Datenschutzerklärung

Informationen nach Artikel 13 und 14 der Datenschutz-Grundverordnung (DSGVO).

Verantwortlicher

Mauricio De Andrade Spadaro-Joerges
Emmerich-Josef-Straße 19
65929 Frankfurt am Main
Deutschland
E-Mail: info@sparsack.de

Welche Daten wir verarbeiten

Diese Liste entspricht dem, was die App tatsächlich speichert.

• E-Mail-Adresse — für das Konto, die Anmeldung und die Bestätigung. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Passwort — nur als Hash (Argon2id), nie im Klartext. Vertragserfüllung.
• Anzeigename — selbst gewählt, für andere Nutzer in der Rangliste sichtbar. Vertragserfüllung.
• Telefonnummer — nur als Prüfsumme (HMAC), für die einmalige Bestätigung vor der ersten Auszahlung. Wir speichern die Nummer selbst nicht. Den Code per SMS verschickt und prüft Google Firebase (siehe „Empfänger“). Vertragserfüllung und berechtigtes Interesse an der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO).
• Ausweisnummer — nur als Prüfsumme und nur, wenn du die Ausweisprüfung anfragst (nötig ab 100 Euro Auszahlung im Monat), damit ein Ausweis nicht für mehrere Konten genutzt wird. Den Ausweis selbst sehen wir uns bei der Prüfung nur an; eine Kopie oder ein Foto bewahren wir nicht auf. Berechtigtes Interesse an der Missbrauchsabwehr.
• IP-Adresse — nur als Prüfsumme, zur Erkennung von Mehrfachkonten und Manipulation. Berechtigtes Interesse.
• Geräte-Kennung — zur Erkennung von Mehrfachkonten. Berechtigtes Interesse.
• Auszahlungsziel (PayPal-Adresse, IBAN oder die E-Mail-Adresse für einen Gutschein) — verschlüsselt gespeichert, nur zur Ausführung der Auszahlung. Vertragserfüllung.
• Nutzungsdaten — erledigte Aufgaben, Gutschriften, Guthaben, Auszahlungen. Vertragserfüllung und handelsrechtliche Aufbewahrung.

Nicht erhoben: Standort, Kontakte, Fotos, Gesundheitsdaten, Werbe-Kennungen für Drittwerbung.

Server-Protokolle

Beim Aufruf von sparsack.de speichert unser Webserver für den Betrieb und zur Abwehr von Angriffen
technische Angaben: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Antwortcode, übertragene Datenmenge,
verweisende Seite und Browserkennung. Rechtsgrundlage ist unser berechtigtes Interesse an einem
sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden täglich rotiert; aufbewahrt werden höchstens 14 Archivdateien, in der Regel also etwa 14 Tage. In diesen Protokollen steht die IP-Adresse im Klartext (in der App-Datenbank dagegen nur als Prüfsumme).

Ein Schutzprogramm sperrt IP-Adressen nach wiederholten fehlgeschlagenen Anmeldeversuchen vorübergehend; Einträge in der Sperrdatenbank (unter anderem IP-Adresse und Zeitpunkt der Sperre) werden nach acht Tagen, das Sperrprotokoll nach etwa fünf Wochen gelöscht.

Speicherung auf deinem Gerät

Die App legt im Speicher deines Browsers bzw. Geräts nur ab, was sie zum Funktionieren braucht:
deine Anmeldung und eine zufällige Geräte-Kennung. Das ist unbedingt erforderlich, damit du
angemeldet bleibst und Mehrfachkonten erkannt werden (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine
Werbe- oder Analyse-Cookies und keine Inhalte von Drittanbietern; auch die Schriften liefern wir
selbst aus.

Kontakt per E-Mail

Wenn du an info@sparsack.de schreibst, verarbeiten wir deine Adresse und den Inhalt, um zu antworten (Art. 6 Abs. 1 lit. b DSGVO bei Fragen zu deinem Konto, sonst lit. f). Das Postfach liegt auf unserem eigenen Mailserver auf demselben Server in Helsinki. Eingehende Mails werden automatisch auf Spam und Schadsoftware geprüft, und der Mailserver protokolliert jede Zustellung (Absender, Empfänger, Zeitpunkt, IP-Adressen der beteiligten Server). Diese Protokolle werden spätestens nach 90 Tagen gelöscht, deine Nachricht, sobald die Anfrage erledigt ist und keine Aufbewahrungspflicht besteht.

