Datenschutzerklärung

Kurzfassung: Kassen-, Zähl-, Sollzusammensetzungs-, lokale Personenlisten-, Trinkgeldaufteilungs-, eigene Währungsdefinitions-, Schubladenbewegungs-, manuelle Terminalabgleichs-, Notiz-, Verlaufs- und optionale Belegfotodaten werden primär lokal verarbeitet. Ein aktiviertes iCloud-/Finder-Gerätebackup kann Datenbank, Einstellungen und Belegfotos enthalten. Android Cloud Backup enthält Datenbank und Einstellungen, aber bewusst keine Belegfotos; eine direkte Android-Geräteübertragung kann Fotos mitnehmen. Eine von dir erstellte portable Backup-Datei enthält die vollständige Kassento-Datenbank, vorhandene Fotos und ausgewählte Einstellungen und wird mit deinem Passwort verschlüsselt. „Bank“ und „Safe/Tresor“ sind nur lokale Ereignisbezeichnungen; der Terminalabgleich vergleicht nur zwei manuell eingegebene aggregierte Summen. Kassento besitzt keine Bank-/POS-/Terminalverbindung und erfasst keine Karten-, Kunden- oder Einzeltransaktionsdaten. Fotos werden ohne übernommene EXIF-/GPS-Metadaten gespeichert. Der gerätespezifische Erinnerungsplan und der begrenzte, redigierte Diagnoseverlauf bleiben lokal und sind kein Bestandteil portabler Backups. Geräte- und portable Backups übertragen keine Pro-Kaufberechtigung. Der Anbieter erhält auf diese Inhalte keinen Zugriff. Kassento hat kein Benutzerkonto, kein eigenes App-Backend, keine Werbung und keine Entwickler-Analytics. Nur für den optionalen Pro-Kauf werden Kaufdaten durch Apple oder Google und RevenueCat verarbeitet.

1. Verantwortlicher

2. Lokale App-Daten

• Laufender App-Zustand: lokale SQLite-Datenbank und lokale Einstellungen in der App-Sandbox; kein eigenständiges Backup.
• Gerätebackup: nur über die von dir aktivierte Apple-/Google-Gerätefunktion und unter Kontrolle des Betriebssystems. iCloud-/Finder-Backups können fertig verarbeitete Belegfotos enthalten; Android Cloud Backup schließt sie bewusst aus, eine direkte Android-Geräteübertragung kann sie enthalten. Eine Pro-Kaufberechtigung wird nicht übernommen.
• Portables Datenbackup: nur nach deiner ausdrücklichen Aktion, mit deinem Passwort verschlüsselt; Format v3 enthält vorhandene Belegfotos, lesbares Format v2 nicht. Pro-Kaufberechtigung, gerätespezifischer App-Schutz, Diagnoseverlauf und Abschluss-Erinnerungsplan sind nicht enthalten.
• Store-Kauf-Restore: prüft ausschließlich die Pro-Berechtigung und stellt keine Kassen-, Zähl- oder Verlaufsdaten wieder her.

Kassento verarbeitet Kassenbezeichnungen, eingebaute oder benutzerdefinierte versionierte Währungsdefinitionen, Nennwerte und Stückzahlen, Rollen/Gebinde, Sollwerte und Sollzusammensetzungen je Nennwert, Eröffnungsbetrag und -herkunft, Abschlussergebnisse, Trinkgeld, optionale Schichtbezeichnungen, Notizen, Profile, Personen-/Freigabe-/Blindstatus, eine optionale lokale Mitarbeiterliste mit Namen und Auswahlstatus sowie gespeicherte Trinkgeldaufteilungen mit Namen, Anteilen und Beträgen. Hinzu kommen lokale Schubladenbewegungen samt Typ, Betrag, optionalem Ziel/Kommentar, Bestätiger, Zeitpunkt, Beleg-/Korrekturreferenz und finaler Abschlussbestätigung, optionale manuelle Terminalabgleiche, Belegfotos und App-Einstellungen. Diese Inhalte werden primär in der App-Sandbox des Geräts gespeichert. Der Anbieter erhält keinen Zugriff darauf.

