Datenschutzerklärung

Stand: 25. Oktober 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten die App Mitlo verarbeitet, wozu, wer sie außerdem erhält, wie lange sie gespeichert werden und welche Rechte du hast. Mitlo ist eine Haushalts-App für gemeinsame Ausgaben, Einkaufslisten, Aufgaben und Belege. Sie zeigt keine Werbung, nutzt keine Tracking- oder Analysewerkzeuge und verkauft keine Daten.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
Yazdan Bayatishemsaki
c/o POSTFLEX PFX-231-201
Emsdettener Straße 10
48268 Greven, Deutschland
E-Mail: nestmate.support@gmail.com

Ein Datenschutzbeauftragter ist nicht benannt, da keine Pflicht dazu besteht.

2. Welche Daten wir verarbeiten

Dein Konto

• E-Mail-Adresse, Name und App-Sprache.
• Dein Passwort verwaltet Google Firebase Authentication (siehe Abschnitt 4). Mitlo selbst sieht und speichert es nie. Meldest du dich mit Google oder Apple an, erhalten wir von dort deinen Namen und deine E-Mail-Adresse. Nutzt du Apples „E-Mail-Adresse verbergen“, erhalten wir nur eine Weiterleitungsadresse.
• Freiwillige Zahlungsangaben: PayPal.me-Name und IBAN. Sie sind nur für Mitglieder deiner Haushalte sichtbar, damit sie dir Geld zurückzahlen können.
• Der Zeitpunkt, zu dem du den Nutzungsbedingungen und dieser Erklärung zugestimmt hast.

Was du und deine Mitbewohner eingeben

• Haushalte, ihre Mitglieder und Rollen sowie Einladungscodes.
• Ausgaben (Bezeichnung, Betrag, Kategorie, Datum, Notiz, wer bezahlt hat und wie geteilt wird), Zahlungen zwischen Mitgliedern, wiederkehrende Kosten, Aufgaben und wer sie erledigt hat sowie Einkaufslisten.
• Fotos von Belegen, mit allem, was darauf zu sehen ist, und die daraus gelesenen Texte und Beträge.

Alles in einem Haushalt ist für alle seine Mitglieder sichtbar. Deine Mitbewohner können auch Daten eingeben, die dich betreffen, zum Beispiel eine Ausgabe, die sie für dich bezahlt haben.

KI-Assistent und Belegscan

• Wenn du dem Assistenten eine Frage stellst, werden deine Frage, deine letzten Nachrichten und eine Zusammenfassung der aktuellen Haushaltsdaten an den KI-Anbieter Mistral AI in Frankreich übermittelt (Abschnitt 4). Die Zusammenfassung enthält Namen der Mitglieder, Einkaufsliste, Salden, Aufgaben und aktuelle Ausgaben. Sie enthält nie E-Mail-Adressen und nie private Ausgaben anderer Mitglieder.
• Der Chatverlauf wird nicht auf unserem Server gespeichert. Er bleibt auf deinem Handy, bis du ihn löschst oder die App schließt.
• Der Assistent schlägt Änderungen nur vor. Gespeichert wird erst, wenn du bestätigst.
• Beim Scannen eines Belegs wird das Foto zur Texterkennung an Mistral AI übermittelt, und das Sprachmodell von Mistral teilt den erkannten Text in Positionen und Beträge auf.

Spracheingabe

• Wenn du auf das Mikrofon tippst (im Assistenten oder in der Einkaufsliste), wandelt die Spracherkennung deines Handys das Gesprochene in Text um: auf dem iPhone die von Apple, auf Android die von Google. Je nach Handy und Sprache kann die Aufnahme dafür auf Servern von Apple oder Google verarbeitet werden (Abschnitt 4).
• Bei Mitlo kommt nur der fertige Text an, im selben Feld, in das du ihn auch hättest tippen können. Die Aufnahme selbst erhalten oder speichern wir nie.

Technische Daten

• Server-Logs: zu jeder Anfrage IP-Adresse, Zeitpunkt, aufgerufene Adresse und Antwortstatus. Sie dienen der Sicherheit und Fehleranalyse und werden nach 7 Tagen gelöscht.
• Anmeldesitzungen: wann eine Sitzung begann, zuletzt genutzt wurde und abläuft. Sie werden spätestens 90 Tage nach der Anmeldung oder beim Abmelden gelöscht.
• Push-Benachrichtigungen: ein Gerätetoken, damit Benachrichtigungen dein Handy erreichen.
• Nutzungszähler: wie oft du KI-Funktionen pro Tag genutzt hast, um die Tageslimits einzuhalten. Sie werden nach 30 Tagen gelöscht.
• KI-Kostendaten: pro KI-Anfrage die Funktion, die Zahl der Tokens oder Seiten und die daraus entstandenen Kosten, damit wir unser Budget einhalten. Sie werden nach 62 Tagen gelöscht.
• Missbrauchsschutz: die Zahl der Anfragen pro IP-Adresse, nur im Arbeitsspeicher und nach 15 Minuten verworfen.

