Datenschutzerklärung

01Die Kurzfassung

Spendhog ist ein Werkzeug, um dein eigenes Geld klar zu sehen. Wir fragen so wenig wie möglich ab, verkaufen deine Daten nie, betreiben keine Tracker und keine Analyse, und der KI-Assistent ist aus, bis du ihn einschaltest.

02Wer wir sind

Verantwortlicher für die Datenverarbeitung ist Valentino Baptista, Tösswiesenstrasse 35, 8413 Neftenbach, Schweiz. Spendhog wird privat betrieben, nicht durch eine Firma. Für Datenfragen: info@spendhog.com.

03Was wir erheben

Nur was Spendhog braucht, um für deinen Haushalt zu funktionieren:

• Kontodaten: deine E-Mail und, wenn du dich mit Google anmeldest, den Namen dieses Kontos, dazu die von dir eingeladenen Mitglieder. Die Sprache, in der du dich registriert hast, wird mit deinem Login gespeichert, damit deine ersten Kategorien in dieser Sprache benannt werden, egal auf welchem Gerät du die Registrierung bestätigst.
• Die Finanzdaten, die du eingibst: Konten, Buchungen, Budgets, Kategorien, Mitglieder, Tags und Ziele. Du gibst sie selbst ein oder importierst sie; Spendhog verbindet sich nicht mit deiner Bank.
• Personen in deinem Haushalt ohne eigenes Konto, auch Kinder: Du kannst sie als Mitglieder anlegen, ihnen Namen geben und ihnen Ausgaben zuordnen. Ihre Namen und die ihnen zugeordneten Ausgaben gehören zu deinen Daten und werden wie der Rest gespeichert, also erfasse nur, was du über sie erfassen darfst. Wenn du den Assistenten einschaltest, gehen ihre Namen in seiner Zusammenfassung mit (siehe Abschnitt 12).
• Deine Oberflächen-Einstellungen: Sprache, Design, Textgrösse, Datums- und Zahlenformat, die Anordnung der Übersicht und die Spalten der Buchungsliste. Sie werden mit deinem Konto in unserer Datenbank gespeichert und folgen dir so von einem Gerät zum anderen.
• Nachrichten, die du über das Feedback-Formular sendest, zusammen mit deiner Konto-E-Mail, und die Dateien, die du anhängst: bis zu drei pro Nachricht, Bilder als PNG, JPG oder WebP oder ein PDF, je bis zu 5 MB. Ein Screenshot zeigt alles, was auf dem Bildschirm war, deine Zahlen eingeschlossen, also häng nur an, was wir sehen sollen. Bevor Bilder dein Gerät verlassen, werden sie neu gezeichnet, was ihre Metadaten entfernt, etwa den Ort, an dem ein Foto aufgenommen wurde; ein PDF geht so, wie es ist. Die Dateien liegen bei Supabase in Irland, wie die übrigen Daten, in einem privaten Bereich, den nur der Betreiber öffnen kann: Einmal gesendet, können weder du noch ein anderes Konto noch die App selbst sie lesen.
• Abo: Wenn du abonnierst, wickelt Paddle (Merchant of Record) die Zahlung ab und erhebt Name, Adresse und Zahlungsdaten; wir erhalten nur den Abo-Status, nie die Karte.
• Fehlerberichte. Wir führen keine Nutzungsanalyse durch. Wenn die App einen Fehler hat, zeichnet sie ihn auf, damit wir ihn beheben können: die Meldung, die technische Spur, wo im Code er passiert ist (der Stack Trace), die Seite, die App-Version und die Browser-Kennung, verknüpft mit deinem Konto, damit wir sehen, ob ein Fehler eine Person oder viele getroffen hat. Nie der Inhalt deiner Buchungen. Sie werden nach 90 Tagen gelöscht, durch eine Bereinigung, die jeden Tag läuft.
