Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und sonstiger nationaler Datenschutzgesetze ist:

Stefan Wensauer Eichweg 27a, 87666 Pforzen, Germany

E-Mail: support@stonksask.me

Einen Datenschutzbeauftragten haben wir nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

2. Geltungsbereich & Begriffe

Diese Datenschutzerklärung informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten bei der Nutzung von Stonks Ask Terminal. sowie der zugehörigen Website und App.

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. „Verarbeitung“ ist jeder Vorgang im Zusammenhang mit personenbezogenen Daten (z. B. Erheben, Speichern, Nutzen, Übermitteln, Löschen). Die verwendeten Begriffe richten sich nach Art. 4 DSGVO.

3. Übersicht der Verarbeitungen

Konto & Authentifizierung — E-Mail-Adresse, Session-Tokens — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) — Bis Kontolöschung

Chat-Sitzungen — Gesprächsinhalte, Titel — Vertragserfüllung — Bis Kontolöschung

Modell-Training / Fine-Tuning (optional) — Chat-Inhalte (pseudonymisiert/anonymisiert) — Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — Bis Widerruf / Kontolöschung; bereits erzeugte anonymisierte Trainingsdatensätze und Modellgewichte können nicht vollständig rückgängig gemacht werden

Nutzer-Memories — KI-extrahierte Präferenzen (optional) — Einwilligung / Vertrag (Art. 6 Abs. 1 lit. a/b DSGVO) — Bis Löschung oder Deaktivierung

Einstellungen — Instructions, Sprache, Währung, Reasoning-Mode — Vertragserfüllung — Bis Kontolöschung

Watchlist & Depot — Ticker, Notizen, Bestände, Parqet-Sync-Metadaten — Vertragserfüllung — Bis Kontolöschung

Zahlungen & Abonnement — Abo-Status, Kunden-/Transaktions-IDs des Zahlungsdienstleisters — Vertrag / rechtliche Pflicht (Art. 6 Abs. 1 lit. b/c DSGVO) — Gemäß gesetzlicher Aufbewahrungsfristen

Nutzungsstatistik — Abfragen für Abrechnungslimits — Berechtigtes Interesse / Vertrag (Art. 6 Abs. 1 lit. b/f DSGVO) — Abrechnungszeitraum + Aufbewahrung

Server-Logs — IP-Adresse, Zeitstempel (Hosting) — Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) — Gemäß Anbieter-Aufbewahrung

Newsletter / Produkt-Updates (optional) — E-Mail-Adresse aus Website-Anmeldung — Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — Bis Widerruf oder Löschung

4. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO) sowie Wahrung berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Soweit wir die Verarbeitung auf ein berechtigtes Interesse stützen, besteht dieses insbesondere in der sicheren, stabilen und wirtschaftlichen Bereitstellung des Dienstes, dem Schutz vor Missbrauch sowie der Verbesserung unseres Angebots. Eine Verarbeitung auf Grundlage einer Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

5. Hosting (Vercel)

Die Anwendung wird bei Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet. Beim Aufruf der Anwendung verarbeitet Vercel technisch notwendige Daten (z. B. IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Ressource, Browser-/Geräteinformationen) in Server-Logfiles, um die Auslieferung, Sicherheit und Stabilität des Dienstes zu gewährleisten.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und effizienten Betrieb (Art. 6 Abs. 1 lit. f DSGVO) sowie die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Vercel verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags. Zur Drittlandübermittlung siehe Ziffer 21.

6. Datenbank & Authentifizierungsplattform (Supabase)

Für die Datenhaltung und die Authentifizierung nutzen wir Supabase (Supabase, Inc., 970 Toa Payoh North #07-04, Singapur; mit Infrastruktur in den für unser Projekt konfigurierten Regionen). In Supabase werden Konto-, Chat-, Einstellungs-, Watchlist-/Depot- und Nutzungsdaten gespeichert.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Supabase verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags.

