Kurzfassung
Diese Datenschutzerklärung erklärt, welche Daten Manilo („wir“, „uns“) erhebt, wenn du die Manilo-iOS-App (einschließlich der Apple-Watch-App), das Manilo-Web-Dashboard unter dashboard.manilo.app, den Manilo-Telegram-Bot, unsere Integrationen mit AI-Assistenten (ChatGPT, Claude und andere MCP-kompatible Clients) sowie alle zugehörigen Dienste (zusammen der „Dienst“) nutzt. Einige Endpunkte des Dienstes laufen weiterhin unter unserer alten Domain ledgy.app. Sie ist in verständlicher Sprache geschrieben und an der DSGVO (EU 2016/679) sowie den Anforderungen des Apple App Store ausgerichtet.
Was wir erheben
Kontodaten (wenn du dich für Cloud registrierst)
- E-Mail-Adresse — dient zur Identifikation deines Kontos und zum Empfang von E-Mails zum Dienst. Wenn du dich mit Apple oder Google anmeldest, erhalten wir die E-Mail-Adresse und die Basis-Profildaten, die dabei übermittelt werden; wenn du dich mit E-Mail und Passwort registrierst, speichern wir deine E-Mail-Adresse und einen Hash deines Passworts (nie das Passwort selbst).
- Authentifizierungsdaten — Anmelde-Token, ausgestellt von Apple, Google oder unserem eigenen Anmeldeverfahren. Persönliche Zugriffstoken, die du für den API-/MCP-Zugriff erstellst, speichern wir ausschließlich als SHA-256-Hashes.
- Abo-Status — ob du eine aktive Berechtigung oder eine Testphase hast, geliefert von RevenueCat und Apple. Zahlungen wickeln Apple (in der App) oder der Checkout von RevenueCat (im Web) ab; Kartendaten erreichen unsere Server nie.
Anwendungsdaten (wenn du Cloud nutzt)
- Dein Haushaltsbuch — Transaktionen (Betrag, Währung, Datum, Kategorie, Konto, freie Notizen, Händler/Empfänger), Konten und Kontostände, Kategorien, Tags, Budgets, wiederkehrende Regeln, Ausgabengruppen (einschließlich der Anzeigenamen der Personen, mit denen du teilst) und Profileinstellungen (Hauptwährung, Sprache, Datums- und Zahlenformat, Zeitzone, Wochenbeginn).
- Belegdateien, die du anhängst — Fotos oder PDFs.
- Spracheingaben. Diktate in der iPhone-App werden auf deinem Gerät über das Sprachframework von Apple transkribiert — nur der fertige Text erreicht uns. Spracheingaben auf der Apple Watch und Sprachnachrichten an den Telegram-Bot werden auf unseren Servern von unserem AI-Anbieter (Groq) transkribiert; die Audiodaten werden nur vorübergehend verarbeitet und von uns nicht gespeichert.
- Für Telegram-Nutzer: deine Telegram-Nutzer-ID (der Verknüpfungsschlüssel zu deinem Manilo-Konto) sowie die Nachrichten, Fotos und Sprachnachrichten, die du dem Bot schickst.
- Für Apple-Wallet-Nutzer: die Zahlungsmitteilungen, die du weiterleitest — Händler, Betrag, Währung und Zeitstempel. Kartennummern erhalten wir nie.
- Inhalte, die du einem verbundenen AI-Assistenten zum Import übergibst (zum Beispiel einen Kontoauszug oder einen Beleg) — sie werden zuerst von der Plattform dieses Assistenten verarbeitet und danach wie jeder andere Eintrag in deinem Haushaltsbuch gespeichert.
Diagnose- und Nutzungsdaten
- Absturzberichte — anonymisiert, über die Standard-Absturzberichte von Apple übermittelt (die du in den iOS-Einstellungen deaktivieren kannst).
- Nutzungsanalyse — in der App, auf der Website und in unserer API setzen wir Google Analytics (Firebase) ein, um die Nutzung von Funktionen zu messen: aufgerufene Bildschirme, genutzte Funktionen, Tool-Aufrufe verbundener Assistenten und Zeitmessungen. Bei angemeldeten Nutzern sind diese Ereignisse mit deiner Konto-Kennung verknüpft, und eine Kopie der Rohdaten wird in unser eigenes Projekt in Google BigQuery exportiert, damit wir die Produktnutzung pro Konto auswerten können. Transaktionsbeträge, Händlernamen, Notizen oder Beleginhalte übermitteln wir nicht an Analytics. Auf unseren Websites setzt Google Analytics erst dann Cookies, wenn du sie im Cookie-Banner akzeptierst; lehnst du ab, funktioniert die Website vollständig weiter.
