Datenschutzerklärung

1.Wer der Verantwortliche ist

Kurz gesagt: Für deine Daten ist der Betreiber von Groworth in Lettland verantwortlich, und du kannst ihm zu jeder Datenfrage eine E-Mail schreiben.

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (EU) 2016/679 (im Folgenden „DSGVO“ oder „die Verordnung“) ist:

SIA Appmeway, Reg.-Nr. 40103588483, Mēness iela 16-8, Riga, LV-1013, Lettland

Im Folgenden „wir“ oder „Groworth“. Der Dienst ist erreichbar unter groworth.xyz. Wenn du eine Frage zu dieser Erklärung oder zur Verarbeitung deiner Daten hast, schreib an support@groworth.xyz — wir antworten unverzüglich, spätestens innerhalb eines Monats.

2.Welche Daten wir verarbeiten

Kurz gesagt: deine E-Mail-Adresse, einen Passwort-Hash und die Finanzdaten, die du selbst eingibst. Wir erheben nichts heimlich — alles in unserer Datenbank hast entweder du eingegeben, oder es ist technisch notwendig, damit dein Konto funktioniert.

2.1. Kontodaten

• E-Mail-Adresse — die Kennung deines Kontos, nötig für die Anmeldung und die Wiederherstellung des Passworts.
• Passwort-Hash (bcrypt) — dein Passwort wird zu keinem Zeitpunkt im Klartext gespeichert. Wir kennen es nicht und können es nicht herausfinden; wenn du es vergisst, vergeben wir ein neues, statt dich an das alte zu erinnern.
• Geheimnis der Zwei-Faktor-Authentifizierung (2FA) — falls du sie aktivierst; verschlüsselt gespeichert.

2.2. Freiwillige demografische Angaben

Bei der Ersteinrichtung (Onboarding) kannst du dein Geschlecht und deine Altersgruppe angeben. Beide Fragen sind freiwillig — du kannst sie überspringen oder „keine Angabe“ wählen, und die App funktioniert genau gleich. Wir verwenden diese Daten nur in anonymen, zusammengefassten Statistiken (zum Beispiel „wie viele Nutzer sind in der Altersgruppe 25–34“), niemals einzeln.

2.3. Finanzdaten, die du selbst eingibst

Alles in der App ist deine eigene Arbeit oder deine direkte Entscheidung — wir erhalten nichts ohne dein Zutun:

• Transaktionen (Beträge, Daten, Beschreibungen, Notizen);
• Kategorien und Budgetlimits;
• dein finanzielles Ziel und dessen Betrag;
• Konten und ihre Salden;
• Vermögenswerte und ihr Wert (Immobilien, Ersparnisse usw.);
• Verbindlichkeiten (Kredite, ihre Restschuld und Raten);
• Portfolio-Positionen (Wertpapiere, Kryptowerte, ihre Mengen und Anschaffungskosten);
• öffentliche Krypto-Wallet-Adressen, falls du welche hinzufügst;
• im CSV-Format importierte Kontoauszugsdaten — sie werden in deinem Browser verarbeitet, und nur die Zeilen, die du für den Import bestätigst, erreichen überhaupt den Server;
• Transaktionen aus der Bankverbindung — nur wenn du selbst eine Bank verbindest und den Zugriff in deinem eigenen Online-Banking freigibst (wie das funktioniert — siehe 6.1.1).

2.4. Technische Daten und Sitzungsdaten

• Sitzungseinträge — für jedes Gerät, von dem du dich anmeldest: der Gerätetyp und der Zeitpunkt der letzten Aktivität. So siehst du deine aktiven Sitzungen in den Einstellungen und kannst jede einzeln beenden.
• Einstellungen — dein gewähltes Design, deine Sprache und ähnliche Präferenzen.
• Zähler für Anfragebegrenzungen — kurzlebige Anfragezähler, die die Anmeldeformulare vor Angriffen durch Passwort-Raten schützen.

2.5. Was wir NICHT haben

• Wir haben deine Zugangsdaten zum Online-Banking nicht und werden nie danach fragen.
• Wir haben deine Kartennummern nicht — Kartendaten gehen nur an den Zahlungsdienstleister (siehe Abschnitt 6), niemals an unseren Server.
• Wir erstellen keine Werbeprofile und erfassen keinen Browserverlauf.