• Server-Protokolle. Der Server, der die Seiten der App ausliefert, und der Proxy davor führen übliche Zugriffsprotokolle über jede Anfrage: IP-Adresse, Uhrzeit, die aufgerufene Adresse und die Browser-Kennung. Sie dienen nur dem Betrieb und dem Schutz des Dienstes, und nur der Betreiber kann sie lesen.
• Antwort beim Verlassen (freiwillig). Wenn du dein Konto löschst, kannst du uns sagen, warum. Das Konto wird in jedem Fall gelöscht. Die Antwort wird ohne Verbindung zu deinem Konto, deiner E-Mail-Adresse oder deinem Haushalt gespeichert: der gewählte Grund, deine Notiz (bis zu 500 Zeichen), das Alter des Kontos als Spanne (zum Beispiel 8 bis 30 Tage), ob es in einem Haushalt, dem du angehört hast, Einträge gab, der Tarif (Test, kostenlos oder bezahlt) und der Monat. Die Notiz ist freier Text, schreib deshalb nichts hinein, was dich identifiziert. Rechtsgrundlage: berechtigtes Interesse an der Verbesserung des Dienstes, auf Grundlage einer freiwilligen Antwort. Wir bewahren diese Antworten 24 Monate auf und löschen sie dann.
• Die Logos, die du für Konten und Ziele wählst, lädt dein Browser direkt von der Adresse, die du angibst; dieser Server sieht deine IP-Adresse, wie bei jedem Bild im Web.
• Woher du kommst: Wenn du über eine Anzeige hier landest, die Kampagnen-Kennzeichen (utm) und die Klick-Kennung, die das Werbenetzwerk an die Adresse hängt: Google (gclid, gbraid, wbraid), Meta (fbclid), Microsoft (msclkid), TikTok (ttclid) oder LinkedIn (li_fat_id). Sie werden einmal gespeichert, mit deiner Registrierung, damit wir wissen, welche Kampagne dich gebracht hat. Sie verfolgen dein Surfen nicht und werden nie an das Werbenetzwerk oder sonst jemanden gesendet, und die Klick-Kennungen werden nach 90 Tagen gelöscht.
• Zahlen pro Konto: Um dich zu unterstützen und die Abrechnung zu führen, zeigt die Verwaltungsansicht des Betreibers für jedes Konto die E-Mail, wann es registriert wurde und sich zuletzt angemeldet hat, den Plan, die Grösse des Haushalts, wie viele Buchungen, Konten, Budgets und Ziele es hat und das Datum der neuesten Buchung. Nie, was in diesen Buchungen steht.
• Hinweise an den Betreiber: höchstens alle zehn Minuten erhält der Betreiber eine E-Mail, die nur sagt, wie viele neue Registrierungen und wie viele neue Fehlerberichte es gab, damit er jedem neuen Haushalt in den ersten Tagen schreiben und einen Fehler beheben kann, bevor ihn jemand melden muss. Diese E-Mail enthält keine Personendaten: keine E-Mail-Adressen, keine Namen und keinen Fehlertext. Um die Fehler zu zählen, fasst die Datenbank die Berichte in Gruppen zusammen (Art, Seite und Meldung, ohne Zahlen und Kennungen), ohne das Konto, von dem sie kamen, und ohne Stack Trace.

