1. Verantwortlicher
Verantwortlicher im Sinne der DSGVO:
Friederike Hemsen
Am Südhang 14
22113 Oststeinbek
Deutschland
E-Mail: developer@adlibita.com
2. Verarbeitete Datenkategorien
Diese Website verarbeitet – abhängig von Ihrer Nutzung – folgende Kategorien von Daten:
- Server-Log-Daten: IP-Adresse, Datum/Uhrzeit, HTTP-Status, übertragene Datenmenge, User-Agent, aufgerufene URL. Speicherung ausschließlich zur technischen Bereitstellung und Sicherheit (Firewall / Fehleranalyse).
- Sitzungs-/Funktions-Cookies: Kurzfristige Session-ID zur Aufrechterhaltung von Login‑Status (Whitelist-Testaccounts oder OAuth Session). Keine Tracking- oder Drittanbieter-Cookies.
- OAuth-Metadaten (Google): Ein pseudonymes eindeutiges Nutzerkennzeichen ("sub"), optional Anzeigename und – sofern vom Nutzer übermittelt – E‑Mail-Adresse. Es wird kein Profilbild/Avatar verarbeitet oder gespeichert. Die E‑Mail kann zur Anzeige im UI gespeichert werden.
- Selbst eingegebene Inhalte: Manuell angelegte Notizen, Board-Elemente (Layout/Position/Text) und Pie-Segmente – rein funktionale Nutzungsdaten, ohne Auswertung zu Profiling-Zwecken.
- Markt- / Podcast-Daten: Öffentlich verfügbare Instrumenten- und RSS-Feed-Daten (keine personenbezogenen Daten).
Personenbezogene Daten im engeren Sinn werden auf ein Minimum reduziert. Keine Erstellung von Nutzungsprofilen, kein Tracking.
3. Zwecke der Verarbeitung
- Technische Bereitstellung & Stabilität: Ausliefern der Seiten, Laden von Instrumenten‑ / Podcast-Daten.
- Sicherheit & Missbrauchsvermeidung: Begrenzung von Anfragen, Erkennung fehlerhafter oder automatisierter Zugriffe, Schutz der Infrastruktur.
- Login / Authentifizierung: Verwaltung von Sitzungen für Test-Logins (Whitelist) und Google OAuth („sub“, Anzeigename, ggf. E‑Mail zur Anzeige). Kein Profilbild/Avatar.
- Benutzerfunktionen: Speicherung Ihrer freiwillig eingegebenen Notizen, Board-Layouts und Pie-Daten.
- Fehleranalyse / Debugging: Kurzfristige Auswertung von Fehler-Logs zur Behebung technischer Probleme.
4. Rechtsgrundlagen
- Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Technischer Betrieb, Sicherheit (Server-Logs, Schutz vor Missbrauch), notwendige funktionale Cookies / Sessions.
- Art. 6 Abs. 1 lit. b DSGVO (vertragliche / vorvertragliche Maßnahmen): Bereitstellung individueller Nutzerdaten (Notizen, Board-Elemente), falls Sie diese Funktionen aktiv nutzen.
- Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, optional): Nur falls künftig zusätzliche optionale Funktionen mit Tracking / erweiterten Scopes (z. B. E-Mail) eingeführt würden – derzeit nicht aktiv.
5. Speicherfristen
- Server-Logs: In der Regel bis zu 7 Tage, längstens zur Fehleranalyse oder Sicherheitsvorfällen; danach Löschung oder Anonymisierung.
- Session-Daten: Bis Ablauf der Session (Logout oder Browser‑Ende) bzw. technische Session-ID; gelegentlich kurze Zwischenspeicherung im Server-Speicher.
- Nutzerdaten (Notizen / Board / Pie): Bis zur Löschung durch den Nutzer oder Projektende. Harte Löschung bei explizitem Entfernen (kein „Soft Delete“ für neue Löschungen).
- OAuth-Basisdaten (sub, Anzeigename, ggf. E‑Mail): Dauerhaft zur Wiedererkennung des Accounts und zur Anzeige im UI, bis zur Löschung oder Deaktivierung des Zugangs.
- Podcast / Markt-Daten: Dauerhaft (öffentliche Quellen, keine personenbezogenen Daten).
6. Empfänger / Drittanbieter
- Content Delivery: Bootstrap / jsDelivr CDN zur Auslieferung statischer Ressourcen (CSS/JS). Aufruf erfolgt anonymisiert; CDN kann technisch IP und User-Agent verarbeiten.
- Google OAuth (Google Ireland Ltd. / ggf. Google LLC USA): Bei Login werden Daten zur Authentifizierung an Google übertragen (Scopes: 'openid profile email'). Die Rückgabe enthält u. a. ein ID Token mit einem pseudonymen Nutzerkennzeichen. Die E‑Mail wird aktuell nicht serverseitig gespeichert. Übertragung kann in Drittländer (USA) erfolgen – abgesichert durch Standardvertragsklauseln (SCC) laut Google.
- Marktdaten-Provider (Finnhub, Yahoo Finance, OpenFIGI, exchangerate.host): Serverseitige Abrufe ohne direkte Nutzerkennungen.
Keine Weitergabe von personenbezogenen Daten an Werbenetzwerke oder Social-Media-Anbieter. Kein Einsatz von Drittanbieter-Analytics, kein Tracking.
7. Drittlandübermittlung
Bei Nutzung von Google OAuth kann eine Übermittlung in die USA erfolgen. Google stützt sich nach eigenen Angaben auf Standardvertragsklauseln (SCC). Es besteht ein Restrisiko staatlicher Zugriffe. Die Verarbeitung ist auf Authentifizierung (Basis-Scopes) beschränkt. Wenn Sie dies nicht wünschen, nutzen Sie die Whitelist-Test-Login-Variante oder verzichten auf eine Anmeldung.
8. Sicherheit der Verarbeitung
- HTTPS-Verschlüsselung für Datenübertragung.
- Session-Regeneration beim Login zur Minimierung von Session-Fixation.
- Restriktive Passwort-Whitelist nur für Testkonten, keine allgemeine Passwortdatenbank.
- Rate-Limits / Item-Limits (Board/Notes/Pie) zur Missbrauchsprävention.
- Server-Logs nur kurzfristig und zweckgebunden.
9. Ihre Rechte
(Unverändert, erweitert um Klarstellung)
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch (Art. 21 DSGVO)
Kontakt: developer@adlibita.com. Bitte geben Sie bei Anfragen möglichst genaue Angaben zur betroffenen Funktion (z. B. Notizen, Board-Items).
10. Beschwerderecht
Sie haben das Recht auf Beschwerde bei einer zuständigen Datenschutz-Aufsichtsbehörde (z. B. Landesdatenschutzbehörde Hamburg).
11. Keine automatisierte Entscheidungsfindung
Es findet keine automatisierte Entscheidungsfindung oder Profilbildung statt.
12. Minderjährige
Das Angebot richtet sich nicht an Kinder unter 16 Jahren. Eine Registrierung oder Nutzung durch Minderjährige sollte nur mit Einwilligung der Erziehungsberechtigten erfolgen.
13. Änderung dieser Erklärung
Bei technischen oder rechtlichen Änderungen wird diese Erklärung angepasst. Die jeweils aktuelle Fassung finden Sie immer unter dieser URL; Stand-Datum siehe unten.