Finanz-App und Datenschutz: Die vier Fragen, die wirklich zählen
Das Wichtigste in Kürze
- Serverstandort und Firmensitz sind zwei verschiedene Dinge – beide zählen, aber unterschiedlich.
- Bei einer regulierten Bankanbindung nach PSD2 gibst du keine Zugangsdaten an Dritte weiter.
- Das Geschäftsmodell ist der ehrlichste Datenschutz-Indikator: Wenn ein Dienst nichts kostet, frag, womit er verdient.
- Die DSGVO gibt dir prüfbare Rechte – Auskunft, Löschung, Übertragung. Nutze sie als Test.
„Ist diese App sicher?" ist eine Frage, auf die niemand ehrlich mit Ja antworten kann – auch der Anbieter nicht. Was man beantworten kann, sind vier konkretere Fragen. Sie lassen sich nachprüfen, und zwar an einem Dokument, das jeder Anbieter veröffentlichen muss: der Datenschutzerklärung.
Frage 1: Wo liegen die Daten?
Zwei Dinge, die oft verwechselt werden:
- Der Serverstandort entscheidet, welchem Rechtsraum die Speicherung unterliegt.
- Der Firmensitz entscheidet, wem gegenüber du deine Rechte durchsetzt.
Beides kann auseinanderfallen: Ein Anbieter außerhalb der EU kann in der EU hosten, ein europäischer Anbieter kann Dienstleister in Drittländern einsetzen. Der aussagekräftigste Abschnitt jeder Datenschutzerklärung ist deshalb die Liste der eingesetzten Dienstleister – Hosting, Analyse, Mailversand, Fehler-Tracking. Sie zeigt, wo deine Daten tatsächlich hinfließen, und sie ist deutlich informativer als jede Formulierung auf der Startseite.
Frage 2: Wer hat Zugriff?
Interessant ist hier weniger die Verschlüsselung – die ist Standard – als die organisatorische Seite:
- Können Mitarbeitende im Support deine Daten sehen, und unter welchen Bedingungen?
- Werden die Daten für Analyse oder Produktverbesserung ausgewertet, und in welcher Form?
- Gibt es eine Zweckbindung, also die Zusage, dass Daten nur für den Dienst selbst verwendet werden?
Frage 3: Was passiert bei der Bankanbindung?
Hier hält sich ein hartnäckiger Irrtum: „Dann hat die App meine Zugangsdaten." Bei einer regulierten Anbindung nach PSD2 stimmt das nicht. Der Ablauf ist umgekehrt: Du authentifizierst dich bei deiner eigenen Bank und erteilst dort eine Freigabe. Der Dienst bekommt daraufhin einen begrenzten, widerrufbaren Lesezugriff auf deine Umsätze – aber keine Zugangsdaten.
Was er dabei sehr wohl bekommt, ist ein laufender Einblick in deine Umsätze, solange die Freigabe besteht. Genau das ist der Unterschied zu einem Import ohne Kontoanbindung: Dort gibt es keinen dauerhaften Zugriff, dafür machst du die Aktualisierung selbst. Beides ist legitim – es ist eine Abwägung zwischen Bequemlichkeit und Zugriffsumfang, keine Frage von sicher oder unsicher. Wie die Anbindung technisch funktioniert, steht im Beitrag Konten verbinden.
Frage 4: Womit verdient der Anbieter Geld?
Die unbequemste und nützlichste Frage. Vier verbreitete Modelle:
| Modell | Was es für dich bedeutet |
|---|---|
| Abo | Der Anreiz liegt darin, dass du zufrieden bleibst. Kostet Geld. |
| Werbung | Aufmerksamkeit ist das Produkt; Zielgruppenbildung braucht Daten. |
| Vermittlung | Empfehlungen können provisionsgetrieben sein – das muss erkennbar gekennzeichnet sein. |
| Datenverkauf oder -analyse | Deine Daten sind das Produkt. Steht selten so deutlich da, folgt aber aus der Zweckbeschreibung. |
Kein Modell ist per se unseriös. Entscheidend ist, ob es offen benannt wird und ob die Anreize zu dem passen, wofür du die App benutzt.
