Datenschutzerklärung

Der Schutz deiner Daten ist zentraler Bestandteil von Vorn Forecast. Diese Erklärung informiert dich darüber, welche Daten verarbeitet werden, wenn du Vorn Forecast nutzt, und vor allem, welche Daten gar nicht übertragen werden.

1. Grundprinzip: local-first

Vorn Forecast ist bewusst „local-first“ gebaut. Ohne Konto bleiben alle deine Finanzdaten (Konten, Salden, Geld-Events, Ziele, Budgets und Buchungen) ausschließlich lokal auf deinem Gerät (im Speicher deines Browsers) gespeichert. Sie werden ohne Konto nicht an uns oder Dritte übertragen und verlassen dein Gerät nicht. Löschst du die App-Daten oder den Browser-Speicher, sind diese Daten unwiederbringlich weg.

Erst wenn du dich freiwillig für ein Konto (Cloud-Sync) oder die KI-Funktionen entscheidest, werden für genau diese Funktionen Daten an die unten genannten Auftragsverarbeiter übertragen.

2. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist der im Impressum genannte Betreiber.

3. Hosting (Vercel)

Die App wird bei Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet. Beim Aufruf der App verarbeitet Vercel technisch notwendige Server- und Zugriffsdaten (u. a. IP-Adresse, Zeitpunkt, angeforderte Ressource, Browser-/Geräteinformationen), um die Seite auszuliefern und deren Sicherheit zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, stabilen Betrieb).

4. Konto & Cloud-Sync mit Supabase (nur mit Konto)

Legst du ein Konto an, nutzen wir Supabase Inc. (970 Toa Payoh North #07-04, Singapur; Infrastruktur je nach konfigurierter Region) für Authentifizierung und die verschlüsselte Synchronisation deiner App-Daten zwischen deinen Geräten. Verarbeitet werden dabei:

• deine E-Mail-Adresse und ein sicher gehashtes Passwort (bzw. die Daten deines OAuth-Logins),
• die von dir in Vorn Forecast erfassten App-Daten (Konten, Events, Ziele, Budgets, Buchungen, Statistiken),
• ein Geräte-Token, falls du Erinnerungen (Push) aktivierst.

Ohne Konto findet keine dieser Übertragungen statt. Du kannst deine Cloud-Daten oder dein gesamtes Konto jederzeit in der App löschen (Anmelden → „Konto & Daten“).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

5. KI-Funktionen mit Anthropic (nur bei aktiver Nutzung)

Die optionalen KI-Funktionen (KI-Coach, KI-Import, „Was-wäre-wenn“) werden über Anthropic PBC (San Francisco, USA) bereitgestellt. Es werden nur dann Daten übertragen, wenn du eine dieser Funktionen aktiv auslöst. Übertragen wird jeweils nur das Nötige:

• KI-Coach / Was-wäre-wenn: ein Auszug deiner Finanzkennzahlen (z. B. Salden, Ziel- und Budgetwerte, berechnete Kennzahlen sowie die von dir vergebenen Konto-/Zielnamen) und deine Frage bzw. dein Szenario. Es werden keine Zugangsdaten übertragen.
• KI-Import: das von dir hochgeladene Bild (z. B. Screenshot oder Beleg), um daraus Buchungen vorzuschlagen.

Anthropic verarbeitet API-Eingaben nach eigenen Vorgaben und nutzt Geschäftskunden-Eingaben nicht zum Training seiner Modelle. Die Verarbeitung findet in den USA statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von dir angeforderten Funktion) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung).

6. Zahlungsabwicklung mit Stripe (ab Einführung von Vorn Plus)

Aktuell ist Vorn Forecast nicht kostenpflichtig; es findet keine Zahlungsabwicklung statt. Sobald das kostenpflichtige Abonnement „Vorn Plus“ eingeführt wird, wird die Zahlung über Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland; ggf. Stripe, Inc., USA) abgewickelt. Deine Zahlungsdaten (z. B. Kartendaten) gibst du dann direkt bei Stripe ein; wir speichern selbst keine Kartendaten. Wir erhalten von Stripe nur den Zahlungs- bzw. Abo-Status.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung).

7. Missbrauchs- und Bot-Schutz (Upstash & hCaptcha)

Zum Schutz der Server-Schnittstellen vor Missbrauch nutzen wir eine Rate-Limitierung über Upstash Inc. (USA), die kurzzeitig IP-bezogene Zähler speichert. Dort wird zudem für maximal 36 Stunden ein pseudonymer Vermerk (Hashwert) gespeichert, welche Erinnerung bereits versendet wurde, damit dieselbe Benachrichtigung nicht mehrfach ankommt. Die Login- und Passwort-Reset-Formulare können zusätzlich durch hCaptcha (Intuition Machines, Inc., USA) vor automatisierten Angriffen geschützt sein.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsabwehr).

8. Erinnerungen / Push-Benachrichtigungen

Aktivierst du Erinnerungen, werden Push-Benachrichtigungen über den Push-Dienst deines Browsers bzw. Betriebssystems (z. B. Apple, Google, Mozilla) zugestellt. Das dafür nötige Endpunkt-Token wird zusammen mit deinem Konto gespeichert. Du kannst Erinnerungen jederzeit in den Einstellungen wieder deaktivieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

9. Kein Tracking, keine Werbung

Vorn Forecast setzt keine Analyse- oder Tracking-Dienste (wie Google Analytics), keine Werbe-Cookies und kein geräteübergreifendes Profiling ein. Es werden ausschließlich technisch notwendige Speichermechanismen für den Betrieb der App verwendet.

10. Übermittlung in Drittländer

Einige der genannten Dienste verarbeiten Daten in den USA. Die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln bzw. (soweit zertifiziert) des EU-US Data Privacy Framework. Ein Zugriff US-amerikanischer Behörden auf die Daten kann nach dortiger Rechtslage nicht vollständig ausgeschlossen werden.

11. Speicherdauer

Kontobezogene Daten werden gespeichert, solange dein Konto besteht, und nach dessen Löschung entfernt (gesetzliche Aufbewahrungspflichten, z. B. für Rechnungen aus dem Plus-Abo, bleiben unberührt). Lokale Daten ohne Konto liegen nur auf deinem Gerät und werden nicht bei uns gespeichert.

12. Deine Rechte

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15),
• Berichtigung (Art. 16) und Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20), in der App über „Daten exportieren“,
• Widerspruch gegen die Verarbeitung (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3),
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77).

Zur Ausübung genügt eine formlose Nachricht an die im Impressum genannte Kontaktadresse.