Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 der Datenschutz-Grundverordnung (DSGVO) ist:

• Rechtsträger: 66.709.390 BRUNO OSORIO GONCALVES (brasilianischer Einzelunternehmer, Handelsname TDZAPPS DEV)
• CNPJ (brasilianische Unternehmensnummer): 66.709.390/0001-81
• Anschrift: siehe Impressum
• Datenschutzanfragen: privacy@meuthor.com.br
• Allgemeiner Kontakt: suporte@meuthor.com.br

Datenschutzbeauftragter und Ansprechperson für Datenschutzfragen ist Bruno Osorio Gonçalves, erreichbar unter der oben genannten Datenschutz-Adresse.

Diese Erklärung gilt für Nutzerinnen und Nutzer in Deutschland und Österreich. Für Nutzer in anderen Ländern gelten die jeweiligen Fassungen unter meuthor.com.br/privacy (Englisch) und meuthor.com.br/privacidade (Portugiesisch), die zusätzliche Rechte (z. B. nach der brasilianischen LGPD oder dem kalifornischen CCPA) beschreiben.

2. Welche personenbezogenen Daten wir verarbeiten

2.1. Registrierungsdaten (von Ihnen angegeben)

• Name (optional);
• E-Mail-Adresse (Anmeldung und Mitteilungen zum Dienst);
• Einstellungen (Sprache, Währung, Region).

2.2. Inhalte, die Sie einreichen

• Sprachaufnahmen zur Erfassung von Ausgaben;
• Bilder (Fotos von Kassenzetteln, Screenshots von Rechnungen oder Unterhaltungen);
• PDF- und CSV-Dokumente Ihrer Wahl: Die Originaldatei bleibt auf Ihrem Gerät, übermittelt wird nur bereinigter, daraus abgeleiteter Text zur Extraktion der Finanzdaten;
• Freitext, der Ihre Transaktionen beschreibt;
• Finanzdaten, die daraus extrahiert werden: Beträge, Daten, Kategorien, Beschreibungen, Gegenparteien (z. B. „Rewe“, „Lidl“);
• Daten zu Ihrem Plan und Ihren Zielen: was Sie bei der Einrichtung Ihres Plans eingeben (z. B. Einkommen, Kontostand, Fixkosten), die Ziele, die Sie anlegen, und, wenn Sie diese Funktionen nutzen, der Tempoplan jedes Ziels (wie viel Sie an welchem Tag zurücklegen), Schuldentilgungsziele sowie die Zahlungen, die Sie als erledigt markieren („Ich habe bezahlt“), samt Verlauf dieser Aktionen.

2.3. Zahlungsdaten (nur Premium-Abonnenten)

• Abonnements über den App Store oder Google Play: Die Abrechnung erfolgt durch Apple bzw. Google. Wir sehen und speichern niemals Ihre Kartennummer, Prüfziffer oder Bankzugangsdaten; wir erhalten über RevenueCat, unseren Abonnementdienstleister, nur den Status Ihres Abonnements (aktiv oder abgelaufen).
• Pix (nur Brasilien): Der Einmalkauf per Pix steht in Deutschland und Österreich nicht zur Verfügung. Auch das Empfehlungsprogramm (Abschnitt 2.6) nutzt kein Pix; die Belohnung ist ein Monat Premium.

2.4. Automatisch erzeugte Daten

• Technische Protokolle (Zeitpunkt des Zugriffs, Gerätetyp, App-Version, Betriebssystem);
• Gerätekennungen und Push-Token (für Analyse und, nur nach Ihrer Einwilligung, Benachrichtigungen);
• interne Konto-Kennung (UUID);
• Interaktionsereignisse in der App sowie ausgewählte kategoriale Eigenschaften und Zählwerte. Geldbeträge, Freitexte, E-Mail-Adresse und Name werden vor dem Versand der Produktanalyse herausgefiltert;
• Nachweis Ihrer Zustimmung: Beim Anlegen des Kontos zeigt die App einen Hinweis, dass Sie mit dem Fortfahren bestätigen, mindestens 18 Jahre alt zu sein und die Nutzungsbedingungen und diese Erklärung zu akzeptieren, mit Links zu beiden Dokumenten. Wir speichern Datum und Uhrzeit dieser Zustimmung, die Dokumentversionen und, soweit die App es erfasst, die Art der Zustimmung (z. B. Tippen auf die Anmeldeschaltfläche) als Nachweis;
• Antworten der Ersteinrichtung in der Analyse: Bei den Auswahlfragen der Ersteinrichtung erhält die Produktanalyse die gewählte Option im Moment der Antwort oder, wo Abschnitt 2.7 es so sagt, nur die Information, ob die Frage beantwortet wurde. Bei von Ihnen eingegebenen Beträgen (z. B. Einkommen, Kontostand oder Fixkosten) erhält sie nur den Bereich, nie die Zahl. Dies kann vor dem Anlegen Ihres Kontos geschehen; mit dem Anlegen werden diese Datensätze Ihrem Konto zugeordnet;
• Ihre Entscheidung zu Angebots- und Neuigkeiten-Benachrichtigungen: ob die Option ein- oder ausgeschaltet ist, wann Sie sie ein- oder ausgeschaltet haben und welche Version des angezeigten Textes galt, als Nachweis Ihrer Entscheidung. Die Produktanalyse erhält nur, ob die Option ein- oder ausgeschaltet ist.