- Installations-Attribution — wenn du Manilo über eine Anzeige in Apple Search Ads installiert hast, liefert das datenschutzfreundliche AdServices-Framework von Apple ein Attributions-Token, das unser Abo-Anbieter RevenueCat gegen die Kampagne, die Anzeigengruppe und das Keyword eintauscht, aus denen die Installation stammt. Dabei ist keine Gerätekennung (IDFA) im Spiel und es wird keine Tracking-Erlaubnis abgefragt; wir nutzen es ausschließlich, um zu messen, welche Anzeigen funktionieren.
- Sicherheitsdaten — IP-Adressen werden vorübergehend zur Ratenbegrenzung und zum Missbrauchsschutz verarbeitet. Serverprotokolle (die deine Konto-Kennung und deine Aktionen nennen, nie deine E-Mail-Adresse) bewahren wir bis zu 30 Tage auf.
Was wir nie erheben
- Deine Bank-Zugangsdaten, Kartennummern oder Banking-Sitzungen. Manilo verbindet sich nicht mit Bankkonten.
- Deine Kontakte, deinen Kalender, deine Fotomediathek oder deinen Standort. Wir erhalten nur die Fotos, die du ausdrücklich anhängst.
- Werbe-IDs (Identifier For Advertisers, IDFA). Manilo zeigt keine Werbung.
- Gespeicherte Sprachaufnahmen. Audiodaten werden transkribiert und verworfen; Diktate auf dem iPhone verlassen dein Gerät nie.
- Alles, was wir für die oben genannten Funktionen nicht zwingend brauchen.
Wie wir sie nutzen
Wir nutzen die oben genannten Daten ausschließlich für folgende Zwecke:
- Dein Haushaltsbuch zwischen deinen Geräten und mit Personen synchronisieren, die du ausdrücklich in geteilte Gruppen oder Konten eingeladen hast.
- Deine Texte, Fotos, Sprachtranskripte und weitergeleiteten Mitteilungen in Transaktionen umwandeln (AI-Verarbeitung).
- Fragen beantworten und Aktionen ausführen, um die du einen verbundenen AI-Assistenten bittest.
- Dein Abo und deine Testphase verwalten.
- Transaktions-, Einstiegs- und Angebots-E-Mails senden — Anmeldecodes, Sicherheitshinweise, Kontoänderungen, Tipps für den Einstieg und gelegentliche Nachrichten zu deiner Testphase oder deinem Tarif. Jede nicht zwingend erforderliche E-Mail enthält einen Abmeldelink.
- Push-Mitteilungen zustellen, die du aktivierst. Ihr Text kann Beträge und Händlernamen enthalten, erscheint auf deinem Sperrbildschirm und läuft über die Push-Dienste von Apple und Google.
- Abstürze analysieren, die Nutzung messen und Missbrauch verhindern.
- Messen, welche App-Store-Anzeigen Menschen zu Manilo bringen (siehe Installations-Attribution oben).
Wir verkaufen deine Daten nicht, geben sie nicht für Werbung weiter und nutzen sie nicht, um eigene oder fremde AI-Modelle zu trainieren.
Rechtsgrundlagen (Art. 6 DSGVO)
- Erfüllung unseres Vertrags mit dir (Art. 6 Abs. 1 lit. b) — Synchronisierung deines Haushaltsbuchs, Auswertung deiner Einträge per AI, Bedienung verbundener Assistenten, Verwaltung deines Abos und Versand von Transaktions-E-Mails.
- Unsere berechtigten Interessen (Art. 6 Abs. 1 lit. f) — Nutzungsanalyse, Installations-Attribution, Missbrauchsprävention und Sicherheit sowie Einstiegs- und Angebots-E-Mails. Du kannst jederzeit widersprechen: E-Mails über den Link in jeder Nachricht abbestellen und uns kontaktieren, um die Analyse für dein Konto zu deaktivieren.
