Datenschutzerklärung

1. Einleitung

Diese Datenschutzerklärung beschreibt, wie naroc („wir", „unser", „uns") personenbezogene Daten während dieser geschlossenen Beta-Phase erhebt, verwendet und schützt. naroc wird derzeit von einer Privatperson betrieben, nicht von einem eingetragenen Unternehmen — Angaben zum Betreiber finden Sie im Impressum.

2. Verantwortlicher

Verantwortlicher für naroc im Sinne der Datenschutzgesetze ist die im Impressum genannte Privatperson. Sobald naroc von einem eingetragenen Unternehmen (z. B. einer GmbH) betrieben wird, wird dieser Abschnitt sowie das Impressum stattdessen dieses Unternehmen als Verantwortlichen ausweisen.

3. Welche Daten wir verarbeiten

Kontodaten

• Name und E-Mail-Adresse
• Passwort (gespeichert als Hash, niemals im Klartext)
• Kontoeinstellungen, Watchlists und beobachtete Unternehmen

Authentifizierungs- und Sicherheitsdaten

• Authentifizierungs-Sitzungskennung
• Vertrauenswürdiges-Gerät-Token, sofern Sie ein Gerät als vertrauenswürdig markieren
• Anmeldeverlauf, einschließlich IP-Adresse und Browser-/Geräteinformationen, zu Sicherheitszwecken
• Zwei-Faktor-Authentifizierungscodes (2FA) und Passwort-Reset-Token, gespeichert als Hash
• Ein pseudonymisiertes administratives Prüfprotokoll (Audit-Trail) sicherheitsrelevanter Maßnahmen (z. B. Kontosperrung), das ausschließlich über eine Konto-ID und niemals über Name oder E-Mail-Adresse identifiziert

Anwendungs- und Sicherheitsprotokolle

Die Serverkomponenten von naroc erzeugen technische Anwendungsprotokolle, die dem Betrieb, der Fehlerbehebung und der Absicherung des Dienstes dienen (z. B. fehlgeschlagene Anmeldeversuche oder Rate-Limit-Ereignisse). Diese Protokolle können für begrenzte Zeit Ihre IP-Adresse enthalten. Die Verarbeitung erfolgt ausschließlich innerhalb der eigenen Hosting-Infrastruktur von naroc (siehe Abschnitt 7) und wird nicht an einen externen Protokollierungs- oder Monitoring-Dienst weitergegeben.

4. Cookies

naroc verwendet ausschließlich die folgenden technisch notwendigen bzw. funktionalen Cookies. Wir setzen keine Analyse-, Werbe- oder Tracking-Cookies ein und zeigen keinen Cookie-Consent-Banner an, da keine nicht notwendigen Cookies gesetzt werden.

• naroc_auth — hält Sie angemeldet (Sitzungscookie)
• naroc-td — erkennt ein vertrauenswürdiges Gerät, damit nicht bei jeder Anmeldung ein 2FA-Code erforderlich ist
• .AspNetCore.Culture — speichert Ihre Sprachpräferenz (Deutsch/Englisch)

5. Speicherdauer

• Sitzungen: laufen nach 30 Minuten Inaktivität ab, spätestens jedoch nach 30 Tagen
• Vertrauenswürdige Geräte: laufen nach 30 Tagen ab
• Anmeldeverlauf: wird 365 Tage gespeichert
• E-Mail-Verifizierung/2FA-Codes: laufen nach 5 Minuten ab
• Passwort-Reset-Token: laufen kurz nach Ausstellung oder Verwendung ab
• Administratives Prüfprotokoll: wird 180 Tage gespeichert
• Anwendungsprotokolle: die Konsolenausgabe wird vom Betriebssystem des Servers erfasst; die dateibasierten Protokolle des Hintergrunddienstes werden nach 30 Tagen rotiert

Die Speicherdauer für Konto-, Watchlist- und Präferenzdaten ist derzeit noch nicht formal festgelegt und wird im Rahmen der laufenden Betreiberrichtlinien bestimmt.

6. Versand von E-Mails

naroc versendet kontobezogene E-Mails (z. B. Verifizierungscodes, Passwort-Zurücksetzungen und Benachrichtigungen) per SMTP über STRATO, die auch das Hosting der naroc-Plattform bereitstellt. Ein anderer E-Mail-Dienst wird für den Versand dieser E-Mails derzeit nicht genutzt.

7. Hosting

naroc wird auf einem Server der STRATO GmbH gehostet, der innerhalb der Europäischen Union liegt. STRATO stellt auch den in Abschnitt 6 beschriebenen ausgehenden E-Mail-Versand von naroc bereit.

