Datenschutzerklärung

1. Auf einen Blick

• Deine Trade-Republic-Events bleiben in deinem Browser. Sie liegen in der IndexedDB auf deinem Gerät — wir speichern sie nicht auf unserem Server. Einzige Ausnahme: Beim Trade-Republic-Abruf legt der Server automatisch eine anonymisierte Wiederherstellungs-Kopie deiner portfoliorelevanten Vorgänge an (Namen, IBANs, Kontonummern und E-Mail-Adressen werden vorher entfernt; automatische Löschung nach 14 Tagen — Details in § 3). Wenn du einen TR-Transaktionsexport (CSV) hochlädst, werden Karten-, Transfer- und Counterparty-Daten clientseitig sofort verworfen — nur Wertpapier-Transaktionen (Trades, Dividenden, Zinsen, Saveback, Position-Anpassungen) landen in der IndexedDB.
• Dein Finnhub-API-Schlüssel ist in unserer Datenbank mit AES-256-GCM verschlüsselt. Für KI-Funktionen nutzen wir einen zentralen System-Schlüssel des Anbieters — dort entstehen dir keine eigenen Vertragsbeziehungen mit dem KI-Dienstleister. Die KI-Verarbeitung läuft über AWS Bedrock mit EU-Datenresidenz (Frankfurt) und verlässt die EU nicht.
• Server in Deutschland (IONOS SE), mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Manche Daten verlassen die EU. Wenn du News, den Earnings-Kalender, die Equity-Curve auf /pnl oder die Watchlist nutzt, kontaktieren wir Finnhub (USA), für Portfolio-News zusätzlich Google News (USA), Yahoo Finance (USA). Die KI-Funktionen (KI-Zusammenfassung, KI-Briefings, 5-Jahres-Trend) laufen über AWS Bedrock mit EU-Datenresidenz (Frankfurt) — diese KI-Calls verlassen die EU nicht. Beim Öffnen eines US-Aktien-Drilldowns kontaktiert der Server zusätzlich die SEC (USA, data.sec.gov) für Fundamentaldaten + den DEF-14A-Proxy-Filing-Link. Außerdem läuft im Hintergrund ein täglicher System-Job, der den Symbol-Universum-Stand bei Finnhub aktualisiert (Index-Konstituenten S&P 500 + NASDAQ-100, Firmenprofile, Analystenmeinungen) — dafür nutzen wir einen zentralen System-Key (nur falls keiner konfiguriert ist, ersatzweise den hinterlegten Key eines Users); deine eigenen Anfragen sind davon unberührt. Wir senden nur die Symbole bzw. ISINs, die für die jeweilige Funktion gebraucht werden. Schutzmaßnahmen siehe § 8.
• Anonymisierte Fehler-Meldungen und technische Logs. Wenn die App technisch versagt, schicken wir den Stacktrace + die aufgerufene URL an unser Error-Tracking (Sentry und Datadog, jeweils EU-Region Frankfurt). Keine Trade-Daten, keine API-Keys, keine E-Mail-Adressen. Schutzmaßnahmen siehe § 8.
• Wir nutzen kein Werbe-Tracking, keine Werbe-Cookies und keine Drittanbieter-Cookies. Der einzige Cookie ist der Session-Cookie von better-auth (essenziell).
• Wir versenden nur Pflicht- und auf deine Aktion ausgelöste E-Mails (Bestätigungs-Mails, Passwort-Zurücksetzen, Support-Anfragen) über den deutschen SMTP-Anbieter IONOS. Keine Newsletter, keine Werbung.

2. Anbieter / Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten (Art. 4 Nr. 7 DSGVO) ist die im Impressum genannte Stelle.

Wir sind nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet (Art. 37 DSGVO / § 38 BDSG): es sind weniger als 20 Personen regelmäßig mit der Verarbeitung personenbezogener Daten befasst, und unsere Verarbeitung fällt nicht unter die Ausnahmen des Art. 37 Abs. 1 DSGVO. Für Datenschutz-Anfragen schreibe bitte an info@trade-insight.de.

