Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie die TradingControl-Plattform nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer nachfolgenden Datenschutzerklärung.

Datenerfassung auf dieser Plattform

Wer ist verantwortlich für die Datenerfassung?

Die Datenverarbeitung auf dieser Plattform erfolgt durch den Plattformbetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Verantwortlicher" in dieser Datenschutzerklärung entnehmen.

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen, z. B. durch Eingabe in ein Registrierungsformular, Erfassung von Trades oder Hochladen von Chart-Screenshots. Andere Daten werden automatisch oder nach Ihrer Einwilligung beim Besuch der Plattform durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z. B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs).

Wofür nutzen wir Ihre Daten?

Ein Teil der Daten wird erhoben, um eine fehlerfreie Bereitstellung der Plattform zu gewährleisten. Andere Daten können zur Analyse Ihres Nutzerverhaltens verwendet werden — jedoch nur mit Ihrer ausdrücklichen Einwilligung (Opt-in).

Welche Rechte haben Sie bezüglich Ihrer Daten?

Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese jederzeit für die Zukunft widerrufen. Außerdem haben Sie das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

2. Verantwortlicher

TradingControl UG (haftungsbeschränkt)

Fährstrasse 217

40221 Düsseldorf

Deutschland

Vertreten durch den Geschäftsführer: Thorsten Polte

E-Mail: datenschutz@tradingcontrol.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.

3. Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)

Wir verarbeiten Ihre personenbezogenen Daten auf folgenden Rechtsgrundlagen:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Für Analytics-Tracking (Umami, self-hosted) und optionale Mentoring-Datenfreigaben. Sie können Ihre Einwilligung jederzeit widerrufen.
• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Für die Bereitstellung der Plattform-Funktionen (Registrierung, Login, Trade-Erfassung, Portfolio-Management, Risiko-Management, Mentoring, Berichte, Abonnement-Verwaltung).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Für steuerrechtliche Aufbewahrungspflichten (HGB § 257, AO § 147) sowie Audit-Logging.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Für IT-Sicherheitsmaßnahmen (Rate-Limiting, Login-Protokollierung, Fehlerbehebung), soweit Ihre Interessen nicht überwiegen.

4. Kategorien personenbezogener Daten

Wir verarbeiten folgende Kategorien personenbezogener Daten:

5. Zwecke der Verarbeitung

• Bereitstellung und Betrieb der TradingControl-Plattform
• Nutzer-Registrierung, Authentifizierung und Kontoführung
• Erfassung, Verwaltung und Analyse von Trading-Daten
• Portfolio-Tracking und Risikomanagement-Berechnung
• Synchronisierung von Trades über Exchange-APIs (Phemex, BingX, Bitpanda)
• Mentoring- und Coaching-Funktionen (Chat, Videocalls, Datenfreigabe)
• Erstellung von Performance-Berichten (PDF)
• Abonnement- und Zahlungsverwaltung
• Gewährleistung der IT-Sicherheit (Missbrauchserkennung, Rate-Limiting)
• Verbesserung der Plattform durch pseudonymisierte Nutzungsanalyse (nur mit Einwilligung)
• Erfüllung gesetzlicher Aufbewahrungspflichten
• Benachrichtigung über relevante Kontobewegungen (E-Mail, Push, Telegram)

6. Aufbewahrungsfristen

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:

Nach Ablauf der Aufbewahrungsfristen werden die Daten automatisch gelöscht oder anonymisiert. Bei Kontolöschung werden alle personenbezogenen Daten sofort gelöscht bzw. anonymisiert (E-Mail → deleted_uuid@deleted.local, Name → „Deleted User").

7. Empfänger und Drittland-Transfers

7.1 Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

7.2 Drittland-Transfers

Anthropic (USA) — Grundlage sind Standardvertragsklauseln nebst Auftragsverarbeitungsvertrag. Übermittelt wird der Text der jeweiligen Anfrage. Der Hilfe-Chat wird vom Nutzer selbst ausgelöst; bei Marktzusammen­fassungen und redaktionellen Beiträgen fließen Marktdaten ein, keine Bestands- oder Handelsdaten einzelner Nutzer.

Telegram (Vereinigte Arabische Emirate) — für dieses Land besteht kein Angemessenheitsbeschluss der Europäischen Kommission. Die Übermittlung erfolgt ausschließlich, wenn der Nutzer die Benachrichtigungen selbst aktiviert, und stützt sich auf dessen ausdrückliche Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO. Die Einwilligung ist jederzeit in den Einstellungen widerrufbar. Übermittelt werden die Chat-Kennung und der Meldungstext — dieser kann Rückschlüsse auf Positionen und deren Entwicklung zulassen.

