Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist die oben genannte Person.

2. Was ist Bonbar?

Bonbar ist eine Familien-Budget-App. Sie ermöglicht das Scannen von Kassenbons, die Verwaltung von Budgets und Einkaufslisten sowie die Essensplanung. Bonbar ist als Web-App (PWA) sowie als iOS- und Android-App verfügbar. Die Grundfunktionen sind kostenlos; optional gibt es das kostenpflichtige Abo Bonbar Pro sowie Einzelkäufe als In-App-Kauf (Abwicklung über Apple bzw. Google, siehe Abschnitt 8). In der App wird keine Werbung angezeigt. Eine Messung des Erfolgs unserer eigenen Werbeanzeigen findet ausschließlich mit Ihrer ausdrücklichen Einwilligung statt (siehe Abschnitt 9).

3. Welche Daten werden erhoben?

Wir erheben und verarbeiten ausschließlich die Daten, die für die Nutzung der App notwendig sind:

Daten	Zweck
Name, E-Mail-Adresse	Registrierung und Anmeldung
Passwort (gehasht mit bcrypt)	Authentifizierung
Kassenbon-Daten (Geschäft, Artikel, Preise)	Budgetübersicht und Auswertungen
Kassenbon-Bilder	Belegarchivierung
Einkaufslisten	Gemeinsame Einkaufsplanung
Gruppenmitgliedschaften	Familien- und Haushaltsverwaltung
Essenspläne	Mahlzeitenplanung
Kaufhistorie (In-App-Käufe, Abo-Status)	Bereitstellung von Bonbar Pro
Push-Token (optional)	Push-Benachrichtigungen
Werbe-Einwilligung, ggf. Klick-ID (optional)	Werbe-Messung — nur bei Einwilligung (Abschnitt 9)

Nicht erhoben werden: Standortdaten, Werbe-IDs des Geräts oder Nutzungsanalysen. IP-Adressen fallen nur in temporären Server-Logs an sowie — ausschließlich bei erteilter Einwilligung — im Rahmen der Werbe-Messung (Abschnitt 9).

4. Rechtsgrundlage

Die Verarbeitung Ihrer Daten erfolgt auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) — Die Verarbeitung ist notwendig, um Ihnen die App-Funktionen bereitzustellen (Konto, Budgetverwaltung, Einkaufslisten, Essensplanung).
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse) — Sicherstellung des sicheren Betriebs der App (z. B. Session-Verwaltung, Schutz vor Missbrauch).
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — Werbe-Messung über die Meta Conversions API (Abschnitt 9). Die Einwilligung ist freiwillig und jederzeit widerrufbar.

5. Speicherung und Löschung

Ihre Daten werden gespeichert, solange Ihr Konto besteht. Bei Löschung Ihres Kontos (möglich in den App-Einstellungen) werden alle Ihre Daten dauerhaft und unwiderruflich gelöscht, einschließlich Kassenbons, Einkaufslisten, Bilder und Gruppenzugehörigkeiten.

Server-Logs mit IP-Adressen werden automatisch nach spätestens 30 Tagen gelöscht. Abo-bezogene Webhook-Ereignisse werden aus technischen Gründen (Schutz vor Doppelverarbeitung) bis zu 90 Tage aufbewahrt. Eine Schritt-für-Schritt-Anleitung zur Kontolöschung finden Sie unter bonbar.de/konto-loeschen.

6. Hosting und technische Infrastruktur

Die gesamte Infrastruktur befindet sich in Deutschland:

• Webserver und Datenbank: Hetzner Cloud, Deutschland. Die Datenbank (PostgreSQL) liegt auf demselben Server.
• Kassenbon-Bilder: Hetzner Storage Box (WebDAV), Deutschland.

Die Kern-Infrastruktur (Server, Datenbank, Kassenbon-Bilder) liegt vollständig in Deutschland. In folgenden Fällen werden Daten an Empfänger außerhalb der EU/des EWR übermittelt: die KI-Auswertung von Kassenbon-Fotos durch Anthropic (USA, EU-Standardvertragsklauseln, Art. 46 DSGVO), die Zustellung von Push-Benachrichtigungen über Apple bzw. Google sowie — nur bei erteilter Einwilligung — die Werbe-Messung über Meta (EU-US Data Privacy Framework, Art. 45 DSGVO). Details in den Abschnitten 8 und 9.

