Datenschutzerklärung

Stand: 2026-10-24

Diese Datenschutzerklärung informiert dich darüber, wie die Easy Smart Finance Research GmbH (im Folgenden „ESF“ oder „wir“) personenbezogene Daten erhebt, verarbeitet und schützt. Sie gilt für unsere Website, das ESF Terminal (unser Research Terminal) einschließlich seines Community-Bereichs sowie alle weiteren von uns angebotenen digitalen Dienste und Leistungen (im Folgenden gemeinsam „Services“).

Unter „personenbezogenen Daten“ versteht man alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen – etwa dein Name, deine E-Mail-Adresse, deine IP-Adresse oder Inhalte, die du in unseren Services eingibst. Zur besseren Lesbarkeit bezeichnen wir personenbezogene Daten nachfolgend kurz als „Daten“.

Wir verarbeiten deine Daten ausschließlich im Einklang mit dem geltenden Datenschutzrecht, insbesondere der Datenschutz-Grundverordnung („DSGVO“) und dem österreichischen Datenschutzgesetz („DSG“). Für Nutzer in Deutschland gelten ergänzend das BDSG und § 25 TDDDG, für Nutzer in der Schweiz das revidierte Schweizer Datenschutzgesetz („revDSG“), siehe dazu den Abschnitt „Nutzer in der Schweiz“.

Bei Fragen zu dieser Datenschutzerklärung oder zum Datenschutz bei ESF erreichst du uns jederzeit unter privacy@esfterminal.com.

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der DSGVO für die Verarbeitung personenbezogener Daten ist:

Easy Smart Finance Research GmbH
Schimmelgasse 10/2/11
1030 Wien, Österreich
Firmenbuchnummer: FN 682030 k, Firmenbuchgericht: Handelsgericht Wien
E-Mail: office@esfterminal.com

Datenschutzanfragen richtest du bitte an privacy@esfterminal.com. Wir melden uns so rasch wie möglich zu deinem Anliegen.

Einen Datenschutzbeauftragten haben wir nicht bestellt, da die gesetzlichen Voraussetzungen für eine Bestellpflicht (Art 37 DSGVO) auf uns nicht zutreffen.

Solltest du deine Rechte nicht direkt bei uns geltend machen wollen, kannst du dich an die zuständige Aufsichtsbehörde wenden. In Österreich ist dies die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, https://www.dsb.gv.at/. Du kannst eine Beschwerde auch bei der Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts erheben (Art 77 DSGVO), etwa bei der für dein Bundesland zuständigen Behörde in Deutschland.

2. Unsere Grundsätze

Bevor wir die einzelnen Verarbeitungen im Detail beschreiben, das Wichtigste vorab:

Wir verkaufen keine Daten und geben deine Daten nicht zu Werbezwecken an Dritte weiter.
Unsere Finanzdatenanbieter erhalten keine Daten von dir. Kurs-, Options-, Fundamental- und Makrodaten beziehen wir von spezialisierten Drittanbietern. Diese Abfragen führen ausschließlich unsere Server durch; sie enthalten keine Nutzerkennungen und keine personenbezogenen Daten unserer Nutzer.
Kein Werbe-Tracking, kein Fingerprinting, keine Werbe-Cookies. Wir setzen nur technisch notwendige Cookies ein. Zugriffsstatistiken für Website und Terminal gewinnen wir ohne Skript in deinem Browser aus den Verbindungsdaten, die bei der Auslieferung ohnehin anfallen (3.15). Im Terminal läuft zusätzlich ein kleines Skript, das uns technische Fehler- und Leistungsberichte sendet, damit es stabil und schnell bleibt; sie enthalten keine Inhalte und dienen keiner Werbung und keiner Verhaltensanalyse (3.17). Deshalb brauchen und zeigen wir keinen Cookie-Banner.
Server in der EU. Unsere Anwendung, unsere Datenbank und die Sicherungen unserer Server liegen bei der Hetzner Online GmbH in der Europäischen Union. Eine zusätzliche, vor der Übertragung verschlüsselte Kopie unserer Datenbanksicherungen speichern wir bei Cloudflare (3.16). Soweit einzelne Dienstleister Daten in Drittländern verarbeiten (Cloudflare, Stripe, Anthropic, Grafana Labs), sichern wir das wie unten beschrieben ab.
Keine automatisierten Entscheidungen mit Rechtswirkung (Art 22 DSGVO) – Details im Abschnitt 12.

3. Datenverarbeitung im Einzelnen

Je nachdem, wie du mit uns interagierst, verarbeiten wir unterschiedliche Daten. Nachfolgend beschreiben wir für jede Verarbeitung Zweck, Datenkategorien, Rechtsgrundlage und Speicherdauer.

3.1 Besuch unserer Website (Server-Logs)

Beim Aufruf unserer Website und Services verarbeiten unsere Server automatisch:

Datum und Uhrzeit des Aufrufs
URL der abgerufenen Ressource und Referrer-URL
verwendeter Browser und Betriebssystem
HTTP-Statuscode und übertragene Datenmenge
IP-Adresse

Zweck ist die Auslieferung der Website sowie die Gewährleistung von Sicherheit, Stabilität und Missbrauchsabwehr (z. B. Erkennung von Angriffen und automatisierten Zugriffen). Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse liegt in einem sicheren, stabilen und funktionsfähigen Betrieb unserer Services. Server-Logs werden nach 30 Tagen gelöscht, sofern sie nicht ausnahmsweise zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden.

