Wie lange Daten aufbewahrt werden
Aufbewahrungsdauer jeder Art von Datensatz, was beim Löschen passiert und was danach noch in Sicherungen existiert.
Zuletzt aktualisiert: 30. Oktober 2026
Die Aufbewahrungsfristen stammen aus den Datenbankindizes und Konstanten im Code am oben genannten Datum. Wo die Frist nicht von der Anwendung gesteuert wird, steht das in der Tabelle.
Ihre Inhalte
| Daten | Aufbewahrung |
|---|---|
| Konten, Transaktionen, Investitionen, Immobilien, Fahrzeuge, Wertsachen, Budgets, Ziele, Abonnements, Darlehen, Zählerstände | Bis Sie den Datensatz oder das Konto löschen |
| Hochgeladene Dateien (Dokumente, Fotos, Belege) | Bis Sie sie oder das Konto löschen; die Datei wird aus dem Objektspeicher entfernt, nicht nur abgekoppelt |
| Per E-Mail gesendete Auszugsanhänge | Werden nicht gespeichert; im Arbeitsspeicher gelesen |
| Buchungen, die auf Freigabe warten (Import per E-Mail) | Die Buchungen werden nach dem Import sofort aus der Warteschlange entfernt. Nicht freigegebene, abgelehnte und nicht verarbeitete Stapel werden nach 14 Tagen gelöscht, und zwar beim nächsten Öffnen der Warteschlange. Ein Eintrag zur importierten Nachricht (Absender, Betreff, Name des Anhangs, Ergebnis des Imports, gegebenenfalls der Endsaldo des Auszugs) bleibt bis zur Löschung des Kontos |
| KI-Gespräche in der App | Bis Sie sie löschen |
| Gespeicherte Immobilienprüfungen | Bis Sie sie löschen |
| Ohne Konto gestartete Prüfungen | Werden keinem Konto zugeordnet; das Ergebnis liegt 7 Tage im Cache, adressiert über einen Hash des Anzeigentexts |
| Benachrichtigungen | 30 Tage |
| Registrierungstoken des Handys für Benachrichtigungen (App für Android und iPhone) | Bis zur Abmeldung in der App, zum Ausschalten der Benachrichtigungen auf dem Handy oder zur Löschung des Kontos; nach der Deinstallation der App löschen wir es, sobald Firebase (Android) oder Apple (iPhone) meldet, dass das Token nicht mehr gültig ist; ein 270 Tage nicht erneuertes Token wird automatisch gelöscht |
| Gespeicherte Rechnerpläne | Bis Sie sie löschen |
Sicherheits- und Zugriffsdaten
| Daten | Aufbewahrung |
|---|---|
| Anmeldesitzung (Cookie) | 7 Tage ab der letzten Nutzung; „Auf allen Geräten abmelden“ beendet sie sofort (andere Serverinstanzen spätestens nach 30 Sekunden) |
| OAuth-Access-Token (MCP, mobil) | 1 Stunde |
| OAuth-Refresh-Token | 60 Tage, bei jeder Erneuerung ausgetauscht; beim Entfernen eines Konnektors oder mit „Auf allen Geräten abmelden“ werden die Tokens sofort widerrufen |
| OAuth-Autorisierungscode | 10 Minuten, einmalig |
| Tokens des Google-Sheets-Add-ons | 1 Stunde Access, 30 Tage Refresh |
| MCP-Audit-Log (nur Schreibvorgänge) | 365 Tage |
| E-Mail-Bestätigungslink | 24 Stunden; in der Datenbank liegt nur ein Hash, und der Link funktioniert einmal |
| Link zum Zurücksetzen des Passworts | 60 Minuten; in der Datenbank liegt nur ein Hash, und der Link funktioniert einmal |
| Anmeldeversuche mit Passwort (E-Mail, Zeitpunkt, Erfolg oder Fehlschlag) | Für die Kontosperre werden Fehlversuche in einem 15-Minuten-Fenster gezählt; eine Sperre dauert 15 Minuten. Der Eintrag zu einem Versuch wird nach 365 Tagen automatisch gelöscht |
| Zähler für Anfragelimits | 24 Stunden |
| Zwei-Faktor-Geheimnis und Backup-Codes | Bis Sie die Zwei-Faktor-Authentifizierung ausschalten oder das Konto löschen |
| Eintrag zu einer Anmeldung, ohne Code (dass Sie in dieser Anmeldung die Zwei-Faktor-Authentifizierung ein- oder ausgeschaltet oder beim Zugang zum Admin-Bereich den Code bestätigt haben) | 7 Tage |
| Bekannte Geräte für die E-Mail zu einer neuen Anmeldung (nur ein Hash von Geräteart, Browser und Betriebssystem, ohne IP-Adresse) | 400 Tage ab der letzten Anmeldung von diesem Gerät; beim Löschen des Kontos sofort |
| Signierter Link zu einer angehängten Datei | Höchstens 15 Minuten |
| Protokoll der Admin-Zugriffe (wer, wann, Pfad und ID des geöffneten Datensatzes, ohne Inhalt) | 365 Tage, danach automatisch gelöscht; das Löschen des Kontos entfernt es nicht |
Betriebsdaten
| Daten | Aufbewahrung |
|---|---|
| Datenbanksicherung | Mit AES-256 verschlüsselt, auf dem eigenen Rechner des Betreibers in Tschechien, jede Nacht geplant (seit dem 22. 10. 2026 schlägt der nächtliche Lauf fehl, wir beheben das). Sicherungen, die älter als 30 Tage sind, werden gelöscht; die letzten 7 Sicherungen bleiben immer erhalten, auch wenn sie älter sind. Eine zweite verschlüsselte Kopie bleibt 30 Tage als GitHub-Actions-Artefakt erhalten, nur wenn die Aufgabe dort läuft (seit dem 21. 10. 2026 läuft sie nicht) |
| Kopie einer Nachricht mit Auszug (Import per E-Mail) | 30 Tage bei Resend; Resend ermöglicht kein früheres Löschen |
| Protokoll versendeter E-Mails (Art der E-Mail, Zeitpunkt, Zustellstatus, gekürzte Adresse, Betreff ohne Beträge; nie der Nachrichtentext) | 400 Tage, danach automatisch gelöscht; bei Löschung des Kontos sofort |
| Unzustellbare Adresse oder Spam-Beschwerde (Hash der Adresse und Grund) | Bis zur Änderung der E-Mail-Adresse oder zur Löschung des Kontos |
| Einwilligungsprotokoll (automatischer Import, Verbrauch von KI-Guthaben, KI in der mobilen App, Tipps per E-Mail, Abbestellung über einen Link in einer E-Mail) | Solange das Konto besteht |
| Aufzeichnung zu Tipps per E-Mail (welche versendet wurden, ob Sie geklickt haben) | Solange das Konto besteht |
| Anonyme Statistik zu Auszügen, die der Import nicht erkannt hat (nur Spaltennamen und Trennzeichen, ohne Verbindung zu einem Konto) | 2 Jahre nach dem letzten Auftreten |
| Anonymisierte Auszugsproben, die Sie freiwillig aus dem Zuordnungsassistenten senden (ohne Verbindung zu einem Konto) | 1 Jahr |
| Anfrage- und Funktionslogs (Vercel) | Gemäß Vercel-Tarif; nicht von der Anwendung gesteuert |
| Fehlerprotokolle aus dem Web und den mobilen Apps für Android und iPhone (Fehlermeldung und Stack-Trace, Seite oder Bildschirm, App- und Systemversion, Kontokennung als Pseudonym, IP-Adresse, User-Agent) | 12 Monate, danach automatisch gelöscht. Einträge, die mit Ihrem Konto verknüpft sind, werden mit dem Konto gelöscht. |
| Anonyme Tipp-Zähler im Bildschirm Mehr der mobilen App für Android und iPhone (Tagessummen je Eintrag, ohne Verbindung zu einem Konto) | Unbegrenzt; sie enthalten keine personenbezogenen Daten |
| Monatliches KI-Budget | Erneuert sich jeweils einen Monat nach Registrierung bzw. Zahlung; aufgeladenes und lebenslanges Guthaben bleibt, bis Sie es verbrauchen oder das Konto löschen |
| Zahlungsdatensätze (Rechnungen, Zahlungen) | Führt Stripe; als Buchhaltungs- und Steuerbelege werden sie so lange aufbewahrt, wie es das tschechische Buchhaltungs- und Steuerrecht vorschreibt. In der Datenbank von Assetli verbleiben sie nach der Kontolöschung nicht. |
Konto löschen
Einstellungen → Konto löschen (im Web oder in der mobilen App für Android und iPhone unter Mehr → Einstellungen) entfernt in einem Vorgang: den Nutzerdatensatz, jedes Profil und jeden mit Ihnen verknüpften Datensatz in allen Sammlungen, einschließlich Datensätzen aus einer geteilten Ausgabengruppe oder einem Family-Legacy-Kontakt, Einträge zu Anmeldeversuchen mit Ihrer E-Mail-Adresse sowie jede Datei im Objektspeicher. Eine Bestätigungsphrase ist erforderlich.
