Datenschutzerklärung

KI-Transparenz

Inhalte entstehen teilweise mit Unterstützung von KI. Jede KI-Beteiligung wird sichtbar gekennzeichnet (z.B. „KI-generiert“ oder „mit KI erstellt“).

Verantwortlicher und Kontakt

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der im Impressum genannte Anbieter.

Datenschutz-Kontakt: contact@kirla-webservices.com.

Verarbeitete Datenkategorien

Es werden Kontostammdaten, Authentifizierungs- und Sicherheitsdaten, Profil- und Präferenzdaten, Briefing-Inhalte, Billing-Metadaten sowie Support-Kommunikation verarbeitet.

• Kontodaten: Name, E-Mail, Kontorolle, Verifizierungsstatus.
• Authentifizierung/Sicherheit: Session-Versionierung, Rate-Limit-Metadaten, Sicherheitsereignisse.
• Produkt-/Profildaten: Themen, Regionen, Zeitplanung und Präferenz-Metadaten.
• Briefing-Betrieb: erzeugte Briefings, Zustellereignisse und Quellenarchiv-Metadaten.
• Billing-Metadaten: Wallet-Bewegungen, Referenzen und Abgleichdaten.
• Checkout- und Einwilligungsnachweise: transaktionsbezogene Zustimmung zur sofortigen digitalen Leistung (Zeitpunkt, Sprache, Versionsstand, Nachweis-Hash).
• Sport-Follows: gefolgte Teams, Sportlerinnen/Sportler und Wettbewerbe samt Zeitstempel sowie die zugehörige Themen-Verknüpfung zur Personalisierung der Sport-Ansichten; diese Daten werden bei einer Kontolöschung automatisch mitgelöscht. Ohne Konto werden Sport-Follows ausschließlich lokal im Browser gespeichert (localStorage) und verlassen das Gerät nicht; bei einer späteren Anmeldung werden sie in das Konto übernommen.

Personalisierungsdaten

Aus den Interaktionen einer nutzenden Person (Newsroom-Klicks, externe Quellen-Klicks, Chat, Briefing-E-Mail-Öffnungen) werden Themenprofile abgeleitet und gespeichert, um die Briefings besser auf die individuellen Interessen zuzuschneiden.

• Datenarten: Klick-Verhalten, daraus abgeleitete Themen-Gewichtungen sowie kurze KI-gestützte Aussagen und Zusammenfassungen zu wiederkehrenden Themen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung „Analytics“) sowie Art. 6 Abs. 1 lit. b/f DSGVO (Vertragserfüllung / berechtigtes Interesse am Service).
• Die KI-gestützte Verdichtung kann zentral aktiviert/deaktiviert werden.
• Pause oder vollständige Löschung jederzeit über Einstellungen → Datenschutz.

Nutzungsdaten (Seitenaufrufe)

Beim Aufruf einzelner Bereiche der Plattform (u. a. Newsroom-, Themen-, Archiv- und Sport-Seiten) werden Seitenaufruf-Daten erfasst, um Reichweite und Produktnutzung zu analysieren und den Dienst zu verbessern.

• Erfasste Daten: aufgerufener Bereich und Pfad (einschließlich der Sport-Seiten), Referrer, Suchbegriffe innerhalb des Dienstes, Filterauswahl, Verweildauer und Scroll-Tiefe.
• Konto-Zuordnung nur mit Einwilligung: Bei erteilter Analytics-Einwilligung werden Seitenaufrufe dem Nutzerkonto zugeordnet. Ohne Consent-Entscheidung erfolgt die Erfassung ausschließlich pseudonym über eine täglich wechselnde Sitzungskennung ohne Kontobezug. Nach abgelehnter Analytics-Einwilligung werden keine Seitenaufruf-Daten gespeichert.
• Zweck: Reichweiten- und Produktanalyse. Sport-Seitenaufrufe fließen derzeit nicht in die Personalisierungs-Themenprofile ein.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Analytics-Einwilligung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an pseudonymer Reichweitenmessung).

