zwegat.

Stand: 28.10.2026

1. Verantwortlicher

Dominic Rico Gómez, Einzelunternehmen zwegat
Schlesingstraße 1a
57572 Niederfischbach
E-Mail: datenschutz@zwegat.app

Einen Datenschutzbeauftragten haben wir nicht benannt. Datenschutzanfragen richten Sie bitte an die genannte E-Mail-Adresse.

2. Überblick

zwegat ist eine Web-App und eine App für Android und iOS, mit der Sie Ihre Finanzen planen: Einkommen, Sparziel, Ausgaben je Bereich, Fixkosten, Wochenplan und Angebote. Wir verarbeiten nur Daten, die für diese Funktionen nötig sind.

3. Verarbeitungen im Einzelnen

Für jede Verarbeitung nennen wir Zweck, Rechtsgrundlage und Speicherdauer.

3.1 Konto und Anmeldung

• Daten: E-Mail-Adresse, Passwort (nur als Prüfwert beim Anmeldedienst, nie im Klartext), Zeitpunkte der Bestätigung und der Anmeldung.
• Zweck: Konto anlegen, Anmeldung, Passwort zurücksetzen, Sicherheit.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Speicherdauer: bis zur Löschung des Kontos.
• Dienstleister: Supabase (Abschnitt 6). Bestätigungs- und Rücksetz-E-Mails verschickt Resend (Abschnitt 6).

3.2 Haushalt, Einstellungen und Pläne

• Daten: Zahl der Erwachsenen und Kinder im Haushalt, Postleitzahl, Haushaltsbedarf, Einkommen und Sparziel je Monat, Limits je Bereich, Wochenplan und Einkaufsliste.
• Zweck: Planung und Vorschläge.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis zur Löschung des Kontos.
• Kinder: Gespeichert wird nur die Anzahl der Kinder im Haushalt, keine Daten einzelner Kinder.

3.3 Buchungen und Finanzdaten

• Daten: Buchungsdatum, Betrag, Name der Gegenseite, IBAN der Gegenseite, Verwendungszweck, Kontenname, Bereich, Vertragsstatus.
• Quelle: Excel-Export aus Finanzguru (Import durch Sie) .
• Zweck: Auswertung, Budgets, Erkennung wiederkehrender Zahlungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis zur Löschung des Kontos oder bis zu Ihrer Löschanfrage.
• Besondere Kategorien: Aus Zahlungen lassen sich im Einzelfall Rückschlüsse auf Gesundheit, Religion oder Mitgliedschaften ziehen (Art. 9 DSGVO). Wir werten Buchungen nur für Ihre Finanzplanung aus und bilden keine Profile für andere Zwecke.
• Verschlüsselung: Name der Gegenseite, IBAN, Verwendungszweck, Kontenname sowie Namen von Fixkosten und Verträgen speichern wir verschlüsselt (AES-256). Den Schlüssel erzeugen wir für Sie und sichern ihn mit Ihrem Passwort und einem Wiederherstellungscode. Beträge, Datum und Bereiche bleiben unverschlüsselt, damit Auswertungen funktionieren. Während Sie angemeldet sind, verarbeitet unser Server die Daten im Klartext, um sie Ihnen anzuzeigen und auszuwerten. Die Verschlüsselung schützt vor allem vor Zugriff auf die gespeicherten Daten, etwa aus der Datenbank oder Sicherungen. Gehen Passwort und Wiederherstellungscode verloren, können die verschlüsselten Daten nicht wiederhergestellt werden.

3.5 Auswertung und Texte durch externe Dienste

Für Einschätzungen und Texte geben wir an zwei Dienste nur das weiter, was dafür nötig ist: den Namen der Gegenseite einer Zahlung, den Bereich, Beträge und Abstände wiederkehrender Zahlungen, bei Wochenplan und Rezepten Haushaltsgröße und Gerichtstitel. Der Name der Gegenseite kann der Name einer Person sein, etwa bei Überweisungen an Privatpersonen. IBAN, Kontodaten und Verwendungszwecke übermitteln wir nicht. Ihre E-Mail-Adresse und andere Kontodaten geben wir nicht weiter.

