Datenschutzerklärung

Stand: 22. September 2026. Diese Erklärung beschreibt den Dienst in seinem heutigen Funktionsumfang; wesentliche Änderungen kündigen wir vorher an (Abschnitt 18).

1. Verantwortlicher

Escher Consulting GmbH, Höhenweg 2c, 44265 Dortmund, Deutschland. E-Mail: hello@banking-mcp.com.

Bei Fragen zum Datenschutz oder zur Ausübung deiner Rechte erreichst du uns unter dieser Adresse.

2. Überblick

BankingMCP verbindet deine Bankkonten mit KI-Assistenten deiner Wahl. Dafür verarbeiten wir nur die Daten, die für diesen Dienst nötig sind. Wir nutzen keine Werbe-Tools, kein websiteübergreifendes Tracking und keine Cookies zu Marketingzwecken. Deine Finanzdaten verkaufen wir nicht, nutzen sie nicht für Werbung und trainieren mit ihnen keine KI-Modelle.

Für anonyme Besucherstatistiken nutzen wir ein cookieloses Tool, das auf unserem eigenen Server läuft (Abschnitt 6). Schriftarten liefern wir von unserem eigenen Server aus; dein Browser ruft keine Google-Server auf.

3. Hosting und Serverdaten

Website, App und Datenbank laufen auf Servern der Hetzner Online GmbH in Deutschland (Rechenzentren in Nürnberg bzw. Falkenstein). Hetzner verarbeitet die Daten ausschließlich in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).

Beim Aufruf der Website verarbeitet der Server technisch notwendige Verbindungsdaten wie deine IP-Adresse. Unser Webserver schreibt keine Zugriffsprotokolle. Zum Schutz vor Missbrauch (z. B. massenhafte Anmeldeversuche oder Abfragen) zählen wir Anfragen pro IP-Adresse und pro Zugang kurzzeitig im Arbeitsspeicher; diese Zähler werden nicht dauerhaft gespeichert und nach kurzer Zeit verworfen. Fehlermeldungen der App können eine interne Nutzer-ID enthalten und werden zur Fehlerbehebung vorübergehend gespeichert.

Die Datenbank wird jede Nacht gesichert. Die Sicherungen sind mit AES-256 verschlüsselt, liegen auf demselben Server und werden nach 14 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen Betrieb).

4. Konto und Anmeldung

Für dein Konto speichern wir deine E-Mail-Adresse, deine Sprache, den Zeitpunkt der Registrierung, das Ende deiner Testphase und ob du Tipps und Erinnerung per E-Mail abbestellt hast (Abschnitt 7). Du meldest dich mit einem 6-stelligen Code an, den wir per E-Mail senden. Codes speichern wir nur als kryptografischen Hash; sie verfallen nach 10 Minuten.

Nach der Anmeldung speichern wir eine Sitzung, und zwar nur den Hash des Sitzungsschlüssels, den Zeitpunkt der Anmeldung und den Ablauf. Sie endet nach 7 Tagen ohne Nutzung, spätestens nach 30 Tagen, oder wenn du dich abmeldest. In den Kontoeinstellungen kannst du alle anderen Geräte abmelden.

Schaltest du die Zwei-Faktor-Authentifizierung ein, speichern wir zusätzlich den Schlüssel deiner Authenticator-App verschlüsselt (AES-256-GCM), den Zeitpunkt der Aktivierung und den zuletzt akzeptierten Zeitschritt, damit ein Code nicht zweimal gilt. Deine 10 Wiederherstellungscodes speichern wir nur als HMAC, nie im Klartext.

Änderst du deine E-Mail-Adresse, bestätigen wir die neue Adresse mit demselben Code-Verfahren und ersetzen danach die alte. Ist die Zwei-Faktor-Authentifizierung aktiv, verlangen die Adressänderung und die Kontolöschung zusätzlich einen aktuellen Code.

Passiert etwas Sicherheitsrelevantes mit deinem Konto, schicken wir einen kurzen Hinweis an die hinterlegte Adresse: eine beantragte oder abgeschlossene Änderung der Anmeldeadresse, das Ein- oder Ausschalten der Zwei-Faktor-Authentifizierung, ein verbundener Assistent, die Abmeldung aller Geräte oder die Löschung des Kontos. Diese Hinweise gehen immer raus — nur so erfährst du von einer Änderung, die nicht von dir kam — und sind vom Abbestellen der Tipps und Erinnerungen nicht betroffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Sicherungsmaßnahmen auch Art. 6 Abs. 1 lit. f DSGVO.