3.2 Kontaktaufnahme

Wenn du mit uns per E-Mail oder über andere Kanäle Kontakt aufnimmst, verarbeiten wir die übermittelten Daten (Name, Kontaktdaten, Inhalt der Nachricht) zur Bearbeitung deiner Anfrage. Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse an der Beantwortung deines Anliegens) bzw. Art 6 Abs 1 lit b DSGVO, wenn sich deine Anfrage auf einen Vertrag mit uns bezieht. Support-Korrespondenz bewahren wir für 3 Jahre ab Abschluss des Anliegens auf (allgemeine Verjährungsfrist, Nachweiszwecke), danach wird sie gelöscht.

Unsere E-Mail-Postfächer betreiben wir mit Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) als Auftragsverarbeiter; Google kann Daten auch in den USA verarbeiten, es gelten die Garantien nach Abschnitt 5.

3.3 Registrierung und Benutzerkonto

Für die Nutzung des ESF Terminals ist ein Benutzerkonto erforderlich. Bei der Registrierung verarbeiten wir:

E-Mail-Adresse (verpflichtend, dient auch als Login)
Passwort (ausschließlich als kryptographischer Hash gespeichert; wir kennen dein Passwort nicht)
Vorname, Nachname, Benutzer- und Anzeigename (sofern angegeben)
Produkt, Kontostatus, Zeitpunkt der Registrierung, des letzten Logins und der letzten Aktivität (auf die Minute genau; für Support und Betrieb)

Zweck ist die Bereitstellung deines Kontos, die Authentifizierung und die Vertragserfüllung. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO. Die Bereitstellung von E-Mail-Adresse und Passwort ist für den Vertragsabschluss erforderlich – ohne diese Daten können wir kein Konto bereitstellen. Alle weiteren Angaben sind freiwillig.

Einladungen. Für eingeladene Nutzer (zum Beispiel Testpersonen, Moderatoren oder Partner) legen wir Konten auf Einladung an: Wir erfassen die E-Mail-Adresse und optional den Vornamen der eingeladenen Person, senden einen persönlichen Einladungslink (sieben Tage gültig) und speichern den Status der Einladung (offen, angenommen, abgelaufen, widerrufen). Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO (Anbahnung des Nutzungsvertrags, den die eingeladene Person mit uns vereinbart hat) bzw. Art 6 Abs 1 lit f DSGVO (Verwaltung eingeladener Konten). Nicht angenommene Einladungen löschen wir 30 Tage nach Ablauf des Einladungslinks; angenommene Einladungen gehören zu den Kontodaten.

Zustimmungsprotokoll. Beim Anlegen deines Kontos protokollieren wir, welche Fassung der Nutzungsbedingungen, der Rücktrittsbelehrung und dieser Datenschutzerklärung dir angezeigt wurde und was du bestätigt hast (Dokument, Version, Aktion, Zeitpunkt). Zweck ist der Nachweis des Vertragsabschlusses und der erteilten Informationen (Art 6 Abs 1 lit b und f DSGVO, § 7 FAGG). Das Protokoll speichern wir, solange dein Konto besteht, und danach für die Dauer der gesetzlichen Verjährungsfristen (in der Regel 3 Jahre).

Kontodaten speichern wir bis zur Löschung deines Kontos. Nach der Kontolöschung bewahren wir Stammdaten, soweit erforderlich, für die Dauer der gesetzlichen Verjährungsfristen (in der Regel 3 Jahre, § 1489 ABGB) zur Geltendmachung oder Abwehr von Rechtsansprüchen auf (Art 6 Abs 1 lit f DSGVO); Abrechnungsdaten unterliegen der 7-jährigen Aufbewahrungspflicht (siehe 3.7).

3.4 Nutzung im eingeloggten Zustand (Personalisierung)

Im eingeloggten Zustand speichern wir die Inhalte und Einstellungen, die du im ESF Terminal anlegst, damit sie dir geräteübergreifend zur Verfügung stehen:

Watchlists und Options-Workspace (inkl. gespeicherter Setups und deines Trade-Journals)
gespeicherte Screener-Suchen, Spalten-Presets, Scoring-Modelle, Filter-Favoriten
Anzeige- und Newsfeed-Präferenzen

Zweck ist die Bereitstellung der vertraglich vereinbarten Funktionen. Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO. Diese Daten bleiben gespeichert, bis du sie selbst löschst oder dein Konto gelöscht wird.

Zur Sicherung deines Kontos und unserer Services protokollieren wir sicherheitsrelevante Ereignisse (insbesondere Login-Versuche mit Zeitpunkt und IP-Adresse). Zweck sind Missbrauchsschutz, Betrugsprävention und die Nachvollziehbarkeit unberechtigter Zugriffe. Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse liegt im Schutz der Nutzerkonten und unserer Infrastruktur. Speicherdauer: 90 Tage, bei konkreten Sicherheitsvorfällen bis zu deren Aufklärung.

3.6 Abo-Verwaltung und Zahlungsabwicklung (Stripe)

Für kostenpflichtige Abonnements nutzen wir den Zahlungsdienstleister Stripe. Vertragspartner für Nutzer im EWR ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland („Stripe“).