Ein aktives Stripe-Abonnement wird bei der Löschung gekündigt und Ihr Kundendatensatz bei Stripe gelöscht. In geteilten Ausgabengruppen, die jemand anderem gehören, wird Ihr Mitgliedseintrag anonymisiert: Name, E-Mail-Adresse, Bankverbindung und die Verknüpfung mit Ihrem Konto werden entfernt, die Beträge bleiben, damit die Abrechnung der anderen Mitglieder weiter stimmt. Aus fremden Family-Legacy-Plänen wird Ihr Kontakt entfernt.
Zwei Dinge überdauern diese Löschung für begrenzte Zeit und liegen außerhalb unserer Live-Datenbank:
- Sicherungen. Eine vor der Löschung erstellte Sicherung enthält Ihre Daten, bis sie gelöscht wird — in der Regel höchstens 30 Tage, die letzten 7 Sicherungen bleiben aber immer erhalten, auch wenn sie älter sind. Sicherungen sind verschlüsselt und dienen allein der Wiederherstellung der gesamten Datenbank nach einem Ausfall.
- Zahlungsdatensätze (Rechnungen, Zahlungen) bei Stripe, die als Buchhaltungs- und Steuerbelege so lange aufbewahrt werden, wie es das tschechische Buchhaltungs- und Steuerrecht vorschreibt. In der Datenbank von Assetli verbleiben sie nicht.
Bereits versendete E-Mails lassen sich weder bei Resend noch in Ihrem Postfach zurückholen.
Ebenso bleibt bei Resend die Kopie von Nachrichten für den Import per E-Mail, höchstens 30 Tage nach Eingang.
Außerdem bewahren wir einen kurzen Löschvermerk auf: die interne Kennung des gelöschten Kontos, die E-Mail-Adresse in maskierter Form, einen SHA-256-Hash der E-Mail-Adresse, den Zeitpunkt und technische Angaben zum Ablauf der Löschung (etwa die Anzahl gelöschter Datensätze). Er belegt, dass die Anfrage erledigt wurde, und ermöglicht es, das Konto erneut zu löschen, falls die Datenbank aus einer Sicherung wiederhergestellt werden muss. Er enthält keine Finanzdaten. Er wird 3 Jahre ab der Löschung aufbewahrt und danach automatisch gelöscht.
Hat der Betreiber Ihr Konto im Admin-Bereich geöffnet, bleibt außerdem ein Eintrag zu diesem Zugriff (wer, wann und die Konto-ID, kein Inhalt) — 365 Tage ab dem Zugriff, danach wird er automatisch gelöscht. Das Löschen des Kontos entfernt ihn bewusst nicht, damit sich die Spur eines Einblicks nicht verwischen lässt.
Daten exportieren
Einstellungen → Daten exportieren erzeugt eine Datei mit allen Datensätzen, die Ihnen gehören, über alle Sammlungen hinweg, ohne Authentifizierungsgeheimnisse und temporäre Logs. Sie können beliebig oft exportieren.