Datenschutzerklärung

1. Auf einen Blick

• Deine Trade-Republic-Events bleiben in deinem Browser. Sie liegen in der IndexedDB auf deinem Gerät — wir speichern sie nicht auf unserem Server. Für Auswertungen sendet die App sie an unseren Server, der sie nur im Arbeitsspeicher berechnet. Dauerhaft legt der Server allein eine anonymisierte Wiederherstellungs-Kopie deiner portfoliorelevanten Vorgänge an, und das nur beim Trade-Republic-Abruf (Namen, IBANs, Kontonummern und E-Mail-Adressen werden vorher entfernt; automatische Löschung nach 14 Tagen — Details in § 3). Wenn du einen TR-Transaktionsexport (CSV) hochlädst, werden Karten-, Transfer- und Counterparty-Daten clientseitig sofort verworfen — nur Wertpapier-Transaktionen (Trades, Dividenden, Zinsen, Saveback, Position-Anpassungen) landen in der IndexedDB. Deine manuell eingetragenen Positionen liegen ebenfalls dort. Nur wenn du die Kontospeicherung ausdrücklich einschaltest, legen wir zusätzlich eine verschlüsselte Kopie deiner manuellen Einträge, Sparpläne und nachgetragenen Werte unter deinem Konto ab, damit du sie auf mehreren Geräten nutzen kannst. Den Schlüssel dazu haben wir nicht (§ 3).
• Dein Finnhub-API-Schlüssel ist in unserer Datenbank mit AES-256-GCM verschlüsselt. Für KI-Funktionen nutzen wir einen zentralen System-Schlüssel des Anbieters — dort entstehen dir keine eigenen Vertragsbeziehungen mit dem KI-Dienstleister. Die KI-Verarbeitung läuft über AWS Bedrock mit EU-Datenresidenz (Frankfurt) und verlässt die EU nicht.
• Server in Deutschland (IONOS SE), mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Manche Daten verlassen die EU. Wenn du News, den Earnings-Kalender, die Equity-Curve auf /pnl oder die Watchlist nutzt, kontaktieren wir Finnhub (USA), für Portfolio-News zusätzlich Google News (USA), Yahoo Finance (USA). Yahoo Finance fragen wir außerdem nach dem aktuellen Kurs deiner Positionen, wenn Trade Republic keinen liefert — dann also auch auf der Portfolio-Übersicht, ohne dass du eine dieser Funktionen öffnest. Die KI-Funktionen (KI-Zusammenfassung, KI-Briefings, 5-Jahres-Trend) laufen über AWS Bedrock mit EU-Datenresidenz (Frankfurt) — diese KI-Calls verlassen die EU nicht. Beim Öffnen eines US-Aktien-Drilldowns kontaktiert der Server zusätzlich die SEC (USA, data.sec.gov) für Fundamentaldaten + den DEF-14A-Proxy-Filing-Link. Außerdem läuft im Hintergrund ein täglicher System-Job, der den Symbol-Universum-Stand bei Finnhub aktualisiert (Index-Konstituenten S&P 500 + NASDAQ-100, Firmenprofile, Analystenmeinungen) — dafür nutzen wir einen zentralen System-Key (nur falls keiner konfiguriert ist, ersatzweise den hinterlegten Key eines Users); deine eigenen Anfragen sind davon unberührt. Wir senden nur die Symbole bzw. ISINs, die für die jeweilige Funktion gebraucht werden. Schutzmaßnahmen siehe § 8.
• Fehler-Meldungen und technische Logs. Wenn die App technisch versagt, schicken wir den Stacktrace + die aufgerufene URL an unser Error-Tracking (Sentry und Datadog, jeweils EU-Region Frankfurt). Die Zugriffs-Logs unseres Webservers gehen ebenfalls an Datadog; sie enthalten deine IP-Adresse, die vollständig aufgerufene URL, Referrer und User-Agent und sind deshalb nicht anonym. Keine Trade-Daten, keine API-Keys, keine E-Mail-Adressen. Bei Datadog gelöscht nach 15 Tagen. Schutzmaßnahmen siehe § 8.
• Wir nutzen kein Werbe-Tracking, keine Werbe-Cookies und keine Drittanbieter-Cookies. Der einzige Cookie ist der Session-Cookie von better-auth (essenziell).
• Wir versenden nur Pflicht- und auf deine Aktion ausgelöste E-Mails (Bestätigungs-Mails, Passwort-Zurücksetzen, Support-Anfragen) über den deutschen SMTP-Anbieter IONOS. Keine Newsletter, keine Werbung.

2. Anbieter / Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten (Art. 4 Nr. 7 DSGVO) ist die im Impressum genannte Stelle.

Wir sind nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet (Art. 37 DSGVO / § 38 BDSG): es sind weniger als 20 Personen regelmäßig mit der Verarbeitung personenbezogener Daten befasst, und unsere Verarbeitung fällt nicht unter die Ausnahmen des Art. 37 Abs. 1 DSGVO. Für Datenschutz-Anfragen schreibe bitte an info@trade-insight.de.

