Upmoney keeps what you log on your own device. Nothing is sent anywhere unless you switch on sync, and even then it goes up encrypted with a key that never leaves your phone.
Before this page goes live it needs a real name and postal address. German law (§ 5 DDG) requires an identifiable operator with a ladungsfähige Anschrift, and a privacy policy has to name the controller. Replace every […] below and delete this box.
[Full name]
[Street and number]
[Postcode, town], Germany
Email: [you@example.com]
That person is the controller for the purposes of the GDPR.
When you use Upmoney, the following is written to your browser's local storage and is not transmitted to us:
We never see any of it. Clearing your browser data deletes it, and we cannot restore it. That is why the app asks you to download a backup from time to time.
Safari deletes the stored data of any website you have not opened for seven days. Adding Upmoney to your home screen exempts it from that rule. This is Apple's behaviour, not ours, and we have no way to prevent it.
Sync exists so the same jar can be on your phone and your laptop. It works without an account. You get a code; both devices derive two things from it:
Your data is encrypted on your device with AES-GCM before it is sent. What our server holds is:
| Stored | What it is |
|---|---|
| Identifier | 32 hexadecimal characters derived from your code. It cannot be turned back into the code. |
| Encrypted blob | Your data, unreadable without your code. |
| Version and timestamp | So two devices cannot silently overwrite each other. |
There is no email address, no name, no device identifier and no account. We cannot tell whose data a given blob is, and we cannot decrypt it. If you lose your code and your device, nobody can recover the copy — including us.
Legal basis: Art. 6(1)(b) GDPR — you asked for the service and we provide it. You can withdraw at any time by turning sync off.
How long: until you turn sync off, which deletes the stored copy immediately. A copy that has not been updated for 12 months is deleted automatically.
Because we cannot read your data, we also cannot give it back to you from an account alone — if signing in were enough to unlock it, whoever runs the server could unlock it too. So Google does the one job that does not require the key: it holds your sync code.
If you tap Save code to Google Drive, your browser loads Google's sign-in
script from accounts.google.com and asks you to authorise a single
permission, drive.appdata. That permission gives this app access to a
private folder inside your own Drive that no other app and no human browsing Drive
can see. It grants no access to any other file in your Drive.
The effect is that no single party can read your jar: we hold data we cannot decrypt, and Google holds a code with nothing to apply it to.
Your use of Google Drive is between you and Google under Google's privacy policy. Remove the file with Remove from Drive in the app, or withdraw the permission entirely at your Google account permissions. Turning sync off does not delete the file in your Drive — remove it first if you want it gone.
Legal basis: Art. 6(1)(a) GDPR — your consent, given by choosing this and confirming it at Google. You can withdraw it at any time.
The website, the app and the sync service run on Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA), our processor under a data processing agreement. Like any web host, Cloudflare processes the technical data needed to deliver a page — IP address, the time of the request, the page requested, browser and operating system — and to defend against attacks. Because Cloudflare is a US company, this can involve a transfer outside the EEA, covered by the Standard Contractual Clauses in its data processing agreement.
Legal basis: Art. 6(1)(f) GDPR — our legitimate interest in serving the site securely and reliably.
Under the GDPR you have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and objection (Art. 21). In practice, because we hold nothing that identifies you:
If you want to exercise a right against us directly, write to [you@example.com]. Be aware that without your sync code we have no way to find, read or connect any stored copy to you.
You may also complain to a supervisory authority — in Germany, the data protection authority of the state where you live.
Upmoney is not aimed at children under 16 and we do not knowingly collect anything from them.
If what the app does changes, this page changes with it and the date at the top moves. Material changes will be flagged in the app.
Upmoney speichert, was du einträgst, auf deinem eigenen Gerät. Es wird nichts übertragen, solange du die Synchronisation nicht einschaltest — und dann verschlüsselt, mit einem Schlüssel, der dein Gerät nie verlässt.
Vor der Veröffentlichung fehlen noch Name und ladungsfähige Anschrift. § 5 DDG verlangt einen identifizierbaren Betreiber, und eine Datenschutzerklärung muss den Verantwortlichen nennen. Ersetze unten jedes […] und lösche diesen Kasten.
[Vor- und Nachname]
[Straße und Hausnummer]
[PLZ, Ort], Deutschland
E-Mail: [du@example.com]
Diese Person ist Verantwortliche im Sinne der DSGVO.
Folgendes wird in den lokalen Speicher deines Browsers geschrieben und nicht an uns übertragen:
Wir sehen davon nichts. Wenn du die Browserdaten löschst, ist alles weg, und wir können es nicht wiederherstellen. Deshalb bittet dich die App ab und zu um eine Sicherungskopie.