5. Cookies und Speicher auf deinem Gerät

Wir setzen ausschließlich technisch notwendige Cookies: ein Sitzungs-Cookie, das dich angemeldet hält (bis zu 30 Tage), je ein Cookie für einen laufenden Anmelde- oder E-Mail-Änderungsvorgang (jeweils bis zu 1 Stunde), ein Cookie für den laufenden zweiten Anmeldeschritt (10 Minuten) und ein Cookie, das deine gewählte Sprache speichert (1 Jahr).

Deine Einstellung für helle oder dunkle Darstellung merkt sich dein Browser selbst im lokalen Speicher (localStorage). Dieser Wert verlässt dein Gerät nicht.

All das ist für die Nutzung des Dienstes unbedingt erforderlich oder von dir ausdrücklich gewünscht und benötigt deshalb keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Einen Cookie-Banner brauchen wir nicht, weil wir nichts darüber hinaus speichern oder auslesen.

6. Besucherstatistik (Plausible)

Um zu verstehen, wie die Website genutzt wird, zählen wir Seitenaufrufe mit der Open-Source-Software Plausible Analytics, die wir selbst auf unseren Servern bei Hetzner in Deutschland betreiben (Abschnitt 3). Das Zählskript und die Zählaufrufe laufen über unsere eigene Domain; dein Browser nimmt dafür zu keinem Dritten Kontakt auf, und es werden keine Daten an Plausible oder andere Dritte weitergegeben. Plausible setzt keine Cookies, speichert nichts auf deinem Gerät und erstellt keine Nutzerprofile.

Pro Seitenaufruf verarbeiten wir die Seitenadresse, die verweisende Website, Browser, Betriebssystem und Bildschirmgröße sowie deine IP-Adresse. Die IP-Adresse wird nur genutzt, um dein Land zu bestimmen und zusammen mit dem Browser eine täglich wechselnde anonyme Kennung zum Zählen eindeutiger Besucher zu bilden; sie wird nicht gespeichert. Alle Statistiken sind anonym und lassen keinen Rückschluss auf dich zu. Die Statistik erfasst nur die öffentliche Website, nicht deine Abfragen im angemeldeten Bereich. Einzige Ausnahme: Endet ein Besuch mit einer Registrierung, zählen wir das ohne Kontodaten, um zu sehen, welche Seiten und verweisenden Websites zu Registrierungen führen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Website zu verstehen und zu verbessern). Da nichts auf deinem Gerät gespeichert oder ausgelesen wird, ist keine Einwilligung nach § 25 TDDDG erforderlich.

7. E-Mail-Versand (Brevo)

Anmeldecodes, Kündigungsbestätigungen und andere Service-E-Mails versenden wir über Brevo (Sendinblue SAS, Paris, Frankreich). Brevo erhält dafür die Empfängeradresse und den Inhalt der E-Mail und verarbeitet sie als unser Auftragsverarbeiter innerhalb der EU. Die Verbindung zu Brevo ist verschlüsselt. Aus Sicherheitsgründen leitet Brevo Links in E-Mails über eigene Adressen weiter und zählt Öffnungen und Klicks; diese Zählung ist bei uns anonymisiert, also ohne Bezug zu dir. Wir werten nicht aus, ob du eine E-Mail öffnest oder einen Link anklickst.

Zusätzlich schicken wir dir höchstens zwei E-Mails zur Nutzung des Dienstes: einen Tag nach der Registrierung Tipps für den Einstieg, falls dein Assistent noch nicht auf deine Konten zugegriffen hat, und einen Tag vor Ende der Testphase eine Erinnerung, falls du noch kein Abo abgeschlossen hast. Damit der Inhalt passt, prüfen wir, ob du eine Bank verbunden und einen Assistenten hinzugefügt hast und wie oft dieser auf deine Konten zugegriffen hat (Abschnitt 9). Welche dieser E-Mails wir dir wann geschickt haben, speichern wir, damit jede nur einmal verschickt wird. Newsletter oder Werbung für andere Produkte versenden wir nicht.