2.5. Daten, die wir NICHT erheben

• Kontonummern, Kreditkartennummern oder Passwörter von Finanzinstituten;
• Open-Banking- oder Open-Finance-Verbindungen zu Ihrer Bank;
• biometrische Daten;
• genaue GPS-Standortdaten;
• Kontakte, Kalender, Fotobibliothek oder Gerätedateien (über das hinaus, was Sie ausdrücklich senden).

2.6. Daten des Empfehlungsprogramms („Mit Thor verdienen“)

Wenn Sie am Empfehlungsprogramm teilnehmen, verarbeiten wir:

• Ihren Empfehlungscode, der von uns erzeugt und Ihrem Konto zugeordnet wird.
• Empfehlungsdatensätze: Wenn jemand Ihren Code eingibt, speichern wir die Verknüpfung der beiden Konten, den Status (beigetreten, abonniert, erstattet) und die Daten. Für die eingeladene Person speichern wir außerdem die Konto-E-Mail-Adresse, ausschließlich zur Betrugsprävention; sie wird der werbenden Person nie angezeigt.
• Belohnungsdatensatz: Wenn eine von Ihnen eingeladene Person Thor abonniert, erhalten Sie 1 Monat Premium, höchstens 12 pro Jahr. Wir speichern, dass der Monat gewährt wurde, das Datum und eine Gewährungskennung.

Wir verlangen und speichern für das Programm weder einen Pix-Schlüssel noch ein Bankkonto noch eine Karte. Die Belohnung ist ausschließlich Premium-Zugang, gewährt über unseren Abonnementdienstleister (RevenueCat), ohne Barwert und nicht übertragbar.

Zur Missbrauchsprävention vergleichen wir automatisiert Signale der Konten selbst (das E-Mail-Postfach und Abonnementkennungen). Standort, IP-Adresse oder Gerätedaten verwenden wir dafür nicht. Deutet ein Signal darauf hin, dass beide Konten derselben Person gehören, erhält die Empfehlung keine Belohnung; Sie können eine Prüfung durch einen Menschen unter privacy@meuthor.com.br verlangen.

Die werbende Person sieht niemals personenbezogene Daten der eingeladenen Person, nur Zählwerte (wie viele Personen beigetreten sind, abonniert haben und wie viele Monate Sie verdient haben).

2.7. Profilangaben, die Sie freiwillig machen

Während der Ersteinrichtung, vor dem Anlegen Ihres Kontos, kann Thor einige Profilfragen stellen:

• Wie Sie sich identifizieren (Frau, Mann, Andere, Keine Angabe). Die Antwort ist freiwillig: Sie können die Frage überspringen oder „Keine Angabe“ wählen. Wir nutzen die Antwort, um zu verstehen, wer Thor nutzt, immer nur aggregiert, das heißt zusammen mit den Antworten anderer Personen (z. B. der Anteil von Frauen und Männern unter den Nutzern), als Grundlage für Produkt- und Wachstumsentscheidungen. Wir verwenden Ihre Antwort nicht, um Ihnen individuell etwas anzuzeigen, zu senden oder anzubieten. Sie fließt in keine Finanzberechnung ein, wird nicht an den KI-Anbieter übermittelt und nicht für Werbung genutzt. Die Produktanalyse erhält nur, ob die Frage beantwortet, übersprungen oder mit „Keine Angabe“ beantwortet wurde, nie die Antwort selbst. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie mit der Antwort erteilen. Sie können die Antwort jederzeit in den Einstellungen löschen, ohne dass dies Ihre Nutzung von Thor berührt.
• Wie Sie von Thor erfahren haben (TikTok, Instagram, YouTube, Empfehlung einer Person, Suche im App Store, Google oder Sonstiges). Diese Frage können Sie überspringen. Wir nutzen die Antwort, um zu verstehen, über welche Kanäle Menschen zu Thor finden. Sie verändert Ihren Plan nicht.
• Wie Sie Ihr Geld heute organisieren (noch gar nicht, Banking-App, Tabelle oder Notizbuch, andere App). Wir nutzen die Antwort, um die einführende Erklärung der App anzupassen und zu verstehen, wer Thor nutzt.

