Datenschutzerklärung der App BonBunker

Stand: 2026-10-09 Diese Erklärung im Internet: https://receiptify.daturex-cloud.de/datenschutz

1. Kurz gesagt

• Deine Belege, Fotos, Kategorien und Budgets bleiben auf deinem Handy. Wir bekommen sie nicht und können sie nicht einsehen.
• Es gibt kein Konto, keine Werbung und kein Tracking.
• Nur diese Dinge gehen über das Internet: Erstens lädt die App das Erkennungsmodell von Hugging Face herunter, einem Anbieter in den USA; dabei erfährt Hugging Face die IP-Adresse deines Handys. Zweitens fragt die App etwa einmal am Tag unseren Server, ob es ein neues Erkennungsmodell gibt; die Anfrage enthält nichts über dich oder deine Belege. Drittens kannst du Belege spenden, wenn du das möchtest; gesendet wird dann nur, was du auswählst, und nur, nachdem du jedes Mal zugestimmt hast. Viertens, und nur wenn du das selbst einstellst: Du kannst die Belege von einem eigenen Server auslesen lassen; dann gehen die Fotos an den Server, den du einträgst, nicht an uns.
• Sonst sendet die App nichts.

2. Wer verantwortlich ist

DATUREX GmbH Hermann-Reichelt-Straße 3A 01109 Dresden E-Mail: kontakt@daturex.de Vertreten durch den Geschäftsführer Marcel Kießlich Amtsgericht Dresden, HRB 36495 USt-IdNr. DE325253451

Kontakt für Datenschutzfragen: datenschutz@externer-datenschutzbeauftragter-dresden.de oder per Post an die Anschrift oben mit dem Zusatz „z. Hd. Datenschutzbeauftragter“

Wenn du uns schreibst, verarbeiten wir deine Nachricht und deine E-Mail-Adresse, um dir zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO: unser Interesse, Anfragen zu beantworten. Wir löschen deine Nachricht, sobald dein Anliegen erledigt ist, soweit wir sie nicht aus gesetzlichen Gründen länger aufbewahren müssen.

3. Was die App auf deinem Handy speichert

Die App speichert alles im eigenen, geschützten Speicherbereich der App auf deinem Handy. Andere Apps kommen dort nicht heran. Gespeichert werden:

• deine Belege: das Foto und die ausgelesenen Daten (Geschäft, Datum und Uhrzeit, Summe, Artikel mit Menge und Preis) samt deinen Korrekturen,
• deine Kategorien und welchen Belegen und Artikeln du sie zugeordnet hast,
• deine Budgets,
• deine Einstellungen; falls du einen eigenen Server zum Auslesen eingestellt hast, auch dessen Adresse, den Namen des Modells und den Schlüssel,
• das Erkennungsmodell (eine große Datei je Modell, siehe Abschnitt 5),
• falls du Belege gespendet hast: zu jedem gespendeten Beleg ein Löschcode, die Prüfsumme des gesendeten Fotos (eine Art digitaler Fingerabdruck der Datei) und der Tag der Spende, damit du die Spende zurückziehen kannst.

Das Auslesen der Belege macht ein Modell, das auf deinem Handy läuft. Das Foto wird dafür nicht ins Internet geschickt.

Auslesen auf einem eigenen Server (nur wenn du es einstellst): Unter Einstellungen → Erweitert kannst du statt des Modells auf dem Handy einen eigenen Server eintragen, zum Beispiel einen Rechner bei dir zu Hause oder einen Anbieter, den du dir aussuchst. Das ist ausgeschaltet, bis du Adresse und Modellname einträgst und speicherst. Ab dann sendet die App das Foto jedes Belegs, der ausgelesen wird, an diesen Server, zusammen mit deinem Schlüssel für diesen Server, falls du einen eingetragen hast. Sonst wird nichts mitgesendet. Die Fotos gehen nur an die Adresse, die du einträgst; wir bekommen sie nicht und sind an dieser Übertragung nicht beteiligt. Was der Server mit den Fotos macht und wie lange er sie behält, bestimmt, wer ihn betreibt. Ohne Verschlüsselung (http://) sendet die App nur an Adressen im eigenen Netz. Stellst du wieder „Auf diesem Handy“ ein, wird nichts mehr dorthin gesendet.