3. Welche Daten wir erheben

Wenn du dich registrierst und trade-insight nutzt, verarbeiten wir folgende personenbezogenen Daten:

• Account: E-Mail-Adresse, Name, Passwort-Hash (bcrypt) — nötig zur Authentifizierung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Session: zufällige Session-ID in einem HTTP-only-Cookie + IP-Adresse und User-Agent für die aktive Session (Sicherheits-Audit). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Wird mit Ablauf der Session gelöscht.
• API-Schlüssel: der von dir freiwillig unter /settings hinterlegte Finnhub-Schlüssel, verschlüsselt gespeichert (AES-256-GCM). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Der KI-Dienst wird zentral von uns mit einem System-Schlüssel betrieben — kein Nutzer-Schlüssel mehr.
• News-Lesestatus: welche News-Artikel du bereits gesehen hast (Pro-User-Flag, kein Verhaltensprofil). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Notizen pro Position: freitext-Notizen, die du im Positions-Drilldown selbst eingibst — werden nur deinem Account zugeordnet, keiner anderen Person zugänglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Earnings-Watchlist: ISINs der Aktien, die du im Kalender oder direkt aus deinen Positionen markiert hast. Reines Bookmark — keine Auswertung, kein Verhaltensprofil. Beim erstmaligen Hinzufügen einer unbekannten ISIN wird sie einmalig an Finnhub (USA) gesendet, um Ticker, Name und Logo aufzulösen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Community-Profil (Kalender-Voting): entsteht nur, wenn du dir einen Community-Namen setzt oder auf der Kalender-Seite einen Vote abgibst. Abstimmen setzt importierte Trade-Republic-Daten mit realisierten Trades voraus. Wir speichern den von dir gewählten öffentlichen Namen (3–24 Zeichen), deinen realisierten-P&L-Prozentsatz (wird bei jedem Vote mitveröffentlicht), und optional deine selbst freigegebenen Top-3-Holdings (Tickers + Gewichtungen). Diese Inhalte sind unter deinem Namen für andere Nutzer sichtbar. Du kannst Profil und alle Votes jederzeit unter /settings → Profil löschen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung mit jedem Vote bzw. mit dem Setzen des Namens).
• Kalender-Votes: pro Earnings-Event ein Eintrag mit deinem Tipp (Long / Short / Skip / Risk) und Zeitstempel, verknüpft mit deinem Community-Profil. Werden mit dem Profil gemeinsam gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
• Server-Logs (nginx): gekürzte IP-Adresse, User-Agent, aufgerufene URL, Antwort-Status, Zeitstempel. Speicherdauer max. 7 Tage zur IT-Sicherheit und Fehleranalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).
• E-Mail-Status: Verifizierungsstatus deiner E-Mail-Adresse, Zeitstempel einer abgesendeten Support-Anfrage (zur Anti-Spam-Idempotenz: damit ein Klick auf "Anfrage senden" nur einmal eine Mail auslöst). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Push-Subscriptions: wenn du unter /settings → Benachrichtigungen Earnings-Erinnerungen aktivierst, speichern wir pro Gerät den Browser-Push-Endpoint (URL deines Browser-Push-Service, z.B. Google FCM / Mozilla autopush / Apple), zwei kryptografische Schlüssel (p256dh + auth) zur Verschlüsselung der Push-Nachrichten und einen User-Agent-String zur Geräte-Identifikation. Wir benötigen diese Daten ausschließlich, um dir morgens vor Markt-Öffnung eine Push zu senden, wenn ein Symbol aus deiner Watchlist heute Earnings meldet. Push-Inhalte werden Ende-zu-Ende verschlüsselt vom Push-Service an deinen Browser übertragen — der Push-Service-Anbieter sieht nur den verschlüsselten Blob, nicht den Klartext. Du kannst Push-Subscriptions jederzeit unter /settings → Benachrichtigungen deaktivieren — die zugehörige DB-Zeile wird sofort gelöscht. Bei Account-Löschung werden alle deine Push-Subscriptions automatisch mit-gelöscht (ON DELETE CASCADE). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung mit dem Toggle-Aktivieren).
• Trade-Republic-Watchlist-Sync (optional): wenn du in den Einstellungen den Watchlist-Sync aktivierst, holen wir periodisch deine Trade-Republic-Watchlist (ISINs deiner gemerkten Aktien) und synchronisieren sie bidirektional mit deiner trade-insight-Watchlist. Wir speichern: die synchronisierten ISINs (markiert mit tr_synced=true), den Zeitstempel des letzten Sync, und einen optionalen Fehler-Log bei Sync-Failures. Wir speichern KEINE Preise, KEINE Käufe, KEINE Position-Größen. Du kannst den Sync jederzeit deaktivieren — deine lokale Watchlist bleibt erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung via Toggle).
• Wiederherstellungs-Kopie beim Trade-Republic-Abruf: bei jedem erfolgreichen Trade-Republic-Abruf speichert der Server automatisch eine anonymisierte Kopie deiner portfoliorelevanten Vorgänge (z. B. Wertpapier-ISIN, Stückzahl, Preis, Datum, Vorgangstyp). Vor dem Speichern werden — wie bei der freiwilligen Diagnose-Kopie (Abschnitt „Diagnose-Daten zur Fehleranalyse“) — alle nicht portfoliorelevanten Vorgänge (z. B. Kartenzahlungen, Überweisungen, Konto-/Profiländerungen) entfernt und personenbezogene Felder wie Namen, IBANs, Kontonummern und E-Mail-Adressen geschwärzt. Zweck ist allein, dein lokal gespeichertes Depot wiederherstellen zu können, falls dein Browser-Speicher verloren geht. Die Kopie wird nach 14 Tagen automatisch gelöscht, bei Account-Löschung sofort. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, dich vor Datenverlust zu schützen).

