Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist: Sebastian Wittig, Am Lindenplatz 18, 47829 Krefeld, Deutschland, E-Mail: info@aktien-signalkompass.de.

2. Überblick

Wir verarbeiten personenbezogene Daten nur, soweit dies für einen funktionsfähigen, sicheren Dienst erforderlich ist. Soweit wir Einwilligungen einholen (z. B. für optionale Funktionen), kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Nutzungs-/Vertragsverhältnis), lit. f (berechtigte Interessen, v. a. Sicherheit) und lit. a (Einwilligung).

3. Hosting

Die Plattform wird bei einem Dienstleister in Deutschland gehostet: Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Der Anbieter verarbeitet die zur Bereitstellung anfallenden Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere, effiziente Bereitstellung).

4. Server-Logfiles

Beim Aufruf der Seiten werden technisch notwendige Zugriffsdaten verarbeitet (u. a. IP-Adresse, Datum/Uhrzeit, aufgerufene Ressource, Statuscode, User-Agent). Zweck: Auslieferung, Stabilität und Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 14 Tage — ältere Zugriffsdaten werden automatisch gelöscht. Technische Diagnoseprotokolle ohne Personenbezug (Fehler- und Prozessprotokolle) werden auf die jeweils jüngsten Einträge begrenzt.

5. Nutzerkonto, Registrierung & Beta-Bewerbung

Für ein Konto verarbeiten wir Benutzername, E-Mail-Adresse und ein Passwort (gespeichert ausschließlich als kryptografischer Hash, niemals im Klartext). Im Rahmen der Registrierung (Double-Opt-In) speichern wir bis zur Bestätigung vorübergehend die Anmeldedaten (E-Mail, Benutzername, Passwort-Hash, Bestätigungs-Token-Hash) sowie den Zeitpunkt deiner Zustimmung zu Nutzungsbedingungen und dieser Datenschutzerklärung. Erst nach Klick auf den Bestätigungslink wird das Konto angelegt; unbestätigte Anmeldungen werden nach kurzer Zeit automatisch verworfen. Zweck: Bereitstellung des personalisierten Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Beta-Bewerbung. Während der Beta-Phase erfolgt der Zugang nicht über eine offene Registrierung, sondern über eine kurze Bewerbung. Dabei verarbeiten wir die von dir angegebenen Daten: Name, E-Mail-Adresse, deine Antworten auf die Qualifizierungsfragen (u. a. Anlage-Erfahrung, Handelsfrequenz, Strategie-Interessen, genutzte Tools, ungefähre Portfolio-Größe, Feedback-Bereitschaft), eine optionale Freitext-Angabe zu deinen Erwartungen sowie den Zeitpunkt deiner Einwilligung in diese Verarbeitung. Zum Schutz vor automatisiertem Missbrauch des Formulars setzen wir – wie bei der Anmeldung (Abschnitt 7) – eine Rechenaufgabe (Captcha) und eine IP-basierte Drosselung ein. Die Angaben dienen ausschließlich der Auswahl geeigneter Beta-Tester und der Kontaktaufnahme zur Einladung; sie werden nicht an Dritte weitergegeben und nicht für Werbung genutzt. Wirst du zugelassen, erhältst du einen Einladungslink, über den aus der Bewerbung dein Nutzerkonto entsteht (siehe oben); andernfalls werden Bewerbungen nach Abschluss des Auswahlverfahrens bzw. nach Ablauf einer Aufbewahrungsfrist (90 Tage ab Eingang) gelöscht. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen und die Löschung deiner Bewerbung verlangen (Abschnitt 17). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bzw. lit. b DSGVO (Anbahnung des Nutzungsverhältnisses).

