Zuletzt aktualisiert: 15. Juli 2026
Kurzfassung: PaperBird speichert deine Dokumente ausschließlich auf deinem Gerät. Die erkannten Daten (Titel, Beträge, Fristen, Volltext) sind mit AES-256 verschlüsselt (SQLCipher-Datenbank); die Dokumentdateien liegen in deinem geschützten, app-privaten Gerätespeicher. Für die automatische Erkennung wird eine verkleinerte Kopie an einen EU-Server gesendet, dort analysiert und aus unserer App-Pipeline entfernt. Google persistiert deine Anfrage standardmäßig nicht; nur wenn ihre automatischen Sicherheitsfilter eine Anfrage als verdächtig markieren, wird sie bis zu 90 Tage für eine menschliche Prüfung aufbewahrt und danach gelöscht. Wir selbst speichern niemals Dokumente auf Servern.
PaperBird, Inhaber: Nedim Devedzic
Einzelunternehmen nach österreichischem Recht
Treibacher Straße 3/1, 9523 Villach, Österreich
E-Mail: paperbird.at@gmail.com
PaperBird folgt dem Local-First-Prinzip. Alle deine Dokumente, Bilder und Metadaten werden ausschließlich auf deinem Gerät gespeichert. Die Metadaten, der erkannte Volltext und die Finanzfelder sind zusätzlich mit AES-256 verschlüsselt (SQLCipher-Datenbank), deren Schlüssel im Geräte-Keychain (iOS) bzw. Keystore (Android) liegt. Die Dokumentdateien selbst liegen im geschützten, app-privaten Gerätespeicher und werden vom Betriebssystem hardwaregestützt mit AES-256 verschlüsselt (iOS Data Protection bzw. Android File-Based Encryption), solange dein Gerät mit Code, Face ID oder Fingerabdruck geschützt ist. Es gibt keine zentrale Cloud-Datenbank für deine persönlichen Papiere.
Deine Dokumentenfotos, die erkannten Informationen wie Titel, Beträge und Fristen sowie deine App-Einstellungen bleiben ausschließlich auf deinem Gerät.
Für deinen Account speichern wir deine E-Mail-Adresse. Das Passwort wird nicht im Klartext gespeichert, sondern von Firebase Authentication als sicherer Hash (scrypt) verwaltet. Meldest du dich mit Google oder Apple an, speichern wir zusätzlich den Namen (Anzeigenamen), den der jeweilige Anbieter dabei freigibt. Er dient der persönlichen Anrede in der App und als Absender in Dokument-Exporten. Bei Apple kannst du die Namensfreigabe beim Anmelden ablehnen („Meinen Namen verbergen“); den gespeicherten Namen kannst du in der App jederzeit ändern oder löschen (Einstellungen → Konto).
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
Beim Scannen wird eine verkleinerte Kopie deines Dokuments an einen DSGVO-konformen Google-Vertex-AI-Server in der EU (Region europe-west4, Niederlande) gesendet, um Text und Daten automatisch zu erkennen.
✔ Das Original bleibt lokal auf deinem Gerät
✔ Nur eine komprimierte Kopie wird über HTTPS an den EU-Server gesendet
✔ Die Kopie wird direkt nach der Analyse aus unserer App-Pipeline entfernt
✔ Bei verdächtigen Anfragen kann Google die Kopie bis zu 90 Tage für eine menschliche Prüfung speichern (Details siehe „Datenverarbeitung durch Dritte“)
✔ Kein Training, keine Weitergabe an Dritte
Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Der bei der Analyse erkannte Volltext wird lokal verschlüsselt (AES-256) auf deinem Gerät gespeichert, damit die Volltextsuche funktioniert. Er verlässt dein Gerät nicht und wird nicht übertragen. Finanzdaten (z. B. IBAN, BIC, Netto-/Brutto-Beträge, MwSt.) und, bei Arzt- oder Krankenhausrechnungen, der Name der behandelten Person werden aus dem erkannten Text ausschließlich lokal extrahiert und verschlüsselt gespeichert. Diese extrahierten Felder werden nicht erneut an Google, an uns oder an Dritte übertragen.