• Typesafe (Jev): Typesafe AI, Inc., San Francisco, USA. Bewertungen wie „ungewöhnliche Buchung“, „Vertrag ja oder nein“, Bereichszuordnung. Laut Datenschutzerklärung von Typesafe werden Eingaben nicht zum Training von Modellen verwendet (Datenschutzerklärung, Bedingungen). Typesafe stellt einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln bereit.
• Anthropic (Claude): Anthropic, USA. Erklärende Texte, Bereichsvorschläge, Wochenplan und Rezepte. Anthropic stützt Datenübermittlungen in die USA und andere Länder außerhalb des EWR auf die EU-Standardvertragsklauseln nach Art. 46 DSGVO (Datenschutz, Geschäftsbedingungen, Datenverarbeitungsvertrag). Eine Kopie erhalten Sie auf Anfrage unter datenschutz@zwegat.app.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Funktion der App), für die Übermittlung in die USA Art. 46 Abs. 2 lit. c DSGVO.
• Speicherdauer: Die Daten werden so lange gespeichert, wie es für die Erbringung des Dienstes erforderlich ist oder bis Sie Ihre Einwilligung widerrufen. Gesetzliche Aufbewahrungsfristen bleiben unberührt.
• Keine Entscheidung nach Art. 22: Die Vorschläge sind Empfehlungen. Sie werden nur übernommen, wenn Sie aktiv zustimmen. Es gibt keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung.

3.6 Angebote

• Daten: Suchbegriff und Postleitzahl. Die Abfrage läuft über unseren Server. Marktguru erhält Suchbegriff und Postleitzahl und die IP-Adresse unseres Servers, aber keine Angaben, mit denen Sie persönlich identifiziert werden könnten. Wir übermitteln Marktguru keine personenbezogenen Daten.
• Anbieter: marktguru Deutschland GmbH, Sendlinger Straße 23, 80331 München (Datenschutz).
• Zweck: Angebote und Wochenplan.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: Angebote speichern wir als Zwischenspeicher für 12 Stunden. Ihre Postleitzahl bleibt bis zur Löschung des Kontos.

3.7 Server-Protokolle

• Daten: IP-Adresse (beim Hosting-Anbieter), Zeitpunkt, aufgerufene Adresse ohne Suchbegriffe, Statuscode, Dauer, eine Anfrage-Kennung, Fehlerart und Fehler-ID. Ihre Nutzerkennung speichern wir dort nur als kurzen, nicht umkehrbaren Kurzwert, damit eine Störung einer Sitzung zugeordnet werden kann. Wir protokollieren keine Finanzdaten, keine Namen und keine Inhalte.
• Zweck: Betriebssicherheit, Fehlersuche, Abwehr von Missbrauch.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse: Wir müssen den Dienst sicher betreiben, Störungen finden und Angriffe erkennen. Dafür sind kurzzeitig gespeicherte Protokolle erforderlich. Sie können widersprechen (Abschnitt 8).
• Speicherdauer: 14 Tage.

3.8 Kontaktformular und E-Mail

• Daten: Name, E-Mail-Adresse, Thema und Text Ihrer Nachricht. Wir speichern sie verschlüsselt in unserer Datenbank.
• Zweck: Ihre Anfrage beantworten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage mit einem Vertrag zusammenhängt, sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Anfragen zu beantworten).
• Speicherdauer: bis zur Erledigung, spätestens 180 Tage nach Eingang, dann automatisch gelöscht.
• E-Mail: Mails an Adressen unserer Domain leiten wir über Cloudflare Email Routing an unser Postfach bei Proton weiter. Dort bewahren wir sie, solange es zur Bearbeitung nötig ist, und löschen sie danach, soweit keine gesetzliche Aufbewahrungspflicht besteht.

3.9 Warteliste

• Daten: E-Mail-Adresse, gewählter Tarif (Plus oder Haushalt) und Zeitpunkt des Eintrags. Die Adresse speichern wir verschlüsselt in unserer Datenbank. Ein Konto ist dafür nicht nötig.
• Zweck: Sie einmal per E-Mail informieren, wenn der gewählte Tarif startet.
• Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen: Schreiben Sie uns über das Kontaktformular, wir löschen Ihren Eintrag.
• Speicherdauer: bis zum Start des Tarifs und der Benachrichtigung, spätestens 12 Monate nach dem Eintrag, dann automatisch gelöscht.