- Deine Einwilligung (Art. 6 Abs. 1 lit. a) — Cookies auf unseren Websites sowie optionale Funktionen, die du selbst aktivierst (Cloud, Telegram-Bot, Weiterleitung aus Apple Wallet, Verbindung eines AI-Assistenten). Du widerrufst sie, indem du die Funktion abschaltest oder Cookies ablehnst.
AI-Assistenten & Model Context Protocol (MCP)
Wenn du Manilo über unsere Integrationsseite mit einem AI-Assistenten verbindest — ChatGPT (OpenAI), Claude (Anthropic) oder einem anderen MCP-kompatiblen Client —, kann dieser auf deine Anweisung hin über die Tools von Manilo deine Daten lesen und ändern. Wir schieben dem Assistenten beim Verbinden nie dein Haushaltsbuch zu — Daten fließen nur, wenn der Assistent in deinem Auftrag ein Tool aufruft.
Was der Assistent lesen kann: deine Transaktionen (einschließlich Notizen und Händlernamen), Konten und Kontostände (einschließlich der Aufschlüsselung nach Einnahmen, Ausgaben und Umbuchungen), Budgets, Kategorien, Tags, wiederkehrende Regeln, Ausgabengruppen samt der Anzeigenamen ihrer Mitglieder, deine Profileinstellungen, aggregierte Summen sowie Belegdateien über kurzlebige signierte Download-Links, deren URL deine Konto-Kennung enthält. Tool-Antworten enthalten außerdem Datensatz-Kennungen (damit der Assistent Einträge in Folgeaktionen referenzieren kann) und Zustandsangaben zum Dienst wie deinen Test- oder Abo-Status sowie gelegentliche Nutzungshinweise.
Was der Assistent schreiben kann: Transaktionen, Umbuchungen, Saldokorrekturen, Konten, Kategorien, Tags, Budgets, wiederkehrende Regeln und Gruppen anlegen, ändern und löschen; deine Profileinstellungen ändern; und Belegdateien an Transaktionen anhängen.
Daten, die die Tools zurückgeben, werden an die Plattform des Assistenten übermittelt und dort nach deren eigenen Datenschutzbestimmungen verarbeitet (bei ChatGPT die von OpenAI, bei Claude die von Anthropic). Inhalte, die du einem Assistenten hochlädst, verarbeitet dessen Plattform, bevor Manilo das erhält, was du importieren wolltest. Du kannst die Verbindung jederzeit in den Einstellungen des Assistenten trennen und persönliche Zugriffstoken im Dashboard widerrufen; der serverseitige Zugriff endet sofort.
Unterauftragsverarbeiter
Für die Bereitstellung des Dienstes greifen wir auf die folgenden Anbieter zurück. Jeder verarbeitet Daten nur nach unseren Weisungen und auf Grundlage eines Auftragsverarbeitungsvertrags.
- Google Cloud Platform — Hosting und Speicherung: Unser Backend läuft auf Google Cloud Run, mit Google Firestore (Datenbank) und Google Cloud Storage (Belegdateien) in den USA; Push-Zustellung über Firebase Cloud Messaging.
- Groq — primäre AI-Auswertung von Transaktionstext und Belegbildern sowie Transkription der Spracheingaben von Apple Watch und Telegram. Anfragen enthalten deine Konto-Kennung zur Missbrauchsprävention; die Inhalte werden gemäß den API-Bedingungen von Groq nicht zum Trainieren ihrer Modelle genutzt.
- OpenAI — AI-Auswertung von Transaktionstext und Belegbildern als Rückfallebene, unter denselben API-Bedingungen zu Konto-Kennung und Nicht-Training. OpenAI ist außerdem die Assistenten-Plattform, die deine abgefragten Daten erhält, wenn du Manilo mit ChatGPT verbindest.
- Anthropic — die Assistenten-Plattform, die deine abgefragten Daten erhält, wenn du Manilo mit Claude verbindest; API-Daten werden gemäß den Bedingungen von Anthropic nicht für das Modelltraining genutzt.
- Apple — Sign in with Apple, Zahlungsabwicklung für In-App-Abos, Push-Mitteilungen und Absturzberichte.
- Google — Sign in with Google, Google Analytics (Firebase) zur Nutzungsmessung (setzt mit deiner Einwilligung Cookies auf unseren Websites) und Google BigQuery für unseren Analyse-Export.
