Loading …
Tim Hack
Vaapad Capital
E-Mail: info@vaapadcapital.com
Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten innerhalb unseres Onlineangebots gemäß Art. 13 und 14 DSGVO.
Unsere Website und das Terminal laufen auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Der Server steht im Rechenzentrum Nürnberg. Dort verarbeiten wir die Daten, die beim Besuch der Website und bei der Nutzung des Terminals anfallen: IP-Adressen und Zugriffsdaten, Kontaktanfragen sowie Konto- und Nutzungsdaten. Hetzner verarbeitet diese Daten nicht außerhalb der Europäischen Union. Mit der Hetzner Online GmbH besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Der gesamte Datenverkehr zwischen Ihrem Browser und unserer Website läuft über das Netzwerk von Cloudflare (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA). Cloudflare nimmt die Anfragen entgegen, wehrt Angriffe ab und leitet die Anfragen an unseren Server weiter. Dabei verarbeitet Cloudflare Ihre IP-Adresse, die aufgerufene Adresse und die technischen Angaben Ihres Browsers; auch die Inhalte der Anfragen durchlaufen Cloudflare. Cloudflare verarbeitet die Anfragen in einem Rechenzentrum in Ihrer Nähe und wertet Verbindungsdaten nach eigenen Angaben in Rechenzentren in Europa und den USA aus. Grundlage ist der Auftragsverarbeitungsvertrag von Cloudflare (Data Processing Addendum). Er ist Bestandteil unseres Nutzungsvertrags mit Cloudflare und enthält die Standardvertragsklauseln der EU-Kommission. Cloudflare ist nach eigenen Angaben außerdem nach dem EU-U.S. Data Privacy Framework zertifiziert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und zuverlässigen Bereitstellung unseres Onlineangebots).
Die folgende Liste nennt alle weiteren Stellen, an die personenbezogene Daten von Besuchern und Mitgliedern gehen. Die Abschnitte, auf die sie verweist, beschreiben die jeweilige Verarbeitung genauer.
Die im Terminal gezeigten Depotdaten stammen aus dem Brokerkonto des Betreibers bei Interactive Brokers. An den Broker übermitteln wir keine Daten von Besuchern oder Mitgliedern.
Bei jedem Zugriff auf unsere Website werden folgende Daten automatisch erfasst und in Server-Logfiles gespeichert:
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden nicht mit anderen Datenquellen zusammengeführt.
Für den Zugang zum Terminal ist eine Registrierung erforderlich. Dabei werden folgende personenbezogene Daten verarbeitet:
Den Zeitpunkt der letzten Nutzung halten wir fest, wenn Sie das Terminal angemeldet nutzen, und schreiben ihn höchstens alle 15 Minuten neu. Sichtbar ist er nur für Sie selbst und für die Verwaltung; anderen Mitgliedern wird er nicht angezeigt.
Die Authentifizierung erfolgt passwortlos – entweder über Magic Link (E-Mail) oder Google SSO. Es werden keine Passwörter oder Passwort-Hashes gespeichert. Bei Google SSO werden Ihr Name und Ihre E-Mail-Adresse von Google übermittelt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung des Terminal-Zugangs).
Für kostenpflichtige monatliche oder jährliche Abonnements nutzen wir Stripe als Zahlungsdienstleister. Wenn Sie ein Abonnement beginnen, erstellen wir serverseitig einen Stripe-Kundendatensatz und leiten Sie zu einer von Stripe gehosteten Bezahlseite weiter. Dabei übermitteln wir Ihre im Nutzerkonto hinterlegte E-Mail-Adresse, die gewählte Abrechnungsperiode sowie technische Referenzen und Metadaten, die das Abonnement Ihrem Nutzerkonto zuordnen. Vollständige Kartenangaben geben Sie unmittelbar auf der von Stripe gehosteten Seite ein; sie werden nicht in unserer Anwendungsdatenbank gespeichert.