Ihre Antworten zu den Fragen, wie Sie von Thor erfahren haben und wie Sie Ihr Geld organisieren, bleiben bis zum Anlegen Ihres Kontos auf Ihrem Gerät; mit dem Anlegen werden sie mit dem Konto gespeichert. Im Moment der Antwort erhält die Produktanalyse die gewählte Option (nie Beträge oder Freitext), und dieser Datensatz wird nach dem Anlegen Ihres Kontos diesem zugeordnet. Sie fließen in keine Finanzberechnung ein und werden nicht an den KI-Anbieter übermittelt (Abschnitt 4.1).

Sie können diese beiden Antworten jederzeit in den Einstellungen unter „Deine Antworten“ ansehen, ändern oder löschen.

2.8. Kündigungsfeedback und 30 Tage Kulanzzugang

Wenn Sie die Verlängerung Ihres Abonnements ausschalten, kann die App nach dem Grund fragen. Die Antwort ist freiwillig. Wenn Sie antworten, erheben wir:

• Den Grund, den Sie aus einer Liste wählen (z. B. Preis, geringe Nutzung, etwas fehlt, technisches Problem, schwierige Bedienung, Datenschutz oder Sonstiges) und, falls Sie einen schreiben, einen Kommentar von bis zu 1.000 Zeichen. Bitte geben Sie in diesem Text keine Passwörter, Bankdaten oder Geldbeträge an.
• Mit Ihrer Antwort verknüpfte Abonnementdaten: einen Verweis auf das abonnierte Produkt und auf das Ende des bereits bezahlten Zeitraums; im Kulanzformular außerdem die Kennung Ihres ursprünglichen Apple-Abonnements und den Nachweis der Kündigung. Wir speichern auch das Datum der Antwort und in einigen Fällen die App-Version und den Bildschirm, der die Frage geöffnet hat.
• Wenn Sie die Einladung zu 30 Tagen Thor Premium als Kulanz annehmen (angeboten bei einigen Kündigungen wöchentlicher oder monatlicher, über den App Store erworbener Abonnements): Ihre Zustimmung zu den Kulanzbedingungen und deren Version sowie Daten und Status des Kulanzzugangs (reserviert, gewährt oder beendet).

Um zu entscheiden, ob die Kulanzeinladung angezeigt wird, prüft die App den Status Ihres Abonnements und protokolliert die Einladung, auch wenn Sie nicht antworten. Nicht genutzte Einladungen werden nach ihrem Ablauf in einer täglichen Bereinigung automatisch gelöscht.

Wir nutzen diese Daten, um zu verstehen, warum Menschen kündigen, und um Thor zu verbessern, und beim Kulanzzugang, um zu prüfen, ob die Einladung auf Ihr Abonnement zutrifft, die 30 Tage zu gewähren und sicherzustellen, dass der Kulanzzugang nur einmal pro Person gewährt wird. Was Sie antworten, einschließlich Kritik oder „Ich möchte keine Details teilen“, ändert den Vorteil nicht. Die Kulanzregeln stehen in den in der App angezeigten Bedingungen und in den Nutzungsbedingungen (Abschnitt 9.1).

Der von Ihnen geschriebene Kommentar wird in unserer Datenbank mit beschränktem Zugriff gespeichert; er wird weder an die Produktanalyse noch an den KI-Anbieter übermittelt (Abschnitt 4.1). Die Analyse erhält nur den gewählten Grund aus der Liste und den Fortschritt des Formulars (z. B. dass es geöffnet oder gesendet wurde). Der Kulanzzugang wird über RevenueCat (Abschnitt 4.5) gewährt, das Ihren Premium-Zugang bereits verwaltet, anhand Ihrer internen Konto-Kennung.

Der Einladungsbildschirm kann eine optionale Schaltfläche „Schreib mir auf WhatsApp“ zeigen. Ein Tipp darauf öffnet lediglich einen WhatsApp-Chat mit dem Gründer von Thor; die App sendet dabei keine Kontodaten. Die Unterhaltung findet danach außerhalb der App auf WhatsApp statt: Was Sie schreiben, Ihre Telefonnummer und Ihr Profilname erreichen uns über WhatsApp und unterliegen zusätzlich den Bedingungen und der Datenschutzerklärung von WhatsApp.

2.9. Zufriedenheitsumfragen per E-Mail

Wenn Sie in Deutschland oder Österreich leben, senden wir Ihnen eine Zufriedenheitsumfrage nur, wenn Sie dem zuvor ausdrücklich zugestimmt haben. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa über den Link in jeder Umfrage-E-Mail.

