Datenschutzerklärung

Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen und unseren Dienst nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

Datenerfassung auf dieser Website und im Dienst

Für Fragen zum Datenschutz wenden Sie sich jederzeit an uns: info@wertstapel.de

Hosting

Hetzner

Wir hosten unsere Website und die gesamte Plattforminfrastruktur bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (nachfolgend „Hetzner"). Alle Daten werden ausschließlich auf Servern innerhalb der Europäischen Union verarbeitet (Rechenzentren in Deutschland und Finnland).

Details entnehmen Sie der Datenschutzerklärung von Hetzner: hetzner.com/de/legal/privacy-policy.

Die Verwendung von Hetzner erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an zuverlässigem EU-Hosting) sowie Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Wir haben mit Hetzner einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen.

Allgemeine Hinweise und Pflichtinformationen

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Website und im Dienst ist:

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung widerrufen, werden Ihre Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (z. B. handels- oder steuerrechtliche Fristen von 6 oder 10 Jahren).

Rechtsgrundlagen der Datenverarbeitung

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung rechtlicher Verpflichtungen
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen

Widerruf Ihrer Einwilligung

Sie können eine bereits erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Widerspruchsrecht gegen Datenerhebung in besonderen Fällen (Art. 21 DSGVO)

Beschwerderecht bei der Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht Ihnen ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde zu. Die für uns zuständige Aufsichtsbehörde ist:

Recht auf Auskunft, Berichtigung, Löschung und Einschränkung

Sie haben jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten sowie ggf. ein Recht auf Berichtigung, Löschung oder Einschränkung der Verarbeitung. Wenden Sie sich dazu an: info@wertstapel.de

SSL-/TLS-Verschlüsselung

Diese Website und alle Datenübertragungen zur Plattform nutzen aus Sicherheitsgründen ausschließlich TLS 1.2 oder höher (HTTPS).

Registrierung und Nutzerkonto

Für die Nutzung der Plattform wertstapel.de ist die Erstellung eines Nutzerkontos erforderlich. Dabei erheben wir folgende Daten:

• E-Mail-Adresse (dient als einzige Login-Kennung)
• Bestätigung der unternehmerischen Eigenschaft (Checkbox-Protokoll mit Zeitstempel)
• Bestätigung der AGB und des Auftragsverarbeitungsvertrags (AVV) mit Zeitstempel und IP-Adresse – beim Start einer Verarbeitung und beim Kauf
• Optional: ob Sie Wertstapel als Kanzlei oder als GmbH-Geschäftsführer nutzen, sowie Name der Kanzlei bzw. GmbH (Angabe beim Kauf von Guthaben)
• Rechnungsdaten des Kontos (Firma, Anschrift, Land, USt-IdNr., Rechnungs-E-Mail, Referenz) – im Bezahlvorgang bei Stripe eingegeben und in Ihr Konto übernommen oder dort von Ihnen gepflegt
• Team: E-Mail-Adressen, Rolle und Mandantenberechtigungen von bis zu fünf eingeladenen Personen sowie Zeitpunkt der Einladung und der letzten Aktivität

Ein Passwort wird nicht vergeben. Die Anmeldung erfolgt ausschließlich über einen per E-Mail zugesandten Einmal-Link (Magic Link), der 15 Minuten gültig ist. Rechnungsadresse und USt-IdNr. erhebt Stripe im Bestellprozess; Stripe erstellt auch die Rechnung. Wir übernehmen diese Angaben in Ihr Konto, damit sie beim nächsten Kauf vorausgefüllt sind, und geben Änderungen, die Sie im Konto vornehmen, an Stripe weiter. Laden Sie Teammitglieder ein, verarbeiten wir deren E-Mail-Adresse, um die Einladung zu versenden und die Anmeldung zu ermöglichen; Grundlage ist Ihr berechtigtes Interesse an der gemeinsamen Nutzung (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Speicherdauer: Die E-Mail-Adresse und das Kaufkonto werden nach Vertragsbeendigung innerhalb von 30 Tagen gelöscht. Rechnungsbelege unterliegen der gesetzlichen Aufbewahrungspflicht (§ 147 AO: 10 Jahre).

Authentifizierung und Session-Cookie

Die Anmeldung erfolgt passwortlos über einen Magic Link. Nach Eingabe Ihrer E-Mail-Adresse senden wir einen Einmal-Link, der nach 15 Minuten ungültig wird.