7. Registrierung & Anmeldung

Für die Nutzung des geschützten Bereichs ist eine Registrierung erforderlich. Dabei verarbeiten wir Ihre E-Mail-Adresse und die zugehörigen Authentifizierungsdaten über Supabase Auth. Sie können sich mit E-Mail und Passwort, per Magic Link, mit „Mit Apple anmelden“ oder mit „Mit Google anmelden“ anmelden. Bei Apple erhalten wir Ihre Apple-Benutzer-ID und E-Mail-Adresse (oder Apples Private-Relay-Adresse, wenn Sie Ihre E-Mail verbergen). Bei Google erhalten wir Ihre Google-Benutzer-ID, E-Mail-Adresse und ggf. Ihren Namen, sofern Sie den Zugriff erlauben. Zur Aufrechterhaltung Ihres Anmeldestatus werden technisch notwendige Session-Cookies bzw. Tokens gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Begründung und Durchführung des Nutzungsvertrags).

8. Terminal-Chat & Sitzungen

Ihre Chat-Nachrichten und Sitzungstitel werden gespeichert, um den Chat-Verlauf, die Kontinuität der Konversation und die zugehörigen Funktionen bereitzustellen. Eine automatische Klassifizierung von Konversationen (z. B. nach Ticker oder Phase) dient der Organisation Ihrer Historie.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sie können einzelne Konversationen jederzeit löschen.

Eine Nutzung von Chat-Inhalten zum Training oder Fine-Tuning eigener Modelle fällt nicht unter diese Vertragsgrundlage und erfolgt nur bei Ihrer gesonderten Einwilligung (siehe Ziffer 9).

9. Modell-Training & Fine-Tuning (optional)

Mit Ihrer ausdrücklichen Einwilligung können wir Chat-Inhalte aus Ihren Sitzungen verwenden, um eigene Sprachmodelle zu trainieren oder zu fine-tunen und so den Dienst zu verbessern. Ohne Einwilligung findet kein solches Training mit Ihren Chat-Daten statt.

Vor einer Verwendung für Trainingszwecke werden die Daten nach Möglichkeit pseudonymisiert oder anonymisiert (z. B. Entfernung direkter Identifikatoren). Roh-Chatverläufe verkaufen wir nicht an Dritte zu deren eigenem Modelltraining.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (z. B. in den Einstellungen, sobald die Funktion dort verfügbar ist, oder per Mitteilung an support@stonksask.me). Der Widerruf bzw. die Kontolöschung wirkt für zukünftige Exporte und Trainingsläufe. Bereits erzeugte anonymisierte oder pseudonymisierte Trainingsdatensätze sowie daraus abgeleitete Modellgewichte können technisch nicht vollständig rückgängig gemacht bzw. „vergessen“ werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

10. Nutzer-Memories

Sofern die Memory-Funktion aktiviert ist, speichern wir KI-extrahierte Präferenz-Snippets, die mit Ihrem Konto verknüpft sind, um Antworten zu personalisieren. Diese Funktion ist optional.

Rechtsgrundlage ist Ihre Einwilligung bzw. die Vertragserfüllung (Art. 6 Abs. 1 lit. a bzw. b DSGVO). Sie können Memories jederzeit in den Einstellungen deaktivieren und löschen.

11. Einstellungen

Von Ihnen vorgenommene Einstellungen (z. B. eigene Instructions, Sprache, Währung, Reasoning-Modus) werden gespeichert, um die App entsprechend Ihren Vorgaben bereitzustellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12. Watchlist & Depot

Von Ihnen eingegebene Symbole, Notizen und Depot-Positionen werden gespeichert, um kontextbezogene Analysen im Terminal zu ermöglichen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Diese Daten werden nur Ihrem Konto zugeordnet und nicht zu Werbezwecken genutzt.

13. Depot-Integration (Parqet)

Wenn Sie die optionale Parqet-Integration anbinden, synchronisieren wir auf Ihren Wunsch Bestands-Metadaten (z. B. Ticker, Menge, Einstandspreis, Kaufdatum) aus Ihrem Parqet-Konto. Die Anbindung erfolgt über ein autorisiertes Verfahren; Ihre Parqet-Zugangsdaten speichern wir nicht auf unseren Servern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die Verarbeitung in Ihrem Parqet-Konto ist der jeweilige Anbieter eigenständig verantwortlich.

14. KI-Verarbeitung (OpenRouter & Modellanbieter)

Zur Generierung von Antworten werden Chat-Anfragen über OpenRouter (OpenRouter, Inc.) an Large-Language-Model-Anbieter weitergeleitet. Dabei können Nachrichteninhalte und der für die Antwort relevante Kontext (z. B. Watchlist, Depot, Memories) übermittelt werden. Bitte geben Sie keine besonders sensiblen oder vertraulichen personenbezogenen Daten in den Chat ein.

Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt (siehe Ziffer 23).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Zur Drittlandübermittlung siehe Ziffer 21.

15. Marktdaten & Logos

Marktdaten (Kurse, Fundamentaldaten, News) werden auf Basis der von Ihnen abgefragten Ticker von Financial Modeling Prep (FMP) abgerufen. Diese Anfragen enthalten keine personenbezogenen Identifikatoren über das für den API-Zugang technisch Notwendige hinaus.

Aktienlogos können über Logo.dev geladen werden. Hierbei kann Ihre IP-Adresse technisch bedingt an den jeweiligen Anbieter übermittelt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Bereitstellung der angeforderten Inhalte).

16. Zahlungsabwicklung (Stripe)

Für die Abwicklung kostenpflichtiger Tarife nutzen wir den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland). Bei einem Kauf werden die für die Zahlung erforderlichen Daten (z. B. Zahlungsmittel-Informationen) unmittelbar von Stripe erhoben und verarbeitet; vollständige Zahlungsdaten (z. B. Kartennummern) werden nicht auf unseren Servern gespeichert. Wir erhalten von Stripe Informationen über den Zahlungs- und Abo-Status sowie zugehörige Kunden- und Transaktions-IDs.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie die Erfüllung rechtlicher (insbesondere handels- und steuerrechtlicher) Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Stripe ist hinsichtlich der eigenverantwortlich erhobenen Zahlungsdaten teils eigener Verantwortlicher. Es gilt zusätzlich die Datenschutzerklärung von Stripe.

17. E-Mails & Newsletter

Im Rahmen der Authentifizierung und Kontoverwaltung versenden wir notwendige Transaktions-E-Mails (z. B. zur Bestätigung der Registrierung, zum Zurücksetzen des Passworts). Hierfür wird Ihre E-Mail-Adresse über die E-Mail-Infrastruktur unseres Authentifizierungsanbieters verarbeitet.

Wenn Sie sich über ein Formular auf unserer Website (z. B. die Gotham-Ankündigungsseite) für Produkt-Updates anmelden, speichern wir Ihre E-Mail-Adresse in unserer Datenbank, um Sie zu Produktneuigkeiten und verwandten Updates zu kontaktieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie support@stonksask.me kontaktieren; wir löschen bzw. nutzen Ihre Adresse dann nicht mehr für diesen Zweck.

Der Versand von Newslettern kann später über einen externen Newsletter-Dienst (Auftragsverarbeiter) erfolgen. Solange kein solcher Dienst angebunden ist, speichern wir die Adresse nur und versenden keine automatischen Marketing-E-Mails.

Werbliche E-Mails versenden wir nur mit Ihrer Einwilligung oder im gesetzlich zulässigen Rahmen. Newsletter-Einstellungen im Konto (Settings) sind von öffentlichen Website-Anmeldungen getrennt.

18. Cookies & lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies bzw. Tokens, insbesondere für die Authentifizierung und die Aufrechterhaltung Ihrer Sitzung. Diese sind für den Betrieb des Dienstes erforderlich; ihre Verwendung beruht auf § 25 Abs. 2 TDDDG sowie Art. 6 Abs. 1 lit. b/f DSGVO.

Marketing- oder Analyse-Cookies setzen wir derzeit nicht ein. Ihr Browser kann zudem Einstellungen (z. B. Sprache) und anwendungsbezogenen Zustand im lokalen Speicher (Local Storage) ablegen, um Funktionen bereitzustellen.

19. Server-Logfiles

Beim Zugriff auf den Dienst werden durch unseren Hosting-Anbieter automatisch Informationen in Server-Logfiles erfasst (z. B. IP-Adresse, Datum und Uhrzeit, angeforderte Ressource, Statuscode, Referrer, Browser-/Betriebssystemtyp).

Diese Verarbeitung ist zur Auslieferung, zur Gewährleistung der Systemsicherheit und zur Fehleranalyse erforderlich. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gemäß den Aufbewahrungsregelungen des Anbieters gelöscht.

