Datenschutzerklärung

Einbindung der Rechtstexte

Impressum, Datenschutzerklärung, AGB und Widerrufsbelehrung werden von der IT-Recht Kanzlei, München, gepflegt und beim Aufruf dieser Seiten von deren Servern (it-recht-kanzlei.de, itrk.legal) nachgeladen. Dabei wird deine IP-Adresse an die IT-Recht Kanzlei übermittelt — technisch unvermeidbar, weil der Text sonst nicht ausgeliefert werden kann. Weitere Daten werden nicht übergeben, ein Cookie wird dabei nicht gesetzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die gesetzlich vorgeschriebenen Rechtstexte in stets aktueller, anwaltlich gepflegter Fassung bereitzustellen. Der Abruf erfolgt vor einer Einwilligung, weil diese Texte — insbesondere die Datenschutzerklärung selbst — auch ohne Einwilligung erreichbar sein müssen.

Ergänzende Hinweise zur Anwendung app.metrum.one

Die vorstehende, von der IT-Recht Kanzlei gepflegte Erklärung beschreibt die Website und die dabei eingesetzten Dienste. Ergänzend verarbeitet die Anwendung unter app.metrum.one die im Folgenden beschriebenen Daten. Diese Hinweise geben wir eigenverantwortlich; die anwaltliche Aktualisierung der IT-Recht Kanzlei bezieht sich auf die vorstehenden Abschnitte.

Anmeldung und Zugang

Die Anmeldung erfolgt über einen einmaligen Link per E-Mail; ein Passwort wird weder erfragt noch gespeichert. Der Versand dieser Anmelde-E-Mails ist oben unter „Resend“ beschrieben, die Authentifizierung unter „Supabase“. Die Registrierung steht allen Interessierten offen; ein Einladungscode ist nicht mehr erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Schutz vor missbräuchlicher Registrierung

Da sich jede Person selbst ein Konto anlegen kann, begrenzen wir, wie viele Konten in kurzer Zeit vom selben Internetanschluss aus entstehen. Andernfalls ließen sich automatisiert beliebig viele Konten erzeugen.

Deine IP-Adresse wird dabei nicht gespeichert. Gespeichert wird ausschließlich ein nicht umkehrbarer Prüfwert (SHA-256-Hash), der aus der IP-Adresse und einem nur uns bekannten Geheimnis gebildet wird, zusammen mit dem Zeitpunkt des Versuchs. Eine Verknüpfung mit deinem Konto oder deiner E-Mail-Adresse findet nicht statt. Diese Einträge werden nach einer Stunde gelöscht; ein dauerhaftes Zugriffsprotokoll entsteht nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Abwehr automatisierter Massenregistrierungen und damit in der Sicherheit und Verfügbarkeit des Dienstes.

Herkunft der Registrierung

Um zu erkennen, über welche Anzeigen und Kampagnen Registrierungen zustande kommen, speichern wir beim Anlegen eines Kontos, mit welchen Kampagnen-Angaben du auf unsere Website gekommen bist. Das sind die sogenannten UTM-Parameter aus der Adresse des Links (Quelle, Medium, Kampagne, Anzeigeninhalt und Suchbegriff), die Seite unserer Website, auf der dein Besuch begann, und der Zeitpunkt der Registrierung. Enthält der Link keine solchen Angaben, wird dazu nichts gespeichert. Zusätzlich halten wir fest, ob du dir vor der Registrierung die Demo mit Beispieldaten angesehen hast.

Diese Angaben werden als Teil des Links von der Website an die Registrierung übergeben. Dafür werden keine Cookies gesetzt und nichts auf deinem Gerät gespeichert. Kennungen, mit denen Werbenetzwerke einen einzelnen Klick wiedererkennen (zum Beispiel die Klick-ID von Google Ads), werden dabei nicht übernommen. Die Angaben werden nicht an Google oder andere Werbenetzwerke zurückgemeldet; sie liegen ausschließlich in unserer Datenbank (oben unter „Supabase“ beschrieben) und dienen der internen Auswertung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Wirksamkeit unserer Werbung zu beurteilen. Du kannst der Speicherung jederzeit durch eine Nachricht an uns widersprechen; die Angaben zu deinem Konto werden dann gelöscht. Im Übrigen werden sie 24 Monate nach der Registrierung gelöscht, spätestens mit deinem Konto.

Unabhängig von einer Registrierung zählen wir, wie oft unsere Landingpages aufgerufen, die Demo über einen Link gestartet und die Registrierungsseite geöffnet wurde, und bei Letzterem, ob dabei gerade die Demo lief — je Kalendertag, Kampagne und Einstiegsseite. Beim Verlassen einer Landingpage zählen wir außerdem in groben Stufen, wie weit die Seite gelesen wurde, wie lange sie sichtbar war, ob Fragen oder Schritte aufgeklappt wurden und ob sie über einen Klick in die Demo oder zur Registrierung verlassen wurde; beim Verlassen der Demo, wie viele verschiedene Seiten angesehen wurden und wie lange sie sichtbar war. Gespeichert wird dabei nur eine Anzahl, ohne Bezug zu einer Person: keine Konto-Kennung, keine IP-Adresse, keine Geräte- oder Browserdaten, keine Reihenfolge der Seiten, kein Cookie. Diese Zähler werden nach 24 Monaten gelöscht.

