Stand: 16. Oktober 2026

Datenschutz

Diese Erklärung gilt für die Website kassenbond.de und für die iPhone-App Kassenbond. Beide werden getrennt behandelt, weil sie Unterschiedliches tun.

Auf einen Blick

Analyse-, Nachverfolgungs-, Werbe- und Absturzberichtsdienste sind nirgends eingebunden – weder auf dieser Website noch in der App. Keine Tracking-Cookies, keine Zählpixel, keine Werbekennung, keine fremden Schriftarten. Diese Seite lädt beim Aufruf nichts von einem anderen Server nach. Lokale Skriptdateien steuern Scrollbewegung, Beispielvorschau und Sprachwechsel. Die gewählte Sprache wird auf diesem Gerät gespeichert; dafür werden keine Daten an Dritte gesendet.

Verantwortlicher

Giuseppe Antonio Raffaele
Berliner Allee 58
64295 Darmstadt
Deutschland
support@kassenbond.de

Diese Website

Zugriffsdaten des Hosters

Beim Aufruf dieser Seiten erhebt der Hoster die technisch notwendigen Zugriffsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Verweisseite sowie Browser- und Betriebssystemkennung. Sie sind für die Auslieferung der Seite und die Abwehr von Angriffen erforderlich; Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Sie werden nicht mit anderen Daten zusammengeführt und nicht zur Wiedererkennung einzelner Personen ausgewertet.

Hoster ist die Hostinger International Ltd., 61 Lordou Vironos, 6023 Larnaca, Zypern, als Auftragsverarbeiterin auf Grundlage eines Auftragsverarbeitungsvertrags. Der Server steht in Frankfurt am Main, die Sicherungen liegen in Frankreich – beides in der Europäischen Union.

Keine Tracking-Cookies, keine Einwilligung nötig

Diese Website setzt keine Cookies zur Analyse, Nachverfolgung oder Werbung. Sie bindet keine Schriftarten, Karten, Videos oder Skripte von fremden Servern ein. Im Browser merkt sie sich höchstens die gewählte Sprache. Deshalb erscheint hier kein Einwilligungsbanner: Es gäbe nichts, worin einzuwilligen wäre.

Eine Ausnahme gilt, solange die Seite im Wartungsmodus steht: Wer sich über einen Einlasslink Zugang verschafft, bekommt dafür ein technisch notwendiges Merkmal im Browser gesetzt. Es enthält keine Kennung einer Person.

Eine weitere Ausnahme gilt für Freigabelinks mit Passwort; sie ist unten beim Freigabelink eines geteilten Bonds beschrieben.

Der Freigabelink eines geteilten Bonds

Unter kassenbond.de/s/… lässt sich ein geteilter Bond im Browser ansehen. Die Adresse selbst ist der Zugang: Wer den Link hat, sieht den Stapel (bei Links mit Passwort: nur mit Passwort).

Angezeigt werden der Name des Stapels, der Zeitraum, der Auftraggeber, der Ort, das Kfz-Kennzeichen, Stapel- und Abrechnungsnummer, der Stand und ein etwaiger Rückfragetext – dazu je Beleg Bezeichnung, Datum, Anbieter, der gemerkte Ort und der Betrag. Wenn der Besitzer die Dokumentfreigabe für diesen Zugriff einschaltet, werden auch Belegbilder, Originaldokumente und die fertige Abrechnung als PDF zugänglich. Diese Dateien werden über kurzlebig signierte Links bereitgestellt. Eine heruntergeladene Kopie lässt sich durch den späteren Entzug des Zugriffs nicht zurückholen.

Wer das Recht „Fotos und Abrechnung“ hat, kann im Browser und in der App alle Belege eines Bonds – auf Wunsch samt Abrechnung – als eine Datei (ZIP) laden. Dafür gelten dieselben Schranken wie beim einzelnen Beleg. Lädt jemand die Abrechnung, erfährt das der Besitzer. Die geladene Kopie liegt danach beim Empfänger.

Ein Link mit Zusagerecht erlaubt auch Zusagen und Nachfragen im Browser. Im gemeinsamen Protokoll sind diese Aktionen als „über Link“ gekennzeichnet; der Link weist keine persönlich angemeldete Identität nach. Zahlungen melden geht in der App mit Konto. Die Seite wird nicht zwischengespeichert und gehört nicht in einen Suchindex. Zieht die Person, die geteilt hat, den Zugriff zurück oder läuft die beim Teilen gewählte Frist ab, gilt der Link sofort nicht mehr.

Ein Freigabelink lässt sich mit einem Passwort schützen; beim Teilen per Link ist das voreingestellt. Es schützt den geteilten Bond, falls der Link allein in fremde Hände gerät. Der Server speichert davon je eingeladener Person nur einen nicht umkehrbaren Prüfwert (bcrypt), nie das Passwort selbst. Für die Grenze von zehn Fehlversuchen je Stunde und Link merkt er sich Zeitpunkt und Weg (Browser oder App) jedes Fehlversuchs, keine IP-Adresse.

Nach richtiger Eingabe setzt die Seite ein technisch notwendiges Cookie. Es gilt zwei Stunden und nur für die Adresse dieses Links und enthält keine Kennung einer Person. Rechtsgrundlage ist wie beim Teilen selbst Art. 6 Abs. 1 Buchst. b und f DSGVO, für das Cookie § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung braucht es dafür nicht.

Das Passwort verschickt die Person, die teilt, selbst – mit dem Link oder getrennt – über die E-Mail- oder Messenger-App ihrer Wahl; dort gelten deren Datenschutzregeln. Kassenbond versendet es nicht.

Die App

Ohne Konto

Kassenbond lässt sich ohne Konto und ohne Server benutzen. Dann bleiben alle Belege, Beträge und Notizen auf dem iPhone, und es geht nichts an den Kassenbond-Server. Auch die Texterkennung auf dem Bon läuft vollständig auf dem Gerät.

Optionale Funktionen wenden sich auch ohne Konto nach außen: Wer den Ort eines Belegs merken lässt, schickt die Koordinaten zur Adressauflösung an Apple; wer einen Kartenausschnitt ansieht, lädt Kartenkacheln von dort. Näheres unter „Empfänger und Dienstleister“. Bei der Firmensuche werden Suchtext und Sprache über den Kassenbond-Server an Google Places übermittelt. Ausgewählte Firmendaten bleiben am Beleg gespeichert. Ohne verfügbaren Google-Dienst bietet die App Apple Karten als Alternative an. Für den Missbrauchsschutz werden täglich wechselnde Geräteprüfwerte höchstens acht Tage aufbewahrt; Suchtexte und Belege werden in diesem Kontingentprotokoll nicht gespeichert. Beim Abruf von Wechselkursen werden Währung und Datum an den Kursdienst übermittelt, keine Belegbilder.

Welche Daten verarbeitet werden

Mit Konto verarbeitet Kassenbond diese Angaben:

• Konto und Person: Name, E-Mail-Adresse, Telefonnummer, Anschrift, Tätigkeit und – wenn Du eines hinterlegst – ein Profilbild.
• Zusammenarbeit: die Zuordnung zwischen Auftraggeber und Auftragnehmer sowie der Saldo je Verbindung.
• Jede Auslage: Betrag, ausgewiesene Mehrwertsteuer und Steuersatz, Menge, Anbieter, Kfz-Kennzeichen, Kilometerstand, Anlass, Notiz und drei Zeitpunkte – wann eingereicht, welches Datum auf dem Bon steht, wann das Foto entstand.
• Vorschüsse und Auslagenfreigaben: Betrag, Anlass, Zeitpunkte, ob der Eingang bestätigt wurde, dazu ein etwaiger Stornovermerk mit Grund.
• Erstattungsweg: je nach Wahl Kontoinhaber, IBAN und freiwillig BIC oder PayPal-Name beziehungsweise PayPal-E-Mail.
• Belegbilder und die daraus ausgelesenen Belegdaten; bei mitgebrachten PDF-Belegen zusätzlich das Original.

Zugangsdaten zu Bank oder PayPal werden nie erfasst. Kein Passwort, keine PIN, keine TAN. Aus IBAN, Betrag und Verwendungszweck entsteht höchstens ein QR-Code, den Du in Deiner Bank-App scannst; die Zahlung löst Du dort aus, nicht hier.

Was beim Teilen übertragen wird

Ein Belegstapel wird nur übertragen, wenn Du ihn ausdrücklich teilst. Dann liegen Kopf und Belege dieses einen Stapels mit Betrag, Datum, Art, Anbieter, Mehrwertsteuer, Notiz, Kennzeichen, Belegfoto und – falls erfasst – Ort auf dem Server. Der Besitzer legt die Zugriffsrechte je eingeladener Person fest. Die Rolle gilt für diesen Bond, nicht dauerhaft für das Konto. Andere Bonds und Belege außerhalb dieses Bonds gehören nicht dazu.

Beim Abschließen kommt die Abrechnung als PDF hinzu. Darauf stehen Kontoinhaber, IBAN und gegebenenfalls BIC beziehungsweise Deine PayPal-Adresse – ohne diese Angabe lässt sich keine Abrechnung erzeugen – und, wenn Du sie nicht abwählst, Deine Unterschrift als Bild. Die eingeladenen Personen können das Blatt herunterladen. Bei eingeschalteter Dokumentfreigabe ist es auch über den entsprechenden Browser-Link zugänglich, bereits vor einer Zusage.

Ein Beleg trägt Ort, Zeit und Betrag. Ein geteilter Stapel über mehrere Tage sagt deshalb auch, wo jemand wann war.

Beim Teilen legst Du fest, wie lange der Link gilt: 24, 48 oder 72 Stunden, 7 oder 30 Tage sowie eine individuelle Frist. Voreingestellt sind 48 Stunden.

Anmeldung und Sicherheit

Für die Anmeldung werden E-Mail-Adresse und Passwort an den Anmeldedienst übertragen, dazu Anmeldezeitpunkt und Sitzungsdaten. Nutzt Du die Anmeldung mit zweitem Faktor, prüft der Dienst den sechsstelligen Code aus Deiner Authenticator-App. Der geheime Schlüssel dieser App liegt beim Anmeldedienst, nicht in Deinem Kassenbond-Profil.

Änderst Du die Anmelde-E-Mail, entstehen keine neuen Daten; die Bestätigung geht an die alte und an die neue Adresse.

Das gemeinsame Protokoll

Der Server hält zu jedem Schritt Ereignis, Serverzeit, handelnde Rolle und Namen fest, dazu einen Datenauszug ohne Belegbild und einen Prüfwert (SHA-256). Schreiben kann darin niemand von Hand; es entsteht allein aus den Vorgängen. Eine stornierte Auslage verschwindet aus den offenen Listen, ihr Protokolleintrag bleibt bestehen – er ist der gemeinsame Nachweis für beide Seiten.

Betreuung und Sicherung

Zur Betreuung des Dienstes sieht der Anbieter in einer internen Übersicht je Konto die E-Mail-Adresse, die Zeitpunkte von Registrierung und letzter Anmeldung, ob die E-Mail-Adresse bestätigt ist, ob Zwei-Faktor-Anmeldung und Kassenbond Plus bestehen, die App-Sprache und Nutzungszahlen wie die Zahl der Bonds und Belege. Inhalte von Bonds und Belegen, Beträge, Zahlungsangaben, Anschriften, Bilder und Nachrichten sind darin nicht enthalten. Jeder Abruf der Übersicht wird protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO.

Für eine Wiederherstellung nach Störungen entsteht jede Nacht eine verschlüsselte Kopie (age) der Datenbank und der Belegdateien. Sie liegt in einem privaten Repository bei GitHub (GitHub Inc., Tochter von Microsoft, USA), dort 60 Tage, und auf einem Rechner des Anbieters (14 tägliche und 8 wöchentliche Stände). Den Schlüssel zum Entschlüsseln hat nur der Anbieter; GitHub kann den Inhalt nicht lesen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Gelöschte Daten können bis zum Ablauf dieser Fristen noch in Sicherungen enthalten sein.

Standort

Ein Standort wird immer nur einmalig im Moment der Abfrage erhoben, nie laufend und nie im Hintergrund. Erfasst werden Breiten- und Längengrad, die vom Gerät gemeldete Genauigkeit, der Zeitpunkt und – wenn die Rückwärtssuche gelingt – die lesbare Adresse. Es gibt drei Fälle:

• Auf Deinen Knopfdruck in der Belegablage, wenn Du den Ort eines Belegs merken willst. Du kannst ihn jederzeit wieder entfernen.
• Auf Deinen Schalter, wenn Du bei einer selbst gemeldeten Auslage den Ort mitschicken willst. Der Schalter ist voreingestellt aus.
• Verpflichtend, wenn Dein Auftraggeber es für Dich eingeschaltet hat oder für die betreffende Auslagenfreigabe ein Ort hinterlegt ist. Dann lässt sich ohne Standort nicht einreichen.

Teilst Du einen Stapel, wird ein gemerkter Ort als Text mitübertragen und ist für die eingeladenen Personen sichtbar.

Berechtigungen auf dem Gerät

Jede Berechtigung lässt sich in den iPhone-Einstellungen zurücknehmen. Die App bleibt dann nutzbar, die davon abhängige Funktion nicht.

Was auf dem Gerät bleibt

Belege, die zu keinem geteilten Stapel gehören, Deine gemerkten Bankverbindungen und Deine Unterschrift werden nicht laufend mit dem Server abgeglichen. Die Belegablage bleibt auch nach dem Abmelden auf dem iPhone; das Abmelden räumt nur die Daten der Verbindungen fort.

Die App verschlüsselt diese Dateien nicht zusätzlich; es gilt der Dateischutz von iOS, der am Gerätecode hängt. Anmeldesitzung und Schnellanmeldung liegen im Schlüsselbund des Geräts, gerätegebunden und nicht in Sicherungen. Wer Dein entsperrtes iPhone hat, kommt an diese Daten.

Zwecke und Rechtsgrundlagen

Die Verarbeitung dient der Bereitstellung und Absicherung von Kassenbond, der Zuordnung und Dokumentation von Auslagen sowie der Missbrauchs- und Betrugsprävention. Rechtsgrundlagen sind – je nach Verhältnis zur betroffenen Person – Art. 6 Abs. 1 Buchst. b, c und f DSGVO.

Gibt ein Auftraggeber Daten seiner Auftragnehmer ein und legt Zwecke oder Regeln fest, ist er für diese Verarbeitung verantwortlich; der Anbieter stellt den technischen Dienst bereit. Bevor damit im Echtbetrieb mit personenbezogenen Daten von Auftragnehmern gearbeitet wird, müssen Auftraggeber und Anbieter Auftragsverarbeitung, Rechtsgrundlage und Löschfristen schriftlich festlegen.

Empfänger und Dienstleister

Supabase Inc., 970 Toa Payoh North, Singapur, stellt Anmeldung, Datenbank und Dateispeicher bereit, als Auftragsverarbeiterin auf Grundlage der Datenverarbeitungsvereinbarung des Anbieters. Das genutzte Projekt liegt in der Region Frankfurt am Main. Zugriffsregeln in der Datenbank trennen die Konten voneinander; Belegfotos und Abrechnungen liegen in einem privaten Speicher, der nicht öffentlich abrufbar ist. Bestätigungs- und Passwort-E-Mails verschickt Supabase. Ein Zugriff aus einem Drittland durch den Anbieter im Rahmen von Wartung und Betrieb lässt sich nicht ausschließen; er stützt sich auf die Standardvertragsklauseln der Vereinbarung.

Apple erhält Daten über Systemdienste des iPhones: Beim Tippen einer Adresse gehen die eingegebenen Zeichen an den Vorschlagsdienst, zu einem erfassten Standort wird die lesbare Adresse ermittelt, und für Kartenausschnitte werden Kartenkacheln geladen. Sind Mitteilungen eingeschaltet, laufen Push-Mitteilungen über Apples Push-Dienst (APNs): Apple erhält dabei das Geräte-Token und den Mitteilungstext – er nennt höchstens den Namen des Belegstapels, keine Beträge und keine Personen.

Für eine Live-Aktivität auf dem Sperrbildschirm speichert der Server deren Push-Token wie das Geräte-Token im Serverkonto. Ändert die Gegenseite den Stand des Bonds, gehen über Apple nur Name und Stand des Bonds, kein Betrag und keine Person. Das Token wird gelöscht, sobald die Aktivität endet; nach zwölf Stunden verwendet der Server es nicht mehr und löscht es.

PayPal, Bank-, E-Mail- und Messenger-Apps erhalten erst dann Daten, wenn Du den jeweiligen Weg öffnest. Kassenbond verschickt selbst keine Nachricht und führt selbst keine Zahlung aus. Ab dem Moment, in dem Du den Knopf drückst, gelten zusätzlich die Datenschutzregeln des gewählten Anbieters.

Ein Zahlungsdienstleister ist nicht eingebunden. Analyse-, Nachverfolgungs-, Werbe- und Absturzberichtsdienste sind nicht eingebunden. Die App nutzt ausschließlich Apples eigene Systembausteine, keine fremden Bibliotheken. Eine Synchronisierung über iCloud findet nicht statt.

Speicherdauer

Ein abgelaufener Link löscht keine Belege. Die Frist des Teilen-Links beträgt nach Wahl 24, 48 oder 72 Stunden, 7 oder 30 Tage sowie eine individuelle Frist; voreingestellt sind 48 Stunden. Ein abgerechneter, geteilter Stapel bleibt als Buchhaltungsunterlage der Gegenseite ein Jahr auf dem Server; danach kann ihn der Besitzer endgültig löschen – samt Belegen, Dateien und dem gemeinsamen Protokoll, auf ausdrücklichen Tipp in der App. Die Frist steht am jeweiligen Stapel.

„Lokale App-Daten entfernen“ und „Daten und Einstellungen zurücksetzen“ löschen ausschließlich Daten auf diesem iPhone, nicht das Serverkonto. Das Beenden des Teilens entfernt Kopf, Belege und Belegfotos eines noch nicht abgerechneten Stapels vom Server.

„Konto endgültig löschen“ entfernt Deine Anmeldung und privaten Serverdaten auch bei offenen Beträgen. Fertige, mit anderen geteilte Abrechnungsnachweise einschließlich Protokoll und zugehörigen Dateien bleiben für die Gegenseite lesbar. Das gelöschte Konto kann sie nicht mehr ändern; offene Beträge werden nicht als bezahlt markiert. Für diese Nachweise kannst Du eine Löschanfrage an support@kassenbond.de richten. Der Anbieter prüft den weiteren Aufbewahrungszweck und entgegenstehende Pflichten im Einzelfall.

Private Belegdateien werden nach der Kontoentfernung über einen gespeicherten Bereinigungsauftrag gelöscht. Bei Unterbrechung wird die Bereinigung wiederholt. Den Abschlussbeleg dieses Auftrags bewahren wir nach erfolgreicher Dateibereinigung noch 30 Tage auf, um verlorene Serverantworten bestätigen zu können.

Einen einzelnen Zugriff zu entziehen löscht nichts. Der Link gilt dann sofort nicht mehr, die Daten des Stapels bleiben aber liegen. Erst das vollständige Beenden des Teilens löscht sie – nach dem Abrechnen geht das erst nach Ablauf der einjährigen Aufbewahrung, weil der Stapel bis dahin Buchhaltungsunterlage des Auftraggebers ist. Was Empfänger bereits gesehen oder gespeichert haben, holt keine Software zurück.

Die Storno-Funktion ist keine datenschutzrechtliche Löschung; sie bewahrt den gemeinsamen Nachweis für beide Seiten. Über eine endgültige Löschung wird nach Prüfung der Anfrage, vereinbarter Fristen und gesetzlicher Aufbewahrungspflichten entschieden. Eine Löschanfrage kann jederzeit an support@kassenbond.de gerichtet werden.

Prüfwert und Fehlversuche eines Linkpassworts werden gelöscht, wenn der Besitzer das Passwort entfernt oder ersetzt, und mit dem Bond oder der Teilnahme selbst; Fehlversuche außerdem nach einer richtigen Eingabe. Gezählt werden sie nur eine Stunde lang. Ein entzogener oder abgelaufener Link löscht sie nicht – wie die übrigen Daten des Bonds.

Deine Rechte

Du hast im gesetzlichen Umfang das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Beruht eine Verarbeitung auf Einwilligung, kannst Du sie jederzeit mit Wirkung für die Zukunft widerrufen. Für ein Konto sind die E-Mail-Adresse und die gekennzeichneten Pflichtangaben erforderlich; weitere Angaben richten sich nach der genutzten Funktion. Eine Kopie der eigenen Ablage – Belege, Bilder, Abrechnungen, Bonds – erzeugt die App selbst unter Einstellungen → Belege → „Ablage sichern"; sie lässt sich auf einem anderen iPhone wiederherstellen.

Außerdem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, für den Anbieter beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit.

Datenschutzanfrage senden

Änderungen

Ändert sich, was Kassenbond verarbeitet, wird diese Erklärung angepasst. Maßgeblich ist die hier veröffentlichte Fassung mit dem oben genannten Stand.