Version: 2026-04.4
Gültig ab: 2026-04-29
AI-Transparenz
Kirla Chronicle kann AI zur Erstellung oder Umformulierung von Briefing- und Nachrichteninhalten verwenden. Solche Inhalte werden standardmäßig sichtbar als AI-generiert oder mit AI erstellt gekennzeichnet, wenn kein nachweisbarer Human-only-Pfad vorliegt.
Verantwortlicher und Kontakt
Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der im Impressum genannte Anbieter.
Datenschutz-Kontakt: contact@kirla-webservices.com.
Verarbeitete Datenkategorien
Es werden Kontostammdaten, Authentifizierungs- und Sicherheitsdaten, Profil- und Präferenzdaten, Briefing-Inhalte, Billing-Metadaten sowie Support-Kommunikation verarbeitet.
- Kontodaten: Name, E-Mail, Kontorolle, Verifizierungsstatus.
- Authentifizierung/Sicherheit: Session-Versionierung, Rate-Limit-Metadaten, Sicherheitsereignisse.
- Produkt-/Profildaten: Themen, Regionen, Zeitplanung und Präferenz-Metadaten.
- Briefing-Betrieb: erzeugte Briefings, Zustellereignisse und Quellenarchiv-Metadaten.
- Billing-Metadaten: Wallet-Bewegungen, Referenzen und Abgleichdaten.
- Checkout- und Einwilligungsnachweise: transaktionsbezogene Zustimmung zur sofortigen digitalen Leistung (Zeitpunkt, Sprache, Versionsstand, Nachweis-Hash).
Personalisierungsdaten
Aus den Interaktionen einer nutzenden Person (Newsroom-Klicks, externe Quellen-Klicks, Chat, Briefing-E-Mail-Öffnungen) werden Themenprofile abgeleitet und gespeichert, um die Briefings besser auf die individuellen Interessen zuzuschneiden.
- Datenarten: Klick-Verhalten, daraus abgeleitete Themen-Gewichtungen sowie kurze KI-gestützte Aussagen und Zusammenfassungen zu wiederkehrenden Themen.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung „Analytics“) sowie Art. 6 Abs. 1 lit. b/f DSGVO (Vertragserfüllung / berechtigtes Interesse am Service).
- Die KI-gestützte Verdichtung kann zentral aktiviert/deaktiviert werden.
- Pause oder vollständige Löschung jederzeit über Einstellungen → Datenschutz.
Briefing-Erstellung, Chat und KI-Verarbeitung
Briefings, Chat-Verläufe sowie zugehörige Metadaten (Tokens, Kosten, Modell, Anbieter, Kostenkategorie, Verarbeitungszweck) werden zur Bereitstellung der Kernleistung verarbeitet.
- KI-Auftragsverarbeiter: OpenAI Ireland Ltd. (Irland/EU, Unterauftragsverarbeitung USA über SCCs), Anthropic PBC (USA, SCCs), Google Ireland Ltd. / Gemini-API (Irland/EU, Unterauftragsverarbeitung USA über EU-DPF und SCCs) sowie Manus AI / Butterfly Effect Pte Ltd (Singapur, SCCs).
- Speicherdauer KI-Metadaten: 365 Tage.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Markt-Watchlists und Finanzdaten
Watchlist-Symbole und OHLCV-Daily-Close-Daten werden zur Anzeige des Marktstrips verarbeitet. Anfragen an externe Marktdaten-APIs enthalten ausschließlich Ticker-Symbole — keine personenbezogenen Daten.
- Anbieter: Finnhub Inc. (USA), Yahoo Finance — sämtlich serverseitige Abrufe ohne PII-Übermittlung.
- Da keine personenbezogenen Daten übermittelt werden, ist eine Übermittlungsgrundlage nach Kapitel V DSGVO nicht erforderlich.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Zahlungsdaten und Kaufzustimmungs-Nachweis
Zahlungsstatus, Zahlungsdienstleister-Kennung, Credit-Kontostände sowie der transaktionsbezogene Zeitstempel der Einwilligung in die sofortige digitale Leistung (einschließlich Sprache und Versionsstand der Zustimmung) werden aus rechtlichen Gründen aufbewahrt.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO i.V.m. § 356 Abs. 5 BGB.
- Speicherdauer: 10 Jahre (steuer- und handelsrechtlich), Kaufzustimmungs-Nachweise mindestens 3 Jahre (§ 195 BGB).
- Empfänger: Zahlungsdienstleister mit Sitz in den USA, DPF-zertifiziert.
E-Mail-Zustellung und Open-Pixel-Tracking
E-Mail-Adresse, Zustellstatus und Nachrichten-Kennung werden zur Zustellung der Briefing-Mails verarbeitet. Bei aktiver Einwilligung in die Marketing-Kategorie kann zusätzlich erfasst werden, dass und wann eine Briefing-Mail geöffnet wurde — die Einwilligung wird im Konto als Opt-in-Status hinterlegt.
- Rechtsgrundlage Zustellung: Art. 6 Abs. 1 lit. b DSGVO.
- Rechtsgrundlage Open-Pixel: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TTDSG (ePrivacy).
- Widerruf jederzeit über Einstellungen → Datenschutz; ohne Einwilligung wird kein Pixel ausgeliefert.
Engagement-Credits und Novelty-Tracking
Normalisierte Themenbezeichnungen, anonyme Zählwerte und Engagement-Credit-Ereignisse (Novelty-Bonus, Referral-Belohnungen, Anti-Abuse-Counter) werden aggregiert verarbeitet. Aggregierte Zählwerte erlauben keinen Rückschluss auf Einzelpersonen.
Optionale Datenfreigaben (Trend-Reports, Marktforschung, Empfehlungen, Umfragen)
Vier optionale Nutzungszwecke stehen ausschließlich nach ausdrücklicher vorheriger Einwilligung zur Verfügung und sind standardmäßig deaktiviert: anonymisierte Themen-Trend-Auswertungen (aggregierte Trend-Reports), Einladungen zu freiwilligen Marktforschungs-Studien, Produkt-Empfehlungen mit Partner-Links sowie Einladungen zu vergüteten Umfragen. Ohne Einwilligung findet keine dieser Verarbeitungen statt.
Für aggregierte Auswertungen werden Interaktionsdaten ausschließlich unter einem jährlich wechselnden Pseudonym verarbeitet und nur in Gruppen von mindestens 50 Personen zusammengefasst weitergegeben (k-Anonymität). Einzelprofile, Klarnamen oder E-Mail-Adressen werden weder weitergegeben noch verkauft.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); jeder Zweck ist einzeln aktivier- und widerrufbar.
- Widerruf jederzeit über Einstellungen → Daten teilen; der Widerruf wirkt für die Zukunft. Bereits erstellte anonyme Aggregate enthalten keinen Personenbezug und bleiben bestehen.
- Einwilligungsnachweis: Zeitpunkt, Zweck, Entscheidung und Textfassung werden protokolliert (aktuelle Fassung: 2026-06-11); IP-Adressen werden dabei ausschließlich als schlüsselbehafteter Hash, der User-Agent gekürzt gespeichert.
- Freiwillige Selbstauskunft: Branche, Rolle und Unternehmensgröße können optional angegeben werden und fließen ausschließlich als Gruppenmerkmal in anonyme Auswertungen ein; die Angaben sind jederzeit in den Einstellungen löschbar.
- Interner Aktivitäts-Score: je Pseudonym wird ein 7-, 30- und 90-Tage-Aktivitätswert zur Qualitätssicherung geführt; er verlässt die Systeme des Anbieters nicht, wird spätestens nach 90 Tagen gelöscht und bei vollständigem Widerruf umgehend entfernt.
- Speicherdauer: Einwilligungsnachweise mindestens 3 Jahre (§ 195 BGB); pseudonyme Auswertungsdaten (Aktivitäts-Scores) höchstens 90 Tage; Sitzungsschlüssel und Ziel-URLs aus Roh-Ereignissen werden nach spätestens 30 Tagen entfernt, die Konto-Zuordnung sitzungsbezogener Roh-Ereignisse nach spätestens 90 Tagen.
Zwecke der Verarbeitung
Die Verarbeitung erfolgt zur Bereitstellung des Dienstes, zur Kontosicherheit, zur Briefing-Zustellung, zur Billing-Abwicklung sowie zur Bearbeitung von Support- und Compliance-Anfragen.
- Kontoregistrierung, Login, Passwort-Wiederherstellung und Kontosicherheit.
- Erstellung von Briefings, E-Mail-Zustellung und nutzerseitige Archive.
- Verwaltung des Guthabens und Nachvollziehbarkeit von Transaktionen.
- Missbrauchsprävention, Diagnose und Incident-Untersuchung.
Rechtsgrundlagen
Die Verarbeitung erfolgt grundsätzlich zur Vertragserfüllung, zur Erfüllung rechtlicher Pflichten sowie auf Basis berechtigter Interessen am sicheren und verlässlichen Betrieb des Dienstes.
Optionale Cookie-/Service-Kategorien werden auf Basis einer Einwilligung verarbeitet und bleiben ohne Einwilligung inaktiv.
Empfänger und Auftragsverarbeiter
Mit allen Auftragsverarbeitern bestehen Vereinbarungen gemäß Art. 28 DSGVO.
- Hosting- und Datenbankdienst – dedizierter Server in Deutschland/EU
- E-Mail-Versanddienst – transaktionaler SMTP-Versand aus Deutschland/EU
- OpenAI Ireland Ltd. – KI-gestützte Briefing-Erstellung; verarbeitet Profilangaben wie Themenpräferenzen (Irland/EU; Unterauftragsverarbeitung durch OpenAI L.L.C. USA auf Basis von Standardvertragsklauseln)
- Anthropic PBC – KI-Inferenz mit Claude-Modellen für ausgewählte Briefing- und Chat-Schritte (USA; Standardvertragsklauseln gem. Art. 46(2)(c) DSGVO)
- Cloudflare Inc. – Bot-Schutz Turnstile sowie CDN- und DDoS-Schutz (USA; EU-DPF-zertifiziert mit ergänzenden EU-Standardvertragsklauseln)
- Manus AI (Butterfly Effect Pte Ltd) – KI-gestützte Quellenanreicherung (Singapur; Standardvertragsklauseln gem. Art. 46(2)(c) DSGVO)
- Google Ireland Ltd. (Gemini-API) – KI-Inferenz auf ausgewählten Generierungsschritten (Irland/EU; Unterauftragsverarbeitung durch Google LLC USA auf Basis EU-DPF sowie ergänzender Standardvertragsklauseln)
Externe Datenquellen
Zur Anreicherung des Newsrooms (z. B. Markt-Tiles) werden öffentliche Referenzquellen aufgerufen. Diese Abrufe erfolgen ausschließlich serverseitig — der Browser des Nutzers kommuniziert nicht direkt mit diesen Anbietern, es werden keine personenbezogenen Daten übermittelt.
Folgende Datenquellen werden derzeit genutzt:
- Yahoo Finance (https://finance.yahoo.com): Kurs- und Chartdaten für Indizes (DAX 40, S&P 500), Rohstoff-Futures (Brent, Gold), Kryptowährungen (Bitcoin) und Devisenpaare (EUR/USD, EUR/GBP). Serverseitiger Abruf über die öffentliche Chart-API ohne API-Schlüssel.
Internationale Übermittlungen
Hosting, Datenbank-Betrieb und SMTP-Versand erfolgen ausschließlich auf Servern in Deutschland/EU. KI-Inferenz erfolgt teilweise im EU-Raum (OpenAI Ireland Ltd. mit Unterauftragsverarbeitung durch OpenAI L.L.C. USA sowie Google Ireland Ltd. mit Unterauftragsverarbeitung durch Google LLC USA — jeweils auf Basis von Standardvertragsklauseln gem. Art. 46(2)(c) DSGVO und ergänzendem EU-DPF) und teilweise direkt in den USA (Anthropic PBC) bzw. Singapur (Manus AI / Butterfly Effect Pte Ltd) auf Basis von Standardvertragsklauseln gem. Art. 46(2)(c) DSGVO. Cloudflare Inc. (USA) ist EU-DPF-zertifiziert und ergänzend mit EU-Standardvertragsklauseln abgesichert.
Speicherdauer und Löschung
Personenbezogene Daten werden nur so lange gespeichert wie für die Leistungserbringung oder die Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich. Briefing-Verläufe und zugehörige Nutzungs-/Kostendaten werden nach Kontoschließung gelöscht oder anonymisiert; handels- und steuerrechtlich relevante Unterlagen bleiben für die gesetzlichen Aufbewahrungsfristen erhalten.
Löschanfragen werden über den Support unter support@kirla-webservices.com bearbeitet.
- Kontodaten: bis zur Kontolöschung; danach 14-tägige Grace-Period.
- Billing-Metadaten und steuerlich relevante Belege: 10 Jahre (§ 257 HGB, § 147 AO).
- Kaufzustimmungs-Nachweise (digitale Inhalte): mindestens 3 Jahre (§ 195 BGB).
- Sicherheits- und Audit-Logs: 365 Tage.
- KI-Verarbeitungs-Metadaten (Tokens, Kosten, Modell, Anbieter, Kostenkategorie): 365 Tage.
- Themenprofile und KI-gestützte Zusammenfassungen: bis zum Widerruf der Analytics-Einwilligung oder bis zur Pause/Löschung in Einstellungen → Datenschutz.
- Optionale Datenfreigaben: Einwilligungsnachweise mindestens 3 Jahre (§ 195 BGB); Sitzungsschlüssel und Ziel-URLs aus Roh-Ereignissen nach spätestens 30 Tagen entfernt, Konto-Zuordnung sitzungsbezogener Roh-Ereignisse nach spätestens 90 Tagen; pseudonyme Aktivitäts-Scores höchstens 90 Tage; anonyme Aggregate ohne Personenbezug unbefristet.
- Aufbewahrungsausnahmen ergeben sich aus handels- und steuerrechtlichen Pflichten (10 Jahre Billing-Metadaten gem. § 257 HGB / § 147 AO), aus Kaufzustimmungs-Nachweisen (mindestens 3 Jahre gem. § 195 BGB) sowie aus Sicherheits-Logs (365 Tage). Personenbezogene Daten ohne gesetzliche Aufbewahrungspflicht werden mit Kontolöschung gelöscht oder anonymisiert.
- Sicherheits- und Missbrauchspräventionsdaten können aufgrund berechtigter Interessen und gesetzlicher Pflichten aufbewahrt werden.
- Anonymisierung vs. Löschung: Wo eine vollständige Löschung wegen gesetzlicher Aufbewahrungspflichten nicht möglich ist (insbesondere Billing- und Kaufzustimmungs-Daten), werden personenbezogene Bezüge entfernt oder durch pseudonymisierte Surrogate ersetzt. Die so anonymisierten Daten lassen keinen Rückschluss auf die betroffene Person mehr zu.
Betroffenenrechte
Betroffene Personen können im gesetzlichen Rahmen Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch sowie Datenübertragbarkeit verlangen.
Anfragen können über die auf der Kontaktseite genannten Kontaktwege gestellt werden.
Cookies und Einwilligungskategorien
Unbedingt erforderliche Cookies dienen der Authentifizierung und Sitzungssicherheit sowie der Speicherung der Cookie-Einwilligung samt Versionsstand.
Ein Präferenz-Cookie speichert die Sprachauswahl — und auch dies nur nach einer aktiven Sprachumstellung und erteilter Einwilligung in die Kategorie „Präferenzen“.
Cloudflare Turnstile wird als technisch notwendiger Bot-Schutz für Login, Registrierung, Kontakt und Passwort-Reset eingesetzt.
Eine oder mehrere optionale Kategorien sind in dieser Bereitstellung verfügbar und werden über die Cookie-Einstellungen gesteuert.
Die Einwilligung kann jederzeit unter „Cookie-Einstellungen“ (verlinkt im Footer) geändert oder widerrufen werden.
- Notwendig: immer aktiv für Sicherheit und Login.
- Präferenzen: per Einwilligung verfügbar (derzeit für Sprachpersistenz genutzt).
- Externe Dienste: per Einwilligung verfügbar (derzeit ohne Turnstile-Abhängigkeit).
- Analytics: in dieser Bereitstellung derzeit inaktiv.
- Marketing: in dieser Bereitstellung derzeit inaktiv.
Sicherheit, Protokollierung sowie Account-/Billing-/E-Mail-Abläufe
Sicherheitsereignisse, Account-Recovery, Verifizierung, Billing-Abgleich und Zustellprozesse erzeugen betriebliche Protokolle und Metadaten, die für den sicheren Betrieb erforderlich sind.
- Passwort-Reset- und Account-Sicherheitsereignisse.
- Rate-Limit- und Missbrauchspräventions-Telemetrie.
- Metadaten zu Wallet- und Billing-Abgleich.
- Verifizierungs- und Zustellstatus von E-Mails.
Beschwerden und Aufsichtsbehörde
Zuständige Aufsichtsbehörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden
Anfragen können alternativ zunächst direkt an den Verantwortlichen oder den Support gerichtet werden.
