KAI-Pay
Wallet

Datenschutz­erklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von KAI-Pay verarbeitet werden: der Webseite kai-pay.net, der Wallet unter app.kai-pay.net, der Kasse unter kasse.kai-pay.net, der Zahlungsseiten kai-pay.net/@name sowie der Android-Apps „KAI-Pay“ und „KAI-Pay Beta“ (Abschnitt 2.11).

Für die Wallet ist kein KAI-Pay-Nutzerkonto erforderlich. Die Wallet verwendet die unten erläuterten lokalen Speicher und stellt Verbindungen zu externen Diensten her. Dieser Abschnitt beschreibt nicht das Sitzungscookie der gesonderten, angemeldeten Kasse des kostenpflichtigen Firmenzugangs von KAI Oracle auf kai-oracle.com; dafür gelten die Datenschutzhinweise von KAI Oracle. Ihre Wiederherstellungswörter werden nur verschlüsselt auf Ihrem Gerät gespeichert. Für Zahlungen verbindet sich die Wallet jedoch direkt mit Diensten anderer Anbieter, einige davon schon bei jedem Start und ohne Ihr Zutun; welche das sind, steht in den Abschnitten 2 und 6. Was Sie selbst beim Entfernen der Wallet löschen können und was nicht, erklärt Abschnitt 4.

1. Verantwortlicher und Kontakt

Verantwortlich für die nachstehend beschriebenen eigenen Verarbeitungen ist:

Formsys GmbH
Grafenberger Allee 277–287
40237 Düsseldorf
Deutschland

Kontakt für Datenschutzanfragen: kontakt@kai-pay.net

Nachrichten an die Adresse kontakt@kai-pay.net leitet Cloudflare als E-Mail-Weiterleitung an uns weiter (Abschnitt 6). Dabei verarbeitet Cloudflare Ihre Absenderadresse, den Inhalt der Nachricht und die Verbindungsdaten der Zustellung. Bitte senden Sie keine Wiederherstellungswörter, privaten Schlüssel, Passwörter oder gültigen Zugangstoken.

Einige Funktionen beruhen auf Diensten anderer Anbieter, die Daten auch selbst verarbeiten. Sie sind in Abschnitt 6 genannt, soweit vorhanden mit einem Link zu ihren eigenen Informationen.

2. Welche Daten wir wofür verarbeiten

Ihre Rechte und Kontaktmöglichkeiten gelten auch dann, wenn ein angebundener Dienst beteiligt ist. Gesetzliche Pflichten und Erlaubnisse werden nicht allein durch die Zustimmung zu Nutzungsbedingungen begründet. Für jede Verarbeitung nennen wir die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. „Buchst. b“ heißt: Die Verarbeitung ist für die Funktion erforderlich, die Sie nach unseren Nutzungsbedingungen nutzen. „Buchst. f“ heißt: Wir stützen uns auf ein berechtigtes Interesse, das wir jeweils nennen.

2.1 Besuch der Webseite kai-pay.net

Daten
IP-Adresse, Zeitpunkt, aufgerufene Adresse und die technischen Angaben, die Ihr Browser mit jeder Anfrage sendet, zum Beispiel Browsertyp und -version.
Zweck
Auslieferung der Seiten, Umleitung auf eine verschlüsselte Verbindung (HTTPS), Weiterleitung unserer weiteren Domains (kai-pay.org, kai-pay.online, kai-pay.world und die www-Adressen) auf kai-pay.net, Schutz vor Angriffen.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. f DSGVO. Unser Interesse: die Webseite sicher und funktionsfähig bereitzustellen.
Empfänger
Cloudflare als Auftragsverarbeiter (Abschnitt 6).
Speicherdauer
Wir legen keine eigenen Zugriffsprotokolle an; in unserer Konfiguration ist keine Protokollspeicherung eingeschaltet. Cloudflare verarbeitet die Verbindungsdaten zur Auslieferung und zum Schutz vor Angriffen nach seiner Auftrags­verarbeitungs­vereinbarung.

Die Webseite enthält kein JavaScript und lädt keine Inhalte von fremden Servern.

2.2 Bereitstellung von Wallet und Kasse

Daten
Verbindungsdaten wie in 2.1, wenn Sie die App-Dateien laden oder die Wallet unseren Server anfragt.
Zweck
Auslieferung der Wallet (app.kai-pay.net) und der Kasse (kasse.kai-pay.net). Nach dem ersten Aufruf startet die Wallet aus dem Speicher Ihres Browsers (Abschnitt 3).
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.
Empfänger
Cloudflare als Auftragsverarbeiter.
Speicherdauer
Wie in 2.1.

2.3 Zahlungen, Guthaben und Abgleich der Wallet

Die Wallet nutzt das Breez SDK mit dem Spark-Netz. Das SDK läuft in Ihrem Browser bzw. in der App und verbindet sich direkt, nicht über unseren Server, mit den unten genannten Diensten.

Einige dieser Verbindungen entstehen bei jedem Start der Wallet, ohne dass Sie etwas tun: Das SDK meldet die App bei Breez an, gleicht die Wallet mit den Spark-Betreibern ab (solange die App geöffnet ist, etwa jede Minute erneut), fragt bei breez.tips nach der Lightning-Adresse dieser Wallet (2.5) und meldet sich bei der Schnittstelle api.flashnet.xyz von Flashnet an, um offene Rückbuchungen von Token-Umtauschen abzufragen. Die Anmeldung bei Flashnet läuft in drei Schritten: Die Wallet sendet ihren öffentlichen Identitätsschlüssel und erhält eine Aufforderung, signiert diese auf Ihrem Gerät mit dem Identitätsschlüssel und fragt mit dem erhaltenen Zugangstoken die rückforderbaren Übertragungen ab. Das geschieht bei jedem Start, auch wenn Sie nie etwas umgetauscht haben; der Token liegt nur im Arbeitsspeicher, deshalb meldet sich die Wallet jedes Mal neu an. Flashnet erhält dabei den öffentlichen Schlüssel, die Signatur, Ihre IP-Adresse und den Zeitpunkt, nicht aber Ihre Wiederherstellungswörter, Ihr Guthaben oder den API-Schlüssel von Breez. KAI-Pay bietet keine Token-Umtausche an; diese Abfrage ist fest im SDK eingebaut, ohne Schalter dafür, und ließe sich nur zusammen mit allen Hintergrundaufgaben des SDK abschalten, darunter dem automatischen Zahlungseingang.

Jede Anfrage einer Bitcoin-Einzahlungsadresse erzeugt eine neue Adresse; frühere bleiben gültig. Einzahlungen verschiedener Zahler laufen so nicht über eine gemeinsame Adresse.

Privatmodus. Die Wallet schaltet beim Verbinden den Privatmodus des Spark-Netzes ein, sofern Sie ihn nicht unter „Einstellungen“ → „Privatsphäre“ ausgeschaltet haben. Er verbirgt Guthaben und Bitcoin-Zahlungen Ihrer Wallet vor öffentlichen Spark-Indexern (etwa Sparkscan). Die Spark-Betreiber und Lightspark sehen Ihre Zahlungen weiterhin; Token sind ausgenommen, und was auf der Bitcoin-Blockchain steht, bleibt öffentlich.

Daten
Der öffentliche Identitätsschlüssel Ihrer Wallet, bei der Anmeldung an api.flashnet.xyz mit einer auf Ihrem Gerät erzeugten Signatur; Beträge, Rechnungen (Lightning-Invoices) samt einer eingegebenen Notiz, Zahlungs- und Übertragungskennungen und Zeitpunkte; Ihre Bitcoin-Einzahlungsadressen, Bitcoin-Adressen, an die Sie auszahlen, und die zugehörigen Transaktionen; die Einstellung des Privatmodus; Ihre IP-Adresse.
Zweck
Senden und Empfangen, Anzeige von Guthaben und Zahlungsverlauf, Abgleich mit dem Netz, Gebührenschätzungen und Abfragen der Bitcoin-Blockchain; bei api.flashnet.xyz die im SDK fest vorgesehene Abfrage.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO. Für die Abfrage bei api.flashnet.xyz Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse: das SDK mit seinen Hintergrundaufgaben, darunter dem automatischen Zahlungseingang, betreiben zu können.
Empfänger
Die Spark-Betreiber Lightspark, Breez und Flashnet, die an Übertragungen im Spark-Netz mitwirken; Flashnet zusätzlich über api.flashnet.xyz; der Spark-Dienstleister Lightspark für Lightning-Zahlungen, für Ein- und Auszahlungen über die Bitcoin-Blockchain und für die technische Stückelung Ihres Guthabens; mempool.space für Abfragen der Bitcoin-Blockchain; Breez für die Anmeldung der App bei seinen Diensten, die mit dem API-Schlüssel von KAI-Pay erfolgt.
Speicherdauer
Auf Ihrem Gerät, bis Sie die Daten entfernen (Abschnitte 3 und 4). Bei den Anbietern nach deren Angaben (Abschnitt 6). Einträge auf der Bitcoin-Blockchain sind dauerhaft öffentlich (Abschnitt 5).

2.4 Zahlungen an Lightning-Adressen und LNURL-Links

Geben Sie eine Adresse der Form name@domain oder einen LNURL-Link ein oder scannen Sie ihn, ruft die Wallet schon beim Prüfen die Zahlungsangaben direkt beim Server der angegebenen Domain ab, also bevor Sie eine Zahlung bestätigen und auch dann, wenn Sie es danach nicht tun. Mit dem Betrag fordert sie dort eine Rechnung an. Liefert die Domain keine Lightning-Adresse, fragt das SDK über den DNS-Dienst von Cloudflare (cloudflare-dns.com), ob die Domain dazu eine Bitcoin-Zahlungsanweisung (BIP 353) veröffentlicht. Der DNS-Dienst erhält den abgefragten Namen. Der Server des Empfängers erhält den Namen, gegebenenfalls Betrag und Kommentar und bei der Web-App die Angabe, dass die Anfrage von app.kai-pay.net kommt. Beide erhalten Ihre IP-Adresse. Welcher Server das ist, bestimmt der Empfänger. Erstatten Sie aus „Kasse & Abschluss“ eine Kassenzahlung an eine Lightning-Adresse oder über einen LNURL-Link, sendet die Wallet diesem Server zusätzlich die Notiz „Erstattung zu Beleg …“ mit der Belegnummer (gegebenenfalls gekürzt), sofern er Notizen annimmt. Enthält ein QR-Code die Kennung bestimmter Händler-Bezahlsysteme (derzeit Pick n Pay und Bootleggers), ruft das Breez SDK die Zahlungsangaben beim Dienst cryptoqr.net ab.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

2.5 Lightning-Adresse und Zahlungsseite

Sie können in der Wallet eine Lightning-Adresse der Form name@breez.tips einrichten. Dazu prüft die Wallet beim LNURL-Server breez.tips von Breez, ob der gewünschte Name frei ist, und registriert ihn dort für Ihre Wallet. Als öffentliche Beschreibung der Adresse steht dort der neutrale Text „Pay to name@breez.tips“, den auch andere Wallets bei breez.tips verwenden; ältere Adressen mit der Beschreibung „KAI-Pay“ stellt die Wallet einmalig auf diesen Text um. Breez erkennt die App weiterhin an ihrem API-Schlüssel. Der Name ist öffentlich: Wer ihn kennt, kann darüber Rechnungen anfordern und Ihnen Zahlungen senden.

Unabhängig davon, ob Sie eine Adresse einrichten, fragt das SDK bei jedem Start der Wallet bei breez.tips nach der Adresse dieser Wallet. Breez erhält dabei den öffentlichen Schlüssel der Wallet, eine auf Ihrem Gerät erzeugte Signatur, den Zeitpunkt, den API-Schlüssel von KAI-Pay (als Kopfzeile) und Ihre IP-Adresse. Diese Abfrage lässt sich in der App nicht abschalten; sie ließe sich im SDK nur zusammen mit allen Funktionen der Lightning-Adresse abschalten.