Die App fragt nach Zugriff auf Kamera und Fotos nur zum Anhängen von Belegen, nach Mikrofon und Spracherkennung nur für die Spracheingabe, wenn du auf das Mikrofon tippst, und nach Benachrichtigungen nur für Erinnerungen. Jede dieser Berechtigungen kannst du ablehnen oder in den Einstellungen deines Handys widerrufen. Standort und Kontakte nutzt die App nicht.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung der App (Konto, Haushalte, Ausgaben, Assistent, Scan, Benachrichtigungen): Art. 6 Abs. 1 lit. b DSGVO, Erfüllung des Nutzungsvertrags.
• Daten über Mitbewohner, die andere eingeben, damit ein Haushalt gemeinsame Aufzeichnungen führen kann: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse der Haushaltsmitglieder.
• Sicherheit, Missbrauchsschutz, Nutzungslimits, Logs und Backups: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren, funktionierenden und bezahlbaren Dienst.
• Beantwortung von Support-Anfragen: Art. 6 Abs. 1 lit. b oder f DSGVO.

4. Dienstleister und Empfänger

Wir setzen folgende Anbieter als Auftragsverarbeiter mit Vertrag zur Auftragsverarbeitung ein. Sie dürfen die Daten nur nach unserer Weisung verwenden.

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Server, Datenbank, Belegfotos und Backups. Alles wird in Deutschland gespeichert.
• Google Ireland Ltd. / Google LLC (USA), Firebase Authentication und Google-Anmeldung: Anmeldung, E-Mail, Name und Passwort (bei Google gehasht gespeichert), Anmeldezeitpunkte und IP-Adresse. Google stellt außerdem Benachrichtigungen auf Android-Handys zu (Firebase Cloud Messaging), und sein E-Mail-Dienst empfängt deine Support-Anfragen. Auf Android wandelt die Spracherkennung von Google die Spracheingabe in Text um.
• Apple Distribution International Ltd. / Apple Inc. (USA): „Mit Apple anmelden“, wenn du es wählst, Zustellung von Benachrichtigungen auf iPhones und auf dem iPhone die Spracherkennung von Apple für die Spracheingabe.
• Mistral AI SAS, Paris, Frankreich: die KI, die den Assistenten beantwortet, eingetippte Ausgaben liest, den Text auf Belegfotos erkennt und in Positionen aufteilt. Die Verarbeitung erfolgt in der EU.
• 650 Industries, Inc. (Expo, USA): leitet Push-Benachrichtigungen an Google und Apple weiter. Der Text einer Benachrichtigung kann Namen und Beträge enthalten, zum Beispiel „Sara hat Lebensmittel hinzugefügt, dein Anteil 12,50 €“.

Innerhalb eines Haushalts werden die Daten aus Abschnitt 2 mit seinen Mitgliedern geteilt. Darüber hinaus geben wir keine Daten weiter, außer wir sind gesetzlich dazu verpflichtet.

5. Übermittlung in Drittländer

Google, Apple und Expo können Daten in den USA verarbeiten. Google LLC, Apple Inc. und 650 Industries, Inc. (Expo) sind nach dem EU-US Data Privacy Framework zertifiziert; Übermittlungen an sie stützen sich daher auf den Angemessenheitsbeschluss der EU-Kommission dazu (Art. 45 DSGVO). Soweit eine Übermittlung davon nicht erfasst ist, gelten die EU-Standardvertragsklauseln (Art. 46 DSGVO).

6. Speicherdauer

• Konto- und Haushaltsdaten: bis du dein Konto löschst oder ein Haushalt gelöscht wird.
• Wenn du dein Konto löschst (Einstellungen → Konto löschen):
  • werden dein Name, deine E-Mail-Adresse, Zahlungsangaben, Sitzungen, Gerätetokens und die von dir hochgeladenen Belegfotos gelöscht, ebenso dein Firebase-Login. Hast du dich mit Apple angemeldet, wird auch der Zugriff von Mitlo auf deine Apple-ID widerrufen;
  • damit die Salden deiner Mitbewohner stimmen, bleiben Ausgaben, an denen du beteiligt warst, im Haushalt, aber ohne deinen Namen (angezeigt als „Former member“).
• Server-Logs: 7 Tage. KI-Nutzungszähler: 30 Tage. KI-Kostendaten: 62 Tage. Sitzungen: höchstens 90 Tage.
• Backups: Datenbank-Backups werden 14 Tage aufbewahrt, gelöschte Daten verschwinden innerhalb dieser Zeit auch daraus.

7. Deine Rechte

Du hast das Recht:

• auf Auskunft über deine Daten (Art. 15) und auf Herausgabe in einem übertragbaren Format (Art. 20). In der App: Einstellungen → Meine Daten herunterladen;
• auf Berichtigung (Art. 16) und Löschung (Art. 17). In der App: Einstellungen → Konto löschen;
• auf Einschränkung der Verarbeitung (Art. 18);
• auf Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21).

Um diese Rechte auszuüben, schreib an die E-Mail-Adresse oben. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel bei der für uns zuständigen Behörde, dem Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), Ansbach, www.lda.bayern.de.

8. Alter

Mitlo richtet sich an Personen ab 16 Jahren.

9. Änderungen

Wenn sich die App oder die Rechtslage ändert, passen wir diese Erklärung an. Das Datum oben zeigt die aktuelle Fassung.