20. Speicherdauer

Wir verarbeiten und speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Konto-, Chat-, Einstellungs-, Watchlist- und Depotdaten speichern wir grundsätzlich bis zur Löschung des Kontos bzw. der jeweiligen Inhalte.

Soweit Sie in das optionale Modell-Training eingewilligt haben, können wir für Trainingszwecke erstellte, pseudonymisierte oder anonymisierte Datensatz-Snapshots für die Dauer der jeweiligen Trainings- und Evaluationszyklen speichern. Ein Widerruf der Einwilligung beendet die Aufnahme in zukünftige Exporte; bereits erzeugte Snapshots und daraus abgeleitete Modellgewichte können, soweit sie keine personenbezogenen Daten mehr enthalten bzw. technisch nicht rückabwickelbar sind, fortbestehen (siehe Ziffer 9).

Nach Wegfall des Zwecks werden Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Insbesondere für abrechnungs- und steuerrelevante Unterlagen gelten gesetzliche Aufbewahrungsfristen (regelmäßig 6 bzw. 10 Jahre nach HGB und AO); für die Dauer dieser Fristen wird die Verarbeitung eingeschränkt.

21. Übermittlung in Drittländer

Einige der eingesetzten Dienstleister (z. B. Vercel, OpenRouter sowie ggf. weitere Modell- oder Infrastrukturanbieter) können personenbezogene Daten in Ländern außerhalb der EU/des EWR, insbesondere in den USA, verarbeiten.

Soweit eine Übermittlung in ein Drittland erfolgt, stellen wir geeignete Garantien gemäß Art. 44 ff. DSGVO sicher, insbesondere durch den Abschluss der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und ergänzende Schutzmaßnahmen bzw. – soweit der Anbieter zertifiziert ist – auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss). Nähere Informationen erhalten Sie auf Anfrage unter support@stonksask.me.

22. Auftragsverarbeiter & Empfänger

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag und nach unseren Weisungen verarbeiten (Auftragsverarbeitung gemäß Art. 28 DSGVO). Hierzu zählen insbesondere: Vercel (Hosting), Supabase (Datenbank/Authentifizierung), Stripe (Zahlungsabwicklung), OpenRouter und nachgelagerte Modellanbieter (KI-Verarbeitung), Financial Modeling Prep (Marktdaten) sowie Logo.dev (Logos).

Mit diesen Anbietern bestehen, soweit erforderlich, Auftragsverarbeitungsverträge. Eine Weitergabe an sonstige Dritte erfolgt nur, wenn dies gesetzlich zulässig ist, Sie eingewilligt haben oder dies zur Vertragserfüllung erforderlich ist.

23. Automatisierte Entscheidungen & Profiling

Eine ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhende Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt.

KI-generierte Inhalte dienen ausschließlich Informations- und Analysezwecken und stellen keine verbindliche Entscheidung oder Anlageberatung dar.

24. Minderjährige

Der Dienst richtet sich nicht an Minderjährige. Personen unter 18 Jahren sollten ohne Zustimmung der Erziehungsberechtigten keine personenbezogenen Daten an uns übermitteln.

Sollten wir Kenntnis davon erlangen, dass personenbezogene Daten einer minderjährigen Person ohne erforderliche Einwilligung verarbeitet wurden, werden wir diese unverzüglich löschen.

25. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um Ihre Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen, insbesondere durch Transportverschlüsselung (TLS), Zugriffskontrollen und die Auswahl sicherheitsgeprüfter Dienstleister.

Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend überprüft und angepasst.

26. Ihre Rechte

Nach der DSGVO stehen Ihnen folgende Rechte zu: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen die Verarbeitung (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen.

Zur Ausübung Ihrer Rechte genügt eine Mitteilung an support@stonksask.me.

27. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Die für uns zuständige Aufsichtsbehörde ist: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, https://www.lda.bayern.de.

28. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Dienste, die eingesetzten Anbieter oder die rechtlichen Anforderungen ändern. Es gilt jeweils die zum Zeitpunkt der Nutzung abrufbare Fassung.

Das Datum am Anfang dieser Erklärung gibt den aktuellen Stand an.

29. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter:

Stefan Wensauer Eichweg 27a, 87666 Pforzen, Germany

E-Mail: support@stonksask.me