Ein optionaler manueller Terminalabgleich speichert ausschließlich ein lokales Label, die vom Nutzer eingetragene erwartete POS-Gesamtsumme, die tatsächlich aggregierte Terminal-Gesamtsumme, die daraus berechnete Differenz sowie optional Grund, Kommentar und Zeitpunkt. Die Kartendifferenz bleibt vom Bargeldabschluss getrennt. Kassento erfasst dafür keine Kartennummern, Kunden- oder Einzeltransaktionsdaten.

„Bank“, „Safe/Tresor“, „Auffüllung“ und „Trinkgeldentnahme“ sind ausschließlich vom Nutzer erfasste lokale Ereignisse. Auch der Terminalabgleich ist eine rein manuelle Eingabe aggregierter Summen. Kassento verbindet sich weder mit einem Bankkonto noch mit einem Tresor-, POS-, Terminal- oder Zahlungssystem und bestätigt keine externe Buchung oder Abrechnung. Korrekturen werden als Gegenereignis gespeichert; die lokale Ereignisfolge ist kein manipulationssicheres Kassenjournal oder revisionssichere Buchhaltung.

Ein validierter Vorversions-Snapshot vor einer Datenbankmigration wird ebenfalls nur in der App-Sandbox gespeichert und nach drei erfolgreich geprüften Kaltstarts automatisch gelöscht. Temporäre PDF- und CSV-Dateien liegen im App-Cache und werden nach der Übergabe beziehungsweise spätestens beim nächsten App-Start entfernt.

Wenn du die jeweilige Gerätefunktion aktiviert hast, können Datenbank und lokale Einstellungen in deinem iCloud-/Finder-Backup, Android Cloud Backup oder bei einer direkten Geräteübertragung enthalten sein. Fertig verarbeitete Belegfotos können in iCloud-/Finder-Backups und bei einer direkten Android-Geräteübertragung enthalten sein. Android Cloud Backup schließt Belegfotos wegen der plattformseitigen 25-MB-Grenze pro App bewusst aus. Ein installationsspezifischer Schutz verwirft einen aus einem Gerätebackup stammenden lokalen Pro-Cache; ein gültiger Kauf wird beim nächsten Online-Storeabgleich erneut freigeschaltet. Apple beziehungsweise Google verarbeitet die Sicherung nach deinen Konto- und Geräteeinstellungen sowie den eigenen Datenschutzbedingungen. Der Anbieter von Kassento kann diese Sicherung weder lesen noch verwalten.

Mit Kassento Pro kannst du ausdrücklich eine portable Backup-Datei erstellen. Vor der Übergabe an das System-Share-Sheet verschlüsselt Kassento die vollständige Datenbank einschließlich benutzerdefinierter Währungsdefinitionen, Sollzusammensetzungen, Mitarbeiterliste, Trinkgeldaufteilungen, Eröffnungsherkünften, Schubladenbewegungen, Abschlussbestätigungen und manueller Terminalabgleiche, vorhandene Belegfotos und App-Einstellungen mit einem von dir festgelegten Passwort. Anschließend wählst du selbst ein Ziel, etwa „In Dateien sichern“, iCloud Drive oder Google Drive. Kassento verwendet keine direkte Cloud-Speicher-Schnittstelle; der Anbieter kennt weder Passwort noch Speicherort. Ohne das Passwort kann auch der Anbieter die Datei nicht wiederherstellen. Die Wiederherstellung ist auch ohne Pro möglich, ersetzt nach einer Inhaltsvorschau die derzeitigen lokalen Daten und stellt keine Store-Kaufberechtigung wieder her. Ältere v2-Backups bleiben lesbar und enthalten keine Fotos.

