Notifications that turn out to be mere notices (for instance “new monthly statement available”) are filtered out and shown under “Settings → Automatic capture”.

Learning formats – without third parties

If Sparfuxx doesn’t know a notification’s format, you type the first payment by hand; from that our server itself derives a reading rule. The wording goes to no further service. The rule applies only to your household. In addition we keep a masked template of the format: amounts, account numbers and digits are replaced by placeholders, while names of merchants or senders may remain. On your explicit request your account also remembers which card belongs to an app without its own card recognition (for instance TWINT).

Receipt and QR scanning

QR code

The QR code of a bill or receipt is read by your device; the camera image does not leave it. Only the text of the code goes to our server. Depending on the country it contains the biller’s name and account (IBAN), amount, currency, reference, message, and for tax codes also tax numbers and receipt number. On the draft we store amount, currency, date, due date, the biller’s name and a short text from message, invoice, reference and tax number. We do not store the account number.

Photographing a receipt (Sparfuxx Pro)

If your device finds no QR code in the photo, you can have the receipt read. Our server then sends the photo, reduced in size, and your household’s currency code to Anthropic PBC (USA); their model reads the receipt. No email address, no account ID, no balances. We do not store the photo – only the text read from it stays with the draft. We count the scans in the current month to enforce the per-account limit; the counter restarts every month.

A receipt lists every item bought, a pharmacy receipt for instance a medicine. It may therefore contain health data. You trigger each transmission yourself and thereby give explicit consent (Art. 9(2)(a) GDPR). Retention and training at Anthropic: [How long does Anthropic retain inputs, and are they excluded from training? Verify and fill in].

Emails and push

Emails

Sparfuxx only sends you emails that belong to running your account:

• Sign-up confirmation, “account already exists” notice, password reset, email change.
• Household invitation (to the invitee).
• A welcome email and, in the first days, up to two tips on getting started – only as long as you haven’t used the feature in question, and only by email if no push arrives.
• The reminder three days before the first charge after the trial.
• Waitlist: if you sign up on the “coming soon” page, you get a confirmation email and, when Sparfuxx launches, exactly one launch email. The basis is your consent; it only counts after you click the link in the confirmation email. The “Delete my address” link – already in the confirmation email and again in the launch email – deletes your address at any time.

They are sent through Brevo (see “Recipients”) and never contain advertising for third parties.

Push notifications

Only if you turn them on and your browser agrees (consent, Art. 6(1)(a) GDPR). We then notify you of: a newly recognised draft with amount and merchant, bills before, on and after the due date, a budget reached, the monthly report and, in the first days, a tip on getting started.

For this we store the delivery address your browser assigns, its public key, a label made from browser and operating system and when something was last sent. Delivery runs through your browser maker’s push service – Google, Mozilla or Apple; which one is decided by your browser. The message is encrypted before it leaves our server (RFC 8291); the push service cannot read it and learns neither email address nor account ID. If you turn notifications off, we delete the delivery address.

Sparfuxx Pro and payment

Payment runs through Stripe Payments Europe, Ltd. (Ireland). When you start the trial or a subscription, you enter your card on a Stripe page, not with us – also for the trial, during which nothing is charged yet. You manage and cancel the subscription in Stripe’s customer portal.

We see no card data. Stripe receives a reference to your account and the chosen plan; Stripe collects your email address itself. We only get back the state of your subscription: status, plan, end of the trial and of the current period, a scheduled cancellation and the Stripe customer number. We remember that a household has used the trial, because there is only one per household. Stripe also processes data in the USA and keeps payment data according to its own legal obligations.

Around the Sparfuxx Pro offer we record which steps were shown and which plan was chosen, on which platform (web or Android) and at which point – with your account ID. The purpose is to make the offer understandable (legitimate interest, Art. 6(1)(f) GDPR). It contains no amounts or payment data.

Prices for your assets

If you add precious-metal or crypto holdings, our server – never your browser – fetches the prices: CoinGecko (crypto prices, coin search, coin logos), gold-api.com (gold and silver), frankfurter.dev (ECB reference rates) and, for price history and the purchase price on the purchase date, Binance, MEXC, Bitfinex or CoinDesk. The requests contain only coin identifiers, time ranges, the household’s currency code and the term you type into the coin search. None of these services learns how much you hold – we ask for prices, not for holdings.

Cookies and local storage

Sparfuxx only sets technically necessary cookies, all “httpOnly” (not readable by JavaScript). They require no consent (§ 25(2) TDDDG).

ft_token

Your session. Seven days, deleted when you sign out.

ft_unlock

The release of the app lock. No expiry – it disappears when the browser closes.

ft_google

Protects the Google sign-in against forgery. Ten minutes, then deleted.

ft_mfa

Intermediate step when the two-factor code is still missing after a Google sign-in. Five minutes.

Your browser’s local storage also holds settings that never reach us unless stated otherwise: light or dark (ft-theme), language (sparfuxx_lang), the try page (ft-probe, see above), the measurement identifier (ft-anon, see below), whether the app lock applies, whether you wanted push, and short-lived markers for the route after sign-in and the tours you have seen. The service worker only keeps an offline page. If you clear your browser’s storage for this site, all of it is gone.

