Rechtliches

Datenschutzerklärung

1. Verantwortlicher

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies für den sicheren Betrieb dieser Website, die Bearbeitung von Anfragen oder die Anbahnung und Durchführung einer Geschäftsbeziehung erforderlich ist. Eine Nutzung zu Werbeprofilen, ein Verkauf personenbezogener Daten oder eine automatisierte Entscheidungsfindung findet nicht statt.

3. Hosting durch STRATO

Diese Website wird bei STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland, gehostet. Im Rahmen des Hostings werden technisch erforderliche Daten verarbeitet, um die Website sicher, stabil und effizient bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb unseres Online-Angebots. Soweit STRATO personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt dies auf Grundlage der Vorgaben des Art. 28 DSGVO.

4. Server-Logfiles

Beim Aufruf der Website werden technisch bedingt insbesondere die angeforderte Seite bzw. Datei, Datum und Uhrzeit des Abrufs, übertragene Datenmenge, Browsertyp und Browserversion, Betriebssystem, Referrer-URL, IP-Adresse bzw. Hostname und der anfragende Provider verarbeitet. Die Verarbeitung dient der Auslieferung der Website, der Stabilität und der IT-Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

STRATO anonymisiert in den für Hosting-Kunden bereitgestellten Logfiles den Hostnamen bzw. die IP-Adresse. Eine anonymisierte IP-Adresse behält nach Angaben von STRATO maximal 24 Stunden ihre Gültigkeit; Logfile-Archive werden im STRATO-Kundenbereich für die letzten sechs Wochen bereitgestellt. Wir verwenden diese Daten nicht zur Erstellung persönlicher Nutzungsprofile und nicht zu Marketingzwecken.

5. Cookies, Webtracking und lokale Speicherung

Wir verwenden keine Drittanbieter-Analyse-, Marketing- oder Profiling-Dienste. Die begrenzte serverseitige Nutzungsauswertung im Mitgliederbereich erläutert Abschnitt 16. Die öffentlich zugänglichen Informationsseiten benötigen keine eigenen Cookies. Beim Aufruf des Mitgliederbereichs wird dagegen das technisch erforderliche Sitzungscookie __Host-mbmi gesetzt. Es enthält einen zufälligen Bezeichner, mit dem der Server Ihre Sitzung zuordnet und Anfragen gegen Missbrauch schützt. Passwörter, Authenticator-Schlüssel und Research-Daten werden nicht im Cookie gespeichert.

Das Cookie wird nur über HTTPS übertragen und ist für JavaScript nicht lesbar. Es ist als Sitzungscookie ohne festes Ablaufdatum angelegt; seine Speicherung richtet sich auch nach der Sitzungswiederherstellung Ihres Browsers. Unabhängig davon endet die serverseitige Gültigkeit nach spätestens 30 Minuten oder 15 Minuten Inaktivität. Beim Abmelden wird das Cookie zum Löschen markiert und die Portal-Sitzung beendet.

Das Speichern und Auslesen dieses Cookies ist für den ausdrücklich aufgerufenen, geschützten Mitgliederbereich erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Die personenbezogene Verarbeitung und ihre Rechtsgrundlagen erläutern wir in Abschnitt 15. Für diese erforderliche Funktion wird keine Tracking-Einwilligung eingeholt. Die Sprachauswahl wird nicht dauerhaft auf Ihrem Endgerät gespeichert. Schriftarten werden lokal ausgeliefert.

6. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten, insbesondere Name, E-Mail-Adresse, Kommunikationsinhalte sowie gegebenenfalls Angaben zu Ihrem Unternehmen und Ihrer Anfrage.

Erfolgt die Kontaktaufnahme zur Anbahnung oder Durchführung eines Vertrags, ist Art. 6 Abs. 1 lit. b DSGVO die Rechtsgrundlage. In sonstigen Fällen erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der sachgerechten Bearbeitung geschäftlicher Anfragen und Kommunikation.

Wir speichern die Daten nur so lange, wie sie für die Bearbeitung der Anfrage oder die Geschäftsbeziehung erforderlich sind. Soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen, werden die betroffenen Daten für deren Dauer gesperrt bzw. aufbewahrt und anschließend gelöscht.

