Batzenbank

Datenschutzerklärung

Batzenbank bearbeitet Daten von Eltern und ihren Kindern. Weil Kinderdaten betroffen sind, gehen wir sparsamer damit um, als es das Gesetz verlangt.

Batzenbank richtet sich an Familien in der Schweiz. Es gilt das Schweizer Datenschutzgesetz (DSG). Wer die App von anderswo nutzt, kann das tun, wir richten unser Angebot aber nicht auf andere Länder aus.

Wer dafür einsteht

Verantwortlich für die Bearbeitung dieser Daten ist:

Severin Frei, Schweiz

kontakt@batzenbank.ch

An diese Adresse gehen Fragen, Auskunftsbegehren, Berichtigungen und Widersprüche. Auskunft über alles Gespeicherte bekommst du allerdings sofort und ohne Anfrage unter Konto → Meine Daten.

Welche Daten wir speichern

Vom Konto: E-Mail-Adresse, freiwilliger Anzeigename, Sprache, Zeitpunkt der letzten Anmeldung, und zu welcher Fassung der Nutzungsbedingungen und dieser Erklärung du zugestimmt hast. Falls du Threema einschaltest, deine Threema-ID und der Zeitpunkt der Bestätigung. Kein Passwort, denn die Anmeldung läuft über einen Code per E-Mail. Kein Name, keine Adresse, keine Telefonnummer.

Vom Kind: Vorname, freiwilliges Geburtsdatum, Region und Währung. Bewusst kein Nachname.

Zugehörigkeiten: Welche Erwachsenen für welches Kind eingetragen sind. Das ist die Grundlage dafür, wer was sehen und buchen darf.

Aus der Nutzung: Auszahlpläne, Übergaben, Verwahrtöpfe, also das Protokoll, für das die App da ist. Jede Buchung ist mit einer Prüfsumme an ihre Vorgängerin gekettet, damit nachträgliche Änderungen auffallen würden.

Von Eingeladenen: Lädst du jemanden ein, speichern wir dessen E-Mail-Adresse, bis die Einladung angenommen wird oder abläuft. Die Einladungsmail nennt, wer eingeladen hat, und verweist auf diese Erklärung. Wer nicht reagiert, hört nichts weiter von uns.

Technisch: Sitzungen mit Gerätebezeichnung, Zeitpunkte von Anmeldeversuchen und Anmeldecodes als Prüfsumme. Dasselbe gilt für den Code, mit dem du eine Threema-ID bestätigst: gespeichert wird nur seine Prüfsumme, dazu wie lange er gilt und wie oft er falsch eingegeben wurde. Deine IP-Adresse speichern wir nicht. Um Missbrauch abzuwehren, zählen wir Anmeldeversuche je Adresse; in dieser Zählung steht die Adresse nur als Prüfsumme, und die ganze Zählung wird nach 24 Stunden gelöscht. Fehlerprotokolle enthalten Zeitpunkt, betroffene Programmstelle und interne Kennnummern, keine Adressen oder Namen.

Auf deinem Gerät: Neben den unten genannten Cookies legt dein Browser die App-Dateien in einem Zwischenspeicher ab, damit die App schnell startet. Deine Daten liegen nicht darin.

Woher die Daten kommen

Fast alles gibst du selbst ein: dein Konto, die Angaben zum Kind, die Buchungen. Ein kleiner technischer Teil kommt von deinem Gerät, sobald du die App aufrufst, also die Bezeichnung deines Browsers und die Zeitpunkte deiner Anmeldungen.

Zwei Dinge stammen nicht von der Person, um die es geht, und das gehört gesagt:

Die Angaben zum Kind trägt ein Elternteil ein, nicht das Kind selbst. Das Kind hat dieselben Rechte an seinen Daten wie du an deinen, siehe unten.

Die Adresse einer eingeladenen Person bekommen wir von der einladenden. Deshalb sagt die Einladungsmail, woher wir die Adresse haben, wie lange wir sie behalten, und verweist auf diese Erklärung. Wer nicht reagiert, hört nichts weiter von uns.

Andere Quellen gibt es nicht. Wir kaufen keine Adressen, lesen nichts aus Verzeichnissen oder sozialen Netzwerken zu, und niemand meldet uns etwas über dich.