3. Welche Daten wir erheben

Wenn du dich registrierst und trade-insight nutzt, verarbeiten wir folgende personenbezogenen Daten:

• Account: E-Mail-Adresse, Name, Passwort-Hash (bcrypt) — nötig zur Authentifizierung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Session: zufällige Session-ID in einem HTTP-only-Cookie + IP-Adresse und User-Agent für die aktive Session (Sicherheits-Audit). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Wird mit Ablauf der Session gelöscht.
• API-Schlüssel: der von dir freiwillig unter /settings hinterlegte Finnhub-Schlüssel, verschlüsselt gespeichert (AES-256-GCM). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Der KI-Dienst wird zentral von uns mit einem System-Schlüssel betrieben — kein Nutzer-Schlüssel mehr.
• News-Lesestatus: welche News-Artikel du bereits gesehen hast (Pro-User-Flag, kein Verhaltensprofil). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Notizen pro Position: freitext-Notizen, die du im Positions-Drilldown selbst eingibst — werden nur deinem Account zugeordnet, keiner anderen Person zugänglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Earnings-Watchlist: ISINs der Aktien, die du im Kalender oder direkt aus deinen Positionen markiert hast. Reines Bookmark — keine Auswertung, kein Verhaltensprofil. Beim erstmaligen Hinzufügen einer unbekannten ISIN wird sie einmalig an Finnhub (USA) gesendet, um Ticker, Name und Logo aufzulösen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Community-Profil (Kalender-Voting): entsteht nur, wenn du dir einen Community-Namen setzt oder auf der Kalender-Seite einen Vote abgibst. Abstimmen setzt importierte Trade-Republic-Daten mit realisierten Trades voraus. Wir speichern den von dir gewählten öffentlichen Namen (3–24 Zeichen), deinen realisierten-P&L-Prozentsatz (wird bei jedem Vote mitveröffentlicht), und optional deine selbst freigegebenen Top-3-Holdings (Tickers + Gewichtungen). Diese Inhalte sind unter deinem Namen für andere Nutzer sichtbar. Du kannst Profil und alle Votes jederzeit unter /settings → Profil löschen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung mit jedem Vote bzw. mit dem Setzen des Namens).
• Kalender-Votes: pro Earnings-Event ein Eintrag mit deinem Tipp (Long / Short / Skip / Risk) und Zeitstempel, verknüpft mit deinem Community-Profil. Werden mit dem Profil gemeinsam gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
• Server-Logs (nginx): deine IP-Adresse in voller Länge, User-Agent, die vollständig aufgerufene URL einschließlich Query-Parameter, Antwort-Status, Antwortgröße, Referrer, Zeitstempel. Auf dem Server werden sie nach spätestens 7 Tagen gelöscht; eine Kopie liegt im Log-Monitoring bei Datadog und wird dort nach 15 Tagen gelöscht (Details in § 8). Zweck: IT-Sicherheit und Fehleranalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
• E-Mail-Status: Verifizierungsstatus deiner E-Mail-Adresse, Zeitstempel einer abgesendeten Support-Anfrage (zur Anti-Spam-Idempotenz: damit ein Klick auf „Anfrage senden“ nur einmal eine Mail auslöst). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Push-Subscriptions: wenn du unter /settings → Benachrichtigungen Earnings-Erinnerungen aktivierst, speichern wir pro Gerät den Browser-Push-Endpoint (URL deines Browser-Push-Service, z.B. Google FCM / Mozilla autopush / Apple), zwei kryptografische Schlüssel (p256dh + auth) zur Verschlüsselung der Push-Nachrichten und einen User-Agent-String zur Geräte-Identifikation. Wir benötigen diese Daten ausschließlich, um dir morgens vor Markt-Öffnung eine Push zu senden, wenn ein Symbol aus deiner Watchlist heute Earnings meldet. Push-Inhalte werden Ende-zu-Ende verschlüsselt vom Push-Service an deinen Browser übertragen — der Push-Service-Anbieter sieht nur den verschlüsselten Blob, nicht den Klartext. Du kannst Push-Subscriptions jederzeit unter /settings → Benachrichtigungen deaktivieren — der zugehörige Eintrag wird sofort gelöscht. Wenn du deinen Account löschst, verschwinden alle deine Push-Subscriptions automatisch mit. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung mit dem Toggle-Aktivieren).
