Datenschutzerklärung

Batzenbank bearbeitet Daten von Eltern und ihren Kindern. Weil Kinderdaten betroffen sind, gehen wir sparsamer damit um, als es das Gesetz verlangt.

Batzenbank richtet sich an Familien in der Schweiz. Es gilt das Schweizer Datenschutzgesetz (DSG). Wer die App von anderswo nutzt, kann das tun, wir richten unser Angebot aber nicht auf andere Länder aus.

Wer dafür einsteht

Verantwortlich für die Bearbeitung dieser Daten ist:

Severin Frei, Schweiz

kontakt@batzenbank.ch

An diese Adresse gehen Fragen, Auskunftsbegehren, Berichtigungen und Widersprüche. Auskunft über alles Gespeicherte bekommst du allerdings sofort und ohne Anfrage unter Konto → Meine Daten.

Welche Daten wir speichern

Vom Konto: E-Mail-Adresse, freiwilliger Anzeigename, Sprache, Zeitpunkt der letzten Anmeldung. Falls du Threema freischaltest, deine Threema-ID. Kein Passwort, denn die Anmeldung läuft über einen Code per E-Mail. Kein Name, keine Adresse, keine Telefonnummer.

Vom Kind: Vorname, freiwilliges Geburtsdatum, Region und Währung. Bewusst kein Nachname.

Zugehörigkeiten: Welche Erwachsenen für welches Kind eingetragen sind. Das ist die Grundlage dafür, wer was sehen und buchen darf.

Aus der Nutzung: Auszahlpläne, Übergaben, Verwahrtöpfe, also das Protokoll, für das die App da ist. Jede Buchung ist mit einer Prüfsumme an ihre Vorgängerin gekettet, damit nachträgliche Änderungen auffallen würden.

Von Eingeladenen: Lädst du jemanden ein, speichern wir dessen E-Mail-Adresse, bis die Einladung angenommen wird oder abläuft. Die Einladungsmail nennt, wer eingeladen hat, und verweist auf diese Erklärung. Wer nicht reagiert, hört nichts weiter von uns.

Technisch: Sitzungen mit Gerätebezeichnung, Zeitpunkte von Anmeldeversuchen und Anmeldecodes als Prüfsumme. IP-Adressen speichern wir nur als Prüfsumme mit täglich wechselndem Schlüssel; nach einem Tag lässt sich die Adresse auch von uns nicht mehr herstellen. Fehlerprotokolle enthalten Zeitpunkt, betroffene Programmstelle und interne Kennnummern, keine Adressen oder Namen.

Auf deinem Gerät: Neben den unten genannten Cookies legt dein Browser die App-Dateien in einem Zwischenspeicher ab, damit die App schnell startet. Deine Daten liegen nicht darin.

Wozu

Ausschliesslich, um die App zu betreiben: Anmeldung, Protokollführung und Erinnerungen. Keine Werbung, keine Weitergabe, keine Auswertung zu anderen Zwecken.

Cookies

Wir setzen vier Cookies, alle technisch erforderlich oder von dir selbst ausgelöst:

• `bb_session`: Anmeldung, ein Jahr, gleitend verlängert
• `bb_challenge`: bindet den Anmeldecode an deinen Browser, zehn Minuten
• `bb_csrf`: Schutz vor Formularmissbrauch, endet mit dem Browser
• `bb_email`: merkt deine Adresse auf diesem Gerät, nur mit deinem Häkchen

Kein Tracking, keine Reichweitenmessung, keine Drittanbieter, keine externen Schriften. Deshalb brauchen wir auch keinen Einwilligungsbanner.