Zu jeder solchen Adresse zeigt kai-pay.net/@name eine Zahlungsseite. Ruft jemand sie auf, fragt unser Server bei breez.tips die Zahlungsangaben zu diesem Namen ab. Gibt die Person einen Betrag ein, fordert unser Server dort eine Rechnung über diesen Betrag an, gegebenenfalls mit der eingegebenen Notiz, und fragt auf Wunsch den Zahlungsstatus ab. Die Anfrage an breez.tips stellt unser Server; Angaben über die aufrufende Person, auch ihre IP-Adresse, gibt er nicht weiter. Unser Server begrenzt die Zahl der Aufrufe und Rechnungsanforderungen je IP-Adresse (bei IPv6 je /64-Bereich); die IP-Adresse dient dabei nur flüchtig als Zählschlüssel und wird nicht gespeichert.

Daten
Der gewählte Name; bei der Abfrage beim Start der öffentliche Schlüssel der Wallet und die IP-Adresse. Beim Aufruf einer Zahlungsseite: Verbindungsdaten wie in 2.1, Betrag, Notiz, Rechnung und Zahlungsstatus.
Rechtsgrundlage
Für das Einrichten der Adresse und die Abfrage beim Start Art. 6 Abs. 1 Buchst. b DSGVO. Für Personen, die eine Zahlungsseite aufrufen, Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse: die aufgerufene Zahlungsseite bereitzustellen, die angeforderte Rechnung abzurufen und Missbrauch abzuwehren.
Empfänger
Breez (breez.tips); Cloudflare als Auftragsverarbeiter.
Speicherdauer
Die Zahlungsseite legt auf unserem Server keine Aufzeichnungen an. Die Registrierung des Namens liegt bei Breez; ihre Dauer richtet sich nach den Angaben des Anbieters. Die Wallet bietet derzeit nicht an, eine registrierte Adresse zu löschen (Abschnitt 4).

2.6 Kontakte und Abgleich zwischen Ihren Geräten

Kontakte (Name und Lightning-Adresse) und Zusatzangaben zu Zahlungen speichert das Breez SDK auf Ihrem Gerät. Bei jeder geöffneten Wallet startet es automatisch den Abgleich über den Synchronisierungsdienst von Breez (datasync.breez.technology), auch wenn Sie die Wallet nur auf einem Gerät nutzen; so gleichen sich die Angaben mit anderen Geräten ab, auf denen dieselbe Wallet geöffnet ist. Die Datensätze werden vorher auf Ihrem Gerät verschlüsselt; der Schlüssel wird aus Ihrer Wallet abgeleitet. Breez erhält die verschlüsselten Datensätze, Ihre IP-Adresse und den Zeitpunkt.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.
Empfänger
Breez.
Speicherdauer
Auf Ihrem Gerät, bis Sie die Daten entfernen (Abschnitte 3 und 4); bei Breez nach dessen Angaben.

2.7 Umrechnungskurse in der Wallet

Um Beträge zusätzlich in einer Vergleichswährung Ihrer Wahl anzuzeigen, ruft die Wallet über das Breez SDK aktuelle Kurse von einem Server von Breez ab – bei jeder Aktualisierung der Anzeige, auch im Hintergrund, und zusätzlich alle 5 Minuten, solange die Wallet sichtbar geöffnet ist; einmal je Sitzung außerdem die Liste der verfügbaren Währungen. Das geschieht unabhängig davon, ob Sie die Umrechnung ansehen. Kurse, die älter als 15 Minuten sind, rechnet die Wallet nicht mehr um. Dabei werden Ihre IP-Adresse und der Zeitpunkt übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO.

2.8 Passkey und Entsperren per Fingerabdruck

Sie können eine Wallet mit einem Passkey anlegen oder die App per Fingerabdruck entsperren (WebAuthn mit der Erweiterung PRF). „Fingerabdruck“ heißt im Browser: Ihr Gerät bestätigt Sie gegenüber dem Passkey (Benutzerprüfung nach WebAuthn). Je nach Gerät und Einstellung genügt dafür statt des Fingerabdrucks auch Gesicht, Geräte-PIN, Muster oder Passwort der Displaysperre. Die Prüfung findet in Ihrem Gerät oder bei Ihrem Passkey-Anbieter statt; biometrische Daten erhalten weder die App noch wir. Die App erhält nur einen aus dem Passkey abgeleiteten Wert, mit dem sie Ihre Wallet ableitet oder den Tresor entschlüsselt.

Passkeys können je nach Gerät und Einstellung vom Passwortmanager Ihres Betriebssystems oder Browsers synchronisiert werden; das richtet sich nach dessen Bedingungen. Bei einer Passkey-Wallet liegt dann auch die Grundlage Ihrer Wallet beim Synchronisierungsdienst, verschlüsselt nach dessen eigenen Angaben. Wer Zugriff auf dieses Konto hat, kann die Wallet öffnen.

Für Passkey-Wallets nutzt das Breez SDK Nostr-Relays, um die Bezeichnung der Wallet (standardmäßig „Default“) zu speichern und beim Öffnen abzurufen. Die Bezeichnung wird als öffentliche, unverschlüsselte Nostr-Nachricht unter einem Schlüssel veröffentlicht, der aus Ihrem Passkey abgeleitet ist. Genutzt werden ein Relay von Breez (nr1.breez.technology) und öffentliche Relays anderer Betreiber (relay.primal.net, relay.damus.io, relay.nostr.watch, relaypag.es, monitorlizard.nostr1.com). Das SDK kann dort außerdem eine Liste der genutzten Relays veröffentlichen. Die Relays erhalten dabei auch Ihre IP-Adresse. Wie lange sie Nachrichten speichern, bestimmen ihre Betreiber.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

2.9 Benachrichtigungen bei Zahlungseingang und Sicherheitsalarm

Diese Verarbeitung findet nur statt, wenn Sie Benachrichtigungen in den Einstellungen der Wallet einschalten. Das geht in der Web-App, in der App „KAI-Pay“ und ab Version 0.4.1 in der App „KAI-Pay Beta“.

Gespeicherte Daten
Auf unserem Server: die Adresse des Push-Abonnements Ihres Browsers (Endpunkt) bzw. in der App „KAI-Pay Beta“ das FCM-Token des Geräts, jeweils mit den zugehörigen öffentlichen Schlüsseln (p256dh, auth), eine Kennung, die Sprache der Mitteilungen und ob Mitteilungen den Betrag zeigen sollen. Die Kennung leitet unser Server aus Endpunkt bzw. Token und Schlüsseln ab, damit eine wiederholte gleiche Anmeldung keinen zweiten Eintrag anlegt. Das Webhook-Geheimnis speichert er nicht, sondern leitet es bei jeder Prüfung aus der Kennung und einem eigenen Serverschlüssel ab. Nur Einträge von Benachrichtigungen, die vor dieser Umstellung im Oktober 2026 eingeschaltet wurden, enthalten noch eine zufällige Kennung und das Webhook-Geheimnis.
Ablauf
Ihr Browser richtet dafür bei seinem Push-Dienst ein Abonnement ein. Die Wallet meldet beim Spark-Dienstleister Lightspark (2.3) eine Webhook-Adresse unseres Servers und das Webhook-Geheimnis an. Bei jeder eingehenden Lightning-Zahlung sendet Lightspark eine mit diesem Geheimnis signierte Meldung dorthin. Die Meldung enthält Zahlungsangaben, darunter den Betrag; unser Server erfährt so den Zeitpunkt eingehender Lightning-Zahlungen. Ist der Sicherheitsalarm eingeschaltet (Voreinstellung; abschaltbar unter „Auch bei gesendeten Zahlungen (Sicherheitsalarm)“), meldet die Wallet bei Lightspark zusätzlich eine zweite Webhook-Adresse unseres Servers für ausgehende Lightning-Zahlungen an. Dorthin schickt Lightspark eine ebenso signierte Meldung zu jeder Lightning-Zahlung, die Ihre Wallet sendet oder zu senden versucht, auch von einem anderen Gerät mit denselben Wiederherstellungswörtern. Diese Meldung enthält unter anderem Betrag, Gebühr und Rechnung; unser Server erfährt so auch den Zeitpunkt ausgehender Lightning-Zahlungen. Ob eine Meldung eine eingehende oder eine gesendete Zahlung betrifft, erkennt er an der Webhook-Adresse, nicht am Inhalt. Er prüft die Signatur und speichert die Meldung nicht. Beim Entsperren prüft die Wallet außerdem, ob bei Lightspark für sie noch Webhook-Adressen unseres Servers angemeldet sind, die zu keinem Push-Eintrag mehr gehören, etwa nach einem Geräteverlust oder einer gescheiterten Abmeldung. Dazu sendet sie nur die Kennungen dieser Adressen an unseren Server; er antwortet, welche er nicht kennt, und speichert nichts. Solche Anmeldungen entfernt die Wallet erst, wenn eine zweite Prüfung zwei Minuten später dasselbe ergibt, damit ein gerade auf einem anderen Gerät eingeschaltetes Abonnement nicht betroffen ist. Gibt es keine solchen Adressen, fragt sie nicht. Die App „KAI-Pay Beta“ fragt unseren Server dafür nicht; sie zeigt solche Anmeldungen unter Einstellungen → Benachrichtigungen an, und Sie können sie dort selbst entfernen. Den Betrag wertet er nur aus, wenn „Betrag in Mitteilungen zeigen“ eingeschaltet ist, bei gesendeten Zahlungen dann auch, ob der Sendeversuch fehlgeschlagen ist. Bei neu eingeschalteten Benachrichtigungen ist diese Option aus; die Mitteilung lautet dann nur „Zahlung eingegangen“ bzw. „Zahlung gesendet“. Bei Benachrichtigungen, die vor Einführung der Option eingeschaltet wurden, ist sie an, bis Sie sie ausschalten. Die Mitteilung füllt unser Server auf eine feste Länge auf, verschlüsselt sie für Ihren Browser (Web Push nach RFC 8291) und stellt sie über den Push-Dienst Ihres Browserherstellers zu. Der Push-Dienst erhält den Endpunkt, den Zeitpunkt und die Nachricht nur verschlüsselt. In der App „KAI-Pay Beta“ (ab Version 0.4.1) tritt an die Stelle des Browser-Abonnements eine Registrierung beim Google-Dienst Firebase Cloud Messaging (FCM): Die App erzeugt ein eigenes Schlüsselpaar, dessen privater Teil das Gerät nicht verlässt (verschlüsselt mit einem Schlüssel im Android-Keystore), und übermittelt unserem Server das FCM-Kennzeichen des Geräts (Token) mit dem öffentlichen Schlüssel. Unser Server verschlüsselt jede Mitteilung für diesen Schlüssel wie im Browser und stellt sie über FCM als Datennachricht zu; Google erhält das Token, den Zeitpunkt und die Nachricht nur verschlüsselt. Die App entschlüsselt sie auf dem Gerät und zeigt sie an.
Kurzlebige Vermerke
Damit eine wiederholt zugestellte Meldung nur eine Mitteilung auslöst, auch wenn sie an verschiedenen Standorten von Cloudflare eingeht, legt unser Server für 24 Stunden einen Vermerk aus der Kennung und einer Prüfsumme (Hash) der Meldung in einem Speicher von Cloudflare ab, der für alle Standorte gilt (Durable Object, eines je Kennung). Damit eine wiederholte gleiche Anmeldung nicht erneut gespeichert wird, legt er für 1 Stunde einen Vermerk aus der Kennung und einer Prüfsumme des Push-Eintrags im Zwischenspeicher (Cache) von Cloudflare an dem Standort ab, der die Anfrage annimmt. Beide Vermerke enthalten keine Inhalte. Um Speicherzugriffe zu begrenzen, hält der Server außerdem den Push-Eintrag einer Kennung nach einem Zahlungsereignis bis zu 60 Sekunden in diesem Zwischenspeicher. Nach einer Abmeldung kann deshalb über einen anderen Standort noch etwa ein bis zwei Minuten lang eine Mitteilung ankommen (Zwischenspeicher plus Verteilung im Speicher von Cloudflare).
Empfangsbestätigung
Nach einer Mitteilung meldet Ihr Browser bzw. die App unserem Server ein zufälliges Kennzeichen der Mitteilung, ob ein Fenster der App geöffnet war und ob die Mitteilung angezeigt werden konnte. Diese Angaben werden nicht gespeichert.
Diagnose
Unser Server schreibt zu Anmeldung, Test, Zustellung und zur Prüfung verbliebener Anmeldungen (dort nur die Zahl der geprüften und der unbekannten Kennungen) kurze Ereigniszeilen: Art des Ereignisses, Zeitpunkt, die ersten vier Zeichen der Kennung, den Servernamen des Push-Dienstes, Ergebnis, Statuscode und Zahl der Zustellversuche, das zufällige Kennzeichen der Mitteilung, ob sie eine eingehende oder gesendete Zahlung betrifft, und ob ein Betrag erkannt wurde (nicht den Betrag). IP-Adressen, Beträge und Schlüssel sind darin nicht enthalten. Die Zeilen sind nur sichtbar, solange jemand die Serverausgabe live mitliest, und werden nicht gespeichert; Protokolle unserer Server sind ausgeschaltet. Nur wenn wir zur Fehlersuche die Diagnosespeicherung vorübergehend einschalten, werden die Ereignisse gespeichert, höchstens 3 Tage. Eine automatische Funktionsprüfung unseres Servers (alle 30 Minuten, mit eigenem Zugangsschlüssel) liest nur einen festen Prüfeintrag und keine Daten von Nutzern.
Anfragebegrenzung
Anfragen der Wallet zum An- und Abmelden, zum Testen, zur Zustandsabfrage (beim Entsperren höchstens einmal je Stunde mit Kennung und Webhook-Geheimnis, damit sich die Wallet nach einem Schlüsselwechsel unseres Servers automatisch neu anmelden kann; es wird nichts gespeichert) und zur Empfangsbestätigung sind je IP-Adresse begrenzt, auf 20 je Minute, Anmeldungen auf 3 je Minute; bei IPv6 zählt der /64-Bereich. Die IP-Adresse dient dabei nur flüchtig als Zählschlüssel für die Begrenzung, die Cloudflare für uns ausführt; unser Server speichert sie nicht. Zusätzlich lässt unser Server je Anschluss höchstens 20 neue Anmeldungen am Tag zu. Gezählt wird unter einem Schlüssel, den er aus Ihrer IPv4-Adresse bzw. Ihrem IPv6-Präfix (/56, zusätzlich /48) und dem Datum mit einem eigenen Serverschlüssel berechnet (pseudonymisiert: einer IP-Adresse zuordnen lässt er sich nur mit diesem Serverschlüssel); der Zähler liegt bis Tagesende (UTC), höchstens 24 Stunden, im Zwischenspeicher (Cache) von Cloudflare. Nach demselben Verfahren begrenzt er auch Speicherabfragen je Anschluss und Tag. Die IP-Adresse selbst wird dabei nicht gespeichert.
Rechtsgrundlage
Für die Benachrichtigungen und den Sicherheitsalarm Art. 6 Abs. 1 Buchst. b DSGVO. Für kurzlebige Vermerke, Empfangsbestätigung, Diagnose, Anfragebegrenzung und Tageszähler Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse: die Zustellung zu prüfen, doppelte Mitteilungen und Einträge zu vermeiden, Fehler zu beheben und Missbrauch sowie Überlastung abzuwehren.
Empfänger
Cloudflare als Auftragsverarbeiter; Lightspark; der Push-Dienst Ihres Browserherstellers bzw. in der App „KAI-Pay Beta“ Google Firebase Cloud Messaging (Abschnitt 6).
Speicherdauer
Der Push-Eintrag wird nach 400 Tagen ab dem Einschalten gelöscht, früher, wenn Sie Benachrichtigungen ausschalten, die Wallet von diesem Gerät entfernen oder der Push-Dienst das Abonnement als ungültig meldet. Beim Ausschalten entfernt die Wallet auch ihre Webhook-Anmeldungen bei Lightspark, beim Ausschalten nur des Sicherheitsalarms die Anmeldung für gesendete Zahlungen; was gilt, wenn das nicht gelingt, steht in Abschnitt 4. Duplikatvermerke verfallen nach 24 Stunden, Vermerke zu Anmeldungen nach 1 Stunde, Tageszähler zum Tagesende (UTC), gespeicherte Diagnoseereignisse nach 3 Tagen.