• Trade-Republic-Watchlist-Sync (optional): wenn du in den Einstellungen den Watchlist-Sync aktivierst, holen wir periodisch deine Trade-Republic-Watchlist (ISINs deiner gemerkten Aktien) und synchronisieren sie bidirektional mit deiner trade-insight-Watchlist. Wir speichern: die synchronisierten ISINs (markiert mit tr_synced=true), den Zeitstempel des letzten Sync, und einen optionalen Fehler-Log bei Sync-Failures. Wir speichern KEINE Preise, KEINE Käufe, KEINE Position-Größen. Du kannst den Sync jederzeit deaktivieren — deine lokale Watchlist bleibt erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung via Toggle).
• Wiederherstellungs-Kopie beim Trade-Republic-Abruf: bei jedem erfolgreichen Trade-Republic-Abruf speichert der Server automatisch eine anonymisierte Kopie deiner portfoliorelevanten Vorgänge (z. B. Wertpapier-ISIN, Stückzahl, Preis, Datum, Vorgangstyp). Vor dem Speichern werden — wie bei der freiwilligen Diagnose-Kopie (Abschnitt „Diagnose-Daten zur Fehleranalyse“) — alle nicht portfoliorelevanten Vorgänge (z. B. Kartenzahlungen, Überweisungen, Konto-/Profiländerungen) entfernt und personenbezogene Felder wie Namen, IBANs, Kontonummern und E-Mail-Adressen geschwärzt. Zweck ist allein, dein lokal gespeichertes Depot wiederherstellen zu können, falls dein Browser-Speicher verloren geht. Die Kopie wird nach 14 Tagen automatisch gelöscht, bei Account-Löschung sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, dich vor Datenverlust zu schützen).
• Anmelde-Zustand der Trade-Republic-Verbindung: nach einer erfolgreichen Anmeldung bewahrt der Server die Sitzung deiner Trade-Republic-Verbindung auf, damit du beim nächsten Abruf nicht erneut in der Trade-Republic-App bestätigen musst. Die Datei liegt pro Konto getrennt und ist über einen Hash benannt, aus dem sich deine Telefonnummer nicht zurückrechnen lässt; Telefonnummer und PIN selbst speichern wir nicht (siehe Abschnitt 4). Du kannst diesen Zustand jederzeit selbst löschen, unter /settings → Trade Republic → Verbindung trennen, mit sofortiger Wirkung. Ohne Löschung entfernen wir ihn automatisch spätestens 30 Tage nach der letzten Nutzung. Bei Löschung deines Accounts entfernen wir ihn im selben Vorgang; gelingt das in diesem Moment nicht, etwa weil unser Trade-Republic-Dienst gerade nicht erreichbar ist, bleibt die Datei liegen und fällt unter dieselbe 30-Tage-Frist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der von dir angeforderten Abrufe).
• Depots & Unterdepots: die frei wählbaren Namen der Depots und Unterdepots, mit denen du deine Positionen selbst gliederst — reiner Nutzer-Inhalt, nur deinem Account zugeordnet und keiner anderen Person zugänglich. Für die Zuordnung speichern wir je Position einen technischen Positions-Schlüssel (positionKey, z. B. aus der ISIN abgeleitet) zusammen mit dem gewählten Depot bzw. Unterdepot — keine Kurse, keine Stückzahlen, keine Beträge. Deine bevorzugte Darstellung der Gruppierung merken wir uns als Einstellung (positionsGroupStyle). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Verschlüsselte Kopie deiner manuellen Positionen, Sparpläne und nachgetragenen Werte — nur wenn du die Kontospeicherung in den Einstellungen unter Datenschutz selbst einschaltest. Wir speichern dann einen Textblock, den ausschließlich dein Gerät entschlüsseln kann: der Schlüssel entsteht aus deiner Passphrase und verlässt dein Gerät nie. Für uns ist der Inhalt nicht lesbar, wir sehen weder Wertpapiere noch Stückzahlen noch Beträge. Gespeichert werden das Chiffrat, ein Änderungszähler und der Zeitpunkt der letzten Änderung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil du damit eine Funktion des Dienstes für deine eigenen Daten nutzt. Ausschalten löscht die Kopie sofort und vollständig; deine Einträge im Browser bleiben dabei erhalten.