Wir haben keinen Zugriff auf diese Daten. Sie liegen nur auf deinem Handy. Wir können sie weder ansehen noch wiederherstellen, wenn sie verloren gehen.

Keine Kopie in der Cloud: Die App nimmt nicht an der Cloud-Sicherung von Android teil und wird auch nicht automatisch auf ein neues Handy übertragen. Wenn du deine Daten mitnehmen willst, nutze die Sicherung der App (Abschnitt 6).

4. Berechtigungen

Die App nutzt diese Berechtigungen von Android:

• Internetzugriff: für den Download des Erkennungsmodells und die Frage nach einem neuen Modell (Abschnitt 5), wenn du spendest, für das Senden der Spende (Abschnitt 7), und, wenn du einen eigenen Server eingestellt hast, für das Senden der Fotos dorthin (Abschnitt 3).
• Netzwerkstatus ansehen: Die App prüft, ob du im WLAN bist. Bist du es nicht, fragt sie, bevor sie das große Modell über mobile Daten lädt.
• Benachrichtigungen: Die App zeigt an, wie weit das Auslesen oder der Download ist. Android fragt dich, ob du das erlaubst.
• Im Vordergrund weiterarbeiten (Vordergrunddienst): Damit das Auslesen und der Download weiterlaufen, wenn du die App verlässt. Solange das läuft, siehst du eine Benachrichtigung.
• Ruhezustand verhindern: Damit das Handy beim Auslesen oder beim Download nicht mittendrin einschläft.

Die App hat keine Berechtigung für die Kamera, für deine Fotos und Dateien, für den Standort, für Kontakte oder für das Mikrofon. Wenn du einen Beleg fotografierst, öffnet sich die Kamera deines Handys; wenn du ein vorhandenes Bild nimmst, öffnet sich die Bildauswahl von Android. Die App bekommt nur das Bild, das du aufnimmst oder auswählst. Für die Sicherung wählst du Speicherort und Datei selbst im Dateidialog von Android.

5. Download des Erkennungsmodells (Hugging Face)

Was passiert: Zum Auslesen braucht die App ein Erkennungsmodell. Das ist eine große Datei, die nicht in der App enthalten ist. Es gibt zwei Modelle: das Standardmodell (Download etwa 1,9 GB) und ein größeres (etwa 4,3 GB), das du in den Einstellungen wählen kannst.

Die App lädt ein Modell in zwei Fällen herunter: wenn du zum ersten Mal einen Beleg auslesen lässt (bist du dabei nicht im WLAN, fragt sie vorher), oder wenn du in den Einstellungen ein Modell wählst, das noch nicht auf deinem Handy ist, und den Download bestätigst. Danach liegt die Datei auf deinem Handy, und die App nimmt für das Auslesen keine Verbindung mehr auf. Löschst du eine Modelldatei in den Einstellungen und willst das Modell später wieder verwenden, lädt die App sie erneut.

Von wem: Die Datei liegt bei Hugging Face (huggingface.co). Betreiber ist die Hugging Face, Inc., ein Unternehmen in den USA.

Was dabei übertragen wird: Wie bei jedem Abruf aus dem Internet erfährt Hugging Face die IP-Adresse deines Handys, den Zeitpunkt, welche Datei abgerufen wird, und technische Angaben der Anfrage (zum Beispiel, welches Programm die Datei abruft). Die App sendet außerdem einen Zugangsschlüssel mit, der in die App eingebaut ist. Er erlaubt nur das Lesen der Modelldateien und ist für alle Nutzerinnen und Nutzer gleich. Hugging Face kann daran und an der abgerufenen Datei erkennen, dass der Abruf von einer BonBunker-App kommt. Sonst sendet die App dabei nichts über dich: keine Belege, keine Fotos, keinen Namen, keine Gerätekennung. Hugging Face kann für die Auslieferung großer Dateien weitere Dienstleister einsetzen, zum Beispiel ein Verteilnetz. Auch diese erfahren dann die IP-Adresse deines Handys.

