Vertragsmanager mit oder ohne Kontozugriff: Was Apps über dein Konto sehen dürfen

Wer wissen will, welche Verträge und Abos er hat, steht oft vor einer Wahl: Die App liest dein Konto, oder du gibst ihr die Dokumente. Beides führt zu einer Übersicht, aber die Wege unterscheiden sich darin, was die App von dir sieht. Dieser Beitrag erklärt beide fair und ohne Namen von Anbietern.

Wie erkennen Apps überhaupt Verträge?

Apps erkennen Verträge auf zwei Wegen: aus Kontoumsätzen (Weg A) oder aus Dokumenten (Weg B). Beim Weg A durchsucht ein Dienst deine Umsätze nach wiederkehrenden Zahlungen und ordnet sie Anbietern zu. Beim Weg B lädst du Vertrags-PDFs oder Fotos hoch oder trägst Daten von Hand ein; die App liest daraus Anbieter, Kosten und Fristen. Beide Wege lassen sich auch kombinieren.

Was ist ein Kontoinformationsdienst?

Ein Kontoinformationsdienst ist ein Online-Dienst, der Informationen über deine Zahlungskonten bei anderen Banken bündelt. Das Zahlungsdiensteaufsichtsgesetz (ZAG) definiert ihn als Dienst „zur Mitteilung konsolidierter Informationen über ein Zahlungskonto oder mehrere Zahlungskonten des Zahlungsdienstnutzers bei einem oder mehreren anderen Zahlungsdienstleistern“ (§ 1 Abs. 34 ZAG). Die Deutsche Bundesbank beschreibt, dass solche Dienste Kontostände und Umsätze in einer Übersicht zeigen und nur Zugang erhalten, wenn du als Kontoinhaber ausdrücklich zustimmst.

Wer solche Dienste anbieten will, braucht eine Registrierung:

„Wer im Inland gewerbsmäßig oder in einem Umfang, der einen in kaufmännischer Weise eingerichteten Geschäftsbetrieb erfordert, als Zahlungsdienst ausschließlich Kontoinformationsdienste erbringen will, bedarf nur der schriftlichen oder elektronischen Registrierung durch die Bundesanstalt.“ — § 34 Abs. 1 Satz 1 ZAG↗

Mit der Bundesanstalt ist die BaFin gemeint. Außerdem darf der Dienst nach § 51 Abs. 1 ZAG nur mit deiner ausdrücklichen Zustimmung arbeiten, nur auf die Konten zugreifen, die du bezeichnet hast, und Daten nur für den Dienst verwenden, den du ausdrücklich verlangt hast. Ob ein Anbieter registriert ist, kannst du bei der BaFin prüfen, zum Beispiel in der Unternehmensdatenbank↗ prüfen. Manche Apps nutzen im Hintergrund einen anderen Dienstleister; in den Bedingungen steht, wer als Kontoinformationsdienstleister auftritt.

Was sieht so ein Dienst über dich?

Ein Kontoinformationsdienst sieht in der Regel Kontostände und Umsätze, also auch Empfänger und Verwendungszweck jeder Zahlung. Das genügt, um wiederkehrende Abbuchungen zu finden. Es zeigt aber mehr, als für die reine Vertragssuche nötig wäre. Der Europäische Datenschutzausschuss hält in seinen Leitlinien fest, dass sich aus Finanztransaktionen sensible Informationen ergeben können. Schon einzelne Zahlungen, etwa an Parteien, Kirchen, Gewerkschaften oder Ärzte, können Rückschlüsse auf Überzeugungen oder Gesundheit zulassen, und aus der Summe der Umsätze lassen sich Verhaltensmuster ableiten. Betroffen sind außerdem Dritte, die dir Geld überweisen; ihre Daten tauchen in deinen Umsätzen auf.

Das heißt nicht, dass ein Dienst diese Informationen missbraucht. Es heißt, dass du eine echte Abwägung triffst, wenn du ihm Zugang gibst. Den Zugang kannst du nach Angaben von Banken widerrufen, im Online-Banking oder beim Dienst selbst.

Mit oder ohne Kontozugriff: Was passt zu dir?

