Tradoloom

Datenschutzerklärung – Tradoloom

Version 3.0 · Stand: 14. Oktober 2026

1. Verantwortlicher

Denis Erk – Tradoloom, c/o POSTFLEX PFX-948-380, Emsdettener Straße 10, 48268 Greven, E-Mail [email protected] (weitere Angaben im Impressum). Einen Datenschutzbeauftragten haben wir nicht bestellt, weil keine Pflicht dazu besteht.

2. Wofür diese Erklärung gilt

Für die Website tradoloom.com, die Web-App app.tradoloom.com, die iPhone-App „Tradoloom“ und den Newsletter „Der Plan-Check“.

Einige der hier beschriebenen Funktionen führen wir erst noch ein: die zusätzliche Statistik mit Einwilligung auf der Website (Abschnitt 3), die Speicherung von Kampagnen-Kennungen an deinem Konto (Abschnitt 3), die Newsletter-Anmeldung mit Cloudflare Turnstile (Abschnitte 8 und 11) und den Kauf im Web über Stripe (Abschnitte 7 und 12). Bis zu ihrer Einführung findet die jeweilige Verarbeitung nicht statt.

3. Besuch der Website

  • Hosting: Website und App laufen bei DigitalOcean, LLC im Rechenzentrum Frankfurt am Main.
  • Cloudflare: Alle Aufrufe laufen über Cloudflare, Inc. (Netzwerk, Schutz vor Angriffen, Zugangsschutz). Dabei verarbeitet Cloudflare technisch notwendige Verbindungsdaten wie IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und Referrer. Rechtsgrundlage: berechtigtes Interesse am sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
  • Server-Protokolle: Unsere Server speichern keine Zugriffsprotokolle mit IP-Adressen. Technische Fehlerprotokolle werden fortlaufend überschrieben und spätestens nach 90 Tagen gelöscht.
  • Empfehlungslinks: Rufst du die Website über einen Empfehlungslink auf (Adresse mit ?ref=CODE), geben wir den Code beim Klick auf „Konto anlegen“ von dieser Seite aus an die Registrierung weiter. Auf deinem Gerät speichern wir dafür nichts (kein Cookie).
  • Reichweitenmessung ohne Einwilligung (serverseitig): Wenn du eine Seite aufrufst oder auf „Konto anlegen“, den App-Store-Link oder den Vorlagen-Download klickst, meldet unser Server das an unsere selbst betriebene Statistik-Software Umami (auf unserem Server bei DigitalOcean in Frankfurt am Main). Dabei läuft kein Skript in deinem Browser und wir speichern nichts auf deinem Gerät. Übermittelt werden aufgerufene Seite, Sprache, verweisende Website (nur die Domain), Kampagnen-Kennungen (UTM), der Browser-Kennzeichner (User-Agent) und deine IP-Adresse nur gekürzt (IPv4 auf die ersten drei Blöcke, IPv6 auf die ersten 48 Bit). Umami bildet daraus eine Besuchskennung; der Wert, aus dem sie entsteht, wechselt täglich, und Besuche an verschiedenen Tagen verknüpfen wir darüber nicht. Daraus entstehen Zahlen wie Besuche je Seite, Kanal, Land und Gerätetyp. Bekannte Bots zählen wir nicht. Rechtsgrundlage: berechtigtes Interesse an einer bedarfsgerechten Website (Art. 6 Abs. 1 lit. f DSGVO). Sendet dein Browser ein „Global Privacy Control“- oder „Do Not Track“-Signal, zählen wir deine Aufrufe nicht. Speicherdauer: 24 Monate, danach nur Summen. Widerspruch: Abschnitt 13a.