4. Welche Daten wir nicht auf unserem Server speichern

• Deine Trade-Republic-Trades, -Positionen, -Dividenden, manuell eingetragene Positionen und Trades oder sonstige Finanzdaten — im Klartext gespeichert werden sie ausschließlich in deinem Browser (IndexedDB), nicht auf unserem Server. Für Auswertungen wie Wertentwicklung und Kennzahlen sendet die App sie an unseren Server, der sie nur im Arbeitsspeicher berechnet. Dauerhaft gespeichert werden nur: die automatische anonymisierte Wiederherstellungs-Kopie beim Trade-Republic-Abruf (siehe § 3), eine Kopie, die du selbst zur Fehleranalyse sendest (siehe unten), Kennung und ISIN der Positionen, die du einem Depot zuordnest oder mit einer Notiz versiehst, sowie, falls du die Kontospeicherung einschaltest, eine für uns unlesbare verschlüsselte Kopie deiner manuellen Einträge, Sparpläne und nachgetragenen Werte (siehe § 3)
• Deine Trade-Republic-Telefonnummer und deine PIN — sie liegen ausschließlich im Arbeitsspeicher des Bridge-Prozesses, solange eine Verbindung aktiv ist, und werden nie auf eine Festplatte geschrieben. Die Sitzung selbst wird dagegen gespeichert; sie steht deshalb ehrlicherweise in Abschnitt 3 unter „Anmelde-Zustand der Trade-Republic-Verbindung“ und nicht hier
• Den Klartext deiner API-Keys (nur das verschlüsselte Blob wird gespeichert)
• Manuell getrackte beziehungsweise eingepflegte Positionen (ohne Trade-Republic-Verbindung) werden wie die Trade-Republic-Events im Klartext ausschließlich in deinem Browser gespeichert (IndexedDB). Auf deinen ausdrücklichen Wunsch kommt eine verschlüsselte Kopie deiner manuellen Einträge, Sparpläne und nachgetragenen Werte unter deinem Konto dazu, die wir nicht lesen können (siehe § 3); ohne dein Zutun geschieht das nicht. Für Auswertungen sendet die App sie an unseren Server, der sie nur im Arbeitsspeicher berechnet. Dauerhaft gespeichert wird nur, was du selbst zuordnest: eine aus Wertpapiername und ISIN gebildete Kennung für Notiz und Depot-Zuordnung, sowie die ISIN für News und Kalender

Diagnose-Daten zur Fehleranalyse (freiwillig, Opt-in)

Alle Finanzdaten werden im Klartext ausschließlich in deinem Browser gespeichert. An unseren Server gehen sie für Auswertungen und werden dort nur im Arbeitsspeicher verarbeitet; dauerhaft gespeichert werden allein die anonymisierte Wiederherstellungs-Kopie beim Trade-Republic-Abruf (siehe § 3) sowie Kennung und ISIN der Positionen, die du zuordnest oder benotizt. In den Einstellungen unter Datenschutz kannst du zusätzlich auf eigenen Wunsch eine vollständige Kopie deiner Transaktions-Historie senden, damit wir eine fehlerhafte Berechnung nachstellen können. Diese Diagnose-Kopie senden wir nie automatisch.

Anders als die anonymisierte Wiederherstellungs-Kopie ist diese Diagnose-Kopie NICHT anonymisiert: Sie enthält deine Trade-Republic-Historie vollständig und im Original (inkl. aller Vorgänge und Felder, ggf. auch personenbezogener Daten wie Kontonummern, IBANs, Namen). Das ist nötig, damit wir auch Fehler nachstellen können, die nur bei bestimmten Vorgangstypen auftreten. Sende sie daher nur bewusst auf eigenen Wunsch. Die Kopie ist ausschließlich für das Team zur Fehlersuche zugänglich.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst. Die Kopie wird ausschließlich zur Fehlersuche genutzt und nach 14 Tagen automatisch gelöscht.

5. Transaktionale E-Mails

Wir versenden ausschließlich auf deine Aktion ausgelöste E-Mails — keine Newsletter, keine Werbung, kein Tracking-Pixel. Konkret:

• Bestätigungs-Mail bei der Registrierung mit einmaligem Link (24 Stunden gültig). Verarbeitete Daten: deine E-Mail-Adresse, dein Anzeigename, der Aktivierungslink. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Passwort-Zurücksetzen, wenn du es selbst anstößt — einmaliger Link, 1 Stunde gültig. Verarbeitete Daten: E-Mail, Name, Reset-Link. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Support-Anfrage zu API-Keys: wenn du auf der News-Seite den Button „Anfrage senden“ anklickst, gehen zwei Mails raus — eine Bestätigung an dich, eine Benachrichtigung an unser Team-Postfach (info@trade-insight.de) mit deiner E-Mail-Adresse, deiner User-ID und deiner Sprach-Einstellung, damit wir dir antworten und dich einer Anfrage zuordnen können. Pro Account löst nur der erste Klick eine Mail aus (Idempotenz). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Beantwortung deiner Anfrage).

Versendet werden alle drei Mails über den SMTP-Server der IONOS SE (smtp.ionos.de, Server-Standort Deutschland). IONOS verarbeitet dabei den Mail-Inhalt sowie Versand-Metadaten (Empfänger-Adresse, Zeitstempel, Statuscode) als Auftragsverarbeiter nach Art. 28 DSGVO. Versand-Logs werden bei IONOS gemäß deren Aufbewahrungsfristen geführt; bei uns persistieren wir keine Mail-Inhalte.

6. Hosting & Backups

Die Produktivumgebung läuft auf einem virtuellen Server der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur. Server-Standort ist Deutschland / EU. Mit IONOS besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Siehe Datenschutzhinweise von IONOS.

Verschlüsselte nächtliche Backups (restic, AES-256) der Postgres-Datenbank werden auf demselben Server abgelegt — kein Off-Site- oder Drittland-Transfer. Aufbewahrung: 7 Tage / 4 Wochen / 6 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

7. Cookies

Wir setzen genau einen Cookie: den Session-Cookie von better-auth. Er ist erforderlich, damit du eingeloggt bleibst. Kein Tracking, keine Analytics, keine Werbe-Cookies.