Briefing-Erstellung, Chat und KI-Verarbeitung

Briefings, Chat-Verläufe sowie zugehörige Metadaten (Tokens, Kosten, Modell, Anbieter, Kostenkategorie, Verarbeitungszweck) werden zur Bereitstellung der Kernleistung verarbeitet.

• KI-Auftragsverarbeiter: OpenAI Ireland Ltd. (Irland/EU, Unterauftragsverarbeitung USA über SCCs), Anthropic PBC (USA, SCCs), Google Ireland Ltd. / Gemini-API (Irland/EU, Unterauftragsverarbeitung USA über EU-DPF und SCCs) sowie Manus AI / Butterfly Effect Pte Ltd (Singapur, SCCs).
• Speicherdauer KI-Metadaten: 365 Tage.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Markt-Watchlists und Finanzdaten

Watchlist-Symbole und OHLCV-Daily-Close-Daten werden zur Anzeige des Marktstrips verarbeitet. Anfragen an externe Marktdaten-APIs enthalten ausschließlich Ticker-Symbole — keine personenbezogenen Daten.

• Anbieter: Finnhub Inc. (USA), Yahoo Finance — sämtlich serverseitige Abrufe ohne PII-Übermittlung.
• Da keine personenbezogenen Daten übermittelt werden, ist eine Übermittlungsgrundlage nach Kapitel V DSGVO nicht erforderlich.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zahlungsdaten und Kaufzustimmungs-Nachweis

Zahlungsstatus, Zahlungsdienstleister-Kennung, Credit-Kontostände sowie der transaktionsbezogene Zeitstempel der Einwilligung in die sofortige digitale Leistung (einschließlich Sprache und Versionsstand der Zustimmung) werden aus rechtlichen Gründen aufbewahrt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO i.V.m. § 356 Abs. 5 BGB.
• Speicherdauer: 10 Jahre (steuer- und handelsrechtlich), Kaufzustimmungs-Nachweise mindestens 3 Jahre (§ 195 BGB).
• Empfänger: Zahlungsdienstleister mit Sitz in den USA, DPF-zertifiziert.

E-Mail-Zustellung und Open-Pixel-Tracking

E-Mail-Adresse, Zustellstatus und Nachrichten-Kennung werden zur Zustellung der Briefing-Mails verarbeitet. Bei aktiver Einwilligung in die Marketing-Kategorie kann zusätzlich erfasst werden, dass und wann eine Briefing-Mail geöffnet wurde — die Einwilligung wird im Konto als Opt-in-Status hinterlegt.

• Rechtsgrundlage Zustellung: Art. 6 Abs. 1 lit. b DSGVO.
• Rechtsgrundlage Open-Pixel: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (ePrivacy).
• Widerruf jederzeit über Einstellungen → Datenschutz; ohne Einwilligung wird kein Pixel ausgeliefert.

Engagement-Credits und Novelty-Tracking

Normalisierte Themenbezeichnungen, anonyme Zählwerte und Engagement-Credit-Ereignisse (Novelty-Bonus, Referral-Belohnungen, Anti-Abuse-Counter) werden aggregiert verarbeitet. Aggregierte Zählwerte erlauben keinen Rückschluss auf Einzelpersonen.

Optionale Datenfreigaben (Trend-Reports, Marktforschung, Empfehlungen, Umfragen)

Vier optionale Nutzungszwecke stehen ausschließlich nach ausdrücklicher vorheriger Einwilligung zur Verfügung und sind standardmäßig deaktiviert: anonymisierte Themen-Trend-Auswertungen (aggregierte Trend-Reports), Einladungen zu freiwilligen Marktforschungs-Studien, Produkt-Empfehlungen mit Partner-Links sowie Einladungen zu vergüteten Umfragen. Ohne Einwilligung findet keine dieser Verarbeitungen statt.