Wie lange

• Sitzungen: bis zum Ablauf, längstens ein Jahr ohne Nutzung
• Anmeldeversuche: 24 Stunden
• Einladungen: 14 Tage gültig, 30 Tage nach Ablauf entfernt
• Andere Token: 30 Tage nach Ablauf
• Versandte Nachrichten: 90 Tage
• Rückholcodes: 90 Tage nach Kontolöschung
• Threema-ID: bis du Threema abschaltest oder dein Konto löschst
• Technische Protokolle (Fehler- und Cron-Ausgaben): 14 Tage
• Protokoll unserer Eingriffe (Sperre, Freischaltung, Einsicht): 3 Jahre
• Sicherungskopien: tägliche Stände 7 Tage, Monatsstände längstens ein Jahr; bei Hostpoint zusätzlich [Frist gemäss gewähltem Paket]
• Konto: 30 Tage nach Löschauftrag, dann anonymisiert
• Unbenutztes Konto: gelöscht nach 24 Monaten ohne Anmeldung und ohne erfasste Übergabe bei deinen Kindern; wir warnen dich vorher zweimal per E-Mail, 30 und 5 Tage vor der Löschung
• Kind ohne Beteiligte: 90 Tage, dann gelöscht
• Buchungen: bis zur Löschung des Kindes

Erinnerungen

Erinnerungen gehen per E-Mail. Zusätzlich kannst du Threema freischalten und jederzeit wieder abschalten.

Welche Anlässe dir gemeldet werden, wählst du je Kind selbst: ausstehende und erfasste Übergaben, der Geburtstag, der Schulstart und ein eigener Merktag. Die gewählten Anlässe und die von dir gesetzten Merktage speichern wir als Teil deiner Einstellungen.

E-Mail. Versand über die Mailserver von Hostpoint in der Schweiz. E-Mails werden auf dem Transportweg verschlüsselt, sofern der Empfängerserver das unterstützt. Liegt dein Postfach bei einem ausländischen Anbieter, verlässt der Inhalt zudem die Schweiz. Darauf haben wir keinen Einfluss. Der Inhalt unserer Erinnerungen ist deshalb bewusst knapp: Vorname des Kindes und Datum, kein Betrag, kein Nachname, keine Salden, keine Verläufe.

Threema. Wenn du deine Threema-ID hinterlegst, senden wir über das Threema Gateway der Threema GmbH in der Schweiz, Ende-zu-Ende-verschlüsselt. Threema sieht Empfänger und Zeitpunkt, nicht den Inhalt.

Auch wenn du Batzenbank auf dem Handy installierst, bleibt es dabei: Die App sendet keine Push-Benachrichtigungen und greift auf nichts auf dem Gerät zu. Sie ist eine Website, die sich wie eine App öffnen lässt.

Deine Rechte

Auskunft. Unter Konto → Meine Daten bekommst du sofort alles Gespeicherte als Datei, in einem gängigen Format, das du auch woanders weiterverwenden kannst. Wenn du lieber schriftlich anfragst, antworten wir innert 30 Tagen und kostenlos. Wir prüfen dabei, dass die Anfrage wirklich von dir kommt.

Berichtigung. Kontoangaben und Kinderangaben kannst du jederzeit selbst ändern. Buchungen lassen sich nicht nachträglich umschreiben, das ist der Sinn eines Protokolls. Eine falsche Buchung wird mit einer Stornobuchung korrigiert, beide bleiben sichtbar.

Bestreiten. Bist du mit einer Buchung nicht einverstanden und lässt sich nicht klären, wer recht hat, kannst du einen Vermerk anbringen lassen, dass sie bestritten ist. Der Vermerk ist für alle Beteiligten sichtbar und bleibt bestehen.

Widerspruch und Widerruf. Threema kannst du jederzeit abschalten. Gegen die Bearbeitung insgesamt kannst du widersprechen; das läuft praktisch auf die Kontolöschung hinaus.

Löschung. Dein Konto kannst du jederzeit löschen. Danach bist du überall abgemeldet und erhältst keine Erinnerungen mehr. Adresse und Anzeigename bleiben 30 Tage als Bedenkzeit bestehen; meldest du dich in dieser Zeit wieder an, ist die Löschung aufgehoben. Wer keine Bedenkzeit will, kann auch sofort und endgültig löschen.