Wenn du ein kostenpflichtiges Abo abschließt, gibst du deine Zahlungsdaten (z. B. Kartendaten, SEPA-Mandat) direkt bei Stripe ein. Wir selbst erhalten und speichern keine vollständigen Zahlungskartendaten, sondern nur: gewählten Plan und Abrechnungszeitraum, Zahlungsstatus, die letzten Stellen und Marke des Zahlungsmittels, Rechnungsdaten sowie eine Stripe-Kundenreferenz.

Zwecke: Abschluss und Abwicklung des Abonnements, wiederkehrende Abbuchungen, Rechnungsstellung, Behandlung fehlgeschlagener Zahlungen und Rückerstattungen.
Rechtsgrundlagen: Art 6 Abs 1 lit b DSGVO (Vertragserfüllung) sowie Art 6 Abs 1 lit c DSGVO (steuer- und unternehmensrechtliche Pflichten).
Rollenverteilung: Soweit Stripe die Zahlung in unserem Auftrag abwickelt, ist Stripe unser Auftragsverarbeiter (Art 28 DSGVO). Für bestimmte eigene Zwecke (insbesondere Betrugsprävention, Einhaltung aufsichts- und geldwäscherechtlicher Pflichten) ist Stripe eigenständiger Verantwortlicher. Details: https://stripe.com/at/privacy
Drittlandtransfer: Stripe kann Daten an die Stripe, Inc. in den USA übermitteln. Stripe ist unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert; ergänzend bestehen Standardvertragsklauseln der Europäischen Kommission.

Abrechnungsrelevante Daten unterliegen der Aufbewahrungspflicht nach 3.7.

3.7 Rechnungen und Buchhaltung

Rechnungen und Buchungsbelege (inkl. der darin enthaltenen Daten wie Name, Anschrift, Leistungszeitraum) bewahren wir zur Erfüllung gesetzlicher Pflichten 7 Jahre auf (§ 132 Abs 1 BAO, §§ 190, 212 UGB, § 11 UStG); bei anhängigen Verfahren entsprechend länger. Rechtsgrundlage ist Art 6 Abs 1 lit c DSGVO. Empfänger sind unser Steuerberater bzw. Buchhaltungsdienstleister sowie im Anlassfall Abgabenbehörden.

3.8 ESF Assistent (KI-Chat)

Das ESF Terminal enthält einen KI-Assistenten („ESF Assistent“), mit dem du in natürlicher Sprache Fragen zu Märkten, Kennzahlen und den Inhalten des Terminals stellen kannst. Du interagierst dabei mit einem KI-System (Hinweis nach Art 50 der Verordnung (EU) 2024/1689, „AI Act“); die Antworten werden maschinell erzeugt und entsprechend gekennzeichnet.

Welche Daten verarbeitet werden:

deine Chat-Eingaben und die generierten Antworten (Konversationsverlauf)
Seitenkontext der Anfrage (z. B. von welcher Terminal-Ansicht aus du fragst, betrachtetes Wertpapier)
technische Metadaten (verwendetes Modell, Token-Anzahl, Kosten, Antwortzeit, Sprache)
dein optionales Feedback zu Antworten (👍/👎)

Zwecke und Rechtsgrundlagen:

Bereitstellung der Assistenten-Funktion inkl. Fortsetzen früherer Konversationen: Art 6 Abs 1 lit b DSGVO (Vertragserfüllung).
Kostensteuerung, Kontingent-/Missbrauchskontrolle und Verbesserung des Assistenten: Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse liegt in der wirtschaftlichen Betreibbarkeit und der Qualitätssicherung dieser Funktion.

Einsatz von Anthropic als Auftragsverarbeiter: Zur Erzeugung der Antworten übermitteln wir deine Chat-Eingaben samt Kontext an die Anthropic PBC, San Francisco, USA („Anthropic“), den Anbieter der Claude-Sprachmodelle. Mit Anthropic besteht ein Auftragsverarbeitungsvertrag gemäß Art 28 DSGVO. Nach diesem Vertrag verwendet Anthropic deine Eingaben nicht zum Training seiner Modelle. Für die Übermittlung in die USA stützt sich Anthropic auf das EU-U.S. Data Privacy Framework bzw. auf Standardvertragsklauseln der Europäischen Kommission (Art 46 DSGVO). Wenn du eine Kopie der Garantien erhalten möchtest, wende dich an privacy@esfterminal.com.

Interne Einsichtnahme: Unsere Administratoren können Konversationen (einschließlich der Nachrichteninhalte) einsehen und durchsuchen. Das dient der Qualitätssicherung, der Missbrauchskontrolle, der Kostensteuerung und der Produktverbesserung. Zugriff haben nur wenige, vertraglich zur Vertraulichkeit verpflichtete Personen.

Bitte beachte: Gib in den Assistenten keine sensiblen Daten (Art 9 DSGVO, z. B. Gesundheitsdaten), keine Finanz-Zugangsdaten und keine personenbezogenen Daten Dritter ein. Der Assistent benötigt solche Angaben für keine seiner Funktionen.

Speicherdauer: Konversationen bleiben gespeichert, solange dein Konto besteht – damit du jederzeit in deinen Verlauf Einblick hast und frühere Konversationen fortsetzen kannst. Von dir gelöschte Konversationen sind sofort nicht mehr in deinem Konto sichtbar und werden binnen 30 Tagen endgültig gelöscht. Bei Löschung deines Kontos werden sämtliche Konversationen endgültig gelöscht. Erhalten bleiben können ausschließlich anonymisierte Nutzungsstatistiken ohne Nachrichteninhalte (z. B. Gesamtzahl der Anfragen, Token- und Kostensummen), die keinen Bezug mehr zu deiner Person aufweisen.

3.9 KI-gestützte Analysen im Terminal

Neben dem Assistenten kann das ESF Terminal auf KI-gestützte Zusammenfassungen und Analysen (z. B. zu Unternehmensmeldungen, Earnings oder Wettbewerbsvorteilen) zur Verfügung stellen. Diese Analysen beziehen sich auf öffentlich verfügbare Markt- und Unternehmensdaten, nicht auf deine Person. Personenbezogen verarbeiten wir dabei nur Abruf-Metadaten (wer hat wann welche Analyse angefordert) zur Kontingent- und Kostensteuerung (Art 6 Abs 1 lit f DSGVO). KI-generierte Inhalte werden als solche gekennzeichnet.

3.10 Community-Bereich

Der Community-Bereich ist der Diskussions- und Wissensbereich des ESF Terminals (Spaces, Wiki, Investment-Debatten „Bulle & Bär“). Wenn du die Community nutzt, verarbeiten wir:

Profildaten: Benutzername, optionale Profilangaben (z. B. Anzeigename, Kurzbeschreibung)
Beiträge: Posts, Kommentare, Wiki-Bearbeitungen, Debatten-Argumente, Reaktionen und Abstimmungen – diese sind für andere Community-Mitglieder sichtbar, dauerhaft mit deinem Benutzernamen verknüpft und durchsuchbar
Aktivitäts- und Reputationswerte: automatisch berechnete Scores (z. B. Aktivität der letzten 30 Tage, Reputation, Level, Badges)

Sichtbarkeit deiner Scores: Scores, Level und Badges sind standardmäßig privat. Du entscheidest über einen Schalter in deinem Profil selbst, ob sie öffentlich angezeigt werden. Intern werden die Scores unabhängig davon berechnet und verwendet, um Feed-Inhalte zu sortieren und den Zugang zu bestimmten Community-Funktionen zu steuern (z. B. das Erstellen eigener Debatten ab einem bestimmten Level). Diese automatisierte Berechnung hat keine Rechtswirkung für dich und betrifft ausschließlich Komfort- und Community-Funktionen (siehe Abschnitt 12).

Moderation: Ein regelbasierter Spam-Filter blockiert offensichtlichen Spam automatisch. Darüber hinaus unterstützt uns ein KI-System, das Beiträge auf Qualitäts- und Regelprobleme hinweist – die Entscheidung über Maßnahmen (Entfernung, Verwarnung, Sperre) treffen Menschen, nicht die KI. Im Rahmen von Meldeverfahren verarbeiten wir die Daten der meldenden und der gemeldeten Person zur Prüfung und Dokumentation der Entscheidung.

Rechtsgrundlagen: Art 6 Abs 1 lit b DSGVO (Bereitstellung der Community-Funktionen) sowie Art 6 Abs 1 lit f DSGVO (Moderation, Spam- und Missbrauchsabwehr; unser berechtigtes Interesse liegt in einer sicheren, rechtskonformen und qualitativ hochwertigen Community).

Speicherdauer: Profildaten bis zur Kontolöschung. Beiträge werden bei Kontolöschung anonymisiert: Sie bleiben ohne Zuordnung zu deinem Namen erhalten, damit Diskussionen für andere lesbar bleiben. Moderations- und Meldeunterlagen bewahren wir 12 Monate nach Abschluss des Falls auf.

Wenn du unseren Newsletter abonnierst, verarbeiten wir deine E-Mail-Adresse zur Zusendung des Newsletters. Rechtsgrundlage ist ausschließlich deine Einwilligung (Art 6 Abs 1 lit a DSGVO). Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Du erhältst eine Bestätigungs-E-Mail und wirst erst nach Klick auf den Bestätigungslink in den Verteiler aufgenommen. Zu Nachweiszwecken (Art 7 Abs 1 DSGVO) protokollieren wir den Zeitpunkt der Anmeldung und der Bestätigung, das Formular, über das die Einwilligung erklärt wurde, sowie Version und Sprache des Einwilligungstextes. Anmeldungen, die nicht binnen 30 Tagen bestätigt werden, löschen wir samt zugehörigem Protokoll.

Die Verwaltung des Verteilers erfolgt auf unserer eigenen Infrastruktur innerhalb der EU. Der Versand erfolgt über Emailit, einen Dienst der FunFirst s.r.o., Prag, Tschechien, als unseren Auftragsverarbeiter; die Auftragsverarbeitungsvereinbarung nach Art 28 DSGVO ist Bestandteil der Vertragsbedingungen von Emailit. Die Verarbeitung durch Emailit erfolgt nach dessen Angaben ausschließlich innerhalb der EU; eine Übermittlung in Drittländer findet nicht statt. Wir setzen kein Öffnungs- und kein Klick-Tracking ein: Unsere E-Mails enthalten keine Zählpixel, und Link-Aufrufe werden nicht personenbezogen ausgewertet.