Die Bereitstellung Ihrer Daten ist grundsätzlich freiwillig. Ohne ausreichende Kontaktdaten können wir Ihre Anfrage gegebenenfalls nicht beantworten.

7. E-Mail- und Hosting-Dienstleister

Für Website-Hosting und E-Mail-Versand setzen wir STRATO ein. Der Mitgliederbereich nutzt zusätzlich Supabase für Authentifizierung und Datenbankdienste. E-Mails zum Zurücksetzen des Passworts werden durch Supabase ausgelöst und über unseren eingerichteten STRATO-Mailversand verschickt. Dabei werden insbesondere Empfängeradresse, Nachricht und zeitlich begrenzter Bestätigungslink verarbeitet. Details zum Mitgliederbereich und zu den Empfängern finden Sie in Abschnitt 15.

8. Externer Link zu LinkedIn

Auf der Website befindet sich lediglich ein normaler externer Link zu unserem LinkedIn-Profil. Beim bloßen Besuch dieser Website wird keine Verbindung zu LinkedIn hergestellt. Erst wenn Sie den Link aktiv anklicken, verlassen Sie unsere Website; ab diesem Zeitpunkt ist der jeweilige Anbieter für die dortige Datenverarbeitung verantwortlich. Dabei kann es nach den Regeln des Anbieters auch zu einer Verarbeitung in Drittländern kommen.

9. Drittlandübermittlungen

Für den Mitgliederbereich verwenden wir Supabase mit Projektregion Irland. Daraus folgt keine ausschließliche Verarbeitung in der EU: Insbesondere Support, Betriebsmetadaten und die Verwaltung des Supabase-Kundenkontos können Verarbeitungen außerhalb des EWR einschließen, unter anderem in Singapur und den USA. Supabase sieht für entsprechende Übermittlungen die in seiner Auftragsverarbeitungsvereinbarung enthaltenen EU-Standardvertragsklauseln sowie ergänzende Schutzmaßnahmen vor. Dazu gehören Verschlüsselung und beschränkte, protokollierte Zugriffe. Diese Maßnahmen schließen rechtmäßige Zugriffe durch den Dienstleister oder ausländische Behörden nicht vollständig aus.

Die Supabase-Auftragsverarbeitungsvereinbarung und die Liste der Unterauftragsverarbeiter enthalten die vertraglichen Regelungen. Eine Kopie der einschlägigen Garantien können Sie über die unter Abschnitt 1 angegebene Kontaktadresse anfordern. Für STRATO gelten die vereinbarten Auftragsverarbeitungsbedingungen; produktabhängige Unterauftragnehmer können ebenfalls Drittlandbezüge haben. Beim aktiven Aufruf externer Links gelten außerdem die Hinweise in Abschnitt 8.

10. TLS-/SSL-Verschlüsselung

Die produktive Website wird über HTTPS/TLS verschlüsselt übertragen. Dies schützt die Übertragung zwischen Ihrem Browser und unserem Webserver gegen unbefugtes Mitlesen oder Verändern. Bitte beachten Sie, dass die normale E-Mail-Kommunikation je nach beteiligten E-Mail-Anbietern nicht in jedem Fall Ende-zu-Ende-verschlüsselt ist.

11. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere folgende Rechte:

• Auskunft über Ihre personenbezogenen Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit, soweit anwendbar (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine Nachricht an info@mbmarketintelligence.de.

12. Widerspruchsrecht nach Art. 21 DSGVO

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für unseren Sitz ist insbesondere folgende Behörde zuständig:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart
Telefon: +49 711 61 55 41-0
E-Mail: poststelle@lfdi.bwl.de

14. Automatisierte Entscheidungen und Profiling

Es findet keine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

15. Mitgliederbereich

Zweck und Zugang

Der Mitgliederbereich stellt eingeladenen Personen individuell freigegebene Research-Ansichten zur Verfügung. Es gibt keine öffentliche Registrierung. Wir verarbeiten Ihre E-Mail-Adresse, eine technische Nutzerkennung, Kontostatus, Rolle und zeitlich begrenzte Modellfreigaben. Die Daten stammen von Ihnen, aus der mit Ihnen abgestimmten Einladung und aus Ihrer Nutzung des Portals. Die Bereitstellung ist freiwillig; ohne E-Mail-Adresse, Authentifizierung und erforderliche Sicherheitsdaten können wir keinen geschützten Zugang bereitstellen.