Von Zeit zu Zeit können wir an die E-Mail-Adresse Ihres Kontos eine kurze Umfrage zu Thor senden (z. B. auf einer Skala von 0 bis 10, wie wahrscheinlich Sie die App einer Freundin oder einem Freund empfehlen). Die Antwort ist freiwillig. Wenn Sie antworten, erheben wir:

• Ihre Bewertung und das, was Sie schreiben (bis zu 1.000 Zeichen pro Frage). Bitte geben Sie keine Passwörter, Bankdaten oder Geldbeträge an.
• Ob Sie um Kontaktaufnahme gebeten haben, damit wir Ihnen per E-Mail antworten können.
• Mit der Antwort verknüpfte Kontodaten: die Gruppe, zu der Sie beim Versand gehörten (z. B. Personen, die die App nutzen, Personen, die ihr Abonnement gekündigt haben, oder Personen, die die App länger nicht geöffnet haben), die App-Version und Plattform sowie das Versand- und Antwortdatum.

Für die Auswahl der Empfänger nutzen wir die interne Kennung Ihres Kontos sowie die bereits vorhandenen Nutzungs- und Abonnementdaten. Ihre E-Mail-Adresse wird erst beim Versand gelesen und nicht im Umfragewerkzeug gespeichert. Antworten werden mit dieser internen Kennung verknüpft, mit beschränktem Zugriff, und nicht an den KI-Anbieter übermittelt (Abschnitt 4.1).

Bei manchen Umfragen erhalten Personen, die die Antworten abschließen, einen Vorteil, etwa einen Monat Thor Premium. Gibt es einen Vorteil, gilt er für die gesamte Gruppe, die diese Umfrage erhalten hat, und hängt nicht von Ihrer Bewertung oder dem ab, was Sie schreiben. Er wird über RevenueCat (Abschnitt 4.5) gewährt, höchstens einmal alle 12 Monate pro Person.

Jede Umfrage-E-Mail enthält einen Link, um den Erhalt dieser Art von Nachrichten zu beenden. Kontomails, etwa Belege und Sicherheitshinweise, kommen weiterhin an.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, wenn eine der folgenden Rechtsgrundlagen der DSGVO greift. Die Bereitstellung der Daten für Konto und Kernfunktionen ist für den Vertrag erforderlich; ohne sie können wir Thor nicht erbringen. Die Angaben nach Abschnitt 2.7 und 2.8 sind freiwillig.

Berechtigte Interessen. Soweit wir uns auf Art. 6 Abs. 1 lit. f DSGVO stützen, liegt das berechtigte Interesse in der Verbesserung und sicheren Bereitstellung des Dienstes, der Betrugsabwehr und dem Nachweis erteilter Zustimmungen. Wir stützen uns nicht auf berechtigte Interessen, wenn Ihre Grundrechte und Grundfreiheiten überwiegen. Sie können der Verarbeitung nach Abschnitt 7 jederzeit widersprechen.

Einwilligung. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Einige Entscheidungen treffen Sie direkt in der App, ohne uns zu schreiben: In den Einstellungen können Sie die Profilantworten aus Abschnitt 2.7 ändern oder löschen und die Benachrichtigungen mit Angeboten und Neuigkeiten ein- oder ausschalten. Das Löschen einer Antwort oder das Ausschalten der Angebote berührt Ihre Nutzung von Thor nicht. Damit Kündigungsfeedback vor Ablauf der Frist in Abschnitt 6 gelöscht wird, schreiben Sie an privacy@meuthor.com.br.

4. Empfänger und Auftragsverarbeiter

Wir verkaufen Ihre Daten nie. Wir geben Daten ausschließlich an die folgenden Dienstleister weiter, soweit dies für den Betrieb des Dienstes erforderlich ist. Mit Auftragsverarbeitern bestehen, soweit gesetzlich erforderlich, Verträge nach Art. 28 DSGVO.

4.1. OpenAI, L.L.C.

Stellt die KI-Modelle für Audiotranskription, Bildverständnis und strukturierte Extraktion aus Freitext bereit. Eingereichte Inhalte werden ausschließlich zur Verarbeitung in Echtzeit an OpenAI übermittelt.

• Datenschutzerklärung: openai.com/policies/privacy-policy
• Land: USA
• Training: Nach den API-Bedingungen von OpenAI werden Ihre Daten nicht zum Training der Modelle verwendet.

4.2. Supabase Inc.

Stellt Datenbank, Dateispeicher und Authentifizierungsinfrastruktur bereit.

• Datenschutzerklärung: supabase.com/privacy
• Land: USA

4.3. Apple Inc.

Vertrieb über den App Store, Abrechnung von iOS-Abonnements, Push-Benachrichtigungen über APNs und optional „Mit Apple anmelden“.