Beim Vollzug entfernen wir E-Mail-Adresse, Anzeigename, Threema-ID, Sitzungen, Einstellungen und versandte Nachrichten. Die Buchungen bleiben bestehen. Sie sind zugleich das Protokoll des Kindes, auf das eine andere Person angewiesen ist; bei getrennt lebenden Eltern ist genau das der Sinn der Sache. Als Urheber erscheint danach nur noch „Gelöschtes Konto".

Mit der letzten Nachricht erhältst du je Kind einen Rückholcode, 90 Tage gültig. Damit kannst du einem Kind wieder beitreten; die anderen Beteiligten werden darüber informiert. Der Code ist bei uns ohne Bezug zu deiner Adresse gespeichert.

Ein Kind löschen geht nur mit Zustimmung aller Beteiligten und mit 14 Tagen Bedenkzeit. Alle werden informiert, jeder kann bis zum Vollzug abbrechen. Ein Elternteil soll die gemeinsame Wahrheit nicht im Alleingang vernichten können. Danach wird alles endgültig entfernt: Pläne, Buchungen, Töpfe.

Ist für ein Kind niemand mehr eingetragen, wird es 90 Tage nach dem Austritt der letzten Person automatisch gelöscht.

Rechte des Kindes. Das Kind hat dieselben Rechte an seinen Daten. Solange es jung ist, nehmt ihr sie als Eltern wahr. Ein Kind, das alt genug ist, die Sache zu verstehen, kann sich auch direkt an uns wenden.

Beschwerde. Wenn du findest, dass wir deine Daten nicht korrekt behandeln, schreib uns zuerst. Darüber hinaus kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

Wer bearbeitet

Der Betrieb läuft bei der Hostpoint AG, Rapperswil-Jona. Dort liegen Datenbank und Dateien, und über deren Mailserver gehen unsere Nachrichten raus. Hostpoint ist Auftragsbearbeiterin: Sie darf die Daten nur für den Betrieb des Hostings bearbeiten, nicht für eigene Zwecke. Das ist in der Vereinbarung zur Auftragsdatenbearbeitung geregelt, die Teil der Hostpoint-AGB ist. Hostpoint behält sich vor, Inhalte bei Störungen, auf behördliche Anordnung oder stichprobenweise einzusehen.

Hostpoint kann für einzelne Leistungen Unterauftragsbearbeiter beiziehen und informiert uns 60 Tage im Voraus über Änderungen. Soweit wir wissen, bleiben die Daten von Batzenbank dabei in der Schweiz. [Falls nicht: Ausnahmen sind …]

Threema-Nachrichten laufen über das Gateway der Threema GmbH in der Schweiz, ebenfalls als Auftragsbearbeiterin nach unseren Vorgaben.

Anfragen zu deinen Daten richtest du an uns, nicht an Hostpoint. Hostpoint leitet solche Anfragen ohnehin an uns weiter.

Wie jeder Webserver schreibt auch der von Hostpoint Zugriffsprotokolle mit vollständiger IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung. Diese Protokolle dienen der Betriebssicherheit und der Fehlersuche. Sie werden nach [X Tagen] gelöscht und nicht mit deinem Konto verknüpft.

Sonst gibt niemand die Daten weiter. Keine Auswertung, keine Werbung, keine Weitergabe an Dritte.

Was wir selbst sehen

Für den Betrieb gibt es einen Verwaltungsbereich. Von deinem Konto sehen wir dort: die E-Mail-Adresse, ob es aktiv oder gesperrt ist, die Sprache, welcher Tarif gilt, wann es angelegt wurde, wann du dich zuletzt angemeldet hast, wie viele Geräte angemeldet sind, ob noch Einladungen offen sind, wie viele Kinder dazugehören und bei wie vielen davon noch kein Auszahlplan steht. Dazu eine Liste der letzten Nachrichten an dich mit Anlass, Zeitpunkt und dem Vermerk, ob die Zustellung geklappt hat.

Nicht sichtbar sind dort: die Namen der Kinder, Beträge, Buchungen, Verwahrtöpfe, Kontoauszüge und der Inhalt von Nachrichten. Wir können uns auch nicht als du anmelden. Wenn du wegen einer einzelnen Buchung Hilfe brauchst, können wir sie nicht nachschlagen, sondern dir nur erklären, wie du sie selbst richtigstellst.

