Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Thomas Kiefer
Vorbruchstr. 29
33775 Versmold
Deutschland
E-Mail: hello (at) kompoundr.app

2. Überblick: Wie kompoundr mit deinen Daten umgeht

kompoundr ist eine Webanwendung zur Verwaltung und Visualisierung deines Vermögens (Portfolio-Tracking, Renditeberechnung, FIRE-Planung). Du kannst kompoundr in zwei Modi nutzen:

Ohne Konto (lokal): Alle Eingaben (Vermögenswerte, Snapshots, Einstellungen) werden ausschließlich lokal in deinem Browser gespeichert (Local Storage). Es findet keine Übertragung deiner Finanzdaten an unsere Server statt. Das bedeutet aber auch: Deine Daten stehen nur in diesem einen Browser auf diesem Gerät zur Verfügung und werden nicht zwischen Geräten synchronisiert. Wenn du den Browser-Speicher leerst, den Browser wechselst oder die Anwendung auf einem anderen Gerät öffnest, sind die lokal gespeicherten Daten unwiederbringlich verloren.

Mit Konto (synchronisiert): Deine Finanzdaten werden bereits in deinem Browser Ende-zu-Ende verschlüsselt, bevor sie zur Synchronisierung zwischen deinen Geräten an unsere Server übertragen werden. Wir speichern dabei nur unleserlichen Geheimtext und können diese Daten nicht entschlüsseln oder einsehen.

3. Hosting und Server-Logfiles

Diese Website wird bei Netlify, Inc. (512 2nd Street, Suite 200, San Francisco, CA 94107, USA) gehostet. Beim Aufruf der Website erhebt unser Hosting-Provider automatisch sogenannte Server-Logfiles, die dein Browser übermittelt. Dazu gehören: IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Datei, Referrer-URL, Browsertyp und -version sowie das verwendete Betriebssystem.

Da Netlify, Inc. mit Sitz in den USA verarbeitet, kann es dabei zu einer Datenübermittlung in die USA kommen. Diese erfolgt auf Grundlage von EU-Standardvertragsklauseln bzw. einer Zertifizierung nach dem EU-US Data Privacy Framework.

Diese Daten sind technisch erforderlich, um die Website auszuliefern und die Betriebssicherheit zu gewährleisten, und werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb der Website). Nach Angaben von Netlify werden Server-Logfiles für maximal 30 Tage gespeichert und anschließend automatisch gelöscht.

4. Registrierung und Anmeldung

Wenn du ein Konto erstellst, kannst du dich per E-Mail-Adresse und Passwort registrieren oder die Funktion „Mit Google anmelden" nutzen. Für die Authentifizierung setzen wir den Dienst Supabase (Supabase Inc.) als Auftragsverarbeiter gemäß Art. 28 DSGVO ein.

Dabei verarbeiten wir: deine E-Mail-Adresse und – bei Anmeldung per Passwort – einen sicheren Hash deines Passworts. Bei Nutzung von „Mit Google anmelden" erhalten wir von Google die zur Identifikation notwendigen Profildaten (z. B. Name, E-Mail-Adresse, Profilbild-URL), abhängig von deinen Freigaben bei Google.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags durch Bereitstellung eines Kontos). Bei Nutzung von „Mit Google anmelden" gelten zusätzlich die Datenschutzbestimmungen von Google (Google Ireland Limited).

5. Verschlüsselte Synchronisierung deiner Finanzdaten (Vault)

Wenn du angemeldet bist, kannst du deine Portfoliodaten zwischen Geräten synchronisieren. Dafür wird in deinem Browser aus deinem Passwort mittels PBKDF2 ein AES-256-Schlüssel abgeleitet, der niemals an uns übertragen wird. Deine Daten werden anschließend mit AES-256-GCM verschlüsselt und ausschließlich in dieser verschlüsselten Form über Supabase in einer Datenbank gespeichert.

Zusätzlich speichern wir einen zufälligen „Salt"-Wert, der zur erneuten Ableitung deines Schlüssels bei der Anmeldung benötigt wird. Aus diesem Salt lassen sich weder dein Passwort noch deine Finanzdaten ableiten. Ohne dein Passwort sind die gespeicherten Daten für niemanden – auch nicht für uns – lesbar.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags – Bereitstellung der Synchronisierungsfunktion).

6. Zahlungsabwicklung über Stripe (nur Kompoundr Plus)

Wenn du Kompoundr Plus erwirbst, wird die Zahlung über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, abgewickelt. Stripe verarbeitet dabei die zur Zahlungsabwicklung erforderlichen Daten (z. B. Name, E-Mail-Adresse, Zahlungsdaten) eigenverantwortlich gemäß seinen eigenen Datenschutzbestimmungen (abrufbar unter stripe.com/de/privacy).

Wir erhalten von Stripe ausschließlich eine Bestätigung über den Erfolg oder Misserfolg der Zahlung sowie eine Abonnement-ID zur Verwaltung deines Zugangs. Zahlungsdaten (z. B. Kreditkartennummern) werden nicht bei uns gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Da Stripe Daten in die USA übermitteln kann, erfolgt dies auf Grundlage des EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

6a. Transaktions- und Erinnerungs-E-Mails

Wir verwenden deine E-Mail-Adresse, um dir dienstbezogene E-Mails zu senden: Bestätigungs- und Passwort-Zurücksetzungs-Mails, Hinweise zum Ablauf deiner Testphase, Zahlungserinnerungen bei fehlgeschlagenen Abbuchungen sowie – sofern in deinem Profil aktiviert – eine monatliche Erinnerung an deinen Vermögens-Snapshot. Die Snapshot-Erinnerung kannst du jederzeit in den Profileinstellungen deaktivieren.

Der Versand erfolgt über die E-Mail-Infrastruktur unseres Hosting-Anbieters ALL-INKL.COM – Neue Medien Münnich (Hauptstraße 68, 02742 Friedersdorf, Deutschland) als Auftragsverarbeiter gemäß Art. 28 DSGVO; die Verarbeitung findet in Deutschland statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. für die optionale Snapshot-Erinnerung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Unterstützung der Kernfunktion; Widerspruch jederzeit über die Profileinstellungen möglich).

Wenn du über die Kündigungsseite („Verträge hier kündigen") kündigst, verarbeiten wir die dort angegebenen Daten (E-Mail-Adresse, optional Name, Kündigungsart und -zeitpunkt) ausschließlich zur Bearbeitung deiner Kündigung und zum Versand der gesetzlich vorgesehenen Eingangsbestätigung (Art. 6 Abs. 1 lit. b und lit. c DSGVO i. V. m. § 312k BGB).

7. Empfänger und Drittanbieter

Im Rahmen der vorstehend beschriebenen Verarbeitungen erhalten folgende Empfänger Zugriff auf Daten:

Supabase Inc. – Bereitstellung von Authentifizierung und Datenbank (Auftragsverarbeitung gemäß Art. 28 DSGVO). Soweit dabei Daten in Länder außerhalb der EU/des EWR übermittelt werden, erfolgt dies auf Grundlage von EU-Standardvertragsklauseln. API- und Datenbank-Logs werden je nach genutztem Supabase-Plan für 1 bis 90 Tage gespeichert. Kontodaten (E-Mail-Adresse) werden bis zu 60 Tage nach Kontoschließung aufbewahrt.

Google Ireland Limited – nur wenn du die Funktion „Mit Google anmelden" aktiv nutzt. Google anonymisiert Server-Logfiles, indem IP-Adressen nach 9 Monaten und Cookie-Informationen nach 18 Monaten gelöscht werden. Weitere Informationen zur Datenspeicherung bei Google findest du unter policies.google.com/technologies/retention.

Stripe Payments Europe, Ltd. – nur bei Abschluss eines Kompoundr-Plus-Abonnements; eigenverantwortliche Verarbeitung gemäß Stripe-Datenschutzerklärung, s. Abschnitt 6.

ALL-INKL.COM – Neue Medien Münnich – Versand von Transaktions- und Erinnerungs-E-Mails (Auftragsverarbeitung gemäß Art. 28 DSGVO, Verarbeitung in Deutschland), s. Abschnitt 6a.

8. Cookies und lokale Speicherung

Zur Bereitstellung der Kernfunktionen nutzen wir den Local Storage deines Browsers, um – je nach Anmeldestatus – deine Portfoliodaten lokal zu speichern bzw. deine Sitzung aufrechtzuhalten. Diese Speicherung ist für den Betrieb der Anwendung technisch notwendig (Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 25 Abs. 2 Nr. 2 TDDDG) und erfordert keine Einwilligung.