Nach erfolgreicher Anmeldung setzen wir einen verschlüsselten Session-Cookie (Name: ws_session) mit einer Laufzeit von 365 Tagen. Der Cookie ist HttpOnly und Secure gesetzt – er ist für JavaScript nicht auslesbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderliche Cookies ohne Einwilligungspflicht).

Nutzung der SaaS-Plattform (Kernleistung)

Verarbeitete Daten beim Upload und der Konvertierung

Wenn Sie Dokumente oder Exportdateien (PDF, CSV, XLSX, XML) von Wertpapier-Transaktionen hochladen und konvertieren lassen, verarbeiten wir die in diesen Dokumenten enthaltenen Daten, insbesondere:

• Name und ggf. Adresse des Depotinhabers
• Depotnummer und Kontonummern (soweit im Dokument enthalten)
• Transaktionsdaten (Kaufdatum, Verkaufsdatum, Stückzahl, Preis, Gegenwert)
• Wertpapierbezeichnung, ISIN, WKN
• Dividenden- und Ertragsausschüttungen
• Steuerrelevante Kennzahlen (Teilfreistellungsquoten, Kapitalertragsteuer, Solidaritätszuschlag, Kirchensteuer)

Die Verarbeitung beginnt mit Ihrer Bestätigung beim Start („Buchungsstapel erstellen“) und ist bis zur Freischaltung des Downloads unentgeltlich. Vorher prüfen wir nach dem Hochladen nur, um welche Bank und welche Dokumentart es sich handelt; Dateien, die nicht verarbeitet werden können, löschen wir sofort.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 28 DSGVO (Auftragsverarbeitung gemäß AVV).

Weitergabe des Ergebnisses per E-Mail

Auf Ihren Wunsch senden wir die Ergebnis-Mail mit den Download-Links an eine von Ihnen angegebene Adresse, etwa an Ihre Steuerkanzlei. Die Adresse verwenden wir nur für diesen Versand und speichern sie nicht in Ihrem Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Mein Konto

Freigeschaltete Exporte ordnen wir in Ihrem Konto einem Mandanten bzw. einer Gesellschaft zu. Dort speichern wir die Exportdateien, die hochgeladenen Bankdateien, den daraus fortgeschriebenen Wertpapierbestand (Stück, Anschaffungskosten, Kurswert und von Ihnen eingetragene Buchwerte), Ihre Fonds-Einordnungen, die Buchungseinstellungen und einen Änderungsverlauf (wer hat wann was geändert). Die Bankdateien speichern wir verschlüsselt und verwenden sie nur, wenn Sie einen Export nach Änderungen neu erzeugen lassen. Zur Zuordnung „ein Depot je Gesellschaft und Bank“ lesen wir Depotnummer und Kontoinhaber aus den Bankdateien; Depotnummern speichern wir nur als Prüfwert (Hash) und mit den letzten vier Stellen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 28 DSGVO (AVV).

Speicherdauer der hochgeladenen Dokumente

• Nicht freigeschaltete Exporte: hochgeladene Dokumente (PDF, CSV, XLSX, XML) und Exportdateien löschen wir 24 Stunden nach ihrer Erstellung automatisch und unwiderruflich. Dateien, die nicht verarbeitet werden können, löschen wir sofort.
• Freigeschaltete Exporte: Exportdateien und Bankdateien (verschlüsselt) bleiben in „Mein Konto“ gespeichert, bis Sie sie löschen – einzeln je Export, alle Bankdateien eines Mandanten („Bankdateien löschen“) oder den Mandanten insgesamt. Spätestens 30 Tage nach Vertragsende löschen wir alle in „Mein Konto“ gespeicherten Daten.
• Verarbeitungsprotokolle (Logs): werden für 90 Tage zu Zwecken der Fehleranalyse gespeichert und danach gelöscht.

Keine Steuerberatung

Die erzeugten Buchungsdatensätze sind automatisiert generierte Vorschläge. Sie stellen keine Steuerberatung dar und ersetzen nicht die Prüfung durch einen zugelassenen Steuerberater.

Kein automatisiertes Entscheidungsverfahren (Art. 22 DSGVO)

Die erzeugten Buchungsvorschläge stellen keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO dar. Sie sind technische Verarbeitungsergebnisse, die zwingend einer menschlichen Prüfung durch den Auftraggeber oder dessen Steuerberater bedürfen.

Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten zum Zwecke der Bearbeitung Ihres Anliegens bei uns gespeichert und verarbeitet. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (sofern die Anfrage mit einem Vertrag zusammenhängt) oder Art. 6 Abs. 1 lit. f DSGVO in allen übrigen Fällen.

Cookies und Einwilligungsverwaltung

Technisch notwendige Cookies (z. B. der Session-Cookie ws_session nach dem Login) setzen wir ohne Einwilligung ein (§ 25 Abs. 2 Nr. 2 TDDDG). Alle übrigen Dienste – Google Analytics und Google Ads – laden wir erst, nachdem Sie eingewilligt haben. Ihre Auswahl können Sie jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich jeder Seite ändern oder widerrufen.

CCM19

Zur Einholung und Verwaltung Ihrer Einwilligungen nutzen wir das Consent-Tool CCM19.

Beim Aufruf unserer Website wird das CCM19-Skript von Servern des Anbieters geladen. Dabei verarbeitet CCM19 Ihre IP-Adresse (technisch zur Auslieferung) sowie Ihre Einwilligungsentscheidung: gewählte Schaltfläche, Einwilligungsstatus mit Datum der Erteilung und letzten Aktualisierung, freigegebene Dienste, Sprache des Banners und eine zufällige Kennung (UCID) zum Nachweis Ihrer Entscheidung. Diese Angaben werden in einem Cookie bzw. im lokalen Speicher Ihres Browsers abgelegt, damit der Banner nicht bei jedem Seitenaufruf erneut erscheint. Ihre Einwilligungsentscheidung speichern wir für 12 Monate; danach fragen wir erneut.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Nachweispflicht für Einwilligungen nach Art. 7 Abs. 1 DSGVO) sowie § 25 Abs. 2 Nr. 2 TDDDG. Mit dem Anbieter haben wir einen Vertrag über Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO geschlossen. Das Setzen von Cookies können Sie zusätzlich über die Einstellungen Ihres Browsers verhindern.

Analyse und Werbung

Google Analytics 4

Mit Ihrer Einwilligung nutzen wir den Webanalysedienst Google Analytics 4. Anbieter ist die Google Ireland Limited („Google“), Gordon House, Barrow Street, Dublin 4, Irland.

Google Analytics ermöglicht uns, die Nutzung unserer Website auszuwerten, etwa Seitenaufrufe, Verweildauer, Scrolltiefe, Klicks auf ausgehende Links, verwendetes Gerät und Betriebssystem, ungefähre Herkunft (Land, Region) sowie die Kampagne oder Website, über die Sie zu uns gekommen sind. Hierfür setzt Google Cookies (z. B. _ga, _ga_*), die Ihr Endgerät wiedererkennen. Eine Zuordnung zu einer User-ID erfolgt nicht; die Funktion „Google Signals“ ist deaktiviert. IP-Adressen werden in Google Analytics 4 nicht protokolliert oder gespeichert.

E-Commerce-Messung: Bei einem Kauf übermitteln wir Kaufbetrag, Währung und eine Transaktions-ID an Google Analytics, um auszuwerten, über welche Kanäle Käufe zustande kommen. Zusätzlich erfassen wir, dass eine Verarbeitung abgeschlossen oder ein Anmeldelink angefordert wurde – ohne Dateiinhalte, Dateinamen, Depot- oder Mandantenangaben.

Speicherdauer: Ereignisdaten werden nach 2 Monaten automatisch gelöscht. Die Cookies haben eine Laufzeit von bis zu 2 Jahren, sofern Sie sie nicht vorher löschen oder Ihre Einwilligung widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Die Einwilligung ist jederzeit über die Cookie-Einstellungen widerrufbar.

Auftragsverarbeitung und Drittlandübermittlung: Wir haben mit Google einen Vertrag zur Auftragsverarbeitung abgeschlossen. Die von Google erfassten Informationen können an Server der Google LLC in den USA übertragen werden. Google LLC ist nach dem EU-US Data Privacy Framework (DPF) zertifiziert (DPF-Eintrag); ergänzend gelten die Standardvertragsklauseln der EU-Kommission (Google Ads Data Processing Terms).

