Datenschutzerklärung

1. Begriffsbestimmungen

Diese Datenschutzerklärung verwendet die Begriffe der DS-GVO. Zentrale Begriffe sind unter anderem:

Personenbezogene Daten

— alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, etwa Name, E-Mail-Adresse oder IP-Adresse.

Verarbeitung

— jeder Vorgang im Zusammenhang mit personenbezogenen Daten, z. B. Erhebung, Speicherung, Verwendung, Übermittlung oder Löschung.

Verantwortlicher

— die natürliche oder juristische Person, die über Zwecke und Mittel der Verarbeitung entscheidet; im vorliegenden Fall der Betreiber von Research Assistant.

Auftragsverarbeiter

— ein Dienstleister, der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (z. B. Hosting-Anbieter, KI-Dienste).

Einwilligung

— eine freiwillig, informiert und eindeutig abgegebene Willenserklärung der betroffenen Person zur Verarbeitung ihrer Daten.

2. Verantwortlicher

Verantwortlicher im Sinne der DS-GVO ist der Betreiber der Research Assistant-Plattform. Bei datenschutzrechtlichen Fragen oder zur Ausübung Ihrer Rechte wenden Sie sich an:

3. Erhobene Daten und Verarbeitungszwecke

4. Einsatz von Drittdienstleistern

Für den Betrieb des Dienstes setzen wir folgende Auftragsverarbeiter ein, mit denen Verträge zur Auftragsverarbeitung gemäß Art. 28 DS-GVO bestehen:

• Anthropic (KI-Analyse): Textinhalte aus hochgeladenen Dokumenten werden zur Extraktion von Finanzkennzahlen an die API von Anthropic (USA) übermittelt. Anthropic verarbeitet diese Daten ausschließlich zur Erbringung des API-Dienstes. Es besteht ein Data Processing Agreement. Weitere Informationen: anthropic.com/privacy
• Cloudflare Turnstile (CAPTCHA): Bei der Registrierung wird ein CAPTCHA-Dienst von Cloudflare eingesetzt, um automatisierte Massenregistrierungen zu verhindern. Dabei werden technische Signale (u. a. IP-Adresse, Browser-Fingerprint) an Cloudflare übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DS-GVO. Weitere Informationen: cloudflare.com/privacypolicy
• Hosting und Datenbankbetrieb: Die Plattform und die Nutzerdatenbank werden auf einem Server in Deutschland/EU betrieben. Eine Verarbeitung außerhalb des EWR findet ausschließlich im Rahmen der oben genannten Dienste statt.
• E-Mail-Versand: Für den Versand von Verifizierungs- und Passwort-Reset-E-Mails nutzen wir einen SMTP-Dienstleister. Es werden ausschließlich transaktionale E-Mails versendet — kein Newsletter oder Marketing ohne Ihre ausdrückliche Einwilligung.

Ihre Daten werden nicht verkauft oder zu Werbezwecken an Dritte weitergegeben.

5. Lokaler Speicher (localStorage)

Research Assistant verwendet den lokalen Browserspeicher (localStorage) ausschließlich zur Speicherung Ihres Authentifizierungs-Tokens nach dem Login, damit Sie angemeldet bleiben. Es werden keine Tracking-Cookies, Werbe-Cookies oder Cookies von Drittanbietern eingesetzt. Ihr Authentifizierungs-Token wird beim Abmelden aus dem lokalen Speicher entfernt.

6. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Im Einzelnen:

• Kontodaten (E-Mail, Passwort-Hash): bis zur Kontolöschung, danach sofortige Löschung
• Analyseergebnisse und Nutzungshistorie: bis zur Kontolöschung
• Sicherheits- und Zugriffsprotokolle: 12 Monate ab Entstehung
• Hochgeladene Dokumente: unmittelbar nach Abschluss der Analyse
• Verifizierungs- und Reset-Tokens: spätestens nach Ablauf (24 h bzw. 1 h) oder nach Verwendung

Nach Ablauf der jeweiligen Frist werden die Daten routinemäßig und unwiderruflich gelöscht.

7. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. a DS-GVO (Einwilligung): Soweit wir für bestimmte Verarbeitungen Ihre ausdrückliche Einwilligung einholen (z. B. optionale Kommunikation).
• Art. 6 Abs. 1 lit. b DS-GVO (Vertragserfüllung): Für alle Verarbeitungen, die zur Erbringung des Dienstes notwendig sind — Kontoführung, Durchführung von Analysen, Bereitstellung der Ergebnisse.
• Art. 6 Abs. 1 lit. c DS-GVO (gesetzliche Pflicht): Soweit wir gesetzlichen Aufbewahrungspflichten unterliegen.
• Art. 6 Abs. 1 lit. f DS-GVO (berechtigtes Interesse): Für die Protokollierung sicherheitsrelevanter Ereignisse, die Abwehr von Angriffen und die Missbrauchsprävention — soweit Ihre Interessen und Grundrechte nicht überwiegen.

8. Ihre Rechte als betroffene Person

Nach der DS-GVO stehen Ihnen gegenüber uns folgende Rechte zu:

• Auskunft (Art. 15 DS-GVO): Sie können jederzeit Auskunft darüber verlangen, welche personenbezogenen Daten wir zu Ihrer Person gespeichert haben, zu welchem Zweck und wie lange.
• Berichtigung (Art. 16 DS-GVO): Sie haben das Recht, unrichtige oder unvollständige Daten berichtigen zu lassen.
• Löschung (Art. 17 DS-GVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern die Verarbeitung nicht mehr erforderlich ist oder keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung Ihres Kontos bewirkt die vollständige Löschung aller zugeordneten Daten.
• Einschränkung der Verarbeitung (Art. 18 DS-GVO): Unter bestimmten Voraussetzungen können Sie verlangen, dass wir die Verarbeitung Ihrer Daten einschränken.
• Datenübertragbarkeit (Art. 20 DS-GVO): Sie haben das Recht, die Sie betreffenden Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
• Widerspruch (Art. 21 DS-GVO): Soweit wir Daten auf Basis eines berechtigten Interesses verarbeiten, können Sie der Verarbeitung widersprechen, wenn Ihre persönliche Situation besondere Gründe hierfür liefert.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DS-GVO): Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich an: datenschutz@research-assistant.app

9. Automatisierte Entscheidungsfindung

Research Assistant nutzt KI zur Extraktion von Finanzkennzahlen aus Dokumenten. Diese Verarbeitung dient ausschließlich der Informationsgewinnung und hat keine rechtliche oder vergleichbar erhebliche Auswirkung auf Sie. Entscheidungen über Kreditwürdigkeit, Vertragsabschlüsse oder ähnliches werden von uns nicht automatisiert getroffen. Die erzeugten Auswertungen sind als Informationsgrundlage zu verstehen und stellen keine Anlage- oder Kaufempfehlung dar.

10. Beschwerderecht bei einer Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DS-GVO verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere in dem EU-Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. In Deutschland sind dies die jeweiligen Landesdatenschutzbehörden sowie der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI).

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich rechtliche Anforderungen ändern oder wir neue Dienste einführen. Wesentliche Änderungen teilen wir Ihnen per E-Mail oder durch einen deutlichen Hinweis auf der Plattform mit. Das Datum der letzten Aktualisierung ist jeweils oben angegeben.