Die zur vereinbarten Bereitstellung des Zugangs erforderlichen Verarbeitungen beruhen auf Art. 6 Abs. 1 lit. b DSGVO. Sicherheitskontrollen, Missbrauchsbegrenzung und die hierfür notwendigen Protokolle beruhen auf Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind der Schutz von Konten und vertraulichen Research-Inhalten sowie die Aufklärung unbefugter Zugriffe. Wir verwenden diese Daten nicht für Werbung oder die Bewertung Ihres Anlageverhaltens.

Login, MFA und Passwort-Wiederherstellung

Supabase Auth prüft Ihre Anmeldedaten und einen zeitbasierten Einmalcode aus Ihrer Authenticator-App. Passwörter und Codes werden verschlüsselt über unser Backend an Supabase übertragen. Die Portal-Datenbank speichert keine Passwörter im Klartext. Supabase verarbeitet die für Passwortprüfung, Einladungen, Wiederherstellung und Mehrfaktor-Authentifizierung erforderlichen Daten. Das Portal speichert unter anderem den MFA-Status und die technische Faktorzuordnung. Eine Telefonnummer ist für die hier eingesetzte TOTP-Anmeldung nicht erforderlich.

Für die Wiederherstellung verarbeiten wir Ihre E-Mail-Adresse, einen zeitlich begrenzten Einmallink und die Bestätigung Ihres bestehenden MFA-Faktors. Nach erfolgreicher Passwortänderung werden die bisherigen Portal-Sitzungen widerrufen. Zugangsdaten und Einmallinks gehören nicht in Support-Nachrichten.

Sitzungen, Berechtigungen und Sicherheitsprotokolle

Serverseitig werden Sitzungskennungen, Schutzwerte gegen gefälschte Anfragen, verschlüsselte Authentifizierungstoken sowie Erstellungs-, Aktivitäts- und MFA-Zeitpunkte verarbeitet. Modellrechte und ihre Gültigkeit werden bei geschützten Zugriffen geprüft. Die Freigabe eines Modells erfolgt durch die Administration; eine Sperrung oder ein Rechteentzug kann sofort wirksam werden.

Wir protokollieren sicherheitsrelevante Ereignisse wie Anmeldungen, MFA-Prüfungen, Wiederherstellungen, abgewiesene Anfragen, Modellzugriffe und administrative Rechteänderungen. Die Einträge enthalten Zeitpunkt, Ereignis, Ergebnis, Anfragekennung und soweit zuordenbar eine Nutzerkennung sowie das betroffene Modell oder Konto. Passwörter, MFA-Geheimnisse und Research-Datensätze gehören nicht in diese Portal-Protokolle. Zur Begrenzung wiederholter Anfragen verarbeiten wir außerdem IP-Adresse und Kontokennung; in der Portal-Limit-Tabelle werden daraus abgeleitete, schlüsselgebundene Prüfwerte gespeichert. Technische Provider- und Webserverprotokolle sind davon getrennt.

Dienstleister und Zugriffsberechtigte

STRATO GmbH stellt das PHP-Backend und den E-Mail-Versand bereit. Supabase Pte. Ltd., Singapur, stellt Authentifizierung und PostgreSQL-Datenbank bereit; das Projekt liegt in Irland (eu-west-1). Für beide Dienstleister gelten Auftragsverarbeitungsvereinbarungen. Zum Portalbetrieb berechtigte Administratoren erhalten nur die erforderlichen Konten- und Berechtigungsinformationen. Drittlandverarbeitung und Unterauftragnehmer erläutert Abschnitt 9. Die Freigabe von Datenbankinformationen an den Supabase-KI-Assistenten ist für unsere Organisation deaktiviert. Wir verwenden keine öffentlich zugänglichen Supabase-Storage-Dateien für Member-Daten.

