Datenschutzerklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
IT Consulting CT · Christian Turcu
72202 Nagold
E-Mail: info@refundradar.de

2. Welche Daten wir verarbeiten

• • Kontodaten: deine E-Mail-Adresse und dein Passwort (nur als Hash gespeichert). Meldest du dich mit Google oder Apple an, erhalten wir von dort deine E-Mail-Adresse und gegebenenfalls deinen Namen.
• • Inhaltsdaten: Einträge, Beträge, Fristen, Notizen und Dokumente, die du anlegst oder hochlädst.
• • Postfach-Daten: nur wenn du ein Postfach verbindest oder Mails weiterleitest, siehe Abschnitt 4.
• • Zahlungs- und Abodaten: Planstatus, Laufzeit und Kennungen des Abos. Kartendaten erhalten wir nie.
• • Gerätedaten der iPhone-App: ein Push-Token, damit Erinnerungen als Mitteilung ankommen.
• • Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Browser-Kennung, die bei jedem Aufruf technisch anfallen.
• • Nutzungsdaten: siehe Abschnitt 8.

3. Zwecke und Rechtsgrundlagen

• • Bereitstellung des Dienstes, Erinnerungen, Postfach-Abgleich, KI-Funktionen und Abrechnung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• • Schutz vor Missbrauch, Fehlerbehebung, anonyme Zählung der Seitenaufrufe, Einstiegs-Mails und Family-Einladungen: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen).
• • Nutzungsanalyse und Fehlerberichte aus deinem Browser: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).
• • Aufbewahrung von Rechnungs- und Zahlungsbelegen: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

Wir verkaufen deine Daten nicht und nutzen sie nicht für Werbung Dritter.

4. Postfach verbinden

Den Postfach-Abgleich schaltest du selbst ein und kannst ihn jederzeit trennen.

• • Gmail: Zugriff über die Gmail-API von Google, nur lesend. Neue Mails meldet Google über Google Cloud Pub/Sub.
• • Outlook: Zugriff über Microsoft Graph, nur lesend (Mail.Read).
• • IMAP (z. B. GMX, web.de, iCloud): mit Benutzername und Passwort bzw. App-Passwort. Das Passwort speichern wir verschlüsselt (AES-256-GCM).
• • Weiterleitung: Mails an deine persönliche Refund-Radar-Adresse empfängt unser Mailserver; wir verarbeiten sie genauso.

Wir rufen Mails aus einem begrenzten Zeitraum ab, beim ersten Abgleich die letzten 90 Tage. Gespeichert werden Betreff, Absender, Datum und Text der abgerufenen Mails, um daraus Einträge mit Fristen und Beträgen vorzuschlagen. Zugangsschlüssel speichern wir verschlüsselt. Trennst du ein Postfach, löschen wir seine Zugangsdaten und die daraus importierten Mails.

Die Nutzung und Weitergabe von Informationen, die Refund Radar über Google-APIs erhält, entspricht der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Wir verwenden diese Daten nur für die Funktionen, die du siehst, nicht für Werbung, verkaufen sie nicht, und niemand liest sie, außer du bittest uns darum, es ist für die Sicherheit nötig oder gesetzlich vorgeschrieben.

5. KI-Funktionen

Für KI-Funktionen nutzen wir die Gemini API von Google: Belege und Fotos auslesen, Postfach-Mails einordnen und Angaben daraus übernehmen, Schreiben formulieren und passende Produktbilder finden. Dafür übermitteln wir den jeweiligen Inhalt (Dokument, Mailtext oder Titel und Händler eines Eintrags) an Google. Die Inhalte werden nicht dauerhaft für KI-Training gespeichert. Die Ergebnisse sind Vorschläge, die du prüfen, ändern oder löschen kannst; eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

6. E-Mails von uns

• • Erinnerungen und Hinweise zu deinen Einträgen sowie Mails zu deinem Konto (Bestätigung, Passwort zurücksetzen).
• • Bis zu vier Tipps zum Einstieg in den ersten Tagen nach der Registrierung. Du kannst sie über den Link in jeder dieser Mails abbestellen.
• • Lädst du jemanden in deine Family ein, schicken wir dieser Person in deinem Auftrag eine Einladung an die Adresse, die du angibst.

App-Mails verschicken wir über Resend, Konto-Mails über Strato.