Stripe informiert uns über signierte Webhook-Ereignisse insbesondere über den Status von Checkout, Abonnement und Zahlungen sowie über Erstattungen und Streitfälle. Wir verarbeiten die dabei übermittelten Stripe-Kunden-, Abonnement- und Vorgangskennungen, Statusangaben und die zugehörige Abrechnungsperiode, um den bezahlten Terminal-Zugang zu erteilen, zu ändern oder zu entziehen und Zahlungsvorgänge zuzuordnen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Erfüllung des Abonnementvertrags) sowie, soweit gesetzliche Nachweis- oder Aufbewahrungspflichten bestehen, Art. 6 Abs. 1 lit. c DSGVO.
Speicherdauer: Den für die Zugangssteuerung erforderlichen Abonnementstatus speichern wir beim Nutzerkonto, solange er für die Vertragsdurchführung und die anschließende Abwicklung benötigt wird. Gesetzlich aufbewahrungspflichtige Abrechnungsunterlagen werden für die jeweils geltende gesetzliche Frist gespeichert. Die eigenständige Speicherung bei Stripe richtet sich nach den dort geltenden Vorgaben.
Wir nutzen eine von Supabase bereitgestellte PostgreSQL-Datenbank, um die für den Betrieb des Onlineangebots erforderlichen Anwendungsdaten zu speichern. Dazu gehören insbesondere Nutzerkonto- und Profildaten, Authentifizierungs- und Sitzungsdaten, Rollen und Zugangsstatus, Abonnementstatus sowie – soweit Sie die Community-Funktionen verwenden – Nachrichten, Reaktionen, Lesestatus und technische Metadaten zu Chat-Medien. Die Anmeldung selbst wird durch unsere Anwendung mit NextAuth.js gesteuert; Supabase dient hierbei als Speicherort der zugehörigen Datensätze, nicht als eigenständige Anmeldemaske.
Von Ihnen im Community-Chat hochgeladene Bilder werden zusätzlich in dem privaten Supabase-Storage-Bereich chat-mediagespeichert. Upload und Abruf erfolgen über unsere serverseitigen Endpunkte; der Speicherzugang wird nicht unmittelbar an den Browser weitergegeben.
Ein Profilbild ist freiwillig. Laden Sie eines hoch, verkleinern wir es auf unserem Server auf 256 und 64 Pixel Kantenlänge, speichern es im Format WebP ohne die Metadaten der Ursprungsdatei und legen es in demselben privaten Speicherbereich ab wie die Chat-Bilder. Wir werten Profilbilder nicht automatisiert aus; eine Gesichtserkennung findet nicht statt. Sichtbar ist es für Sie selbst, für angemeldete Mitglieder mit aktiver Mitgliedschaft und für die Moderation. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie mit dem Hochladen erteilen. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie das Profilbild in Ihrem Konto entfernen; es wird dann aus dem Speicher gelöscht. Im Browser anderer Mitglieder, die es zuvor gesehen haben, kann eine Kopie noch bis zu 24 Stunden angezeigt werden. Auch die Moderation kann ein Profilbild entfernen. Andernfalls speichern wir es, bis Sie es ersetzen, längstens für die Dauer des Nutzerkontos.
Zwecke und Rechtsgrundlagen: Die Verarbeitung dient der Bereitstellung und Absicherung des Nutzerkontos, des Terminal-Zugangs und der von Ihnen genutzten Community-Funktionen (Art. 6 Abs. 1 lit. b DSGVO). Soweit die Verarbeitung der Systemsicherheit, Fehleranalyse und Missbrauchsabwehr dient, beruht sie auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb des Dienstes.
Löschung des Nutzerkontos: Sie können Ihr Nutzerkonto jederzeit selbst löschen, in Ihrem Konto unter „Mitgliedschaft“ über „Konto löschen“. Wir senden dazu einen Bestätigungslink an die E-Mail-Adresse des Kontos, der 24 Stunden gültig ist; erst wenn Sie die Löschung über diesen Link bestätigen, wird das Konto gelöscht. Solange ein Abonnement läuft, das sich verlängert, ist die Löschung erst nach dessen Kündigung möglich. Mit dem Konto löschen wir Ihre Profildaten und Einstellungen, Ihr Profilbild, Ihre Chat-Nachrichten und Chat-Bilder einschließlich Ihrer privaten Unterhaltung mit dem Gründer, Ihre Watchlist sowie ein Newsletter-Abonnement unter derselben E-Mail-Adresse. Nicht gelöscht werden die Abrechnungsdaten bei unserem Zahlungsdienstleister (Abschnitt 6), soweit gesetzliche Aufbewahrungspflichten bestehen, und eine von Ihnen abgegebene Kündigungserklärung, die wir als Nachweis aufbewahren (Art. 17 Abs. 3 lit. e DSGVO). Damit ein Widerspruch gegen Werbe-E-Mails weiter gilt und erteilte Einwilligungen belegbar bleiben, bewahren wir dazu einen Hashwert Ihrer E-Mail-Adresse auf, nicht die Adresse selbst, und als Nachweis der Löschung einen Hashwert der Kontokennung (Art. 6 Abs. 1 lit. f DSGVO). Sie können die Löschung auch nach den in Abschnitt 13 beschriebenen Betroffenenrechten von uns verlangen. Ein Nutzerkonto besteht, bis Sie es löschen oder seine Löschung verlangen.
