1 Präambel

Van Sterling Capital Ltd. ist als von der Malta Financial Services Authority (MFSA) zugelassenes Wertpapierdienstleistungsunternehmen (Lizenznummer VANS-IF-9616) verpflichtet, die personenbezogenen Daten ihrer Kunden, Interessenten und Geschäftspartner mit der gebotenen Sorgfalt zu verarbeiten. Diese Richtlinie informiert Sie nach Art. 13 und 14 der Verordnung (EU) 2016/679 (DSGVO) darüber, welche personenbezogenen Daten wir erheben, zu welchen Zwecken und auf welcher Rechtsgrundlage wir sie verarbeiten, an wen wir sie übermitteln und welche Rechte Ihnen zustehen.

Maßgeblich für die Verarbeitung sind:

• die DSGVO und der Data Protection Act, Chapter 586 of the Laws of Malta;
• die ePrivacy-Richtlinie 2002/58/EG, in Malta umgesetzt durch die Electronic Communications Networks and Services (General) Regulations (S.L. 399.25), insbesondere für den Einsatz von Cookies und vergleichbaren Technologien;
• die Aufbewahrungs- und Dokumentationspflichten aus dem Investment Services Act (Cap. 370), den MFSA-Rulebooks, Art. 16 Abs. 7 MiFID II und der MiFIR;
• die Pflichten nach dem Prevention of Money Laundering Act (Cap. 373) und den FIAU Implementing Procedures Part I und Part II.

Diese Richtlinie gilt für die Websites smarter-investments.com und vansterling.com sowie deren Subdomains. Für die Plattform intokia.com — die auf einer technisch und rechtlich abweichenden Infrastruktur (Anlegerregister, Wertpapier-Onboarding, ggf. Drittstaaten-Distribution unter dem deutschen WIB-/Vollprospekt-Regime der BaFin) betrieben wird — gilt eine eigene Datenschutzerklärung, die mit Inbetriebnahme der Plattform veröffentlicht wird.

2 Verantwortlicher

Verantwortlicher für die Verarbeitung Ihrer personenbezogenen Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

Van Sterling Capital Ltd.
Nu Bis Centre, Mosta Road
MT – LJA 9012 Lija, Malta

Companies-Registriernummer: C 66549
MFSA-Lizenz Nr. VANS-IF-9616

Für sämtliche Fragen zur Verarbeitung Ihrer personenbezogenen Daten und zur Wahrnehmung Ihrer Betroffenenrechte erreichen Sie unseren Datenschutzbeauftragten unter:

Sven Büchel
Datenschutzbeauftragter nach Art. 37 DSGVO
Telefon: +356 27 289 615
E-Mail: dataprotection@vansterling.com

3 Übersicht der Datenverarbeitungen

Die folgende Übersicht fasst die Arten der von uns verarbeiteten personenbezogenen Daten, den Kreis der betroffenen Personen, die Verarbeitungszwecke und die Kategorien der Datenempfänger zusammen. Die Einzelheiten zu jedem Verarbeitungsvorgang finden Sie in den nachfolgenden Abschnitten.

3.1 Kategorien personenbezogener Daten

• Stammdaten: Vorname, Nachname, Geschlecht, Geburtsdatum, Geburtsort, Nationalität;
• Kontaktdaten: Anschrift, E-Mail-Adresse, Telefonnummer;
• Ausweis- und Identifikationsdaten: Ausweis-/Passnummer, Ausstellungsdaten, Lichtbildkopie, ggf. Aufenthaltsnachweis;
• Steuer- und Wohnsitzdaten: Steueridentifikationsnummer, Steuerresidenz, FATCA-/CRS-relevante Informationen;
• Bank- und Anlagekontodaten: Name der Bank, IBAN, BIC, Broker-/Anlagekonto-Nummer;
• AML-/KYC-Daten: Angaben zur Herkunft des Vermögens und der Mittel, Berufstätigkeit und Einkommensquelle, PEP-Status (politisch exponierte Person), Ergebnisse von Sanktions- und Adverse-Media-Screenings;
• Suitability- und Appropriateness-Daten (MiFID II): Angaben zur finanziellen Situation, Anlageerfahrung und Kenntnis von Finanzinstrumenten, Anlageziele und Risikobereitschaft im Sinne des Drei-Säulen-Bewertungssystems;
• Transaktions- und Auftragsdaten: erteilte Aufträge, ausgeführte Geschäfte, Portfoliobestände, abgerechnete Vergütungen;
• Kommunikationsdaten: E-Mail-Korrespondenz, Eingaben in Kontakt- und Online-Formularen, Aufzeichnungen von Telefonaten und elektronischer Kommunikation nach Art. 16 Abs. 7 MiFID II;
• Nutzungs-, Meta- und Verfahrensdaten: IP-Adresse, Zeitstempel des Zugriffs, abgerufene URL, Referrer-URL, Browsertyp und -version, Betriebssystem, Access-Provider, Audit- und Workflow-Protokolle.