6. Konto-Sicherheit (E-Mail-Bestätigung, Passwort-Reset, Zwei-Faktor-Authentisierung)

Zur Absicherung des Kontos verarbeiten wir zeitlich begrenzte Einmalcodes bzw. Token (E-Mail-Bestätigung, Passwort-Zurücksetzen, optionale Zwei-Faktor-Authentisierung per E-Mail). Diese werden nur als Hash gespeichert, sind einmalig verwendbar und laufen ab. Aktivierst du „Diesem Gerät vertrauen", setzen wir ein technisch notwendiges Cookie, um den zweiten Faktor für einen begrenzten Zeitraum zu überspringen. Zweck/Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Schutz deines Kontos).

7. Schutz vor missbräuchlicher Anmeldung (Brute-Force-Schutz)

Zur Abwehr automatisierter Angriffe protokollieren wir Anmeldeversuche (IP-Adresse, Zeitpunkt, Erfolg/ Misserfolg, eingegebene Kennung) in einer gesonderten Datenbank und drosseln/sperren auffällige Quellen vorübergehend. Bei wiederholten Fehlversuchen kann eine einfache Rechenaufgabe (Captcha) verlangt werden. Zweck: IT-Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 30 Tage, danach automatische Löschung.

8. Watchlists und Portfolio-/Positionsdaten

Im angemeldeten Bereich kannst du Wertpapiere beobachten und eigene Positionen/Portfolios hinterlegen (z. B. Symbol, Stückzahl, Einstandskurs, Datum). Diese Angaben verarbeiten wir ausschließlich zur Erbringung des Dienstes für dich; sie werden nicht an Dritte weitergegeben und nicht für Werbung genutzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Löschung mit Löschen der Daten bzw. des Kontos.

9. E-Mail-Versand

Zum Versand von Konto-E-Mails (Bestätigung, Passwort-Reset, Sicherheitscodes) und – sofern von dir aktiviert – Benachrichtigungen nutzen wir den E-Mail-/SMTP-Dienst unseres Hosting-Anbieters Mittwald CM Service GmbH & Co. KG (siehe Abschnitt 3; Auftragsverarbeitung nach Art. 28 DSGVO). Dabei werden deine E-Mail-Adresse und der Nachrichteninhalt verarbeitet (Auftragsverarbeitung, Art. 28 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Konto-E-Mails) bzw. lit. a DSGVO (optionale Benachrichtigungen).

10. Push-Benachrichtigungen (optional)

Wenn du Web-Push aktivierst, speichern wir die von deinem Browser bereitgestellte Push-Anmeldung (Endpunkt-URL und kryptografische Schlüssel), um dir Signalwechsel mitzuteilen. Du kannst Push jederzeit in den Einstellungen bzw. im Browser widerrufen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

11. Optionale KI-Anreicherung

Zu einzelnen Wertpapieren rufen wir ergänzende Einordnungen über die Gemini-Programmierschnittstelle von Google ab (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; technische Verarbeitung auch durch Google LLC, USA).

Dabei werden ausschließlich öffentliche Bezugsdaten übermittelt – das Ticker-Symbol bzw. der Unternehmensname und die Frage, zu der eine Einordnung gesucht wird. Nicht übermittelt werden Konto-, Watchlist- oder Portfoliodaten, IP-Adressen unserer Nutzerinnen und Nutzer oder die Information, wer einen Titel beobachtet. Die Abfrage erfolgt serverseitig, gebündelt für alle beobachteten Titel und ohne jeden Bezug zu einzelnen Personen; sie findet unabhängig davon statt, ob gerade jemand angemeldet ist.

Warum hier keine Auftragsverarbeitung genannt wird: Wir nutzen das frei zugängliche Kontingent der Gemini-Schnittstelle. Nach den Bedingungen dieses Angebots kann Google die übermittelten Inhalte zur Verbesserung seiner Dienste auswerten und dabei auch von Menschen prüfen lassen – Google handelt insoweit nicht als weisungsgebundener Auftragsverarbeiter. Genau deshalb übermitteln wir dorthin keine personenbezogenen Daten: Was wir senden, ist öffentlich bekannt und niemandem zuzuordnen. Eine Auftragsverarbeitung nach Art. 28 DSGVO ist damit weder gegeben noch erforderlich.