Speicherdauer: Konto- und Authentifizierungsdaten speichern wir grundsätzlich für die Dauer des Nutzerkontos; kurzlebige Sitzungs- und Verifikationsdaten laufen entsprechend ihrer technischen Gültigkeit ab. Community-Inhalte bleiben gespeichert, solange sie für die Community-Funktion und Moderation benötigt werden oder gesetzliche Pflichten einer Löschung entgegenstehen. Bilder in Chat-Nachrichten bleiben gespeichert, bis die Nachricht endgültig entfernt oder das Nutzerkonto gelöscht wird; nicht gesendete Uploads löschen wir frühestens nach 24 Stunden mit dem darauffolgenden täglichen Aufräumlauf, also innerhalb von etwa zwei Tagen. Löschen Sie eine eigene Nachricht, entfernen wir sie samt Bild innerhalb weniger Minuten endgültig; unmittelbar nach dem Löschen können Sie das für wenige Sekunden rückgängig machen. Entfernt die Moderation eine Nachricht, wird sie im Chat ausgeblendet und samt Bild 30 Tage danach mit dem darauffolgenden täglichen Aufräumlauf endgültig gelöscht; bis dahin kann die Moderation sie wiederherstellen, und das Bild ist nur noch für den Absender und die Moderation abrufbar. Die Moderation kann eine Nachricht auch sofort endgültig entfernen. Für Nachrichten, die vor Einführung dieser Regeln im Oktober 2026 gelöscht wurden, gilt die Frist von 30 Tagen, auch wenn Sie sie selbst gelöscht haben; sie begann frühestens mit Einführung der Frist im Oktober 2026. Im Browser anderer Mitglieder, die das Bild zuvor gesehen haben, kann eine Kopie noch bis zu fünf Minuten angezeigt werden. Konkrete Löschverlangen prüfen wir nach den in Abschnitt 13 beschriebenen Betroffenenrechten.
Wir verwenden folgende Arten von Cookies:
Session-Cookies für die Authentifizierung (NextAuth.js). Diese sind für den Betrieb der Website zwingend erforderlich und können nicht deaktiviert werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Wir verwenden Google Analytics (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) zur statistischen Auswertung von Besucherzugriffen. Google Analytics verwendet Cookies, die eine Analyse Ihrer Nutzung der Website ermöglichen. Diese Cookies werden erst nach Ihrer ausdrücklichen Einwilligung über unseren Cookie-Banner gesetzt.
Das Skript von Google Analytics wird erst geladen, nachdem Sie zugestimmt haben. Ohne Ihre Zustimmung baut Ihr Browser dafür keine Verbindung zu Google auf. Grundlage der Verarbeitung durch Google sind die Auftragsverarbeitungsbedingungen von Google, die Bestandteil der Nutzungsbedingungen von Google Analytics sind. Dabei können Daten an Google LLC in den USA gelangen; Google LLC ist nach eigenen Angaben nach dem EU-U.S. Data Privacy Framework zertifiziert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Sie können Ihre Einwilligung jederzeit widerrufen: über „Cookie-Einstellungen“ am Fuß der Seite oder indem Sie die Daten dieser Website in Ihrem Browser löschen.
Für die Anzeige ohne Internetverbindung speichert das Terminal den zuletzt geladenen Stand des Portfolios im Speicher Ihres Browsers, längstens sieben Tage und bis zur Abmeldung.