• Datenschutzerklärung: apple.com/legal/privacy

4.4. Google LLC

Vertrieb und Abrechnung von Abonnements über Google Play, Google-Authentifizierung und Android-Benachrichtigungen über Firebase Cloud Messaging (FCM), nur nach Ihrer Push-Einwilligung.

• Datenschutzerklärung: policies.google.com/privacy
• Land: USA

4.5. RevenueCat, Inc.

Verwaltet Ihre Abonnements und den Status Ihres Premium-Zugangs (Berechtigungen) geräteübergreifend. Erhält Ihre interne Konto-Kennung und den Kaufverlauf, um Ihr Abonnement zu prüfen und zu synchronisieren. Zur Gewährung des Premium-Monats aus dem Empfehlungsprogramm übermitteln wir RevenueCat Ihre Konto-Kennung und das Enddatum des Zugangs.

• Datenschutzerklärung: revenuecat.com/privacy
• Land: USA

4.6. Hubla Tecnologia Ltda.

Wickelt Einmalkäufe per Pix außerhalb der App-Stores ab (brasilianisches Unternehmen). Diese Zahlungsart steht in Deutschland und Österreich nicht zur Verfügung; Hubla erhält von Nutzern in Deutschland und Österreich daher keine Daten.

4.7. PostHog, Inc.

Plattform für Produktanalyse und Experimente: In den Apps erhält sie eine anbieterspezifische pseudonyme Konto-Kennung, eine vom SDK erzeugte Kennung, Interaktionsereignisse sowie ausgewählte kategoriale Eigenschaften und Zählwerte. Geldbeträge, E-Mail-Adresse, Name, Datensatz-Kennungen und freier Chat-Text werden vor dem Versand der Ereignisse herausgefiltert. Auf dieser deutschsprachigen Website setzen wir PostHog derzeit nicht ein (Abschnitt 9).

• Datenschutzerklärung: posthog.com/privacy
• Land: USA

4.8. Sentry

Fehlerüberwachung und Absturzberichte: Erhält technische Fehlerberichte (Stacktraces und bereinigten Kontext) für Diagnose und Fehlerbehebung. Die App sendet keine rohen Fehlermeldungen und keine Standard-Personendaten an Sentry.

• Datenschutzerklärung: sentry.io/privacy
• Land: USA

4.9. Resend

Dienstleister für transaktionale E-Mails und Zufriedenheitsumfragen (Abschnitt 2.9): Erhält Ihre E-Mail-Adresse und den für den Versand nötigen Inhalt und meldet zurück, ob die E-Mail zugestellt, abgelehnt oder als Spam markiert wurde, damit wir nicht an Personen senden, die dies nicht wünschen oder nicht empfangen können.

• Datenschutzerklärung: resend.com/legal/privacy-policy
• Land: USA

4.10. Behörden

Wir können Daten auf eine gültige gerichtliche Anordnung oder ein anderes rechtmäßiges Ersuchen einer zuständigen Behörde hin offenlegen, nachdem wir dessen Rechtmäßigkeit geprüft haben.

4.11. Hosting der Website

Die Website wird bei Vercel Inc. (USA) gehostet; siehe Abschnitt 9.

4.12. TypeSafe AI, Inc. (Jev)

Anbieter eines Prüfmodells, das wir im Hintergrund einsetzen, um zu kontrollieren, ob Thor das, was Sie im Chat geschrieben haben, richtig verstanden hat (z. B. dass ein Ratenkauf nicht als Fixkosten behandelt wurde). Die Prüfung läuft, nachdem Ihre Antwort bereits erstellt ist, an einer Stichprobe von Chat-Textnachrichten, und das Ergebnis verändert weder Ihre Antworten noch Ihre Einträge.

Wir senden nur den Text der aktuellen Nachricht (getippt oder aus Ihrer Sprachnachricht transkribiert), auf 1.000 Zeichen begrenzt, zusammen mit der Art des Eintrags, den unsere KI vorgeschlagen hat. Vor dem Senden ersetzen wir durch Platzhalter: Beträge und Zahlen, Daten, E-Mail-Adressen, brasilianische Steuernummern (CPF/CNPJ), Telefonnummern, Postleitzahlen und Straßenadressen, Gesundheits- und Religionsbegriffe sowie Personennamen. Wir senden weder Ihren Gesprächsverlauf noch Ihre Konto-Kennung oder E-Mail-Adresse noch Audio oder Bilder. Die Ersetzung erfolgt automatisch und erkennt möglicherweise nicht alles: Ladennamen, Beschreibungen der Ausgabe und ungewöhnliche Namen können im gesendeten Text verbleiben.

• Datenschutzerklärung: typesafe.ai/legal/privacy-policy
• Land: USA
• Speicherung beim Anbieter: so lange, wie es zur Erbringung des Dienstes erforderlich ist, nach dem Auftragsverarbeitungsvertrag mit TypeSafe. Der Vertrag nennt keine feste Zahl von Tagen.
• Training: Nach der Datenschutzerklärung von TypeSafe werden auf den gesendeten Inhalten keine KI-Modelle trainiert oder feinjustiert.