  • Zusätzliche Statistik nur mit Einwilligung: Unten auf der Seite fragen wir (Textversion stat-2026-10-v1): „Darf Tradoloom zusätzlich messen, wie weit du scrollst, wie lange du bleibst und wie groß dein Bildschirm ist? Das hilft uns, die Website und den Weg zum Konto zu verbessern. Dafür speichern wir eine zufällige Kennung in deinem Browser (6 Monate). Legst du danach ein Konto an und stimmst dort erneut zu, verbinden wir die Messung mit deinem Konto. Ohne Zustimmung zählen wir nur Seitenaufrufe – ohne dauerhafte Kennung und ohne Speicherung auf deinem Gerät. Du kannst deine Wahl jederzeit unter ‚Statistik-Einstellungen' unten auf jeder Seite ändern.“ Erlaubst du, speichern wir in deinem Browser die Wahl (tl_consent) und eine zufällige Kennung (tl_vid), jeweils 6 Monate, und laden das Umami-Skript von unserer eigenen Domain. Es misst nur Scrolltiefe, Verweildauer und Bildschirmgröße (in groben Stufen). Die Meldungen laufen über unseren Server an Umami; deine IP-Adresse geben wir dabei nur gekürzt weiter. Legst du danach ein Konto an, geben wir der Registrierung einen 10 Minuten gültigen Einmal-Code mit; nur wenn du dort erneut zustimmst, verbinden wir diese Website-Statistik mit deinem Konto, deinen Käufen und deiner App-Nutzung. Rechtsgrundlage: Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Lehnst du ab, speichern wir nur die Ablehnung (tl_consent=nein), ohne Kennung. Nachweis: Jede Wahl protokollieren wir mit Kennung (falls vorhanden), Wahl, Textversion, Zeitpunkt, Seite und Sprache – ohne IP-Adresse und Browserkennung (berechtigtes Interesse am Nachweis der Einwilligung, Art. 7 Abs. 1, Art. 6 Abs. 1 lit. f DSGVO). Widerruf: jederzeit über „Statistik-Einstellungen“ unten auf jeder Seite, so einfach wie die Zustimmung. Dann löschen wir die Kennung in deinem Browser sofort und die damit verbundenen Rohdaten in Umami innerhalb von 24 Stunden; übrig bleiben nur Summen ohne Kennung. Der Widerruf selbst wird protokolliert (Nachweis).
  • Keine Werbe-Tracker: Pixel von Werbeplattformen (z. B. Meta, TikTok, Google) setzen wir nicht ein.
  • Bot-Schutz: Das Newsletter-Formular nutzt Cloudflare Turnstile (Abschnitt 8).
  • Kampagnen-Kennungen (UTM): Kommst du über einen Link mit Kampagnen-Kennung (z. B. utm_source=instagram) auf die Website, geben wir diese Kennung beim Klick auf „Konto anlegen“ an die Registrierung weiter und speichern sie an deinem Konto, um zu sehen, welche Kanäle zu Registrierungen führen. Ohne Kennung vermerken wir nur die Seite, von der aus du dich registrierst. Auf deinem Gerät speichern wir dafür nichts. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f).