Zu einer abgeschlossenen Zählung kannst du mit Pro ausdrücklich höchstens ein Belegfoto über die Systemkamera oder den System-Fotopicker hinzufügen. Android benötigt dafür keine eigene Kamera-, breite Medien- oder Speicherberechtigung; iOS öffnet Kamera oder Fotomediathek erst nach deiner Quellenwahl mit lokalisiertem Nutzungshinweis. Kassento orientiert das Bild ausschließlich auf dem Gerät, skaliert es auf höchstens 2.048 Pixel Kantenlänge und speichert ein neu erzeugtes JPEG mit höchstens 1,5 MiB. EXIF-, GPS-, Kamera- und sonstige Quellmetadaten werden nicht übernommen; alle Belegfotos zusammen sind auf 256 MiB begrenzt. Ein Foto kann über ein aktiviertes iCloud-/Finder-Gerätebackup oder eine direkte Android-Geräteübertragung verarbeitet werden; Android Cloud Backup enthält es nicht. Darüber hinaus verlässt es das Gerät nur nach deinem ausdrücklichen Foto-Share oder als Teil eines ausdrücklich erstellten portablen Backups. Du kannst es einzeln, mit dem Abschluss oder über „Alle lokalen Daten löschen“ entfernen; eine Cleanup-Queue und ein Startabgleich bereinigen unterbrochene Dateioperationen.

Die laufende Datenbank ist nicht zusätzlich durch die App verschlüsselt; Schutz bieten die Betriebssystem-Sandbox und der Geräteschutz. Temporäre Snapshot- und Restore-Arbeitsdateien werden nach Abschluss, Abbruch oder Fehler aus dem App-Cache entfernt. Während eines Daten-Restores liegt zusätzlich ein Recovery-Journal mit einer lokalen Rückrollkopie von Datenbank, Belegfotos und Einstellungen in der App-Sandbox. Es wird nach bestätigtem Erfolg oder erfolgreichem Rückrollen entfernt; nach einem Prozessabbruch erledigt dies der nächste App-Start. Nur wenn auch die Recovery wegen eines Speicher- oder Dateifehlers nicht abgeschlossen werden kann, bleibt die Kopie für einen weiteren Start erhalten. Unter „Einstellungen → Alle lokalen Daten löschen“ können die lokalen Nutzerdaten einschließlich Belegfotos, Diagnoseverlauf und Recovery-Dateien zweistufig entfernt werden. Auch Deinstallation oder das Löschen der App-Daten durch das Betriebssystem entfernt lokale Daten. Kassento kann bereits außerhalb der App gespeicherte Geräte- oder portable Backups nicht gezielt löschen; ihre weitere Aufbewahrung richtet sich nach deinen Einstellungen und dem jeweiligen Speicherdienst.

Für Backup-, Belegfoto- und Erinnerungsfehler führt Kassento einen begrenzten lokalen Diagnoseverlauf. Er speichert höchstens 200 Ereignisse, 128 KiB und 30 Tage lang ausschließlich UTC-Zeit, fest definierte Funktionsbereiche, Operationen und grobe Fehlercodes. Es gibt kein Freitextfeld; Kassennamen, Beträge, Notizen, Dateipfade, Passwörter, Fotoinhalte und Stacktraces werden nicht erfasst. Der Verlauf wird nie automatisch übertragen. Nur über „Lokalen Diagnoseverlauf exportieren“ entsteht vorübergehend eine teilbare JSONL-Datei, die nach dem Share-Versuch verworfen wird.

Der optionale Pro-App-Schutz sperrt die gesamte App nach Kaltstart oder einer gewählten Hintergrundfrist über die vom Betriebssystem angebotene Biometrie oder den sicheren Gerätecode. Kassento erhält und speichert keine biometrischen Merkmale, sondern nur das Erfolgs-/Abbruchergebnis für den laufenden Entsperrvorgang. Aktivierung und Sperrverzögerung bleiben gerätespezifisch und werden nicht in ein portables Backup übernommen. Die Sperre verdeckt Inhalte im App-Umschalter, verschlüsselt aber weder die lokale SQLite-Datenbank noch bereits exportierte oder geteilte Dateien.