Was Hugging Face mit diesen Verbindungsdaten macht und wie lange sie dort gespeichert werden, bestimmt Hugging Face. Wir bekommen diese Daten nicht. Mehr dazu in der Datenschutzerklärung von Hugging Face: https://huggingface.co/privacy

USA: Deine IP-Adresse gelangt dabei an ein Unternehmen in den USA, also in ein Land außerhalb der EU. Hugging Face verarbeitet diese Daten in eigener Verantwortung, nicht in unserem Auftrag. Die Übermittlung findet statt, weil du den Download auslöst und die App ihre Aufgabe sonst nicht erfüllen kann (Art. 49 Abs. 1 Buchst. b DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO: Wir stellen die Funktion bereit, die du nutzen willst. Das Speichern der Modelldatei auf deinem Handy ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Kannst du das vermeiden? Ehrlich gesagt: nur, indem du keine Belege auslesen lässt. Ohne das Modell kann die App Belege nicht auslesen, und es gibt derzeit keinen anderen Weg, es zu bekommen. Solange du nichts auslesen lässt, wird nichts heruntergeladen.

Frage nach einem neuen Modell: Etwa einmal am Tag, wenn du die App öffnest, fragt sie unseren Server (receiptify.daturex-cloud.de, von uns betrieben auf Servern der Hetzner Online GmbH in Deutschland), ob es ein neues Erkennungsmodell gibt. Die Anfrage enthält nichts über dich, dein Handy oder deine Belege. Wie bei jedem Abruf aus dem Internet erfährt der Server dabei die IP-Adresse deines Handys. Er hält sie nur kurz und in nicht zurückrechenbarer Form im Arbeitsspeicher, um die Zahl der Anfragen zu begrenzen, und speichert sie nicht. Gibt es ein neues Modell, sagt dir die App das einmal. Heruntergeladen wird es erst, wenn du das willst; dafür gilt, was oben zum Download steht. Bis dahin liest die App weiter mit dem Modell, das du hast. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO: unser Interesse, dir ein besseres Modell anbieten zu können, ohne dass du dafür eine neue Version der App brauchst.

6. Sicherung und CSV-Export

Sicherung: Du kannst in der App eine Sicherung erstellen. Das ist eine Datei mit deinen Belegen, Fotos, Kategorien, Budgets und Einstellungen und, falls du gespendet hast, den Löschcodes deiner Spenden. Sie ist mit einem Passwort verschlüsselt, das du selbst wählst. Ohne das Passwort lässt sie sich nicht öffnen, und niemand kann es zurücksetzen, auch wir nicht.

CSV-Export: Du kannst deine ausgelesenen Belege als Tabelle (CSV-Datei) exportieren. Diese Datei ist nicht verschlüsselt. Jeder, der sie bekommt, kann sie lesen.

Beide Dateien verlassen dein Handy nur, wenn du sie selbst irgendwohin speicherst oder verschickst, zum Beispiel in einen Cloud-Speicher oder per E-Mail. Dann gelten die Regeln des Dienstes, den du dafür wählst. Wir bekommen diese Dateien nie.

7. Belege spenden

Wenn deine Version der App die Funktion „Belege spenden“ anbietet, kannst du uns Belege schicken, damit wir die Erkennung verbessern. Kurz:

• Freiwillig. Die App funktioniert ohne Spende genauso.
• Jedes Mal mit deiner Zustimmung. Vor jeder Spende zeigt dir die App, was gesendet würde. Gesendet werden nur die Belege, bei denen du den Haken gesetzt lässt, und erst nachdem du zugestimmt hast.
• Was gesendet wird: das vollständige Foto, die ausgelesenen Daten samt deinen Korrekturen, die Angabe, ob du korrigiert hast, der Name des Erkennungsmodells, die App-Version und die Sprache der App. Deine Kategorien und Budgets werden nicht gesendet. Angaben in der Fotodatei wie Aufnahmeort und Gerätemodell entfernt die App vorher.
• An wen: an die DATUREX GmbH. Gespeichert werden die Spenden auf Servern der Hetzner Online GmbH (Gunzenhausen) in Deutschland, die sie in unserem Auftrag verarbeitet. Sonst geben wir sie an niemanden weiter.
• Wofür: um die Modelle zur Belegerkennung zu trainieren und zu prüfen (Feintuning). Das so trainierte Modell wird als Teil der App verteilt; die gespendeten Fotos und Daten selbst nicht.
• Zurückziehen: jederzeit in der App unter „Einstellungen“ → „Belege spenden“ → „Meine Spenden zurückziehen“. Wir löschen die Spenden dann vom Server und verwenden sie für kein weiteres Training. Modelle, die schon damit trainiert wurden, werden nicht geändert oder neu trainiert.