Einstellungen, die Sie auf der Website und im Terminal treffen, werden ebenfalls im Speicher Ihres Browsers abgelegt: Ihre Cookie-Entscheidung, Farbschema und Hell- oder Dunkelmodus, Spaltenreihenfolge und Diagramm-Einstellungen, Zeichnungen in Diagrammen, Lesezeichen, Favoriten und gemerkte Räume im Chat, gemerkte Research-Einträge, der Ton für Trade-Alerts sowie weggeklickte Hinweise. Ihre Auswahl der Text- und Zahlenschrift wird zusätzlich in Ihrem Benutzerkonto gespeichert, damit sie auf anderen Geräten verfügbar ist. Ein noch nicht gespeicherter Schriftwechsel bleibt als Entwurf im jeweiligen Browser.
Wir versenden transaktionale E-Mails (Magic Link zur Anmeldung, Willkommens-E-Mail) sowie optionale Benachrichtigungen über Handelsaktivitäten. Die Zustellung erfolgt über einen externen E-Mail-Dienstleister.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (transaktionale E-Mails) bzw. Art. 6 Abs. 1 lit. a DSGVO (optionale Benachrichtigungen).
Versandprotokoll: Über die E-Mails, die unsere Anwendung an einzelne Empfänger versendet, führen wir ein Protokoll. Es enthält die Art der E-Mail, die Sprache, den Zeitpunkt, das Ergebnis des Versands (versendet, fehlgeschlagen oder übersprungen), die Vorgangskennung des Versanddienstleisters, die Domain der Empfängeradresse und einen gekürzten Hashwert der Adresse. Die Adresse selbst steht nicht im Protokoll. Die Einträge werden nach 180 Tagen gelöscht.
Schriftdateien: Unsere E-Mails verweisen auf Schriftdateien, die auf unserer eigenen Domain liegen. Öffnen Sie eine E-Mail, kann Ihr E-Mail-Programm diese Dateien abrufen; dabei fallen die in Abschnitt 4 genannten Zugriffsdaten an. Die Adressen dieser Dateien sind für alle Empfänger gleich und enthalten keine Kennung des Empfängers. Wir werten diese Abrufe nicht empfängerbezogen aus.
Neben den E-Mails, die für Anmeldung und Vertrag nötig sind, sind folgende E-Mails eingerichtet:
Rechtsgrundlage: Die E-Mails nach den Nummern 2 bis 5 stützen wir auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Mitglieder bei der Nutzung ihres Abonnements zu unterstützen und Abonnenten sowie frühere Abonnenten über unser Angebot zu informieren. Bei Mitgliedern und früheren zahlenden Abonnenten verwenden wir die E-Mail-Adresse, die wir im Zusammenhang mit dem Abonnement erhalten haben, für Hinweise auf unser eigenes, ähnliches Angebot (§ 7 Abs. 3 UWG).
Herkunft der Daten: Ein Teil der E-Mail-Adressen stammt nicht aus einer Registrierung auf dieser Website. Die Abonnentenliste unseres früheren Newsletters bei Substack haben wir beim Umzug auf diese Website in unsere Datenbank übernommen. Übernommen wurden E-Mail-Adresse, Name (sofern bei Substack angegeben), Art und Status des Abonnements, sein Ablaufdatum und das Datum der Anmeldung. Um Empfänger und Sprache zu bestimmen, lesen wir außerdem bei Stripe den Status des Abonnements und das Land der Rechnungs- oder Zahlungsdaten aus. Maßgeblich ist die Sprache, die Sie gewählt haben. Fehlt sie, erhalten Empfänger mit Zahlungsdaten aus Deutschland, Österreich, der Schweiz oder Liechtenstein die E-Mail auf Deutsch, alle anderen auf Englisch.
Einmaligkeit: Die Nachrichten nach den Nummern 4 und 5 erhält jede E-Mail-Adresse höchstens einmal. Dafür speichern wir dauerhaft einen Hashwert der Adresse, nicht die Adresse selbst.