4. Welche Daten wir im Dienst verarbeiten

  • Konto: E-Mail-Adresse, Name (optional), Passwort (nur als bcrypt-Hash; entfällt, wenn du dich nur mit Apple oder Google anmeldest), ob und wann du deine E-Mail-Adresse bestätigt hast.
  • Anmeldung mit Apple oder Google: die Kennung des Anbieters, die übermittelte E-Mail-Adresse (bei Apple ggf. eine Weiterleitungsadresse), bei Apple einmalig dein Name, Zeitpunkt der Verknüpfung und der letzten Anmeldung.
  • Zwei-Faktor: geheimer Schlüssel deiner Authenticator-App (verschlüsselt, Schlüssel getrennt von der Datenbank), zuletzt verwendeter Zeitabschnitt, Backup-Codes (nur als Hash).
  • Passkeys: öffentlicher Schlüssel und Kennung, von dir vergebener Name, Synchronisierung ja/nein, Nutzungszähler, Zeitpunkte. Private Schlüssel und biometrische Daten erhalten wir nie.
  • Trading-Daten: Trades, Ausführungen, Konten, Notizen, Bewertungen, Chart-Screenshots, Strategien mit Beschreibung, Regeln und Tageslimits.
  • Journal- und Emotionsdaten: Journal-Felder, Emotionen vor, während und nach Trades, Tages-Check-in (Energie, Ruhe, Fokus, Plan), Tagesnotizen (auch Notizen zu Tagen ohne Trades).
  • Sprachnotizen: Die Aufnahme geht zur Umwandlung in Text an den Spracherkennungsdienst (Abschnitt 6) und wird danach nicht gespeichert; gespeichert wird das Transkript.
  • Tradovate-Anbindung: Zugangsdaten speichert nur die iPhone-App im Schlüsselbund deines Geräts; uns erreichen nur Orders-Berichte und Kontonamen.
  • iPhone-App und Benachrichtigungen: Gerätemodell, Plattform, Zeitpunkte der Anmeldung und letzten Nutzung, Push-Kennung, Einstellungen für Benachrichtigungen (Arten, Uhrzeiten, Wochentage, Zeitzone), Protokoll versendeter Benachrichtigungen (Art und Zeitpunkt, ohne Inhalt).
  • Käufe in der iPhone-App: siehe Abschnitt 10.
  • Nutzungs- und Abo-Ereignisse: siehe Abschnitt 10a.
  • Sicherheitsprotokoll: Anmeldungen (auch fehlgeschlagene), Passwort-, Konto- und Admin-Änderungen, Änderungen an Anmeldewegen, jeweils mit Zeitpunkt, IP-Adresse und Browserkennung.
  • Missbrauchsschutz: Zähler für Anmelde-, Code- und Mailversuche je Konto bzw. IP-Adresse (nur als Hash).

Hinweis zu sensiblen Angaben: Emotionen, Check-in und freie Notizen können Rückschlüsse auf dein Befinden zulassen. Schreib in Notizen und Sprachnotizen nur, was du verarbeitet haben möchtest, und nichts über andere Personen.

Pflicht oder freiwillig? Für ein Konto brauchen wir deine E-Mail-Adresse und eine Anmeldemöglichkeit (Passwort, Apple, Google oder Passkey); ohne sie können wir kein Konto anlegen. Alle Journal-, Emotions- und Check-in-Angaben, Notizen, Sprachnotizen und Screenshots sind freiwillig; ohne sie stehen nur die entsprechenden Auswertungen nicht zur Verfügung. Die KI-Funktionen kannst du abschalten. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht.

5. Zwecke und Rechtsgrundlagen

  • Bereitstellung von Tradoloom einschließlich der Anmeldewege, KI-Auswertungen, Spracherkennung, Benachrichtigungen und Transaktionsmails – Vertrag (Art. 6 Abs. 1 lit. b DSGVO).
  • Abwicklung von Käufen im Web über Stripe und in der iPhone-App über Apple – Vertrag (lit. b); Aufbewahrung von Rechnungen und Buchungsbelegen – rechtliche Verpflichtung (lit. c i. V. m. § 147 AO, § 257 HGB); Nachvollziehen von Erstattungen und Verhindern missbräuchlicher Zuordnung nach einer Kontolöschung – berechtigtes Interesse (lit. f).
  • Sicherheit, Missbrauchsabwehr, Fehlerdiagnose (Sicherheitsprotokoll, Rate-Limits, Bot-Schutz, Hinweismails bei sicherheitsrelevanten Änderungen) – berechtigtes Interesse am sicheren Betrieb (lit. f); der Zugriff auf Browserinformationen für Turnstile ist für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
  • Nachweis erfüllter Löschanträge – rechtliche Verpflichtung (lit. c i. V. m. Art. 5 Abs. 2, Art. 17 DSGVO).
  • Newsletter – deine Einwilligung (lit. a); Messung von Öffnungen und Klicks nur mit gesonderter Einwilligung (§ 25 Abs. 1 TDDDG, lit. a); Nachweis der Einwilligung und Abmeldevermerk – berechtigtes Interesse (lit. f).

6. KI-Funktionen und Anbieter

Für die KI-Funktionen verarbeiten spezialisierte Anbieter Daten in unserem Auftrag. Deine Kontodaten – Name, E-Mail-Adresse, Kontonamen und Broker-Zugangsdaten – übermitteln wir nicht als eigene Angaben; stehen sie in deinen Notizen, Sprachnotizen oder Screenshots, gehen sie mit diesen Inhalten an den Anbieter.