Deine Rechte – und wie du sie als Test benutzt
Die DSGVO gibt dir drei sehr konkrete Werkzeuge:
- Art. 15 – Auskunft: Was ist über mich gespeichert?
- Art. 17 – Löschung: Lösch es.
- Art. 20 – Datenübertragbarkeit: Gib es mir in einem gängigen, maschinenlesbaren Format.
Der praktische Teil: Schreib eine Mail und schau, was passiert. Anbieter müssen grundsätzlich innerhalb eines Monats reagieren. Wer darauf ausweichend oder gar nicht antwortet, hat deine Datenschutzfrage bereits beantwortet.
Was Siegel nicht beweisen
„DSGVO-konform" auf einer Startseite ist in aller Regel eine Selbstauskunft, keine geprüfte Zertifizierung. Das gilt für jede App, die es angibt – auch für unsere. Die Angabe ist deshalb kein Beleg, sondern eine Behauptung, die man an der Datenschutzerklärung überprüfen kann. Genau dafür ist sie da.
Bei sum kannst du die vier Fragen nachlesen statt glauben: Die Daten liegen auf Servern in der EU, das Unternehmen sitzt in München, und in der Datenschutzerklärung stehen die eingesetzten Dienstleister sowie die Zusage, deine Daten nicht zu verkaufen. Heute bringst du deine Umsätze per CSV-Import hinein – ohne dauerhaften Zugriff auf dein Konto –, die automatische Bankanbindung (PSD2) ist in Arbeit.
Häufige Fragen
Sind Finanz-Apps sicher?
Das lässt sich nicht pauschal beantworten, aber es lässt sich prüfen: Wo liegen die Daten, wer hat Zugriff, was genau wird bei einer Bankanbindung geteilt und womit verdient der Anbieter Geld. Die Antworten stehen in der Datenschutzerklärung – nicht in einem Siegel auf der Startseite.
Bekommt eine App meine Bank-Zugangsdaten?
Bei einer regulierten Anbindung nach PSD2 nicht. Du authentifizierst dich bei deiner eigenen Bank und erteilst dort eine Freigabe; der Dienst erhält daraufhin einen begrenzten, widerrufbaren Lesezugriff auf Umsätze – aber keine Zugangsdaten.
Wie lösche ich meine Daten wieder?
Nach Art. 17 DSGVO hast du ein Recht auf Löschung, nach Art. 15 auf Auskunft und nach Art. 20 auf Übertragung deiner Daten in einem gängigen Format. Ein Anbieter, der darauf nicht innerhalb eines Monats reagiert, beantwortet damit auch deine Datenschutzfrage.
Ist DSGVO-konform ein Gütesiegel?
Nein. Es ist in aller Regel eine Selbstauskunft und keine geprüfte Zertifizierung – das gilt für jede App, die es angibt. Aussagekräftig ist stattdessen die Liste der eingesetzten Dienstleister in der Datenschutzerklärung.
Weiterlesen
- Finanz-App ohne Kontoanbindung: bewusste Wahl statt Notlösung
- Konten verbinden: Wie Open Banking (PSD2) den Überblick schafft
- Finanz-Apps im Vergleich
- Depot-Tracker: Was diese Apps zeigen
Quellen
- Verordnung (EU) 2016/679 (DSGVO), insbesondere Art. 15, 17 und 20 sowie Art. 12 Abs. 3 zur Reaktionsfrist.
- Richtlinie (EU) 2015/2366 (PSD2) zur regulierten Kontoinformations- und Zahlungsauslösung.
Dieser Artikel dient der Information und stellt keine Rechtsberatung dar.
sum ist in Early Access.
Der erste Schritt zu deinen finanziellen Zielen ist der Überblick — genau dafür bauen wir sum. Sichere dir früh deinen Zugang.