5. Übermittlung in Drittländer

Der Verantwortliche hat seinen Sitz in Brasilien, und die meisten Dienstleister sitzen in den USA. Daten, die Sie in der App eingeben, gelangen daher in Drittländer außerhalb der EU und des EWR. Die Übermittlung stützt sich auf folgende Garantien:

• USA: Die Dienstleister in den USA verarbeiten Daten als Auftragsverarbeiter auf Grundlage von Auftragsverarbeitungsverträgen, die die von der Europäischen Kommission genehmigten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914) enthalten. Das gilt nach deren veröffentlichten Bedingungen für OpenAI, Supabase, RevenueCat, PostHog, Resend, Sentry und Vercel sowie für TypeSafe. Zusätzlich sind Sentry, Vercel und Resend nach eigener Angabe unter dem EU-US Data Privacy Framework zertifiziert, sodass für sie auch der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO) greift. Für OpenAI, Supabase, RevenueCat und PostHog stützen wir uns allein auf die Standardvertragsklauseln. Wo nötig, ergänzen zusätzliche technische Maßnahmen (Verschlüsselung, Pseudonymisierung) die Garantien. Apple und Google verarbeiten Daten im Zusammenhang mit Käufen und Kontoanmeldung als eigene Verantwortliche nach ihren eigenen Datenschutzbedingungen.
• Brasilien: Die Europäische Kommission hat am 26. Januar 2026 einen Angemessenheitsbeschluss nach Art. 45 DSGVO für Brasilien erlassen, der Übermittlungen an Verantwortliche und Auftragsverarbeiter in Brasilien erfasst, die dem brasilianischen Datenschutzgesetz (LGPD) unterliegen. Soweit die Verarbeitung durch den Verantwortlichen in Brasilien eine Übermittlung ist, beruht sie auf diesem Beschluss; er ist nach vier Jahren zu überprüfen und kann widerrufen werden.
• Verschlüsselung bei der Übertragung und im Ruhezustand gilt für alle übermittelten Daten.

Eine Kopie der Garantien erhalten Sie auf Anfrage unter privacy@meuthor.com.br.

6. Speicherdauer

• Kontodaten und Finanzeinträge: solange Ihr Konto aktiv ist.
• Ursprüngliche Audiodateien und Bilder: so lange, wie sie zur Erbringung des Dienstes und zur erneuten Prüfung nötig sind; sie werden bei Löschung des Kontos oder auf entsprechenden Antrag entfernt, vorbehaltlich gesetzlicher Pflichten.
• Technische Protokolle und Analyseereignisse: für den Zeitraum, der bei den jeweiligen Dienstleistern eingestellt und für Sicherheit, Diagnose und Verbesserung des Dienstes erforderlich ist, vorbehaltlich Ihrer Rechte und gesetzlicher Pflichten.
• Zahlungsunterlagen: so lange, wie das Steuerrecht am Sitz des Verantwortlichen es verlangt, nach brasilianischem Recht mindestens fünf Jahre (Art. 195 Einzelabsatz, Art. 173 und 174 Código Tributário Nacional); länger nur, wenn ein Verfahren dies erfordert. Die Verkäufe über Apple und Google dokumentieren diese Anbieter selbst.
• Daten des Empfehlungsprogramms (Datensätze und Gewährungen): solange das Konto besteht; die E-Mail-Adresse der eingeladenen Person wird entfernt, sobald eines der beiden Konten gelöscht wird.
• Freiwillige Profilangaben (Abschnitt 2.7): solange Ihr Konto besteht oder bis Sie die Antwort in den Einstellungen löschen. Sie werden mit dem Konto gelöscht.
• Kündigungsfeedback und Kulanzzugang (Abschnitt 2.8): Der im Kulanzformular geschriebene Kommentar wird 90 Tage nach dem Absenden gelöscht. Gewählter Grund, Daten, Kulanzstatus und Abonnementdaten bleiben, solange Ihr Konto besteht, und werden mit ihm gelöscht, ebenso die Antworten (Grund und Kommentar) auf die einfache Kündigungsfrage ohne Kulanzzugang. Nach Löschung des Kontos behalten wir nur einen aus der Kennung Ihres ursprünglichen Apple-Abonnements abgeleiteten Code (Hash), ohne Ihre Konto-Kennung, so lange die Kulanzaktion besteht, damit dasselbe Abonnement nicht zweimal Kulanzzugang erhält.
• Stichprobenprüfung des Chats (Abschnitt 4.12): Thor speichert weder den gesendeten Text noch die Antwort des Anbieters, nur einen technischen Eintrag ohne Text. Beim Anbieter wird der Text so lange gespeichert, wie es nach dessen Vertrag zur Erbringung des Dienstes erforderlich ist, ohne feste Tageszahl.
• Zufriedenheitsumfrage (Abschnitt 2.9): Das, was Sie schreiben, wird bis zu 24 Monate gespeichert und dann gelöscht; Bewertung und Gruppe bleiben, solange das Konto besteht, und werden mit ihm gelöscht. Ein Antrag, keine Umfragen mehr zu erhalten, wird gespeichert, damit wir ihn weiter beachten.
• Nachweise zu Zustimmung und Einwilligung (Annahme der Nutzungsbedingungen und dieser Erklärung; Ein- und Ausschalten der Angebots- und Neuigkeiten-Benachrichtigungen): solange Ihr Konto besteht, als Nachweis dessen, was Sie erlaubt haben; sie werden mit dem Konto gelöscht.
• Nach Löschung des Kontos: Personenbezogene Daten werden innerhalb von 30 Tagen gelöscht, außer wenn die Aufbewahrung gesetzlich vorgeschrieben ist oder der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient (Art. 17 Abs. 3 DSGVO).