  • Spracherkennung (Sprachnotiz → Text): Audioaufnahme an Mistral AI SAS, Paris (Verarbeitung in der EU); nur bei einer Störung ersatzweise an Groq, Inc., USA.
  • Journal automatisch ausfüllen (aus Sprachnotiz oder Check-in): Transkript an Mistral AI SAS (EU).
  • Auswertungen, KI-Coach und KI-Chat (Trade, Tag, Woche, Monat, Emotionen, Muster): an Anthropic, PBC, USA. Übermittelt werden Kennzahlen zu deinen Trades, Journal- und Emotionsfelder, dein Tages-Check-in (Energie, Ruhe, Fokus und dein Plan für den Tag, ggf. als Transkript), deine Notizen, Tagesnotizen und Transkripte, deine Strategien mit Name, Beschreibung, Regeln und Tageslimits und – falls vorhanden – Chart-Screenshots.

Nach Angaben der Anbieter werden diese Daten nicht zum Training ihrer Modelle verwendet; bei Mistral haben wir die Nutzung für das Training in unserem Konto ausgeschaltet. Zur Missbrauchserkennung speichern die Anbieter sie: bei Mistral bis zu 30 Tage, bei Anthropic bis zu 30 Tage – bei Verdacht auf einen Verstoß gegen Anthropics Nutzungsrichtlinien bis zu 2 Jahre –, bei Groq standardmäßig nicht.

Du kannst die KI-Verarbeitung in den Einstellungen jederzeit abschalten: Dann gehen keine Daten mehr an Anthropic und das Journal wird nicht mehr automatisch ausgefüllt. Die Spracherkennung läuft weiter, solange du selbst Sprachnotizen aufnimmst.

7. Weitere Dienstleister

  • DigitalOcean, LLC – Hosting von Website, App und Datenbank in Frankfurt am Main, inklusive Server-Sicherungen.
  • Cloudflare, Inc. – Netzwerk, Schutz vor Angriffen, Zugangsschutz der App-Schnittstelle; Cloudflare R2 speichert hochgeladene Bilder (z. B. Chart-Screenshots), abrufbar über einen nicht erratbaren Link.
  • Cloudflare Turnstile – Bot-Schutz bei Anmeldung, Registrierung, „Passwort vergessen“ und beim Newsletter-Formular (Abschnitt 8).
  • Brevo (Sendinblue GmbH, Berlin) – Versand von Transaktions- und Sicherheitsmails sowie des Newsletters.
  • 650 Industries, Inc. (Expo) – Zustellung von Push-Nachrichten und Auslieferung von App-Updates.
  • Stripe Payments Europe, Ltd. (Dublin, Irland) – Zahlungsabwicklung bei Käufen im Web. Stripe verarbeitet dabei Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsmittel-Daten, IP-Adresse und Geräteinformationen. Kartendaten und Bankverbindungen verarbeitet ausschließlich Stripe; wir erhalten nur eine Kunden- und Abo-Kennung, Zahlungsstatus, Rechnungen und ggf. Kartentyp und letzte vier Ziffern. Für die Zahlungsabwicklung handelt Stripe teils in unserem Auftrag, teils in eigener Verantwortung, insbesondere für Betrugsprävention, Geldwäscheprüfung und eigene gesetzliche Pflichten. Datenschutzerklärung von Stripe: stripe.com/de/privacy.
  • Apple und Google verarbeiten die Anmeldung „Mit Apple/Google anmelden“ in eigener Verantwortung; Apple außerdem Käufe im App Store (Abschnitt 10).

8. Cloudflare Turnstile

Turnstile prüft im Browser, ob ein Mensch das Formular nutzt. Dafür verarbeitet Cloudflare deine IP-Adresse, Browser- und Geräteinformationen sowie Angaben zur Interaktion mit der Seite – in unserem Auftrag zum Schutz von Tradoloom und nach eigenen Angaben in eigener Verantwortung zur Verbesserung seiner Bot-Erkennung, nicht für Werbung. Wir erhalten nur das Prüfergebnis mit technischen Angaben und speichern davon nichts. Mehr: Datenschutzhinweis von Cloudflare zu Turnstile.

9. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA. Grundlage der Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) aus den Auftragsverarbeitungsverträgen der Anbieter. Ist ein Anbieter nach dem EU-US Data Privacy Framework zertifiziert (z. B. Stripe für die Übermittlung an Stripe, LLC), stützt sich die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); für nicht zertifizierte Anbieter wie Anthropic und Groq gelten allein die Standardvertragsklauseln. Eine Kopie der Garantien erhältst du auf Anfrage an [email protected].

10. Käufe in der iPhone-App

Abos in der iPhone-App verkauft Apple über den App Store; Zahlungsdaten erhält nur Apple, Belege stellt Apple aus. Beim Kauf geben wir Apple eine zufällige Kennung deines Tradoloom-Kontos mit, damit wir den Kauf deinem Konto zuordnen können. Von Apple erhalten wir über die App Store Server API und Apples Server-Benachrichtigungen Angaben zum Kauf: Produkt (Paket und Laufzeit), ursprüngliche Transaktions-ID, Ablaufdatum, ob eine Probezeit lief, ob die automatische Verlängerung an ist, Nachfrist, Erstattung oder Widerruf. Name, Apple-ID und Zahlungsdaten erhalten wir nicht. Apple verarbeitet Kaufdaten in eigener Verantwortung nach der Datenschutzrichtlinie von Apple.

10a. Nutzungs- und Abo-Ereignisse

  • Zahlungsjournal: Für jedes Abo speichern wir die Ereignisse rund um Kauf und Abrechnung (z. B. Probezeit begonnen, gekauft, verlängert, Paket gewechselt, gekündigt, erstattet, Zahlung fehlgeschlagen) mit Zeitpunkt, Paket, Betrag und Währung sowie der Transaktions- bzw. Rechnungskennung von Apple oder Stripe. Zweck: Abrechnung, Zugang, Nachvollziehen von Erstattungen und die Abrechnung von Partnerprovisionen. Rechtsgrundlage: Vertrag (lit. b) und berechtigtes Interesse (lit. f). Speicherdauer: 3 Jahre, danach nur Summen; gesetzliche Aufbewahrung von Buchungsbelegen bleibt unberührt (Abschnitt 12).
  • Produkt-Ereignisse: Um Tradoloom zu verbessern, erfassen wir auf unserem Server einzelne Schritte der Nutzung, z. B. Registrierung (mit Kampagnen-Kennung und Anmeldeweg), Freischaltung, erster Import, erster Journal-Eintrag, erste KI-Auswertung, erreichte Grenzen, Wechsel in den Lese-Modus, Aufruf der Bezahlseite und Kaufversuche bzw. -abbrüche in der App oder im Web (mit technischem Fehlercode). Gespeichert werden diese Ereignisse mit einer pseudonymen Kennung deines Kontos – ohne Namen, E-Mail-Adresse, IP-Adresse oder Freitexte. Rechtsgrundlage: berechtigtes Interesse an der Verbesserung des Angebots (lit. f). Speicherdauer: 24 Monate, danach nur Summen.
  • Bei Kontolöschung anonymisieren wir diese Ereignisse: Die Verbindung zu deinem Konto, Transaktionskennungen, Empfehlungscodes und genaue Zeitpunkte werden entfernt bzw. auf die Kalenderwoche vergröbert.
  • Den Produkt-Ereignissen kannst du jederzeit widersprechen (Abschnitt 13a).

11. Newsletter „Der Plan-Check“

Wenn du dich anmeldest, verarbeiten wir deine E-Mail-Adresse, um dir alle zwei Wochen den Newsletter zu schicken (Themen rund um Trading-Plan, Regeln, Emotionen und Journal sowie Hinweise auf Funktionen und Angebote von Tradoloom). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Die Anmeldung läuft im Double-Opt-In: Du bekommst eine Mail mit Bestätigungslink; erst nach dem Klick erhältst du den Newsletter. Zum Nachweis speichern wir Zeitpunkt von Anmeldung und Bestätigung, das Formular und die Version des Einwilligungstextes.

