Datenschutz­erklärung

Unsere Webanwendung wird auf der Vercel-Plattform gehostet. Vercel nutzt ein globales Edge-Netzwerk für die Auslieferung statischer Inhalte. Serverless Functions werden in der Region Frankfurt (eu-central-1) ausgeführt.

Vercel ist nach dem EU-US Data Privacy Framework zertifiziert. vercel.com/legal/privacy-policy

Zur Anreicherung von Portfolio-Daten nutzen wir:

• Yahoo Finance (USA) – Kursdaten, Fundamentaldaten
• Finnhub (USA) – Dividenden, Unternehmenskennzahlen
• JustETF (Deutschland) – ETF-Informationen
• OpenFIGI (USA) – Wertpapier-Identifikation
• CoinGecko (Großbritannien) – Kryptowährungsdaten
• QXPlus (Deutschland) – Kursdaten, Produktstammdaten
• onvista (Deutschland) – Stammdaten von Optionsscheinen, Wertpapiersuche
• Deutsche Finanzagentur (Deutschland) – Kurse und Stammdaten von Bundeswertpapieren
• Elbstream (Deutschland) – Logos im PDF-Bericht

An diese Anbieter übermitteln wir nur Angaben zum Wertpapier wie ISIN, WKN, Kürzel oder einen Suchbegriff, keine personenbezogenen Daten.

Unsere Datenbank (PostgreSQL) und hochgeladene Dateien liegen auf der Supabase-Plattform in der AWS-Region Frankfurt (eu-central-1).

Supabase setzt Standardvertragsklauseln der EU-Kommission ein. supabase.com/privacy

Für die Abwicklung von Zahlungen nutzen wir Stripe. Bei der Bezahlung werden folgende Daten an Stripe übermittelt:

• E-Mail-Adresse
• Rechnungsadresse (falls angegeben)
• Zahlungsinformationen (Kreditkartendaten werden direkt bei Stripe verarbeitet)
• Transaktionsdaten (Betrag, Währung, Zeitpunkt)

Für Übermittlungen an Stripe, LLC in den USA gilt das EU-US Data Privacy Framework, nach dem Stripe, LLC zertifiziert ist. stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Über Resend versenden wir unsere E-Mails an Sie, etwa Bestell- und Zahlungsbestätigungen, Ihre fertige Auswertung samt PDF-Bericht, Freigabe-Links und Terminbestätigungen. Resend verarbeitet dabei Ihre E-Mail-Adresse, Ihren Namen und den Inhalt der E-Mail einschließlich Anhängen.

Der Versand läuft über Server in Irland. E-Mail- und Protokolldaten speichert Resend in den USA und löscht sie nach 30 Tagen. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission. resend.com/legal/privacy-policy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Unsere E-Mail-Postfächer (z. B. info@deindepotcheck.de und datenschutz@deindepotcheck.de) liegen bei Hostinger. Schreiben Sie uns, speichert Hostinger Ihre Nachricht samt E-Mail-Adresse. Übermittlungen außerhalb des EWR erfolgen auf Grundlage der Standardvertragsklauseln der EU-Kommission. hostinger.com/legal/privacy-policy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung Ihrer Anfrage)

Laden Sie für Ihren Depotcheck einen Depotauszug als PDF oder Foto hoch, kann eine KI (z. B. Gemini von Google) die Wertpapierpositionen auslesen, vor allem bei gescannten PDFs und Fotos. Dafür übermitteln wir das Dokument bzw. die Seitenbilder; sie können Ihren Namen, Ihre Anschrift oder Ihre Depotnummer enthalten. Übermitteln wir nur den Text eines PDFs, entfernen wir vorher automatisch erkennbare IBAN, Depot-, Konto- und Kundennummern sowie Anrede- und Adresszeilen.