7. Ihre Rechte nach der DSGVO

Sie haben gegenüber uns folgende Rechte:

• Auskunft (Art. 15): eine Kopie Ihrer Daten zu erhalten.
• Berichtigung (Art. 16): unrichtige Daten korrigieren zu lassen.
• Löschung („Recht auf Vergessenwerden“, Art. 17): Ihre Daten löschen zu lassen.
• Einschränkung der Verarbeitung (Art. 18).
• Datenübertragbarkeit (Art. 20): Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format (CSV/JSON) zu erhalten.
• Widerruf einer Einwilligung (Art. 7 Abs. 3): jederzeit, mit Wirkung für die Zukunft.
• Keine ausschließlich automatisierte Entscheidung (Art. 22): Wir treffen keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten, allein auf Grundlage automatisierter Verarbeitung; KI-Vorschläge erfordern immer Ihre manuelle Bestätigung.
• Beschwerde bei einer Aufsichtsbehörde (Art. 77), siehe Abschnitt 13.

Zur Ausübung Ihrer Rechte schreiben Sie an privacy@meuthor.com.br mit dem Betreff „DSGVO-Anfrage: [Ihr Anliegen]“. Ihr Konto löschen Sie in der App unter Einstellungen, Konto löschen oder über meuthor.com.br/de/konto-loeschen. Wir beantworten Anfragen innerhalb von einem Monat; bei komplexen Anfragen kann die Frist um zwei weitere Monate verlängert werden (Art. 12 Abs. 3 DSGVO). Zur Prüfung Ihrer Identität können wir zusätzliche Angaben verlangen.

8. Datensicherheit

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen:

• Verschlüsselung bei der Übertragung: TLS 1.2 oder höher bei jeder Kommunikation zwischen Client und Server.
• Verschlüsselung im Ruhezustand: AES-256 für gespeicherte Daten.
• Row-Level Security (RLS) in der Datenbank zur strikten Trennung der Konten.
• Zugriffskontrolle nach dem Prinzip der minimalen Rechte für das interne Team.
• Mehrfaktor-Authentifizierung für jeden administrativen Zugriff.
• Protokollierung administrativer Aktionen und Sicherheitsereignisse.
• Regelmäßige Sicherungen mit begrenzter Aufbewahrung.
• Sicherheitsprüfung aller Dienstleister.

Bei einer Verletzung des Schutzes personenbezogener Daten mit Risiko für die betroffenen Personen melden wir diese innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde (Art. 33 DSGVO) und benachrichtigen die betroffenen Nutzer unverzüglich, soweit Art. 34 DSGVO es verlangt.

9. Besuch dieser Website

Hosting und Server-Logfiles. Die Website meuthor.com.br wird bei Vercel Inc. (USA) gehostet. Beim Aufruf einer Seite verarbeitet der Hosting-Anbieter technisch notwendige Daten in Server-Logfiles: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browser- und Betriebssystemangaben sowie, soweit übermittelt, die zuvor besuchte Seite. Zweck ist die Auslieferung der Seiten und die Gewährleistung von Stabilität und Sicherheit; Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden nur so lange gespeichert, wie es dafür erforderlich ist. Im von uns genutzten Tarif hält Vercel die Laufzeit-Protokolle für uns nur eine Stunde lang vor; wir archivieren keine Server-Logfiles. Die Auslieferung erfolgt über das weltweite Netz von Vercel, daher kann die Verarbeitung auch in den USA stattfinden. Vercel ist nach eigener Angabe unter dem EU-US Data Privacy Framework zertifiziert (Abschnitt 5).