Kryptobörsen — Sitz und Datenverarbeitung richten sich nach der vom Nutzer gewählten Börse und können außerhalb der EU liegen. Der Abruf erfolgt auf seine Veranlassung mit den von ihm hinterlegten Zugangsschlüsseln.

Bei der Nutzung von Stripe und Google STUN-Servern können Daten in die USA übermittelt werden. Stripe ist unter dem EU-US Data Privacy Framework zertifiziert. Google STUN-Server übermitteln ausschließlich technische Verbindungsdaten (IP-Adressen) zum Verbindungsaufbau — keine Audio-/Video-Inhalte oder personenbezogene Daten.

Videocalls laufen über eine eigene WebRTC-Implementierung (Peer-to-Peer). Audio- und Videoströme fließen direkt zwischen den Gesprächsteilnehmern, ohne über unsere Server geleitet zu werden.

8. Ihre Rechte als betroffene Person

Ihnen stehen folgende Rechte gemäß DSGVO zu:

9. Zuständige Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über unsere Verarbeitung personenbezogener Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen

Postfach 20 04 44

40102 Düsseldorf

Telefon: +49 211 38424-0

E-Mail: poststelle@ldi.nrw.de

Website: www.ldi.nrw.de

10. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO statt. Das Risikomanagement-System der Plattform erstellt Analysen und Warnungen auf Basis Ihrer eingegebenen Regeln, trifft jedoch keine eigenständigen Entscheidungen. Es werden keine automatisierten Trades ausgeführt.

Auch die KI-gestützten Funktionen ändern daran nichts. Marktzusammen­fassungen, Kalender-Einordnungen, der Hilfe-Chat und redaktionelle Beiträge werden durch Sprachmodelle erzeugt. Sie beschreiben Marktlagen und beantworten Fragen — sie treffen keine Sie betreffende Entscheidung und entfalten Ihnen gegenüber keine rechtliche Wirkung. Eine Bewertung Ihrer Person, Ihres Handelsverhaltens oder Ihrer Bonität findet nicht statt.

Die Empfehlung weiterer Blogbeiträge beruht auf den von Ihnen gelesenen Beiträgen und den Bewertungen aller Leser. Das ist eine Sortierung von Inhalten, keine Entscheidung über Sie.

11. Cookies und Tracking-Technologien

11.1 Technisch notwendige Speicherung

Wir verwenden keine Cookies im herkömmlichen Sinne. Stattdessen nutzen wir die folgenden browserseitigen Speichertechnologien (localStorage):

• tc-auth — Authentifizierungs-Token (JWT) für Ihre Session
• tc-analytics-optout — Ihre Analytics-Einstellungen
• i18nextLng — Spracheinstellung

Diese Speicherungen sind technisch notwendig und fallen unter § 25 Abs. 2 Nr. 2 TTDSG (unbedingt erforderlich). Eine Einwilligung ist hierfür nicht erforderlich.

11.2 Analytics (nur mit Einwilligung)

Wir nutzen Umami (self-hosted) für pseudonymisierte Nutzungsanalysen. Umami setzt keine Cookies und speichert keine personenbezogenen Daten. User-IDs werden mit SHA-256 (mit Projekt-Pepper) gehasht. Das Tracking erfolgt nur nach Ihrer ausdrücklichen Einwilligung (Opt-in). Sie können die Einwilligung jederzeit in den Kontoeinstellungen widerrufen. Die data-doNotTrack-Einstellung wird respektiert.

12. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir setzen umfangreiche technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

• Verschlüsselung: AES-256-GCM für sensible Daten (API-Keys, Screenshots), bcrypt (12 Runden) für Passwörter
• Transportverschlüsselung: TLS/HTTPS mit HSTS (1 Jahr, inklusive Subdomains)
• Zwei-Faktor-Authentifizierung: TOTP-basiert (optionaler zusätzlicher Schutz)
• Rate-Limiting: Mehrstufiger Schutz gegen Brute-Force-Angriffe (Backend + NGINX)
• Security Headers: CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy
• Input-Validierung: XSS-Sanitierung, SQL-Injection-Schutz durch parametrisierte Queries
• Audit-Logging: Umfassende Protokollierung aller sicherheitsrelevanten Aktionen
• Hochverfügbarkeit: PostgreSQL-Cluster (Patroni HA) mit automatischem Failover
• Peer-to-Peer-Videocalls: Audio-/Video-Streams werden nicht über unsere Server geleitet

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung. Wir empfehlen Ihnen, diese Datenschutzerklärung regelmäßig zu lesen, um über den Schutz der von uns erfassten persönlichen Daten auf dem Laufenden zu bleiben.