Für aggregierte Auswertungen werden Interaktionsdaten ausschließlich unter einem jährlich wechselnden Pseudonym verarbeitet und nur in Gruppen von mindestens 50 Personen zusammengefasst weitergegeben (k-Anonymität). Einzelprofile, Klarnamen oder E-Mail-Adressen werden weder weitergegeben noch verkauft.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); jeder Zweck ist einzeln aktivier- und widerrufbar.
• Widerruf jederzeit über Einstellungen → Daten teilen; der Widerruf wirkt für die Zukunft. Bereits erstellte anonyme Aggregate enthalten keinen Personenbezug und bleiben bestehen.
• Einwilligungsnachweis: Zeitpunkt, Zweck, Entscheidung und Textfassung werden protokolliert (aktuelle Fassung: 2026-06-11); IP-Adressen werden dabei ausschließlich als schlüsselbehafteter Hash, der User-Agent gekürzt gespeichert.
• Freiwillige Selbstauskunft: Branche, Rolle und Unternehmensgröße können optional angegeben werden und fließen ausschließlich als Gruppenmerkmal in anonyme Auswertungen ein; die Angaben sind jederzeit in den Einstellungen löschbar.
• Interner Aktivitäts-Score: je Pseudonym wird ein 7-, 30- und 90-Tage-Aktivitätswert zur Qualitätssicherung geführt; er verlässt die Systeme des Anbieters nicht, wird spätestens nach 90 Tagen gelöscht und bei vollständigem Widerruf umgehend entfernt.
• Speicherdauer: Einwilligungsnachweise mindestens 3 Jahre (§ 195 BGB); pseudonyme Auswertungsdaten (Aktivitäts-Scores) höchstens 90 Tage; Sitzungsschlüssel und Ziel-URLs aus Roh-Ereignissen werden nach spätestens 30 Tagen entfernt, die Konto-Zuordnung sitzungsbezogener Roh-Ereignisse nach spätestens 90 Tagen.

Zwecke der Verarbeitung

Die Verarbeitung erfolgt zur Bereitstellung des Dienstes, zur Kontosicherheit, zur Briefing-Zustellung, zur Billing-Abwicklung sowie zur Bearbeitung von Support- und Compliance-Anfragen.

• Kontoregistrierung, Login, Passwort-Wiederherstellung und Kontosicherheit.
• Erstellung von Briefings, E-Mail-Zustellung und nutzerseitige Archive.
• Verwaltung des Guthabens und Nachvollziehbarkeit von Transaktionen.
• Missbrauchsprävention, Diagnose und Incident-Untersuchung.

Rechtsgrundlagen

Die Verarbeitung erfolgt grundsätzlich zur Vertragserfüllung, zur Erfüllung rechtlicher Pflichten sowie auf Basis berechtigter Interessen am sicheren und verlässlichen Betrieb des Dienstes.

Optionale Cookie-/Service-Kategorien werden auf Basis einer Einwilligung verarbeitet und bleiben ohne Einwilligung inaktiv.

Empfänger und Auftragsverarbeiter

Mit allen Auftragsverarbeitern bestehen Vereinbarungen gemäß Art. 28 DSGVO.

• Hosting- und Datenbankdienst – dedizierter Server in Deutschland/EU
• E-Mail-Versanddienst – transaktionaler SMTP-Versand aus Deutschland/EU
• OpenAI Ireland Ltd. – KI-gestützte Briefing-Erstellung; verarbeitet Profilangaben wie Themenpräferenzen (Irland/EU; Unterauftragsverarbeitung durch OpenAI L.L.C. USA auf Basis von Standardvertragsklauseln)
• Anthropic PBC – KI-Inferenz mit Claude-Modellen für ausgewählte Briefing- und Chat-Schritte (USA; Standardvertragsklauseln gem. Art. 46(2)(c) DSGVO)
• Cloudflare Inc. – Bot-Schutz Turnstile sowie CDN- und DDoS-Schutz (USA; EU-DPF-zertifiziert mit ergänzenden EU-Standardvertragsklauseln)
• Manus AI (Butterfly Effect Pte Ltd) – KI-gestützte Quellenanreicherung (Singapur; Standardvertragsklauseln gem. Art. 46(2)(c) DSGVO)
• Google Ireland Ltd. (Gemini-API) – KI-Inferenz auf ausgewählten Generierungsschritten (Irland/EU; Unterauftragsverarbeitung durch Google LLC USA auf Basis EU-DPF sowie ergänzender Standardvertragsklauseln)

Externe Datenquellen

Zur Anreicherung des Newsrooms (z. B. Markt-Tiles) werden öffentliche Referenzquellen aufgerufen. Diese Abrufe erfolgen ausschließlich serverseitig — der Browser des Nutzers kommuniziert nicht direkt mit diesen Anbietern, es werden keine personenbezogenen Daten übermittelt.