04Rechtsgrundlagen

Diese Gründe gelten sowohl nach der DSGVO der EU als auch nach dem Schweizer Bundesgesetz über den Datenschutz (DSG): der Vertrag mit dir (Konto, Finanzdaten und Einstellungen), deine Einwilligung (KI-Assistent) und berechtigtes Interesse (Feedback, die freiwillige Antwort beim Gehen, Einladungen, Fehlerberichte, Server-Protokolle, Sicherungskopien, die Zahlen pro Konto für Unterstützung und Abrechnung, Missbrauchsprävention und die Messung, welche Kampagne eine Registrierung gebracht hat, sowie die Hinweise an den Betreiber zu neuen Registrierungen und Fehlern). Um ein Konto zu eröffnen, brauchen wir deine E-Mail-Adresse; alles andere, was du eingibst, entscheidest du selbst.

Automatisierte Entscheidungen: Die App berechnet für dich Einschätzungen deiner finanziellen Lage, etwa die Punktzahl der finanziellen Gesundheit, die Benachrichtigungen und die Antworten des Assistenten. Sie dienen nur dazu, dich und deinen Haushalt zu informieren. Wir treffen weder auf ihrer Grundlage noch sonst automatisiert Entscheidungen über dich, die rechtliche Wirkung haben oder dich ähnlich erheblich beeinträchtigen. Das Einzige, was die App selbst anwendet, sind die Abo-Bedingungen: eine einzige kostenlose Testphase von 30 Tagen pro Postfach und die Bedingungen des Gründerpreises. Wenn du meinst, dass sie in deinem Fall falsch angewendet wurden, schreib uns, und ein Mensch prüft es.

05Wo sie gespeichert werden

In einer von Supabase verwalteten Postgres-Datenbank, auf Servern in der Europäischen Union (AWS-Region eu-west-1, Irland). Die Daten werden stets verschlüsselt übertragen (TLS) und verschlüsselt gespeichert. Die Trennung zwischen Konten wird von der Datenbank selbst durchgesetzt (Row-Level Security): Kein Nutzer kann die Daten eines anderen lesen oder ändern. Einmal pro Woche machen wir zudem eine vollständige Kopie der Datenbank und bewahren die acht neuesten auf, rund zwei Monate, auf unserem eigenen Server in der Schweiz, auf den nur der Betreiber Zugriff hat. Sie dienen dazu, den Dienst wiederherzustellen, falls die Datenbank oder das Hosting-Konto je verloren gehen.

06In deinem Browser

Wir speichern deine Sitzung und eine Kopie deiner Oberflächen-Einstellungen, damit die App schon vor der Anmeldung in deiner Sprache und deinem Design öffnet. Der Verlauf von Rückgängig und Wiederholen liegt im sessionStorage und verschwindet, wenn du den Browser schliesst.

Die Texte, die der Assistent für dich schreibt (das Gespräch, die Beurteilung der finanziellen Gesundheit, die Zusammenfassungen der Simulation und der Monatsrückblick) und, neben jeder Antwort, die Summen, die die App dafür berechnet hat, die Fragen, die der Assistent der App gestellt hat, und die Websuchen, die er gemacht hat, bleiben im Browser und werden in dein Konto kopiert. Sie bleiben auch nach dem Abmelden auf dem Gerät, sichtbar nur für das Konto, zu dem sie gehören, bis du den Chat leerst, einschränkst, was gesendet wird (das löscht das Gespräch), oder den Assistenten ausschaltest, was sie auf dem Gerät und in deinem Konto löscht. Solange der Assistent darauf wartet, dass du eine neue Beschreibung dessen annimmst, was er sendet, bleiben sie, wie sie sind.

Wenn du dich registrierst, hält das Gerät kurz deine Zustimmung zu diesen Dokumenten und, wenn du über eine Anzeige gekommen bist, die Kampagnen-Kennzeichen (und bei einer Registrierung mit Google die Sprache, in der du dich registriert hast), gebunden an das Konto, das gerade entsteht. Dein Konto übernimmt sie beim ersten Öffnen; sonst verfallen sie nach drei Tagen, bei einer Registrierung mit Google nach dreissig Minuten. Der Browser behält ausserdem ein paar technische Markierungen ohne Inhalte aus deinen Buchungen, zum Beispiel wie lange der letzte Start gedauert hat.

07Wir verkaufen und teilen nicht

Deine Daten werden nie verkauft, vermietet oder für Werbung an Dritte weitergegeben. Wir verwenden keine Tracker und keine Analyse-Tools, und wir nutzen deine einzelnen Buchungen nicht für Werbung. Wir können Daten offenlegen, wenn das Gesetz es verlangt.

