Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Verantwortlicher

PLATZHALTER — Firmierung, Rechtsform, vollständige Anschrift

Vertreten durch

PLATZHALTER — vertretungsberechtigte Person

Kontakt in Datenschutzfragen

PLATZHALTER — E-Mail-Adresse

Datenschutzbeauftragter

PLATZHALTER — Name und Kontakt, falls eine Benennung nach Art. 37 DSGVO beziehungsweise § 38 BDSG erforderlich ist

Ob eine Benennung erforderlich ist, hängt unter anderem vom Umfang der Verarbeitung und von der Zahl der Beschäftigten ab und ist vor dem Start zu klären.

2. Diese Website

Keine Cookies, keine Analyse, keine fremden Server

Diese Website setzt keine Cookies, bindet keine Analyse- oder Werbewerkzeuge ein und lädt keine Schriften, Skripte oder Bilder von fremden Servern. Alle Dateien kommen von dem Server, der die Seite ausliefert. Eine Einwilligung nach § 25 TDDDG ist deshalb nicht erforderlich.

Server-Protokolle

Beim Abruf der Seite verarbeitet der Server technisch notwendige Verbindungsdaten. Welche Felder protokolliert werden, hängt vom eingesetzten Hosting ab:

PLATZHALTER — tatsächlich protokollierte Datenfelder (typischerweise IP-Adresse, Zeitpunkt, angefragte Ressource, Statuscode, übertragene Datenmenge, Referrer, Browserkennung) und Aufbewahrungsdauer

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb der Website.

Hosting

PLATZHALTER — Name und Anschrift des Hosting-Anbieters, Serverstandort und Bestehen eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO

3. Warteliste

Trägst du dich in die Warteliste ein, verarbeiten wir deine E-Mail-Adresse sowie den Zeitpunkt der Eintragung. Zweck ist ausschließlich, dich einmalig über den Start von Repaid zu informieren.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Bestätigungsverfahren

PLATZHALTER — ob ein Double-Opt-In eingesetzt wird und welche Daten dabei protokolliert werden

Versanddienstleister

PLATZHALTER — Anbieter für den E-Mail-Versand, Sitz und Auftragsverarbeitungsvertrag

Speicherdauer

PLATZHALTER — Löschung spätestens nach dem Start beziehungsweise nach Widerruf; konkrete Frist festlegen

Eine Weitergabe der Adresse zu Werbezwecken findet nicht statt.

4. Der Dienst: Postfach, Belege, Konto

Dieser Abschnitt beschreibt die geplante Verarbeitung in der Repaid-App. Er ist vor dem Start gegen die tatsächliche Umsetzung zu prüfen und gegebenenfalls zu korrigieren.

Postfachzugriff

Verbindest du dein Postfach, erhält Repaid ausschließlich Lesezugriff. Vor dem Öffnen einer Nachricht entscheidet ein Filter anhand von Absender und Betreff, ob sie für den Zweck überhaupt relevant ist. Verarbeitet werden Bestellbestätigungen, Rechnungen, Versand- und Erstattungsnachrichten sowie Buchungsbestätigungen. Aus ihnen werden Händler, Betrag, Datum, Artikel, Fristen und Bestellnummern gewonnen.

PLATZHALTER — konkrete Berechtigungsumfänge je Anbieter (etwa Gmail, Outlook, IMAP) und Ergebnis der erforderlichen Sicherheitsprüfung für eingeschränkte Zugriffsrechte

Weiterleitungsadresse

Alternativ kannst du Belege an eine persönliche Weiterleitungsadresse schicken. Dann verarbeiten wir nur, was du selbst sendest.

Kontoinformationen

In der Vorabversion besteht keine Verbindung zu einem Bankkonto. Du lädst Kontoauszüge selbst hoch (PDF, CSV oder CAMT.053-XML); verarbeitet werden daraus Buchungsdatum, Betrag, Verwendungszweck und Gegenpartei. Sie dienen einem eng begrenzten Zweck: festzustellen, ob eine zugesagte Erstattung eingegangen ist, Doppelabbuchungen und wiederkehrende Zahlungen zu erkennen und Abbuchungen ohne zuordenbaren Kauf zu bemerken. Repaid kann keine Zahlung auslösen.

Zur Einordnung der Buchungen in Kategorien wird der Name der Gegenpartei an das unter Ziffer 7 genannte Sprachmodell übermittelt — je eindeutigem Namen einmal, nicht je Buchung.

PLATZHALTER — falls später ein zugelassener Kontoinformationsdienst angebunden wird: dessen Zulassung, Sitz und Auftragsverarbeitungsvertrag; Umfang und Zeitraum der abgerufenen Umsätze

Rechtsgrundlagen

• Erbringung des Dienstes, den du beauftragst: Art. 6 Abs. 1 lit. b DSGVO.
• Zugriff auf Postfach und Konto: zusätzlich deine ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar.
• PLATZHALTER — Bewertung, ob und in welchem Umfang besondere Kategorien personenbezogener Daten anfallen können (etwa aus Käufen im Gesundheitsbereich) und wie damit umgegangen wird

Automatisierte Entscheidungen

Repaid bewertet automatisiert, ob ein Fall vorliegen könnte, und schlägt Schritte vor. Ob und in welchem Umfang Schritte ohne deine Freigabe ausgeführt werden, legst du in den Einstellungen selbst fest.