Folgende Datenquellen werden derzeit genutzt:

• Yahoo Finance (https://finance.yahoo.com): Kurs- und Chartdaten für Indizes (DAX 40, S&P 500), Rohstoff-Futures (Brent, Gold), Kryptowährungen (Bitcoin) und Devisenpaare (EUR/USD, EUR/GBP). Serverseitiger Abruf über die öffentliche Chart-API ohne API-Schlüssel.

Internationale Übermittlungen

Hosting, Datenbank-Betrieb und SMTP-Versand erfolgen ausschließlich auf Servern in Deutschland/EU. KI-Inferenz erfolgt teilweise im EU-Raum (OpenAI Ireland Ltd. mit Unterauftragsverarbeitung durch OpenAI L.L.C. USA sowie Google Ireland Ltd. mit Unterauftragsverarbeitung durch Google LLC USA — jeweils auf Basis von Standardvertragsklauseln gem. Art. 46(2)(c) DSGVO und ergänzendem EU-DPF) und teilweise direkt in den USA (Anthropic PBC) bzw. Singapur (Manus AI / Butterfly Effect Pte Ltd) auf Basis von Standardvertragsklauseln gem. Art. 46(2)(c) DSGVO. Cloudflare Inc. (USA) ist EU-DPF-zertifiziert und ergänzend mit EU-Standardvertragsklauseln abgesichert.

Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert wie für die Leistungserbringung oder die Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich. Briefing-Verläufe und zugehörige Nutzungs-/Kostendaten werden nach Kontoschließung gelöscht oder anonymisiert; handels- und steuerrechtlich relevante Unterlagen bleiben für die gesetzlichen Aufbewahrungsfristen erhalten.

Löschanfragen werden über den Support unter support@kirla-webservices.com bearbeitet.

• Kontodaten: bis zur Kontolöschung; danach 14-tägige Grace-Period.
• Billing-Metadaten und steuerlich relevante Belege: 10 Jahre (§ 257 HGB, § 147 AO).
• Kaufzustimmungs-Nachweise (digitale Inhalte): mindestens 3 Jahre (§ 195 BGB).
• Sicherheits- und Audit-Logs: 365 Tage.
• KI-Verarbeitungs-Metadaten (Tokens, Kosten, Modell, Anbieter, Kostenkategorie): 365 Tage.
• Themenprofile und KI-gestützte Zusammenfassungen: bis zum Widerruf der Analytics-Einwilligung oder bis zur Pause/Löschung in Einstellungen → Datenschutz.
• Optionale Datenfreigaben: Einwilligungsnachweise mindestens 3 Jahre (§ 195 BGB); Sitzungsschlüssel und Ziel-URLs aus Roh-Ereignissen nach spätestens 30 Tagen entfernt, Konto-Zuordnung sitzungsbezogener Roh-Ereignisse nach spätestens 90 Tagen; pseudonyme Aktivitäts-Scores höchstens 90 Tage; anonyme Aggregate ohne Personenbezug unbefristet.
• Aufbewahrungsausnahmen ergeben sich aus handels- und steuerrechtlichen Pflichten (10 Jahre Billing-Metadaten gem. § 257 HGB / § 147 AO), aus Kaufzustimmungs-Nachweisen (mindestens 3 Jahre gem. § 195 BGB) sowie aus Sicherheits-Logs (365 Tage). Personenbezogene Daten ohne gesetzliche Aufbewahrungspflicht werden mit Kontolöschung gelöscht oder anonymisiert.
• Sicherheits- und Missbrauchspräventionsdaten können aufgrund berechtigter Interessen und gesetzlicher Pflichten aufbewahrt werden.
• Anonymisierung vs. Löschung: Wo eine vollständige Löschung wegen gesetzlicher Aufbewahrungspflichten nicht möglich ist (insbesondere Billing- und Kaufzustimmungs-Daten), werden personenbezogene Bezüge entfernt oder durch pseudonymisierte Surrogate ersetzt. Die so anonymisierten Daten lassen keinen Rückschluss auf die betroffene Person mehr zu.

