Datenschutzerklärung

Entwurf, vor dem Start anwaltlich zu prüfen. Stand 30.10.2026.

Bei Dankeroo legen Menschen für die Rechnungen anderer zusammen. Du vertraust uns persönliche Dinge an. Deshalb speichern wir nur, was wir brauchen, und erklären hier jeden Schritt.

1. Verantwortlicher

Neurotech AI Solutions GmbH, Lückstraße 24, 10317 Berlin. Geschäftsführer: Ashraf Al-Eryani. E-Mail: hello@dankeroo.com. Wir sind Verantwortlicher im Sinne der DSGVO. Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu nicht verpflichtet sind; Fragen zum Datenschutz richte bitte an die obige Adresse.

2. Welche Daten, wofür, auf welcher Rechtsgrundlage

• Konto (E-Mail, Name, von Amazon Cognito verwalteter Passwort-Hash, Anmeldeanbieter, Sprache, Land, Stadt): um dein Konto bereitzustellen. Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Anmeldung mit Google oder Apple: Wenn du das wählst, erhalten wir vom Anbieter Name, E-Mail und, falls freigegeben, dein Profilbild. Art. 6 Abs. 1 lit. b DSGVO.
• Handynummer: Du gibst sie nach der Registrierung an und bestätigst sie mit einem Einmalcode per SMS (Amazon Cognito und Amazon SNS, Frankfurt). Wir speichern die Nummer und ob sie bestätigt ist, nutzen sie zum Schutz aller, die mitzahlen (vor dem Posten einer Rechnung ist eine bestätigte Nummer nötig), zeigen sie nie öffentlich und nutzen sie nicht für Werbung. Art. 6 Abs. 1 lit. b und f DSGVO. Bis zur ersten Rechnung kannst du den Schritt überspringen.
• Freiwillige Profilangaben (Foto, Social-Media-Namen): werden bei deinen Rechnungen angezeigt, damit andere sehen, dass du echt bist. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); du kannst sie jederzeit löschen.
• Rechnungen, die du einstellst (Foto oder PDF der Rechnung, Rechnungssteller, IBAN, BIC, Betrag, Fälligkeit, Verwendungszweck, deine Geschichte, Fotos oder Videos): zur Prüfung und zur direkten Zahlung an den Rechnungssteller. Art. 6 Abs. 1 lit. b DSGVO. Andere sehen nur die maskierte IBAN (letzte vier Stellen), nie die volle Nummer.
• Auslesen der Rechnung: Das Bild wird an Amazon Bedrock (KI-Modell, Betrieb in der EU) gesendet, um die Felder vorzuschlagen. QR-Zahlcodes (GiroCode, Swiss QR-bill) werden auf unseren Servern gelesen. Du prüfst und korrigierst das Ergebnis immer selbst. Es gibt keine automatisierte Entscheidung über dich (Art. 22 DSGVO ist nicht anwendbar). Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheitsprüfung: Bilder werden von Amazon Rekognition auf schädliche Inhalte geprüft; jede Rechnung wird vor der Freischaltung von Moderator:innen geprüft. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren Plattform ohne Betrug).
• Beiträge und Zusagen (Betrag, Rechnung, Zeitpunkt, Zahlungsstatus): zur Zahlungsabwicklung und für deinen Verlauf. Karten- oder Wallet-Daten gibst du nur bei Stripe ein; wir sehen nie deine vollständige Kartennummer. Art. 6 Abs. 1 lit. b und c DSGVO (Aufbewahrungspflichten).
• Push-Mitteilungen (Expo-Push-Token, deine Einstellungen je Art): nur, wenn du sie erlaubst. Art. 6 Abs. 1 lit. a DSGVO.
• Sonntags-E-Mail: nur, wenn du sie einschaltest. Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG. Jede E-Mail enthält einen Abmeldelink und einen Abmelde-Header. Service-E-Mails (Willkommens-E-Mail nach der Registrierung, Belege, Sicherheitsmails) senden wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.
• Meldungen, die du zu einer Rechnung schickst: für eine sichere Community. Art. 6 Abs. 1 lit. f DSGVO.
• Server-Logs (IP-Adresse, Zeit, Anfrage): 30 Tage für Sicherheit und Fehlersuche. Art. 6 Abs. 1 lit. f DSGVO.

Wir verkaufen keine Daten, zeigen keine Werbung und nutzen keine Tracking- oder Werbe-SDKs.

3. Auftragsverarbeiter

Alle arbeiten auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).

• Amazon Web Services EMEA SARL, Luxemburg: Hosting in Frankfurt (eu-central-1): Cognito (Anmeldung), Aurora-Datenbank, S3 und CloudFront (Medien), Lambda, SES (E-Mail), SNS (Bestätigungs-SMS), Bedrock (Rechnungen lesen), Rekognition (Bildprüfung), Location Service (Kartenkacheln).
• Stripe Payments Europe, Ltd., Dublin, Irland: Zahlungsabwicklung. Für Betrugsprävention und gesetzliche Pflichten ist Stripe selbst verantwortlich, siehe stripe.com/privacy.
• 650 Industries, Inc. (Expo), USA: stellt Push-Mitteilungen an Apple und Google zu. Weitergegeben werden nur Push-Token und Nachrichtentext. Übermittlung auf Grundlage des EU-US Data Privacy Framework und/oder von Standardvertragsklauseln.
• Apple (APNs) und Google (Firebase Cloud Messaging): Zustellung von Push-Mitteilungen auf dein Gerät.
• Google, Apple, Meta Platforms Ireland: nur, wenn du dich darüber anmeldest.

Einige dieser Unternehmen haben Muttergesellschaften in den USA. Soweit Daten die EU verlassen können, stützen wir uns auf Angemessenheitsbeschlüsse (EU-US Data Privacy Framework) oder Standardvertragsklauseln (Art. 46 DSGVO).

4. Speicherdauer

• Kontodaten: bis du dein Konto löschst.
• Rechnungen: solange offen, danach 90 Tage; Rechnungsbilder werden nach der Auszahlung gelöscht.
• Zahlungs- und Auszahlungsbelege: 10 Jahre (§ 147 AO, § 257 HGB). Nach Kontolöschung ohne deinen Namen.
• Push-Token: bis zur Abmeldung, zum Ausschalten der Pushes oder zum Ablauf des Tokens.
• E-Mail-Einstellungen und Abmeldungen: solange nötig, um deine Wahl zu beachten.
• Server-Logs: 30 Tage.

5. Konto löschen

Du kannst dein Konto jederzeit unter Ich → Konto löschen löschen. Wir löschen Profil, Foto, Social-Media-Namen, Push-Token und E-Mail-Einstellungen, schließen deine offenen Rechnungen und erstatten gehaltene Beiträge. Gesetzlich aufzubewahrende Belege werden anonymisiert.

6. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen. Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eine Kopie deiner Daten forderst du unter Ich → Kopie meiner Daten anfordern oder per E-Mail an.

Du kannst dich bei einer Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin.

7. Beispielgeschichten

Bis die ersten echten Rechnungen geprüft sind, zeigt Dankeroo deutlich gekennzeichnete Beispielgeschichten. Sie sind erfunden, um zu zeigen, wie die App funktioniert, beschreiben keine echten Menschen und können keine Zahlungen erhalten.

8. Mindestalter

Dankeroo ist für Menschen ab 18 Jahren.

9. Änderungen

Über wichtige Änderungen dieser Erklärung informieren wir dich in der App, bevor sie wirksam werden.