4. Welche Daten wir nicht auf unserem Server speichern

• Deine Trade-Republic-Trades, -Positionen, -Dividenden, manuell eingetragene Positionen und Trades oder sonstige Finanzdaten — sie verlassen deinen Browser nicht (Ausnahmen: die automatische anonymisierte Wiederherstellungs-Kopie beim Trade-Republic-Abruf, siehe § 3, und wenn du selbst aktiv eine anonymisierte Kopie zur Fehleranalyse sendest, siehe unten)
• Deine Trade-Republic-Telefonnummer, PIN oder Session-Cookie — sie liegen ausschließlich im Bridge-Prozess-Speicher während eines aktiven Pulls und auf der Disk in pytr's Per-Account-Cookie (nach 15 Minuten Inaktivität automatisch gelöscht)
• Den Klartext deiner API-Keys (nur das verschlüsselte Blob wird gespeichert)
• Manuell getrackte beziehungsweise eingepflegte Positionen (ohne Trade-Republic-Verbindung) bleiben wie die Trade-Republic-Events ausschließlich lokal in deinem Browser (IndexedDB) und werden nicht an unsere Server übertragen

Diagnose-Daten zur Fehleranalyse (freiwillig, Opt-in)

Standardmäßig bleiben alle Finanzdaten ausschließlich lokal in deinem Browser (einzige Ausnahme: die anonymisierte Wiederherstellungs-Kopie beim Trade-Republic-Abruf, siehe § 3). In den Einstellungen unter Datenschutz kannst du zusätzlich auf eigenen Wunsch eine vollständige Kopie deiner Transaktions-Historie senden, damit wir eine fehlerhafte Berechnung nachstellen können. Diese Diagnose-Kopie senden wir nie automatisch.