3.10 Bezahlung des Abos (Plus)

• Daten: E-Mail-Adresse, Zahlungsdaten (Karte, SEPA-Lastschrift oder andere Zahlungsart, die Sie auf der Seite von Stripe eingeben, wir sehen sie nicht), Rechnungs- und Abodaten (Tarif, Zeitraum, Status, Kündigung). Bei uns gespeichert sind nur die Kundennummer und die Abonummer bei Stripe, der Status, das Ende des bezahlten Zeitraums und ob Sie gekündigt haben. Ihre Finanzdaten aus der App gehen nicht an Stripe.
• Zweck: Das Abo abwickeln, Rechnungen erstellen, Zahlungen prüfen und Missbrauch verhindern.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für gesetzliche Aufbewahrungspflichten Art. 6 Abs. 1 lit. c DSGVO.
• Dienstleister: Stripe verarbeitet die Zahlungsdaten für uns und teilweise in eigener Verantwortung, etwa zur Betrugs- und Geldwäscheprävention (Datenschutzerklärung von Stripe, Datenverarbeitungsvereinbarung). Stripe stützt Übermittlungen in die USA auf den EU-US Data Privacy Framework und die EU-Standardvertragsklauseln. Die Bestätigung einer Kündigung senden wir per E-Mail über Resend (Abschnitt 6).
• Speicherdauer: bis zum Ende des Abos und der Löschung Ihres Kontos. Löschen Sie Ihr Konto, löschen wir auch Ihren Kunden bei Stripe und beenden das Abo. Rechnungen und Buchungsunterlagen müssen wir und Stripe nach gesetzlichen Fristen aufbewahren (§ 147 AO, in der Regel zehn Jahre).

3.11 Neuigkeiten und Angebote per E-Mail (freiwillig)

• Daten: Ihre Einwilligung mit Zeitpunkt der Anfrage, Zeitpunkt der Bestätigung, ein Hinweis, welche Fassung des Hakens Sie gesehen haben, und der Status (angefragt, bestätigt, widerrufen). Die E-Mail-Adresse ist die Ihres Kontos. Vom Bestätigungslink speichern wir nur einen Prüfwert, nicht den Link selbst.
• Zweck: Ihnen, wenn Sie es wünschen, Neuigkeiten und Angebote von zwegat per E-Mail zu schicken. Den Haken setzen Sie freiwillig bei der Bestellung. Ohne ihn bekommen Sie nur Mails, die zu Ihrem Konto und Ihrer Bestellung gehören. Sie haben keinen Nachteil, wenn Sie ihn nicht setzen.
• Ablauf (Double-Opt-in): Nach dem Haken schicken wir Ihnen eine Mail mit einem Bestätigungslink. Erst wenn Sie dort bestätigen, gilt Ihre Einwilligung. Der Link ist sieben Tage gültig. Ohne Bestätigung schicken wir keine Werbung.
• Rechtsgrundlage: Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 7 Abs. 2 Nr. 3 UWG. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, über den Link in jeder Mail oder über das Kontaktformular. Die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.
• Dienstleister: Die Mails verschickt Resend (siehe Abschnitt 6).
• Speicherdauer: bis zum Widerruf und, als Nachweis, bis zur Löschung Ihres Kontos.

4. Cookies und lokaler Speicher (§ 25 TDDDG)

Wir setzen keine Cookies oder ähnliche Technik für Werbung, Reichweitenmessung oder Tracking ein. Wir speichern oder lesen Informationen auf Ihrem Gerät nur, soweit es für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG):

• Anmelde-Cookie (Sitzung des Anmeldedienstes): hält Sie angemeldet.
• Entschlüsselungs-Cookie: hält den Schlüssel zu Ihren Daten, selbst verschlüsselt, solange die Sitzung läuft (bis zu 14 Tage), damit wir Ihre Daten anzeigen können.
• Lokaler Speicher: Darstellungsmodus (hell oder dunkel). Er wird gesetzt, wenn Sie den Schalter betätigen, und enthält keine Kennung. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG.
• Offline-Seite (Service Worker): speichert nur eine Hinweisseite, keine Daten.

Die Verarbeitung der dabei anfallenden personenbezogenen Daten stützen wir zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO. Auf dem Mobilgerät speichert die App Anmeldetoken, Datenschlüssel und Serveradresse im geschützten Speicher des Geräts.

5. Empfänger

Eine Weitergabe an sonstige Dritte, zu Werbezwecken oder zur Profilbildung findet nicht statt. Empfänger sind die Dienstleister in Abschnitt 6, die wir als Auftragsverarbeiter einsetzen, soweit nicht anders angegeben, sowie Behörden, wenn wir gesetzlich dazu verpflichtet sind.

6. Dienstleister und Standorte

• Render (Hosting der App): Rechenzentrum Frankfurt, EU. Auftragsverarbeitungsvertrag: Render DPA. Datenschutzerklärung: Render Privacy.
• Supabase (Datenbank, Anmeldung): Supabase Pte. Ltd., Singapur, als Auftragsverarbeiter. Daten liegen in der Region EU, Frankfurt. Der Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln ist Teil der Nutzungsbedingungen. Datenschutzerklärung: Supabase Privacy.
• Typesafe AI, Inc. (Bewertungen): USA, siehe 3.5. Datenschutzerklärung: Typesafe Privacy.
• Anthropic (Texte, Vorschläge): USA, EU-Standardvertragsklauseln, siehe 3.5. Datenschutzerklärung: Anthropic Privacy.
• marktguru Deutschland GmbH (Angebote): München, siehe 3.6. Datenschutzerklärung: marktguru Datenschutz.
• Cloudflare (DNS und Weiterleitung eingehender E-Mails der Domain): Auftragsverarbeitungsvertrag: Cloudflare DPA. Datenschutzerklärung: Cloudflare Privacy.
• Proton (Postfach für Datenschutz- und Supportanfragen): Schweiz, mit Angemessenheitsbeschluss der EU. Datenschutzerklärung: Proton Privacy.
• Stripe (Bezahlung des Abos): Stripe Payments Europe, Ltd., Irland, für Kunden im EWR, siehe 3.10. Datenschutzerklärung: Stripe Privacy, Datenverarbeitungsvereinbarung: Stripe DPA.
• Resend (Systemmails: Bestätigung, Passwort zurücksetzen, Bestätigung einer Kündigung): Resend, Inc., USA. Auftragsverarbeitungsvertrag: Resend DPA. Datenschutzerklärung: Resend Privacy.

7. Speicherdauer im Überblick

• Konto und Daten: bis zur Löschung des Kontos in der App („Einstellungen → Konto löschen“) oder bis zu Ihrer Löschanfrage. Wir löschen dann Ihre Daten aus der Datenbank.
• Sicherungskopien: 14 Tage beim Datenbankdienst. Gelöschte Daten verschwinden dort mit Ablauf dieser Frist.
• Server-Protokolle: 14 Tage.
• Kontaktanfragen: spätestens 180 Tage, siehe 3.8.
• Wartelisten-Einträge: spätestens 12 Monate, siehe 3.9.
• Einwilligung zu Neuigkeiten und Angeboten per E-Mail: bis zur Löschung des Kontos, siehe 3.11.
• Abo- und Rechnungsdaten: bis zur Kontolöschung, Rechnungen nach den gesetzlichen Fristen, siehe 3.10.
• Steuerrechtliche Aufbewahrung: Belege, die wir für unsere eigene Buchhaltung führen müssen (§ 147 AO, in der Regel zehn Jahre), sind davon getrennt zu sehen. Die Daten Ihrer Finanzplanung in der App sind keine Buchhaltungsunterlagen von uns.

8. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO): in der App unter „Einstellungen → Konto löschen“ oder per E-Mail,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO): in der App unter „Einstellungen → Daten exportieren“ als JSON-Datei. Auf Anfrage unterstützen wir Sie. Weil Namen, IBANs und Verwendungszwecke nur mit Ihrem Schlüssel lesbar sind, enthält ein Export durch uns diese Felder nicht. Den vollständigen Export erhalten Sie nur in der App.
• Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft.

Zur Ausübung schreiben Sie an datenschutz@zwegat.app. Wir antworten in der Regel innerhalb eines Monats.

Beschwerde: Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

9. Datensicherheit

Wir übertragen Daten verschlüsselt (HTTPS) und speichern personenbezogene Felder verschlüsselt (3.3). Die Anmeldung erfolgt mit E-Mail und Passwort. Der Anmeldedienst begrenzt Anmeldeversuche. Kein System ist vollständig sicher, wir passen die Maßnahmen dem Stand der Technik an.

10. Bereitstellung der Daten

Für ein Konto brauchen wir Ihre E-Mail-Adresse. Ohne die Angaben zu Haushalt und Finanzen können wir die Funktionen nicht bieten. Die Bankanbindung ist freiwillig, Buchungen lassen sich auch per Excel-Import einspielen.

11. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen oder Dienstleister ändern. Die aktuelle Fassung steht unter /datenschutz.