3.Zwecke und Rechtsgrundlagen

Kurz gesagt: Wir verarbeiten Daten nur, damit die App funktioniert, sicher bleibt und das Gesetz eingehalten wird. Für Marketing — nur mit deiner gesonderten Einwilligung.

Wir verarbeiten deine Daten niemals, um sie zu verkaufen, zu vermieten oder an Werbetreibende weiterzugeben. Diesen Zweck haben wir nicht und werden ihn nie haben.

4.Wie deine Daten geschützt werden — ehrlich gesagt

Kurz gesagt: Persönliche Felder sind verschlüsselt, dein Passwort wird nie im Klartext gespeichert, und die Datenbank ist aus dem Internet nicht erreichbar. Wir können technisch auf die Daten zugreifen — und sagen das ehrlich, statt so zu tun, als könnten wir es nicht.

4.1. Verschlüsselung

• Persönliche Felder — Transaktionstitel, Notizen, Wallet-Adressen und ähnliche Freitextinhalte — werden in der Datenbank mit Verschlüsselung auf Feldebene gespeichert (Fernet, ein symmetrisches Verfahren auf Basis von AES-128 mit Integritätsprüfung).
• Kennungen der Bankverbindung — die IBAN des Kontos und die Kennungen der Zugriffssitzung — werden mit demselben Verfahren auf Feldebene verschlüsselt gespeichert.
• Beträge und Daten werden im Klartext gespeichert — bewusst: Ohne sie würde keine Berechnung funktionieren, weder Budgetsummen noch Schuldenprognosen. Ein Betrag ohne Kontext („−23,40“) verrät für sich allein nicht, wofür er war.
• Der Schlüssel wird auf dem Server getrennt von den Datenbanksicherungen aufbewahrt — eine Sicherung allein, ohne den Schlüssel, legt die persönlichen Felder nicht offen.
• Alle Daten zwischen deinem Browser und dem Server werden ausschließlich über eine verschlüsselte HTTPS-Verbindung übertragen.

4.2. Was wir bewusst NICHT behaupten

Viele Dienste behaupten: „Wir können nicht auf deine Daten zugreifen.“ Wir werden das nicht sagen, weil es nicht stimmen würde. Der Schlüssel liegt auf dem Server — sonst würde die Passwort-Wiederherstellung per E-Mail nicht funktionieren, und deine Daten wären mit einem vergessenen Passwort unwiederbringlich verloren. Das bedeutet: Der Verantwortliche hat technisch Zugriff auf die Daten. Unsere Verpflichtung lautet: Auf Dateninhalte greift nur der Verantwortliche persönlich zu und nur zu Supportzwecken auf Wunsch des Nutzers selbst — niemals aus Neugier, für Analysen oder für Marketing. Das ehrliche Versprechen lautet: verschlüsselt, nie verkauft, mit einem Klick löschbar — nicht mehr, aber auch nicht weniger.

4.3. Passwörter und Zugang

• Passwörter werden nur als bcrypt-Hashes gespeichert.
• Zwei-Faktor-Authentifizierung (TOTP) ist verfügbar — wir empfehlen, sie einzuschalten.
• Sitzungen sind an ein Gerät gebunden; du kannst jede einzeln in den Einstellungen beenden.
• Die Anmeldeformulare sind durch Anfragebegrenzungen geschützt, die Angriffe durch Passwort-Raten stoppen.
• In seinen Antworten bei Anmeldung und Passwort-Wiederherstellung verrät das System nicht, ob ein Konto mit einer bestimmten E-Mail-Adresse existiert.

4.4. Infrastruktur

• Die Datenbank ist aus dem Internet nicht erreichbar — nur die Anwendung selbst, vom selben Server aus, kann darauf zugreifen.
• Die Anwendung läuft in einer eingeschränkten Umgebung ohne Administratorrechte.
• Jede Administratoraktion im System wird in ein Audit-Protokoll geschrieben.
• Das Admin-Panel ist technisch von den Finanzdaten der Nutzer getrennt — es sieht nur zusammengefasste Zahlen, niemals Inhalte.

5.Wo deine Daten physisch liegen

Kurz gesagt: auf einem Server in Deutschland, in der Europäischen Union. Daten werden nicht außerhalb der EU/des EWR übermittelt.