2.10 Kasse

Die Kasse unter kasse.kai-pay.net hält keine Schlüssel und kann kein Geld senden. Sie wird mit einem Link aus der Wallet eingerichtet. Lightning-Adresse, Name der Kasse und Belegschlüssel stehen darin hinter dem #-Zeichen und erreichen deshalb keinen Server; die Kasse speichert sie im Browser des Kassengeräts. Für jede Zahlung fordert sie direkt aus dem Browser beim LNURL-Server breez.tips eine Rechnung über den Betrag an und fragt deren Zahlungsstatus ab: die angezeigte Rechnung bis zur Zahlung alle 2 Sekunden, abgebrochene, noch nicht abgelaufene Rechnungen alle 10 Sekunden. Für die Eingabe in einer Landeswährung (EUR, USD, GBP, CHF, CAD, AUD oder JPY) ruft sie die aktuellen Kurse direkt bei mempool.space ab. Diese Anbieter erhalten dabei die IP-Adresse des Kassengeräts.

Kassennotiz. An jede Rechnung hängt die Kasse eine Notiz mit Gerätekennung, Kassenname, Belegnummer, Betrag in Landeswährung und Kurs – bei Kassen, die über den aktuellen Kassenlink der Wallet eingerichtet sind, auch mit dem Zeitpunkt des Kurses und, wenn mit Artikeln kassiert wird, den Positionen (Artikelkennung, Menge, Einzelpreis) –, damit die Wallet des Inhabers die Zahlung zuordnen kann. Enthält der Kassenlink den Belegschlüssel der Wallet, verschlüsselt die Kasse diese Notiz so, dass nur diese Wallet sie lesen kann. breez.tips sieht vom Inhalt dann nur, wie lang die Notiz ungefähr ist (in Stufen von 64 Byte; Notizen mit Positionen sind meist eine Stufe länger, breez.tips kann daran also erkennen, dass mit Artikeln kassiert wurde, nicht welche), und eine gleichbleibende Kurzkennung der Wallet (4 Byte), die alle Notizen an dieselbe Wallet miteinander verbindet. Kassenlinks ohne Belegschlüssel, etwa ältere Links oder Links aus einer App-Version ohne diese Funktion, senden die Notiz unverschlüsselt; die Kasse zeigt dann einen Hinweis. Beträge in anderen Währungen als Euro und Positionen sendet die Kasse nie unverschlüsselt; ohne Belegschlüssel entfallen sie in der Notiz.

Auch mit verschlüsselter Notiz sieht breez.tips die Lightning-Adresse des Händlers, den Betrag der Rechnung in sat, die Zeitpunkte von Rechnung, Statusabfragen und Zahlung sowie die IP-Adresse des Kassengeräts. Die Verschlüsselung verbirgt den Inhalt der Notiz, nicht den Zahlungsvorgang (Abschnitt 5).

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.
Empfänger
Breez (breez.tips); mempool.space; Cloudflare als Auftragsverarbeiter für die Auslieferung.
Speicherdauer
Die Kasse legt auf unserem Server keine Aufzeichnungen an. Händleradresse, Belegschlüssel, Terminal, Belegzähler, Artikelkatalog und gewählte Währung bleiben im Browser, bis Sie „Andere Adresse“ wählen oder die Websitedaten löschen. Von den letzten Rechnungen verwendet die Kasse höchstens 20 aus den vergangenen 7 Tagen; ältere löscht sie, sobald sie wieder etwas speichert, etwa beim nächsten Kassieren.

2.11 Android-Apps

Bezug. Die Apps werden derzeit nur als Testversion (Vorabversion) über GitHub bereitgestellt, nicht über Google Play. Beim Herunterladen verarbeitet der jeweilige Anbieter Ihre Verbindungsdaten und gegebenenfalls Ihre Kontodaten in eigener Verantwortung (Abschnitt 6). Wir erhalten davon keine Angaben über Sie.

KAI-Pay (Trusted Web Activity). Die App öffnet die Wallet unter app.kai-pay.net in Google Chrome ohne Adressleiste. Es gelten die Abschnitte 2.2 bis 2.9, 2.12, 2.13 und 3 unverändert. Die Daten der Wallet liegen in den Websitedaten von Chrome und teilen sich den Speicher mit der Wallet, wenn Sie app.kai-pay.net in Chrome öffnen. Chrome verarbeitet Daten nach den Bedingungen von Google. Unter Android 13 und neuer fragt die App beim ersten Start, ob sie Mitteilungen anzeigen darf; das ist nur für Benachrichtigungen bei Zahlungseingang (2.9) nötig und kann abgelehnt werden.

KAI-Pay Beta (Capacitor). Die Programmdateien der Wallet sind im App-Paket enthalten und werden nicht von unserem Server geladen. Die App verbindet sich wie in 2.3 bis 2.8 beschrieben direkt mit den dort genannten Diensten. Mit unseren eigenen Servern verbindet sie sich nur, wenn Sie ab Version 0.4.1 Benachrichtigungen einschalten (2.9): zum An- und Abmelden, für Test-Mitteilungen und Empfangsbestätigungen. Links auf kai-pay.net und die Kasse öffnen Ihren Browser (2.1, 2.2). Das Anlegen von Passkey-Wallets (2.8) bietet diese App nicht an. Mitteilungs-Anmeldungen, die für Ihre Wallet aus einem Browser bei Lightspark bestehen, zeigt sie unter „Einstellungen“ → „Benachrichtigungen“ an und entfernt sie auf Ihren Wunsch; dabei spricht sie nur mit Lightspark (2.3). Die Nutzungs- und Diagnosestatistik der Android-System-WebView an Google ist in der App abgeschaltet. Neue Funktionen der Web-Wallet erhält die App jeweils mit einer neuen App-Version; welche Version Sie nutzen, steht unter „Einstellungen“ → „Über“. Was Ihre App-Version noch nicht enthält, findet in ihr nicht statt.

Entsperren per Fingerabdruck. Anstelle eines Passkeys (2.8) verschlüsselt die App Ihre Wiederherstellungswörter zusätzlich mit einem Schlüssel, den das Android-Schlüsselsystem (Android Keystore) erzeugt und in der Sicherheitshardware des Geräts aufbewahrt (StrongBox oder Trusted Execution Environment). Dieser Schlüssel kann das Gerät nicht verlassen. Er wird erst freigegeben, nachdem Android Ihren Fingerabdruck oder eine andere starke biometrische Methode geprüft hat. Die Prüfung findet allein im Betriebssystem statt; weder die App noch wir erhalten biometrische Daten. Richten Sie auf dem Gerät einen neuen Fingerabdruck ein oder entfernen Sie die Displaysperre, macht Android den Schlüssel unbrauchbar; die App entsperrt dann nur noch per PIN. Die PIN bleibt in dieser App deshalb immer als Entsperrweg bestehen.

Kamera. Zum Scannen von QR-Codes fragt Android einmalig nach der Kameraberechtigung. Das Bild wird in der App ausgewertet und nicht übertragen. Die Berechtigung können Sie in den Android-Einstellungen jederzeit entziehen.

Dateien. Exporte, das Notfallpaket und den Wächterauszug (2.13) und Kalenderdateien der Daueraufträge (2.17) speichert die App ab Android 10 direkt im Ordner „Download/KAI-Pay“ Ihres Geräts und nennt Ihnen danach Ordner und Dateinamen; unter Android 7 bis 9 über den Dialog „Speichern unter“ an dem Ort, den Sie wählen. Im Download-Ordner können auch andere Apps mit Dateizugriff die Dateien lesen. Eine allgemeine Speicherberechtigung fragt die App nicht ab.

Zahlungslinks. Die App ist für Links der Form lightning: und bitcoin: angemeldet. Öffnen Sie einen solchen Link, übergibt Android seinen Inhalt an die App; er landet in „Senden“ und wird erst nach Ihrer Bestätigung bezahlt.

NFC. Ab Version 0.5.0 nimmt die App NFC-Tags mit einem Zahlungslink (lightning:, bitcoin:) an: Hält man das entsperrte Telefon an einen solchen Tag, liest Android ihn und übergibt ihn der App – auch wenn sie geschlossen war. Er wird wie ein Zahlungslink behandelt und erst nach Ihrer Bestätigung bezahlt; ist gerade ein Vorgang offen, bleibt er unverändert, und die App bietet den neuen Link nur zum Öffnen an. Beim Lesen sendet die App nichts; andere Inhalte ignoriert sie. Die Berechtigung „NFC“ fragt Android nicht ab; NFC lässt sich in den Android-Einstellungen abschalten.

