Was gespeichert wird, was nicht, und wie Sie alles zurücknehmen. Aus dem Code geschrieben statt aus einer Vorlage, sodass jeder Satz hier gegen eine Datei geprüft werden kann.
2026-10-12
4 Envelopes ist ein Dienst für die eigene Haushaltsplanung: vier Wochenumschläge, Konten in mehreren Währungen, geplante und einmalige Zahlungen, Ziele. Betrieben wird er von der Person, die ihn geschrieben hat, und die Adresse für alles auf dieser Seite — eine Frage, eine Korrektur, die Bitte etwas zu löschen — ist info@4envelopes.app.
Einen anderen Weg zu uns gibt es nicht. Es antwortet ein Mensch, keine Warteschlange.
Ihre E-Mail-Adresse, der angegebene Name (oder der Teil der Adresse vor dem @, wenn Sie keinen angegeben haben), die Sprache, in der Sie lesen, die Währung, in der summiert wird, und die Reihenfolge, die Sie für Ihre Listen wünschen.
Das Geld, das Sie selbst eintragen: Konten und ihre Salden, Zahlungen und Eingänge, Umbuchungen, geplante Zahlungen, Ziele und die Notizen dazu. Das ist der Sinn des Dienstes, und es bleibt, bis Sie es löschen.
Ein Passwort wird nie gespeichert. Gespeichert wird ein scrypt-Hash davon, aus dem sich das Passwort nicht zurücklesen lässt. Bei der Anmeldung mit Google oder Apple wird gar kein Passwort gespeichert — wir sehen keines. Eine angemeldete Sitzung ist ein zufälliges Token; per E-Mail verschickte Links liegen als SHA-256-Hash, sodass eine Kopie dieser Tabelle eine Liste von Hashes ist und kein Satz funktionierender Links.
Ein fotografierter Kassenbon wird auf dem Gerät gelesen. Das Foto wird nie hochgeladen, nie gespeichert und von uns nie gesehen — übertragen wird nur der erkannte Text, und nur damit daraus ein Zahlungsentwurf wird, den Sie selbst bestätigen.
Eine eingefügte Bank-Nachricht wird im selben Request gelesen und vergessen. Keine Spalte hält sie, keine Logzeile trägt sie. Eine Bank-Nachricht nennt ein Geschäft, eine Karte und einen Saldo, und nichts davon steht uns zu.
Eine Ausgabe zu sprechen ist freiwillig und geschieht nur in der Handy-App, nur nachdem Sie das Mikrofon gedrückt haben, und nur solange dieses Fenster offen ist. Der Sprachdienst Ihres Telefons macht aus dem Gesagten Text, und nur dieser Text wird an uns gesendet — damit daraus ein Entwurf wird, den Sie selbst bestätigen. Der Text wird in derselben Anfrage gelesen und vergessen: Keine Spalte speichert ihn, keine Logzeile enthält ihn. Die Aufnahme selbst erhalten wir nie.
Wo der Sprachdienst arbeitet, entscheidet die Plattform, nicht wir. Auf dem iPhone bleibt Apples Erkennung auf dem Gerät für die Sprachen, die das iPhone selbst erkennen kann; für die übrigen verarbeitet Apple die Aufnahme auf seinen Servern, nach Apples Datenschutzrichtlinie. Unter Android kann der Sprachdienst des Systems — auf fast jedem Telefon der von Google — die Aufnahme auf Googles Servern verarbeiten, nach Googles Datenschutzerklärung.
Damit er sie erkennt, erhält der Sprachdienst auf dem iPhone mit der Aufnahme die Namen Ihrer Konten. Sonst nichts über Ihr Geld.
Der Bot ist freiwillig. Nichts gelangt zu Telegram, solange Sie ihn nicht selbst verbinden, in den Einstellungen der Telefon-App.
Ist er verbunden, laufen das, was Sie dem Bot senden, und seine Antworten — Einträge, Salden, Umschläge, letzte Zahlungen — über die Server von Telegram und unterliegen dessen eigener Datenschutzerklärung. Er antwortet nur im privaten Chat.
Wir speichern die Nummer des Chats, verknüpft mit Ihrem Konto, das Konto und die Währung, die Sie für die Eingabe gewählt haben, und — bis Sie bestätigen, abbrechen oder ersetzen — Betrag, Notiz und Datum aus Ihrer letzten Zeile. Der Text Ihrer Nachrichten wird nicht gespeichert. Der einmalige Link, der einen Chat verbindet, wird als Hash aufbewahrt und gilt fünfzehn Minuten.
Trennen — /unlink im Chat oder die Telegram-Karte in den Einstellungen — entfernt die Verknüpfung. Das Löschen des Kontos entfernt sie mit allem anderen.
Von unserer Seite keine Analytik, kein Tracking, keine Werbe-IDs, kein Profiling. Nicht „anonymisierte" Analytik — gar keine. Die einzigen Diagnosedaten, die das Telefon verlassen, sind die von ML Kit auf Android, und sie gehen an Google, nicht an uns — siehe oben.
Kein Standort, keine Kontakte, keine Fotomediathek, und an uns geht nie eine Gerätekennung. Die Kamera wird nur benutzt, wenn Sie sie auf einen Kassenbon richten.
Diese Website setzt keine Cookies und stellt keinerlei Anfrage an Dritte — keine Schriften, keine Skripte, keine Zählpixel. Die App hält Ihr Sitzungs-Token im Browser oder auf dem Telefon, was Sie angemeldet hält, und sonst nichts.
Alles bleibt, bis Sie es löschen. Es verfällt nichts von selbst, denn ein Haushaltsbuch wird mit der Zeit wertvoller.
Das Konto zu löschen entfernt alles in einem Schritt — Konten, Zahlungen, geplante Zahlungen, Ziele, Einstellungen, Sitzungen und den Abo-Eintrag — und es lässt sich nicht rückgängig machen. Es steht in den Einstellungen, in der App und im Browser, und es funktioniert auch, wenn die Testzeit abgelaufen ist.
Zwei Dinge überleben das Löschen und stehen nicht in unserer Hand: was Apple oder Google über einen Kauf führt, und was Ihr Mailanbieter von unseren Nachrichten behalten hat. Ein Abo kündigen Sie im Store — das Löschen des Kontos hier kündigt es nicht.
Einen Datenexport gibt es noch nicht. Wenn Sie vor dem Löschen eine Kopie Ihrer Aufzeichnungen möchten, schreiben Sie uns, und wir schicken sie.
Diese Seite ändert sich, wenn der Code sich ändert, und das Datum oben sagt, wann zuletzt. Ein Archiv früherer Fassungen gibt es nicht; die Historie liegt in dem Repository, aus dem diese Website gebaut wird.