8. Drittanbieter und internationale Datenübermittlung

Wenn du bestimmte Funktionen nutzt, übermitteln wir Daten an folgende Auftragsverarbeiter. Für Übermittlungen in die USA stützen wir uns auf das EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, sonst auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit Transfer Impact Assessment. Du nimmst zur Kenntnis, dass trotz dieser Schutzmaßnahmen US-Behörden Zugriff auf übermittelte Daten anfordern können und ein EU-äquivalenter Rechtsschutz nicht garantiert ist.

• Finnhub Inc. (USA, New York) — News, Earnings-Kalender, Firmenprofile, Analystenmeinungen (Buy/Hold/Sell-Verteilung), historische Quartals-Surprises sowie tägliche Index-Constituent-Synchronisation (S&P 500, NASDAQ-100). Wird serverseitig mit einem API-Key aufgerufen — bei deinen eigenen Anfragen mit deinem Key, beim täglichen System-Job mit unserem zentralen System-Key (nur ersatzweise mit dem hinterlegten Key eines Users). Sie sehen unsere Server-IP und die Symbole bzw. ISINs, die für die jeweilige Funktion gebraucht werden. Übermittlungsmechanismus: Standardvertragsklauseln. Siehe Finnhub-Datenschutzerklärung.
• Google LLC (USA) — News-Suche über den öffentlichen Google-News-RSS-Feed. Für Portfolio-News übermitteln wir serverseitig den zu deiner gehaltenen Position aufgelösten Firmennamen als Suchbegriff; für Markt-News generische Begriffe ohne Personenbezug. Google sieht unsere Server-IP und den Suchbegriff. Keine Account-, Trade- oder Identifizierungsdaten. Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO-Angemessenheitsbeschluss). Siehe Google-Datenschutzerklärung.
• EQS Group AG (Deutschland, Betreiber von EQS News) — Quelle für regulatorische Pflichtmeldungen deutscher Emittenten (Ad-hoc-Mitteilungen, Directors' Dealings, Stimmrechtsmitteilungen). Für Portfolio-News übermitteln wir serverseitig die Wertpapierkennung (ISIN) deiner gehaltenen Position als Filterparameter; EQS sieht unsere Server-IP und die ISIN. Keine Account-, Trade- oder Identifizierungsdaten. Anbieter mit Sitz in der EU (München, Deutschland), Verarbeitung als Auftragsverarbeiter nach Art. 28 DSGVO — kein Drittlandtransfer. Siehe EQS-News-Datenschutzhinweise.
• Amazon Web Services EMEA SARL (Luxemburg) — KI-Plattform (AWS Bedrock) für KI-Zusammenfassungen, KI-Briefings, Wochen-Vorschau und 5-Jahres-Trend-Analysen. Wird serverseitig mit einem zentralen System-Schlüssel aufgerufen — du brauchst keinen eigenen AWS-Account. Die Verarbeitung läuft mit EU-Datenresidenz in der Region eu-central-1 (Frankfurt) über die geografisch auf die EU beschränkten Inferenz-Profile (Geo-EU-CRIS); die übermittelten Inhalte verlassen die EU nicht (kein Drittlandtransfer durch das EU-Routing). Zur Verarbeitung übermittelt werden: für News Artikel-Headlines und -Auszüge; für KI-Briefings öffentliche Earnings-Kontextdaten (Firmenname, Sektor, Marktkap, Track Record); für 5-Jahres-Trend Firmenname + aggregierte Umsatz- und Nettogewinn-Reihen aus den letzten fünf Geschäftsjahren (Daten aus öffentlichen SEC-Filings, keine personenbezogenen Daten). Keine Account-, Trade- oder Identifizierungsdaten. AWS trainiert nach eigener Zusicherung im AWS Data Processing Addendum (AWS-DPA) keine Modelle auf Kundeninhalten und gibt diese nicht an Modell-Anbieter zur Verbesserung weiter. trade-insight ist insoweit Verantwortlicher und AWS Auftragsverarbeiter (Art. 28 DSGVO, AWS-DPA); für etwaige Übermittlungen außerhalb des EWR stützen wir uns ergänzend auf die EU-Standardvertragsklauseln (Art. 46 DSGVO). Siehe AWS-Datenschutzhinweise.
• AlphaAI Technologies Inc. (d/b/a Tavily, USA, New York) — Web-Such-API für KI-Briefings und Quick-Takes. Wenn du ein KI-Briefing oder einen Quick-Take öffnest, übermitteln wir serverseitig einen Suchbegriff (den aufgelösten Firmennamen bzw. das Thema des angefragten Events) an Tavily, um aktuelle öffentliche Web-Quellen zu finden, die das KI-Modell anschließend zusammenfasst. Tavily sieht unsere Server-IP und den Suchbegriff. Keine Account-, Trade- oder Identifizierungsdaten. Laut eigener Datenschutzerklärung kann Tavily Teile von Suchanfragen zur Verbesserung des Dienstes nutzen; übermittelt werden ausschließlich Firmennamen bzw. Themen ohne Personenbezug. Übermittlung in die USA über EU-Standardvertragsklauseln (Art. 46 DSGVO) mit Transfer Impact Assessment. Siehe Tavily-Datenschutzerklärung.