Portfolio- und Buchungsdaten

Du trägst deine Wertpapiergeschäfte selbst ein, lädst sie als CSV-Datei hoch oder liest sie aus den PDF-Abrechnungen deines Brokers ein. Gespeichert werden dabei:

• Buchungen — Datum und Uhrzeit, Art des Geschäfts (Kauf, Verkauf, Dividende, Ein-/Auslieferung), Bezeichnung und ISIN des Wertpapiers, Stückzahl, Kurs, Betrag, Gebühren, Steuern, Währung sowie die selbst vergebene Depotbezeichnung.
• Hochgeladene Dateien — die importierte CSV-Datei wird unverändert archiviert, damit ein Import nachvollziehbar und wiederherstellbar bleibt.
• PDF-Abrechnungen — beim Import von Broker-Abrechnungen wird die PDF-Datei ausschließlich in deinem Browser ausgelesen. Sie wird weder an uns übertragen noch gespeichert, ebenso wenig die darin enthaltenen Angaben wie Name, Anschrift, Depot- oder Kontonummer. An uns gehen nur die Buchungen, die du nach Prüfung auswählst und übernimmst; sie werden wie ein CSV-Import archiviert, als Dateiname wird lediglich „PDF-Import“ vermerkt.
• Einstellungen — Zuordnung der Wertpapiere zu selbst benannten Kategorien, selbst gesetzte Ziel-Aufteilungen, Sparpläne und Schwellenwerte. Von diesen Einstellungen werden bis zu 50 Vorgängerversionen aufbewahrt, um versehentliche Änderungen rückgängig machen zu können.
• Freiwillige Angaben — ein Anzeigename kann eingetragen werden, ist aber nicht erforderlich.

Diese Daten liegen technisch getrennt von den Anmeldedaten: die E-Mail-Adresse wird im Authentifizierungsbereich geführt, die Portfoliodaten in einem eigenen Bereich, der lediglich eine anonyme Kennnummer enthält. Der Zugriff ist auf Datenbankebene so abgesichert, dass ein Konto ausschließlich die eigenen Daten lesen und schreiben kann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; ohne diese Daten kann die Anwendung ihren Zweck nicht erfüllen.

Die Datenbank (Supabase) und die Serverfunktionen der Anwendung (Vercel) werden in der EU betrieben, im Rechenzentrumsstandort Irland. Die Übertragung erfolgt ausschließlich verschlüsselt (TLS), die Datenbank ist verschlüsselt gespeichert (AES-256).

Name, Rechnungsadresse und Zahlungsdaten werden bei einem Abonnement ausschließlich vom Zahlungsdienstleister Stripe erhoben und in der Anwendung nicht gespeichert; dort liegt nur der Abo-Status mit einer Kundennummer. Buchungen, E-Mail-Adresse und Zahlungsdaten werden damit in drei getrennten Bereichen geführt.

Unsere Mitarbeiter sehen deine Portfolio- und Buchungsdaten nur ein, wenn du es ausdrücklich wünschst — etwa im Rahmen einer Supportanfrage — oder soweit es zur Behebung einer Störung oder aufgrund gesetzlicher Pflichten zwingend erforderlich ist. Wir verkaufen deine Daten nicht und geben sie nicht zu Werbezwecken weiter.

Rückmeldungen und Fehlermeldungen aus der Anwendung

Angemeldet kannst du uns aus der Anwendung heraus eine Rückmeldung schicken, und im PDF-Import einen Beleg melden, der nicht oder nicht richtig erkannt wird. Beides geschieht nur, wenn du es ausdrücklich absendest. Die Nachricht geht per E-Mail an uns (Versand über Resend, siehe oben unter „Kontaktaufnahme“); als Absender wird die E-Mail-Adresse deines Kontos verwendet, damit wir antworten können. In der Anwendung selbst wird sie nicht gespeichert.

Eine Meldung aus dem PDF-Import enthält den erkannten Broker, die Art des Belegs und den Grund, aus dem er nicht übernommen werden konnte — ohne Beträge —, sowie die Bank und die Anmerkung, falls du sie angibst. Welche Angaben gesendet werden, siehst du vor dem Absenden. Die Abrechnung selbst, ihr Text und der Dateiname werden nicht übermittelt. Eine automatische Zählung oder Auswertung des PDF-Imports findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Nachricht die Nutzung deines Kontos betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Anfragen zu beantworten und Fehler der Anwendung zu beheben. Die Nachrichten löschen wir, sobald sie abschließend bearbeitet sind und keine Aufbewahrungspflicht besteht.