Widerspruch (Opt-out): Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen widerrufen; danach wird Google Analytics nicht mehr geladen. Zusätzlich können Sie die Erfassung durch Google Analytics mit dem Browser-Add-on zur Deaktivierung von Google Analytics verhindern (nur Desktop-Browser).

Weitere Informationen: Datenschutz bei Google Analytics · Datenschutzerklärung von Google

Google Ads und Conversion-Tracking

Wir schalten Anzeigen über Google Ads, ein Werbeprogramm der Google Ireland Limited (Anschrift s. o.). Mit Ihrer Einwilligung nutzen wir das Google-Ads-Conversion-Tracking: Klicken Sie auf eine unserer Anzeigen, wird ein Cookie gesetzt (z. B. _gcl_au), über das Google erkennt, ob nach dem Klick ein Kauf auf unserer Website erfolgt ist. Wir erhalten dabei nur statistische Auswertungen (z. B. Anzahl der Käufe je Anzeige und Suchbegriff), keine Informationen, mit denen wir Sie persönlich identifizieren könnten.

Erweiterte Conversions: Bei einem Kauf übermitteln wir Ihre E-Mail-Adresse in verschlüsselter, gehashter Form (SHA-256) an Google. Google gleicht diesen Wert mit angemeldeten Google-Konten ab, um Käufe den Anzeigenklicks zuzuordnen, und löscht ihn danach. Die E-Mail-Adresse wird nicht im Klartext übermittelt und von Google nicht für andere Zwecke verwendet.

Remarketing oder personalisierte Zielgruppen auf Grundlage Ihres Besuchs nutzen wir nicht.

Speicherdauer: Die Conversion-Cookies haben eine Laufzeit von 90 Tagen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung), jederzeit über die Cookie-Einstellungen widerrufbar. Für das Conversion-Tracking ist Google eigenständig Verantwortlicher nach den Google Ads Controller-Controller Data Protection Terms; für die erweiterten Conversions verarbeitet Google die Daten in unserem Auftrag nach den Google Ads Data Processing Terms. Zur Drittlandübermittlung gilt das oben zu Google Analytics Gesagte (DPF und Standardvertragsklauseln).

Transaktionale E-Mails (Brevo)

Für den Versand transaktionaler E-Mails (Registrierungsbestätigung, Rechnungen, Systembenachrichtigungen) nutzen wir den Dienst Brevo (ehemals Sendinblue).

Brevo verarbeitet zum Zweck der E-Mail-Zustellung Ihren Namen und Ihre E-Mail-Adresse sowie den Inhalt der jeweiligen E-Mail. Brevo hat keinen Zugriff auf hochgeladene PDF-Dokumente oder erzeugte Buchungsdaten.

Brevo SAS ist als französisches Unternehmen der DSGVO unmittelbar unterworfen. Eine Übermittlung personenbezogener Daten in Drittstaaten findet nicht statt. Wir haben mit Brevo einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Zahlungsabwicklung

Stripe

Die Zahlungsabwicklung erfolgt über den Zahlungsdienstleister:

Stripe verarbeitet ausschließlich die für die Zahlungsabwicklung erforderlichen Daten: Name, Rechnungsadresse, Zahlungsmitteldetails, Transaktionsbetrag und Transaktions-ID. Stripe hat keinen Zugriff auf hochgeladene PDF-Dokumente oder erzeugte Buchungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zahlungsabwicklung als Vertragsbestandteil).

Plugins und Tools

Google Fonts (lokales Hosting)

Diese Website verwendet Google Fonts zur einheitlichen Darstellung von Schriftarten. Die Schriftarten sind lokal auf unserem Server installiert. Eine Verbindung zu Servern von Google findet dabei nicht statt; Google erhält keinerlei Daten über Ihren Websitebesuch.

Auftragsverarbeitung durch den Anbieter (B2B)

Soweit Sie als Unternehmer die Plattform nutzen und dabei personenbezogene Daten hochladen und verarbeiten lassen, sind Sie im datenschutzrechtlichen Sinne der Verantwortliche (Art. 4 Nr. 7 DSGVO); wir sind Ihr Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

Zwischen Ihnen als Kunden und uns als Anbieter gilt daher der Auftragsverarbeitungsvertrag (AVV), den Sie im Rahmen des Vertragsschlusses akzeptiert haben. Den jeweils aktuellen AVV können Sie unter wertstapel.de/avv einsehen.