Betroffenenrechte

Betroffene Personen können im gesetzlichen Rahmen Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch sowie Datenübertragbarkeit verlangen.

Anfragen können über die auf der Kontaktseite genannten Kontaktwege gestellt werden.

Cookies und Einwilligungskategorien

Unbedingt erforderliche Cookies dienen der Authentifizierung und Sitzungssicherheit sowie der Speicherung der Cookie-Einwilligung samt Versionsstand. Das Authentifizierungs-Cookie bleibt bei fortlaufender Nutzung bis zu 30 Tage ab der letzten Aktivität gültig (gleitendes Fenster) und längstens 90 Tage ab der Anmeldung; danach ist eine erneute Anmeldung erforderlich. Wer beim Login die Option „Auf diesem Gerät angemeldet bleiben“ abwählt, erhält stattdessen ein reines Sitzungscookie, das beim Schließen des Browsers gelöscht wird; ein kurzlebiges, technisch notwendiges Präferenz-Cookie hält diese Auswahl nur bis zum Abschluss der Anmeldung fest.

Ein Präferenz-Cookie speichert die Sprachauswahl — und auch dies nur nach einer aktiven Sprachumstellung und erteilter Einwilligung in die Kategorie „Präferenzen“.

Cloudflare Turnstile wird als Bot-Schutz auf ausgewählten missbrauchsgefährdeten Formularen eingesetzt (Kontaktformular, Warteliste, optionaler Passwort-Login, Passwort-Wiederherstellung). Der Dienst wird erst geladen, wenn mit dem jeweiligen Formular interagiert wird; beim bloßen Aufruf einer Seite findet keine Verbindung zu den Turnstile-Servern von Cloudflare (challenges.cloudflare.com) statt.

Im Rahmen der Prüfung verarbeitet Cloudflare die IP-Adresse, User-Agent- und Browser-Merkmale, den TLS-Fingerprint sowie Interaktionssignale; Cookies werden hierbei nicht gesetzt. Rechtsgrundlagen sind § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch und automatisierten Zugriffen). Die Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework (Cloudflare ist zertifiziert), ergänzend auf Grundlage der EU-Standardvertragsklauseln.

Eine oder mehrere optionale Kategorien sind in dieser Bereitstellung verfügbar und werden über die Cookie-Einstellungen gesteuert.

Die Einwilligung kann jederzeit unter „Cookie-Einstellungen“ (verlinkt im Footer) geändert oder widerrufen werden.

• Notwendig: immer aktiv für Sicherheit und Login.
• Präferenzen: per Einwilligung verfügbar (derzeit für Sprachpersistenz genutzt).
• Externe Dienste: per Einwilligung verfügbar (derzeit ohne Turnstile-Abhängigkeit).
• Analytics: per Einwilligung verfügbar (konfigurationsseitig aktiviert).
• Marketing: in dieser Bereitstellung derzeit inaktiv.

Sicherheit, Protokollierung sowie Account-/Billing-/E-Mail-Abläufe

Sicherheitsereignisse, Account-Recovery, Verifizierung, Billing-Abgleich und Zustellprozesse erzeugen betriebliche Protokolle und Metadaten, die für den sicheren Betrieb erforderlich sind.

• Passwort-Reset- und Account-Sicherheitsereignisse.
• Rate-Limit- und Missbrauchspräventions-Telemetrie.
• Metadaten zu Wallet- und Billing-Abgleich.
• Verifizierungs- und Zustellstatus von E-Mails.

Beschwerden und Aufsichtsbehörde

Zuständige Aufsichtsbehörde: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden

Anfragen können alternativ zunächst direkt an den Verantwortlichen oder den Support gerichtet werden.