Wozu

Ausschliesslich, um die App zu betreiben: Anmeldung, Protokollführung und Erinnerungen. Keine Werbung, keine Weitergabe, keine Auswertung zu anderen Zwecken.

Cookies

Wir setzen sieben Cookies, alle technisch erforderlich oder von dir selbst ausgelöst:

Kein Tracking, keine Reichweitenmessung, keine Drittanbieter, keine externen Schriften. Deshalb brauchen wir auch keinen Einwilligungsbanner.

Wie lange

Erinnerungen

Erinnerungen gehen per E-Mail. Zusätzlich kann Threema dazukommen, wenn wir den Kanal für dein Konto freigeschaltet haben; abschalten kannst du ihn jederzeit selbst.

Welche Anlässe dir gemeldet werden, wählst du je Kind selbst: ausstehende und erfasste Übergaben, der Geburtstag, der Schulstart und ein eigener Merktag. Die gewählten Anlässe und die von dir gesetzten Merktage speichern wir als Teil deiner Einstellungen.

E-Mail. Versand über die Mailserver von Hostpoint in der Schweiz. E-Mails werden auf dem Transportweg verschlüsselt, sofern der Empfängerserver das unterstützt. Liegt dein Postfach bei einem ausländischen Anbieter, verlässt der Inhalt zudem die Schweiz. Darauf haben wir keinen Einfluss. Der Inhalt unserer Erinnerungen ist deshalb bewusst knapp: Vorname des Kindes und Datum, kein Betrag, kein Nachname, keine Salden, keine Verläufe.

Threema. Der Kanal ist nicht von sich aus da. Wir schalten ihn je Konto frei; erst danach erscheint er unter Konto → Erinnerungen per Threema.

Zum Einschalten gibst du deine Threema-ID ein. Wir fragen bei Threema nach, ob es diese ID gibt, und schicken einen sechsstelligen Code an sie. Erst wenn du ihn zurücktippst, ist der Kanal aktiv. Der Umweg hat einen Grund: sonst könnte jemand die ID einer anderen Person eintragen, und deren Threema bekäme Erinnerungen über fremde Kinder.

Danach entscheidest du bei jedem Kind selbst, was per E-Mail und was per Threema kommt. Zu Beginn ist die Übergabe-Erinnerung auf beiden Wegen angekreuzt, dort wo sie schon per E-Mail lief. An deinen E-Mail-Einstellungen ändern wir dabei nichts.

Versandt wird über das Threema Gateway der Threema GmbH in der Schweiz, Ende-zu-Ende-verschlüsselt. Threema sieht Empfänger und Zeitpunkt, nicht den Inhalt. Die Nachricht selbst ist so knapp wie die E-Mail: Vorname des Kindes und Datum, kein Betrag.

Schaltest du Threema ab, verschwinden deine ID und alle Haken, die auf Threema gesetzt sind. Die E-Mail-Einstellungen bleiben. Dasselbe geschieht, wenn wir den Kanal für dein Konto nicht mehr freigeschaltet lassen: die Erinnerung fällt dann nicht aus, sondern geht wieder per E-Mail.

Auch wenn du Batzenbank auf dem Handy installierst, bleibt es dabei: Die App sendet keine Push-Benachrichtigungen und greift auf nichts auf dem Gerät zu. Sie ist eine Website, die sich wie eine App öffnen lässt.

Deine Rechte

Auskunft. Unter Konto → Meine Daten bekommst du sofort alles Gespeicherte als Datei, in einem gängigen Format, das du auch woanders weiterverwenden kannst. Wenn du lieber schriftlich anfragst, antworten wir innert 30 Tagen und kostenlos. Wir prüfen dabei, dass die Anfrage wirklich von dir kommt.

Berichtigung. Kontoangaben und Kinderangaben kannst du jederzeit selbst ändern. Buchungen lassen sich nicht nachträglich umschreiben, das ist der Sinn eines Protokolls. Eine falsche Buchung wird mit einer Stornobuchung korrigiert, beide bleiben sichtbar.

Bestreiten. Bist du mit einer Buchung nicht einverstanden und lässt sich nicht klären, wer recht hat, kannst du bei der Buchung selbst einen Vermerk anbringen, dass sie bestritten ist. Du wählst dazu aus vier Gründen; ein Freitextfeld gibt es bewusst nicht. Der Vermerk ändert die Buchung nicht, er stellt sich daneben. Er ist für alle Beteiligten sichtbar und bleibt bestehen. Klärt sich die Sache später, kannst du ihn als geklärt kennzeichnen; er verschwindet dann nicht, es kommt nur eine Zeile dazu.

Widerspruch und Widerruf. Threema kannst du jederzeit selbst abschalten, auch dann, wenn wir den Kanal inzwischen nicht mehr freigeschaltet haben. Gegen die Bearbeitung insgesamt kannst du widersprechen; das läuft praktisch auf die Kontolöschung hinaus.

Löschung. Dein Konto kannst du jederzeit löschen. Danach bist du überall abgemeldet und erhältst keine Erinnerungen mehr. Adresse und Anzeigename bleiben 30 Tage als Bedenkzeit bestehen; meldest du dich in dieser Zeit wieder an, ist die Löschung aufgehoben. Wer keine Bedenkzeit will, kann auch sofort und endgültig löschen.

Beim Vollzug entfernen wir E-Mail-Adresse, Anzeigename, Threema-ID, Sitzungen, Einstellungen und versandte Nachrichten. Die Buchungen bleiben bestehen. Sie sind zugleich das Protokoll des Kindes, auf das eine andere Person angewiesen ist; bei getrennt lebenden Eltern ist genau das der Sinn der Sache. Als Urheber erscheint danach nur noch „Gelöschtes Konto".

Mit der letzten Nachricht erhältst du je Kind einen Rückholcode, 90 Tage gültig. Damit kannst du einem Kind wieder beitreten; die anderen Beteiligten werden darüber informiert. Der Code ist bei uns ohne Bezug zu deiner Adresse gespeichert.

Ein Kind löschen geht nur mit Zustimmung aller Beteiligten und mit 14 Tagen Bedenkzeit. Alle werden informiert, jeder kann bis zum Vollzug abbrechen. Ein Elternteil soll die gemeinsame Wahrheit nicht im Alleingang vernichten können. Danach wird alles endgültig entfernt: Pläne, Buchungen, Töpfe.

Ist für ein Kind niemand mehr eingetragen, wird es 90 Tage nach dem Austritt der letzten Person automatisch gelöscht.

Rechte des Kindes. Das Kind hat dieselben Rechte an seinen Daten. Solange es jung ist, nehmt ihr sie als Eltern wahr. Ein Kind, das alt genug ist, die Sache zu verstehen, kann sich auch direkt an uns wenden.

Wo diese Rechte enden. Zwei Grenzen gibt es, und beide haben einen Grund.

Buchungen lassen sich nicht umschreiben und nicht einzeln löschen, auch nicht auf Verlangen. Sie sind zugleich das Protokoll des Kindes, auf das eine andere Person angewiesen ist. Dafür gibt es die Stornobuchung und den Vermerk, dass eine Buchung bestritten ist.

Und wir dürfen eine Auskunft einschränken, wenn überwiegende Interessen anderer Personen dagegenstehen (Art. 26 DSG). Bei uns trifft das genau einmal zu: Sperren wir ein Konto wegen Missbrauch und senden dir die Auskunft zu, sind darin die Adressen und Anzeigenamen der anderen Beteiligten entfernt. Sonst gäbe ausgerechnet diese Auskunft fremde Kontaktdaten in die Hand. Alles, was dich selbst betrifft, steht vollständig darin.

Automatische Abläufe. Drei Dinge geschehen, ohne dass ein Mensch hinschaut: ein Konto wird nach 24 Monaten ohne Anmeldung gelöscht, ein Kind ohne Beteiligte 90 Tage nach dem Austritt der letzten Person, und wer sehr viele Anmeldecodes hintereinander anfordert, muss bis zur nächsten Stunde warten. Das sind Fristen, die für alle gleich ablaufen, und keine Beurteilung deiner Person. Die Kontolöschung kündigen wir zweimal an, 30 und 5 Tage vorher, und du wendest sie ab, indem du dich einmal anmeldest.

Eine automatisierte Einzelentscheidung im Sinn von Art. 21 DSG treffen wir nicht. Sollte dich trotzdem einmal etwas treffen, das automatisch entschieden wurde, schreib uns: dann sieht es sich ein Mensch an.