8. Marktdaten-Anbieter

naroc nutzt Twelve Data zum Abruf von Marktdaten (z. B. Kurse und Fundamentaldaten) sowie OpenFIGI zum Abruf von Instrumentenkennungen. Beides sind einseitige, lesende Integrationen: naroc fragt Daten bei diesen Anbietern ab und erhält Daten zurück. naroc übermittelt weder Ihren Namen noch Ihre E-Mail-Adresse, Kontoinformationen oder andere personenbezogene Daten an Twelve Data oder OpenFIGI.

9. Zahlungen

naroc verarbeitet derzeit keine Zahlungen. Eine Zahlungsfunktion ist für die Zeit nach der Beta-Phase geplant und wird dann über Stripe abgewickelt. Stripe ist derzeit weder integriert noch aktiv, und es werden derzeit keine Zahlungsdaten erhoben oder übermittelt.

10. Backups

naroc nutzt derzeit keinen separaten Backup-Anbieter und unterhält keinen etablierten Backup-Dienst. Eine Backup-Infrastruktur wird im Rahmen der laufenden Infrastrukturplanung des Betreibers geprüft und eingerichtet.

11. Auftragsverarbeiter

naroc setzt folgende Kategorien von Auftragsverarbeitern zum Betrieb des Dienstes ein. Details zu jedem finden Sie im jeweils genannten Abschnitt oben.

• E-Mail-Versand: STRATO (siehe Abschnitt 6)
• Hosting: STRATO (siehe Abschnitt 7)
• Zahlungsdienstleister Stripe — ausschließlich für eine künftige, kostenpflichtige Funktion nach der Beta-Phase vorgesehen; derzeit weder integriert noch aktiv (siehe Abschnitt 9)

Ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) mit STRATO wird im Rahmen der rechtlichen Prüfung geprüft und, sofern noch nicht vorhanden, abgeschlossen, bevor externe Beta-Nutzer eingeladen werden. Eine gesonderte Vereinbarung mit Stripe wird getroffen, sobald eine kostenpflichtige Funktion eingeführt wird.

12. Internationale Datenübermittlung

Die Hosting- und E-Mail-Infrastruktur von naroc (STRATO) befindet sich innerhalb der Europäischen Union. Twelve Data und OpenFIGI werden ausschließlich zum Abruf von Markt- und Instrumentendaten genutzt; da ihnen keine personenbezogenen Daten übermittelt werden, stellt dies keine internationale Übermittlung personenbezogener Daten dar. naroc übermittelt derzeit keine personenbezogenen Daten außerhalb der EU/des EWR. Sollte sich dies künftig ändern, wird sich naroc auf eine nach der DSGVO anerkannte geeignete Garantie stützen, etwa die EU-Standardvertragsklauseln, und diesen Abschnitt entsprechend aktualisieren.

13. Ihre Rechte

Nach der DSGVO stehen Ihnen bezüglich Ihrer personenbezogenen Daten die folgenden Rechte zu. Während dieser Beta-Phase werden Anfragen manuell bearbeitet — kontaktieren Sie uns über die untenstehenden Kontaktdaten; wir antworten innerhalb einer angemessenen Frist.

• Auskunft — Erhalt einer Kopie der über Sie gespeicherten personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung — Korrektur unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung — Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung — Einschränkung der Verarbeitung Ihrer Daten (Art. 18 DSGVO)
• Widerspruch — Widerspruch gegen bestimmte Verarbeitungen Ihrer Daten (Art. 21 DSGVO)
• Datenübertragbarkeit — Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerruf einer Einwilligung — derzeit nicht einschlägig, da naroc keine personenbezogenen Daten auf Grundlage einer Einwilligung verarbeitet
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO)

14. Sicherheitsmaßnahmen

naroc setzt dem Risiko angemessene technische und organisatorische Maßnahmen ein, unter anderem: Passwort-Hashing, jederzeit widerrufbare Sitzungen und vertrauenswürdige Geräte, zugriffsgeschützte administrative Maßnahmen mit Prüfprotokoll, verschlüsselte Übertragung (HTTPS/TLS) sowie die automatische Durchsetzung der oben beschriebenen Speicherfristen.

15. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, etwa um Änderungen an der Anwendung oder ihrer Infrastruktur widerzuspiegeln. Das oben angegebene Datum „Stand“ zeigt an, wann diese Erklärung zuletzt überarbeitet wurde.

16. Kontakt

Für datenschutzbezogene Fragen oder Anliegen kontaktieren Sie uns unter chris@naroc.de.

Diese Erklärung spiegelt den aktuellen Beta-Stand und die bestätigte produktive Architektur von naroc wider und wird überarbeitet, sobald sich die zugrunde liegende Infrastruktur oder die Verarbeitungstätigkeiten ändern.