Diese beiden E-Mails kannst du jederzeit abbestellen: über den Link in jeder dieser E-Mails, über die Abmeldefunktion deines E-Mail-Programms oder in den Kontoeinstellungen. Anmeldecodes und Bestätigungen erhältst du weiterhin, weil wir den Dienst ohne sie nicht erbringen können.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Service-E-Mails; für Tipps und Erinnerung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, dir beim Einrichten und Weiternutzen des von dir gewählten Dienstes zu helfen). Du kannst dem jederzeit widersprechen (Art. 21 DSGVO), am einfachsten durch Abbestellen.

8. Bankdaten (finAPI)

Die Verbindung zu deiner Bank stellt die finAPI GmbH (München) her, ein von der BaFin beaufsichtigter Kontoinformationsdienst. Deine Bank-Zugangsdaten gibst du ausschließlich im Formular von finAPI ein; BankingMCP sieht sie nie.

Für jedes BankingMCP-Konto legen wir bei finAPI ein eigenes Nutzerkonto an. Dessen Passwort speichern wir verschlüsselt (AES-256-GCM).

Bei uns gespeichert werden die verbundenen Banken (Name und Logo-Adresse der Bank) sowie je Konto Name, IBAN, Kontotyp und Währung, dazu die Kennungen, unter denen finAPI diese Konten führt, und der Status eines laufenden Verbindungsvorgangs. Kontostände und Umsätze speichern wir nicht: Sie werden bei jeder Anfrage deines Assistenten direkt bei finAPI abgerufen und nur an diesen weitergegeben.

Auf der Startseite kannst du ohne Konto prüfen, ob deine Bank unterstützt wird. Dabei senden wir nur deinen Suchbegriff an finAPI und halten das Ergebnis für eine Stunde im Arbeitsspeicher vor. Wir speichern weder die Suche noch eine Verbindung zu dir.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Wenn du eine Bank trennst oder dein Konto löschst, werden die Daten bei uns und bei finAPI gelöscht.

9. KI-Assistenten

Jeder Assistent, den du hinzufügst, erhält eine eigene, geheime MCP-Adresse. Wir speichern den Namen, den du vergibst, den Zeitpunkt des Hinzufügens und der letzten Nutzung, ob der Zugang aktiv ist, sowie die Adresse selbst (verschlüsselt) und ihren Hash, über den wir eintreffende Anfragen zuordnen.

Zu jeder Abfrage protokollieren wir Zeitpunkt, Art der Abfrage (z. B. Kontostände oder Umsätze) und das betroffene Konto, damit du die Aktivität nachvollziehen kannst. Die Inhalte deiner Fragen und die übermittelten Umsätze speichern wir dabei nicht. Diese Einträge werden nach 90 Tagen gelöscht.

Verbindest du einen Assistenten wie Claude (Anthropic), ChatGPT (OpenAI), Le Chat (Mistral AI) oder Cursor, erhält dieser Anbieter die Kontodaten und Umsätze, die der Assistent zur Beantwortung deiner Fragen abruft. Diese Übermittlung veranlasst du selbst; ab dann gelten die Datenschutzbestimmungen des jeweiligen Anbieters, der eigenverantwortlich handelt und Daten teilweise außerhalb der EU verarbeitet. Bitte prüfe dessen Einstellungen, etwa zur Nutzung deiner Chats für Training.

Du kannst jeden Assistenten jederzeit deaktivieren oder entfernen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Zahlungen (Stripe)

Abonnements wickelt Stripe Payments Europe, Ltd. (Dublin, Irland) ab. Zahlungsdaten gibst du direkt bei Stripe ein; wir speichern sie nicht. Wir erhalten von Stripe nur eine Kunden- und Abo-Kennung, den Abo-Status, das Ende des Abrechnungszeitraums und ob zum Ende gekündigt wurde.

Vor dem Bezahlvorgang bestätigst du, dass wir schon vor Ablauf der Widerrufsfrist mit der Leistung beginnen dürfen. Den Zeitpunkt dieser Bestätigung speichern wir als Nachweis, ebenso wie Stripe ihn zum Abo vermerkt.

Stripe kann Daten auch in den USA verarbeiten. Grundlage dafür sind das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO für den Nachweis der Bestätigung und für gesetzliche Aufbewahrungspflichten von Rechnungen.