Widerspruch: Sie können der Verwendung Ihrer E-Mail-Adresse für diese E-Mails jederzeit widersprechen, ohne dass dafür andere Kosten als die Übermittlungskosten nach den Basistarifen entstehen. Die E-Mails nach den Nummern 2 bis 5 enthalten dafür einen Abmeldelink. Mitglieder können außerdem im Konto unter „Benachrichtigungen“ die „Produkt- und Angebotsmails“ abschalten. Sie können uns auch an info@vaapadcapital.com schreiben. Nach einem Widerspruch speichern wir Ihre E-Mail-Adresse in einer Sperrliste, damit Sie keine E-Mails nach den Nummern 2 bis 5 mehr erhalten. Rechnungen, Anmeldelinks und Mitteilungen zu Ihrem Vertrag erhalten Sie weiterhin.
Versand: Alle E-Mails versenden wir über Resend (siehe Abschnitt 3).
Auf unserer Website können Sie die kostenlose „Zwischenbilanz“ abonnieren. Zweck der Verarbeitung ist der Versand persönlicher Rückblicke auf das Marktgeschehen, die eigene Ausrichtung und abgeschlossene Spekulationen. Die Ausgaben erscheinen ohne festen Rhythmus. Benachrichtigungen zu neuen Field Notes können separat ausgewählt werden.
Hierfür verarbeiten wir die folgenden personenbezogenen Daten:
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Double-Opt-in-Verfahren: Nach Ihrer Anmeldung erhalten Sie eine E-Mail mit einem Bestätigungslink. Erst nachdem Sie diesen Link geöffnet und Ihre Anmeldung auf der Seite, die sich dann öffnet, mit einem Klick bestätigt haben, nehmen wir Sie in den Newsletter-Verteiler auf. So stellen wir sicher, dass die Anmeldung tatsächlich von der Inhaberin oder dem Inhaber der E-Mail-Adresse stammt.
Versanddienstleister: Der Versand des Newsletters erfolgt über Resend (Plus Five Five, Inc., San Francisco, USA), mit dem ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO besteht. Resend hat seinen Sitz in den USA; damit ist eine Übermittlung personenbezogener Daten in ein Drittland (Art. 44 ff. DSGVO) verbunden. Die Übermittlung wird durch geeignete Garantien abgesichert – das EU-US Data Privacy Framework (EU-US DPF) bzw. die Standardvertragsklauseln (SCCs) der EU-Kommission.
Speicherdauer: Wir speichern Ihre Daten für den Newsletter-Versand, bis Sie Ihre Einwilligung widerrufen (Abmeldung). Die zum Nachweis der Einwilligung erhobenen Daten (Einwilligungs-Zeitpunkt und IP-Adresse) bewahren wir nach einer Abmeldung bis zum Ablauf der Verjährungsfristen auf, um die Einwilligung belegen zu können.
Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO) – über den Abmeldelink in jeder Newsletter-E-Mail. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.
Wenn Sie uns über das Kontaktformular auf unserer Website eine Anfrage senden, verarbeiten wir die von Ihnen angegebenen Daten – Ihren Namen, Ihre E-Mail-Adresse sowie Betreff und Inhalt Ihrer Nachricht – zum Zweck der Bearbeitung und Beantwortung Ihrer Anfrage. Beim Absenden des Formulars wird Ihre Nachricht als E-Mail an unser internes Postfach info@vaapadcapital.com zugestellt. Der Versand erfolgt über unseren E-Mail-Dienstleister (Auftragsverarbeiter), mit dem ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO besteht.
Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf die Anbahnung oder Erfüllung eines Vertragsverhältnisses gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres berechtigten Interesses an der effektiven Bearbeitung der an uns gerichteten Anfragen.
Eingehende Nachrichten an info@vaapadcapital.com werden zur zuverlässigen Zustellung über Cloudflare Email Routing an einen von uns betriebenen Eingangsdienst weitergeleitet und dort serverseitig in einer Mail-Warteschlange verarbeitet. Zur internen Nachverfolgung können Metadaten zur Anfrage, der Bearbeitungsstatus und ein Antwortentwurf gespeichert werden. Der fertige Entwurf wird in unserem E-Mail-Postfach als Entwurf bereitgestellt, damit er manuell geprüft und versendet werden kann.