Our own measurement

There are no third-party analytics tools, no ads and no profiling. We do have a small measurement of our own: on the home page, the try page and during setup we record which sections and screens were reached and which buttons were pressed to move on. On the try page this includes the answers to the choice questions – which goals, alone or as a couple, which currency, whether there are fixed costs – and how many items were entered. It contains no amounts, names or account data.

It uses a random identifier generated by your browser itself (ft-anon); if you are signed in, the account ID is stored alongside. The data stays with us and is not passed on. Its only purpose is to see where the setup breaks off (legitimate interest, Art. 6(1)(f) GDPR). You can object by clearing your browser’s storage for this site or by writing to us. Retention: [set a deletion period, e.g. 13 months – currently no job deletes these records].

Recipients

To run the app, these providers process data on our behalf or for us:

Hetzner Online GmbH
Germany

The app’s server, located in Nuremberg. Every request passes through it; the data itself is in the database.

Supabase, Inc.
USA, data in Frankfurt

Database for account and financial data, at Amazon Web Services in Frankfurt. Own daily backups, kept for seven days.

Cloudflare, Inc.
USA

Domain, access to the app (HTTPS, attack protection) with connection data such as the IP address; incoming mail to @sparfuxx.app; storage of the encrypted backups (R2, EU location).

Brevo (Sendinblue SAS)
France

Sending the app’s emails and our replies: your email address and the content of the email.

Google
USA/Ireland

Mailbox where emails to us arrive. Sign in with Google: only when you tap the button do you go to Google; before that our pages load no code from there. If you agree, we receive email address, name and Google account ID; the name is only used for the username of a new account.

Google, Mozilla, Apple

Your browser’s push service – only delivery address and encrypted message.

Stripe Payments Europe, Ltd.
Ireland

Payment for Sparfuxx Pro, see above.

Anthropic PBC
USA

Reading a photographed receipt, see above.

GitHub, Inc.
USA

Runs the nightly backup: pulls a copy of the database, encrypts it and stores it at Cloudflare. Only during this run is the copy briefly unencrypted at GitHub; neither GitHub nor Cloudflare has the key.

UptimeRobot

Calls the home page and a status address every five minutes to report outages. No data of yours is involved.

Price sources

CoinGecko, gold-api.com, frankfurter.dev, Binance, MEXC, Bitfinex, CoinDesk – without personal data, see “Prices”.

Beyond that we only pass on data where a law or an authority requires it. We do not sell data.

Transfers to third countries

Cloudflare, Supabase, GitHub, Google, Apple, Mozilla, Stripe and Anthropic are companies in the USA or process data there. Where data reaches the USA, this is based on the EU-US or Swiss-US Data Privacy Framework where the provider is certified, otherwise on the European Commission’s standard contractual clauses. Hetzner and Brevo process in the EU; the database is in Frankfurt.

The wording of your payment notifications goes to no service other than our server and our database – not even for learning new formats.

Retention and deletion

• Account and financial data stays as long as your account exists. You can delete individual entries, drafts including their raw text, and devices yourself at any time.
• One-time codes and links (confirmation, password, email change, invitation) expire after a short time and are then deleted.
• Try-page data on the server: until the setup is complete.
• Waitlist: unconfirmed entries after 48 hours; confirmed ones until the launch email or until you unsubscribe, after which we delete them.
• Push delivery address: until you turn push off or the browser invalidates it.
• Backups: the nightly ones are locked against deletion for 30 days, also for us, and removed after 90 days; Supabase’s after seven days. A backup is only opened to restore service after an outage, or in a throwaway database to check that it can be restored.

If you delete your account, we delete your data and cancel a running subscription. What remains in detail – such as shared items for the other person in the household – is described on the “Delete account” page. Masked format templates remain without any link to you (see “Automatic capture”); we remove the link between measurement records and your account. Payment records are kept by us and Stripe for as long as commercial and tax law requires (ten years in Switzerland).

Your rights

Under the GDPR (Art. 15–21) and the FADP you have the right to:

• Access the data stored about you.
• Rectification – you can change most things directly in the app.
• Erasure – under “Settings → Account”, or by email.
• Restriction of processing in the cases provided by law.
• Object to processing based on legitimate interest, such as our own measurement.
• Withdraw consent, for instance for push or notification access – at any time for the future.
• Data portability – under “Settings → Your data” you download everything you have created in Sparfuxx: as one file (JSON) or individual tables as CSV. Access credentials such as passkeys, push addresses or device pairings are deliberately not included.
• Lodge a complaint with a supervisory authority – in the EU with the authority of your place of residence, in Switzerland with the Federal Data Protection and Information Commissioner (FDPIC), Feldeggweg 1, 3003 Bern.

Write to us at privacy@sparfuxx.app. We reply within one month.

Data security

• Every connection to the app is encrypted (HTTPS).
• Email addresses and two-factor secrets are encrypted; passwords, recovery codes and all one-time tokens are only stored as a hash.
• Sign-in can use two-factor or a passkey on request, and the app can additionally be locked.
• Backups are encrypted before they are stored; the key to open them is not on the machines that create them.
• Too many sign-in attempts are slowed down.

If the keys were lost, the encrypted data could no longer be read – we therefore keep them separately and carefully.

Changes to this policy

When a feature is added or the legal situation changes, we update this policy. The date at the top shows the latest version.