Anders als die anonymisierte Wiederherstellungs-Kopie ist diese Diagnose-Kopie NICHT anonymisiert: Sie enthält deine Trade-Republic-Historie vollständig und im Original (inkl. aller Vorgänge und Felder, ggf. auch personenbezogener Daten wie Kontonummern, IBANs, Namen). Das ist nötig, damit wir auch Fehler nachstellen können, die nur bei bestimmten Vorgangstypen auftreten. Sende sie daher nur bewusst auf eigenen Wunsch. Die Kopie ist ausschließlich für das Team zur Fehlersuche zugänglich.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst. Die Kopie wird ausschließlich zur Fehlersuche genutzt und nach 14 Tagen automatisch gelöscht.

5. Transaktionale E-Mails

Wir versenden ausschließlich auf deine Aktion ausgelöste E-Mails — keine Newsletter, keine Werbung, kein Tracking-Pixel. Konkret:

• Bestätigungs-Mail bei der Registrierung mit einmaligem Link (24 Stunden gültig). Verarbeitete Daten: deine E-Mail-Adresse, dein Anzeigename, der Aktivierungslink. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Passwort-Zurücksetzen, wenn du es selbst anstößt — einmaliger Link, 1 Stunde gültig. Verarbeitete Daten: E-Mail, Name, Reset-Link. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Support-Anfrage zu API-Keys: wenn du auf der News-Seite den Button "Anfrage senden" anklickst, gehen zwei Mails raus — eine Bestätigung an dich, eine Benachrichtigung an unser Team-Postfach (info@trade-insight.de) mit deiner E-Mail-Adresse, deiner User-ID und deiner Sprach-Einstellung, damit wir dir antworten und dich einer Anfrage zuordnen können. Pro Account löst nur der erste Klick eine Mail aus (Idempotenz). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Beantwortung deiner Anfrage).

Versendet werden alle drei Mails über den SMTP-Server der IONOS SE (smtp.ionos.de, Server-Standort Deutschland). IONOS verarbeitet dabei den Mail-Inhalt sowie Versand-Metadaten (Empfänger-Adresse, Zeitstempel, Statuscode) als Auftragsverarbeiter nach Art. 28 DSGVO. Versand-Logs werden bei IONOS gemäß deren Aufbewahrungsfristen geführt; bei uns persistieren wir keine Mail-Inhalte.

6. Hosting & Backups

Die Produktivumgebung läuft auf einem virtuellen Server der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur. Server-Standort ist Deutschland / EU. Mit IONOS besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Siehe Datenschutzhinweise von IONOS.

Verschlüsselte nächtliche Backups (restic, AES-256) der Postgres-Datenbank werden auf demselben Server abgelegt — kein Off-Site- oder Drittland-Transfer. Aufbewahrung: 7 Tage / 4 Wochen / 6 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

7. Cookies

Wir setzen genau einen Cookie: den Session-Cookie von better-auth. Er ist erforderlich, damit du eingeloggt bleibst. Kein Tracking, keine Analytics, keine Werbe-Cookies.

8. Drittanbieter und internationale Datenübermittlung

Wenn du bestimmte Funktionen nutzt, übermitteln wir Daten an folgende Auftragsverarbeiter. Für Übermittlungen in die USA stützen wir uns auf das EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, sonst auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit Transfer Impact Assessment. Du nimmst zur Kenntnis, dass trotz dieser Schutzmaßnahmen US-Behörden Zugriff auf übermittelte Daten anfordern können und ein EU-äquivalenter Rechtsschutz nicht garantiert ist.