• Yahoo Finance (Yahoo, Inc., USA) — historische End-of-Day-Kurse für die Equity-Curve auf /pnl, ergänzende Unternehmens-News in den Drilldowns sowie Live-Kurse für deine Positionen, wenn Trade Republic keinen Kurs liefert (etwa ohne verbundene Bridge). Übermittelt werden ausschließlich Wertpapier-Kennungen (Ticker-Symbol wie AAPL oder die ISIN, wenn sich daraus kein Symbol auflösen lässt) und Datumsbereiche — keine Account-, Trade- oder Identifizierungsdaten. Yahoo erfährt also, welche Wertpapiere abgefragt werden, nicht aber von wem, in welcher Stückzahl oder zu welchem Einstand. Yahoo sieht unsere Server-IP. Yahoo Inc. ist EU-U.S. Data Privacy Framework-zertifiziert, Übermittlung gemäß Art. 45 DSGVO-Angemessenheitsbeschluss.
• OpenFIGI (Bloomberg Finance L.P., USA) — frei zugänglicher Mapping-Dienst, der Wertpapier-Kennungen (ISINs) ihren Börsen-Tickern zuordnet. Wir nutzen ihn serverseitig für die tägliche Index-Synchronisation und seit v0.8.8 zusätzlich, um für Kurs-Charts das deutsche Börsen-Listing einer Aktie zu ermitteln. Übermittelt werden ausschließlich öffentliche ISINs (z.B. US0378331005) — keine Account-, Trade- oder Identifizierungsdaten. Bloomberg sieht unsere Server-IP. Übermittlungsmechanismus: Standardvertragsklauseln (Art. 46 DSGVO). Siehe Bloomberg-Datenschutzerklärung.
• U.S. Securities and Exchange Commission (USA, data.sec.gov) — beim Öffnen eines US-Aktien-Drilldowns rufen wir öffentliche Fundamentaldaten ab: Jahresumsatz + Nettogewinn-Historie (für den 5-Jahres-Trend), den Link auf das aktuellste Annual Proxy Statement (DEF 14A) und einmal täglich eine Ticker→CIK-Zuordnungsdatei. Übermittelt werden: unsere Server-IP, ein User-Agent mit unserer Kontakt-Mailadresse (SEC-Fair-Use-Policy) und die CIK-Nummer bzw. der Ticker des angefragten Unternehmens. Keine Account-, Trade- oder Identifizierungsdaten. EDGAR-Daten sind öffentlich; die SEC erhebt keinen API-Key und führt nach eigener Aussage keine personenbezogenen Logs auf diesen Endpunkten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der angefragten Drilldown-Funktion). Siehe SEC-Privacy-and-Security-Notice.
• Trade Republic Bank GmbH (Deutschland / EU) — wenn du einen Pull triggerst, verbindet sich die Bridge mit der TR-API in deinem Auftrag mit deiner Telefonnummer + PIN. Wir sind nicht mit Trade Republic verbunden. Siehe Rechtsdokumente von Trade Republic.
• Die Software hinter dieser Anbindung: Sie basiert auf einer geprüften Open-Source-Bibliothek (MIT-Lizenz), die wir in einer eigenen, gehärteten und auf das Nötigste reduzierten Ausgabe selbst betreiben und pflegen. Konkret heißt das: Jede eingesetzte Version ist mit kryptographischen Prüfsummen festgenagelt und wird vor dem Einsatz von uns geprüft. Deine 2FA-Codes und die Namen von Gegenparteien aus deinen Umsätzen landen nicht in unseren technischen Logs. Im Server-Container läuft kein Browser. Es fließen dabei keine Daten an die ursprünglichen Autoren der Bibliothek oder andere Dritte. Geräte-Kennung beim Login: Trade Republic erwartet beim Anmelden eine Kennung des Geräts, so wie die TR-Web-App sie mitschickt. Wir bilden sie aus deinem Konto, damit sie über unsere Updates hinweg gleich bleibt und sich von der anderer Nutzer unterscheidet. Berechnet wird sie mit einem Geheimnis, das unseren Server nie verlässt; aus der Kennung lassen sich deine Kontodaten nicht zurückrechnen. Sie geht ausschließlich an Trade Republic, nicht an Dritte.