7. Datensicherheit

Wir setzen folgende Maßnahmen zum Schutz Ihrer Daten ein:

• Verschlüsselung: Alle Verbindungen sind über HTTPS/TLS gesichert.
• Passwörter: Werden mit bcrypt gehasht gespeichert — niemals im Klartext.
• Sessions: Sitzungstoken werden als SHA-256-Hashes in der Datenbank gespeichert. Selbst bei einem Datenleck können keine Sitzungen übernommen werden.
• Cookies: Es wird ausschließlich ein Authentifizierungs-Cookie gesetzt (httpOnly, Secure, SameSite). Keine Tracking- oder Werbe-Cookies.

8. Auftragsverarbeiter und Empfänger

Ihre Daten werden nicht verkauft und nicht zu fremden Werbezwecken weitergegeben. Für den Betrieb der App setzen wir folgende Dienstleister ein:

• Hetzner Online GmbH (Deutschland) — Hosting von Servern, Datenbank und Kassenbon-Bildern.
• Anthropic (USA) — KI-gestützte Auswertung der Kassenbon-Fotos (Texterkennung). Übermittelt wird das Bon-Bild; die Übermittlung ist durch EU-Standardvertragsklauseln abgesichert. Die Daten werden nicht zum Training von KI-Modellen verwendet.
• RevenueCat (USA) — technische Abwicklung von In-App-Käufen und Abos. Es werden keine Zahlungsdaten übermittelt; die Zahlung selbst läuft über Apple bzw. Google.
• Apple / Google — App-Store-Bereitstellung, Zahlungsabwicklung der In-App-Käufe und Zustellung von Push-Benachrichtigungen.
• Meta Platforms Ireland Ltd. — Werbe-Messung, ausschließlich mit Ihrer Einwilligung (Abschnitt 9).

Auf dieser Website und in der App laden wir keine Tracking-Skripte wie Google Analytics oder den Facebook-Pixel.

9. Werbe-Messung (Meta Conversions API)

Nur wenn Sie bei der Registrierung/Anmeldung oder später in den Einstellungen ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO), übermitteln wir serverseitig Ereignisdaten an Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin, Irland), um den Erfolg unserer eigenen Werbeanzeigen zu messen: das Ereignis (Registrierung, Start einer Testphase, Abo-Abschluss), Ihre E-Mail-Adresse und interne Nutzer-ID — beide ausschließlich SHA-256-gehasht —, Ihre IP-Adresse und Browser-Kennung sowie, falls Sie über eine Anzeige zu uns gekommen sind, die von Meta vergebene Klick-ID. Ein Facebook-Pixel-Skript wird dabei nicht geladen.

Meta kann diese Daten in die USA übermitteln; Meta ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Für Erhebung und Übermittlung sind wir mit Meta teilweise gemeinsam verantwortlich (Art. 26 DSGVO).

Die Einwilligung ist freiwillig, für die Nutzung von Bonbar nicht erforderlich und jederzeit mit Wirkung für die Zukunft widerrufbar: Profil → Werbe-Messung → Aus. Mit dem Widerruf stoppt jede weitere Übermittlung; gespeicherte Klick-IDs werden gelöscht.

10. Cookies

Bonbar verwendet ein einziges Cookie — das Authentifizierungs-Cookie für Ihre Sitzung. Dieses ist technisch notwendig und enthält keine persönlichen Daten. Es ist als httpOnly und Secure markiert und kann nicht von Drittanbietern gelesen werden.

Da ausschließlich technisch notwendige Cookies verwendet werden, ist kein Cookie-Banner erforderlich.

11. Ihre Rechte

Sie haben jederzeit folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO) — Sie können Auskunft über Ihre gespeicherten Daten verlangen.
• Berichtigung (Art. 16 DSGVO) — Sie können unrichtige Daten korrigieren lassen.
• Löschung (Art. 17 DSGVO) — Sie können die Löschung Ihrer Daten verlangen. In der App können Sie Ihr Konto selbst löschen (Anleitung: bonbar.de/konto-loeschen).
• Einschränkung (Art. 18 DSGVO) — Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO) — Sie können Ihre Daten in einem gängigen Format erhalten.
• Widerspruch (Art. 21 DSGVO) — Sie können der Verarbeitung widersprechen.

Zur Ausübung Ihrer Rechte wenden Sie sich an: kontakt@bonbar.de

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt (Art. 77 DSGVO).

13. Änderungen dieser Erklärung

Diese Datenschutzerklärung kann gelegentlich aktualisiert werden. Die aktuelle Version ist stets auf dieser Seite verfügbar. Bei wesentlichen Änderungen informieren wir Sie innerhalb der App.