Die Anfrage läuft über das AI Gateway von Vercel. Das Gateway leitet sie an einen der genannten KI-Anbieter weiter. Wir haben es so eingestellt, dass nur Anbieter mit Zero Data Retention zum Einsatz kommen: Vercel und der KI-Anbieter speichern Ein- und Ausgaben nach der Verarbeitung nicht und nutzen sie nicht zum Training. Die Verarbeitung kann in den USA stattfinden. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.

vercel.com/legal/privacy-policyanthropic.com/legal/privacycloud.google.com/terms/cloud-privacy-noticeopenai.com/policies/privacy-policy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Nutzt Ihr Berater den KI-Assistenten Dipo, übermitteln wir seine Frage und die dafür nötigen Angaben aus Ihrem Depotcheck an ein KI-Modell, etwa Positionen, Kennzahlen und Notizen. Ergebnisse unserer eigenen Auswertungen geben wir dem Modell ohne Klarnamen und E-Mail-Adressen; statt der Nutzerkennung erhält das Gateway ein Pseudonym.

Die Anfrage läuft über das AI Gateway von Vercel. Das Gateway leitet sie an einen der genannten KI-Anbieter weiter. Wir haben es so eingestellt, dass nur Anbieter mit Zero Data Retention zum Einsatz kommen: Vercel und der KI-Anbieter speichern Ein- und Ausgaben nach der Verarbeitung nicht und nutzen sie nicht zum Training. Die Verarbeitung kann in den USA stattfinden. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.

vercel.com/legal/privacy-policyanthropic.com/legal/privacycloud.google.com/terms/cloud-privacy-noticeopenai.com/policies/privacy-policy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (Aufzeichnungspflichten nach dem Wertpapierhandelsgesetz)

Für aktuelle öffentliche Informationen, etwa zu einem Unternehmen oder Fonds, kann Dipo das Internet mit der Suchmaschine Exa durchsuchen, die wir über das AI Gateway von Vercel ansprechen. Exa erhält dabei nur den Suchbegriff, den das KI-Modell formuliert. Ihr Name und Ihre Depotdaten sind nicht Teil der Anfrage. Die Websuche lässt sich je Anfrage abschalten. Übermittlungen in die USA erfolgen auf Grundlage der Standardvertragsklauseln der EU-Kommission. exa.ai/privacy-policy

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (fundierte, aktuelle Beratung)

Ihr Berater kann Fragen an Dipo diktieren. Die Aufnahme (höchstens 2 Minuten, als Sprachaufnahme im WAV-Format) übermitteln wir zur Verschriftung an das Spracherkennungsmodell MAI-Transcribe von Microsoft, das auf Microsoft Azure läuft. Wir speichern die Aufnahme nicht: Sie liegt nur während der Verschriftung im Arbeitsspeicher. Den erkannten Text prüft Ihr Berater, bevor er ihn absendet. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert.

Die Anfrage läuft über das AI Gateway von Vercel. Das Gateway leitet sie an einen der genannten KI-Anbieter weiter. Wir haben es so eingestellt, dass nur Anbieter mit Zero Data Retention zum Einsatz kommen: Vercel und der KI-Anbieter speichern Ein- und Ausgaben nach der Verarbeitung nicht und nutzen sie nicht zum Training. Die Verarbeitung kann in den USA stattfinden. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.

vercel.com/legal/privacy-policymicrosoft.com/de-de/privacy/privacystatement

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Lädt Ihr Berater ein Dokument in Dipo hoch, etwa einen Depotauszug oder ein Produktinformationsblatt, speichern wir die Datei in unserem Dateispeicher in Frankfurt (Supabase) und lesen ihren Text aus. Den Text bzw. die Seitenbilder übermitteln wir wie bei einer Frage an das KI-Modell (Karte „KI-Assistent Dipo“). Die Datei löschen wir nach 30 Tagen. Den gelesenen Text bewahren wir mit den Gesprächsprotokollen auf (Abschnitt 8).