• Finnhub Inc. (USA, New York) — News, Earnings-Kalender, Firmenprofile, Analystenmeinungen (Buy/Hold/Sell-Verteilung), historische Quartals-Surprises sowie tägliche Index-Constituent-Synchronisation (S&P 500, NASDAQ-100). Wird serverseitig mit einem API-Key aufgerufen — bei deinen eigenen Anfragen mit deinem Key, beim täglichen System-Job mit unserem zentralen System-Key (nur ersatzweise mit dem hinterlegten Key eines Users). Sie sehen unsere Server-IP und die Symbole bzw. ISINs, die für die jeweilige Funktion gebraucht werden. Übermittlungsmechanismus: Standardvertragsklauseln. Siehe Finnhub-Datenschutzerklärung.
• Google LLC (USA) — News-Suche über den öffentlichen Google-News-RSS-Feed. Für Portfolio-News übermitteln wir serverseitig den zu deiner gehaltenen Position aufgelösten Firmennamen als Suchbegriff; für Markt-News generische Begriffe ohne Personenbezug. Google sieht unsere Server-IP und den Suchbegriff. Keine Account-, Trade- oder Identifizierungsdaten. Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO-Angemessenheitsbeschluss). Siehe Google-Datenschutzerklärung.
• EQS Group AG (Deutschland, Betreiber von EQS News) — Quelle für regulatorische Pflichtmeldungen deutscher Emittenten (Ad-hoc-Mitteilungen, Directors' Dealings, Stimmrechtsmitteilungen). Für Portfolio-News übermitteln wir serverseitig die Wertpapierkennung (ISIN) deiner gehaltenen Position als Filterparameter; EQS sieht unsere Server-IP und die ISIN. Keine Account-, Trade- oder Identifizierungsdaten. Anbieter mit Sitz in der EU (München, Deutschland), Verarbeitung als Auftragsverarbeiter nach Art. 28 DSGVO — kein Drittlandtransfer. Siehe EQS-News-Datenschutzhinweise.
• Amazon Web Services EMEA SARL (Luxemburg) — KI-Plattform (AWS Bedrock) für KI-Zusammenfassungen, KI-Briefings, Wochen-Vorschau und 5-Jahres-Trend-Analysen. Wird serverseitig mit einem zentralen System-Schlüssel aufgerufen — du brauchst keinen eigenen AWS-Account. Die Verarbeitung läuft mit EU-Datenresidenz in der Region eu-central-1 (Frankfurt) über die geografisch auf die EU beschränkten Inferenz-Profile (Geo-EU-CRIS); die übermittelten Inhalte verlassen die EU nicht (kein Drittlandtransfer durch das EU-Routing). Zur Verarbeitung übermittelt werden: für News Artikel-Headlines und -Auszüge; für KI-Briefings öffentliche Earnings-Kontextdaten (Firmenname, Sektor, Marktkap, Track Record); für 5-Jahres-Trend Firmenname + aggregierte Umsatz- und Nettogewinn-Reihen aus den letzten fünf Geschäftsjahren (Daten aus öffentlichen SEC-Filings, keine personenbezogenen Daten). Keine Account-, Trade- oder Identifizierungsdaten. AWS trainiert nach eigener Zusicherung im AWS Data Processing Addendum (AWS-DPA) keine Modelle auf Kundeninhalten und gibt diese nicht an Modell-Anbieter zur Verbesserung weiter. trade-insight ist insoweit Verantwortlicher und AWS Auftragsverarbeiter (Art. 28 DSGVO, AWS-DPA); für etwaige Übermittlungen außerhalb des EWR stützen wir uns ergänzend auf die EU-Standardvertragsklauseln (Art. 46 DSGVO). Siehe AWS-Datenschutzhinweise.
• OpenRouter, Inc. (USA) — in Ablösung: wird durch AWS Bedrock (EU) ersetzt und entfernt, sobald der Umstieg abgeschlossen ist. Bisherige Routing-Plattform für KI-Zusammenfassungen, KI-Briefings, Wochen-Vorschau und 5-Jahres-Trend-Analysen. Wird serverseitig mit einem zentralen System-Schlüssel des Anbieters aufgerufen (ab v0.6.5) — du brauchst keinen eigenen OpenRouter-Account. Zur Zusammenfassung übermittelt werden: für News Artikel-Headlines und -Auszüge; für KI-Briefings öffentliche Earnings-Kontextdaten (Firmenname, Sektor, Marktkap, Track Record); für 5-Jahres-Trend Firmenname + aggregierte Umsatz- und Nettogewinn-Reihen aus den letzten fünf Geschäftsjahren (Daten aus öffentlichen SEC-Filings, keine personenbezogenen Daten). Keine Account-, Trade- oder Identifizierungsdaten. Seit v0.7.4 routet OpenRouter Calls an folgende Sub-Auftragsverarbeiter (je nach Use-Case): Google LLC (USA) für Gemini-Flash-Lite-basierte News-Zusammenfassungen und Anthropic, PBC (USA) für Claude-Haiku-basierte Briefings, Wochen-Vorschau und Trend-Analysen. Bei Ausfall der bezahlten Modelle springt eine Open-Source-Fallback-Kette ein (Llama, Qwen, Mistral u.a. via OpenRouter). OpenRouter und die jeweiligen Sub-Provider verarbeiten Inputs nach eigener Angabe nicht zu Trainingszwecken; die genaue Aufbewahrungsdauer pro Provider entnimmst du den jeweiligen Datenschutzerklärungen. trade-insight ist insoweit Verantwortlicher und OpenRouter Auftragsverarbeiter (mit den genannten Sub-Auftragsverarbeitern). Übermittlungsmechanismus: Standardvertragsklauseln (Art. 46 DSGVO). Siehe OpenRouter-Datenschutzerklärung.
• AlphaAI Technologies Inc. (d/b/a Tavily, USA, New York) — Web-Such-API für KI-Briefings und Quick-Takes. Wenn du ein KI-Briefing oder einen Quick-Take öffnest, übermitteln wir serverseitig einen Suchbegriff (den aufgelösten Firmennamen bzw. das Thema des angefragten Events) an Tavily, um aktuelle öffentliche Web-Quellen zu finden, die das KI-Modell anschließend zusammenfasst. Tavily sieht unsere Server-IP und den Suchbegriff. Keine Account-, Trade- oder Identifizierungsdaten. Laut eigener Datenschutzerklärung kann Tavily Teile von Suchanfragen zur Verbesserung des Dienstes nutzen; übermittelt werden ausschließlich Firmennamen bzw. Themen ohne Personenbezug. Übermittlung in die USA über EU-Standardvertragsklauseln (Art. 46 DSGVO) mit Transfer Impact Assessment. Siehe Tavily-Datenschutzerklärung.
• Yahoo Finance (Yahoo, Inc., USA) — historische End-of-Day-Kurse für die Equity-Curve auf /pnl und ergänzende Unternehmens-News in den Drilldowns. Wir fragen pro offener Aktien-ISIN das Yahoo-Symbol ab; übermittelt werden ausschließlich Ticker-Symbole (z.B. AAPL) und Datumsbereiche — keine Account-, Trade- oder Identifizierungsdaten. Yahoo sieht unsere Server-IP. Yahoo Inc. ist EU-U.S. Data Privacy Framework-zertifiziert, Übermittlung gemäß Art. 45 DSGVO-Angemessenheitsbeschluss.
• OpenFIGI (Bloomberg Finance L.P., USA) — frei zugänglicher Mapping-Dienst, der Wertpapier-Kennungen (ISINs) ihren Börsen-Tickern zuordnet. Wir nutzen ihn serverseitig für die tägliche Index-Synchronisation und seit v0.8.8 zusätzlich, um für Kurs-Charts das deutsche Börsen-Listing einer Aktie zu ermitteln. Übermittelt werden ausschließlich öffentliche ISINs (z.B. US0378331005) — keine Account-, Trade- oder Identifizierungsdaten. Bloomberg sieht unsere Server-IP. Übermittlungsmechanismus: Standardvertragsklauseln (Art. 46 DSGVO). Siehe Bloomberg-Datenschutzerklärung.
• U.S. Securities and Exchange Commission (USA, data.sec.gov) — beim Öffnen eines US-Aktien-Drilldowns rufen wir öffentliche Fundamentaldaten ab: Jahresumsatz + Nettogewinn-Historie (für den 5-Jahres-Trend), den Link auf das aktuellste Annual Proxy Statement (DEF 14A) und einmal täglich eine Ticker→CIK-Zuordnungsdatei. Übermittelt werden: unsere Server-IP, ein User-Agent mit unserer Kontakt-Mailadresse (SEC-Fair-Use-Policy) und die CIK-Nummer bzw. der Ticker des angefragten Unternehmens. Keine Account-, Trade- oder Identifizierungsdaten. EDGAR-Daten sind öffentlich; die SEC erhebt keinen API-Key und führt nach eigener Aussage keine personenbezogenen Logs auf diesen Endpunkten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der angefragten Drilldown-Funktion). Siehe SEC-Privacy-and-Security-Notice.