Aufbewahrung und Löschung

Portal-Sitzungen verlieren spätestens nach 30 Minuten oder 15 Minuten Inaktivität ihre Gültigkeit. Abgelaufene Sitzungsdatensätze werden im stündlichen Wartungslauf entfernt. Limit-Datensätze werden nach zwei Stunden ohne Aktualisierung im nächsten stündlichen Lauf gelöscht. Die Ungültigkeit eines Zugangs ist von der späteren Löschung seiner gespeicherten Daten zu unterscheiden.

Kontodaten, MFA-Zuordnung und Modellrechte werden für die Dauer des vereinbarten Zugangs vorgehalten. Nach dessen endgültiger Beendigung löschen wir sie grundsätzlich innerhalb von 30 Tagen. Sicherheitsprotokolle des Portals werden längstens 90 Tage aufbewahrt und früher gelöscht, wenn ihr Zweck entfällt. Bei einem konkreten Sicherheitsvorfall oder erforderlicher Rechtsverfolgung können ausgewählte Einträge für die Klärung gesondert gesichert werden; der Grund und die weitere Dauer werden dokumentiert und regelmäßig geprüft.

Die Sicherungen werden auf STRATO verschlüsselt und zusätzlich in einem privaten Speicher des Supabase-Projekts in Irland abgelegt. Der Entschlüsselungsschlüssel wird getrennt von beiden Servern verwahrt. GitHub Actions löst die Wartungs- und Sicherungsläufe aus und erhält ausschließlich technischen Betriebsstatus; Mitgliederdaten, Authentifizierungsgeheimnisse und Sicherungsdateien werden nicht an GitHub übertragen.

Verschlüsselte, rollierende Sicherungen werden höchstens sieben Tage aufbewahrt. Der reguläre Löschlauf verwendet sechs Tage als Sicherheitsabstand; fehlgeschlagene Läufe werden überwacht. Gelöschte oder gesperrte Zugänge dürfen bei einer Wiederherstellung nicht erneut freigeschaltet werden. Für technische Protokolle der Dienstleister gelten deren zweckgebundene Aufbewahrungsregeln; die im Supabase-Dashboard sichtbare Log-Historie ist kein Nachweis der vollständigen Löschung aller Providerdaten. Die Website-Logfiles bei STRATO sind in Abschnitt 4 beschrieben. Erforderliche gesetzliche Aufbewahrungspflichten bleiben auf die jeweils betroffenen Unterlagen beschränkt.

Ihre Rechte im Mitgliederbereich

Die Rechte aus den Abschnitten 11 bis 13 gelten auch für den Mitgliederbereich. Sie können insbesondere Auskunft über Kontodaten und Berechtigungen, Berichtigung oder Löschung verlangen und einer Verarbeitung auf Grundlage berechtigter Interessen widersprechen. Wenden Sie sich an info@mbmarketintelligence.de. Zur Vermeidung unberechtigter Auskünfte prüfen wir Ihre Identität mit angemessenen Mitteln. Wir verlangen dafür niemals Ihr Passwort oder einen aktuellen Authenticator-Code.

16. Nutzungsauswertung in der geschlossenen Beta

MB Market Intelligence wertet die Nutzung der geschlossenen Beta zur persönlichen Betreuung und zur Verbesserung des Angebots aus. Erfasst werden erfolgreiche Logins nach abgeschlossener Mehrfaktor-Anmeldung, autorisierte Aufrufe des Member Hubs und ausgelieferte Modellseiten. Die berechtigten Administratoren sehen zu Ihrem Mitgliedskonto die letzte erfasste Aktivität, aktive Nutzungstage und Login-/Modellaufrufzahlen für 7 und 30 UTC-Kalendertage einschließlich des aktuellen Tages. Wiederholte Modellaufrufe werden je Sitzung und Modell innerhalb eines festen Fünf-Minuten-Zeitfensters zusammengefasst. Die Zahlen zeigen Seitenantworten, keine Lesezeit oder Nutzung einzelner Diagramme, und können technisch bedingt unvollständig sein.