Wählt Ihr Berater einen Bildschirmausschnitt aus, erstellt sein Browser davon ein Bild. Dieses Bild übermitteln wir mit der Frage an das KI-Modell. Das Modell kann alles sehen, was im Ausschnitt steht, auch Namen. Wir speichern das Bild nicht: Im Gesprächsprotokoll steht nur der Vermerk, dass ein Ausschnitt gesendet wurde.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (Aufzeichnungspflichten nach dem Wertpapierhandelsgesetz)

Gesprächsprotokolle des KI-Assistenten müssen wir 5 Jahre aufbewahren. Nach 90 Tagen verschieben wir sie aus unserer Datenbank in ein Archiv bei Cloudflare R2. Das Archiv liegt in der EU und ist gegen Änderungen und vorzeitiges Löschen gesperrt. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert. cloudflare.com/privacypolicy

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Aufzeichnungspflichten nach dem Wertpapierhandelsgesetz)

Um technische Fehler zu erkennen, übermitteln wir Fehlermeldungen, Protokolle und Leistungsdaten an Sentry: technische Angaben zu Browser und Betriebssystem, die aufgerufene Seite sowie eine pseudonyme Nutzerkennung und Ihre Rolle. Sentry speichert diese Daten in seiner EU-Region in Frankfurt und ist nach dem EU-US Data Privacy Framework zertifiziert. sentry.io/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Systemstabilität und IT-Sicherheit)

Um Anfragen zu begrenzen und Ergebnisse zwischenzuspeichern, nutzen wir Upstash. Dort liegen kurzzeitig Ihre IP-Adresse oder Nutzerkennung (höchstens 24 Stunden) sowie beim Import erkannte Depotpositionen (höchstens 7 Tage). Upstash ist nach dem EU-US Data Privacy Framework zertifiziert. upstash.com/trust/privacy.pdf

Während der KI-Assistent antwortet, speichern wir die laufende Antwort einschließlich der abgerufenen Daten (etwa Positionen und Kennzahlen aus dem Depotcheck) höchstens 15 Minuten bei Upstash, damit sie nach einem Neuladen der Seite oder einem kurzen Verbindungsabbruch weiterläuft. Danach löscht Upstash sie automatisch; dauerhaft gespeichert wird die Antwort nur im Gesprächsprotokoll (Abschnitt 8).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch); für die laufende Antwort des KI-Assistenten Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (unterbrechungsfreie Nutzung)

Beratungstermine buchen Sie über unsere Buchungsseite bei Cal.com. Dort geben Sie Name, E-Mail-Adresse und Wunschtermin ein. Cal.com speichert und verarbeitet diese Daten in den USA. Cal.com ist nicht nach dem EU-US Data Privacy Framework zertifiziert; Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission. Nach der Buchung erhalten wir Name, E-Mail-Adresse und Termin sowie, wenn Sie über den Link in Ihrer Auswertung buchen, die Kennung Ihres Depotchecks, um Ihre Beraterin oder Ihren Berater zu informieren. cal.com/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen)

Bestellen Sie Ihren Depotcheck über QXPlus, ein Angebot der certox GmbH, übermittelt uns certox Ihren Namen, Ihre E-Mail-Adresse und Ihre Depotpositionen (ISIN bzw. WKN, Stückzahl bzw. Nennbetrag, Kaufkurs, Kaufdatum, Währung), dazu, falls vorhanden, Ihre Kundenkennung bei QXPlus sowie Bezeichnung, Art, Kupon und Fälligkeit der Wertpapiere. Damit zeigen wir Ihnen die Angaben vor der Zahlung zur Prüfung an und erstellen danach Ihren Depotcheck. Wir speichern die Daten zusammen mit Ihrer Bestellung. Kommt keine Zahlung zustande, löschen wir die Bestellung samt diesen Angaben 30 Tage nach Ablauf des Review-Links (Abschnitt 8).

An certox melden wir den Stand Ihrer Bestellung zurück: gestartet, fertig, fehlgeschlagen, abgelaufen oder erstattet, jeweils nur mit der Bestellkennung. Name, E-Mail-Adresse, Depotpositionen und Ergebnisse der Analyse sind nicht Teil dieser Meldung. qx.plus/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen)