RECHTLICHES

Datenschutzerklärung

Zuletzt aktualisiert: 25. Juli 2026 · Gültig ab: 25. Juli 2026

1. Wer wir sind

Savvy („wir", „uns") ist eine Finanzverwaltungs-Anwendung, die von Savvy entwickelt und betrieben wird. Unsere Kontaktadresse ist vikkie@savvyagent.app.

Für Datenschutzzwecke ist Savvy der Verantwortliche für die in dieser Richtlinie beschriebenen personenbezogenen Daten.

2. Welche Daten wir erheben

2.1 Kontodaten

Wenn du ein Savvy-Konto erstellst, erheben wir:

• E-Mail-Adresse
• Vollständigen Namen (optional)
• Passwort (als bcrypt-Hash gespeichert — wir können es nicht lesen)
• Datum der Kontoerstellung
• Bevorzugte Sprache

2.2 Bank- und Transaktionsdaten

Wenn du über Open Banking ein Bankkonto verbindest (bereitgestellt von Qwist oder ähnlichen PSD2-regulierten Anbietern), erhalten und speichern wir:

• Kontoname, -typ und IBAN (maskiert)
• Kontostandsverlauf
• Transaktionsverlauf inklusive Betrag, Händlername, Datum und Kategorie
• Namen des Kontoinhabers, wie von deiner Bank zurückgegeben

Wir speichern nicht deinen Bank-Benutzernamen, dein Passwort, deine PIN oder andere Zugangsdaten zu deiner Bank. Der Zugriff erfolgt über OAuth-Tokens, die von PSD2-regulierten Drittanbietern ausgestellt werden, und kann jederzeit widerrufen werden.

2.3 App-Nutzungsdaten

• Genutzte Funktionen und angesehene Bildschirme (anonymisiert)
• Fehlerprotokolle
• Sitzungszeitstempel
• Betriebssystemversion des Geräts und App-Version

2.4 Kommunikationsdaten

• Nachrichten an unser Support-Team
• E-Mail-Adresse für die Warteliste
• Freiwillig eingereichtes In-App-Feedback

3. Wie wir deine Daten nutzen

Zweck	Verwendete Daten
Bereitstellung des Savvy-Dienstes (Kategorisierung, Payday Plan, KI-Einblicke, Savings Pots)	Transaktionsdaten, Kontodaten
Bereitstellung der Ask-Savvy-KI-Antworten	Transaktionsverlauf, Ausgabenmuster — verarbeitet über AWS Bedrock (nur EU-Regionen) für Echtzeit-Inferenz, nicht gespeichert
Erstellung von Monatsberichten	Transaktionsdaten, Kontodaten
Versand von Dienstbenachrichtigungen (Gehaltseingang erkannt, Auffälligkeit festgestellt)	E-Mail-Adresse, Kontodaten
Produktverbesserung (Analyse der Funktionsnutzung)	Anonymisierte Nutzungsdaten
Beantwortung von Support-Anfragen	E-Mail-Adresse, Beschreibung des Anliegens
Erfüllung rechtlicher Verpflichtungen	Kontodaten

4. Rechtsgrundlage der Verarbeitung

Nach der DSGVO stützen wir uns auf folgende Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b): Verarbeitung, die zur Erbringung des von dir gebuchten Savvy-Dienstes erforderlich ist.
• Einwilligung (Art. 6 Abs. 1 lit. a): Wenn du ausdrücklich zugestimmt hast — etwa beim Verbinden eines Bankkontos oder beim Aktivieren optionaler Analysen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Betrugsprävention, Dienstsicherheit und Produktverbesserung, sofern deine Interessen nicht überwiegen.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Wenn wir eine gesetzliche Anforderung erfüllen müssen.

5. Bank- und Open-Banking-Daten

Savvy nutzt PSD2-regulierte Open-Banking-Anbieter (derzeit Qwist), um sich mit deiner Bank zu verbinden. Diese Anbieter sind von den zuständigen Finanzaufsichtsbehörden lizenziert und unterliegen strengen Datenschutzregeln.

Das Verbinden eines Bankkontos gewährt Savvy nur lesenden (AIS-)Zugriff — wir können deine Konto- und Transaktionsdaten sehen, aber diese Verbindung allein kann kein Geld bewegen, keine Zahlungen auslösen und dein Konto in keiner Weise verändern.

Wenn du separat die Payday-Plan-Automatisierung aktivierst oder eine von Savvy vorgeschlagene Überweisung genehmigst, wirst du gebeten, eine zusätzliche, ausdrückliche Zahlungsauslösungs-Einwilligung (PIS) zu erteilen. Nur mit dieser separaten Einwilligung kann Savvy eine Banküberweisung auslösen — und jede einzelne Überweisung erfordert weiterhin, dass du dich direkt bei deiner eigenen Bank authentifizierst (starke Kundenauthentifizierung), bevor sie ausgeführt wird. Savvy hat niemals einen dauerhaften Zugriff, um Geld zu bewegen, ohne dass deine Bank jede Überweisung mit dir bestätigt.

Du kannst die Nur-Lese-Bankverbindung oder die Zahlungsauslösungs-Einwilligung jederzeit in der Savvy-App widerrufen. Der Widerruf beendet sofort unsere Möglichkeit, neue Daten abzurufen oder Zahlungen auszulösen. Zuvor abgerufene Transaktionsdaten bleiben erhalten, sofern du dein Konto nicht löschst.

6. Datenweitergabe und Dritte

Wir verkaufen deine Daten nie an Dritte. Wir geben Daten nur an folgende Kategorien von Auftragsverarbeitern weiter, jeweils unter einem Auftragsverarbeitungsvertrag:

• Supabase (Infrastruktur und Datenbank) — EU-Datenresidenz
• Qwist (Open-Banking-Datenzugriff und Zahlungsauslösung) — regulierte EU-Einheit
• AWS Bedrock (betreibt Anthropics Claude-Modell für Ask Savvy, nur EU-Regionen) — Anthropic erhält oder greift nie direkt auf diese Daten zu; nur für Echtzeit-Inferenz genutzt, nie gespeichert oder zum Trainieren eines Modells verwendet
• Apple (App-Store-Vertrieb, Push-Benachrichtigungen)
• Google Analytics / Microsoft Clarity (anonymisierte Website-Analyse — keine Finanzdaten)

Wir können Daten weitergeben, wenn dies durch eine gerichtliche Anordnung oder eine andere gesetzliche Verpflichtung erforderlich ist. Wir informieren dich, soweit rechtlich zulässig.

7. Datenspeicherung und Sicherheit

Alle Daten werden auf Supabase-Infrastruktur gespeichert, die in der EU (Frankfurt) gehostet wird. Wir setzen ein:

• AES-256-Verschlüsselung im Ruhezustand für alle Nutzerdaten
• TLS 1.3 bei der Übertragung für die gesamte API- und App-Kommunikation
• Row-Level Security (RLS), die sicherstellt, dass Nutzer nur auf ihre eigenen Daten zugreifen können
• Mit bcrypt gehashte Passwörter (nie im Klartext gespeichert)
• Niemals gespeicherte Bankzugangsdaten

Wir bewahren deine Daten auf, solange dein Konto aktiv ist, plus 30 Tage nach der Löschung, um eine Fehlerbehebung zu ermöglichen. Nach 30 Tagen werden alle Daten dauerhaft aus unseren Systemen gelöscht.

8. Deine Rechte nach der DSGVO

Du hast folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunft: Eine Kopie aller über dich gespeicherten Daten anfordern.
• Berichtigung: Ungenaue oder unvollständige Daten korrigieren.
• Löschung: Dein Konto und alle zugehörigen Daten löschen. Direkt in der App unter Einstellungen verfügbar.
• Einschränkung: Verlangen, dass wir die Verarbeitung deiner Daten unter bestimmten Umständen einschränken.
• Datenübertragbarkeit: Deine Daten in einem maschinenlesbaren Format erhalten.
• Widerspruch: Der Verarbeitung aufgrund berechtigten Interesses widersprechen.
• Widerruf der Einwilligung: Jede erteilte Einwilligung jederzeit widerrufen, ohne die Rechtmäßigkeit der bisherigen Verarbeitung zu berühren.

Um eines dieser Rechte auszuüben, schreibe an vikkie@savvyagent.app. Wir antworten innerhalb von 30 Tagen.

9. Cookies

Die mobile Savvy-App verwendet keine Cookies. Unsere Website (savvyagent.app) verwendet:

• Essenzielle Cookies: Für die Funktion der Seite erforderlich (Sitzungsstatus, Design-Einstellung). Keine Einwilligung erforderlich.
• Analyse-Cookies: Google Analytics und Microsoft Clarity, um den aggregierten Traffic und die Nutzung der Seite zu verstehen. Diese werden erst geladen, wenn du sie im beim ersten Besuch angezeigten Cookie-Banner ausdrücklich akzeptierst. Du kannst deine Wahl jederzeit über den Link „Cookie-Einstellungen" in der Fußzeile der Seite ändern, wodurch die Einwilligung sofort widerrufen oder erteilt wird.

10. Kinder

Savvy richtet sich nicht an Personen unter 18 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern. Wenn du glaubst, dass ein Minderjähriger ein Konto erstellt hat, kontaktiere uns bitte sofort unter vikkie@savvyagent.app.

11. Änderungen dieser Richtlinie

Wir können diese Richtlinie aktualisieren, wenn sich unser Produkt weiterentwickelt oder sich Vorschriften ändern. Wesentliche Änderungen werden registrierten Nutzern mindestens 14 Tage vor Inkrafttreten per E-Mail mitgeteilt. Das Datum „Zuletzt aktualisiert" oben spiegelt immer die aktuelle Version wider.

12. Kontakt und Beschwerden

Für Datenschutzfragen oder -anfragen: vikkie@savvyagent.app

Du hast das Recht, eine Beschwerde bei deiner nationalen Datenschutzbehörde einzureichen. In Deutschland ist dies die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI).