Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der DSGVO ist:

Lennard Gartenbröker
Dubelohstraße 266
33104 Paderborn-Schloß Neuhaus
E-Mail: l.gartenbroeker@buffety.net

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung erfolgt regelmäßig nur nach Einwilligung der Nutzer oder wenn eine gesetzliche Erlaubnis dies gestattet.

Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z.B. Newsletter, Cookies)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (z.B. Konto, Abo)
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (z.B. Buchhaltung)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (z.B. Server-Logs, Sicherheit)

3. SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Du erkennst eine verschlüsselte Verbindung an der Adresszeile des Browsers von „http://" auf „https://" und am Schloss-Symbol.

4. Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in Server-Log-Dateien, die dein Browser automatisch übermittelt:

• IP-Adresse (gekürzt bzw. anonymisiert)
• Browsertyp und Browserversion
• verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Funktionalität).

5. Konto-Registrierung

Bei der Registrierung eines Buffety-Kontos erheben wir:

• E-Mail-Adresse (zur Verifizierung + für Login)
• Benutzername (frei wählbar)
• Passwort (nur als PBKDF2-Hash gespeichert, niemals im Klartext)
• optional: 2FA-Secret bei aktivierter Zwei-Faktor-Authentifizierung

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Daten werden gespeichert solange dein Konto aktiv ist. Bei Löschung des Kontos werden alle personenbezogenen Daten entfernt — Audit-Logs bleiben anonymisiert (User-ID statt Name) gemäß gesetzlicher Aufbewahrungspflichten erhalten.

6. Trading-Daten

Im Rahmen des Paper-Trading speichern wir:

• von dir konfigurierte Bot-Parameter (Symbole, Risiko, Allocation)
• simulierte Positionen und Trades
• aggregierte Statistiken (PnL, Win-Rate, Drawdown)
• optional: Notizen und Tags zu einzelnen Trades

Diese Daten sind simuliert — Buffety führt keine echten Wertpapiergeschäfte aus. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Auftragsverarbeiter und Drittanbieter

Für den Betrieb von Buffety nutzen wir folgende Auftragsverarbeiter (Art. 28 DSGVO). Mit jedem davon haben wir entsprechende Auftragsverarbeitungsverträge geschlossen:

Vercel Inc. (Hosting Frontend)

Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Die Datenübertragung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln und des EU-U.S. Data Privacy Framework. Datenschutzerklärung: vercel.com/legal/privacy-policy

Railway Corp. (Hosting Backend + Datenbank)

Railway Corp., USA. Datenübertragung auf Grundlage der EU-SCC. Datenschutzerklärung: railway.com/legal/privacy

Heinlein Hosting GmbH / mailbox.org (E-Mail-Versand und -Empfang)

Heinlein Hosting GmbH, Schwedter Straße 8/9b, 10119 Berlin, Deutschland. Anbieter unserer geschäftlichen E-Mail-Korrespondenz (eingehende und ausgehende Mails an Adressen unter @buffety.net). Server stehen in Deutschland, vollständig DSGVO-konform, keine Drittland-Übermittlung. Datenschutzerklärung: mailbox.org/de/datenschutz

Resend Inc. (Transaktions-E-Mails)

Resend Inc., USA. Versand von System-E-Mails (Registrierungs-Bestätigung, Passwort-Reset, 2FA-Codes, Trade-Alerts). Datenübertragung auf Grundlage der EU-Standardvertragsklauseln. Datenschutzerklärung: resend.com/legal/privacy-policy

Marktdaten-Provider

Für Live-Marktdaten nutzen wir folgende Provider — diese erhalten keine personenbezogenen Daten, sondern nur anonyme Symbol-Anfragen:

• Finnhub Inc. (USA) — US-Aktien, ADRs, ETFs
• Binance Holdings Ltd. (Cayman Islands) — Krypto-Kurse
• OANDA Corporation (USA) — Forex-Kurse
• Yahoo Finance / Apache Software Foundation — Fallback für Index/Futures

Stripe Inc. (Zahlungsabwicklung — sofern aktiviert)

Für Subscription-Zahlungen nutzen wir Stripe Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA. Zahlungsdaten werden direkt von Stripe verarbeitet, Buffety speichert keine Kreditkartendaten. Datenschutzerklärung: stripe.com/de/privacy

8. Cookies und lokaler Speicher

Buffety verwendet so wenige Cookies wie möglich. Konkret:

• buffety_trust (HttpOnly-Cookie, 30 Tage) — wenn du beim Login „Diesem Gerät vertrauen" anklickst. Erlaubt 2FA-Bypass für 30 Tage.
• auth_token (localStorage) — dein JWT-Auth-Token für API-Zugriff
• buffety-theme (localStorage) — gespeicherte Theme-Wahl (Dark/Light/Auto)

Diese Daten verlassen niemals deinen Browser außer beim Auth-Token, der bei jeder API-Anfrage als Authorization-Header gesendet wird. Du kannst sie jederzeit löschen (Browser-Einstellungen → Lokale Daten löschen).

9. Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen aktivierst, speichern wir deinen Browser-spezifischen Push-Endpoint (Vapid-Standard). Diese Daten werden nur zum Versand von Trade-Alerts genutzt und beim Deaktivieren der Benachrichtigungen sofort gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

10. Deine Rechte

Du hast folgende Rechte gegenüber uns:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO) — „Recht auf Vergessenwerden"
• Recht auf Einschränkung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht auf Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO)

Um diese Rechte auszuüben, schreib uns an l.gartenbroeker@buffety.net.

11. Beschwerderecht

Du hast das Recht, dich über die Verarbeitung deiner personenbezogenen Daten bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem unser Sitz liegt:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Web: www.ldi.nrw.de

12. Datensicherheit

Wir treffen technische und organisatorische Sicherheitsmaßnahmen, um deine Daten gegen Manipulation, Verlust, Zerstörung oder Zugriff Unberechtigter zu schützen:

• SSL/TLS-Verschlüsselung der gesamten Kommunikation
• Passwort-Speicherung als PBKDF2-Hash mit 600.000 Iterationen
• 2FA via TOTP oder E-Mail-OTP (optional, aber empfohlen)
• JWT-basiertes Session-Management mit Revoke-Funktion
• Audit-Log für sicherheitskritische Aktionen
• Rate-Limiting auf Auth-Endpoints gegen Brute-Force

13. Aktualität dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, sofern dies aufgrund einer Änderung der Sach- oder Rechtslage erforderlich wird.

Stand: Juni 2026