Alle Daten von Groworth werden auf einem Server der Hetzner Online GmbH in Deutschland gespeichert — also in der Europäischen Union, wo die DSGVO unmittelbar gilt. Es werden keine Daten in Länder außerhalb der EU/des EWR übermittelt. Sollte sich das jemals ändern, würden wir zuerst diese Erklärung aktualisieren und es ankündigen (siehe Abschnitt 13).

6.An wen wir Daten weitergeben

Kurz gesagt: an niemanden außer unseren technischen Auftragsverarbeitern — Hosting in der EU, E-Mail-Zustellung und, nur wenn du selbst eine Bank verbindest, die Verbindung für Bankdaten. Preisquellen sehen nur Instrumentensymbole. Deine Daten werden niemals verkauft — zu keinem Zeitpunkt, an niemanden, in keiner Form.

6.1. Aktuelle Auftragsverarbeiter

6.1.1. Die Verbindung für Bankdaten — so funktioniert sie

Eine Bank zu verbinden ist eine Wahl, keine Voreinstellung — ohne sie funktioniert Groworth vollständig mit manueller Eingabe und CSV-Import. Wenn du eine Bank verbindest:

• Du gibst die Einwilligung bei der Bank selbst. Du wirst zur Autorisierung deiner Bank weitergeleitet (Smart-ID oder die App der Bank). Groworth sieht niemals dein Online-Banking-Passwort — die Autorisierung findet auf der Seite der Bank statt, und wir erhalten nur Lesezugriff auf die Transaktionsliste.
• Was wir erhalten: Kontotransaktionen (Datum, Betrag, Währung, Name des Empfängers, Verwendungszweck) und die Kontokennung (IBAN). Die IBAN und die Sitzungskennungen werden verschlüsselt in unserer Datenbank gespeichert (siehe 4.1). Wir können keine Zahlungen ausführen — der Zugriff ist nur lesend (AISP); eine Zahlungsauslösung wurde nicht beantragt und ist nicht möglich.
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — das Einlesen deiner Transaktionen ist eine Funktion, die du selbst anforderst. Vermittler ist die Enable Banking Oy, ein zugelassener Kontoinformationsdienstleister (AISP) in Finnland, EU.
• Die Einwilligung läuft von selbst ab, spätestens nach 180 Tagen (eine Grenze der PSD2) — danach muss die Bank erneut freigegeben werden. Du kannst sie jederzeit widerrufen: Einstellungen → Banken → „Trennen“, oder direkt in deinem Online-Banking. Wenn du die Verbindung trennst, bleiben die bereits eingelesenen Transaktionen in deinem Konto — sie sind deine Daten und können wie jeder andere Eintrag gelöscht werden.
• Importierte Zeilen werden nicht von selbst zur Wahrheit. Jede Banktransaktion kommt unbestätigt an und wartet auf deine Bestätigung — die Kategorie wählst du selbst.

6.2. Preisdatenquellen — keine personenbezogenen Daten

Um aktuelle Preise in deinem Portfolio anzuzeigen, fragt der Server regelmäßig öffentliche Preisquellen ab: CoinGecko (Kryptowerte), DexScreener (Token dezentraler Börsen — nach Vertragsadresse), Yahoo Finance (Wertpapiere) und die Europäische Zentralbank (Wechselkurse). An diese Quellen werden nur Instrumentensymbole oder Token-Vertragsadressen gesendet (zum Beispiel „BTC“, „VWCE“ oder eine Token-Adresse) — niemals dein Name, deine E-Mail-Adresse, Mengen oder irgendetwas anderes, das dich identifiziert. Der Server ruft jeden Preis einmal ab und teilt ihn mit allen Nutzern, daher lässt sich aus den Abfragen unmöglich ableiten, welcher Nutzer welchen Vermögenswert hält.

6.2.a. Öffentliche Krypto-Wallet-Adressen

Wenn du im Portfolio die öffentliche Adresse eines Krypto-Wallets hinzufügst, speichern wir sie wie andere persönliche Felder verschlüsselt und fragen regelmäßig öffentliche Blockchain-Knoten (Solana RPC, Ethereum RPC, Blockstream Bitcoin API) nach ihrem Guthaben. Diese Knoten erhalten nur die Adresse selbst — sie ist auf der Blockchain ohnehin öffentlich. Wir fragen niemals nach privaten Schlüsseln oder Seed-Phrasen, und sie gelangen niemals in diese App. Du kannst die Adresse jederzeit löschen, und die abgerufenen Guthaben verschwinden mit ihr.

