Wir lesen nichts. Du gibst uns Zugriff, nie umgekehrt.
Hier stehen konkrete Fakten – kein „DSGVO-konform" als Floskel. Was wir tun, was wir nicht tun, und was passiert, wenn dem Solo-Entwickler etwas zustößt.
Unsere sechs Versprechen
Jeder Punkt ist technisch umgesetzt – nicht nur eine Behauptung in der Datenschutzerklärung.
Wir lesen nichts
Niemand bei Nuvestra schaut in deine Belege oder Transaktionen. Datenbank-Zugriff durch den Solo-Entwickler ist auf technische Diagnose beschränkt und im Audit-Log nachweisbar.
Kein Banking-Zugriff
Anders als Outbank oder Finanzguru bekommt Nuvestra deine Kontodaten nicht direkt von der Bank. Du importierst CSV-Dateien selbst – wir sehen nur, was du uns gibst. Kein PSD2, keine Banking-Vollmacht.
Server in Frankfurt, nicht in Irland oder USA
Datenbank und Beleg-Storage liegen bei Supabase EU-Central-1 (Frankfurt). Hosting der Webapp bei Vercel mit EU-Region. Kein US-Cloud-Provider im Datenpfad für deine Inhalte.
Kein Investor, der deine Daten monetarisieren will
Nuvestra ist eigenfinanziert von einem Solo-Entwickler aus Deutschland. Keine VC-Investoren, keine Werbe-Erlöse, keine Datenweitergabe an Dritte. Einnahmen kommen ausschließlich aus Abos.
Du kannst alles in einem Klick exportieren
Vollständiger Daten-Export als CSV / ZIP jederzeit über die Einstellungen. Inklusive aller Belege, Transaktionen und Audit-Logs. Kein Lock-in.
Du kannst alles in einem Klick löschen
Account-Löschung sofort möglich. Daten werden innerhalb von 30 Tagen aus Live-Datenbank und Backups entfernt – nur GoBD-relevante Business-Belege bleiben gemäß § 147 AO (10 Jahre). Genau, was du gewählt hast, nicht mehr.
Was Nuvestra nicht tut
Negative Aufzählungen sind oft aussagekräftiger als positive – weil sie schwerer zu fälschen sind.
- ✗Kein Verkauf oder Weitergabe deiner Daten an Werbenetzwerke, Adresshändler oder Analyse-Dienste.
- ✗Kein PSD2-Zugriff auf dein Bankkonto – Nuvestra hat keine Konto-Vollmacht.
- ✗Keine LLM-Trainings auf deinen Daten (OCR-Erkennung läuft transaktional bei Google Vision EU, ohne dauerhafte Speicherung).
- ✗Kein Tracking durch Drittanbieter ohne dein Cookie-Consent (Plausible/Posthog optional, Google Consent Mode v2).
- ✗Keine versteckten Pflicht-Verbindungen zu US-Diensten für deine Inhaltsdaten.
Wie wir das technisch absichern
Vier Schichten – jede unabhängig prüfbar.
Biometrie (WebAuthn) + Zwei-Faktor (MFA)
Login mit Fingerabdruck/Face-ID oder TOTP-App. Optional pro Account aktivierbar. Sessions laufen nach Inaktivität automatisch ab.
Audit-Log mit Hash-Chain (SHA-256)
Jede Änderung an Belegen oder Transaktionen wird unveränderbar protokolliert: wer, wann, was geändert, vorher/nachher. Manipulation wäre durch die Hash-Verkettung sofort sichtbar.
Periodensperre + Aufbewahrungspflicht
Geschlossene Geschäftsjahre sind editier- und löschgesperrt. Business-Belege werden technisch 10 Jahre lang gegen Löschen geschützt – sowohl die Metadaten als auch die Datei im Storage (§ 147 AO / § 257 HGB).
Row-Level-Security auf jeder Datenbank-Tabelle
Jede Datenbankzeile ist durch RLS-Policies geschützt: ein User kann technisch nicht auf Daten eines anderen Haushalts zugreifen, selbst wenn er die Datenbank direkt abfragen könnte.
Was passiert, wenn dem Solo-Entwickler etwas zustößt?
Berechtigte Frage. Ein Solo-Anbieter ist nicht gleichbedeutend mit „im Schadensfall sind deine Daten weg". So ist es geregelt:
Es gibt einen schriftlich dokumentierten Notfallplan mit benannter Vertrauensperson, die im Ernstfall Zugriff auf die Infrastruktur erhält, um die User-Daten geordnet zur Verfügung zu stellen.
Sollte der Betrieb eingestellt werden, bekommst du per E-Mail einen Hinweis und 30 Tage Zeit, einen vollständigen Export aller Daten herunterzuladen. Auf Wunsch wird ein automatischer Export per E-Mail zugestellt.
Alle Exporte sind in offenen Formaten (CSV, ZIP, PDF). Du kannst sie in jede andere Buchhaltungs-Software importieren oder einfach im Archiv ablegen.
Tech-Stack in einem Satz
Noch eine Frage zur Sicherheit?
Direkt an den Solo-Entwickler. Antwort in der Regel binnen 24 h.
Diese Seite beschreibt den technischen und organisatorischen Stand zum Zeitpunkt der Veröffentlichung. Bei substanziellen Änderungen wird sie aktualisiert und das Datum unten angepasst.
Stand: Juni 2026