Die abgerufenen Einordnungen zeigen wir allen Nutzerinnen und Nutzern gleichermaßen an; sie sind kein personenbezogenes Profil. Rechtsgrundlage für die Anzeige: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes).

Optionaler KI-Bild-/Screenshot-Import (Tabellenerkennung). Zusätzlich kannst du – sofern diese Funktion freigeschaltet ist – eine bestehende Watchlist oder ein Portfolio per Bild/Screenshot/Foto importieren. Lädst du ein Bild hoch, übermitteln wir dessen Inhalt zur Texterkennung (Erkennung der enthaltenen Tabelle) an den KI-Dienst Google Gemini. Anders als bei der KI-Anreicherung oben kann ein solches Bild personenbezogene Daten enthalten, die über das reine Wertpapier hinausgehen (z. B. Depot-/ Kontonummern, Namen, Bestände oder Salden) – du entscheidest selbst, welches Bild du hochlädst; wir empfehlen, nicht benötigte oder sensible Bildbereiche vor dem Upload zuzuschneiden oder zu schwärzen. Das Bild wird ausschließlich flüchtig im Arbeitsspeicher zur Erkennung verarbeitet, von uns nicht dauerhaft gespeichert und nicht protokolliert und unmittelbar nach der Verarbeitung verworfen; dauerhaft gespeichert werden nur die von dir anschließend im Prüfdialog bestätigten Tabellendaten (als Watchlist-/ Portfolio-Eintrag, siehe Abschnitt 8). Die Übermittlung an Google kann eine Verarbeitung in einem Drittland (USA) umfassen; Vertragspartner ist Google Ireland Limited, die Verarbeitung kann durch Google LLC in den USA erfolgen.

Wichtig, bitte lies das vor dem Hochladen: Wir nutzen für die Erkennung das frei zugängliche Kontingent der Gemini-Schnittstelle. Nach den Bedingungen dieses Angebots darf Google die übermittelten Inhalte zur Verbesserung seiner Dienste auswerten und dabei auch von Menschen prüfen lassen. Für ein Bild bedeutet das: Was darauf zu sehen ist, verlässt unseren Einflussbereich. Lade deshalb keine Bilder hoch, auf denen Konto- oder Depotnummern, Adressen, Namen Dritter oder Kontostände zu sehen sind – schneide solche Bereiche vorher ab oder schwärze sie, oder nutze den Excel-/CSV-Import, bei dem nichts an Dritte geht. Wie lange Google die Inhalte aufbewahrt und wie es sie im Einzelnen weiterverarbeitet, bestimmt Google in seinen eigenen Bedingungen; darauf haben wir keinen Einfluss.

Diese Übermittlung erfolgt nur mit deiner ausdrücklichen Einwilligung je Upload (Bestätigung unmittelbar vor dem Senden); ohne Einwilligung wird kein Bild gesendet. Der Bildimport ist freiwillig – alternativ kannst du per Excel-/CSV-Datei importieren, die serverseitig ohne Übermittlung an Dritte verarbeitet wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); der Widerruf mit Wirkung für die Zukunft ist jederzeit möglich (Abschnitt 17).

12. Marktdatenabruf

Zur Erzeugung der Signale rufen wir Kurs- und Fundamentaldaten von Finanzdaten-Anbietern ab (Yahoo Finance als Primärquelle; ergänzend bzw. als Ausweichquelle Alpha Vantage, Finnhub, Tiingo, Twelve Data und Financial Modeling Prep). Diese Abrufe erfolgen serverseitig und enthalten keine personenbezogenen Daten der Nutzerinnen und Nutzer.