• Plausible Analytics (Community Edition, selbst gehostet) — gehostet auf unserem eigenen Server in der EU (Frankfurt am Main). Wir verarbeiten cookielos und ohne IP-Speicherung folgende Datenkategorien: aufgerufene Seiten (Pageviews), ausgelöste Conversion-Goals (Signup, Login, First Upload, First PnL View), Browser-Typ, Betriebssystem und Referrer. Keine Cookies, kein Drittlandtransfer, kein Cross-Site-Tracking. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung). Du kannst der Verarbeitung jederzeit per Adblocker oder DNT-Header widersprechen (Opt-out).
• Have I Been Pwned (Pwned Passwords, betrieben von Troy Hunt, technische Auslieferung über Cloudflare) — Passwort-Sicherheitsprüfung bei Registrierung und Passwortänderung (Empfehlung nach NIST 800-63B). Wir prüfen, ob dein gewähltes Passwort in bekannten Daten-Leaks auftaucht; dafür werden ausschließlich die ersten fünf Zeichen des SHA-1-Hashes deines Passworts übermittelt (k-Anonymität) — niemals das Passwort selbst oder ein vollständiger Hash, eine Rekonstruktion ist daraus nicht möglich. Keine Account-, Trade- oder Identifizierungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kontosicherheit). Siehe Have-I-Been-Pwned-Datenschutzerklärung.
• Sentry (Functional Software, Inc., USA — EU-Region Frankfurt am Main) — Error-Tracking. Wenn die App technisch versagt (z.B. ein gescheiterter API-Call, ein Rendering-Crash) oder einen technischen Defektzustand der lokalen Datenhaltung feststellt (z.B. eine unvollständig gelaufene Datenmigration — gemeldet wird dann nur, DASS der Zustand vorliegt, ohne Inhalte, ohne Anzahl), übermitteln wir an Sentry: den Stacktrace, die aufgerufene URL, den User-Agent, eine ungefähre IP-Geo-Region und eine pseudonyme User-ID. NICHT übermittelt werden: deine API-Keys, deine Trade-Daten, Session-Cookies und deine E-Mail-Adresse (per beforeSend-Hook gefiltert). Datenort: Sentrys EU-Region in Frankfurt am Main — kein Drittlandtransfer für gespeicherte Fehlerdaten. Functional Software, Inc. ist EU-U.S. Data Privacy Framework-zertifiziert, falls im Ausnahmefall ein Support-Zugriff aus den USA stattfindet. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlerdiagnose + Stabilitätsverbesserung). Siehe Sentry-Datenschutzerklärung.
• Datadog (Datadog, Inc., USA — EU-Site in Frankfurt am Main) — technisches Log- und Fehler-Monitoring. Wir übermitteln an Datadog: technische Anwendungs-Logs (Zeitstempel, Log-Level, Fehlermeldung, Stacktrace, aufgerufener API-Pfad), die Zugriffs-Logs unseres Webservers (deine IP-Adresse in voller Länge, Zeitstempel, die vollständig aufgerufene URL einschließlich Query-Parameter, HTTP-Status, Antwortgröße, Referrer und User-Agent) sowie bei Fehlern im Browser den Stacktrace, die aufgerufene URL (ohne Query-Parameter), den User-Agent und eine ungefähre IP-Geo-Region. Zusätzlich erfassen wir zur Stabilitäts- und Performance-Analyse pseudonyme Nutzungs-Sessions (Real User Monitoring): aufgerufene Seiten (ohne Query-Parameter), Ladezeiten und Interaktions-Ereignisse — Formulareingaben werden maskiert und nicht übermittelt, eine Bildschirm-Aufzeichnung (Session Replay) findet nicht statt. Ebenfalls an Datadog gehen die Protokolle der SSH-Anmeldeversuche auf unserem Server; sie betreffen den Zugang zum Server selbst und nicht deine Nutzung der App. NICHT übermittelt werden: deine API-Keys, deine Trade-Daten, Session-Cookies und deine E-Mail-Adresse. Seit dem 06.08.2026 ersetzt Datadog zusätzlich schon beim Eingang erkannte E-Mail-Adressen, IBANs, Steuer-Identifikationsnummern, API-Schlüssel und Token durch Platzhalter; der Originalwert wird dabei nicht aufbewahrt. Speicherdauer: 15 Tage, danach werden die Logs bei Datadog gelöscht. Archive oder Exporte legen wir davon nicht an. Datenort: Datadogs EU-Site (EU1) in Frankfurt am Main — Speicherung und Verarbeitung in der EU, kein Drittlandtransfer für gespeicherte Log-Daten. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO inkl. EU-Standardvertragsklauseln für den Ausnahmefall eines Support-Zugriffs aus den USA. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlerdiagnose + Stabilitätsverbesserung). Siehe Datadog-Datenschutzerklärung.

