Datenschutzerklärung

1. Verantwortlicher

Tim Hack

Vaapad Capital

E-Mail: [email protected]

2. Übersicht der Datenverarbeitungen

Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten innerhalb unseres Onlineangebots gemäß Art. 13 und 14 DSGVO.

3. Hosting & Infrastruktur

Unsere Website wird bei einem externen Dienstleister gehostet (Hoster). Die personenbezogenen Daten, die auf dieser Website erfasst werden, werden auf den Servern des Hosters gespeichert. Hierbei kann es sich um IP-Adressen, Kontaktanfragen, Meta- und Kommunikationsdaten, Nutzungsdaten und sonstige Daten handeln, die über eine Website generiert werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Bereitstellung unseres Onlineangebots).

4. Server-Logfiles

Bei jedem Zugriff auf unsere Website werden folgende Daten automatisch erfasst und in Server-Logfiles gespeichert:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL (zuvor besuchte Seite)
• IP-Adresse des zugreifenden Rechners
• Uhrzeit der Serveranfrage

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden nicht mit anderen Datenquellen zusammengeführt.

5. Nutzerkonten & Authentifizierung

Für den Zugang zum Terminal ist eine Registrierung erforderlich. Dabei werden folgende personenbezogene Daten verarbeitet:

• E-Mail-Adresse
• Name (sofern angegeben)
• Zeitpunkt der Registrierung und des letzten Logins
• Abonnement-Status

Die Authentifizierung erfolgt passwortlos – entweder über Magic Link (E-Mail) oder Google SSO. Es werden keine Passwörter oder Passwort-Hashes gespeichert. Bei Google SSO werden Ihr Name und Ihre E-Mail-Adresse von Google übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung des Terminal-Zugangs).

6. Cookies

Wir verwenden folgende Arten von Cookies:

7. E-Mail-Benachrichtigungen

Wir versenden transaktionale E-Mails (Magic Link zur Anmeldung, Willkommens-E-Mail) sowie optionale Benachrichtigungen über Handelsaktivitäten. Die Zustellung erfolgt über einen externen E-Mail-Dienstleister.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (transaktionale E-Mails) bzw. Art. 6 Abs. 1 lit. a DSGVO (optionale Benachrichtigungen).

8. Newsletter

Auf unserer Website können Sie unseren kostenlosen Newsletter abonnieren. Zweck der Verarbeitung ist der Versand unseres monatlichen Marketing-Newsletters (Monatsrückblick mit Performance-Überblick, neuen Field Notes und Research-Hinweisen).

Hierfür verarbeiten wir die folgenden personenbezogenen Daten:

• Ihre E-Mail-Adresse
• den Zeitpunkt Ihrer Einwilligung (Anmeldung und Bestätigung)
• Ihre IP-Adresse zum Zeitpunkt der Einwilligung (zum Nachweis der Einwilligung gemäß Art. 7 Abs. 1 DSGVO)

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Double-Opt-in-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nachdem Sie diesen Link angeklickt und Ihre Anmeldung damit bestätigt haben, nehmen wir Sie in den Newsletter-Verteiler auf. So stellen wir sicher, dass die Anmeldung tatsächlich von der Inhaberin oder dem Inhaber der E-Mail-Adresse stammt.

Versanddienstleister: Der Versand des Newsletters erfolgt über Resend (Resend, Inc., USA), mit dem ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO besteht. Resend hat seinen Sitz in den USA; damit ist eine Übermittlung personenbezogener Daten in ein Drittland (Art. 44 ff. DSGVO) verbunden. Die Übermittlung wird durch geeignete Garantien abgesichert – das EU-US Data Privacy Framework (EU-US DPF) bzw. die Standardvertragsklauseln (SCCs) der EU-Kommission.

Speicherdauer: Wir speichern Ihre Daten für den Newsletter-Versand, bis Sie Ihre Einwilligung widerrufen (Abmeldung). Die zum Nachweis der Einwilligung erhobenen Daten (Einwilligungs-Zeitpunkt und IP-Adresse) bewahren wir nach einer Abmeldung bis zum Ablauf der Verjährungsfristen auf, um die Einwilligung belegen zu können.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) – über den Abmeldelink in jeder Newsletter-E-Mail. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

9. Kontaktformular & Bearbeitung von Kontaktanfragen

Wenn Sie uns über das Kontaktformular auf unserer Website eine Anfrage senden, verarbeiten wir die von Ihnen angegebenen Daten – Ihren Namen, Ihre E-Mail-Adresse sowie Betreff und Inhalt Ihrer Nachricht – zum Zweck der Bearbeitung und Beantwortung Ihrer Anfrage. Beim Absenden des Formulars wird Ihre Nachricht als E-Mail an unser internes Postfach [email protected] zugestellt. Der Versand erfolgt über unseren E-Mail-Dienstleister (Auftragsverarbeiter), mit dem ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO besteht.

Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf die Anbahnung oder Erfüllung eines Vertragsverhältnisses gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der effektiven Bearbeitung der an uns gerichteten Anfragen.

Eingehende Nachrichten an [email protected] werden zur zuverlässigen Zustellung über Cloudflare Email Routing an einen von uns betriebenen Eingangsdienst weitergeleitet und dort serverseitig in einer Mail-Warteschlange verarbeitet. Zur internen Nachverfolgung können Metadaten zur Anfrage, der Bearbeitungsstatus und ein Antwortentwurf gespeichert werden. Der fertige Entwurf wird in unserem E-Mail-Postfach als Entwurf bereitgestellt, damit er manuell geprüft und versendet werden kann.

Zur Unterstützung der Bearbeitung setzen wir einen lokalen, auf unserer eigenen Infrastruktur betriebenen Entwurfsassistenten ein. Die Vorprüfung der Anfrage erfolgt regelbasiert; ein lokal betriebenes KI-Modell kann anschließend einen Antwortvorschlag erstellen. Für diesen Entwurfsassistenten werden Inhalte von Kontaktanfragen nicht an Drittanbieter-LLM-APIs oder in Drittländer übermittelt. Besonders schützenswerte Zahlungs- und Kontodatenmuster werden vor der weiteren Verarbeitung maskiert. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO ist damit nicht verbunden: Jede Antwort wird von einer natürlichen Person geprüft, freigegeben und versendet.

Wir speichern Ihre Kontaktanfrage nur so lange, wie dies zur Bearbeitung Ihres Anliegens und etwaiger Anschlussfragen erforderlich ist. Anschließend löschen wir die Daten, sofern keine gesetzlichen Aufbewahrungspflichten (etwa nach Handels- oder Steuerrecht) einer Löschung entgegenstehen. In diesem Fall schränken wir die Verarbeitung der betroffenen Daten ein.

10. Push-Benachrichtigungen & Telegram

Nutzer können Web-Push-Benachrichtigungen und/oder Telegram-Alerts aktivieren. Die Verarbeitung erfolgt nur nach ausdrücklicher Zustimmung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

11. Ihre Rechte als betroffene Person

Ihnen stehen gemäß DSGVO folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) — Welche Daten wir über Sie gespeichert haben
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten (“Recht auf Vergessenwerden”)
• Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO) — Widerspruch gegen die Verarbeitung
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — Jederzeit ohne Angabe von Gründen

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: [email protected]

12. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über unsere Verarbeitung personenbezogener Daten zu beschweren.

13. Datensicherheit

Wir verwenden SSL/TLS-Verschlüsselung für die Übertragung sensibler Daten. Die Plattform arbeitet passwortlos – Anmeldungen erfolgen ausschließlich über einmalige Magic Links oder Google SSO, es werden keine Passwörter oder Passwort-Hashes gespeichert. Session-Tokens werden kryptografisch signiert (JWT). Der Zugang zum Terminal ist auf authentifizierte Nutzer mit aktivem Abonnement beschränkt.

14. Verarbeitung von Sicherheitsmeldungen (Responsible Disclosure)

Wenn Sie uns eine Sicherheitslücke oder einen Fehler melden (Responsible Disclosure), kann der Inhalt Ihrer Meldung zur automatisierten Analyse und Kategorisierung durch ein KI-gestütztes System des Anbieters Anthropic PBC (San Francisco, USA) verarbeitet werden. Anthropic ist dabei unser Auftragsverarbeiter (Art. 28 DSGVO); Grundlage ist das in die Commercial Terms von Anthropic einbezogene Data Processing Addendum. Die Verarbeitung durch dieses System erfolgt nur, wenn Sie im Meldeformular ausdrücklich einwilligen (Art. 6 Abs. 1 lit. a DSGVO); ohne Ihre Einwilligung wird Ihre Meldung nicht an das KI-System übermittelt.