NFC-Bereitstellung (Handy zu Handy). Tippen Sie unter „Empfangen“ auf „Per NFC bereitstellen“, gibt die App für höchstens zwei Minuten genau den angezeigten Zahlungslink (Rechnung oder Lightning-Adresse) per NFC heraus (Host Card Emulation, nur bei entsperrtem Gerät). In dieser Zeit kann jedes Gerät in NFC-Reichweite ihn lesen, auch mehrfach. Übertragen wird nur dieser Link – bei einer Rechnung mit den darin enthaltenen Angaben (Betrag, Notiz, Empfängerknoten, Zahlungsreferenz, Gültigkeit); ein Server ist nicht beteiligt. Die Bereitstellung endet beim Verlassen der App, mit „NFC beenden“ und bei einer Rechnung, sobald die Zahlung eingeht. Während der Bereitstellung liest die App selbst keine NFC-Links.

Standort. Ab Version 0.5.0 fragt Android nur für „In meiner Nähe“ unter „Händler finden“ (2.14) nach dem ungefähren Standort (ab Android 12; auf älteren Geräten bleibt die Ortssuche). Einen genauen Standort fordert die App nicht an.

Bildschirmschutz. Die App verhindert Screenshots, Bildschirmaufnahmen und Vorschaubilder in der Übersicht der zuletzt verwendeten Apps.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

2.12 KI-Zahlungsvorschläge

Sie können in der Wallet Quellen einrichten, die Ihnen Zahlungen vorschlagen dürfen, etwa den Telegram-Bot KAI (Menü → „KI-Budget“; in der Wallet heißen Quellen „Assistenten“). Eine Quelle richten Sie ein, indem Sie ihren QR-Code scannen oder ihren Code bzw. Einrichtungslink einfügen oder öffnen und den angezeigten Fingerabdruck vergleichen. Dabei legen Sie fest, an welche Empfänger Vorschläge gehen dürfen und welches Tages- und Monatsbudget gilt; Rechnungen nimmt die Wallet für Vorschläge nicht an.

Vorschläge erhalten Sie von der Quelle als signierten Link oder QR-Code. Der Inhalt eines Links steht hinter dem #-Zeichen; die Wallet schickt ihn an keinen Server, auch nicht an unseren. Die Wallet prüft Signatur, Gültigkeit, erlaubte Empfänger und Budget auf Ihrem Gerät. Ein Vorschlag füllt nur den Sendeweg vor; er ersetzt keine Zahlungsfreigabe. Empfänger, Betrag, Einheit und Gebühren werden vor jeder Zahlung angezeigt und geprüft, und bezahlt wird erst, wenn Sie bestätigen. Ob Sie einen Vorschlag bezahlen, meldet die Wallet der Quelle nicht; gehört der Empfänger der Quelle selbst, erfährt sie es als Empfänger der Zahlung.

Wir verarbeiten Vorschläge auf keinem Server. Auf Ihrem Gerät speichert die Wallet die eingerichteten Quellen und ein Budget-Buch (Abschnitt 3). Wer eine Quelle betreibt, kennt Ziel, Betrag und Zweck der Vorschläge, die sie erstellt; für diese Verarbeitung ist der Betreiber der Quelle verantwortlich. Bei KAI liegen diese Angaben im Telegram-Verlauf, Telegram erhält sie damit ebenfalls, und im Prüfprotokoll des Bots.

Unter „KI-Budget“ können Sie auch selbst einen Assistenten anlegen. Die Wallet erzeugt dafür ein Schlüsselpaar und speichert den privaten Schlüssel erst, wenn Sie die Regeln speichern, und nur auf Ihrem Gerät (Abschnitt 3). Damit können Sie Vorschläge selbst erstellen oder ihn als „Zugangsdatei für Agenten“ an einen eigenen Agenten weitergeben. Mit der Datei lassen sich Vorschläge erstellen, aber keine Zahlungen auslösen; jeder Vorschlag durchläuft dieselben Prüfungen und Ihre Bestätigung. Wem Sie die Datei geben, entscheiden Sie; für die Verarbeitung durch diesen Empfänger sind wir nicht verantwortlich.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

2.13 Notfallpaket und Exporte

Unter „Einstellungen“ → „Notausstieg“ können Sie die Exit-Daten Ihrer Wallet als Notfallpaket sichern. Exit-Daten sind vorbereitete Bitcoin-Transaktionen zu Ihrem Guthaben, die für einen einseitigen Ausstieg ohne die Spark-Betreiber nötig sind. Die Datei enthält außerdem den öffentlichen Identitätsschlüssel der Wallet, Ihre Lightning-Adresse (falls vorhanden), die Version des SDK und den Zeitpunkt. Die Wallet verschlüsselt sie auf Ihrem Gerät mit einem Schlüssel, der aus Ihren 12 Wörtern abgeleitet ist (AES-256-GCM); Wörter und private Schlüssel enthält sie nicht. Den Speicherort bestimmen Sie: Im Browser lädt Ihr Browser die Datei herunter; die App „KAI-Pay Beta“ legt sie ab Android 10 im Ordner „Download/KAI-Pay“ ab, unter Android 7 bis 9 wählen Sie den Ort im Dialog „Speichern unter“ (2.11). Uns erreicht die Datei nicht.

Ebenfalls unter „Notausstieg“ können Sie einen Wächterauszug speichern. Er ist für einen Prüfer oder Wächter an Ihrem eigenen Bitcoin-Node gedacht, der Ihre 12 Wörter nie sehen soll. Er enthält dieselben Exit-Daten wie das Notfallpaket, dazu das Bitcoin-Netz, die Version des SDK, den Zeitpunkt, ob die Daten beim Speichern abgeglichen waren, und Ihr Guthaben laut Wallet. Er ist bewusst nicht verschlüsselt, damit der Prüfer ihn ohne Ihre Wörter lesen kann. Wörter und private Schlüssel enthält er nicht; Geld an andere senden kann damit niemand. Wer die Datei hat, kann aber auf eigene Kosten den einseitigen Ausstieg Ihres Guthabens auf die Bitcoin-Blockchain erzwingen (für Sie Wartezeit und Gebühren, kleine Beträge können aufgezehrt werden), und er erfährt Höhe und Aufbau Ihres Guthabens, den öffentlichen Identitätsschlüssel Ihrer Wallet und die zugehörigen Bitcoin-Transaktionen. Geben Sie den Wächterauszug nicht weiter, übertragen Sie ihn nur auf eigene Geräte und löschen Sie ihn danach vom Telefon. Kein Support und kein Prüfwerkzeug von KAI-Pay fragt nach dieser Datei. Uns erreicht sie nicht.

Ebenso entstehen CSV-Exporte des Verlaufs und von „Kasse & Abschluss“, PDF-Belege, Katalogdateien der Artikel und Kalenderdateien der Daueraufträge nur auf Ihrem Gerät; sie sind nicht verschlüsselt. Für gespeicherte Dateien sind Sie selbst verantwortlich (Abschnitt 4).

2.14 Händler finden (BTC Map)

Unter „Händler finden“ zeigt die Wallet Orte, die laut BTC Map (btcmap.org, Daten aus OpenStreetMap) Bitcoin per Lightning annehmen. Ein Eintrag ist keine Vertragspartnerschaft mit KAI-Pay. Abgerufen wird nur, wenn Sie suchen, direkt aus Wallet oder App bei api.btcmap.org. BTC Map erhält dabei Ihre IP-Adresse, den Zeitpunkt, die Kennung Ihres Browsers bzw. der App (User-Agent, in der Android-App mit Gerätemodell) und über die Herkunftsangabe die Information, dass die Anfrage aus der KAI-Pay-Wallet kommt.

Was dabei an BTC Map übertragen wird, zeigt die Wallet vor der Nutzung als Hinweis unter der Schaltfläche „In meiner Nähe“, mit einem Link auf diesen Abschnitt. Bei „In meiner Nähe“ fragt die Wallet nach Ihrem Standort, in der App „KAI-Pay Beta“ nur nach dem ungefähren Standort. An BTC Map geht nur eine auf ein Raster von 0,1 Grad gerundete Gegend (in Deutschland etwa 11 × 7 km), während einer Sitzung dieselbe, solange Sie in der Nähe bleiben; die genaue Entfernung berechnet die Wallet auf Ihrem Gerät. Der genaue Standort wird weder übertragen noch gespeichert. Bei der Ortssuche erhält BTC Map den Suchbegriff und das gewählte Gebiet. Die Ergebnisse speichert die Wallet nicht über die Sitzung hinaus, auch nicht im Browser-Cache. „Veraltet melden“, „Eigenes Geschäft eintragen“, „In OpenStreetMap ansehen“ und die Website eines Ortes öffnen sich nur auf Ihren Klick in Ihrem Browser.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO (von Ihnen angefragte Funktion); Zugriff auf den Standort im Endgerät nach § 25 Abs. 2 Nr. 2 TDDDG, weil er für die von Ihnen ausdrücklich gewünschte Suche „In meiner Nähe“ unbedingt erforderlich ist.

2.15 Spenden

Unter „Spenden“ zeigt die Wallet in ihrem Sitzland als gemeinnützig anerkannte Organisationen; die Liste stellt KAI-Pay selbst zusammen, ohne Partnerschaft mit den Organisationen. Eine Spende ist eine Zahlung direkt von Ihrer Wallet an die Organisation über den normalen Sendeweg (2.3, 2.4). KAI-Pay verwahrt nichts und erhält nichts davon; ist der Sicherheitsalarm eingeschaltet, erreicht die Meldung zur Zahlung (Betrag, Rechnung) wie bei jeder gesendeten Zahlung unseren Push-Server (2.9).

Vor einer Spende per Lightning fragt die Wallet die Lightning-Adresse der Organisation bei deren Server ab und prüft – auch im Sendeweg selbst –, dass sie zum geprüften Eintrag passt. Dieser Server erhält dabei Ihre IP-Adresse, den Zeitpunkt und die Kennung Ihres Browsers bzw. der App, ab der Vorschau im Sendeweg auch den Betrag. Links zur Spendenseite oder zum Register (IRS, Zuwendungsempfängerregister) öffnen sich in Ihrem Browser. Auf Ihrem Gerät speichert die Wallet je Organisation die zuletzt gesehene Empfangsangabe und nach einer Spende den Empfängerknoten, um Sie auf Änderungen hinzuweisen (Abschnitt 3). Eine Spendenbestätigung kann nur die Organisation ausstellen; dafür nötige Angaben geben Sie ihr selbst. Aus einer Spende kann sich eine politische oder weltanschauliche Haltung ergeben; davon erfahren die Organisation bzw. ihr Zahlungsdienst und – wie bei jeder Zahlung – die in Abschnitt 6 genannten Zahlungsdienstleister.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO (von Ihnen ausgelöste Zahlung).

2.16 L402-Dienste bezahlen

Fügen Sie unter „Senden“ eine L402-Aufforderung ein (Inhalt des Headers „WWW-Authenticate: L402 macaroon=…, invoice=…“), bezahlt die Wallet nur deren Rechnung wie jede Lightning-Zahlung (2.3) und nur, wenn die Rechnung zum Zugang (Macaroon) passt. Den Dienst selbst ruft die Wallet nicht auf und meldet ihm nichts zurück; Ausnahme ist der Zeitstempel bei KAI Oracle (2.21). Um den Zugangsnachweis später erneut anzeigen zu können, speichert sie das Macaroon zur Zahlungsreferenz auf diesem Gerät (Abschnitt 3); es verlässt das Gerät nicht.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

2.17 Daueraufträge

Unter „Daueraufträge“ können Sie wiederkehrende Zahlungen planen: Empfänger (Lightning-Adresse oder LNURL), Betrag in sat oder in Landeswährung und Rhythmus. Die Pläne und die Liste der ausgeführten, ausstehenden oder übersprungenen Fälligkeiten speichert die Wallet nur auf Ihrem Gerät (Abschnitt 3); kein Server von uns kennt Ihre Pläne oder zahlt für Sie.