• Trade Republic Bank GmbH (Deutschland / EU) — wenn du einen Pull triggerst, verbindet sich die Bridge mit der TR-API in deinem Auftrag mit deiner Telefonnummer + PIN. Wir sind nicht mit Trade Republic verbunden. Siehe Rechtsdokumente von Trade Republic.
• Plausible Analytics (Community Edition, selbst gehostet) — gehostet auf unserem eigenen Server in der EU (Frankfurt am Main). Wir verarbeiten cookielos und ohne IP-Speicherung folgende Datenkategorien: aufgerufene Seiten (Pageviews), ausgelöste Conversion-Goals (Signup, Login, First Upload, First PnL View), Browser-Typ, Betriebssystem und Referrer. Keine Cookies, kein Drittlandtransfer, kein Cross-Site-Tracking. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung). Du kannst der Verarbeitung jederzeit per Adblocker oder DNT-Header widersprechen (Opt-out).
• Have I Been Pwned (Pwned Passwords, betrieben von Troy Hunt, technische Auslieferung über Cloudflare) — Passwort-Sicherheitsprüfung bei Registrierung und Passwortänderung (Empfehlung nach NIST 800-63B). Wir prüfen, ob dein gewähltes Passwort in bekannten Daten-Leaks auftaucht; dafür werden ausschließlich die ersten fünf Zeichen des SHA-1-Hashes deines Passworts übermittelt (k-Anonymität) — niemals das Passwort selbst oder ein vollständiger Hash, eine Rekonstruktion ist daraus nicht möglich. Keine Account-, Trade- oder Identifizierungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kontosicherheit). Siehe Have-I-Been-Pwned-Datenschutzerklärung.
• Sentry (Functional Software, Inc., USA — EU-Region Frankfurt am Main) — Error-Tracking. Wenn die App technisch versagt (z.B. ein gescheiterter API-Call, ein Rendering-Crash), übermitteln wir an Sentry: den Stacktrace, die aufgerufene URL, den User-Agent, eine ungefähre IP-Geo-Region und eine pseudonyme User-ID. NICHT übermittelt werden: deine API-Keys, deine Trade-Daten, Session-Cookies und deine E-Mail-Adresse (per beforeSend-Hook gefiltert). Datenort: Sentrys EU-Region in Frankfurt am Main — kein Drittlandtransfer für gespeicherte Fehlerdaten. Functional Software, Inc. ist EU-U.S. Data Privacy Framework-zertifiziert, falls im Ausnahmefall ein Support-Zugriff aus den USA stattfindet. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlerdiagnose + Stabilitätsverbesserung). Siehe Sentry-Datenschutzerklärung.
• Datadog (Datadog, Inc., USA — EU-Site in Frankfurt am Main) — technisches Log- und Fehler-Monitoring. Wir übermitteln an Datadog: technische Server-Logs (Zeitstempel, Log-Level, Fehlermeldung, Stacktrace, aufgerufener API-Pfad) sowie bei Fehlern im Browser den Stacktrace, die aufgerufene URL (ohne Query-Parameter), den User-Agent und eine ungefähre IP-Geo-Region. Zusätzlich erfassen wir zur Stabilitäts- und Performance-Analyse pseudonyme Nutzungs-Sessions (Real User Monitoring): aufgerufene Seiten (ohne Query-Parameter), Ladezeiten und Interaktions-Ereignisse — Formulareingaben werden maskiert und nicht übermittelt, eine Bildschirm-Aufzeichnung (Session Replay) findet nicht statt. NICHT übermittelt werden: deine API-Keys, deine Trade-Daten, Session-Cookies und deine E-Mail-Adresse. Datenort: Datadogs EU-Site (EU1) in Frankfurt am Main — Speicherung und Verarbeitung in der EU, kein Drittlandtransfer für gespeicherte Log-Daten. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO inkl. EU-Standardvertragsklauseln für den Ausnahmefall eines Support-Zugriffs aus den USA. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlerdiagnose + Stabilitätsverbesserung). Siehe Datadog-Datenschutzerklärung.