Du kannst dich jederzeit über den Abmeldelink im Newsletter oder per E-Mail an privacy@esfterminal.com abmelden. Nach der Abmeldung löschen wir deine Newsletter-Daten; die bis zum Widerruf erfolgte Verarbeitung bleibt rechtmäßig. Zur Beachtung des Widerrufs dürfen wir deine E-Mail-Adresse in einer Sperrliste behalten (Art 6 Abs 1 lit c und f DSGVO).

3.12 Transaktionale E-Mails

Systembedingte E-Mails (z. B. Einladungen, Registrierungs-, Double-Opt-in- und sonstige Bestätigungs-E-Mails, Bestell- und Kündigungsbestätigungen, Zahlungs- und Sicherheitshinweise) versenden wir über denselben Auftragsverarbeiter wie den Newsletter: Emailit (FunFirst s.r.o., Prag – Auftragsverarbeitungsvereinbarung und EU-Verarbeitung siehe 3.11). Rechtsgrundlage ist Art 6 Abs 1 lit b DSGVO (Vertragserfüllung) bzw. Art 6 Abs 1 lit f DSGVO (Sicherheitsinformationen, Zustellung von Double-Opt-in-Bestätigungen als Nachweisverfahren).

3.13 Cookies und Local Storage

Wir setzen ausschließlich technisch notwendige Cookies ein – also Cookies, die unbedingt erforderlich sind, um unsere Services bereitzustellen (§ 165 Abs 3 TKG 2021; für Nutzer in Deutschland § 25 Abs 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich; deshalb zeigen wir keinen Cookie-Banner. Auf unseren öffentlichen Seiten werden keine Cookies gesetzt.

Name	Anbieter	Zweck	Speicherdauer	Rechtsgrundlage
`esf_session`	ESF (First-Party)	Authentifizierung eingeloggter Nutzer (HttpOnly, Secure, SameSite=Strict)	7 Tage	Art 6 Abs 1 lit b und f DSGVO; § 165 Abs 3 TKG 2021
Sitzungskennung der Fehler- und Leistungsdiagnose (`sessionStorage`, kein Cookie)	ESF (Grafana-Faro-Skript, First-Party)	Zuordnung von Fehler- und Leistungsberichten zu einer Browser-Sitzung (3.17)	bis zum Schließen des Tabs, höchstens 4 Stunden	§ 165 Abs 3 TKG 2021 (unbedingt erforderlich für die fehlerfreie Bereitstellung); Art 6 Abs 1 lit f DSGVO

Zusätzlich speichert unsere Anwendung einzelne Anzeige-Einstellungen lokal in deinem Browser (Local Storage, z. B. Theme oder Layout-Präferenzen). Diese Informationen verbleiben auf deinem Gerät und werden von uns nicht ausgelesen, soweit sie nicht in deinem Konto gespeichert werden (siehe 3.4).

Du kannst Cookies jederzeit über deine Browser-Einstellungen löschen oder blockieren; ohne das Session-Cookie ist eine Anmeldung allerdings technisch nicht möglich.

3.14 Cloudflare (CDN und Sicherheit)

Unsere Services werden über die Infrastruktur der Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA („Cloudflare“) ausgeliefert und gegen Angriffe geschützt (Content Delivery Network, Web Application Firewall, DDoS-Schutz, Bot-Abwehr).

Dabei verarbeitet Cloudflare technische Verbindungsdaten im Transit (insbesondere IP-Adresse, Request-Metadaten). Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse liegt in der sicheren, schnellen und stabilen Bereitstellung unserer Services und der Abwehr von Angriffen.

Außerdem speichern wir in einem Objektspeicher von Cloudflare (R2) eine verschlüsselte Kopie unserer Datenbanksicherungen; Näheres unter 3.16.

Mit Cloudflare besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) gemäß Art 28 DSGVO. Soweit Daten in die USA übermittelt werden, ist Cloudflare unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln. Weitere Informationen: https://www.cloudflare.com/privacypolicy/

3.15 Zugriffsstatistiken (ohne Skript, ohne Cookies)

Um zu wissen, wie stark unsere Website und das Terminal genutzt werden, verwenden wir die aggregierten Statistiken, die Cloudflare aus den Verbindungsdaten erstellt, die bei der Auslieferung ohnehin anfallen (3.14): Anzahl der Aufrufe, Herkunftsland, Browser- und Gerätetyp. Dafür läuft kein Skript in deinem Browser, es werden keine Cookies gesetzt und keine Nutzerkennungen gebildet; einzelne Nutzer lassen sich daraus nicht nachverfolgen.

Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse liegt in der Beobachtung und Verbesserung unserer Services. Weitere Informationen: https://www.cloudflare.com/privacypolicy/

3.16 Hosting (Hetzner)

Unsere Anwendung und Datenbank betreiben wir auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland („Hetzner“). Die Rechenzentren befinden sich in der Europäischen Union. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag gemäß Art 28 DSGVO. Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO (sicherer und zuverlässiger Betrieb); soweit das Hosting der Vertragserfüllung dient, auch Art 6 Abs 1 lit b DSGVO. Weitere Informationen: https://www.hetzner.com/de/legal/privacy-policy

Betriebsüberwachung. Technische Kennzahlen und Protokolle unserer Server (Zeitpunkt, aufgerufener Endpunkt, Dauer, Statuscode und Datenmenge einer Anfrage, Auslastung) werten wir über Grafana Cloud aus, einen Dienst der Grafana Labs (Raintank, Inc. dba Grafana Labs, 165 Broadway, 23rd Floor, New York, NY 10006, USA). Die Daten liegen auf Servern in Frankfurt am Main (Region „EU Germany“). Sie enthalten keine Inhalte, die du eingibst, können aber technische Kennungen wie deine Konto-ID oder die IP-Adresse enthalten, die wir nur zur Fehlersuche heranziehen. Mit Grafana Labs besteht ein Auftragsverarbeitungsvertrag nach Art 28 DSGVO; Grafana Labs ist unter dem EU-U.S. Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln (Abschnitt 5). Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb. Protokolle und Ablaufaufzeichnungen werden nach 30 Tagen gelöscht; aggregierte Kennzahlen ohne Personenbezug bewahren wir länger auf.

Sicherungen. Hetzner erstellt auf unsere Veranlassung Sicherungen und Abbilder (Snapshots) unserer Server, etwa vor Systemaktualisierungen oder um einen Server neu aufzusetzen; sie bleiben in den Rechenzentren von Hetzner in der Europäischen Union. Zusätzlich sichern wir unsere Datenbank fortlaufend in einen Objektspeicher der Cloudflare, Inc. (R2; zu Cloudflare siehe 3.14 und Abschnitt 5). Diese Sicherungen werden vor der Übertragung verschlüsselt; den Schlüssel verwahren nur wir, Cloudflare kann die Inhalte nicht lesen. Sicherungen werden fortlaufend durch neuere ersetzt; für gelöschte Daten gilt die Frist im nächsten Absatz.

Wenn du Daten löschst oder dein Konto gelöscht wird, entfernen wir die betroffenen Daten umgehend aus unseren aktiven Systemen; die vollständige Entfernung aus allen Systemen ist spätestens nach 30 Tagen abgeschlossen.

3.17 Fehler- und Leistungsdiagnose im ESF Terminal (Grafana Faro)

Fehler, die das Terminal in deinem Browser nicht anzeigt, erfährt niemand, wenn du sie nicht meldest; ob eine Ansicht bei dir langsam lädt, sehen wir auf unseren Servern nicht. Damit wir solche Fehler finden und beheben und das Terminal schnell halten können, sendet das Terminal technische Fehler- und Leistungsberichte an uns. Dafür nutzen wir die Komponente Grafana Faro, die mit dem Terminal geladen wird. Die Berichte dienen ausschließlich dem technischen Betrieb; wir werten sie nicht aus, um dein Nutzungsverhalten zu analysieren, und verwenden sie nicht für Werbung.

Welche Daten ein Bericht enthält:

unbehandelte technische Fehler im Browser (Fehlermeldung und technischer Fehlerpfad, kein Inhalt deiner Eingaben)
fehlgeschlagene Anfragen an unsere Server (aufgerufener Endpunkt, Statuscode, Dauer) sowie Fehlerantworten, die die Seite verarbeitet hat, ohne sie dir anzuzeigen
Ladezeit- und Reaktionskennzahlen der Seite (Web Vitals, etwa Ladedauer, Reaktionszeit auf Eingaben, Layoutverschiebungen) und die Dauer von Anfragen an unsere Server
die aufgerufene Terminal-Ansicht (Adresse ohne Suchparameter), Browser und Betriebssystem mit Version
eine zufällige Sitzungskennung, die nur im sessionStorage deines Browsers liegt und mit dem Schließen des Tabs endet (3.13)
deine interne Konto-ID, damit wir einen Fehler deinem Konto zuordnen und dich bei Bedarf fragen können, sowie der Zeitpunkt

Was nicht erhoben wird: dein Name, deine E-Mail-Adresse, Inhalte von Eingabefeldern oder des ESF Assistenten, Inhalte von Anfragen und Antworten, Mausbewegungen und Tastatureingaben, Bildschirm- oder Sitzungsaufzeichnungen, dein Standort. Deine IP-Adresse wird vom Empfangsserver nicht gespeichert.

Zweck ist das Erkennen und Beheben technischer Fehler sowie die Stabilität und Geschwindigkeit des Terminals.

Rechtsgrundlage ist Art 6 Abs 1 lit f DSGVO. Unser berechtigtes Interesse liegt darin, Fehler und Leistungsprobleme des Terminals zu erkennen und zu beheben, bevor sie dich oder andere Nutzer beeinträchtigen; das liegt auch in deinem Interesse als Nutzer. Die Sitzungskennung in deinem Browser und das Auslesen der Fehler- und Leistungsinformationen sind für die fehlerfreie Bereitstellung des von dir aufgerufenen Terminals unbedingt erforderlich (§ 165 Abs 3 TKG 2021; für Nutzer in Deutschland § 25 Abs 2 Nr 2 TDDDG). Wir erheben nur, was dafür nötig ist, speichern die Berichte in der EU und löschen sie nach 30 Tagen; unsere Abwägung haben wir dokumentiert. Du kannst dieser Verarbeitung jederzeit widersprechen (Abschnitt 10), per E-Mail an privacy@esfterminal.com; wir schalten die Berichte dann für dein Konto ab. Dein Konto und alle Funktionen stehen dir unabhängig davon in vollem Umfang zur Verfügung.