Empfänger

• Technische Betreuung — ein IT-Dienstleister betreibt App und Server in unserem Auftrag (Auftragsverarbeitung nach Art. 28 DSGVO; ein entsprechender Vertrag besteht).
• Hosting — Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die App und alle Daten liegen auf einem Server in einem Rechenzentrum von Hetzner in Helsinki (Finnland, EU). Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).
• E-Mail-Versand — Resend, ein Dienst der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Resend verschickt in unserem Auftrag die Mails zur Bestätigung und Anmeldung sowie die Mail mit deinem Amazon-Gutscheincode und erhält dafür die jeweilige E-Mail-Adresse und den Inhalt der Mail. Der Versand ist bei Resend auf die Region EU eingestellt; weil Resend ein Unternehmen in den USA ist, können Daten trotzdem auch in den USA verarbeitet werden. Mit Resend besteht ein Vertrag zur Auftragsverarbeitung (Bestandteil der Nutzungsbedingungen von Resend). Übermittlungen in die USA stützen sich auf die Zertifizierung von Resend nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) und ergänzend auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Die Unterauftragnehmer von Resend stehen unter resend.com/legal/subprocessors. Nach Ende unseres Resend-Kontos löscht Resend die Daten innerhalb von 90 Tagen.
• Auszahlung per PayPal oder Überweisung — diese Auszahlungen führen wir von Hand aus. Dafür erhält PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg, deine PayPal-Adresse und den Betrag bzw. unsere Bank deine IBAN, deinen Namen und den Betrag (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO). Amazon-Gutscheine kaufen wir selbst ein; an Amazon geben wir keine Daten von dir weiter.
• Telefonbestätigung (Google Firebase) — Die einmalige Bestätigung deiner Telefonnummer vor der ersten Auszahlung übernimmt Firebase Authentication mit reCAPTCHA der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Startest du die Bestätigung, schickt die Web-Version deine Telefonnummer direkt an Google; Google versendet den Code per SMS und prüft ihn. reCAPTCHA verarbeitet dabei deine IP-Adresse sowie Geräte- und Browserinformationen (zum Beispiel Browsertyp, Spracheinstellung, Bildschirmgröße und Interaktionen mit der Seite), um automatisierte Missbrauchsversuche zu erkennen, und kann dafür Cookies oder lokalen Speicher in deinem Browser nutzen; das ist für die von dir angeforderte Bestätigung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Wir erhalten von Google nur die Bestätigung, dass die Nummer zu dir gehört, und speichern davon lediglich eine Prüfsumme. Das dabei bei Google angelegte Konto löscht die App unmittelbar nach der Bestätigung wieder. SMS gehen nur an deutsche Mobilfunknummern. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Abwehr von Missbrauch und Mehrfachkonten (Art. 6 Abs. 1 lit. f DSGVO). Google kann Daten auch in den USA verarbeiten. Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mehr dazu: Datenschutzerklärung von Google.
• Partner — derzeit ist kein Offerwall-Partner angebunden. Bevor einer angebunden wird, ergänzen wir diese Erklärung um seinen Namen, seinen Sitz, die übermittelten Daten und die Rechtsgrundlage.

Wir verkaufen keine Daten.

Wie lange wir speichern

Buchungsdaten bleiben zehn Jahre gespeichert, weil § 147 Abgabenordnung und § 257 Handelsgesetzbuch
das verlangen. Alles Persönliche wird bei einer Kontolöschung anonymisiert.

Sicherungen: Die Datenbank wird jede Nacht verschlüsselt gesichert; auf dem Server bleiben diese Sicherungen 14 Tage. E-Mails an info@sparsack.de sind in eigenen Sicherungen etwa zwei Monate enthalten (14 tägliche und 8 wöchentliche Stände). Zusätzlich wird regelmäßig eine verschlüsselte Kopie auf einen Rechner des Betreibers in Deutschland übertragen; dort bleiben Datenbank-Sicherungen in der Regel 30 Tage, E-Mails bis zu etwa 44 Tage, länger nur, wenn der Rechner zwischendurch ausgeschaltet war. Nach einer Kontolöschung können deine Daten bis zum Ablauf dieser Fristen noch in Sicherungen enthalten sein; Sicherungen nutzen wir nur zur Wiederherstellung.

Deine Rechte

Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18),
Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage eines
berechtigten Interesses (Art. 21). Dafür genügt eine Nachricht an info@sparsack.de.

Konto löschen kannst du jederzeit selbst in der App unter „Konto".

Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden
datenschutz.hessen.de

Automatisierte Entscheidungen

Wir prüfen jedes Konto automatisch auf Mehrfachanmeldungen und Manipulation. Fällt die Prüfung
auffällig aus, kann eine Gutschrift länger zurückgehalten oder ein Konto gesperrt werden. Du kannst
diese Entscheidung jederzeit von einem Menschen überprüfen lassen — schreib an info@sparsack.de.

Altersgrenze

Sparsack ist ab 16 Jahren. Jüngere dürfen kein Konto anlegen.

Stand: 17. Oktober 2026