Hinweis: Über die oben genannten Tools hinaus nutzen wir derzeit keine weiteren Analytics-, Error-Tracking- oder Tag-Management-Tools. Sollten wir ein zusätzliches Tool hinzufügen, aktualisieren wir diese Seite vor der Aktivierung.

9. Datensicherheit

Wir setzen marktübliche technische und organisatorische Maßnahmen ein: TLS auf jeder Verbindung, AES-256-GCM-Verschlüsselung der API-Keys at rest, bcrypt-Passwort-Hashing, restriktiver Datenbankzugriff und ein evictbarer In-Memory-Session-Store für die Trade-Republic-Bridge, sodass Zugangsdaten nicht länger als nötig im RAM bleiben.

10. Speicherdauer & Löschung

Deine Account-Daten bleiben gespeichert, bis du den Account löschst. Du kannst deinen Account jederzeit selbst unter /settings löschen — dabei werden alle zu deinem Account gehörenden Datensätze (Profil, gespeicherte API-Keys, News-Lesestatus, Symbol-Cache) ohne Verzögerung kaskadierend entfernt. Einzelne API-Keys kannst du dort ebenfalls jederzeit widerrufen (sofort mit NULL überschrieben). Server-Logs werden nach 7 Tagen gelöscht. Mail-Inhalte werden bei uns nicht persistiert; SMTP-Versand-Logs liegen bei IONOS und werden gemäß deren Aufbewahrungsfristen geführt. Falls die Self-Service-Löschung für dich nicht funktioniert, schreibe an info@trade-insight.de.

11. Deine Rechte (DSGVO)

Nach der DSGVO hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung. Auskunft und Datenübertragbarkeit (Art. 15 + 20 DSGVO) kannst du selbst unter /settings als JSON-Export deiner Daten beziehen; Löschung (Art. 17 DSGVO) ebenso direkt dort. Für die übrigen Rechte oder bei Problemen mit der Self-Service-Funktion wende dich an info@trade-insight.de. Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren — für unsere Niederlassung ist das die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

12. Automatisierte Entscheidungen

Wir setzen keine automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO ein. KI-generierte Nachrichten-Zusammenfassungen sind informativ und entfalten dir gegenüber keine rechtliche oder ähnlich erhebliche Wirkung.

13. Minderjährige

trade-insight richtet sich an Nutzerinnen und Nutzer, die mindestens 18 Jahre alt sind. Wir verarbeiten wissentlich keine Daten von Minderjährigen. Wenn du den Verdacht hast, dass uns Daten einer minderjährigen Person übermittelt wurden, kontaktiere uns bitte zur Löschung.

14. Rechtsgrundlagen (Zusammenfassung)

Die Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzervertrags — Bereitstellung der App), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen — IT-Sicherheit, Server-Logs, Missbrauchsabwehr, News-Caching zur Schonung von API-Quotas) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung — wenn du freiwillig einen API-Key hinterlegst oder einen Trade-Republic-Pull auslöst).

15. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich die Verarbeitung ändert. Wesentliche Änderungen kündigen wir auf dieser Seite an und passen das oben angegebene Aktualisierungsdatum entsprechend an.

16. Kontakt

Fragen zum Umgang mit deinen Daten? Schreibe an info@trade-insight.de.