Keine Cookies und kein Tracking. Auf den deutschsprachigen Seiten (unter /de) setzen wir derzeit keine Cookies, keine Analyse- oder Marketing-Werkzeuge und keine Schriftarten oder Skripte von Drittservern ein. Auf diese Weise wird nichts auf Ihrem Endgerät gespeichert und nicht aus ihm ausgelesen (§ 25 TDDDG). Die Schaltflächen zum App Store und zu Google Play sind einfache Links; erst wenn Sie sie anklicken, verlassen Sie unsere Website, und es gelten die Datenschutzbestimmungen von Apple bzw. Google.

Kontakt per E-Mail. Wenn Sie uns schreiben, verarbeiten wir Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht zur Beantwortung (Art. 6 Abs. 1 lit. b oder f DSGVO).

Auf den portugiesischen und englischen Seiten dieser Website messen wir Seitenaufrufe anonym und cookielos mit PostHog; dies beschreiben die dortigen Datenschutzerklärungen.

10. Zugriff auf Ihr Endgerät durch die App

Die iOS- und die Android-App verwenden keine Browser-Cookies, können aber plattformgeschützte und lokale Speicher für Sitzungsdaten und Einstellungen nutzen; dies ist für die Bereitstellung des von Ihnen gewünschten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Push-Benachrichtigungen senden wir nur nach Ihrer Einwilligung. Die Produktanalyse und die Fehlerberichte sind davon nicht gedeckt. In der iOS- und der Android-App starten PostHog (Produktanalyse) und Sentry (Fehlerberichte) beim Öffnen der App, ohne dass wir vorher Ihre Einwilligung abfragen. PostHog legt dafür auf dem Gerät eine zufällig erzeugte Kennung an; sobald Sie angemeldet sind, ersetzt sie eine nur für diesen Zweck abgeleitete pseudonyme Kennung, nicht Ihre E-Mail-Adresse und nicht Ihren Namen. Sentry erhält technische Fehlerdaten (Fehlerart, Stack-Trace, App- und Systemversion) und kann eine zufällige Installationskennung lokal speichern; Standarddaten wie Name, E-Mail oder IP-Zuordnung zu Ihrem Konto senden wir nicht, und Texte, Beträge und Bilder aus Ihrer Nutzung gehören nicht dazu. Wir stützen die Verarbeitung auf unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), den Dienst zu verbessern und Fehler zu beheben. Für den Zugriff auf das Endgerät berufen wir uns auf § 25 Abs. 2 Nr. 2 TDDDG nur, soweit er für den von Ihnen gewünschten Dienst unbedingt erforderlich ist; dass die Analyse der Nutzung unbedingt erforderlich wäre, behaupten wir nicht. Ob die Kennungen für Analyse und Fehlerberichte ohne Einwilligung zulässig sind, ist rechtlich umstritten; wir weisen deshalb ausdrücklich darauf hin. Widerspruch: Sie können der Produktanalyse und den Fehlerberichten jederzeit mit einer E-Mail an suporte@meuthor.com.br widersprechen (Art. 21 DSGVO). Wir deaktivieren die Analyse dann für Ihr Konto.

11. Kinder und Jugendliche

Thor richtet sich nicht an Personen unter 18 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen. Erfahren wir, dass wir Daten einer minderjährigen Person ohne die erforderliche Einwilligung der Erziehungsberechtigten erhoben haben, löschen wir sie unverzüglich. Erziehungsberechtigte, die annehmen, dass ihr Kind personenbezogene Daten angegeben hat, wenden sich an privacy@meuthor.com.br.

12. Änderungen dieser Erklärung

Wir können diese Erklärung aktualisieren, etwa bei neuen Funktionen oder geänderter Rechtslage. Die aktuelle Fassung ist stets unter meuthor.com.br/de/datenschutz abrufbar; das Datum der letzten Änderung steht oben. Wesentliche Änderungen teilen wir mindestens 30 Tage vorher in der App und per E-Mail mit.

13. Kontakt und Aufsichtsbehörden

Fragen, Anträge oder Beschwerden zum Datenschutz:

• Datenschutzbeauftragter: Bruno Osorio Gonçalves
• Datenschutz: privacy@meuthor.com.br
• Allgemeiner Support: suporte@meuthor.com.br

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes:

• Deutschland: die Datenschutzbehörde Ihres Bundeslandes, Liste der Landesdatenschutzbehörden, sowie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI)
• Österreich: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien
• EU/EWR: Ihre Aufsichtsbehörde über den EDSA
• Brasilien: Autoridade Nacional de Proteção de Dados (ANPD)

Stand: 1. November 2026. Basierend auf der Datenschutzerklärung Version 2.5 vom 22. Oktober 2026.