13. Cookies, lokale Speicherung und Einwilligungsbanner

Wir setzen technisch notwendige Cookies ein: ein signiertes Sitzungs-Cookie (Login), das „Gerät vertrauen"-Cookie (Abschnitt 6), die Theme-Auswahl sowie das Consent-Cookie sk_consent, mit dem wir deine Datenschutz-Auswahl speichern. Eine Einwilligung ist hierfür nicht erforderlich (§ 25 Abs. 2 TDDDG), die Nutzung wird hier transparent beschrieben.

Im Browser können außerdem lokale Einstellungen gespeichert werden (z. B. geöffnete Tabellen, aktive Reiter, Sortier-/Layoutzustände). Diese Speicherung dient der Bedienbarkeit der Software und wird nicht zu Werbe- oder Profilingzwecken genutzt.

Die öffentliche Landingpage ist für optionale Analyse-/UX-Dienste vorbereitet. Diese Dienste werden erst geladen, wenn du aktiv einwilligst:

• Analyse: Google Analytics (Measurement-ID G-B7PG5W3H3X), Anbieter: Google Ireland Limited,

Gordon House, Barrow Street, Dublin 4, Irland, für die EU als Auftragsverarbeiter auf Grundlage der Google-Datenverarbeitungsbedingungen für Werbeprodukte (Art. 28 DSGVO). Die Verarbeitung kann auch durch Google LLC in den USA erfolgen; Grundlage sind die EU-Standardvertragsklauseln und die Zertifizierung nach dem EU-US Data Privacy Framework. Zweck ist die Reichweiten-, Geräte-, Standort- und Kampagnenmessung. IP-Adressen werden von Google Analytics 4 vor der Speicherung gekürzt. Google-Signale, personalisierte Anzeigen und die Erhebung von durch Nutzer bereitgestellten Daten setzen wir nicht ein. Die Aufbewahrungsdauer für nutzer- und ereignisbezogene Daten ist auf 2 Monate eingestellt (kürzestmögliche Einstellung); aggregierte Berichtsdaten bleiben darüber hinaus bestehen.

• Session-Replay/UX-Analyse: Microsoft Clarity (Projekt-ID x79oyp5t7m), Anbieter: Microsoft

Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, als Auftragsverarbeiter auf Grundlage des Microsoft-Datenschutznachtrags (Art. 28 DSGVO); eine Verarbeitung durch die Microsoft Corporation in den USA ist möglich, gestützt auf die EU-Standardvertragsklauseln und die Zertifizierung nach dem EU-US Data Privacy Framework. Erfasst werden Klicks, Scrollverhalten und Sitzungsaufzeichnungen. Die Maskierung von Eingabefeldern und Textinhalten ist auf die strikte Stufe gesetzt, sodass eingegebene Inhalte in den Aufzeichnungen unkenntlich bleiben. Sitzungsaufzeichnungen werden nach 30 Tagen gelöscht, aggregierte Auswertungen nach 13 Monaten. Zugriff auf die Aufzeichnungen hat ausschließlich der unter Abschnitt 1 genannte Verantwortliche.

Ohne Einwilligung werden Analyse- und Session-Replay-Skripte nicht geladen. Du kannst deine Auswahl jederzeit über die Datenschutz-Einstellungen der Landingpage ändern.

Wichtig: Das Consent-Banner steuert technisch, ob Google Analytics und Microsoft Clarity überhaupt geladen werden. Die Einstellungen in den jeweiligen Anbieter-Konten (z. B. Datenaufbewahrung, Masking, Google-Signale, personalisierte Anzeigen, Zugriff auf Session-Replays) müssen zusätzlich separat datenschutzkonform gesetzt werden; diese Konto-Einstellungen können nicht vollständig durch das Banner ersetzt werden.

14. Zahlungsabwicklung

Derzeit findet keine Zahlungsabwicklung statt. Die Nutzung ist unentgeltlich, es gibt keine kostenpflichtigen Tarife, und es werden keine Zahlungs-, Rechnungs- oder Transaktionsdaten erhoben.