Safari löscht die gespeicherten Daten jeder Website, die du sieben Tage nicht geöffnet hast. Legst du Upmoney auf den Startbildschirm, gilt diese Regel nicht. Das ist eine Vorgabe von Apple, auf die wir keinen Einfluss haben.
Die Synchronisation sorgt dafür, dass dasselbe Glas auf Handy und Laptop liegt. Sie kommt ohne Konto aus. Du bekommst einen Code, aus dem beide Geräte zwei Dinge ableiten:
Deine Daten werden vor dem Senden auf deinem Gerät mit AES-GCM verschlüsselt. Auf unserem Server liegt:
| Gespeichert | Was es ist |
|---|---|
| Kennung | 32 hexadezimale Zeichen, aus deinem Code abgeleitet. Der Code lässt sich daraus nicht zurückrechnen. |
| Verschlüsselte Daten | Dein Glas, ohne deinen Code nicht lesbar. |
| Version und Zeitstempel | Damit zwei Geräte sich nicht gegenseitig überschreiben. |
Keine E-Mail-Adresse, kein Name, keine Gerätekennung, kein Konto. Wir können nicht erkennen, wem welche Daten gehören, und wir können sie nicht entschlüsseln. Verlierst du Code und Gerät, kann niemand die Kopie öffnen — wir auch nicht.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — du hast den Dienst angefordert, wir stellen ihn bereit. Du kannst jederzeit aussteigen, indem du die Synchronisation ausschaltest.
Speicherdauer: bis du die Synchronisation ausschaltest, wodurch die Kopie sofort gelöscht wird. Eine Kopie, die 12 Monate nicht aktualisiert wurde, wird automatisch gelöscht.
Weil wir deine Daten nicht lesen können, können wir sie dir auch nicht allein über ein Konto zurückgeben — wenn eine Anmeldung zum Entsperren genügte, könnte auch der Serverbetreiber entsperren. Google übernimmt deshalb die eine Aufgabe, für die man den Schlüssel nicht braucht: es verwahrt deinen Sync-Code.
Tippst du auf Code in Google Drive sichern, lädt dein Browser Googles
Anmeldeskript von accounts.google.com und bittet dich um eine einzige
Berechtigung, drive.appdata. Sie gibt dieser App Zugriff auf einen
privaten Ordner in deinem eigenen Drive, den keine andere App und kein Mensch beim
Durchsehen von Drive sieht. Auf andere Dateien in deinem Drive besteht kein
Zugriff.
Damit kann keine einzelne Partei dein Glas lesen: wir haben Daten, die wir nicht entschlüsseln können, und Google hat einen Code, zu dem es nichts gibt.
Deine Nutzung von Google Drive richtet sich nach der Datenschutzerklärung von Google. Entferne die Datei mit Aus Drive entfernen in der App oder entziehe die Berechtigung ganz in den Berechtigungen deines Google-Kontos. Die Synchronisation auszuschalten löscht die Datei in deinem Drive nicht — entferne sie vorher, wenn sie weg soll.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung, erteilt durch die Auswahl und die Bestätigung bei Google. Du kannst sie jederzeit widerrufen.
Website, App und Synchronisation laufen bei Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA), unserem Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Wie jeder Webhoster verarbeitet Cloudflare die technischen Daten, die zur Auslieferung einer Seite nötig sind — IP-Adresse, Zeitpunkt der Anfrage, aufgerufene Seite, Browser und Betriebssystem — und zur Abwehr von Angriffen. Da Cloudflare ein US-Unternehmen ist, kann dabei eine Übermittlung außerhalb des EWR stattfinden, abgesichert durch die Standardvertragsklauseln im Auftragsverarbeitungsvertrag.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse am sicheren und zuverlässigen Betrieb.
Nach der DSGVO hast du Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Praktisch heißt das, weil wir nichts haben, was dich identifiziert:
Wenn du ein Recht direkt uns gegenüber ausüben willst, schreib an [du@example.com]. Ohne deinen Sync-Code können wir eine gespeicherte Kopie allerdings weder finden noch lesen noch dir zuordnen.
Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren — in Deutschland bei der Datenschutzbehörde deines Bundeslandes.
Upmoney richtet sich nicht an Kinder unter 16 Jahren, und wir erheben wissentlich nichts von ihnen.
Ändert sich, was die App tut, ändert sich diese Seite mit, und das Datum oben rückt vor. Wesentliche Änderungen werden in der App angezeigt.