3.2 Kreis der betroffenen Personen

• Nutzer — alle Besucher unserer Websites;
• Mitglieder — in unserem Mitgliederbereich registrierte Nutzer;
• Kommunikationspartner — Personen, die uns über Kontaktformulare, E-Mail oder Telefon kontaktieren;
• Kunden — Personen, mit denen ein Kunden- oder Vermögensverwaltungsverhältnis besteht oder angebahnt wird;
• Geschäfts- und Vertragspartner — Vermittler (Trading Mentors, Introducers, Marketing-Partner), Dienstleister, Berater.

3.3 Zwecke der Verarbeitung

• Bereitstellung und Funktionsfähigkeit der Website;
• Beantwortung von Anfragen und Durchführung vorvertraglicher Maßnahmen;
• Erfüllung von Verträgen und Erbringung von Wertpapierdienstleistungen;
• Erfüllung gesetzlicher und aufsichtsrechtlicher Pflichten (insbesondere KYC/AML-Prüfung, Suitability-/Appropriateness-Bewertung, Aufzeichnungs- und Aufbewahrungspflichten, steuerliche Meldepflichten);
• Sicherheit der Informationssysteme und Abwehr unberechtigter Zugriffe;
• Organisations- und Verwaltungsverfahren einschließlich CRM, Buchhaltung und internes Reporting.

3.4 Kategorien der Datenempfänger

• Auftragsverarbeiter nach Art. 28 DSGVO (Hosting, CRM, Sicherheits-Plugins, Sanktions-Screening) — eine konsolidierte Übersicht finden Sie in Anhang A;
• vertraglich gebundene Vermittler und Vertriebspartner im Rahmen der jeweiligen Geschäftsbeziehung;
• Ausführungsbroker, Verwahrstellen und Marktinfrastruktur (insbesondere Swissquote);
• zuständige Aufsichts- und Steuerbehörden (MFSA, FIAU, Inland Revenue, ausländische Steuerbehörden im Rahmen von FATCA/CRS) im gesetzlich vorgesehenen Umfang;
• Rechtsanwälte, Wirtschaftsprüfer und sonstige Berater, soweit dies zur Wahrnehmung berechtigter Interessen oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

4 Grundsätzliches zur Verarbeitung personenbezogener Daten

4.1 Personenbezogene Daten (Art. 4 Nr. 1 DSGVO)

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere durch Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser Person sind.

4.2 Rechtmäßigkeit der Verarbeitung (Art. 6 Abs. 1 DSGVO)

Wir verarbeiten personenbezogene Daten nur, wenn mindestens eine der folgenden Bedingungen erfüllt ist:

• Sie haben Ihre Einwilligung in die Verarbeitung für einen oder mehrere bestimmte Zwecke gegeben (Art. 6 Abs. 1 lit. a DSGVO);
• die Verarbeitung ist für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin erforderlich (lit. b);
• die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, der wir unterliegen — etwa nach PMLA, FIAU-Implementing-Procedures, MiFID II/MiFIR, FATCA/CRS oder steuerrechtlichen Aufzeichnungspflichten (lit. c);
• die Verarbeitung ist zur Wahrung unserer berechtigten Interessen oder der Interessen Dritter erforderlich, sofern Ihre Interessen oder Grundrechte und Grundfreiheiten nicht überwiegen (lit. f). Unsere berechtigten Interessen sind in den jeweiligen Abschnitten zu den einzelnen Verarbeitungsvorgängen konkret benannt.