Für den Fall, dass später kostenpflichtige Tarife eingeführt werden, ist Stripe als Zahlungsdienstleister vorgesehen (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland). Stripe würde dann je nach gewählter Zahlungsart Zahlungs-, Rechnungs- und Transaktionsdaten verarbeiten (z. B. Name, E-Mail-Adresse, Zahlungsstatus, Zahlungsart, Abrechnungsbetrag). Rechtsgrundlage wäre Art. 6 Abs. 1 lit. b DSGVO; soweit Stripe als Auftragsverarbeiter tätig wird, auf Grundlage eines Vertrags nach Art. 28 DSGVO, soweit Stripe eigene gesetzliche Pflichten (etwa aus dem Geldwäsche- oder Steuerrecht) erfüllt, als eigenständig Verantwortlicher. Diese Erklärung wird vor der Einführung eines kostenpflichtigen Tarifs entsprechend angepasst und dir zugänglich gemacht.

15. Empfänger / Auftragsverarbeiter

Eine Weitergabe erfolgt nur an die zur Bereitstellung erforderlichen Dienstleister, an Stellen aufgrund gesetzlicher Verpflichtungen oder mit deiner Einwilligung. Im Einzelnen sind das:

| Empfänger | Wofür | Grundlage | |---|---|---| | Mittwald CM Service GmbH & Co. KG, Espelkamp | Hosting und E-Mail-Versand (Abschnitte 3, 9) | Auftragsverarbeitung, Art. 28 DSGVO | | Google Ireland Limited / Google LLC | Texterkennung hochgeladener Bilder (Abschnitt 11) – nur bei ausdrücklicher Einwilligung je Upload | Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; keine Auftragsverarbeitung (siehe Abschnitt 11) | | Google Ireland Limited / Google LLC | Reichweitenmessung auf der Landingpage (Abschnitt 13) – nur bei Einwilligung | Auftragsverarbeitung, Art. 28 DSGVO | | Microsoft Ireland Operations Limited / Microsoft Corporation | UX-Analyse auf der Landingpage (Abschnitt 13) – nur bei Einwilligung | Auftragsverarbeitung, Art. 28 DSGVO |

Die serverseitigen Abrufe von Kurs- und Fundamentaldaten (Abschnitt 12) sowie die KI-Anreicherung zu Wertpapieren (Abschnitt 11) enthalten keine personenbezogenen Daten – die dortigen Anbieter sind deshalb keine Empfänger deiner Daten. Ein Verkauf von Daten findet nicht statt.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Überblick:

| Daten | Frist | |---|---| | Konto, Watchlist, Portfolio (Abschnitte 5, 8) | bis zur Löschung des Kontos durch dich | | Unbestätigte Registrierungen (Abschnitt 5) | werden kurzfristig automatisch verworfen | | Beta-Bewerbungen (Abschnitt 5) | 90 Tage ab Eingang | | Protokoll der Anmeldeversuche (Abschnitt 7) | 30 Tage | | Server-Logfiles (Abschnitt 4) | siehe dort | | Google Analytics (Abschnitt 13) | 2 Monate für nutzer- und ereignisbezogene Daten | | Microsoft Clarity (Abschnitt 13) | 30 Tage für Sitzungsaufzeichnungen, 13 Monate für Auswertungen |

Eine Zahlungsabwicklung findet derzeit nicht statt (Abschnitt 14); entsprechend werden dafür keine Daten gespeichert.

17. Deine Rechte

Du hast nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen. Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde (Art. 77). Wende dich für die Ausübung an die unter Abschnitt 1 genannte Adresse.

Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf (poststelle@ldi.nrw.de). Du kannst dich aber an jede Aufsichtsbehörde wenden, insbesondere an die deines gewöhnlichen Aufenthaltsorts.

18. Datensicherheit

Die Übertragung erfolgt verschlüsselt (TLS/HTTPS). Passwörter und sicherheitsrelevante Geheimnisse werden ausschließlich als kryptografische Hashes gespeichert.

19. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf der Plattform veröffentlichte Fassung.