Widerruf eines Abonnements

Innerhalb der Widerrufsfrist kannst du ein Abonnement angemeldet über die Schaltfläche „Vertrag widerrufen“ widerrufen. Dabei verarbeiten wir deinen Namen, die von dir angegebene E-Mail-Adresse für die Eingangsbestätigung, den betroffenen Vertrag (Paket, Abrechnungszeitraum, Zeitpunkt des Abschlusses) sowie Datum und Uhrzeit des Eingangs deiner Erklärung.

Diese Angaben werden als Nachweis am beendeten Abonnement beim Zahlungsdienstleister Stripe hinterlegt (siehe oben unter „Stripe“). Die Eingangsbestätigung an dich und eine interne Benachrichtigung zur Abwicklung der Erstattung versenden wir über Resend (siehe oben unter „Resend“). Eine eigene Speicherung in der Anwendung findet darüber hinaus nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB, der uns zur Bereitstellung dieser Widerrufsfunktion und zur Bestätigung des Eingangs verpflichtet. Die Angaben werden für die Dauer der handels- und steuerrechtlichen Aufbewahrungspflichten gespeichert.

Marktdaten von Dritten

Um Kurse, Kennzahlen und Nachrichten anzuzeigen, ruft die Anwendung Daten bei Yahoo Finance, Kraken, Finnhub und der Federal Reserve Bank of St. Louis (FRED) ab. Diese Abrufe erfolgen vom Server aus, nicht aus deinem Browser. Den Anbietern werden dabei weder deine IP-Adresse noch eine Kennung deines Kontos übermittelt. Übermittelt werden nur die Wertpapierkennungen, zu denen Kurse benötigt werden. Ergebnisse werden zwischengespeichert, sodass ein Kurs für alle Nutzer gemeinsam nur einmal abgerufen wird.

Cookies in der Anwendung

In der Anwendung werden ausschließlich technisch notwendige Cookies gesetzt: die Sitzungs-Cookies der Anmeldung, die deine Anmeldung aufrechterhalten, sowie ein Schalter, der für zwölf Stunden merkt, dass die Vorführung mit Beispieldaten aktiv ist. Analyse- oder Marketing-Cookies werden in der Anwendung nicht gesetzt, und es werden keine Analysedienste Dritter eingebunden.

Auswertung der Nutzung

Um zu verstehen, welche Bereiche der Anwendung genutzt werden und an welcher Stelle der Einstieg hakt, zählen wir je Konto und Kalendertag, welche Unterseiten geöffnet wurden, wie oft du dich angemeldet hast, ob im Crash Simulator gerechnet und ob ein KI-Bericht erzeugt wurde. Gespeichert wird nur die Anzahl je Tag — keine Uhrzeit, keine Reihenfolge der Seiten, keine IP-Adresse, keine Geräte- oder Browserdaten und keine Eingaben. Zusätzlich werten wir aus, ob bestimmte Einrichtungsschritte erfolgt sind (zum Beispiel, ob Buchungen importiert oder ein Sparplan angelegt wurde).

Die Auswertung erfolgt auf unserem eigenen Server. Es werden dafür keine Cookies gesetzt und keine Daten an Dritte übermittelt. Im Demo-Modus wird nichts je Person gezählt; dort entsteht nur die anonyme Zählung, die oben unter „Herkunft der Registrierung“ beschrieben ist.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, die Anwendung zu verbessern und zu erkennen, welche Bereiche genutzt werden.

Du kannst dieser Auswertung jederzeit widersprechen: in den Einstellungen der Anwendung unter „Auswertung der Nutzung“. Für dein Konto wird dann nichts mehr gezählt, und die bis dahin gezählten Stände werden gelöscht. Die gezählten Stände werden im Übrigen nach 24 Monaten gelöscht, spätestens mit deinem Konto.

Demo mit Beispieldaten

Die Vorführung arbeitet mit einem synthetisch erzeugten Portfolio. Es werden keine echten Depotdaten benötigt oder verarbeitet, und im Demo-Modus werden keine Daten gespeichert — Eingaben und Importe bleiben ohne Wirkung.

Speicherdauer und Löschung

Konto- und Portfoliodaten werden gespeichert, bis du dein Konto löschst. Eine automatische Löschung nach Inaktivität findet derzeit nicht statt. Die Löschung lässt sich in den Einstellungen anstoßen und erfolgt in zwei Stufen: Nach dem Anstoßen bleiben 30 Tage Bedenkzeit, in denen sich der Vorgang folgenlos zurücknehmen lässt und das Konto normal nutzbar bleibt. Nach Ablauf werden Zugang, Buchungen, hochgeladene Dateien, Einstellungen und deren Vorgängerversionen vollständig und unwiderruflich entfernt; ein täglicher automatischer Lauf führt das aus. Nicht betroffen sind Kursdaten zu Wertpapieren: sie werden ohne Personenbezug gespeichert und gelten für alle Nutzer gemeinsam.