4.3 Speicherdauer und Löschung

Wir verarbeiten personenbezogene Daten nach dem Grundsatz der Datenminimierung nur in dem für den jeweiligen Zweck erforderlichen Umfang und löschen sie, sobald der Verarbeitungszweck entfällt. Hiervon ausgenommen sind Daten, für die uns nachfolgende Aufbewahrungs- oder Dokumentationspflichten treffen:

• AML-/KYC-Unterlagen: fünf Jahre nach Beendigung der Geschäftsbeziehung oder Durchführung der Einzeltransaktion (Reg. 13 PMLR / FIAU IPs), durch die FIAU auf bis zu zehn Jahre verlängerbar;
• MiFID-II-Aufzeichnungen (Aufträge, Telefonate, elektronische Kommunikation, Suitability-/Appropriateness-Berichte): fünf Jahre, durch die MFSA auf bis zu sieben Jahre verlängerbar (Art. 16 Abs. 7 MiFID II i. V. m. MFSA Conduct of Business Rulebook);
• Buchhaltungs- und Steuerunterlagen: zehn Jahre nach Ablauf des betreffenden Geschäftsjahres (Companies Act, Cap. 386, Art. 163; Income Tax Management Act, Cap. 372, Art. 19);
• Zugriffs-Logfiles: siehe Abschnitt 6.4 und 6.10;
• Marketing- und Einwilligungsnachweise: für die Dauer der Einwilligung zuzüglich drei Jahre zu Beweiszwecken.

Die zuständige Aufsichtsbehörde (MFSA, FIAU oder eine andere zuständige Stelle) kann uns im Einzelfall zur Verlängerung der vorstehenden Fristen verpflichten; eine solche Verlängerung erfolgt nur auf konkrete, begründete Anordnung der Behörde, in der Regel mit vorheriger schriftlicher Mitteilung an uns. Wir informieren Sie auf Anfrage darüber, ob für die Sie betreffenden Daten eine derartige Verlängerung greift.

Nach Ablauf der jeweiligen Frist werden die Daten gesperrt und anschließend gelöscht oder anonymisiert, soweit nicht ausnahmsweise eine weitere Aufbewahrung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

5 Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen die nachfolgend zusammengefassten Rechte zu. Zur Wahrnehmung dieser Rechte können Sie sich jederzeit unter den in Abschnitt 2 genannten Kontaktdaten an uns wenden.

5.1 Auskunftsrecht (Art. 15 DSGVO)

Sie haben das Recht, von uns eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten verarbeitet werden, und in diesem Fall Auskunft über diese Daten und die in Art. 15 Abs. 1 DSGVO genannten Begleitinformationen — insbesondere Verarbeitungszwecke, Datenkategorien, Empfänger oder Kategorien von Empfängern, geplante Speicherdauer, Bestehen Ihrer weiteren Rechte, Quelle der Daten bei nicht direkter Erhebung sowie das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling.

5.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, von uns unverzüglich die Berichtigung unrichtiger und die Vervollständigung unvollständiger personenbezogener Daten zu verlangen.

5.3 Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, von uns die unverzügliche Löschung Sie betreffender personenbezogener Daten zu verlangen, sofern einer der in Art. 17 Abs. 1 DSGVO genannten Gründe vorliegt — insbesondere weil die Daten für die Verarbeitungszwecke nicht mehr erforderlich sind, Sie Ihre Einwilligung widerrufen, der Verarbeitung berechtigt widersprechen oder die Verarbeitung unrechtmäßig erfolgte. Die Löschung kann verweigert oder verzögert werden, soweit die Verarbeitung zur Erfüllung einer rechtlichen Aufbewahrungspflicht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 DSGVO).

5.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen, wenn Sie die Richtigkeit der Daten bestreiten, die Verarbeitung unrechtmäßig ist und Sie die Löschung ablehnen, wir die Daten nicht mehr benötigen, Sie sie aber zur Geltendmachung von Rechtsansprüchen brauchen, oder Sie Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben und noch nicht feststeht, ob unsere berechtigten Gründe überwiegen.

5.5 Recht auf Mitteilung (Art. 19 DSGVO)

Wir teilen jedem Empfänger, an den personenbezogene Daten offengelegt worden sind, eine Berichtigung, Löschung oder Einschränkung der Verarbeitung mit, es sei denn, dies erweist sich als unmöglich oder ist mit unverhältnismäßigem Aufwand verbunden. Auf Ihr Verlangen unterrichten wir Sie über diese Empfänger.

5.6 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder an einen anderen Verantwortlichen übermitteln zu lassen, sofern die Verarbeitung auf einer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt.

5.7 Recht auf Widerspruch (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht, Widerspruch einzulegen. Verarbeiten wir Ihre Daten zum Zwecke der Direktwerbung, können Sie dem jederzeit ohne Angabe von Gründen widersprechen.

5.8 Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Sie haben das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

5.9 Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Sie haben das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, soweit die Entscheidung nicht zum Vertragsabschluss oder zur Vertragserfüllung erforderlich ist, nach unionsrechtlichen oder mitgliedstaatlichen Vorschriften zulässig ist oder mit Ihrer ausdrücklichen Einwilligung erfolgt. Zur konkreten Ausgestaltung in unserer Geschäftstätigkeit siehe Abschnitt 6.12.

5.10 Recht auf Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO)

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere im Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt. Für Van Sterling Capital Ltd. ist die zuständige Aufsichtsbehörde:

Information and Data Protection Commissioner (IDPC)
Level 2, Airways House, High Street
Sliema SLM 1549, Malta
Telefon: +356 2328 7100
E-Mail: idpc.info@idpc.org.mt
Website: idpc.org.mt

Sie können Ihre Beschwerde alternativ bei der Aufsichtsbehörde Ihres Wohnsitzmitgliedstaats einreichen; diese leitet die Beschwerde gegebenenfalls an die IDPC weiter.

6 Erfassung personenbezogener Daten

Die nachfolgenden Abschnitte erläutern die einzelnen Verarbeitungsvorgänge im Zusammenhang mit unseren Websites smarter-investments.com und vansterling.com sowie deren Subdomains. Sofern personenbezogene Daten in Drittländer übermittelt werden, finden Sie hierzu Erläuterungen in Abschnitt 6.11.

6.1 Cookies und vergleichbare Technologien

Was sind Cookies? Cookies sind kleine Textdateien, die beim Besuch unserer Websites auf Ihrem Endgerät gespeichert werden. Sie ermöglichen es, Ihr Endgerät bei einem späteren Besuch wiederzuerkennen und bestimmte Funktionen bereitzustellen. Vergleichbare Technologien (z. B. Local Storage, Session Storage, Web Beacons) werden in dieser Richtlinie gleichgestellt behandelt.

Rechtsgrundlagen. Soweit Cookies für die Bereitstellung der von Ihnen ausdrücklich angeforderten Dienste zwingend erforderlich sind, setzen wir sie ohne Einwilligung auf Grundlage von Art. 5 Abs. 3 Satz 2 ePrivacy-Richtlinie (umgesetzt in Reg. 9 S.L. 399.25 Malta) ein. Für alle übrigen Cookies — insbesondere Präferenz-, Statistik- und Marketing-Cookies sowie Affiliate-Tracking — holen wir Ihre Einwilligung über unseren Consent-Manager ein (Art. 6 Abs. 1 lit. a DSGVO i. V. m. Reg. 9 S.L. 399.25). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen über den im Footer verlinkten Consent-Manager ändern.

Kategorien von Cookies:

• Notwendige Cookies — ermöglichen grundlegende Funktionen wie Seitennavigation, Anmeldung im Mitgliederbereich und sichere Datenübertragung;
• Präferenz-Cookies — speichern Informationen, die das Verhalten oder das Aussehen der Website verändern (z. B. Sprache oder Region);
• Statistik-Cookies — helfen, das Nutzungsverhalten anonymisiert oder pseudonymisiert auszuwerten;
• Marketing-Cookies — werden eingesetzt, um Besucher über Websites hinweg zu verfolgen und ihnen relevante Werbung anzuzeigen;
• Affiliate-Cookies — siehe nachfolgender Abschnitt.

Affiliate-Cookies

Verarbeitete Datenarten: Wenn Sie unsere Website über einen Link eines Vermittlungspartners aufrufen, der einen entsprechenden URL-Parameter enthält, wird mit Ihrer Einwilligung ein Cookie in Ihrem Browser gesetzt. Das Cookie enthält keine direkt personenbezogenen Daten, sondern einen kryptographisch erzeugten Identifikator des vermittelnden Partners.

Betroffene Personen: Nutzer. Zwecke: Zuordnung einer über den Partner erfolgten Vermittlung zur korrekten Provisionsabrechnung. Empfänger: verbundene Unternehmen und vertraglich gebundene Vermittlungspartner im Rahmen der Abrechnung. Dauer der Speicherung: 14 Tage, danach automatische Löschung durch den Browser. Rechtsgrundlage: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO i. V. m. Reg. 9 S.L. 399.25. Eine Berufung auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO ist wegen der Sperrwirkung der ePrivacy-Vorgaben nicht möglich.

Die detaillierte Auflistung der konkret eingesetzten Cookies (Name, Anbieter, Zweck, Laufzeit) wird durch das Consent-Management-Plugin Complianz automatisch generiert und ist über den Cookie-Banner abrufbar; sie umfasst zudem länderspezifische Hinweise für Nutzer aus der EU, dem Vereinigten Königreich, den USA, Kanada, Australien, Südafrika und Brasilien.

6.2 Social Plugins

Wir setzen Social Plugins erst nach aktiver Bestätigung durch Sie ein („Zwei-Klick-Lösung“). Beim ersten Aufruf unserer Seiten wird keine direkte Verbindung zu den Servern des jeweiligen Anbieters hergestellt. Erst durch Aktivierung des entsprechenden Buttons stellen Sie selbst eine Verbindung her und übermitteln dabei mindestens Ihre IP-Adresse und gerätespezifische Informationen an den Anbieter. Auf Inhalt und Verwendung der so übermittelten Daten haben wir keinen Einfluss.

LinkedIn. Anbieter ist die LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland. Eine Übermittlung in die USA an die LinkedIn Corporation erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023) sowie ergänzend auf Grundlage der EU-Standardvertragsklauseln. Weitere Informationen: https://de.linkedin.com/legal/privacy-policy.

6.3 Google Fonts (lokal gehostet)

Wir nutzen Schriftarten von Google Fonts, die lokal auf unserem eigenen Server installiert sind. Beim Aufruf unserer Websites werden keine Verbindungen zu Google-Servern hergestellt und keine personenbezogenen Daten an Google übermittelt. Rechtsgrundlage für die Verwendung der Schriften ist unser berechtigtes Interesse an einer einheitlichen und ansprechenden Darstellung unseres Online-Angebots (Art. 6 Abs. 1 lit. f DSGVO).

6.4 Bereitstellung der Website und Webhosting

Zur Bereitstellung unserer Websites nutzen wir Speicherplatz, Rechenkapazität und Software, die wir von einem Dienstleister beziehen. Beim Aufruf unserer Websites verarbeiten wir die IP-Adresse, um die Inhalte an Ihr Endgerät übermitteln zu können.

Verarbeitete Datenarten: Nutzungsdaten (IP-Adresse, Zeitpunkt des Zugriffs, abgerufene URL, Referrer-URL, Browser- und Betriebssysteminformationen, Access-Provider), Meta- und Verfahrensdaten. Betroffene Personen: Nutzer. Zwecke: Bereitstellung des Onlineangebots, Sicherstellung der Funktionsfähigkeit, IT-Sicherheit. Dauer der Speicherung: Server-Logfiles werden monatlich komprimiert archiviert. Es werden maximal zehn Protokolldateien vorgehalten; danach wird die jeweils älteste Datei überschrieben. Davon ausgenommen sind Daten, deren Aufbewahrung zu Beweiszwecken erforderlich ist. Rechtsgrundlage: berechtigte Interessen an einer stabilen und sicheren Bereitstellung des Onlineangebots (Art. 6 Abs. 1 lit. f DSGVO).

Dienstleister:

• Host Europe GmbH, Hansestraße 111, 51149 Köln, Deutschland
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland.