Zur Unterstützung der Bearbeitung setzen wir einen lokalen, auf unserer eigenen Infrastruktur betriebenen Entwurfsassistenten ein. Die Vorprüfung der Anfrage erfolgt regelbasiert; ein lokal betriebenes KI-Modell kann anschließend einen Antwortvorschlag erstellen. Für diesen Entwurfsassistenten werden Inhalte von Kontaktanfragen nicht an Drittanbieter-LLM-APIs oder in Drittländer übermittelt. Besonders schützenswerte Zahlungs- und Kontodatenmuster werden vor der weiteren Verarbeitung maskiert. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO ist damit nicht verbunden: Jede Antwort wird von einer natürlichen Person geprüft, freigegeben und versendet.
Wir speichern Ihre Kontaktanfrage nur so lange, wie dies zur Bearbeitung Ihres Anliegens und etwaiger Anschlussfragen erforderlich ist. Anschließend löschen wir die Daten, sofern keine gesetzlichen Aufbewahrungspflichten (etwa nach Handels- oder Steuerrecht) einer Löschung entgegenstehen. In diesem Fall schränken wir die Verarbeitung der betroffenen Daten ein.
Nutzer können Web-Push-Benachrichtigungen und/oder Telegram-Alerts aktivieren. Die Verarbeitung erfolgt nur nach ausdrücklicher Zustimmung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Ihnen stehen gemäß DSGVO folgende Rechte zu:
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@vaapadcapital.com
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über unsere Verarbeitung personenbezogener Daten zu beschweren (Art. 77 DSGVO). Sie können sich dafür an die Aufsichtsbehörde an Ihrem Wohnort, an Ihrem Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes wenden. Eine Liste der deutschen Aufsichtsbehörden mit ihren Anschriften finden Sie unter datenschutzkonferenz-online.de/datenschutzaufsichtsbehoerden.html. Die für uns zuständige Aufsichtsbehörde ist: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, https://www.lda.bayern.de.
Wir verwenden SSL/TLS-Verschlüsselung für die Übertragung sensibler Daten. Die Plattform arbeitet passwortlos – Anmeldungen erfolgen ausschließlich über einmalige Magic Links oder Google SSO, es werden keine Passwörter oder Passwort-Hashes gespeichert. Session-Tokens werden kryptografisch signiert (JWT). Der Zugang zum Terminal ist auf authentifizierte Nutzer mit aktivem Abonnement beschränkt.
Sicherungskopien: Von der Datenbank bestehen verschlüsselte Sicherungskopien, die wir getrennt vom laufenden System aufbewahren. Daten, die Sie oder wir löschen, können in einer solchen Sicherung noch enthalten sein, bis sie durch eine neuere ersetzt und gelöscht wird. Die Daten in einer Sicherung verwenden wir nur, um die Datenbank nach einem Ausfall wiederherzustellen. Hochgeladene Bilder sind in diesen Sicherungen nicht enthalten.
Wenn Sie uns eine Sicherheitslücke oder einen Fehler melden (Responsible Disclosure), kann der Inhalt Ihrer Meldung zur automatisierten Analyse und Kategorisierung durch ein KI-gestütztes System des Anbieters Anthropic PBC (San Francisco, USA) verarbeitet werden. Anthropic ist dabei unser Auftragsverarbeiter (Art. 28 DSGVO); Grundlage ist das in die Commercial Terms von Anthropic einbezogene Data Processing Addendum. Die Verarbeitung durch dieses System erfolgt nur, wenn Sie im Meldeformular ausdrücklich einwilligen (Art. 6 Abs. 1 lit. a DSGVO); ohne Ihre Einwilligung wird Ihre Meldung nicht an das KI-System übermittelt.
Mit der Verarbeitung werden die von Ihnen übermittelten Inhalte — einschließlich etwaiger darin enthaltener personenbezogener Daten — in die USA übermittelt. Diese Übermittlung ist durch die von der EU-Kommission erlassenen Standardvertragsklauseln (Standard Contractual Clauses, Module 2 und 3) nach Art. 46 Abs. 2 lit. c DSGVO abgesichert, die Bestandteil des mit Anthropic geschlossenen Data Processing Addendum sind. Anthropic nutzt die über die API übermittelten Inhalte nicht zum Training seiner Modelle und speichert sie nur für einen begrenzten Zeitraum zur Missbrauchserkennung. Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.