Beschwerde. Wenn du findest, dass wir deine Daten nicht korrekt behandeln, schreib uns zuerst. Darüber hinaus kannst du dich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

Wer bearbeitet

Der Betrieb läuft bei der Hostpoint AG, Rapperswil-Jona. Dort liegen Datenbank und Dateien, und über deren Mailserver gehen unsere Nachrichten raus. Hostpoint ist Auftragsbearbeiterin: Sie darf die Daten nur für den Betrieb des Hostings bearbeiten, nicht für eigene Zwecke. Das ist in der Vereinbarung zur Auftragsdatenbearbeitung geregelt, die Teil der Hostpoint-AGB ist. Hostpoint behält sich vor, Inhalte bei Störungen, auf behördliche Anordnung oder stichprobenweise einzusehen.

Hostpoint kann für einzelne Leistungen Unterauftragsbearbeiter beiziehen. Was das für den Ort der Bearbeitung heisst, steht im nächsten Abschnitt.

Threema-Nachrichten laufen über das Gateway der Threema GmbH in der Schweiz, ebenfalls als Auftragsbearbeiterin nach unseren Vorgaben.

Anfragen zu deinen Daten richtest du an uns, nicht an Hostpoint. Hostpoint leitet solche Anfragen ohnehin an uns weiter.

Wie jeder Webserver schreibt auch der von Hostpoint Zugriffsprotokolle mit vollständiger IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung. Diese Protokolle dienen der Betriebssicherheit und der Fehlersuche. Sie werden nach [X Tagen] gelöscht und nicht mit deinem Konto verknüpft.

Sonst gibt niemand die Daten weiter. Keine Auswertung, keine Werbung, keine Weitergabe an Dritte.

Ob Daten ins Ausland gehen

Wir selbst geben keine Daten ins Ausland. Datenbank, Dateien und unsere Sicherungskopien liegen in der Schweiz, die Mailserver stehen in der Schweiz, und Threema-Nachrichten laufen über ein Schweizer Gateway.

Zwei Wege führen trotzdem hinaus. Beide liegen nicht bei uns, und darum stehen sie hier:

Dein Postfach. Liegt deine E-Mail-Adresse bei einem ausländischen Anbieter, verlässt jede Nachricht an dich die Schweiz in dem Moment, in dem sie zugestellt wird. Darauf haben wir keinen Einfluss. Genau deshalb ist der Inhalt unserer Erinnerungen so knapp gehalten. Wenn dir das wichtig ist, nimm eine Adresse bei einem Schweizer Anbieter.

Unterauftragsbearbeiter von Hostpoint. Hostpoint darf für einzelne Leistungen Dritte beiziehen und muss uns 60 Tage im Voraus informieren, bevor sich daran etwas ändert. Käme dabei je eine Stelle ausserhalb der Schweiz zum Zug, nennen wir sie hier mit Land und mit der Grundlage, auf der die Übermittlung ruht, und zwar bevor es gilt. Die 60 Tage sind genau dafür da.

Was wir selbst sehen

Für den Betrieb gibt es einen Verwaltungsbereich. Von deinem Konto sehen wir dort: die E-Mail-Adresse, ob es aktiv oder gesperrt ist, die Sprache, welcher Tarif gilt und damit ob Threema für dich freigeschaltet ist, wann es angelegt wurde, wann du dich zuletzt angemeldet hast, wie viele Geräte angemeldet sind, ob noch Einladungen offen sind, wie viele Kinder dazugehören und bei wie vielen davon noch kein Auszahlplan steht. Dazu eine Liste der letzten Nachrichten an dich mit Anlass, Zeitpunkt und dem Vermerk, ob die Zustellung geklappt hat.

Nicht sichtbar sind dort: die Namen der Kinder, Beträge, Buchungen, Verwahrtöpfe, Kontoauszüge, der Inhalt von Nachrichten und deine Threema-ID. Wir schalten den Kanal frei, wir sehen nicht, für welche ID du ihn benutzt. Wir können uns auch nicht als du anmelden. Wenn du wegen einer einzelnen Buchung Hilfe brauchst, können wir sie nicht nachschlagen, sondern dir nur erklären, wie du sie selbst richtigstellst.

Jede Einsicht in ein Konto und jeder Eingriff wird protokolliert: wer, wann, was und aus welchem Grund. Dieses Protokoll bewahren wir drei Jahre auf. Löschst du dein Konto, bleibt der Eintrag bestehen, die Adresse darin wird aber durch eine Kennung ersetzt, die nicht mehr auf dich zurückführt.

Sperren wir ein Konto, erfährst du den Grund, sobald du den nächsten Anmeldecode eingibst.

Bei einer Sperre wegen Missbrauch können wir das Konto zugleich zur Löschung vormerken. Dann senden wir dir eine Auskunft über deine gespeicherten Daten als Datei per E-Mail, so wie du sie auch selbst hättest herunterladen können. Die Angaben zu anderen beteiligten Personen, ihre Adresse und ihr Anzeigename, sind darin entfernt, damit die Auskunft niemandem fremde Kontaktdaten in die Hand gibt. Das Konto wird danach wie ein Löschauftrag behandelt und nach 30 Tagen anonymisiert. Weil du gesperrt bist, kannst du diese Löschung nicht selbst aufhalten; die Buchungen bleiben als Protokoll des Kindes bestehen.

Davon zu unterscheiden ist der technische Zugang zum Server. Wer ihn hat, kommt an die Datenbank und damit grundsätzlich an alle Daten heran. Diesen Zugang hat nur eine Person, und er dient dem Betrieb und der Fehlersuche, nicht dem Blick in einzelne Familien.

Sicherungskopien

Einmal täglich wird eine Kopie der Datenbank erstellt und verschlüsselt auf ein privates System in der Schweiz (Kanton Zürich) übertragen, das ich selbst betreibe. Sicherungskopien dienen nur dazu, den Betrieb nach einem Ausfall wiederherzustellen. Sie werden nicht ausgewertet und nicht für den Normalbetrieb genutzt. Tägliche Sicherungen werden nach sieben Tagen überschrieben, Monatsstände nach einem Jahr.

Zusätzlich erstellt Hostpoint eigene Sicherungskopien ihrer Systeme.

Wenn du dein Konto oder ein Kind löschst, ist das in der laufenden App sofort wirksam. Gelöschte Daten können aber in Sicherungskopien von Hostpoint noch bis zu [Frist gemäss gewähltem Paket] und in unseren eigenen Sicherungen bis zu einem Jahr vorhanden sein. Sie werden von dort nicht wiederhergestellt, ausser zur Behebung eines Totalausfalls. Damit eine Wiederherstellung deine Löschung nicht rückgängig macht, führen wir ein Löschjournal: Jede Löschung wird mit Zeitpunkt vermerkt, und nach dem Einspielen einer Sicherungskopie werden alle seither erfolgten Löschungen erneut angewendet, bevor die App wieder freigegeben wird.

Sicherheit

Die Verbindung zur App ist verschlüsselt (TLS). Wir speichern keine Passwörter, weil es keine gibt; Anmeldecodes und Sitzungen liegen nur als Prüfsumme bei uns. Die Datenbank ist von aussen nicht erreichbar. Sicherungen werden verschlüsselt übertragen [und gespeichert]. Zugang zu Server und Sicherungen hat nur eine Person. Absolute Sicherheit gibt es nicht; wenn etwas passiert, informieren wir die Betroffenen. Erfährt Hostpoint von einer Verletzung der Datensicherheit, meldet sie uns das, und wir informieren dich, sofern ein Risiko für dich oder dein Kind besteht.

Wenn Batzenbank eingestellt wird

Falls wir den Betrieb beenden, informieren wir dich mindestens 90 Tage vorher per E-Mail. In dieser Zeit kannst du alle Daten unter Konto → Meine Daten herunterladen. Danach löschen wir die Datenbank bei Hostpoint und unsere eigenen Sicherungen.

Änderungen

Wenn sich an der Datenbearbeitung etwas ändert, das dich betrifft, etwa ein neuer Erinnerungskanal oder eine andere Aufbewahrungsfrist, informieren wir dich per E-Mail, bevor es gilt. Das gilt auch, wenn Hostpoint die Bedingungen der Auftragsbearbeitung so ändert, dass es dich betrifft. Kleine Korrekturen am Text machen wir ohne Ankündigung. Es gilt die auf batzenbank.ch veröffentlichte Fassung.

Geschrieben ist diese Erklärung auf Deutsch. Übersetzungen sollen sie verständlich machen, nicht verändern. Bei Widersprüchen zwischen den Sprachfassungen gilt die deutsche.

Fassung 2026-08-24