Schon beim Anlegen prüft die Wallet den Empfänger („Prüfen und speichern“): Dabei erhält der Server des Empfängers Ihre IP-Adresse und den Zeitpunkt, noch keinen Betrag. Ist eine Zahlung fällig, zeigt die Wallet sie beim Öffnen an; bezahlt wird erst nach Ihrer Bestätigung über den normalen Sendeweg (2.3, 2.4) – dabei erhält der Server des Empfängers wie bei jeder Zahlung an eine Lightning-Adresse Ihre IP-Adresse, den Zeitpunkt und den Betrag. Bei Beträgen in Landeswährung nutzt die Wallet den Kurs, den sie ohnehin abruft (2.7). Je Ausführung merkt sie sich Betrag, gegebenenfalls den Kurs und den Server des Empfängers, um Sie auf einen Kurssprung oder einen Wechsel des Servers hinzuweisen.

„In den Kalender“ erzeugt eine Kalenderdatei (.ics) mit Name und Betrag, ohne Empfänger, nur auf Ihrem Gerät. Der Name kann den Empfänger erkennen lassen, wenn Sie ihn so wählen. Was Ihr Kalender mit der Datei macht, etwa eine Synchronisierung über einen Cloud-Dienst, bestimmen Sie; die Datei ist eine Kopie – Pausieren oder Löschen in der Wallet ändert Ihren Kalender nicht.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO (von Ihnen eingerichtete und bestätigte Zahlungen); Speichern auf dem Gerät nach § 25 Abs. 2 Nr. 2 TDDDG.

2.18 Bitcoin kaufen: externer Link zu Strike

Unter „Bitcoin kaufen“ ermöglicht KAI-Pay den Aufruf des externen Bitcoin-Kaufanbieters Strike. Die Kauf-Linkfunktion übermittelt keine Wallet-Adresse, Lightning-Rechnung, Wallet-Schlüssel oder Kaufaufträge automatisch an Strike. Der Link enthält keine Kennung von KAI-Pay und öffnet sich ohne Referrer in Ihrem Browser; in der Android-App gegebenenfalls in der App von Strike, die dann erkennen kann, dass KAI-Pay sie gestartet hat. Links zum ESMA-Register sowie zu den Kosten-, Bedingungs- und Datenschutzseiten von Strike öffnen sich ebenfalls in Ihrem Browser.

Beim Öffnen der externen Website stellt Ihr Browser eine Verbindung zu Strike her. Dabei können insbesondere Ihre IP-Adresse und technische Browserinformationen verarbeitet werden. Für die dortige Kontoeröffnung, Identitätsprüfung und Kaufabwicklung ist Strike datenschutzrechtlich eigenständig verantwortlich; laut Datenschutzerklärung von Strike sind das für Nutzer in der EU Zap (Strike) Europe Limited (Malta) und Zap Solutions Holdings, Inc. (USA) als gemeinsam Verantwortliche; bei zusätzlichen Diensten kann eine weitere Gesellschaft der Strike-Gruppe (Zap Solutions Cayman Ltd.) hinzukommen. Einzelheiten, auch zu Übermittlungen in Drittländer, finden Sie dort.

Wenn Sie selbst eine Empfangsadresse oder Lightning-Rechnung bei Strike eingeben, kann Strike diese Angaben mit Ihrem Kundenkonto und Ihrer Transaktion verknüpfen. Der Kauf über Strike ist daher nicht anonym. Geben Sie niemals Ihre Wiederherstellungswörter (die 12 Wörter) oder privaten Schlüssel beim Kaufanbieter ein; sie sind für den Bitcoin-Kauf und die Auszahlung nicht erforderlich. Der Eingang des gekauften Bitcoin in Ihrer Wallet ist eine gewöhnliche Zahlung (2.3).

Not-Aus: Beim Öffnen von „Bitcoin kaufen“ und bei jeder Rückkehr in die App fragt die Wallet bei app.kai-pay.net ab, ob der Link gerade freigeschaltet ist; ohne Antwort zeigt sie keinen Link. So können wir den Link bei einer Störung des Anbieters, einem geänderten Linkziel oder aus Sicherheitsgründen für alle Versionen abschalten. Die Abfrage enthält keine Wallet-Daten, keine Cookies und keinen Referrer. Wie jeder Aufruf unserer Server verarbeitet sie Cloudflare mit IP-Adresse, Zeitpunkt, Browser- bzw. App-Kennung und Sprache (Abschnitt 6) – und damit auch die Information, dass „Bitcoin kaufen“ geöffnet wurde. Wir speichern dazu keine Protokolle.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO (von Ihnen aufgerufene Funktion); für den Not-Aus Art. 6 Abs. 1 Buchst. f DSGVO (berechtigtes Interesse, keinen gestörten oder veränderten Kauflink anzuzeigen). Für die Verarbeitung bei Strike gelten deren Rechtsgrundlagen.

2.19 Meldung an Ihren Shop (Dienst anbinden)

Unter „Dienst anbinden“ können Sie eine Internetadresse Ihres Shops oder Systems (nur https) eintragen. Die Wallet meldet dazu beim Spark-Dienstleister Lightspark (2.3) einen Webhook an. Lightspark schickt danach bei jedem Lightning-Eingang dieser Wallet eine Meldung an diese Adresse – unter anderem Betrag, Zeitpunkt, Status, den Zahlungsnachweis (Preimage) und den öffentlichen Identitätsschlüssel der Wallet bei Spark, auch zu Eingängen, die nichts mit dem Shop zu tun haben. Jede Meldung ist mit einem Geheimnis signiert, das die Wallet beim Einrichten einmal anzeigt und nicht speichert; Lightspark kennt es, weil Lightspark die Meldungen signiert, und erhält dazu die Adresse Ihres Shops.

Unser Server ist daran nicht beteiligt und erhält die Meldungen nicht. Für die Verarbeitung durch den Server unter der eingetragenen Adresse ist dessen Betreiber verantwortlich. Die Anmeldung gilt für die Wallet (alle Geräte mit denselben Wiederherstellungswörtern) und bleibt bestehen, bis Sie sie unter „Dienst anbinden“ entfernen; „Wallet von diesem Gerät entfernen“ meldet sie nicht ab (Abschnitt 4). Zahlungslink und Schaltfläche unter „Dienst anbinden“ führen auf die Zahlungsseite (2.5).

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

2.20 Rücklage auf BitBox

Unter „Rücklage (BitBox)“ können Sie den öffentlichen Kontoschlüssel eines Bitcoin-Kontos Ihrer BitBox eintragen (zpub bzw. Descriptor aus der BitBoxApp, mit Wurzel-Fingerabdruck und Pfad). Die Wallet berechnet daraus auf Ihrem Gerät die Adressen dieses Kontos, um zu prüfen, dass Zieladressen zu Ihrer BitBox gehören. Der Schlüssel, die Prüfung und Ihre Umbuchungen in die Rücklage bleiben verschlüsselt auf Ihrem Gerät (Abschnitt 3); die Wallet sendet sie an niemanden, auch nicht an uns. KAI-Pay verbindet sich dabei nicht mit der BitBox.

Eine Umbuchung in die Rücklage ist eine Auszahlung über die Bitcoin-Blockchain: Wie bei jeder Auszahlung erhalten die Spark-Betreiber und Lightspark Zieladresse, Betrag und Gebühr (2.3), und die Transaktion ist auf der Bitcoin-Blockchain öffentlich sichtbar (Abschnitt 4). Gebührensätze ruft das SDK bei mempool.space ab. Der öffentliche Kontoschlüssel kann kein Geld bewegen, macht aber alle Adressen und Bewegungen des Kontos erkennbar – geben Sie ihn nicht weiter.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

2.21 Zeitstempel bei KAI Oracle

Mit der Schaltfläche „Zeitstempel“ kauft eine bei KAI Oracle registrierte Firma in der Wallet einen Zeitstempel für eine Datei. Die Datei bleibt auf Ihrem Gerät; die Wallet berechnet nur ihren Fingerabdruck (SHA-256). Für diese Funktion spricht die Wallet – anders als beim Bezahlen einer eingefügten L402-Aufforderung (2.16) – direkt mit KAI Oracle (kai-oracle.com, Formsys GmbH): Beim Holen des Angebots sendet sie den Fingerabdruck und Ihren Zugangscode (als Kopfzeile, nie in der Adresse), nach der Zahlung den Fingerabdruck mit dem Zugangsnachweis der Zahlung (Macaroon und Preimage), beim Abruf von Stand, Nachweis und Beleg nur den Zugangsnachweis. KAI Oracle sieht dabei außerdem Ihre IP-Adresse. Die Rechnung bezahlt die Wallet wie jede Lightning-Zahlung (2.3) und nur an den bestätigten Knoten von KAI Oracle. Was KAI Oracle mit diesen Angaben tut (Bestellung, Beleg, Kursbeleg, Aufbewahrung), regeln Rahmenvertrag und Datenschutzhinweise von KAI Oracle auf kai-oracle.com.

Den Zugangscode speichert die Wallet verschlüsselt mit einem aus Ihren Wörtern abgeleiteten Schlüssel auf diesem Gerät und zeigt ihn nie wieder an. Den Auftrag mit Dateiname, Fingerabdruck, Stand, Nachweis (.ots) und Beleg legt sie ebenfalls nur auf diesem Gerät ab (Abschnitt 3); den Dateinamen erfährt KAI Oracle nicht.

Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

3. Endgeräte, Berechtigungen und Verbindungen

WLAN und Mobilfunk transportieren Daten; hierbei können Netzbetreiber unabhängig von uns Verbindungsdaten verarbeiten. KAI-Pay nutzt Standortdaten nur, wenn Sie unter „Händler finden“ auf „In meiner Nähe“ tippen (2.14).

Berechtigungen Ihres Browsers fragt die Wallet erst ab, wenn Sie die jeweilige Funktion auslösen. Zweck, Umfang und Alternative:

In der App „KAI-Pay Beta“ fragt Android nach der Kameraberechtigung, ab Version 0.5.0 bei „In meiner Nähe“ nach dem ungefähren Standort und, wenn Sie Benachrichtigungen einschalten, ab Android 13 nach der Mitteilungs-Berechtigung. In der App „KAI-Pay“ fragt Chrome wie bei der Web-App; unter Android 13 und neuer fragt die App außerdem nach Mitteilungen (2.11).

Eine Freigabe im Betriebssystem oder Browser ersetzt nicht automatisch eine datenschutzrechtlich erforderliche Einwilligung.

Speicher auf Ihrem Gerät

Wir setzen keine Cookies. Die Webseite kai-pay.net legt keine Angaben über Sie auf Ihrem Gerät ab; Ihr Browser kann ihre Dateien lediglich zwischenspeichern. Wallet und Kasse speichern folgende Angaben im Speicher Ihres Browsers (localStorage, IndexedDB und Cache-Speicher):