Darüber hinaus setzen wir das Cookie-Consent-Tool Cookiebot (Cybot A/S, Havnegade 39, 1058 Kopenhagen, Dänemark) ein, um deine Einwilligung zu Cookies und ähnlichen Technologien einzuholen, zu verwalten und zu dokumentieren. Cookiebot setzt dazu einen technisch notwendigen Cookie, der deine Consent-Entscheidung für 12 Monate speichert (Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 25 Abs. 2 Nr. 2 TDDDG – Nachweispflicht der Einwilligung). Erst nach deiner Zustimmung werden ggf. weitere, nicht technisch notwendige Cookies (z. B. für Analyse oder Marketing) geladen.

Eine vollständige, automatisch aktualisierte Liste aller auf kompoundr eingesetzten Cookies findest du hier:

9. Analyse-Tools: Google Analytics

Mit deiner Einwilligung setzen wir Google Analytics 4 ein, einen Webanalysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (im Auftrag der Google LLC, USA). Google Analytics verwendet Cookies bzw. vergleichbare Technologien, die eine Analyse deiner Nutzung von kompoundr ermöglichen – z. B. aufgerufene Seiten, Verweildauer, ungefähre geografische Herkunft sowie verwendetes Gerät und Browser.

Google Analytics erhält dabei zu keinem Zeitpunkt Zugriff auf deine Finanzdaten (Portfolio, Transaktionen, Vermögenswerte o. Ä.). Diese werden – wie in Abschnitt 5 beschrieben – Ende-zu-Ende verschlüsselt gespeichert und ausschließlich innerhalb der App verarbeitet, vollständig getrennt von der Webanalyse.

Die dabei erhobenen Daten werden im Auftrag von Google verarbeitet, teils auf Servern in den USA. Dies erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. EU-Standardvertrags­klauseln. Google Analytics 4 speichert standardmäßig keine vollständigen IP-Adressen.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG), die du über den Cookiebot-Consent-Banner erteilst. Google Analytics wird technisch erst geladen, nachdem du der Kategorie „Statistik" zugestimmt hast. Du kannst deine Einwilligung jederzeit über den Cookiebot-Banner (Link im Footer) widerrufen oder anpassen.

Weitere Informationen zur Datenverarbeitung durch Google findest du in der Google-Datenschutzerklärung unter policies.google.com/privacy.

Weitere Analyse-, Tracking- oder Marketingdienste (z. B. Meta-Pixel) setzen wir aktuell nicht ein. Sollte sich dies künftig ändern, passen wir diese Datenschutzerklärung an und richten die betroffenen Dienste ebenfalls erst nach entsprechender Einwilligung über Cookiebot ein.

10. Speicherdauer

Lokal gespeicherte Daten verbleiben in deinem Browser, bis du sie selbst löschst oder den Browser-Speicher leerst. Konto- und Synchronisierungsdaten speichern wir, solange dein Konto besteht. Du kannst dein Konto jederzeit selbst über die Funktion „Konto löschen" in den Konto-Einstellungen löschen. Dabei werden dein Profil sowie alle verschlüsselten Datenbestände unwiderruflich entfernt, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

11. Deine Rechte

Dir stehen als betroffene Person folgende Rechte zu:

Recht auf Auskunft (Art. 15 DSGVO), Recht auf Berichtigung (Art. 16 DSGVO), Recht auf Löschung (Art. 17 DSGVO), Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO), Recht auf Datenübertragbarkeit (Art. 20 DSGVO) sowie Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Zur Ausübung dieser Rechte kannst du dich jederzeit an die oben genannte Kontakt-E-Mail-Adresse wenden. Darüber hinaus hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), z. B. bei der für Nordrhein-Westfalen zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit.

12. Datensicherheit

Die Übertragung zwischen deinem Browser und unseren Servern erfolgt verschlüsselt über TLS (HTTPS). Deine Finanzdaten sind zusätzlich Ende-zu-Ende verschlüsselt, sodass sie selbst bei einem Zugriff auf unsere Datenbank ohne deinen persönlichen Schlüssel nicht lesbar sind.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich der Funktionsumfang von kompoundr oder die rechtlichen Anforderungen ändern. Es gilt jeweils die zum Zeitpunkt deines Besuchs aktuelle Fassung.