08Dienste von Drittanbietern und Übermittlungen ins Ausland

Einige dieser Dienste sind ausserhalb der Schweiz. Für jeden nennen wir das Land und was deine Daten dort schützt. Die Schweiz anerkennt die Länder der EU und des EWR sowie das Vereinigte Königreich als Länder mit angemessenem Datenschutz, und die EU anerkennt die Schweiz und das Vereinigte Königreich; dafür braucht es keine weitere Garantie. Die USA gelten nur für Unternehmen als angemessen, die nach dem Data Privacy Framework zertifiziert sind: dem EU-U.S. Framework für Daten aus der EU und dem Swiss-U.S. Framework für Daten aus der Schweiz, das die Schweiz seit dem 15. September 2024 anerkennt. Wo das Land nicht anerkannt ist, stützt sich die Übermittlung, soweit unten bei einem Dienst nichts anderes steht, auf die Standardvertragsklauseln der Europäischen Kommission im Auftragsverarbeitungsvertrag des Dienstes; für Daten aus der Schweiz anerkennt der EDÖB, die Schweizer Datenschutzbehörde, diese Klauseln mit den Anpassungen an das Schweizer Recht. Die offizielle Liste der zertifizierten Unternehmen haben wir am 28. September 2026 geprüft.

Das sind alle, die überhaupt etwas berühren, was sie bekommen und wo sie sind:

• Supabase: Hosting, Datenbank und Anmeldung. Vertragspartner ist die Supabase Pte. Ltd. in Singapur. Die Datenbank steht in Irland (AWS eu-west-1), und die Funktionen, die auf dem Server laufen, werden in der Supabase-Region ausgeführt, die dem Aufrufer am nächsten liegt, sei es dein Browser oder ein anderer Server. Wenn Supabase oder seine Unterauftragsverarbeiter Daten ausserhalb Europas bearbeiten, von Singapur aus oder aus einem anderen Land auf der Liste der Unterauftragsverarbeiter, die Supabase veröffentlicht, stützt sich die Übermittlung auf die Standardvertragsklauseln in seinem Auftragsverarbeitungsvertrag, mit dem Schweizer Zusatz. Supabase ist nicht nach dem Data Privacy Framework zertifiziert.
• Google: nur wenn du dich mit Google anmeldest. Für Personen in Europa ist das Google Ireland, gemäss Googles eigener Datenschutzerklärung.
• Frankfurter und die EZB: Wechselkurse, die Referenzkurse der Europäischen Zentralbank, geliefert vom Dienst Frankfurter. Dein Browser fragt die Kurse ab, der Dienst sieht also die Anfrage und, wie jede Website, deine IP-Adresse, nie deine Daten. Der Dienst wird über Cloudflare ausgeliefert und erklärt, weder IP-Adressen noch Anfragen zu protokollieren; in welchem Land er gehostet wird, konnten wir nicht bestätigen.
• Paddle: Zahlungen, als Merchant of Record, mit eigener Datenschutzerklärung. Paddle (Paddle.com Market Limited) sitzt im Vereinigten Königreich, das die Schweiz und die EU als angemessen anerkennen.
• Resend: die E-Mails der App, zum Beispiel Einladungen und das Zurücksetzen des Passworts. Resend ist ein US-Unternehmen und bearbeitet Daten hauptsächlich in den USA, wo seine wichtigsten Abläufe stattfinden; unsere E-Mails werden aus seiner europäischen Region (Irland) versendet. Resend ist nach dem EU-U.S. Data Privacy Framework zertifiziert, was Daten aus der EU abdeckt; die Schweizer Zertifizierung hat Resend nicht, deshalb stützt sich die Übermittlung für Daten aus der Schweiz auf die Standardvertragsklauseln in seinem Auftragsverarbeitungsvertrag, mit den Anpassungen an das Schweizer Recht.