- RevenueCat — Abo-Status, Web-Checkout und Installations-Attribution; erhält deine Konto-Kennung und die Attributionsdaten aus Apple Search Ads, nie dein Haushaltsbuch.
- Microsoft 365 — Versand von Transaktions- und Einstiegs-E-Mails.
- Upstash — verschlüsselter, kurzlebiger serverseitiger Cache; Einträge laufen innerhalb von 24 Stunden ab.
- Telegram — Nachrichtenweiterleitung für Nutzer, die den Telegram-Bot aktivieren. Dein Chat mit dem Bot (einschließlich der Transaktionsbestätigungen, die er sendet) bleibt in deinem Telegram-Chatverlauf und unterliegt der eigenen Datenschutzerklärung von Telegram.
Soweit Daten aus der EU oder dem Vereinigten Königreich übermittelt werden, stützen wir uns auf die anerkannten Garantien unserer Anbieter (EU-U.S. Data Privacy Framework oder Standardvertragsklauseln). Für Kopien der Auftragsverarbeitungsverträge oder eine Liste der Unterstandorte unserer Unterauftragsverarbeiter schreib an privacy@manilo.app.
Speicherdauer & Löschung
- Dein Haushaltsbuch und deine Belege bleiben so lange gespeichert, wie dein Konto besteht — bis du einzelne Einträge oder dein gesamtes Konto löschst.
- Wenn dein Cloud-Abo endet, bleiben deine synchronisierten Daten gespeichert, damit sie da sind, falls du zurückkommst; deine lokale Kopie bleibt auf deinem Gerät. Die Kopie auf dem Server kannst du jederzeit entfernen, indem du dein Konto löschst.
- Kontolöschung: Einstellungen → Konto → Konto löschen. Deine Daten werden sofort aus unserer Produktivdatenbank gelöscht — eine echte Löschung, keine Deaktivierung. Belegdateien sind im selben Moment dauerhaft nicht mehr zugänglich. Verschlüsselte Datenbank-Backups laufen innerhalb von 30 Tagen ab, serverseitige Caches innerhalb von 24 Stunden, Serverprotokolle innerhalb von 30 Tagen.
- AI-Anbieter (Groq, OpenAI, Anthropic) verarbeiten Auswertungs- und Assistenten-Anfragen nur vorübergehend nach ihren API-Bedingungen zur Datenspeicherung und trainieren nicht damit. Google Analytics bewahrt Nutzungsereignisse bis zu 14 Monate auf, und unsere Kopie in BigQuery wird nach demselben 14-Monats-Zeitplan gelöscht.
Deine Rechte
Wenn du in der EU, im Vereinigten Königreich oder in Kalifornien bist, hast du das Recht, auf deine personenbezogenen Daten zuzugreifen, sie zu berichtigen, zu übertragen, zu löschen oder der Verarbeitung zu widersprechen. Die meisten dieser Rechte kannst du direkt im Produkt ausüben oder per E-Mail an privacy@manilo.app. Wir antworten innerhalb von 30 Tagen.
- Alles löschen: Einstellungen → Konto → Konto löschen.
- Dein Haushaltsbuch als CSV aus der App exportieren.
- Einen AI-Assistenten in dessen eigenen Einstellungen trennen; persönliche Zugriffstoken im Dashboard widerrufen — beides beendet den serverseitigen Zugriff sofort.
- Nicht zwingend erforderliche E-Mails über den Abmeldelink in jeder Nachricht abbestellen.
- Absturzberichte in den iOS-Einstellungen deaktivieren.
Du hast außerdem das Recht, eine Beschwerde bei der für dich zuständigen Datenschutz-Aufsichtsbehörde einzulegen.
Kinder
Manilo richtet sich nicht an Kinder unter 13 Jahren (im EWR unter 16 Jahren). Wir erheben nicht bewusst Daten von Minderjährigen. Wenn du glaubst, dass ein Kind sich registriert hat, melde dich bei uns — wir löschen das Konto.
Änderungen
Wenn wir diese Erklärung so ändern, dass es den Umgang mit deinen Daten betrifft, informieren wir dich mindestens 14 Tage vor Inkrafttreten in der App und per E-Mail. Nutzt du den Dienst nach der Änderung weiter, gilt das als Zustimmung.
Kontakt
E-Mail: privacy@manilo.app