Messung von Öffnungen und Klicks (nur mit deiner Einwilligung): Setzt du bei der Anmeldung das optionale Häkchen, erfassen wir über Brevo mit Zählpixeln und personalisierten Links, ob und wann du den Newsletter öffnest und welche Links du wann anklickst, und ordnen das deiner E-Mail-Adresse zu, um Inhalte und Versandzeit zu verbessern (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Brevo speichert, ob, wann und über welches Formular du eingewilligt hast. Du kannst die Einwilligung jederzeit für die Zukunft widerrufen – über „Nicht mehr messen“ in jeder Newsletter-Mail oder per E-Mail an [email protected]; den Newsletter bekommst du dann weiter. Ohne diese Einwilligung messen wir weder Öffnungen noch Klicks.

Abmeldung: jederzeit über den Link in jeder Mail. Konto und Probezeit hängen nicht vom Newsletter ab; Systemmails (z. B. Passwort zurücksetzen) bekommst du unabhängig davon.

12. Speicherdauer

  • Konto- und Trading-Daten: bis zur Löschung deines Kontos.
  • Kontolöschung: Nach deiner Bestätigung (Code per Mail) bzw. nach einer Löschung durch den Support wird das Konto 3 Tage gesperrt und danach mit seinen Inhalten gelöscht; in dieser Frist kannst du stornieren und exportieren. Ausgenommen sind die in diesem Abschnitt genannten Restbestände (Sicherungen, Sicherheitsprotokoll, Löschnachweis, Kaufdaten), die bis zu den jeweiligen Fristen erhalten bleiben; „ohne Bezug zu deinem Konto“ heißt dabei nicht anonym, sondern ohne Verknüpfung mit deinem gelöschten Konto.
  • Server-Sicherungen: Gelöschte Daten können noch in Sicherungen enthalten sein, bis diese turnusmäßig überschrieben werden, spätestens nach 37 Tagen (Sicherungen vor Datenbank-Änderungen und die täglichen Sicherungen der Website-Statistik löschen wir nach 30 Tagen, die Server-Sicherungen werden nach 7 Tagen überschrieben). Das gilt auch für Statistik-Rohdaten nach einem Widerruf (Abschnitt 3).
  • Sicherheitsprotokoll: IP-Adresse und Browserkennung werden nach 12 Monaten entfernt, die übrigen Einträge (Art und Zeitpunkt) nach 3 Jahren gelöscht. Nach einer Kontolöschung bleiben sie bis zu diesen Fristen ohne Bezug zu deinem Konto erhalten.
  • Löschnachweis: Zeitpunkt und E-Mail-Adresse einer Kontolöschung; die E-Mail-Adresse wird nach 3 Jahren entfernt.
  • Bestätigungscodes und Links: nur als Hash, 15 Minuten bis 24 Stunden gültig, danach gelöscht.
  • Einmal-Prüfnummern der Anmeldung: 5 bis 15 Minuten gültig, einen Tag nach Ablauf gelöscht.
  • Apple-/Google-Verknüpfung, Zwei-Faktor, Backup-Codes, Passkeys: bis du sie trennst, ausschaltest bzw. entfernst, spätestens bis zur Kontolöschung.
  • Einwilligungsnachweis Statistik (Abschnitt 3): bis zum Ende des dritten Kalenderjahres nach Ende der Einwilligung, dann gelöscht (monatsweise, spätestens nach rund 5 Jahren).
  • Zähler des Missbrauchsschutzes: höchstens eine Stunde wirksam, spätestens einen Tag nach Ende des Zählfensters gelöscht.
  • Anmeldungen der iPhone-App: enden nach 60 Tagen ohne Nutzung, spätestens nach 12 Monaten; 30 Tage danach gelöscht samt Push-Kennung und Benachrichtigungs-Einstellungen. Protokoll versendeter Benachrichtigungen: 30 Tage.
  • Käufe in der iPhone-App: Abo-Datensatz bis zur Kontolöschung; Benachrichtigungen von Apple (Rohdaten) 90 Tage nach Verarbeitung. Nach einer Kontolöschung bleibt der Abo-Datensatz ohne Bezug zu deinem Konto (nur Apples Transaktions-ID, Produkt, Daten, Erstattungsstatus) bis 13 Monate nach Kontolöschung bzw. Laufzeitende (das Spätere) erhalten.
  • Transaktions- und Sicherheitsmails: Versandprotokolle löscht Brevo nach einem Monat; die Inhalte versendeter Mails speichern weder wir noch Brevo.
  • Newsletter: E-Mail-Adresse bis zur Abmeldung; unbestätigte Anmeldungen nach 30 Tagen (der Bestätigungslink verfällt gleichzeitig); Einwilligungsnachweis für die Dauer des Abos und danach bis zum Ende des dritten Kalenderjahres nach der Abmeldung, bei einem Rechtsstreit bis zu dessen Abschluss; nach einer Abmeldung bleibt deine E-Mail-Adresse bei Brevo mit einem Abmeldevermerk gespeichert, damit wir dir keinen Newsletter mehr schicken; wir prüfen jährlich, ob das noch nötig ist.
  • Käufe im Web: Abo-Daten bis zur Kontolöschung; Rechnungen und Buchungsbelege 8 Jahre, Handels- und Geschäftsbriefe 6 Jahre, jeweils ab Ende des Kalenderjahres (§ 147 AO, § 257 HGB); bei Stripe nach dessen Fristen.
  • Newsletter-Messdaten (Öffnungen, Klicks): bis zum Widerruf der Messeinwilligung bzw. bis zur Abmeldung; danach erheben wir keine neuen Messdaten und löschen die vorhandenen. Beziehst du den Newsletter weiter, bleibt dein Kontakt dafür gespeichert.
  • Hochgeladene Bilder in R2: bis zur Löschung des Trades bzw. deines Kontos.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