• Namecheap: betreibt das Postfach info@spendhog.com, in dem die E-Mails ankommen, die du uns schickst. Namecheap ist ein US-Unternehmen, und sein Maildienst (Private Email) läuft nur auf seinen Servern in den USA (Phoenix, Arizona). Namecheap ist nicht nach dem Data Privacy Framework zertifiziert. Sein Auftragsverarbeitungsvertrag enthält die Standardvertragsklauseln der EU und des Vereinigten Königreichs, aber nicht die Anpassungen an das Schweizer Recht; für Daten aus der Schweiz gibt es deshalb noch keine vom EDÖB anerkannte Garantie.
• Have I Been Pwned: wenn du ein Passwort festlegst oder änderst, prüft es, ob das Passwort in bekannten Lecks auftaucht, und erhält dafür nur ein 5-Zeichen-Fragment seines Hashes, nie das Passwort. Es wird aus Australien betrieben, speichert seine Daten auf Servern in den USA und wird über Cloudflare ausgeliefert. Wir haben keinen Vertrag damit: Dein Browser fragt es direkt, es sieht also deine IP-Adresse und das Fragment, sonst nichts.
• Cloudflare Turnstile: Schutz vor Bots in den Formularen für Anmeldung, Registrierung, Zurücksetzen des Passworts, erneutes Senden der Bestätigung und Passwortänderung. Der Vertrag besteht mit Cloudflare, Inc. in den USA. Dein Browser lädt es nur in diesen Formularen von challenges.cloudflare.com, und es erhält deine IP-Adresse, Merkmale deines Browsers und Geräts und die Art, wie du mit der Prüfung interagierst, nie die Daten deines Kontos. Rechtsgrundlage ist unser berechtigtes Interesse, die Konten sicher zu halten. Cloudflare ist nach dem EU-U.S. und dem Swiss-U.S. Data Privacy Framework zertifiziert, und sein Auftragsverarbeitungsvertrag ist Teil seiner Bedingungen. Es setzt kein Cookie auf unserer Domain.
• Anthropic: nur wenn du den KI-Assistenten einschaltest. Vertragspartner ist die Anthropic Ireland, Limited; die Daten werden in den USA gespeichert, und nach der Dokumentation von Anthropic können Anfragen in den USA, in Europa, Asien und Australien bearbeitet werden, und für interne Abläufe wie Sicherheitsprüfungen in anderen Ländern, in denen Anthropic oder seine verbundenen Unternehmen tätig sind. Anthropic ist nicht nach dem Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf die Standardvertragsklauseln in seinem Auftragsverarbeitungsvertrag, mit dem Schweizer Zusatz. Siehe den Abschnitt zum Assistenten.
• Brave Search: nur wenn der Assistent eine veröffentlichte Statistik nachschlägt, und erhält dabei nur den Suchsatz, von Anthropic und nicht von dir. Ein US-Unternehmen, das für Anthropic nach dessen Auftragsverarbeitungsvertrag arbeitet. Siehe den Abschnitt zum Assistenten.
• Unser eigener Server in der Schweiz: Er liefert die Seiten der App aus und bewahrt die wöchentlichen Sicherungskopien auf (Abschnitte 3 und 5).