Hinweis: Über die oben genannten Tools hinaus nutzen wir derzeit keine weiteren Analytics-, Error-Tracking- oder Tag-Management-Tools. Sollten wir ein zusätzliches Tool hinzufügen, aktualisieren wir diese Seite vor der Aktivierung.

9. Datensicherheit

Wir setzen marktübliche technische und organisatorische Maßnahmen ein: TLS auf jeder Verbindung, AES-256-GCM-Verschlüsselung der API-Keys at rest, bcrypt-Passwort-Hashing, restriktiver Datenbankzugriff und ein evictbarer In-Memory-Session-Store für die Trade-Republic-Bridge, sodass Zugangsdaten nicht länger als nötig im RAM bleiben.

10. Speicherdauer & Löschung

Deine Account-Daten bleiben gespeichert, bis du den Account löschst. Du kannst deinen Account jederzeit selbst unter /settings löschen. Dabei entfernen wir ohne Verzögerung alles, was unter deinem Konto bei uns gespeichert ist: dein Profil samt Anmeldungen und Sitzungen, die von dir hinterlegten API-Schlüssel, die gespeicherte Kennung deiner letzten Trade-Republic-Anmeldung, deine Watchlist mit Kursalarmen und Push-Benachrichtigungen, dein Kalender-Profil mit deinen Stimmen, den Lesestatus deiner News, deine Depots und Unterdepots samt Zuordnungen, deine Positions-Notizen und die gespeicherte Zuordnung von ISIN zu Kürzel, die verschlüsselte Kopie deiner manuellen Positionen, Sparpläne und nachgetragenen Werte sowie die serverseitigen Kopien deiner Trade-Republic-Vorgänge, also den automatischen Wiederherstellungs-Schnappschuss und, falls du sie uns geschickt hast, die freiwillige Diagnose-Kopie. Ein noch offener Link zum Zurücksetzen deines Passworts wird dabei ungültig. Länger bleiben können unter anderem: der Anmelde-Zustand deiner Trade-Republic-Verbindung, also die Sitzungsdatei bei unserem Trade-Republic-Dienst (höchstens 30 Tage), die verschlüsselten Backups nach Abschnitt 6 (bis zu 6 Monate), die weiter unten genannten Server-Protokolle sowie eine Support-Anfrage, die du uns geschickt hast und die in unserem Team-Postfach liegt. Die Sitzungsdatei löschen wir im selben Vorgang mit; gelingt das in diesem Moment nicht, etwa weil der Dienst gerade nicht erreichbar ist, bleibt sie liegen und wird spätestens 30 Tage nach ihrer letzten Nutzung automatisch gelöscht. Im Browser dieses Geräts räumt die Löschung zusätzlich alles ab, was zu deiner Anmeldung gehört, einschließlich der Zwischenspeicher des Offline-Modus; deine lokal gespeicherten Trade-Republic-Events und manuellen Einträge bleiben liegen, bis du sie selbst in der App löschst. Einzelne API-Schlüssel kannst du unter /settings ebenfalls jederzeit widerrufen (sofort mit NULL überschrieben). Server-Logs werden auf dem Server nach 7 Tagen gelöscht, die Kopie im Log-Monitoring bei Datadog nach 15 Tagen. Mail-Inhalte werden bei uns nicht persistiert; SMTP-Versand-Logs liegen bei IONOS und werden gemäß deren Aufbewahrungsfristen geführt. Falls die Self-Service-Löschung für dich nicht funktioniert, schreibe an info@trade-insight.de.

11. Deine Rechte (DSGVO)

Nach der DSGVO hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung. Auskunft und Datenübertragbarkeit (Art. 15 + 20 DSGVO) kannst du selbst unter /settings als JSON-Export deiner Daten beziehen; Löschung (Art. 17 DSGVO) ebenso direkt dort. Für die übrigen Rechte oder bei Problemen mit der Self-Service-Funktion wende dich an info@trade-insight.de. Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren — für unsere Niederlassung ist das die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

12. Automatisierte Entscheidungen

Wir setzen keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO ein. KI-generierte Nachrichten-Zusammenfassungen sind informativ und entfalten dir gegenüber keine rechtliche oder ähnlich erhebliche Wirkung.

13. Minderjährige

trade-insight richtet sich an Nutzerinnen und Nutzer, die mindestens 18 Jahre alt sind. Wir verarbeiten wissentlich keine Daten von Minderjährigen. Wenn du den Verdacht hast, dass uns Daten einer minderjährigen Person übermittelt wurden, kontaktiere uns bitte zur Löschung.

14. Rechtsgrundlagen (Zusammenfassung)

Die Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzervertrags — Bereitstellung der App), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen — IT-Sicherheit, Server-Logs, Missbrauchsabwehr, News-Caching zur Schonung von API-Quotas) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — wenn du freiwillig einen API-Key hinterlegst oder einen Trade-Republic-Pull auslöst).

15. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich die Verarbeitung ändert. Wesentliche Änderungen kündigen wir auf dieser Seite an und passen das oben angegebene Aktualisierungsdatum entsprechend an.

16. Kontakt

Fragen zum Umgang mit deinen Daten? Schreibe an info@trade-insight.de.