Tresor (Wallet)
Ihre Wiederherstellungswörter, verschlüsselt (AES-GCM, 256 Bit) mit einem Schlüssel aus Ihrer PIN (PBKDF2 mit 600.000 Runden) und/oder aus Ihrem Passkey für das Entsperren per Fingerabdruck. Bei Passkey-Wallets nur ein Merker mit der Kennung des Passkeys, keine Wörter. Schutzwirkung: Die 6-stellige PIN schützt nur gegen Raten in der App, die nach fünf Fehlversuchen wachsende Wartezeiten erzwingt. Wer eine Kopie der Websitedaten bzw. des Gerätespeichers hat, kann eine PIN-Sicherung außerhalb der App in kurzer Zeit durchprobieren. Ausgeschlossen ist dieses Durchprobieren nur beim Entsperren per Fingerabdruck ohne PIN-Rückfall („PIN-Rückfall entfernen“ in der Web-App). In der App „KAI-Pay Beta“ bleibt die PIN Pflicht; ihre App-Daten sind von Cloud- und adb-Sicherungen ausgenommen (unten).
Prüfwert der Wörter (Wallet)
Ein Zufallswert und ein daraus mit PBKDF2 (SHA-256) abgeleiteter Prüfwert Ihrer Wiederherstellungswörter, damit die Wallet beim Festlegen einer neuen PIN („PIN vergessen?“) prüfen kann, dass die eingegebenen Wörter zu dieser Wallet gehören. Aus dem Prüfwert lassen sich zufällig erzeugte Wörter nicht berechnen.
Vorheriger Tresor (Wallet)
Nur wenn Sie eine neue PIN mit Wörtern festlegen, deren Zugehörigkeit das Gerät nicht prüfen konnte: der bisherige verschlüsselte Tresor, damit Sie die vorherige Wallet mit ihrer alten PIN zurückholen können.
PIN-Fehlversuche (Wallet)
Zahl der Fehlversuche und Wartezeit bis zum nächsten Versuch.
Einstellungen (Wallet)
Sprache, Einheit, Währung, Darstellung, ob Sie die Sicherung Ihrer Wörter bestätigt haben und ob Sie den Privatmodus ausgeschaltet haben.
Kontaktänderungen (Wallet)
Die zuletzt gesehene Lightning-Adresse je Kontakt und der Zeitpunkt einer Änderung, damit die Wallet 24 Stunden lang vor geänderten Adressen warnt.
Ungeklärte Sendeversuche (Wallet)
Empfänger, Betrag, Gebühr, Zeitpunkt, Idempotenz-Schlüssel und gegebenenfalls Zahlungskennung einer Zahlung, deren Ausgang noch nicht feststeht, damit die Wallet vor einer versehentlichen zweiten Zahlung warnt. Der Eintrag verschwindet, sobald der Verlauf den Endstand zeigt oder Sie ihn nach Prüfung entfernen, spätestens nach 7 Tagen.
Erstattungsvermerke (Wallet)
Zu einer erstatteten Kassenzahlung: deren Zahlungs-ID, die Belegnummer, der Betrag, der Zeitpunkt, der Idempotenz-Schlüssel des Erstattungsversuchs und – sobald bekannt – die Zahlungs-ID der Erstattung, damit nicht doppelt erstattet wird. Schlägt der Erstattungsversuch fehl, entfernt die Wallet den Vermerk automatisch – sofort oder, sobald der Zahlungsverlauf eine bereits zugeordnete Erstattung als fehlgeschlagen zeigt. Sonst bleibt er, bis Sie die Wallet von diesem Gerät entfernen. Einen offenen Vermerk – der Ausgang der Erstattung ist unbekannt, eine Zahlungs-ID der Erstattung liegt nicht vor – können Sie außerdem nach Prüfung des Zahlungsverlaufs ausdrücklich löschen.
Push-Eintrag (Wallet)
Nur bei eingeschalteten Benachrichtigungen: Kennung, Webhook-Geheimnis, Webhook-Kennung, ob Mitteilungen den Betrag zeigen und, wenn Sie ihn ausgeschaltet haben, dass der Sicherheitsalarm aus ist; gegebenenfalls ein Merker, dass eine Abmeldung noch nachzuholen ist. Außerdem für wenige Minuten die Kennungen verbliebener Anmeldungen, die die Wallet zur zweiten Prüfung vorgemerkt hat. In der App „KAI-Pay Beta“ liegt zusätzlich im App-Speicher das Schlüsselpaar für Mitteilungen (der private Teil verschlüsselt mit einem Schlüssel im Android-Keystore); es wird beim Ausschalten der Benachrichtigungen gelöscht.
Vorschlagsquellen (Wallet)
Name, öffentlicher Schlüssel und Kennung jeder eingerichteten Quelle für Zahlungsvorschläge, die erlaubten Empfänger (Lightning-Adressen, Domains, Bitcoin-Adressen), ob Rechnungen zugelassen sind, Tages- und Monatsbudget und der Zeitpunkt der Einrichtung. Sie bleiben, bis Sie die Quelle oder die Wallet von diesem Gerät entfernen.
Budget-Buch der Zahlungsvorschläge (Wallet)
Je bestätigtem Vorschlag dessen Kennung, die Quelle, Betrag samt Gebühr, Zeitpunkt, Idempotenz-Schlüssel und ob die Zahlung gebucht ist. Das dient dem Budget und verhindert, dass derselbe Vorschlag auf diesem Gerät zweimal bezahlt wird. Einträge fehlgeschlagener Zahlungen löscht die Wallet sofort; im Übrigen behält sie höchstens die 2.000 neuesten Einträge, bis Sie die Wallet von diesem Gerät entfernen.
Schlüssel eigener Assistenten (Wallet)
Kennung und privater Schlüssel je Assistent, den Sie unter „KI-Budget“ selbst angelegt haben. Sie werden gelöscht, wenn Sie den Assistenten oder die Wallet von diesem Gerät entfernen.
Rücklage (Wallet)
Nur wenn Sie eine Rücklage einrichten (2.20): der öffentliche Kontoschlüssel Ihrer BitBox mit Fingerabdruck und Pfad, der von Ihnen vergebene Name, der Zeitpunkt der Einrichtung und der Prüfung samt der dabei verglichenen Adresse und ihrer Nummer sowie je Umbuchung in die Rücklage Betrag, Gebühr, Geschwindigkeit, Zieladresse und ihre Nummer, Zeitpunkt, Idempotenz-Schlüssel, Zahlungskennung und Ausgang (höchstens die 200 neuesten). Alles verschlüsselt mit einem Schlüssel, der aus Ihren Wörtern abgeleitet wird. Gelöscht, wenn Sie die Rücklage oder die Wallet von diesem Gerät entfernen.
Notfallpaket-Vermerk (Wallet)
Zeitpunkt des letzten Exports, ob das Speichern bestätigt wurde, ob das Paket als veraltet gilt, ein Prüfwert der Exit-Daten und ein Bindungswert, der den Vermerk dieser Wallet zuordnet, ohne ihre Kennung zu speichern. Das Paket selbst speichert die Wallet nicht.
Adressumstellung (Wallet)
Der Zeitpunkt des letzten Versuchs, die Beschreibung einer älteren Lightning-Adresse neutral umzustellen (2.5); nach dem Erfolg gelöscht.
Wallet-Datenbank (Wallet)
Daten des Breez SDK wie Zahlungsverlauf, Kontakte, Zustand der Wallet und die Exit-Daten für einen einseitigen Ausstieg.
App-Dateien (Wallet)
Programmdateien, damit die Wallet schnell und auch ohne Netz startet (Service Worker). Sie enthalten keine Angaben über Sie.
Händleradresse (Kasse)
Die Lightning-Adresse, für die kassiert wird.
Belegschlüssel (Kasse)
Der öffentliche Belegschlüssel der Wallet aus dem Kassenlink, mit dem die Kasse Kassennotizen verschlüsselt (2.10). Er ist nicht geheim.
Terminal und Belegzähler (Kasse)
Zufällige Gerätekennung, Name der Kasse und fortlaufende Belegnummer.
Letzte Rechnungen (Kasse)
Betrag, Betrag in Landeswährung mit Währung, Kurs, Kursquelle und Kurszeit, bei Artikeln die Positionen (Name, Menge, Einzelpreis, Steuersatz), Händleradresse, Rechnung und ihre Zahlungsreferenz (Payment-Hash), Prüfkennung, Belegnummer, Gerätekennung und Kassenname, die mit der Rechnung an breez.tips gesendete Notiz (verschlüsselt oder, ohne Belegschlüssel, im Klartext), Zeitpunkte und Zahlungsstatus der höchstens 20 letzten Rechnungen der vergangenen 7 Tage, damit eine offene Rechnung nach dem Neuladen fortgesetzt, eine abgebrochene, aber doch bezahlte Rechnung erkannt und ein Beleg als PDF erstellt werden kann.
Artikelkatalog (Kasse)
Name, Preis, Preiswährung, Kategorie und Steuersatz der Artikel, die Sie in der Kasse anlegen oder aus einer Katalogdatei übernehmen.
Kassenwährung und Notizformat (Kasse)
Die gewählte Währung für die Eingabe, nur wenn sie nicht Euro ist, und ein Merker aus dem Kassenlink, ob die Wallet Positionen und andere Währungen in der Kassennotiz lesen kann.
Artikelkatalog (Wallet)
Ein von Ihnen importierter Artikelkatalog der Kasse; die Wallet nutzt ihn nur, um Positionen einer Kassenzahlung mit Namen anzuzeigen.
Spenden-Empfangsangaben (Wallet)
Je Spendenorganisation die zuletzt gesehene Lightning-Adresse oder Spendenseite, gegebenenfalls der Zeitpunkt einer Änderung und nach einer Spende der Empfängerknoten (öffentlicher Schlüssel) – für den Hinweis bei einer Änderung (2.15).
L402-Zugänge (Wallet)
Je L402-Zahlung das Macaroon des Dienstes (Zugangsdaten mit dessen Bedingungen, etwa Bereich und Ablaufzeit), die Zahlungsreferenz (Payment-Hash), gegebenenfalls der Name eines bekannten Dienstes und der Zeitpunkt – damit der Zugangsnachweis erneut angezeigt werden kann (2.16). Höchstens die 200 neuesten Einträge.
Daueraufträge (Wallet)
Je Plan Name, Empfänger, Betrag (sat oder Landeswährung), Rhythmus, Beginn und Ende, „nicht vor“ (Tag des Anlegens bzw. Fortsetzens) und ob er pausiert ist; je Fälligkeit, ob sie vermerkt, ausstehend, bezahlt (mit Zahlungs-ID und bezahlter Rechnung) oder übersprungen ist, dazu Betrag, gegebenenfalls Kurs und Server des Empfängers – höchstens 2.000 Einträge (2.17).
Zugang zu KAI Oracle (Wallet)
Der Zugangscode Ihrer Firmen-Registrierung bei KAI Oracle, verschlüsselt (AES-GCM, 256 Bit) mit einem aus Ihren Wörtern abgeleiteten Schlüssel; ohne entsperrte Wallet nicht lesbar (2.21).
Zeitstempel-Aufträge (Wallet)
Je Auftrag Zahlungsreferenz (Payment-Hash), Fingerabdruck und Name der Datei, Zeitpunkt, Stand sowie Nachweis (.ots) und Beleg von KAI Oracle – höchstens die 100 neuesten Aufträge (2.21).

Den Belegschlüssel und weitere aus Ihren Wörtern abgeleitete Schlüssel, etwa den des Notfallpakets, hält die Wallet nur im Arbeitsspeicher, solange sie entsperrt ist; gespeichert werden sie nicht.

Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, weil es für die von Ihnen ausdrücklich gewünschte Funktion unbedingt erforderlich ist; für die weitere Verarbeitung Art. 6 Abs. 1 Buchst. b DSGVO. Nicht notwendige Zugriffe auf Ihr Gerät finden nicht statt; deshalb fragen wir keine Einwilligung ab.

Was „Wallet von diesem Gerät entfernen“ löscht, steht in Abschnitt 4. In der Kasse entfernt „Andere Adresse“ die Händleradresse, den Belegschlüssel, Terminal und Belegzähler, die letzten Rechnungen, den Artikelkatalog, die Kassenwährung und den Merker zum Notizformat.

In der App „KAI-Pay Beta“ liegen die oben genannten Angaben der Wallet nicht im Browser, sondern in den App-Daten auf Ihrem Gerät. Die App-Dateien (Service Worker) entfallen; hinzu kommt der Keystore-Schlüssel für das Entsperren per Fingerabdruck (2.11). Die App-Daten sind von Android-Sicherungen in der Cloud, von adb-Sicherungen und von der Übertragung auf ein neues Gerät ausgenommen; Ihre Sicherung sind die 12 Wörter. Alle App-Daten entfernen Sie über die Android-Einstellungen („Speicher leeren“) oder durch Deinstallieren der App. In der App „KAI-Pay“ (Trusted Web Activity) gelten die Angaben für den Browser; gelöscht wird über die Websitedaten von app.kai-pay.net in Chrome.

4. Wallet vollständig entfernen

„Wallet von diesem Gerät entfernen“ (Einstellungen) wirkt auf diesem Gerät. Was es löscht und was bestehen bleibt, hängt davon ab, wo die Daten liegen.

Lokale Daten auf diesem Gerät

Gelöscht werden: der Tresor mit den verschlüsselten Wörtern bzw. der Passkey-Merker, ein vorheriger Tresor, der Prüfwert der Wörter, die PIN-Fehlversuche, ungeklärte Sendeversuche, Erstattungsvermerke, Kontaktänderungen, der Push-Eintrag, Vorschlagsquellen, Schlüssel eigener Assistenten und Budget-Buch, der Notfallpaket-Vermerk, die Adressumstellung, der importierte Artikelkatalog, die Daueraufträge mit ihren Ausführungsvermerken, die Rücklage, der Zugangscode für KAI Oracle, die Zeitstempel-Aufträge und die Wallet-Datenbank mit Zahlungsverlauf, Kontakten und Exit-Daten; in der App „KAI-Pay Beta“ zusätzlich die Keystore-Schlüssel. Die von der App selbst abgeleiteten Schlüssel (Belegschlüssel, Schlüssel des Notfallpakets) werden im Arbeitsspeicher überschrieben; den übrigen Arbeitsspeicher, etwa die entschlüsselten Wörter und die Schlüssel im SDK, gibt die App frei, ein Überschreiben kann der Browser dort nicht zusichern. Bestehen bleiben die Geräteeinstellungen (Sprache, Einheit, Währung, Darstellung) und die App-Dateien; sie entfernen Sie über die Websitedaten Ihres Browsers bzw. „Speicher leeren“ in Android.