Mit dem Familien-Feature kannst du Dokumente von Familienmitgliedern jeden Alters erfassen, auch von Kindern (z. B. Schulzeugnisse, Arztbefunde, Impfpässe). Solche Dokumente können Gesundheitsdaten enthalten, also besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Wenn du ein solches Dokument scannst, wird, wie bei jedem Scan, eine verkleinerte Kopie zur Texterkennung an Google Vertex AI in der EU gesendet; diese Kopie kann die enthaltenen Gesundheitsdaten umfassen. Nach der Analyse bleiben diese Daten ausschließlich lokal auf deinem Gerät.
Du entscheidest selbst, welche Personen und Dokumente du erfasst. Mit der Verarbeitung bestätigst du, dass du dazu berechtigt bist und, soweit erforderlich, die Einwilligung der betroffenen Person bzw. bei Kindern ihrer Erziehungsberechtigten eingeholt hast.
Rechtsgrundlage: deine Einwilligung in die Analyse (Art. 6 Abs. 1 lit. a DSGVO), die du vor dem ersten Scan im Transparenz-Hinweis der App erteilst; für besondere Kategorien (Gesundheitsdaten) auf Grundlage deiner ausdrücklichen Einwilligung und Berechtigungsbestätigung (Art. 9 Abs. 2 lit. a DSGVO).
Die KI-Analyse erkennt und strukturiert Informationen aus deinen Dokumenten. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt, und es wird kein Profil über dich gebildet. Die erkannten Daten dienen ausschließlich der Anzeige und Erinnerung in der App; die Kontrolle und Korrektur bleibt jederzeit bei dir.
Seit Version 3.16 sendet PaperBird Absturzberichte und anonyme Nutzungsstatistik nur, wenn du es ausdrücklich einschaltest. Den Schalter findest du in der App unter Einstellungen → App → Datenschutz („App verbessern helfen“). Standardmäßig ist beides aus, und ohne dein Einschalten verlässt kein einziges dieser Daten dein Gerät.
Wenn du einwilligst, erheben wir: Absturzberichte (Google Firebase Crashlytics: Fehler-Details, Geräte-Modell, Betriebssystem-Version, Zeitpunkt) und Nutzungsereignisse (Google Firebase Analytics: zum Beispiel „Scan abgeschlossen“, „Bezahlschranke angezeigt“, „Abo abgeschlossen“). Diese Ereignisse enthalten niemals Dokumenteninhalte, Namen, Beträge oder andere Inhalte deiner Unterlagen, sondern nur den technischen Vorgang. Zweck ist ausschließlich Fehlerbehebung und die Verbesserung der App (welche Funktionen genutzt werden, wo Nutzer hängen bleiben).
Aufbewahrung: Absturzberichte löscht Google nach 90 Tagen. Gerätebezogene Statistik-Daten laufen bei Google automatisch ab, spätestens 14 Monate nach deinem letzten App-Start.
Du kannst die Einwilligung jederzeit widerrufen, über denselben Schalter in den Einstellungen. Der Widerruf wirkt sofort: ab dem Umschalten werden keine weiteren Berichte oder Ereignisse gesendet. Bereits übermittelte Daten werden nach den oben genannten Fristen automatisch gelöscht.
Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), Widerruf gemäß Art. 7 Abs. 3 DSGVO mit Wirkung für die Zukunft.
PaperBird stellt sicher, dass nur echte Geräte auf unsere Dienste zugreifen. Dabei wird ein Geräte-Token übermittelt. Es werden keine persönlichen Daten verarbeitet.
Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am Schutz vor Missbrauch.
PaperBird nutzt für Anmeldung, Analyse sowie (nur nach deiner Einwilligung) Absturzberichte und Nutzungsstatistik Dienste von Google LLC. Die Dokumentenanalyse läuft ausschließlich auf Google-Vertex-AI-Servern in der EU (Region europe-west4, Niederlande); deine Dokument-Analysekopien verlassen die EU nicht.
