Stand: 2. Oktober 2026

Datenschutzerklärung

Bonlo

Diese Erklärung beschreibt, welche Daten die App Bonlo verarbeitet und warum. Verantwortlich ist Denys Vasyliuk, Essen, Deutschland (vollständige Anschrift im Impressum). Kontakt: hi@moonage.me.

Kurz gesagt

• Du brauchst kein Konto. Keine Werbung, kein Tracking, keine Analyse- oder Absturzberichts-Tools, kein Verkauf von Daten.
• Deine Bons, ihre Fotos, die Einkaufsliste, das Budget und die Statistik bleiben auf deinem iPhone.
• Damit die App einen Bon lesen kann, wird sein Bild an ein KI-Modell geschickt. Das Ergebnis kommt zurück aufs Gerät; wir bewahren weder das Bild noch den Bon auf.

1. Was nur auf deinem Gerät bleibt

Bons und ihre Positionen, die Fotos, aus denen sie gelesen wurden, die Einkaufsliste, dein Wörterbuch der Kategorien und Preise, Budget und Einstellungen werden nur auf deinem Gerät gespeichert und nicht an uns übermittelt.

• Widgets erhalten eine Kopie der nötigen Zahlen (Budget, Einkaufsliste) über einen gemeinsamen Speicher auf dem Gerät. Sie senden nichts über das Internet.
• Face ID / Code: Die Sperre nutzt die Funktion von iOS. Die App erhält keine biometrischen Daten, nur die Antwort „entsperrt“ oder „nicht entsperrt“.
• Mitteilungen (Budget, Erinnerung vor dem Einkauf) werden auf dem Gerät geplant und angezeigt.
• Export (CSV, JSON) entsteht nur, wenn du ihn auslöst, und geht dorthin, wohin du ihn teilst.
• Siri und Kurzbefehle laufen in der App auf dem Gerät.

2. Was übertragen wird, um einen Bon zu lesen

Wenn du einen Bon fotografierst, ein Foto, einen Screenshot oder ein PDF auswählst, wird davon ein verkleinertes Bild erstellt und über unseren Server (Abschnitt 3) an Anthropic (Modell Claude) geschickt. Das Bild wird dabei neu kodiert: Standort und andere Metadaten des Fotos werden nicht mitgeschickt. Zurück kommen Geschäft, Datum, Positionen und Summen. Passt die Summe nicht, schickt unser Server dasselbe Bild ein zweites Mal, mit dem Hinweis, was nicht stimmte. „Neu erkennen“ schickt das gespeicherte Foto eines Bons noch einmal.

Damit Produktnamen in deiner Sprache erscheinen und Einträge der Einkaufsliste der richtigen Abteilung zugeordnet werden, werden nur die Namen als Text — aus dem Bon und aus deiner Liste — über unseren Server an OpenAI geschickt, bei einem Ausfall an Anthropic. Preise, Geschäft und Datum gehen dabei nicht mit.

In den Einstellungen kannst du stattdessen die Erkennung auf dem Gerät (Apple Intelligence) wählen. Dann verlässt kein Bild und kein Name dein Gerät.

3. Unser Server

Anfragen an Anthropic und OpenAI laufen über unseren Server bei Cloudflare. Er hält Bild und Namen nur, solange die Anfrage läuft, leitet sie weiter und speichert sie nicht. Damit die kostenlosen Scans und dein Abo funktionieren und der Dienst vor Missbrauch geschützt ist, speichert er:

• einen zufälligen Schlüssel deiner App-Installation, den Apple über App Attest bestätigt, samt dieser Bestätigung — er verrät weder deinen Namen noch deine Apple-ID; nach dem Neuinstallieren der App entsteht ein neuer;
• wie viele der 10 kostenlosen Scans verbraucht sind;
• wie viele Anfragen in der laufenden Stunde und am laufenden Tag kamen (Schutz vor Missbrauch);
• ob und welches Abo aktiv ist (Abschnitt 4).

Damit die 10 kostenlosen Scans nach dem Neuinstallieren der App nicht von vorn beginnen, nutzen wir Apple DeviceCheck: Die App erzeugt ein einmaliges Token und schickt es mit dem Scan und mit der Abfrage der verbleibenden Scans an unseren Server; der Server liest und setzt damit bei Apple zwei Bits zu deinem Gerät, die grob festhalten, wie viele kostenlose Scans schon verbraucht sind. Apple speichert diese zwei Bits zu deinem Gerät; wir erhalten keine Kennung deines Geräts, und die Bits enthalten nichts über dich außer dieser Zahl.