11. Kündigungen

Über den Kündigungsbutton kannst du ohne Anmeldung kündigen. Wir verarbeiten dafür die Angaben, die du im Formular machst: Art der Kündigung, einen etwaigen Kündigungsgrund, die E-Mail-Adresse deines Kontos, freiwillige weitere Angaben zur Identifizierung, den gewünschten Beendigungszeitpunkt und die Adresse, an die die Bestätigung gehen soll. Dazu kommt der Zeitpunkt des Eingangs.

Diese Angaben brauchen wir, um die Kündigung umzusetzen und dir den Eingang in Textform zu bestätigen, wie es § 312k BGB vorschreibt. Weicht die Bestätigungsadresse von der Adresse deines Kontos ab, erfährt sie nur, dass die Erklärung eingegangen ist; ob ein Vertrag besteht und wann er endet, geht ausschließlich an die Adresse des Kontos.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht zur Bestätigung). Wir bewahren die Erklärung und die Bestätigung auf, solange Ansprüche aus dem Vertrag geltend gemacht werden können.

12. Interne Benachrichtigungen

Bei wichtigen Kontoereignissen (z. B. Registrierung, Anmeldung, verbundene Bank, abgeschlossenes oder beendetes Abo, Kündigung, Kontolöschung) erhalten wir eine kurze interne E-Mail mit deiner E-Mail-Adresse, deiner Nutzer-ID und dem Ereignis. Sie dient der Fehlerbehebung und der Betreuung des Dienstes. Anmeldecodes, Bank- oder Umsatzdaten enthält sie nicht.

Diese E-Mails werden über Brevo versendet und in unserem Postfach bei Google (Google Ireland Limited, Dublin, Irland) empfangen. Google kann Daten auch in den USA verarbeiten; Grundlage sind das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zuverlässigen Betrieb).

13. Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine Nachricht und E-Mail-Adresse, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b bzw. f DSGVO), und löschen sie, wenn sie nicht mehr benötigt wird.

14. Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht. Löschst du dein Konto, entfernen wir sofort deine Kontodaten, Sitzungen, Assistenten samt Aktivität und Bankdaten, trennen deine Banken bei finAPI und kündigen dein Abo bei Stripe. Aus den verschlüsselten Datenbanksicherungen verschwinden die Daten spätestens nach 14 Tagen.

Unabhängig davon löschen wir die Aktivität deiner Assistenten nach 90 Tagen und abgelaufene Anmeldecodes und Sitzungen fortlaufend.

Daten, die wir aus gesetzlichen Gründen aufbewahren müssen (z. B. Rechnungen bis zu 10 Jahre), werden bis zum Ablauf dieser Frist gesperrt und nicht weiter genutzt.

15. Sicherheit

Alle Verbindungen sind per TLS verschlüsselt und werden über HSTS erzwungen. Sitzungsschlüssel, Anmeldecodes und Wiederherstellungscodes speichern wir nur gehasht, MCP-Adressen und Schlüssel verschlüsselt (AES-256-GCM). Anmelde- und Abrufversuche sind begrenzt, um Missbrauch zu verhindern, und du kannst dein Konto zusätzlich mit einer Authenticator-App absichern.

Die Datenbank ist von außen nicht erreichbar. Die Website setzt Schutz-Header gegen Einbetten in fremde Seiten und gegen das Ausleiten von Adressen an Dritte.

16. Keine automatisierte Entscheidung

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile über dich. Was ein KI-Assistent aus deinen Daten macht, entscheidet der Assistent, den du verbindest, nicht BankingMCP.

17. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten, kannst du widersprechen (Art. 21). Deine E-Mail-Adresse kannst du selbst in den Kontoeinstellungen ändern und dein Konto dort jederzeit löschen.

Die Angabe deiner E-Mail-Adresse und die Verbindung mindestens einer Bank sind nicht gesetzlich vorgeschrieben, aber für die Nutzung des Dienstes erforderlich: Ohne sie können wir BankingMCP nicht bereitstellen.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) in Düsseldorf.

18. Änderungen dieser Datenschutzerklärung

Entwickelt sich der Dienst weiter oder ändert sich die Rechtslage, passen wir diese Erklärung an. Es gilt jeweils die hier veröffentlichte Fassung mit dem oben genannten Stand. Über wesentliche Änderungen informieren wir dich vorab per E-Mail oder in der App.