6.3. Zahlungsabwicklung — Stripe

• Stripe (Stripe Payments Europe, Ltd., Irland) — der Zahlungsdienstleister und ein eigenständiger Verantwortlicher für Zahlungsdaten. Deine Kartennummer erreicht niemals unseren Server — nur Stripe sieht sie, in seiner eigenen Zahlungsumgebung. Von Stripe erhalten wir nur die Kunden- und Abonnementkennungen, den Zahlungsbetrag und dessen Status.

6.4. Wenn das Gesetz es verlangt

Wir dürfen Daten an Behörden nur dann offenlegen, wenn geltendes Recht es verlangt und die Anfrage eine Rechtsgrundlage hat. Sofern das Gesetz es nicht verbietet, informieren wir dich über eine solche Anfrage.

6.5. Was wir nicht tun

• Wir verkaufen oder vermieten keine Daten — weder einzelne noch zusammengefasste.
• Wir senden keine Daten an Werbenetzwerke oder Datenhändler.
• Wir zeigen keine Werbung und binden keine Werbetracker ein.

7.Cookies und Tracking

Kurz gesagt: Es gibt keine Tracking-Cookies — weder eigene noch von Dritten. Das einzige Cookie ist deine Sprachwahl, und es ist unbedingt erforderlich, deshalb gibt es kein Cookie-Banner. Deine Sitzung liegt im lokalen Speicher deines Browsers, und die Besuchsstatistik ist anonym, ohne IP-Adressen.

7.1. Cookies

Groworth verwendet ein Cookie — lang — und nur, wenn du auf der Startseite selbst eine Sprache (LV/EN) auswählst. Es speichert zwei Buchstaben („lv“ oder „en“), bleibt 12 Monate bestehen und dient einem einzigen Zweck: die Seite beim nächsten Mal in deiner Sprache zu öffnen. Es ist ein funktionales Cookie, kein Tracking, und das Gesetz verlangt dafür keine Einwilligung — deshalb haben unsere Seiten kein Cookie-Banner. Es gibt keine Werbe-, Analyse- oder Drittanbieter-Cookies.

7.2. Lokaler Speicher des Browsers (localStorage)

Nach der Anmeldung wird dein Sitzungsschlüssel im lokalen Speicher des Browsers (localStorage) auf deinem Gerät aufbewahrt. Das ist technisch notwendig, damit du angemeldet bleibst — ohne ihn kann die App nicht funktionieren. Der Schlüssel wird nirgendwohin gesendet außer an unseren eigenen Server, und er verschwindet, wenn du dich abmeldest oder deine Browserdaten löschst.

7.3. Besuchsstatistik

Wir zählen Besuche der Startseite auf zwei Arten, und beide sind anonym. Erstens eine anonyme Tagessumme — eine einzige Zahl in unserer Datenbank. Zweitens Umami, eine quelloffene Besuchsstatistik, die auf unserem eigenen Server läuft, keine Cookies verwendet und keine IP-Adresse speichert: Sie sieht, wie viele Menschen welche Seite aus welchem Land geöffnet haben, aber nicht, wer du bist, und sie kann zwei deiner Besuche nicht miteinander verknüpfen. Während der Registrierung hält sie ebenso anonym fest, bis zu welchem Schritt jemand gekommen ist (zum Beispiel „Fragebogen, Schritt 3“), ohne E-Mail, Namen und Beträge; nach der Registrierung misst sie in der App nichts. Nichts verlässt unseren Server. Es gibt kein Google Analytics und keine andere Analyse von Drittanbietern auf unseren Seiten.

7.4. Schutz vor Bots

Um Formulare vor Bots zu schützen, verwenden wir ein mathematisches Rätsel, das dein Browser selbst löst („Proof of Work“) — keine Drittanbieterdienste, kein Tracking, kein Lösen von Bilderrätseln. Dabei gelangen keine Daten über dich zu uns.

8.E-Mail-Anmeldung auf der Startseite

Kurz gesagt: Wenn du auf der Startseite deine E-Mail-Adresse hinterlässt, senden wir dir eine Sache — Ankündigungen von Groworth. Sonst nichts. Marketing-E-Mails nur, wenn du dem gesondert zustimmst.