Wie jeder Server im Internet erhält Cloudflare die IP-Adresse deines Geräts, um die Anfrage zuzustellen und Angriffe abzuwehren. Unser Server speichert sie nicht. Sein Betriebsprotokoll enthält nur Zahlen und Ergebnisse — Art der Anfrage, Größe, Dauer, Kosten, ob die Prüfung des Bons gelang — ohne Schlüssel der Installation, IP-Adresse, Bild oder Produktnamen.

4. Abo

Abos kaufst und verwaltest du über den App Store. Die Zahlung wickelt Apple ab; wir erhalten keine Zahlungsdaten, sondern nur die Bestätigung, welches Abo aktiv ist.

Nach dem Kauf und beim Start der App schickt die App die von Apple signierte Kaufbestätigung an unseren Server. Zusätzlich meldet Apple unserem Server Verlängerungen, Kündigungen, Tarifwechsel und Erstattungen (App Store Server Notifications). Der Server prüft Apples Signatur und speichert zu deinem Abo:

• die Transaktionsnummern, die Apple dem Abo gibt — sie verraten weder deinen Namen noch deine Apple-ID;
• den Tarif (Basis oder Plus), Beginn und Ende des bezahlten Zeitraums, ob das Abo verlängert wird und ob es erstattet wurde;
• wie viele Scans im laufenden Abo-Monat verbraucht sind;
• welche Installationen (Abschnitt 3) das Abo nutzen.

5. Zwecke und Rechtsgrundlagen

• Lesen der Bons, Übersetzen der Namen, Abo und Scan-Kontingent — zur Erfüllung unseres Vertrags mit dir (Art. 6 Abs. 1 lit. b DSGVO).
• Schutz des Dienstes vor Missbrauch (App Attest, DeviceCheck, Begrenzung der Anfragen) — unser berechtigtes Interesse an einem sicheren, bezahlbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
• Antworten auf E-Mails und Supportanfragen — Art. 6 Abs. 1 lit. b oder f DSGVO.

6. Dienstleister und Übermittlung in Drittländer

Anthropic, OpenAI und Cloudflare verarbeiten die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags. Die Übermittlung in die USA ist durch das EU-US Data Privacy Framework und/oder die EU-Standardvertragsklauseln abgesichert. Nach ihren Geschäftsbedingungen nutzen Anthropic und OpenAI die über ihre API gesendeten Daten nicht zum Training ihrer Modelle; sie bewahren sie nur für eine begrenzte Frist zur Missbrauchserkennung auf und löschen sie danach.

7. Speicherdauer und Löschung

Daten auf dem Gerät bleiben, bis du sie löschst: einen Bon samt Foto im Bon selbst, alles auf einmal unter Einstellungen → Daten, oder indem du die App löschst.

Auf unserem Server löschen wir automatisch, einmal täglich:

• den Schlüssel einer Installation, ihren Zähler der kostenlosen Scans und ihre Zuordnung zu einem Abo 12 Monate nach ihrer letzten Anfrage;
• die Daten eines Abos (Abschnitt 4) 12 Monate, nachdem es geendet hat und weder die App noch Apple sich dazu gemeldet haben;
• die Zähler der Anfragen pro Stunde und Tag nach zwei Tagen.

Das Betriebsprotokoll des Servers löscht Cloudflare nach 7 Tagen.

Die zwei DeviceCheck-Bits bei Apple bleiben auch nach dem Löschen der App erhalten — genau dafür sind sie da. Sie sagen nur, wie viele kostenlose Scans auf dem Gerät ungefähr verbraucht sind.

8. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit. Schreib dazu an hi@moonage.me. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

9. Sicherheit

Die gesamte Kommunikation mit den Diensten ist verschlüsselt (HTTPS). Die Daten auf dem Gerät schützt iOS; zusätzlich kannst du die App mit Face ID oder Code sperren.

10. Änderungen

Wenn sich die App oder der Umgang mit Daten ändert, aktualisieren wir diese Erklärung auf dieser Seite und ändern das Datum oben.

11. Kontakt

Denys Vasyliuk, Essen, Deutschland — hi@moonage.me