Jede Einsicht in ein Konto und jeder Eingriff wird protokolliert: wer, wann, was und aus welchem Grund. Dieses Protokoll bewahren wir drei Jahre auf. Löschst du dein Konto, bleibt der Eintrag bestehen, die Adresse darin wird aber durch eine Kennung ersetzt, die nicht mehr auf dich zurückführt.

Sperren wir ein Konto, erfährst du den Grund, sobald du den nächsten Anmeldecode eingibst.

Davon zu unterscheiden ist der technische Zugang zum Server. Wer ihn hat, kommt an die Datenbank und damit grundsätzlich an alle Daten heran. Diesen Zugang hat nur eine Person, und er dient dem Betrieb und der Fehlersuche, nicht dem Blick in einzelne Familien.

Sicherungskopien

Einmal täglich wird eine Kopie der Datenbank erstellt und verschlüsselt auf ein privates System in der Schweiz (Kanton Zürich) übertragen, das ich selbst betreibe. Sicherungskopien dienen nur dazu, den Betrieb nach einem Ausfall wiederherzustellen. Sie werden nicht ausgewertet und nicht für den Normalbetrieb genutzt. Tägliche Sicherungen werden nach sieben Tagen überschrieben, Monatsstände nach einem Jahr.

Zusätzlich erstellt Hostpoint eigene Sicherungskopien ihrer Systeme.

Wenn du dein Konto oder ein Kind löschst, ist das in der laufenden App sofort wirksam. Gelöschte Daten können aber in Sicherungskopien von Hostpoint noch bis zu [Frist gemäss gewähltem Paket] und in unseren eigenen Sicherungen bis zu einem Jahr vorhanden sein. Sie werden von dort nicht wiederhergestellt, ausser zur Behebung eines Totalausfalls. Damit eine Wiederherstellung deine Löschung nicht rückgängig macht, führen wir ein Löschjournal: Jede Löschung wird mit Zeitpunkt vermerkt, und nach dem Einspielen einer Sicherungskopie werden alle seither erfolgten Löschungen erneut angewendet, bevor die App wieder freigegeben wird.

Sicherheit

Die Verbindung zur App ist verschlüsselt (TLS). Wir speichern keine Passwörter, weil es keine gibt; Anmeldecodes und Sitzungen liegen nur als Prüfsumme bei uns. Die Datenbank ist von aussen nicht erreichbar. Sicherungen werden verschlüsselt übertragen [und gespeichert]. Zugang zu Server und Sicherungen hat nur eine Person. Absolute Sicherheit gibt es nicht; wenn etwas passiert, informieren wir die Betroffenen. Erfährt Hostpoint von einer Verletzung der Datensicherheit, meldet sie uns das, und wir informieren dich, sofern ein Risiko für dich oder dein Kind besteht.

Wenn Batzenbank eingestellt wird

Falls wir den Betrieb beenden, informieren wir dich mindestens 90 Tage vorher per E-Mail. In dieser Zeit kannst du alle Daten unter Konto → Meine Daten herunterladen. Danach löschen wir die Datenbank bei Hostpoint und unsere eigenen Sicherungen.

Änderungen

Wenn sich an der Datenbearbeitung etwas ändert, das dich betrifft, etwa ein neuer Erinnerungskanal oder eine andere Aufbewahrungsfrist, informieren wir dich per E-Mail, bevor es gilt. Das gilt auch, wenn Hostpoint die Bedingungen der Auftragsbearbeitung so ändert, dass es dich betrifft. Kleine Korrekturen am Text machen wir ohne Ankündigung. Es gilt die auf batzenbank.ch veröffentlichte Fassung.

Geschrieben ist diese Erklärung auf Deutsch. Übersetzungen sollen sie verständlich machen, nicht verändern. Bei Widersprüchen zwischen den Sprachfassungen gilt die deutsche.