13. Deine Rechte

  • Auskunft (Art. 15) und Datenübertragbarkeit (Art. 20) – in der App unter Einstellungen → Datenschutz → Export (JSON).
  • Berichtigung (Art. 16) – direkt in der App.
  • Löschung (Art. 17) – Einstellungen → Datenschutz → Konto löschen.
  • Einschränkung (Art. 18) und Widerspruch (Art. 21), insbesondere gegen Verarbeitungen auf Grundlage berechtigter Interessen; die KI-Verarbeitung kannst du in den Einstellungen abschalten.
  • Widerruf von Einwilligungen (Art. 7 Abs. 3) jederzeit mit Wirkung für die Zukunft (Newsletter, Messung); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
  • Für alle Anliegen genügt eine E-Mail an [email protected]; die Funktionen in der App sind nur ein zusätzlicher Weg.
  • Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77), z. B. bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

13a. Dein Widerspruchsrecht (Art. 21 DSGVO)

Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Website-Statistik und Produkt-Ereignisse (Abschnitte 3 und 10a): Hier brauchst du keine Begründung. Eine formlose E-Mail an [email protected] genügt. Danach erfassen wir für dein Konto keine weiteren Ereignisse; bereits erfasste löschen wir bzw. trennen sie von deinem Konto. Die Website-Statistik ohne Einwilligung nutzt keine dauerhafte Kennung, deshalb können wir dir einzelne Besuche nicht zuordnen. Damit deine Aufrufe gar nicht erst gezählt werden, aktiviere in deinem Browser „Global Privacy Control“ oder „Do Not Track“ (Abschnitt 3).

Die Interessenabwägung stellen wir dir auf Anfrage zur Verfügung.