Kann Ihr Browser seine Datenbanken nicht auflisten, lässt sich das Löschen der Wallet-Datenbank nicht prüfen; die App sagt das dann und empfiehlt, die Websitedaten zu löschen. Übrig gebliebene Wallet-Datenbanken löscht sie beim nächsten Start ohne Wallet, soweit der Browser sie auflisten kann.

Ohne Ihre 12 Wörter, bei einer Passkey-Wallet alternativ den Passkey, ist das Guthaben danach nicht mehr zugänglich. Fallen die Spark-Betreiber aus, hilft nur ein vorher gesichertes Notfallpaket (2.13).

Daten auf Servern

Push-Eintrag bei unserem Server. Beim Entfernen meldet die Wallet Benachrichtigungen ab; unser Server löscht dabei den Push-Eintrag. Gelingt das nicht, etwa ohne Verbindung, meldet die Wallet den Eintrag direkt bei unserem Server ab. Scheitert auch das, fragt sie, ob Sie es erneut versuchen oder trotzdem entfernen wollen. Entfernen Sie trotzdem, bleibt der Eintrag bestehen, bis er abgemeldet wird oder nach höchstens 400 Tagen abläuft, früher, wenn der Push-Dienst das Abonnement als ungültig meldet. Bis dahin kann unser Server Meldungen zu Zahlungen dieser Wallet erhalten (eingehend und, mit Sicherheitsalarm, gesendet) und je nach Betrag-Option auswerten. Auf Anfrage über kontakt@kai-pay.net löschen wir Einträge, die wir Ihnen zuordnen können; weil wir keine Namen oder Kontaktdaten speichern, ist das ohne die Kennung des Eintrags in der Regel nicht möglich.

Webhook bei Lightspark. Die Webhook-Anmeldungen liegen bei Lightspark und gehören zu Ihrer Wallet. Entfernen kann sie nur die Wallet selbst, beim Abmelden der Benachrichtigungen; wir haben darauf keinen Zugriff. Bleiben sie bestehen, schickt Lightspark Meldungen zu Zahlungen weiter an unseren Server; ohne Push-Eintrag weist er sie ab, ohne sie auszuwerten. Öffnen Sie dieselbe Wallet später wieder in der Web-App oder der App „KAI-Pay“, entfernt sie solche verbliebenen Anmeldungen beim Entsperren selbst (2.9). In der App „KAI-Pay Beta“ können Sie solche Anmeldungen unter Einstellungen → Benachrichtigungen selbst entfernen.

Bei anderen Anbietern. Bestehen bleiben die Registrierung Ihrer Lightning-Adresse bei breez.tips, die verschlüsselten Datensätze beim Synchronisierungsdienst von Breez, die Daten Ihrer Übertragungen bei den Spark-Betreibern und Lightspark samt der Einstellung des Privatmodus, bei Passkey-Wallets die Bezeichnung auf den Nostr-Relays und Ihr Passkey bei Ihrem Passkey-Anbieter. Ebenso bleiben Meldungen an Ihren Shop (2.19) bei Lightspark angemeldet, bis Sie sie in einer Wallet mit denselben Wörtern entfernen. Diese Daten liegen bei den jeweiligen Anbietern (Abschnitt 6); wir können sie nicht löschen. Die Wallet bietet derzeit nicht an, die Lightning-Adresse zu löschen. Löschung und Auskunft können Sie bei diesen Anbietern nach deren Bedingungen verlangen.

Bei uns sonst. Weitere Daten zu Ihrer Wallet speichern wir nicht: Zahlungsseiten und Kasse legen auf unserem Server keine Aufzeichnungen an, kurzlebige Vermerke und Tageszähler verfallen nach höchstens 24 Stunden.

Sicherungen

Was Sie selbst gesichert haben, löscht die App nicht: Notfallpaket-Dateien, Wächterauszüge, CSV-Exporte, aufgeschriebene Wörter und eigene Fotos davon. Diese Sicherungen liegen bei Ihnen; vernichten Sie sie selbst, wenn Sie sie nicht mehr brauchen. Sicherungen Ihres Betriebssystems oder Browsers, etwa eine Datensicherung des Computers oder des Browserprofils, können eine Kopie der Wallet-Daten enthalten, auch des verschlüsselten Tresors. Eine PIN-Sicherung ist dort außerhalb der App angreifbar (Abschnitt 3). Solche Sicherungen erreicht die App nicht. In der App „KAI-Pay Beta“ sind die App-Daten von Android-Cloud-Sicherungen, adb-Sicherungen und der Übertragung auf ein neues Gerät ausgenommen.

Öffentliche Blockchain-Spuren

Ein- und Auszahlungen über die Bitcoin-Blockchain, also Einzahlungen auf Ihre Bitcoin-Adressen, Auszahlungen an Bitcoin-Adressen und ein einseitiger Ausstieg, sind dauerhaft öffentlich. Niemand kann sie löschen, auch wir nicht. Lightning- und Spark-Zahlungen stehen nicht auf der Bitcoin-Blockchain; sie bleiben bei den beteiligten Anbietern und Gegenstellen gespeichert. Bei ausgeschaltetem Privatmodus können öffentliche Spark-Indexer Guthaben und Bitcoin-Zahlungen Ihrer Wallet anzeigen.

5. Wallet- und Netzwerkdaten, Verschlüsselung und Anonymität

Wir übermitteln keine Seeds (Wiederherstellungswörter) oder privaten Schlüssel an unsere Server. Öffentliche Adressen, Transaktionskennungen und Metadaten können dennoch personenbezogen sein. Öffentliche Blockchain-Einträge sind regelmäßig dauerhaft für Dritte abrufbar und durch uns technisch nicht löschbar. Dies beseitigt keine Pflicht zur datensparsamen Gestaltung, zur Prüfung rechtmäßiger Verarbeitung oder zur Löschung von Daten in unserem Einflussbereich.

Schreiben Sie keine Namen, Kontaktdaten oder vertraulichen Inhalte in öffentliche Transaktionsfelder, in Notizen zu Rechnungen oder in den Namen Ihrer Lightning-Adresse.

Die Spark-Betreiber wirken an Übertragungen im Spark-Netz mit und verarbeiten dafür die in 2.3 genannten Daten.

Verschlüsselung heißt nicht Anonymität. Wo KAI-Pay verschlüsselt – Tresor, Kassennotiz, Datenabgleich, Mitteilungen, Notfallpaket –, schützt das den Inhalt. Der Wächterauszug ist bewusst unverschlüsselt (2.13). Dass gezahlt wurde, der Betrag, der Zeitpunkt und die beteiligten Gegenstellen bleiben für die an einer Zahlung Beteiligten sichtbar: für Zahler und Empfänger, die Spark-Betreiber und Lightspark, bei Lightning-Adressen den LNURL-Server wie breez.tips und bei Zahlungen über die Bitcoin-Blockchain für alle. IP-Adresse und Zeitpunkt Ihrer Verbindungen sehen die jeweils angefragten Dienste. Der Privatmodus (2.3) verbirgt Ihre Wallet nur vor öffentlichen Spark-Indexern.

Tor. Ihre IP-Adresse können Sie verbergen, indem Sie die Verbindungen über das Tor-Netz leiten, etwa mit dem Tor Browser oder unter Android mit Orbot im VPN-Modus; für die Apps haben wir das noch nicht im Einzelnen geprüft. Wir sperren Verbindungen aus dem Tor-Netz nicht; für kai-pay.net prüfen wir das wöchentlich. Eine eigene .onion-Adresse betreiben wir nicht. Cloudflare kann Nutzern des Tor Browsers von sich aus eine Verbindung über das Onion-Netz anbieten; die Einstellung dafür ist in unseren Domains eingeschaltet, ob Cloudflare den Weg tatsächlich anbietet, haben wir nicht belegt. Tor verbirgt Ihre IP-Adresse, nicht aber, was die beteiligten Dienste über Ihre Zahlungen sehen.

Wer sieht was? Die Seite „Wer sieht was?“ in der Wallet („Einstellungen“ → „Privatsphäre“) zeigt für jeden beteiligten Dienst, wann er was sieht und was nicht und was bei seinem Ausfall geschieht. Sie fasst die Angaben dieser Erklärung zusammen.

6. Empfänger, Drittstaaten und Datenquellen

Die folgende Übersicht nennt je Empfänger Tätigkeit, Datenarten, Verarbeitungsland und Rechtsgrundlage sowie Anbieter und Rolle, soweit sie feststehen. Auftragsverarbeiter erhalten vertragliche Weisungen; eigenständige Anbieter handeln nach ihren eigenen Informationen. Ein Serverstandort in der EU allein schließt Drittlandzugriffe nicht aus.

Cloudflare

Anbieter
Cloudflare, Inc., USA.
Tätigkeit
Hosting und Auslieferung von kai-pay.net, app.kai-pay.net, kasse.kai-pay.net und der Weiterleitungsdomains; Ausführung unserer Serverprogramme; Speicher für Push-Einträge und gegebenenfalls Diagnoseereignisse; Zwischenspeicher für kurzlebige Vermerke und Tageszähler; Anfragebegrenzung; E-Mail-Weiterleitung für Nachrichten an unsere Kontaktadresse (Abschnitt 1).
Datenarten
Verbindungsdaten (2.1, 2.2), Anfragen der Zahlungsseite (2.5), Push-Einträge, Webhook-Meldungen, kurzlebige Vermerke, Tageszähler und Diagnoseereignisse (2.9).
Rolle
Auftragsverarbeiter nach der Auftrags­verarbeitungs­vereinbarung von Cloudflare.
Land und Garantien
USA und weltweites Servernetz. Cloudflare ist nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission besteht. Für Übermittlungen, die nicht darunter fallen, sieht die Auftrags­verarbeitungs­vereinbarung von Cloudflare EU-Standardvertragsklauseln vor; sie ist öffentlich abrufbar. Eine Kopie der Garantien erhalten Sie auch über kontakt@kai-pay.net.
Rechtsgrundlage
Je nach Zweck, siehe 2.1, 2.2, 2.5, 2.9 und 2.10.
Informationen
Datenschutzerklärung von Cloudflare, Unterauftragsverarbeiter von Cloudflare.

Breez

Anbieter
Breez, Anbieter des Breez SDK.
Tätigkeit
Spark-Betreiber; Anmeldung der App bei den Breez-Diensten; Umrechnungskurse; Synchronisierung von Kontakten und Zahlungsangaben; LNURL-Server breez.tips für Lightning-Adressen (auch die Abfrage bei jedem Start der Wallet), Rechnungen und Zahlungsstatus (Wallet, Kasse, Zahlungsseite); Nostr-Relay für Passkey-Wallets.
Datenarten
IP-Adresse und Zeitpunkt; Daten von Übertragungen im Spark-Netz (2.3); öffentlicher Schlüssel der Wallet (2.5); verschlüsselte Synchronisierungsdaten (2.6); Name und Beschreibung der Lightning-Adresse, Beträge, Notizen, Kassennotizen verschlüsselt oder im Klartext, Rechnungen und Zahlungsstatus (2.5, 2.10); Bezeichnung von Passkey-Wallets (2.8).
Rolle
Als Spark-Betreiber handelt Breez eigenständig. Die übrigen Dienste erbringt Breez als Anbieter des SDK.
Land
Verarbeitung auch außerhalb der EU möglich.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO; beim Aufruf einer Zahlungsseite durch Zahlende Art. 6 Abs. 1 Buchst. f DSGVO (2.5).
Informationen
Datenschutzhinweise von Breez.