7. Schutz vor Missbrauch

Registrierung, Anmeldung und Passwort-Zurücksetzen schützen wir mit Cloudflare Turnstile. Turnstile prüft anhand von Browser- und Verbindungsdaten, ob ein Mensch das Formular ausfüllt; Werbe-Cookies setzt es nicht. Bei der Registrierung gleichen wir deine IP-Adresse mit einer öffentlichen Liste von Tor-Ausgangsknoten ab, über die zuvor automatisierte Anmeldungen kamen. Außerdem begrenzen wir die Zahl der Anfragen je IP-Adresse. Konten, deren E-Mail-Adresse nicht innerhalb von 48 Stunden bestätigt wird, löschen wir automatisch.

8. Reichweitenmessung und Fehleranalyse

• • Ohne Einwilligung: PostHog (EU-Hosting) zählt Seitenaufrufe in einem speicherlosen Modus — ohne Cookies, ohne Zugriff auf den Speicher deines Geräts, ohne Wiedererkennung. Sonst wird nichts gesendet.
• • Mit Einwilligung: PostHog verarbeitet zusätzlich pseudonyme Nutzungsdaten wie Geräte- und Browserinformationen sowie Interaktionen (mit Speicherung im Browser). Bist du angemeldet, meldet auch unser Server einzelne Ereignisse wie „Registrierung abgeschlossen“, „Eintrag angelegt“ oder „Pro gebucht“; sie hängen an einer internen Kontonummer statt an deiner E-Mail-Adresse und enthalten nichts aus deinen Einträgen. Sentry erhält technische Fehlerberichte aus deinem Browser. Die Einwilligung gilt für den Browser, in dem du sie erteilt hast, und lässt sich jederzeit widerrufen: Cookie-Einstellungen ändern.
• • Fehler auf unserem Server: Sentry (Datenregion EU) meldet Fehler, die auf unserem Server auftreten, damit wir sie beheben können — mit technischen Angaben wie der aufgerufenen Adresse und dem Fehlerverlauf.

9. Dienstleister

Wir arbeiten mit folgenden Anbietern, die Daten in unserem Auftrag oder für die jeweilige Funktion verarbeiten:

• • Hetzner — Server-Hosting in Deutschland. Datenschutz
• • Supabase — Datenbank, Anmeldung und Dateispeicher, Server in der EU (Irland). Datenschutz
• • Google — Gemini API; Gmail-API und Anmeldung mit Google, wenn du sie nutzt. Datenschutz
• • Microsoft — Outlook-Anbindung, wenn du sie nutzt. Datenschutz
• • Apple — Anmeldung mit Apple, App-Store-Käufe und Mitteilungen in der iPhone-App. Datenschutz
• • Stripe — Zahlungen auf der Website. Datenschutz
• • Resend — Versand der App-Mails, über Server in Irland. Datenschutz
• • Strato — Mailserver für refundradar.de und Versand der Konto-Mails, Deutschland. Datenschutz
• • Cloudflare — Schutz vor Bots mit Turnstile. Datenschutz
• • PostHog — Reichweitenmessung und Produktanalyse, EU-Cloud. Datenschutz
• • Sentry — Fehleranalyse, Datenregion EU. Datenschutz

10. Übermittlung in Drittländer

Einige dieser Anbieter haben ihren Sitz in den USA oder gehören zu US-Konzernen und können Daten dort verarbeiten. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und andernfalls auf die Standardvertragsklauseln der EU-Kommission.

11. Speicherdauer

• • Kontodaten und Inhalte: solange dein Konto besteht. Löschst du dein Konto, löschen wir deine Daten innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
• • Postfach-Daten: bis du das Postfach trennst oder dein Konto löschst.
• • Unbestätigte Konten: nach 48 Stunden.
• • Rechnungs- und Zahlungsbelege: so lange, wie Handels- und Steuerrecht es vorschreiben.

12. Cookies und Speicher im Browser

Wir verwenden technisch notwendige Cookies und vergleichbare Speicher für Anmeldung, Sprache und Darstellung sowie für deine Auswahl im Cookie-Banner (darunter ein Cookie, das unserem Server deine Zustimmung mitteilt). Alles Weitere speichern wir nur mit deiner Einwilligung (PostHog, Sentry, siehe Abschnitt 8).

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Verarbeitungen auf Grundlage berechtigter Interessen kannst du aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben, den Einstiegs-Mails jederzeit ohne Begründung. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Schreib dazu einfach an info@refundradar.de.

Außerdem kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren, etwa bei der für uns zuständigen: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

14. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Die aktuelle Version steht immer auf dieser Seite.