Welcher Weg passt, hängt davon ab, was dir wichtiger ist: möglichst wenig Aufwand oder möglichst wenig geteilte Daten. Die Tabelle stellt beide gegenüber:

Weg A passt, wenn du eine vollständige Übersicht über deine Zahlungen willst und bereit bist, einem registrierten Dienst Einblick zu geben. Weg B passt, wenn deine Bankdaten bei dir bleiben sollen und du bereit bist, ein paar Dokumente herauszusuchen. Mehr dazu, wo du Vertragsunterlagen findest, steht im Beitrag Wo sind meine Verträge?.

Du musst dich nicht endgültig festlegen. Bei Weg A bestimmst du selbst, welche Konten du freigibst: Der Dienst darf nur auf Konten zugreifen, die du bezeichnet hast (§ 51 Abs. 1 Satz 2 ZAG). Wer Weg A nutzen möchte, kann also ein Konto wählen, über das vor allem Fixkosten laufen, und das private Hauptkonto außen vor lassen. Und es gibt einen dritten Weg ganz ohne App: eine eigene Liste mit Anbieter, Kosten, Laufzeit und Kündigungsfrist, die du anhand der Verträge selbst führst. Sie macht mehr Arbeit, bleibt aber vollständig bei dir.

Worauf du bei jeder Vertrags-App achten solltest

Ob mit oder ohne Kontozugriff: Eine Handvoll Fragen schafft schnell Klarheit.

• Geschäftsmodell: Zahlst du mit Geld, mit Daten oder über Provisionen und Werbung?
• Welche Daten: Was genau wird abgerufen oder hochgeladen, und braucht die App das wirklich?
• Wo verarbeitet: Wer verarbeitet die Daten, und sind Auftragsverarbeiter benannt?
• Wie lange gespeichert: Was bleibt nach der Analyse, was wird gelöscht?
• KI-Verarbeitung: Gehen Rohdaten an ein KI-Modell oder erst bereinigte Daten?
• Schwärzung: Wird erklärt, was geschwärzt wird und wie zuverlässig das ist?
• Löschung und Widerruf: Kannst du Konto und Daten in der App selbst löschen, und wie widerrufst du eine Zustimmung?

Antworten darauf stehen in der Datenschutzerklärung. Fehlen sie, ist das selbst eine Antwort. Eine Übersicht nützt am meisten, wenn auch die Fristen darin stehen; die Grundlagen findest du in der Übersicht der Kündigungsfristen.

Pseudonymisiert oder anonymisiert: Was ist der Unterschied?

Pseudonymisierte Daten sind nicht anonym, sondern bleiben personenbezogen. Die DSGVO definiert Pseudonymisierung so:

„… die Verarbeitung personenbezogener Daten in einer Weise, dass die personenbezogenen Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden“ — Art. 4 Nr. 5 DSGVO↗

Etwa so: Wird in einem Vertrag dein Name durch „[NAME]“ ersetzt, ist der Text weniger riskant. Wer die Zuordnung kennt, kann ihn trotzdem wieder dir zuordnen, und der Europäische Datenschutzausschuss sieht pseudonymisierte Daten, die sich mit zusätzlichen Informationen einer Person zuordnen lassen, als personenbezogen an (Leitlinien 01/2025, Konsultationsfassung vom 16. Januar 2025). Pseudonymisierung ist deshalb eine Schutzmaßnahme und kein Freibrief. Ein seriöser Anbieter spricht von Pseudonymisierung, nicht von Anonymisierung.

Zur Einordnung ein Beispiel für Weg B: klaari geht diesen Weg. Du lädst Vertrags-PDFs hoch, persönliche Daten wie Name, Adresse, IBAN und Vertragsnummer werden vor der KI-Analyse geschwärzt, und das Original-PDF wird nach der Analyse gelöscht. Die Erkennung arbeitet automatisiert und ist nicht perfekt, deshalb lassen sich alle Felder korrigieren. Die KI-Analyse übernimmt ein externer Anbieter, der nur den bereinigten Text erhält.

Egal, wofür du dich entscheidest: Eine Übersicht aller Verträge hilft dir nur, wenn sie aktuell bleibt. Wie du sie anlegst und pflegst, steht im Beitrag zur Vertrags-Inventur und zum digitalen Vertragsordner. Wie du dich gegen ungewollte Abos auf der Handyrechnung wehrst, beschreibt der Beitrag zu Abofallen, Widerrufsbutton und Drittanbietersperre.