09Mitglieder des Haushalts

Die von dir eingeladenen Mitglieder sehen die Haushaltsdaten gemäss ihrer Rolle (Eigentümer, Bearbeiter oder Betrachter). Alle in einem Haushalt arbeiten mit denselben Buchungen. Löscht der Eigentümer sein Konto, werden deshalb der Haushalt und alle seine Buchungen mit gelöscht, für jedes Mitglied; die anderen Mitglieder behalten ihr eigenes Login, jedes mit einem neuen, leeren Haushalt. Verlässt jemand anderes den Haushalt oder löscht sein Konto, bleiben die Buchungen, die er erfasst hat, im Haushalt, denn sie sind dessen Geschichte.

10Deine Rechte

Du kannst die Finanzdaten deines Haushalts jederzeit exportieren (Einstellungen, Daten): eine Datei mit den Konten, Buchungen, Kategorien, Tags und den Gruppen, in denen sie stehen, Budgets, Zielen, anstehenden Rechnungen, Szenarien, deinen Antworten zu Fixkosten, Mitgliedern und Einstellungen, samt deinen Oberflächen-Einstellungen und den Gedächtnisnotizen des Assistenten. Was diese Datei nicht enthält, zum Beispiel die E-Mail und den Namen deines Kontos, deine Mitgliedschaft im Haushalt und die Rollen, offene Einladungen, die Texte des Assistenten, die neben seinen Antworten aufbewahrten Summen, die Fragen, die er der App gestellt hat, und die Websuchen, die er gemacht hat, deine Feedback-Nachrichten samt angehängten Dateien, den Eintrag, welche Kampagne dich gebracht hat, deinen Abo-Status und deine Fehlerberichte, schicken wir dir auf Anfrage. Du kannst dein Konto samt allem darin dauerhaft löschen (Einstellungen, Konto, Gefahrenzone). Du hast ausserdem die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch: Schreib uns einfach, wir antworten kostenlos und innert höchstens 30 Tagen. Du hast auch das Recht auf Beschwerde bei einer Datenschutzbehörde: in der Schweiz beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB, www.edoeb.admin.ch), in der EU bei der Behörde deines Landes. In der Schweiz kannst du deine Rechte auch vor den Zivilgerichten durchsetzen.

11Aufbewahrung

Wir bewahren deine Daten auf, solange das Konto besteht, mit diesen Ausnahmen: Fehlerberichte werden nach 90 Tagen gelöscht, und die Klick-Kennungen aus Anzeigen (gclid und die anderen in Abschnitt 3 genannten) werden nach 90 Tagen gelöscht, weil sie danach die Frage nicht mehr beantworten, für die sie aufbewahrt wurden. Die Kampagnen-Kennzeichen (utm) identifizieren niemanden und bleiben. An Feedback angehängte Dateien werden 90 Tage nach dem Senden gelöscht, oder früher, wenn der Betreiber die Nachricht löscht. Die Fehlergruppen, die die Datenbank zum Zählen der Fehler zusammenstellt (Art, Seite, Meldung und Anzahl, ohne das Konto, von dem sie kamen, und ohne Stack Trace), werden 90 Tage nach dem letzten Auftreten des Fehlers gelöscht. Wenn du dein Konto löschst, wird es sofort und unwiderruflich aus der Datenbank entfernt, und bist du der Eigentümer des Haushalts, gehen alle Buchungen des Haushalts mit (siehe Abschnitt 9). Vier Dinge überleben: von dir gesendete Feedback-Nachrichten können bleiben, aber ohne Verbindung zu dir und ohne die angehängten Dateien, die spätestens einen Tag nach dem Konto gelöscht werden; Fehlerberichte von vor der Löschung bleiben, ohne Verbindung zu deinem Konto, bis ihre 90 Tage um sind; die Antwort, die du beim Gehen gegeben hast, falls du eine gegeben hast, ohne Verbindung zu deinem Konto, 24 Monate lang; und ein Fingerabdruck (eine kryptografische Prüfsumme) deiner E-Mail-Adresse, nicht die Adresse selbst. Davon getrennt sind die wöchentlichen Sicherungskopien (Abschnitt 5) eine Kopie der Datenbank, wie sie an jenem Tag war; was seither gelöscht wurde, ob ein gelöschtes Konto, Fehlerberichte oder Klick-Kennungen nach ihren 90 Tagen, bleibt darin, bis sie ersetzt werden, spätestens nach rund acht Wochen. Sie werden nur verwendet, um den Dienst nach einem Verlust wiederherzustellen. Die Sicherungskopien umfassen die Datenbank, nicht die an Feedback angehängten Dateien.

Der Fingerabdruck dient einem einzigen Zweck: zu wissen, dass dieses Postfach die kostenlose Testphase von 30 Tagen bereits genutzt hat, damit Löschen und erneutes Registrieren sie nicht neu startet. Er lässt sich nicht als deine Adresse zurücklesen, aber wer eine Adresse schon kennt, kann prüfen, ob sie dazu passt. Er taugt weder dazu, dich zu kontaktieren, noch dazu, dich mit Finanzdaten zu verknüpfen, die vollständig gelöscht werden. Rechtsgrundlage: berechtigtes Interesse (Missbrauchsprävention).