Mit der Verarbeitung werden die von Ihnen übermittelten Inhalte — einschließlich etwaiger darin enthaltener personenbezogener Daten — in die USA übermittelt. Diese Übermittlung ist durch die von der EU-Kommission erlassenen Standardvertragsklauseln (Standard Contractual Clauses, Module 2 und 3) nach Art. 46 Abs. 2 lit. c DSGVO abgesichert, die Bestandteil des mit Anthropic geschlossenen Data Processing Addendum sind; das mit der Übermittlung verbundene Risiko haben wir zusätzlich bewertet. Anthropic nutzt die über die API übermittelten Inhalte nicht zum Training seiner Modelle und speichert sie nur für einen begrenzten Zeitraum zur Missbrauchserkennung. Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

Bitte übermitteln Sie in Ihrer Meldung keine personenbezogenen Daten Dritter und keine über die Beschreibung der Schwachstelle hinausgehenden sensiblen Informationen (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Die vorstehenden Regelungen gelten entsprechend, wenn Sie uns über den Feature-Request-Kanal im Terminal einen strukturierten Vorschlag für eine neue Funktion einreichen: Auch hier wird der Inhalt Ihres Vorschlags nur bei Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a, Art. 49 Abs. 1 lit. a DSGVO) zur automatisierten Einordnung an das oben genannte KI-System von Anthropic PBC übermittelt, unter denselben Absicherungen (Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO) und mit denselben Datenminimierungs- und Widerrufsrechten.

15. Research-Assistent im Terminal

Innerhalb des Terminals steht Ihnen als Bestandteil Ihres Abonnements ein Research-Assistent zur Verfügung. Er beantwortet Ihre Fragen zum öffentlich geteilten Muster-Portfolio (Handelsbuch), zu bereits veröffentlichten Field Notes sowie zum allgemeinen Marktkontext. Zweck der Verarbeitung ist ausschließlich diese Recherche-Unterstützung im Terminal. Der Assistent unterstützt Sie dabei rein informativ; eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO ist damit nicht verbunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), da der Research-Assistent ein Bestandteil der von Ihnen abonnierten Terminal-Leistungen ist.

Empfänger & Auftragsverarbeitung: Zur Beantwortung werden die von Ihnen im Research-Chat gestellten Anfragen (Queries) an Anthropic PBC (San Francisco, USA) übermittelt und dort verarbeitet. Anthropic ist dabei unser Auftragsverarbeiter (Art. 28 DSGVO); Grundlage ist das in die Commercial Terms von Anthropic einbezogene Data Processing Addendum. Anthropic nutzt die über die Schnittstelle (API) übermittelten Inhalte nicht zum Training seiner Modelle und speichert sie nur für einen begrenzten Zeitraum zur Missbrauchserkennung.

Drittlandübermittlung: Mit der Verarbeitung werden die übermittelten Inhalte in die USA und damit in ein Drittland (Art. 44 ff. DSGVO) übermittelt. Diese Übermittlung ist durch die von der EU-Kommission erlassenen Standardvertragsklauseln (Standard Contractual Clauses, Module 2 und 3) nach Art. 46 Abs. 2 lit. c DSGVO abgesichert, die Bestandteil des mit Anthropic geschlossenen Data Processing Addendum sind; das mit der Übermittlung verbundene Risiko haben wir zusätzlich bewertet. Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage unter [email protected] zur Verfügung.

Datenminimierung: An Anthropic übermittelt werden ausschließlich Ihre Anfrage und der Kontext des öffentlich geteilten Muster-Portfolios. Ihre E-Mail-Adresse, Ihre Nutzerkennung und Ihre IP-Adresse werden nicht an Anthropic übermittelt. Bitte geben Sie in Ihren Anfragen keine über die jeweilige Recherchefrage hinausgehenden personenbezogenen Daten ein (Art. 5 Abs. 1 lit. c DSGVO).

Abgrenzung zu Abschnitt 9: Abweichend von dem in Abschnitt 9 beschriebenen lokalen System zur Bearbeitung von Kontaktanfragen, das ausschließlich auf unseren eigenen Servern betrieben wird, wird der Research-Assistent extern über die vorstehend beschriebene Auftragsverarbeitung durch Anthropic bereitgestellt.

Speicherdauer: Zur Sicherstellung des ordnungsgemäßen Betriebs speichern wir auf unseren eigenen Servern ein Anfrage-Protokoll – bestehend aus Ihrer Nutzerkennung, der Anfrage, der Prüf-Entscheidung sowie den vom Assistenten genutzten Werkzeugen. Diese Protokolle werden 90 Tage nach der jeweiligen Anfrage automatisch gelöscht. Löschen Sie Ihr Nutzerkonto, werden die zugehörigen Protokolle unverzüglich gelöscht.