Auf der Startseite kannst du dich in die E-Mail-Liste eintragen, indem du nichts als eine E-Mail-Adresse angibst. Wir verwenden diese Adresse für einen einzigen Zweck: dir Ankündigungen von Groworth zu senden. Die Startseite verspricht „Wir senden dir nichts anderes“ — und dieses Versprechen ist auch rechtlich bindend: Alle anderen E-Mails (Neuigkeiten, Angebote) würden deine gesonderte, freiwillig erteilte Einwilligung erfordern, um die wir offen bitten und die wir niemals stillschweigend voraussetzen würden.

Du kannst die Liste jederzeit verlassen, indem du an support@groworth.xyz schreibst oder den Link in der E-Mail verwendest — die Adresse wird dann gelöscht. Zu den Aufbewahrungsfristen siehe Abschnitt 9.

9.Wie lange wir Daten aufbewahren

Kurz gesagt: so lange dein Konto aktiv ist. Wenn du dein Konto löschst, verschwinden die Daten sofort aus der Arbeitsdatenbank und aus den verschlüsselten Sicherungen spätestens innerhalb von 30 Tagen.

10.Deine Rechte und wie du sie ausübst

Kurz gesagt: Für jedes Recht aus der DSGVO haben wir einen konkreten Knopf, kein Formular mit Wartezeit. Export — ein Klick. Löschung — ein Klick. Berichtigung — alles lässt sich direkt in der App bearbeiten.

Die DSGVO garantiert dir Rechte an deinen Daten. Für jedes davon haben wir einen Mechanismus direkt in die App eingebaut, damit du für ihre Ausübung nie förmliche Anträge schreiben musst:

11.Automatisierte Entscheidungen und Profiling

Kurz gesagt: Kein Algorithmus trifft Entscheidungen mit rechtlichen Folgen für dich. XP, Level und Prognosen sind Rechenoperationen mit deinen eigenen Zahlen, kein Urteil über dich.

Groworth trifft keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO — also solche, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen würden. Die Berechnungen der App (XP, Level, Prognosen zur Schuldentilgung, Budgetsummen) sind einfache Rechenoperationen mit Daten, die du selbst eingegeben hast, und sie dienen nur dir, als Information. Wir erstellen keine Nutzerprofile für Werbung, Bonitätsprüfung oder irgendeine Form der Auswahl.

12.Altersbeschränkung

Kurz gesagt: Groworth ist für Erwachsene gedacht — ab 18 Jahren.

Der Dienst richtet sich an Personen ab 18 Jahren, und mit der Registrierung bestätigst du, dass du volljährig bist. Wir erheben bewusst keine Daten über Minderjährige. Erfahren wir, dass ein Konto von einer Person unter 18 Jahren erstellt wurde, werden das Konto und seine Daten gelöscht.

13.Änderungen dieser Erklärung

Kurz gesagt: Wesentliche Änderungen kündigen wir mindestens 14 Tage im Voraus per E-Mail an. Stille, unbemerkte Änderungen an den Punkten, auf die es ankommt — wird es nicht geben.

Diese Erklärung kann sich ändern — zum Beispiel, wenn sich die Auftragsverarbeiter oder die Funktionen der App ändern. Wesentliche Änderungen — solche, die den Umfang der verarbeiteten Daten, die Auftragsverarbeiter oder deine Rechte ändern — werden mindestens 14 Tage vor ihrem Inkrafttreten an die E-Mail-Adresse deines Kontos angekündigt. Gültigkeitsdatum und Nummer jeder Version stehen oben und unten auf der Seite. Redaktionelle Korrekturen (Tippfehler, Präzisierungen des Wortlauts ohne inhaltliche Änderung) können ohne gesonderte Ankündigung erfolgen.

14.Kontakt und Beschwerden

Kurz gesagt: Schreib uns — wir antworten spätestens innerhalb eines Monats. Wenn dich die Antwort nicht zufriedenstellt, steht dir jederzeit die Datenschutzbehörde Lettlands (Datu valsts inspekcija) offen.

Bei Fragen zu dieser Erklärung und zur Verarbeitung deiner Daten:

• Verantwortlicher: SIA Appmeway, Reg.-Nr. 40103588483, Mēness iela 16-8, Riga, LV-1013, Lettland
• E-Mail: support@groworth.xyz
• Aufsichtsbehörde: Datenschutzbehörde Lettlands (Datu valsts inspekcija), dvi.gov.lv