Belege können persönliche Daten enthalten, auch von anderen Personen. Rechtsgrundlage ist deine Einwilligung. Alle Einzelheiten stehen in den Datenschutzhinweisen zur Datenspende: https://receiptify.daturex-cloud.de/datenspende

8. Was die App nicht tut

• keine Analyse deines Nutzungsverhaltens und keine Absturzberichte an uns oder an Dritte,
• keine Werbung und keine Werbekennung,
• kein Konto, keine Anmeldung, keine Gerätekennung,
• kein Zugriff auf Standort, Kontakte, Mikrofon oder deine übrigen Fotos,
• keine Verbindung ins Internet außer den in Abschnitt 3, 5 und 7 beschriebenen,
• keine automatisierte Entscheidung über dich und kein Profiling (Art. 22 DSGVO).

Wenn du die App aus dem Google Play Store lädst, verarbeitet Google dabei Daten nach eigenen Regeln. Darauf haben wir keinen Einfluss.

9. Wie lange Daten bleiben

• Auf deinem Handy: bis du sie löschst. Du kannst einzelne Belege, Kategorien und Budgets in der App löschen, ebenso die Modelldateien. Einen Beleg auf dem Handy zu löschen zieht seine Spende nicht zurück; das geht nur wie in Abschnitt 7 beschrieben. Wenn du die App deinstallierst oder in den Android-Einstellungen die App-Daten löschst, ist alles weg, auch das Erkennungsmodell und die Löschcodes deiner Spenden.
• Sicherung und CSV-Export: so lange, wie du die Dateien aufbewahrst.
• Spenden: bis du sie zurückziehst oder bis wir sie für die Verbesserung der Erkennungsmodelle nicht mehr brauchen; das prüfen wir mindestens alle drei Jahre. Sicherungskopien des Servers bewahren wir höchstens 30 Tage auf; eine zurückgezogene Spende ist deshalb nach spätestens 30 Tagen auch dort verschwunden. Von einer zurückgezogenen Spende merkt sich der Server 90 Tage lang die Prüfsumme (eine Art digitaler Fingerabdruck) der Datei und den Tag der Löschung, damit er die Spende erneut löschen kann, falls sie mit einer Sicherungskopie zurückkommt.
• Verbindungsdaten beim Modell-Download und bei der Frage nach einem neuen Modell: Wir speichern keine. Was Hugging Face speichert, bestimmt Hugging Face (Abschnitt 5).

10. Deine Rechte

Nach der Datenschutz-Grundverordnung (DSGVO) hast du gegenüber uns grundsätzlich diese Rechte:

• Auskunft darüber, welche Daten wir über dich verarbeiten (Art. 15),
• Berichtigung falscher Daten (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit, also deine Daten in einem gängigen Format zu bekommen (Art. 20),
• Widerspruch gegen eine Verarbeitung, die auf einem berechtigten Interesse beruht (Art. 21),
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3). Das betrifft die Spende; wie es geht, steht in Abschnitt 7.

Was das hier praktisch heißt:

• Die Daten auf deinem Handy haben wir nicht. Ansehen, ändern, exportieren und löschen kannst du sie selbst in der App.
• Spenden speichern wir ohne Konto und ohne Kennung. Wir können deshalb von uns aus nicht feststellen, welche Spenden von dir stammen, und eine Anfrage wie „alle meine Spenden“ nicht bearbeiten. Für eine bestimmte Spende kannst du deine Rechte ausüben, wenn du in der App den Löschcode nutzt oder uns ein Foto des Belegs schickst, sodass wir die Spende suchen können. Einzelheiten stehen in den Datenschutzhinweisen zur Datenspende.

Anfragen richtest du an kontakt@daturex.de oder an datenschutz@externer-datenschutzbeauftragter-dresden.de.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel an deinem Wohnort. Für uns zuständig ist:

Sächsische Datenschutz- und Transparenzbeauftragte Devrientstraße 5 01067 Dresden

11. Kinder und Jugendliche

Die App richtet sich nicht an Kinder und Jugendliche unter 16 Jahren.

12. Änderungen

Stand dieser Erklärung: 2026-10-09. Wenn sich ändert, was die App speichert oder sendet, passen wir diese Erklärung an, bevor die Änderung wirksam wird. Die aktuelle Fassung findest du unter https://receiptify.daturex-cloud.de/datenschutz.