Mit den Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

E-Mail-Versand und -Hosting. Unsere Webhosting-Leistungen umfassen den Versand, den Empfang und die Speicherung von E-Mails. Hierbei werden Empfänger- und Absenderadressen, Metadaten des Versands sowie die Inhalte der E-Mails verarbeitet, unter anderem zur Erkennung von Spam. Wir weisen darauf hin, dass E-Mails im Internet regelmäßig nur auf dem Transportweg verschlüsselt werden; ohne Ende-zu-Ende-Verschlüsselung können wir für den Übertragungsweg keine Vertraulichkeit gewährleisten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

6.5 Kontaktanfragen und Kommunikation

Wenn Sie uns über das Kontaktformular, per E-Mail oder telefonisch erreichen, verarbeiten wir die von Ihnen mitgeteilten Angaben zur Bearbeitung Ihrer Anfrage und für etwaige Anschlussfragen. Verarbeitete Datenarten: Stamm-, Kontakt-, Inhalts- und Nutzungsdaten. Betroffene Personen: Kommunikationspartner. Zwecke: Beantwortung der Anfrage, Durchführung vorvertraglicher Maßnahmen. Empfänger: verbundene Unternehmen, soweit zur Bearbeitung erforderlich. Dauer der Speicherung: bis zur Erledigung der Anfrage, anschließend für die Dauer etwaiger handels- und steuerrechtlicher Aufbewahrungsfristen; Daten, die im Rahmen einer Vertragsanbahnung erhoben wurden, die nicht zum Vertragsschluss geführt hat, werden nach drei Jahren gelöscht. Rechtsgrundlage: Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) oder berechtigtes Interesse an der Bearbeitung allgemeiner Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

6.6 Nutzerregistrierung und Mitgliederbereich (Ultimate Member)

Wir bieten Ihnen die Möglichkeit, sich für unseren Mitgliederbereich zu registrieren. Die Registrierung erfolgt über das Plugin Ultimate Member. Verarbeitete Datenarten: Pflichtangabe ist die E-Mail-Adresse als Login-Kennung. Optionale Angaben (z. B. Vor- und Nachname) können Sie in Ihrem Account-Bereich freiwillig hinterlegen. Zur Gewährleistung der Sicherheit werden bei Registrierung und Login zudem Ihre IP-Adresse sowie Datum und Uhrzeit gespeichert. Betroffene Personen: Mitglieder. Zwecke: Zugang zu geschützten Inhalten und Funktionen, Identifikation und Kommunikation (z. B. Passwort-Reset), Sicherheit des Mitgliederbereichs. Empfänger: Ultimate Member gibt keine Benutzerinformationen über die Website hinaus weiter; eine Übermittlung an Auftragsverarbeiter erfolgt nur im Rahmen unseres Webhostings (siehe 6.4). Dauer der Speicherung: Ihre Daten werden gelöscht, sobald Sie Ihren Account deaktivieren oder deren Löschung verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Rechtsgrundlage: Erfüllung des Nutzungsvertrags für den Mitgliederbereich und Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

6.7 Kundenvereinbarung

Für Interessenten, die eine Kundenvereinbarung mit uns schließen möchten, stellen wir auf unserer Website ein Formular zur Verfügung (Plugin „Contact Form 7“). Die im Rahmen des Onboarding-Prozesses erhobenen Daten werden ergänzt durch Angaben, die wir im Rahmen unserer aufsichtsrechtlichen Pflichten (KYC/AML, Suitability/Appropriateness) zusätzlich erheben.

Verarbeitete Datenarten: Stammdaten, Kontaktdaten, Ausweis- und Identifikationsdaten, Steuer- und Wohnsitzdaten, Bank- und Anlagekontodaten, AML-/KYC-Daten, Suitability-/Appropriateness-Daten, Inhaltsdaten aus dem Formular einschließlich des angegebenen Anlagebetrags. Betroffene Personen: Kunden, Interessenten. Zwecke: Durchführung vorvertraglicher Maßnahmen, Erfüllung des Kundenvertrags und Erbringung der Wertpapierdienstleistung, Erfüllung gesetzlicher und aufsichtsrechtlicher Pflichten (insbesondere PMLA, FIAU Implementing Procedures, MiFID II Art. 25 Abs. 2 und 3, FATCA/CRS). Empfänger: Auftragsverarbeiter für Sanktions- und Adverse-Media-Screening (Muinmos ApS); Ausführungsbroker (Swissquote); zuständige Aufsichts- und Steuerbehörden im gesetzlich vorgesehenen Umfang. Dauer der Speicherung: siehe Abschnitt 4.3; AML-Unterlagen mindestens fünf Jahre nach Beendigung der Geschäftsbeziehung, MiFID-II-Aufzeichnungen mindestens fünf Jahre, Buchhaltungs- und Steuerunterlagen zehn Jahre. Rechtsgrundlage: Erfüllung des Vertrags und Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) sowie Erfüllung rechtlicher Verpflichtungen nach PMLA, FIAU-IPs, MiFID II und FATCA/CRS (Art. 6 Abs. 1 lit. c DSGVO).