Die Datensätze enthalten Ihre interne Mitgliedskennung, Ereignisart, gegebenenfalls den Modellkatalogschlüssel, einen minutengenauen Zeitpunkt und einen Dublettenschlüssel. Die Übersicht verwendet zusätzlich Vorname, Kontostatus und Ablaufdatum aus Ihrem Mitgliedsprofil. Passwörter, TOTP-Codes, konkrete Modellabfragen und Investmentdaten werden hierfür nicht erfasst. Keine zusätzlichen Tracking-Cookies, Drittanbieter-Tracker oder Browser-Fingerprints. Die personenbezogene Ansicht dient der Betreuung; zur allgemeinen Produktverbesserung nutzen wir vorrangig Gesamtzahlen. Keine Werbeprofile, Tester-Ranglisten oder automatischen Nachteile aufgrund Ihrer Nutzung oder Nichtnutzung. Die Analyse entscheidet nicht über Ihre Modellrechte.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser Interesse an der Betreuung der geschlossenen Beta und der Bewertung ihrer Nutzbarkeit unter den beschriebenen Begrenzungen. Die vorhandenen Portal-Dienstleister verarbeiten und sichern diese Daten; die bestehende Datenschutzinformation erläutert Verantwortlichen, Dienstleister, Transfermaßnahmen und Ihre weiteren Rechte.

Sie können dieser optionalen Nutzungsauswertung jederzeit über info@mbmarketintelligence.de widersprechen. Wir beenden die Erfassung für Ihr Konto und löschen die bisherigen Nutzungsereignisse, ohne Ihren Zugang oder Ihre Modellrechte deswegen einzuschränken. Eine Ausschlusskennung bleibt bis zur Kontolöschung gespeichert, um Ihren Widerspruch weiter zu beachten. Auskunft, Berichtigung, Löschung, Einschränkung und Beschwerde bei einer Aufsichtsbehörde richten sich nach den gesetzlichen Voraussetzungen und der bestehenden Datenschutzinformation.

Operative Nutzungsereignisse werden nach 30 Tagen beim nächsten stündlichen Wartungslauf gelöscht; im regulären Betrieb kann die Löschung damit bis zu einer Stunde später erfolgen. Verschlüsselte Wiederherstellungsbackups können entfernte Ereignisse bis zu sieben weitere Tage enthalten. Diese Sicherungen werden nicht zur Analyse verwendet. Nach einer Wiederherstellung werden Löschfristen und zwischenzeitliche Widersprüche erneut umgesetzt, bevor die Auswertung freigegeben wird. Für getrennte Sicherheitsprotokolle gelten eigene Fristen.

Closed beta usage insights

MB Market Intelligence evaluates closed beta usage to support members and improve the service. We record successful logins after multi-factor authentication, authorized Member Hub requests and model page responses. Authorized administrators can see your account's last recorded activity, active usage days and login/model-open counts for 7 and 30 UTC calendar days, including today. Repeated model requests are combined per session and model within each fixed five-minute time bucket. Counts represent server responses, not reading time or interactions with individual charts, and may be incomplete because of technical limitations.

Records contain an internal member identifier, event type, model catalogue key where relevant, a timestamp rounded to the minute and a deduplication key. The overview also uses the first name, account status and expiry date from your member profile. Passwords, TOTP codes, specific model queries and investment data are not collected for this analysis. No additional tracking cookies, third-party trackers or browser fingerprints are used. Individual information serves member support; general product improvement primarily uses totals. We do not create advertising profiles or member rankings, or impose automated disadvantages based on use or non-use. These analytics do not determine your model permissions.

The legal basis is Article 6(1)(f) GDPR: our interest in supporting the closed beta and assessing its usability within these limits. Existing portal providers process and back up the data. The portal privacy notice identifies the controller and providers and explains transfer safeguards and your additional rights.

You may object to this optional usage analysis at any time by contacting info@mbmarketintelligence.de. We will stop recording usage for your account and delete its existing usage events without restricting your access or model permissions for that reason. An exclusion identifier remains until account deletion to continue respecting your objection. Rights of access, rectification, erasure, restriction and complaint to a supervisory authority apply under the legal conditions explained in the existing privacy notice.

Operational usage events are deleted after 30 days by the next hourly maintenance run; under normal operation this can add up to one hour. Encrypted recovery backups may contain removed events for up to seven further days and are not used for analytics. Following a restore, retention limits and intervening objections are reapplied before analytics access resumes. Separate security logs have their own retention periods.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Website, eingesetzte Dienstleister oder die Rechtslage ändern. Maßgeblich ist die jeweils auf dieser Website veröffentlichte Fassung.