Die optionale Pro-Abschluss-Erinnerung speichert Aktivierung, lokale Uhrzeit, ausgewählte Wochentage und den Status der Berechtigungsanfrage als gerätespezifische Einstellung. Sie ist nicht Teil portabler Backups. Erst beim ausdrücklichen Aktivieren fragt Kassento die Benachrichtigungsberechtigung an; anschließend plant das Betriebssystem höchstens sieben lokale Wochenbenachrichtigungen. Ihr generischer Text enthält weder Kassennamen noch Beträge. Es gibt kein Push-Token, kein Kassento-Push-Backend und keine Übertragung des Erinnerungsplans an den Anbieter. Deaktivieren und „Alle lokalen Daten löschen“ entfernen Kassentos geplante Erinnerungen; die Systemberechtigung kannst du in den Geräteeinstellungen ändern.

3. Pro-Kauf, Apple/Google und RevenueCat

Kassento bietet einen optionalen, nicht konsumierbaren Einmalkauf an. Apple App Store beziehungsweise Google Play führt den Bezahlvorgang durch. Kassento erhält weder vollständige Zahlungsdaten noch Kartendaten.

Zur Anzeige des Angebots, Validierung des Kaufs, Freischaltung von Kassento Pro, Wiederherstellung und Berücksichtigung von Rückerstattungen verwendet die App RevenueCat (RevenueCat, Inc., 1032 E Brandon Blvd #3003, Brandon, FL 33511, USA). Ein produktiver Store-Build kann den Pro-Status beim Start und bei Store-Aktionen prüfen. Dabei werden insbesondere folgende Daten verarbeitet:

• eine zufällig erzeugte, pseudonyme RevenueCat App User ID,
• Produktkennung, Kaufhistorie, Berechtigungsstatus, Store, Preis, Währung und Transaktionszeitpunkte,
• Apple-Receipt beziehungsweise Google-Purchase-Token,
• notwendige technische Verbindungs- und App-Daten wie IP-Adresse, Plattform, App-/OS-Version, Locale und Store-Land.

Die App übermittelt keine Kassenbezeichnungen, Währungsdefinitionen, Sollzusammensetzungen, Mitarbeiterlisten, Trinkgeldaufteilungen, Geldbeträge, Stückzahlen, Schubladenbewegungen, manuellen Terminalabgleiche, Notizen, Profile oder Abschlussverläufe an RevenueCat. Automatische Geräte-Identifier und RevenueCat-Diagnostik sind im Kassento-Code deaktiviert; es werden keine Werbe- oder Analytics-Integrationen in RevenueCat aktiviert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für Kauf, Freischaltung und Wiederherstellung sowie Art. 6 Abs. 1 lit. f DSGVO für einen verlässlichen Berechtigungsstatus, Missbrauchs- und Fehlervermeidung. Unser berechtigtes Interesse liegt in der sicheren Bereitstellung der bezahlten Funktionen. RevenueCat verarbeitet Endnutzerinformationen als Auftragsverarbeiter. Daten können in den USA verarbeitet werden; RevenueCat stellt hierfür unter anderem die EU-Standardvertragsklauseln in seinem Data Processing Addendum bereit. Weitere Informationen enthält die RevenueCat-Datenschutzerklärung.

Apple und Google verarbeiten Storekonto-, Zahlungs- und Kaufdaten nach ihren eigenen Datenschutzerklärungen und gesetzlichen Pflichten. Erstattungen und Zahlungsprobleme werden grundsätzlich über den verwendeten Store abgewickelt.

4. Teilen, Exportieren und portable Backups

Nur wenn du bewusst „Teilen“, „Exportieren“, ein Belegfoto-Share, „Lokalen Diagnoseverlauf exportieren“ oder „Verschlüsseltes Backup erstellen“ auswählst, übergibt das Betriebssystem den gewählten Inhalt beziehungsweise die temporäre Export-, Diagnose- oder verschlüsselte Backup-Datei an die von dir ausgewählte Ziel-App. Ab diesem Zeitpunkt ist deren Anbieter für die weitere Verarbeitung verantwortlich. Sende keine Daten an Empfänger, die sie nicht erhalten sollen, und prüfe einen Diagnoseexport vor der Weitergabe.

5. Webseite und Hosting

Die Webseiten unter darkstone.app sind statisch, setzen keine Cookies ein und enthalten keine Analyse-, Werbe-, Social-Media- oder Trackingdienste. Beim Abruf wird deine IP-Adresse technisch benötigt, um die Seite über HTTPS an dein Gerät auszuliefern. Der Webserver und der vorgeschaltete Proxy führen keine regulären Zugriffsprotokolle. Sicherheitskritische technische Fehlermeldungen können kurzfristig verarbeitet werden, soweit dies für Betrieb und Abwehr erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und zuverlässige Betrieb der Webseite.

Der Server wird bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, betrieben. Hetzner verarbeitet die für Bereitstellung, Netzbetrieb und Sicherheit erforderlichen technischen Daten als Auftragsverarbeiter. Weitere Informationen enthält die Datenschutzerklärung von Hetzner.

6. Supportkontakt

Wenn du uns per E-Mail kontaktierst, verarbeiten wir Absenderadresse, Nachrichteninhalt und freiwillig übermittelte Informationen zur Bearbeitung der Anfrage. Rechtsgrundlage ist je nach Anfrage Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Unser E-Mail-Dienst wird von Google bereitgestellt; dadurch kann eine Verarbeitung durch Google Ireland Limited und verbundene Unternehmen stattfinden. Weitere Informationen: Google-Datenschutzerklärung.

Supportnachrichten werden gelöscht, sobald die Anfrage erledigt ist und keine gesetzlichen Aufbewahrungs- oder berechtigten Nachweisinteressen mehr bestehen; regelmäßig spätestens drei Jahre nach Abschluss des Vorgangs. Bitte sende keine echten Kassennamen, Geldbeträge, Notizen, Belegfotos, vollständigen Storebelege, Zahlungsdaten oder Zugangsdaten. Ein ausdrücklich erzeugter lokaler Diagnoseexport enthält nur feste, redigierte Fehlerfelder; prüfe ihn dennoch vor dem Senden.

7. Speicherdauer und Löschung

• Lokale App-Daten einschließlich Belegfotos: bis zur Einzel-/Sessionlöschung, Löschung aller lokalen Daten, Löschung der App-Daten oder Deinstallation.
• Lokaler Diagnoseverlauf: höchstens 200 Ereignisse, 128 KiB und 30 Tage; bis zur Löschung aller lokalen Daten, Löschung der App-Daten oder Deinstallation.
• Gerätebackups: nach den Einstellungen und Aufbewahrungsregeln deines Apple- beziehungsweise Google-Kontos.
• Portable Backup-Dateien: bis du sie am selbst gewählten Speicherort löschst.
• Temporäre Snapshot- und Restore-Arbeitsdateien: bis zum Abschluss, Abbruch oder Fehler des Vorgangs.
• Restore-Journal und Rückrollkopie von Datenbank, Belegfotos und Einstellungen: bis zum bestätigten Commit oder erfolgreichen Rollback; nach Prozessabbruch bis zur Recovery beim nächsten Start, bei Recovery-Fehler bis zum nächsten erfolgreichen Versuch, zur lokalen Löschung oder Deinstallation.
• Temporäre Exporte einschließlich Diagnoseexport: nach Übergabe beziehungsweise beim nächsten Start.
• RevenueCat- und Store-Kaufdaten: solange dies für Freischaltung, Wiederherstellung, Erstattungen, Missbrauchsschutz und gesetzliche Pflichten erforderlich ist. Eine Löschanfrage kann über den oben genannten Kontakt gestellt werden.
• Supportdaten: nach den unter Punkt 6 beschriebenen Kriterien.

Die lokale Löschung kann Store- und Transaktionsnachweise bei Apple, Google oder RevenueCat nicht automatisch entfernen. Ein erworbener Einmalkauf kann über den Store wiederhergestellt werden.

8. Deine Rechte

Nach Maßgabe der DSGVO hast du insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Soweit eine Verarbeitung auf Einwilligung beruht, kannst du diese für die Zukunft widerrufen. Zur Ausübung genügt eine E-Mail an darkstone.app@gmail.com. Wir können einen angemessenen Identitätsnachweis verlangen, bevor wir Daten zu einer RevenueCat-Kennung oder Supportanfrage offenlegen oder löschen.

Du kannst dich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

9. Änderungen

Diese Datenschutzerklärung wird angepasst, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist unter dieser URL abrufbar.