Anbieter ist Google LLC (USA). Die Dokumentenanalyse erfolgt in der EU. Soweit einzelne Google-Dienste (Anmeldung, Absturzberichte) technisch bedingt einen Datentransfer in die USA mit sich bringen, stützt sich dieser auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Wann Google deine Anfrage tatsächlich speichert. Im Normalfall persistiert Vertex AI deine Anfrage gar nicht. Sie wird verarbeitet und verschwindet. Nur wenn Googles automatische Sicherheitsfilter eine Anfrage als verdächtig markieren (z. B. automatisierte Angriffe gegen das Modell), wird die betroffene Anfrage bis zu 90 Tage für eine menschliche Prüfung gespeichert und danach gelöscht. Das ist Vertex-AI-Standard und gilt für alle Apps, die Vertex AI nutzen. Per Code können wir das nicht abschalten.
Für die Abo-Verwaltung nutzen wir RevenueCat Inc. (USA). Dabei wird nur eine pseudonyme Nutzer-ID und der Abo-Status übermittelt. Keine E-Mail, kein Name.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Übermittlung in die USA auf Basis von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Diese Website wird über Firebase Hosting ausgeliefert, einen Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Beim Aufruf der Seite verarbeitet Google technisch notwendige Server-Logs: die IP-Adresse deines Geräts, den Zeitpunkt des Zugriffs, die angeforderte URL und den User-Agent deines Browsers. Diese Logs dienen ausschließlich der Missbrauchs- und Fehleranalyse und werden nach etwa 30 Tagen gelöscht. Für die Auslieferung der Seite setzt Firebase Hosting keine Cookies und bildet keine Besucherprofile.
Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der sicheren und funktionsfähigen Bereitstellung der Website. Google ist dabei Auftragsverarbeiter auf Basis der Google-Datenverarbeitungsbedingungen (Data Processing Addendum) samt EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Soweit Daten dabei in die USA gelangen, ist die Übermittlung zusätzlich durch das EU-U.S. Data Privacy Framework (DPF) abgesichert; Google LLC ist unter dem DPF zertifiziert.
Unser Postfach paperbird.at@gmail.com läuft über Gmail, einen Dienst der Google Ireland Limited. Wenn du uns schreibst oder wir dir antworten, fallen bei Google dabei Verbindungsdaten, E-Mail-Header (Absender, Empfänger, Betreff, Zeitpunkt) und der Inhalt der Nachricht an. Wir nutzen deine Angaben nur zur Bearbeitung deines Anliegens und geben sie nicht weiter.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen), wenn dein Anliegen ein Vertragsverhältnis betrifft, ansonsten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen). Für die Auftragsverarbeitung und eine etwaige US-Übermittlung gilt dasselbe wie beim Hosting: Google-Datenverarbeitungsbedingungen mit EU-Standardvertragsklauseln, zusätzlich abgesichert durch das EU-U.S. Data Privacy Framework (DPF).
Diese Website nutzt die Schriftart „Plus Jakarta Sans“. Die Schriftdateien werden direkt von unserem eigenen Hosting ausgeliefert (Self-Hosting). Es findet keine Übertragung deiner IP-Adresse an Google oder eine andere Drittpartei statt. Es werden weder Cookies gesetzt noch personenbezogene Profile gebildet.
Quelle der Schriftdateien: SIL-OFL-lizenzierte Re-Distribution über das „@fontsource"-Projekt. Keine Drittlandsübertragung, daher keine zusätzliche Rechtsgrundlage erforderlich.
Du hast jederzeit das Recht auf:
In den App-Einstellungen kannst du deinen Account und alle Daten jederzeit selbst löschen, ohne E-Mail, ohne Wartezeit.
Beschwerderecht besteht bei der Österreichischen Datenschutzbehörde.
Bei Fragen zum Datenschutz erreichst du uns unter:
paperbird.at@gmail.com