Empfänger: Die Berichte verarbeitet Grafana Labs (Raintank, Inc. dba Grafana Labs, 165 Broadway, 23rd Floor, New York, NY 10006, USA) als unser Auftragsverarbeiter nach Art 28 DSGVO, gespeichert auf Servern in Frankfurt am Main (Region „EU Germany“). Grafana Labs ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln der Europäischen Kommission (Abschnitt 5). Ein Zugriff aus den USA im Rahmen von Support und Betrieb lässt sich nicht ausschließen; dafür gelten dieselben Garantien.

Speicherdauer: Fehler- und Leistungsberichte werden nach 30 Tagen gelöscht.

4. Empfänger und Auftragsverarbeiter im Überblick

Empfänger	Sitz	Zweck	Rolle	Drittlandtransfer / Garantie
Hetzner Online GmbH	Deutschland (EU)	Server-Hosting, Datenbank, Server-Sicherungen und Abbilder	Auftragsverarbeiter	– (EU)
Cloudflare, Inc.	USA	CDN, Sicherheits-/Proxydienste, Zugriffsstatistiken, verschlüsselte Datenbanksicherungen (R2)	Auftragsverarbeiter	DPF + Standardvertragsklauseln
Stripe Payments Europe, Ltd. / Stripe, Inc.	Irland / USA	Zahlungsabwicklung, Abo-Verwaltung	Auftragsverarbeiter, teils eigenständiger Verantwortlicher	DPF + Standardvertragsklauseln
Anthropic PBC	USA	KI-Antworten für den ESF Assistenten und KI-Analysen	Auftragsverarbeiter	DPF bzw. Standardvertragsklauseln
Grafana Labs (Raintank, Inc.)	USA; Speicherung in Frankfurt am Main (EU)	Betriebsüberwachung der Server (Kennzahlen, Protokolle); Fehler- und Leistungsdiagnose im Terminal (3.17)	Auftragsverarbeiter	DPF + Standardvertragsklauseln
Emailit – FunFirst s.r.o.	Tschechien (EU)	Newsletter- und Transaktionsmail-Versand	Auftragsverarbeiter	– (laut Anbieter Verarbeitung ausschließlich in der EU)
Google Ireland Limited (Google Workspace)	Irland / USA	Postfächer, Empfang und Speicherung eingehender Korrespondenz	Auftragsverarbeiter	DPF + Standardvertragsklauseln
Steuerberater bzw. Buchhaltungsdienstleister	Österreich	Buchhaltung, Jahresabschluss	Eigenständiger Verantwortlicher	–

Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind (z. B. an Behörden oder Gerichte) oder wenn dies zur Durchsetzung oder Abwehr von Rechtsansprüchen erforderlich ist (Art 6 Abs 1 lit c bzw. f DSGVO).

Keine Übermittlung an Finanzdatenanbieter: Unsere Lieferanten von Markt-, Kurs- und Wirtschaftsdaten erhalten zu keinem Zeitpunkt personenbezogene Daten unserer Nutzer. Sämtliche Datenabfragen erfolgen serverseitig und ohne Nutzerbezug.

5. Drittlandübermittlungen

Soweit die oben genannten Dienstleister Daten in den USA verarbeiten, stützen wir die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (DPF), sofern der jeweilige Anbieter dort zertifiziert ist, und ergänzend bzw. hilfsweise auf die Standardvertragsklauseln der Europäischen Kommission (Art 46 Abs 2 lit c DSGVO) samt erforderlicher Zusatzmaßnahmen. Wenn du eine Kopie dieser Garantien erhalten möchtest, wende dich jederzeit an privacy@esfterminal.com. Eine Übermittlung in andere Drittländer findet nicht statt.

6. Speicherdauer im Überblick

Wir speichern Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Zusammengefasst:

Datenkategorie	Speicherdauer
Server-Logs	30 Tage
Login-/Sicherheitsprotokolle	90 Tage
Konto- und Personalisierungsdaten (3.3, 3.4)	bis Kontolöschung; danach ggf. bis zu 3 Jahre (Verjährung)
Assistenten-Konversationen	solange dein Konto besteht; nach Löschung einzelner Konversationen oder des Kontos endgültige Löschung binnen 30 Tagen
Community-Beiträge	bis Kontolöschung, danach anonymisiert (ohne Namenszuordnung)
Moderations-/Meldeunterlagen	12 Monate nach Fallabschluss
Rechnungen, Buchungsbelege	7 Jahre (§ 132 BAO, §§ 190, 212 UGB, § 11 UStG)
Newsletter-Daten	bis zum Widerruf/Abmeldung (+ Sperrliste)
Nicht bestätigte Newsletter-Anmeldungen	30 Tage (dann Löschung samt Einwilligungsprotokoll)
Support-Korrespondenz	3 Jahre nach Abschluss
Betriebsprotokolle der Server (3.16, Grafana Cloud)	30 Tage
Fehler- und Leistungsberichte aus dem Browser (3.17)	30 Tage
Vermerk eines Widerspruchs gegen die Fehler- und Leistungsdiagnose (3.17)	bis Kontolöschung
Nicht angenommene Einladungen (3.3)	30 Tage nach Ablauf des Einladungslinks
Zustimmungsprotokoll (3.3)	bis Kontolöschung; danach bis zu 3 Jahre (Verjährung)

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert, sofern nicht im Einzelfall die Sicherung von Beweismitteln für ein konkretes Verfahren eine längere Speicherung erfordert (Art 6 Abs 1 lit f DSGVO).