12KI-Assistent (optional)

Der KI-Assistent ist standardmässig aus; ohne deine ausdrückliche Einwilligung, die du auf der Seite des Assistenten gibst und, für den Monatsrückblick, zusätzlich auf seiner Karte am Ende der Karten zum Monat in den Neuigkeiten oder in den Einstellungen des Assistenten, wird nichts gesendet. Wenn du ihn aktivierst und eine Frage stellst, senden wir Anthropic (Anbieter des Claude-Modells) über eine verschlüsselte Verbindung eine aggregierte Zusammenfassung deiner Daten: Monatssummen, Summen je Kategorie und Person, Salden, Budgets, Ziele und die Fixkosten, die die App erkennt (welche, wie viel und wie oft), dein Tagesbudget, deine Monate Puffer, offene Posten und die Saldo-Prognose, zusammen mit deiner Frage. Dasselbe wird gesendet, wenn du eine Beurteilung der finanziellen Gesundheit anforderst, und wenn die Simulation die Zusammenfassung eines Szenarios schreibt, was sie einmal pro Szenario und Gerät von selbst tut und erneut, wann immer du ihre Schaltfläche drückst. Wenn du den Monatsrückblick einschaltest, senden wir Anthropic einmal im Monat, wenn du die App nach Monatsende zum ersten Mal öffnest, bis du die Karten zum Monat in den Neuigkeiten auf diesem Gerät geschlossen hast (und, wenn das fehlschlägt, später noch einmal, solange sie auf einem Gerät noch nicht geschlossen wurden), eine kleinere Zusammenfassung dieses Monats: Einnahmen, Ausgaben und die Differenz zwischen beiden sowie die Ausgaben nach Kategorie und nach Titel, jeweils neben dem Durchschnitt von bis zu drei Monaten davor, mit Zahlen, die aus denselben Summen berechnet sind (Differenzen, Prozente und Anteile). Er wird einmal pro Monat und Person geschrieben, und du kannst ihn in den Einstellungen des Assistenten ausschalten. Die Punktzahl der finanziellen Gesundheit und die Bereiche dahinter gehen mit jeder Frage mit. Die Zusammenfassung verwendet die Namen, die du Personen, auch Kindern, sowie Konten, Kategorien, Budgets und Zielen gegeben hast, damit der Assistent über sie antworten kann. Einzelne Buchungen, E-Mails oder Zugangsdaten werden nie gesendet. Die Titel und Notizen, die du zu Buchungen schreibst, gehen als Vokabular mit: das Wort, was es insgesamt gekostet hat und wie oft es vorkommt, nie verknüpft mit einer Buchung oder einem Datum. Ein Titel, den du nur einmal verwendet hast, trägt deshalb mit, was dieser eine Kauf gekostet hat, gerundet. Eine Notiz geht nur mit, wenn sie kurz ist und du sie mindestens dreimal geschrieben hast. Du kannst das in den Einstellungen des Assistenten ändern: jede kurze Notiz teilen (eine einmal geschriebene Notiz trägt dann, wie ein Titel, die gerundeten Kosten ihres Kaufs mit), nur die wiederkehrenden, oder gar keine, und dann verlässt das Notizfeld dein Gerät nicht einmal als Summe.

Braucht eine Frage eine Zahl, die nicht in der Zusammenfassung steht, kann der Assistent die App um eine genaue Summe über einen Ausschnitt bitten, den er wählt: einen Zeitraum, eine Kategorie, ein Konto, eine Person, einen Titel oder ein Wort in den Notizen. Die App rechnet sie aus und schickt nur diese Summe zurück und wie viele Buchungen sie umfasst, nie die Buchungen selbst; bei einem genügend schmalen Ausschnitt, etwa einem einzigen Tag und Titel, ist diese Summe der Betrag einer einzelnen Buchung. Eine Suche nach einem Wort geht durch alle Notizen, nicht nur die wiederkehrenden, es sei denn, du teilst gar keine Notizen, dann werden die Notizen überhaupt nicht durchsucht.

Wenn der Assistent in der Simulation die Zusammenfassung eines Szenarios schreibt, erhält er auch den Namen dieses Szenarios und seine Annahmen: die Bezeichnungen, die du dafür geschrieben hast, mit ihren Beträgen, Prozentsätzen und Monaten und der Kategorie, dem Ziel oder dem Konto, auf das sich jede bezieht, zusammen mit den prognostizierten Ergebnissen des Szenarios.