PLATZHALTER — Einordnung nach Art. 22 DSGVO abhängig vom endgültigen Umfang des Autopiloten

5. Fälle und Kommunikation mit Händlern

Stand der Vorabversion: Es findet keine Übermittlung an Händler statt. Beauftragst du eine Rückholung, erzeugt Repaid ein Anschreiben und eine Belegzusammenstellung und zeigt beides als Entwurf an. Versendet wird nichts; das Anschreiben verlässt den Server nicht. Ob und an wen du es weitergibst, entscheidest du außerhalb von Repaid.

Für den späteren Versand ist vorgesehen, dem betroffenen Unternehmen nur die für den Fall erforderlichen Angaben zu übermitteln: in der Regel Name, Bestellnummer, Datum, Betrag und die zugehörigen Belege. Weitere Daten aus deinem Postfach oder von deinen Kontoauszügen würden nicht übermittelt. Rechtsgrundlage wäre dann Art. 6 Abs. 1 lit. b DSGVO, da die Übermittlung zur Durchführung des von dir beauftragten Vorgangs erforderlich ist.

Bei Fällen, die durchgesetzt werden müssen, arbeitet Repaid mit registrierten Inkasso- beziehungsweise Rechtsdienstleistern zusammen. Diese erhalten die für den jeweiligen Fall erforderlichen Daten.

PLATZHALTER — Name und Sitz der Partner, Rolle im datenschutzrechtlichen Sinn (Auftragsverarbeiter oder eigener Verantwortlicher) und Rechtsgrundlage der Übermittlung

6. Empfänger und Auftragsverarbeiter

Vorgesehen ist, dass eingesetzte Dienstleister weisungsgebunden auf Grundlage von Verträgen nach Art. 28 DSGVO tätig werden. In der Vorabversion bestehen solche Verträge noch nicht — das gilt insbesondere für das unter Ziffer 7 genannte Sprachmodell. Die folgende Aufstellung ist vor dem Start zu vervollständigen und die Verträge sind vor dem Start zu schließen:

• Hosting und Infrastruktur: PLATZHALTER
• E-Mail-Versand: PLATZHALTER
• Kontoinformationsdienst: PLATZHALTER
• Fehler- und Betriebsüberwachung: PLATZHALTER
• Zahlungsabwicklung für Repaid+: PLATZHALTER
• Sprachmodelle oder andere Auswertungsdienste, sofern eingesetzt: PLATZHALTER — Anbieter, Sitz, ob Daten zum Training verwendet werden (auszuschließen)

Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.

7. Übermittlung in Drittländer

Ziel ist eine Verarbeitung ausschließlich innerhalb der Europäischen Union. Dieses Ziel ist derzeit nicht erreicht.

In der Vorabversion wird zur Auswertung von Nachrichten- und Kontoauszugstexten ein Sprachmodell eines Anbieters mit Sitz in den Vereinigten Staaten aufgerufen. Übermittelt werden dabei die auszuwertenden Textstellen aus Bestell-, Versand- und Erstattungsnachrichten sowie einzelne Umsatzzeilen aus hochgeladenen Kontoauszügen. Diese können personenbezogene Daten enthalten.

PLATZHALTER — Benennung des Anbieters, Grundlage der Übermittlung (Angemessenheitsbeschluss oder Standardvertragsklauseln nach Art. 46 DSGVO), Auftragsverarbeitungs­vertrag, Ausschluss der Nutzung zu Trainingszwecken und ergänzende Schutzmaßnahmen. Vor dem öffentlichen Start ist zu entscheiden, ob stattdessen ein Anbieter innerhalb der EU eingesetzt wird.

8. Speicherdauer und Löschung

Daten werden gelöscht, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht. Trennst du Postfach oder Konto, endet der Zugriff sofort.

Postfach- und Beleginhalte

PLATZHALTER — konkrete Frist

Kontoumsätze

PLATZHALTER — konkrete Frist

Fallakten und Nachweise

PLATZHALTER — Frist unter Berücksichtigung von Verjährungsfristen

Rechnungen und steuerlich relevante Unterlagen

PLATZHALTER — gesetzliche Aufbewahrungsfristen

Kontolöschung

PLATZHALTER — Ablauf und Frist bis zur endgültigen Löschung, einschließlich Sicherungskopien

9. Deine Rechte

Dir stehen gegenüber dem Verantwortlichen die folgenden Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Außerdem hast du das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO).

PLATZHALTER — zuständige Aufsichtsbehörde mit Anschrift; sie ergibt sich aus dem Sitz des Verantwortlichen

10. Änderungen dieser Erklärung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung ändert. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.

Stand dieser Entwurfsfassung: 23. August 2026.