Lightspark

Anbieter
Lightspark Group, Inc.; Sitz nach eigenen Angaben in den USA.
Tätigkeit
Spark-Betreiber; Spark-Dienstleister für Lightning-Zahlungen, Ein- und Auszahlungen über die Bitcoin-Blockchain und die technische Stückelung des Guthabens (2.3); Versand der Meldungen über eingehende und, mit Sicherheitsalarm, gesendete Zahlungen, wenn Sie Benachrichtigungen nutzen; Versand der Meldungen an Ihren Shop, wenn Sie sie einrichten (2.19).
Datenarten
IP-Adresse und Zeitpunkt; Daten von Übertragungen, Lightning-Zahlungen sowie Ein- und Auszahlungen (2.3); die für Ihre Wallet angemeldeten Webhook-Adressen unseres Servers und das zugehörige Webhook-Geheimnis (2.9); bei Meldungen an Ihren Shop dessen Adresse und das zugehörige Geheimnis (2.19).
Rolle
Als Spark-Betreiber handelt Lightspark eigenständig. Die übrigen Dienste erbringt Lightspark als deren Anbieter.
Land
Verarbeitung auch außerhalb der EU möglich.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.
Informationen
Datenschutzerklärung von Lightspark.

Flashnet

Tätigkeit
Spark-Betreiber; Schnittstelle api.flashnet.xyz für Token-Umtausche, bei der sich das SDK bei jedem Start der Wallet anmeldet, um rückforderbare Token-Umtausche abzugleichen. KAI-Pay bietet keine Umtausche an; die Anmeldung lässt sich im SDK nicht abschalten (2.3).
Datenarten
IP-Adresse und Zeitpunkt; Daten von Übertragungen im Spark-Netz (2.3); bei api.flashnet.xyz der öffentliche Identitätsschlüssel der Wallet mit einer Signatur über eine Anmelde-Aufforderung.
Rolle
Eigenständig verantwortlich.
Land
Verarbeitung auch außerhalb der EU möglich.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO; für die Abfrage bei api.flashnet.xyz Art. 6 Abs. 1 Buchst. f DSGVO (2.3).
Informationen
Datenschutzerklärung von Flashnet.

mempool.space

Tätigkeit
Abfragen der Bitcoin-Blockchain für die Wallet (Einzahlungsadressen, Transaktionen, Gebührenschätzungen); Kurse für die Kasse.
Datenarten
IP-Adresse und Zeitpunkt; abgefragte Bitcoin-Adressen und Transaktionen. Über IP-Adresse und Zeitpunkt kann der Dienst die Adressen, die Ihre Wallet abfragt, einander zuordnen.
Rolle
Eigenständig verantwortlich.
Land
Verarbeitung auch außerhalb der EU möglich.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.
Informationen
Datenschutzerklärung von mempool.space.

DNS-Dienst von Cloudflare

Anbieter
Cloudflare, Inc., öffentlicher DNS-Dienst 1.1.1.1.
Tätigkeit
DNS-Abfrage nach Bitcoin-Zahlungsanweisungen (BIP 353) beim Prüfen von Adressen der Form name@domain (2.4).
Datenarten
IP-Adresse, abgefragter Name und Zeitpunkt.
Land
Verarbeitung auch außerhalb der EU möglich.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.
Informationen
Datenschutzzusagen für den DNS-Dienst 1.1.1.1.

BTC Map

Tätigkeit
Verzeichnis von Orten, die Bitcoin annehmen (Daten aus OpenStreetMap), für „Händler finden“ (2.14).
Datenarten
IP-Adresse, Zeitpunkt, User-Agent, Herkunft; bei „In meiner Nähe“ eine gerundete Gegend, bei der Ortssuche der Suchbegriff.
Anbieter und Land
BTC Map (btcmap.org), ein Gemeinschaftsprojekt. Betreiber, Sitz und Serverstandort nennt BTC Map nicht; eine Übermittlung in ein Drittland ist daher nicht auszuschließen.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

Spendenorganisationen

Tätigkeit
Abfrage der Lightning-Adresse vor einer Spende und Empfang der Spende (2.15).
Datenarten
IP-Adresse, Zeitpunkt, User-Agent, Herkunft; ab der Vorschau im Sendeweg der Betrag.
Anbieter und Land
Die von Ihnen gewählte Organisation bzw. ihr Zahlungsdienst; Land laut Eintrag in der Liste (z. B. USA).
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

Strike (externer Kaufanbieter)

Tätigkeit
Nur wenn Sie unter „Bitcoin kaufen“ den Link öffnen: Website bzw. App von Strike mit Konto, Identitätsprüfung, Kauf und Auszahlung (2.18). Strike ist eigenständig verantwortlich; wir übermitteln Strike nichts.
Datenarten
Beim Aufruf IP-Adresse, Zeitpunkt, Browser- bzw. App-Kennung; alles Weitere geben Sie Strike selbst.
Anbieter und Land
Zap (Strike) Europe Limited, Malta (EU), gemeinsam mit Zap Solutions Holdings, Inc., USA; bei zusätzlichen Diensten gegebenenfalls Zap Solutions Cayman Ltd. Übermittlungen in Drittländer verantwortet Strike.
Rechtsgrundlage
Für Ihren Aufruf Art. 6 Abs. 1 Buchst. b DSGVO; für die Verarbeitung bei Strike deren Rechtsgrundlagen.

Server von Zahlungsempfängern

Tätigkeit
Zahlungsangaben und Rechnungen für Lightning-Adressen und LNURL-Links anderer Anbieter; Zahlungsangaben zu QR-Codes bestimmter Händler-Bezahlsysteme über cryptoqr.net (2.4).
Datenarten
IP-Adresse, Zeitpunkt, abgefragte Adresse, Betrag und gegebenenfalls Kommentar, bei der Web-App die Herkunft app.kai-pay.net; bei einer Erstattung gegebenenfalls die Notiz „Erstattung zu Beleg …“ mit der Belegnummer.
Anbieter und Land
Bestimmt der Empfänger der Zahlung.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

Push-Dienste der Browserhersteller

Anbieter
Je nach Browser Google, Mozilla, Apple oder Microsoft; in der App „KAI-Pay Beta“ Google (Firebase Cloud Messaging).
Tätigkeit
Einrichtung des Push-Abonnements durch Ihren Browser bzw. der FCM-Registrierung durch die App und Zustellung der Mitteilungen (2.9).
Datenarten
Endpunkt bzw. FCM-Token, Zeitpunkt und die verschlüsselte, auf feste Länge aufgefüllte Nachricht; bei der Einrichtung die Verbindungsdaten Ihres Browsers bzw. Geräts. Der Zeitpunkt der Zustellung spiegelt, wann Zahlungen eingehen.
Rolle
Eigenständig verantwortlich.
Land
Verarbeitung auch außerhalb der EU möglich.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.
Informationen
Google, Mozilla, Apple, Microsoft.

Nostr-Relays

Anbieter
Breez (nr1.breez.technology) und die Betreiber der öffentlichen Relays relay.primal.net, relay.damus.io, relay.nostr.watch, relaypag.es und monitorlizard.nostr1.com.
Tätigkeit
Speichern und Abrufen der Bezeichnung von Passkey-Wallets (2.8).
Datenarten
Öffentliche Nostr-Nachricht mit der Bezeichnung, gegebenenfalls eine Liste der genutzten Relays, der aus Ihrem Passkey abgeleitete öffentliche Schlüssel, IP-Adresse und Zeitpunkt.
Land
Verarbeitung auch außerhalb der EU möglich.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

Vorschlagsquellen

Anbieter
Wer die Quelle betreibt, die Sie in der Wallet einrichten, etwa den Telegram-Bot KAI.
Tätigkeit
Erstellen von Zahlungsvorschlägen (2.12).
Datenarten
Ziel, Betrag und Zweck der Vorschläge, die die Quelle selbst erstellt. Aus Ihrer Wallet erhält sie nichts.
Rolle
Für die Verarbeitung durch die Quelle ist deren Betreiber verantwortlich.

KAI Oracle (Formsys GmbH)

Anbieter
Formsys GmbH, Betreiberin von KAI Oracle (kai-oracle.com).
Tätigkeit
Zeitstempel für registrierte Firmen: Angebot, Annahme nach der Zahlung, Stand, Nachweis und Beleg (2.21).
Datenarten
Fingerabdruck der Datei, Zugangscode, Zugangsnachweis der Zahlung (Macaroon und Preimage), IP-Adresse.
Rolle
Für die Verarbeitung bei KAI Oracle gelten dessen Rahmenvertrag und Datenschutzhinweise.
Land
Deutschland; die Verbindung zu kai-oracle.com läuft über Cloudflare, das dabei Verbindungsdaten wie die IP-Adresse verarbeitet.
Rechtsgrundlage
Art. 6 Abs. 1 Buchst. b DSGVO.

Ihr Shop

Anbieter
Wer den Server unter der Adresse betreibt, die Sie unter „Dienst anbinden“ eintragen – in der Regel Sie selbst oder Ihr Shop-Anbieter.
Tätigkeit
Empfang der Meldungen über Lightning-Eingänge der Wallet (2.19).
Datenarten
Die Meldungen von Lightspark zu jedem Lightning-Eingang der Wallet (2.19).
Rolle
Für die Verarbeitung durch diesen Server ist dessen Betreiber verantwortlich.

GitHub

Anbieter
GitHub, Inc. (ein Unternehmen von Microsoft), USA.
Tätigkeit
Bereitstellung der Testversionen der Android-Apps zum Herunterladen (2.11).
Datenarten
Verbindungsdaten beim Herunterladen; bei angemeldeten Nutzern deren GitHub-Konto.
Rolle
Eigenständig verantwortlich.
Land
USA.
Informationen
Datenschutzerklärung von GitHub.

Google (Chrome, Android, Google Play)

Anbieter
Google Ireland Limited, Irland, und Google LLC, USA.
Tätigkeit
Google Chrome als Laufzeitumgebung der App „KAI-Pay“; System-WebView und Biometrie-Dialog von Android; Vertrieb und Updates der Apps über Google Play, sobald sie dort veröffentlicht sind (2.11).
Rolle
Eigenständig verantwortlich.
Land
Verarbeitung auch außerhalb der EU möglich.
Informationen
Datenschutzerklärung von Google.

Datenquellen

Von Dritten erhalten wir Daten nur in zwei Fällen: Meldungen des Spark-Dienstleisters Lightspark über eingehende und, mit Sicherheitsalarm, gesendete Zahlungen (2.9) sowie Rechnungen und Zahlungsstatus von breez.tips für die Zahlungsseite (2.5). Zahlungsvorschläge (2.12) und Kassennotizen (2.10) laufen nicht über unsere Server.

7. Ihre Rechte und Beschwerde

Nach den gesetzlichen Voraussetzungen können Sie Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen. Einwilligungen sind für die Zukunft widerrufbar, ohne die bisherige Rechtmäßigkeit zu berühren. Gegen Verarbeitungen auf Basis berechtigter Interessen können Sie aus Ihrer besonderen Situation Widerspruch einlegen; bei Direktwerbung jederzeit. Kontakt: kontakt@kai-pay.net.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Ihrem Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für uns zuständige Behörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Postfach 20 04 44, 40102 Düsseldorf, www.ldi.nrw.de.

Zur Identitätsprüfung verlangen wir nur erforderliche, verhältnismäßige Angaben, niemals einen Seed (Ihre Wiederherstellungswörter).

8. Pflichtangaben, Automatisierung und Änderungen

Für KAI-Pay brauchen Sie kein Konto und müssen weder Namen noch E-Mail-Adresse angeben. Ohne erforderliche Verbindungs- oder Zahlungsdaten kann die betreffende Funktion nicht ausgeführt werden. Lightning-Adresse, Kontakte, Benachrichtigungen, Passkey, Fingerabdruck, KI-Zahlungsvorschläge, Notfallpaket, Händler finden, Spenden, L402-Zahlungen, Zeitstempel und NFC sind freiwillig; die Wallet ist auch ohne sie nutzbar. Den Privatmodus können Sie ausschalten.

Wir treffen keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung. Die Prüfung von Zahlungsvorschlägen gegen Ihre Regeln (2.12) findet auf Ihrem Gerät statt und bereitet nur eine Zahlung vor, die Sie selbst bestätigen. Falls ein Profiling oder Sperrsystem mit solcher Wirkung eingeführt wird, ergänzen wir vorab Rechtsgrundlage, verständliche Logik, Auswirkungen und die erforderlichen Schutzrechte. Wesentliche Änderungen der Datenverarbeitung werden vor ihrem Beginn mitgeteilt; eine neue Einwilligung wird eingeholt, wenn erforderlich.