Anthropic handelt als Auftragsverarbeiter, auf Grundlage der Vereinbarung zur Auftragsverarbeitung, die Teil ihrer kommerziellen Bedingungen ist: diese Bedingungen untersagen es Anthropic, die Daten zum Training von Modellen zu verwenden. Nach ihrer Dokumentation werden Anfragen und Antworten nach rund 30 Tagen aus ihren Systemen gelöscht, ausser wenn sie von den automatischen Sicherheitssystemen markiert wurden oder das Gesetz die Aufbewahrung verlangt. Während dieser Zeit kann Anthropic sie zu Sicherheitszwecken einsehen. Das Gespräch, die Beurteilung der finanziellen Gesundheit, die Zusammenfassungen der Simulation, der Monatsrückblick und, neben jeder Antwort, die Summen, die die App dafür berechnet hat, die Fragen, die der Assistent der App gestellt hat, und die Websuchen, die er gemacht hat, bleiben in deinem Browser und werden zusätzlich in deinem Konto gespeichert, damit ein am Laptop begonnenes Gespräch auch auf dem Handy da ist; weiter gehen sie nirgendwohin, und wir verwenden sie für nichts. Du kannst das Gespräch jederzeit mit der Schaltfläche auf der Seite des Assistenten löschen; einzuschränken, was gesendet wird (Einstellungen, KI), löscht es ebenfalls, weil frühere Antworten deine Notizen zitieren können; und wer den Assistenten ausschaltet, löscht sie alle, auf dem Gerät und in deinem Konto. Wo Anthropic diese Daten speichert und was sie dort schützt, steht in Abschnitt 8. Du kannst die Einwilligung jederzeit auf der Seite selbst widerrufen, danach wird nichts mehr gesendet.

Nachschlagen veröffentlichter Zahlen. Wenn deine Frage eine Zahl braucht, die die App nicht hat, etwa wie viel ein durchschnittlicher Haushalt in deinem Land ausgibt, kann der Assistent sie im Internet nachschlagen. Er ist angewiesen, nur bei Finanzfragen zu suchen, offizielle Quellen wie statistische Ämter und Zentralbanken zu bevorzugen und Quelle und Jahr jeder verwendeten Zahl zu nennen. Nach aussen geht ein vom Modell formulierter Suchsatz, ausgeführt von Anthropic über Brave Search. Jeder Aufruf des Modells kann höchstens drei Suchen ausführen; eine Frage zu beantworten kann mehrere Aufrufe brauchen, wenn der Assistent die App auch um Summen bittet oder eine Suche länger dauert, deshalb kann eine Frage zu mehr als drei Suchen führen. Deine Aufzeichnungen gehen nicht in die Suche: Buchungen, Salden, Budgets und Notizen werden nicht gesendet. Das Modell ist zudem angewiesen, nie etwas in eine Suche zu schreiben, das dich identifiziert, etwa deine Beträge, Konto- oder Banknamen, Geschäfte, in denen du eingekauft hast, oder deine Adresse.

Gedächtnis des Assistenten: Wenn du Notizen für den Assistenten speicherst, liegen sie in der Datenbank deines Kontos und werden mit jeder Frage mitgesendet. Die vollständige Liste ist auf der Seite des Assistenten sichtbar, wo du jede Notiz jederzeit löschen kannst; der Assistent kann eine Notiz vorschlagen, aber ohne deine Bestätigung wird nichts gespeichert.

13Änderungen dieser Erklärung

Da Spendhog im frühen Zugang ist, kann sich diese Erklärung mit dem Produkt ändern. Wir aktualisieren das Datum oben und informieren dich bei wesentlichen Änderungen in der App.

14Kontakt

Bei Fragen zum Datenschutz schreib an info@spendhog.com oder nutze das Feedback-Formular in der App. Anschrift: Valentino Baptista, Tösswiesenstrasse 35, 8413 Neftenbach, Schweiz.