14. Cookies und lokale Speicherung

  • Web-App: technisch notwendiges Session-Cookie für die Anmeldung (httpOnly, Secure, SameSite=Lax; 24 Stunden bzw. 30 Tage mit „Angemeldet bleiben“), während einer Anmeldung mit Apple oder Google zwei kurzlebige Cookies für den Rücksprung (höchstens 10 Minuten).
  • Website: keine Cookies; nur wenn du im Hinweisfenster „Statistik“ zustimmst bzw. ablehnst, tl_consent und bei Zustimmung tl_vid (je 6 Monate, Abschnitt 3).
  • Turnstile läuft in einem eingebetteten Fenster von Cloudflare und setzt nach Angaben von Cloudflare keine Cookies für Werbung oder Analyse.
  • Die gewählte Darstellung (hell/dunkel) liegt im Speicher deines Browsers.
  • Keine Werbe-Tracker. Die Reichweitenmessung (Abschnitt 3) kommt ohne Cookies aus; Statistik-Cookies nur mit Einwilligung. In der iPhone-App gibt es keine Cookies; die Anmeldung läuft über einen Schlüssel im iOS-Schlüsselbund. Die App enthält keine Analyse-, Werbe- oder Tracking-Werkzeuge und nutzt keine Werbe-ID.

15. Die iPhone-App im Einzelnen

  • Auf deinem Gerät (iOS-Schlüsselbund, verschlüsselt, bleibt auf diesem iPhone und wird nicht auf andere Geräte übertragen): dein Anmeldeschlüssel für Tradoloom, die Tradovate-Zugangsdaten, die Einstellung der App-Sperre und der Stand des letzten Tradovate-Abgleichs.
  • Mikrofon: nur während du eine Sprachnotiz aufnimmst. Die Aufnahme geht zur Umwandlung in Text an den Spracherkennungsdienst (Abschnitt 6) und wird danach nicht gespeichert.
  • Face ID / Touch ID: Die App-Sperre und Passkeys nutzen die Entsperrfunktion von iOS. Tradoloom erhält keine biometrischen Daten, nur die Antwort „entsperrt“ oder „nicht entsperrt“ bzw. die Signatur des Passkeys.
  • Passkeys: Passkeys für Tradoloom gelten für die Adresse tradoloom.com und werden – wenn du das in iOS so eingestellt hast – über deinen iCloud-Schlüsselbund mit deinen anderen Apple-Geräten synchronisiert. Dafür ist Apple verantwortlich; wir erhalten keinen privaten Schlüssel, sondern nur den öffentlichen Schlüssel, Anmelde-Nachweise und die in Abschnitt 4 genannten Angaben.
  • Tradovate: Die App meldet sich direkt bei der Tradovate, LLC (USA) an und ruft dort deine Orders ab. Dafür gilt die Datenschutzerklärung von Tradovate. Unsere Server sind an der Anmeldung nicht beteiligt.
  • Benachrichtigungen: Für Push-Nachrichten geben wir die Push-Kennung deines Geräts und den Text der Nachricht (z. B. „Auswertung fertig“, „3 Trades warten aufs Journal“, bei Tageslimits der Name der Strategie) an den Push-Dienst von Expo weiter; Expo leitet sie an den Apple Push Notification Service weiter. Du kannst jede Art einzeln und alle zusammen in der App unter Konto → Benachrichtigungen ausschalten; ohne deine Erlaubnis in iOS werden keine Nachrichten zugestellt.
  • Abend-Check (nur wenn eingeschaltet): Zu einer täglich zufälligen Zeit um deine gewählte Uhrzeit schicken wir eine stille Nachricht, die die App im Hintergrund kurz startet. Sie gleicht dann deine Trades mit Tradovate ab. Danach prüfen wir, ob es heute Trades ohne Journal-Eintrag gibt bzw. ob du heute gar nicht getradet hast, und schicken dir dazu ggf. eine Nachricht.
  • App-Updates: Die App lädt Aktualisierungen von den Servern von Expo. Dabei verarbeitet Expo technisch notwendige Daten wie IP-Adresse, App-Version und Gerätetyp.
  • Kein Tracking: Die App enthält keine Analyse-, Werbe- oder Tracking-Werkzeuge und nutzt keine Werbe-ID.

16. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Tradoloom oder die Rechtslage ändert. Bei wesentlichen Änderungen informieren wir dich in der App oder per E-Mail.