7. Pflicht zur Bereitstellung von Daten

Die Bereitstellung von E-Mail-Adresse und Passwort ist für die Registrierung und damit für den Abschluss des Nutzungsvertrags erforderlich; ohne sie können wir die Services nicht bereitstellen. Für kostenpflichtige Abos ist zusätzlich die Angabe von Zahlungs- und Rechnungsdaten erforderlich. Alle übrigen Angaben und Einwilligungen (z. B. Profilinformationen, Newsletter) sind freiwillig; ihre Nichtangabe oder Ablehnung zieht keine Nachteile für die Nutzung unserer Services nach sich.

8. Datensicherheit

Wir schützen deine Daten durch technische und organisatorische Maßnahmen nach dem Stand der Technik, insbesondere:

Verschlüsselte Übertragung (TLS) für sämtliche Verbindungen
Speicherung von Passwörtern ausschließlich als salted Hash
Architektur ohne offene Server-Ports (Anbindung ausschließlich über abgesicherte Tunnel), Web Application Firewall und DDoS-Schutz
Rollen- und Rechtekonzept; Zugriff auf personenbezogene Daten nur für vertraulich verpflichtete Personen, soweit erforderlich
Tägliche verschlüsselte Backups und Protokollierung sicherheitsrelevanter Ereignisse

Unsere Maßnahmen werden regelmäßig überprüft und an die technische Entwicklung angepasst.

9. Minderjährige

Unsere Services richten sich ausschließlich an Personen ab 18 Jahren. Wir erheben wissentlich keine Daten von Minderjährigen. Sollten wir Kenntnis erlangen, dass ein Konto von einer minderjährigen Person angelegt wurde, werden wir es löschen.

10. Deine Datenschutzrechte

Dir stehen hinsichtlich deiner bei uns verarbeiteten Daten folgende Rechte zu:

Recht auf Auskunft (Art 15 DSGVO) über die von uns verarbeiteten Daten samt den in Art 15 genannten Informationen
Recht auf Berichtigung (Art 16 DSGVO) unrichtiger oder unvollständiger Daten
Recht auf Löschung (Art 17 DSGVO), soweit keine Aufbewahrungspflichten oder überwiegenden berechtigten Interessen entgegenstehen – dein Konto samt Daten kannst du auch direkt in den Kontoeinstellungen löschen
Recht auf Einschränkung der Verarbeitung (Art 18 DSGVO)
Recht auf Datenübertragbarkeit (Art 20 DSGVO): Herausgabe der von dir bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format

Recht auf Widerspruch (Art 21 DSGVO): Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen Verarbeitungen zu widersprechen, die wir auf Art 6 Abs 1 lit f DSGVO (berechtigtes Interesse) stützen. Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen die Fehler- und Leistungsdiagnose im Terminal (3.17) kannst du formlos per E-Mail an privacy@esfterminal.com widersprechen; wir schalten die Berichte dann für dein Konto ab.

Widerruf von Einwilligungen (Art 7 Abs 3 DSGVO): Erteilte Einwilligungen (z. B. Newsletter) kannst du jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Zur Ausübung deiner Rechte genügt eine formlose Nachricht an privacy@esfterminal.com. Wir antworten innerhalb der gesetzlichen Fristen.

Beschwerderecht: Du hast das Recht, Beschwerde bei einer Aufsichtsbehörde zu erheben – in Österreich bei der Österreichischen Datenschutzbehörde, Barichgasse 40–42, 1030 Wien (https://www.dsb.gv.at/), oder bei der Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts.

11. Nutzer in der Schweiz

Für Nutzer in der Schweiz gelten die Informationen dieser Datenschutzerklärung sinngemäß auch als Information nach dem revidierten Schweizer Datenschutzgesetz (revDSG). Verantwortlicher ist die in Abschnitt 1 genannte Gesellschaft. Die in dieser Erklärung beschriebenen Rechte stehen dir im Umfang des revDSG ebenfalls zu. Zuständige Aufsichtsbehörde in der Schweiz ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern. Die Schweiz verfügt über einen Angemessenheitsbeschluss der EU; Übermittlungen zwischen der EU und der Schweiz sind dadurch abgesichert.

12. Keine automatisierte Entscheidungsfindung

Wir treffen keine automatisierten Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art 22 DSGVO). Insbesondere:

Der ESF Assistent und die KI-Analysen liefern Informationen – sie treffen keine Entscheidungen über dich.
Community-Scores steuern ausschließlich Komfort- und Community-Funktionen (z. B. Feed-Sortierung, Freischaltung von Community-Features); über Sanktionen (Verwarnung, Sperre) entscheiden immer Menschen.
Der automatische Spam-Filter blockiert lediglich offensichtlichen Spam; gegen jede Moderationsmaßnahme kannst du dich an uns wenden und eine menschliche Überprüfung verlangen.

13. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Services, unsere Dienstleister oder die Rechtslage ändern (z. B. bei Einführung neuer Funktionen wie einem Portfolio-Import). Es gilt jeweils die hier veröffentlichte Fassung; du erkennst sie am Stand-Datum am Dokumentanfang. Frühere Fassungen senden wir dir auf Anfrage an privacy@esfterminal.com zu. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail oder im Produkt.