Bitte übermitteln Sie in Ihrer Meldung keine personenbezogenen Daten Dritter und keine über die Beschreibung der Schwachstelle hinausgehenden sensiblen Informationen (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO). Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Die vorstehenden Regelungen gelten entsprechend, wenn Sie uns über den Feature-Request-Kanal im Terminal einen strukturierten Vorschlag für eine neue Funktion einreichen: Auch hier wird der Inhalt Ihres Vorschlags nur bei Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a, Art. 49 Abs. 1 lit. a DSGVO) zur automatisierten Einordnung an das oben genannte KI-System von Anthropic PBC übermittelt, unter denselben Absicherungen (Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO) und mit denselben Datenminimierungs- und Widerrufsrechten.
Innerhalb des Terminals steht Ihnen als Bestandteil Ihres Abonnements ein Research-Assistent zur Verfügung. Er beantwortet Ihre Fragen zum veröffentlichten Portfolio des Gründers (Handelsbuch), zu bereits veröffentlichten Field Notes sowie zum allgemeinen Marktkontext. Zweck der Verarbeitung ist ausschließlich diese Recherche-Unterstützung im Terminal. Der Assistent unterstützt Sie dabei rein informativ; eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO ist damit nicht verbunden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), da der Research-Assistent ein Bestandteil der von Ihnen abonnierten Terminal-Leistungen ist.
Empfänger & Auftragsverarbeitung: Zur Beantwortung werden die von Ihnen im Research-Chat gestellten Anfragen (Queries) an Anthropic PBC (San Francisco, USA) übermittelt und dort verarbeitet. Anthropic ist dabei unser Auftragsverarbeiter (Art. 28 DSGVO); Grundlage ist das in die Commercial Terms von Anthropic einbezogene Data Processing Addendum. Anthropic nutzt die über die Schnittstelle (API) übermittelten Inhalte nicht zum Training seiner Modelle und speichert sie nur für einen begrenzten Zeitraum zur Missbrauchserkennung.
Drittlandübermittlung: Mit der Verarbeitung werden die übermittelten Inhalte in die USA und damit in ein Drittland (Art. 44 ff. DSGVO) übermittelt. Diese Übermittlung ist durch die von der EU-Kommission erlassenen Standardvertragsklauseln (Standard Contractual Clauses, Module 2 und 3) nach Art. 46 Abs. 2 lit. c DSGVO abgesichert, die Bestandteil des mit Anthropic geschlossenen Data Processing Addendum sind. Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage unter info@vaapadcapital.com zur Verfügung.
Datenminimierung: An Anthropic übermittelt werden Ihre Anfrage, der bisherige Verlauf des laufenden Gesprächs (höchstens die letzten zwölf Beiträge) sowie die Inhalte, die der Assistent zur Beantwortung heranzieht: Daten des veröffentlichten Portfolios des Gründers, Auszüge aus veröffentlichten Field Notes und allgemeine Marktdaten. Ihre E-Mail-Adresse, Ihre Nutzerkennung und Ihre IP-Adresse werden nicht an Anthropic übermittelt. Bitte geben Sie in Ihren Anfragen keine über die jeweilige Recherchefrage hinausgehenden personenbezogenen Daten ein (Art. 5 Abs. 1 lit. c DSGVO).
Abgrenzung zu Abschnitt 11: Abweichend von dem in Abschnitt 11 beschriebenen lokalen System zur Bearbeitung von Kontaktanfragen, das ausschließlich auf unseren eigenen Servern betrieben wird, wird der Research-Assistent extern über die vorstehend beschriebene Auftragsverarbeitung durch Anthropic bereitgestellt.
Speicherdauer: Zur Sicherstellung des ordnungsgemäßen Betriebs speichern wir auf unseren eigenen Servern ein Anfrage-Protokoll – bestehend aus Ihrer Nutzerkennung, der Anfrage, der Prüf-Entscheidung sowie den vom Assistenten genutzten Werkzeugen. Diese Protokolle werden 90 Tage nach der jeweiligen Anfrage automatisch gelöscht. Wird Ihr Nutzerkonto gelöscht, werden die zugehörigen Protokolle unverzüglich gelöscht.
Stand: 10. Oktober 2026
Bei Fragen zum Datenschutz erreichen Sie uns unter info@vaapadcapital.com