6.8 Kundenverwaltung (Teamleader)

Zur Verwaltung der Kundenbeziehungen setzen wir das CRM-System Teamleader der Teamleader NV, Dok-Noord 3A/101, 9000 Gent, Belgien, ein. Die über unsere Website erhobenen Account- und Vertragsdaten werden in das CRM übertragen. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Verarbeitete Datenarten: Stammdaten, Kontaktdaten, Vertrags- und Kommunikationsdaten, Transaktions- und Auftragsdaten. Betroffene Personen: Kunden, Interessenten, Geschäftspartner. Zwecke: Verwaltung der Kunden- und Geschäftsbeziehung, Dokumentation der Kommunikation, internes Reporting. Empfänger: Teamleader NV als Auftragsverarbeiter. Dauer der Speicherung: für die Dauer der Kundenbeziehung und anschließend für die Dauer der gesetzlichen Aufbewahrungsfristen (siehe 4.3). Rechtsgrundlage: berechtigtes Interesse an einer professionellen Kundenverwaltung (Art. 6 Abs. 1 lit. f DSGVO); soweit zur Vertragserfüllung erforderlich, Art. 6 Abs. 1 lit. b DSGVO.

6.9 Aufzeichnung telefonischer und elektronischer Kommunikation (MiFID II)

Als MFSA-lizensiertes Wertpapierdienstleistungsunternehmen sind wir nach Art. 16 Abs. 7 MiFID II verpflichtet, alle Telefonate und elektronische Kommunikation aufzuzeichnen, die sich auf die Annahme, Übermittlung oder Ausführung von Aufträgen sowie auf das Geschäft für eigene Rechnung beziehen. Diese Pflicht gilt auch für Gespräche, die nicht zu einer Transaktion führen.

Verarbeitete Datenarten: Audioaufzeichnungen telefonischer Kommunikation, E-Mail-Korrespondenz, Inhalte elektronischer Nachrichten (z. B. Messenger, sofern für die Auftragsannahme verwendet), Metadaten (Datum, Uhrzeit, beteiligte Personen). Betroffene Personen: Kunden, Interessenten, Mitarbeiter. Zwecke: Erfüllung gesetzlicher Aufzeichnungspflichten, Nachweis der ordnungsgemäßen Auftragsausführung, Streitbeilegung, Beweissicherung gegenüber Aufsichtsbehörden. Empfänger: die MFSA und andere zuständige Aufsichtsbehörden auf Anforderung; Auftragsverarbeiter im Bereich Kommunikationsinfrastruktur. Dauer der Speicherung: fünf Jahre, durch die MFSA auf bis zu sieben Jahre verlängerbar. Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung nach Art. 16 Abs. 7 MiFID II und MFSA Conduct of Business Rulebook (Art. 6 Abs. 1 lit. c DSGVO).

Auf Verlangen stellen wir Ihnen Kopien der Aufzeichnungen, die im Zusammenhang mit Ihren Aufträgen stehen, für den Aufbewahrungszeitraum zur Verfügung.

6.10 Datensicherheit und Verschlüsselung

SSL-/TLS-Verschlüsselung. Unsere Websites nutzen aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt und ein Schloss-Symbol angezeigt wird.

Transportverschlüsselung beim E-Mail-Versand. Für E-Mails, die aus unseren Formularen versandt werden, setzen wir Transport Layer Security (TLS) ein. Ein lückenloser Schutz über den gesamten Übertragungsweg ist jedoch nicht garantiert, sofern der empfangende Mailserver keine Verschlüsselung unterstützt.

Shield Security Pro. Zur Absicherung unserer Website gegen Missbrauch, Spam und Cyberangriffe (z. B. Brute-Force-Attacken) setzen wir das Sicherheits-Plugin Shield Security Pro der Fernleaf Systems Ltd. ein. Das Plugin nutzt unter anderem eine integrierte, automatisierte Bot-Erkennung (silentCAPTCHA), die serverseitig ohne das Setzen von Cookies arbeitet. Zur präventiven Abwehr bekannter Angreifer lädt das Plugin regelmäßig eine weltweite Liste bösartiger IP-Adressen von der Sicherheitsplattform CrowdSec (CrowdSec SAS, Frankreich) herunter und gleicht diese lokal auf unserem Server ab. IP-Adressen unauffälliger Besucher werden hierbei nicht an CrowdSec übertragen. Sollte von einer IP-Adresse jedoch ein verifiziertes Angriffsverhalten auf unsere Website ausgehen, wird diese spezifische IP-Adresse nebst technischen Metadaten (Zeitpunkt, Art des Angriffs) an CrowdSec gemeldet, um das globale Sicherheitsnetzwerk zu speisen. Diese Daten werden bei CrowdSec zu Sicherheitszwecken verarbeitet und nach spätestens 6 Monaten durch IP- und Zeit-Blurring vollständig anonymisiert. Verarbeitete Datenarten: Nutzungsdaten (IP-Adresse, Datum/Uhrzeit, Browsertyp, aufgerufene URL, Login-Versuche). Betroffene Personen: Nutzer. Zwecke: Schutz vor Brute-Force-Angriffen, Spam und Schadsoftware. Empfänger: Die Daten verbleiben primär auf unserem Server. Zur Erkennung globaler Bedrohungen erfolgt ein Abgleich mit dem CrowdSec-Netzwerk; dabei werden IP-Daten in pseudonymisierter Form ausgetauscht. Dauer der Speicherung: Sicherheits-Logs werden nach sieben Tagen gelöscht. Rechtsgrundlage: berechtigtes Interesse an der IT-Sicherheit und der Abwehr von Schadaktivitäten auf unserer Website (Art. 6 Abs. 1 lit. f DSGVO).

Technische und organisatorische Maßnahmen (TOM). Wir treffen nach Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen unter anderem Zugangs- und Zugriffskontrollen, Verschlüsselung im Transport und im Ruhezustand, Trennung von Test- und Produktivsystemen, regelmäßige Sicherheitsupdates, Datensicherungen sowie ein internes Berechtigungskonzept.

6.11 Übermittlung in Drittländer

Soweit wir personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) übermitteln, geschieht dies ausschließlich auf einer der folgenden Rechtsgrundlagen:

• Adäquanzbeschluss der Europäischen Kommission nach Art. 45 DSGVO — insbesondere für Übermittlungen in die Schweiz (z. B. an Swissquote im Rahmen der Auftragsausführung) sowie für zertifizierte Empfänger in den USA unter dem EU-US Data Privacy Framework (z. B. LinkedIn);
• Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO, in Verbindung mit ergänzenden Schutzmaßnahmen, soweit die übermittelnde Stelle dies aufgrund einer Transfer Impact Assessment für erforderlich hält;
• Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO, soweit kein Adäquanzbeschluss und keine geeigneten Garantien einschlägig sind und Sie nach Aufklärung über die möglichen Risiken eingewilligt haben.

Eine Übersicht über die konkreten Drittlandübermittlungen und die jeweiligen Schutzmaßnahmen stellen wir Ihnen auf Anfrage zur Verfügung.

6.12 Automatisierte Entscheidungsfindung und Profiling

Im Rahmen des Onboarding-Prozesses bewerten wir Ihre Eignung für unsere Dienstleistungen anhand des in Art. 25 Abs. 2 und 3 MiFID II vorgesehenen Drei-Säulen-Systems (finanzielle Tragfähigkeit, Kenntnisse und Erfahrung, Anlageziele und Risikobereitschaft). Die Bewertung wird durch das regelbasierte Onboarding- und Compliance-Scoring-System Muinmos (Muinmos ApS, Dänemark) unterstützt, das die von Ihnen mitgeteilten Angaben in standardisierten Kategorien zusammenführt und ein indikatives Scoring-Ergebnis erzeugt.

Die abschließende Entscheidung über die Annahme einer Kundenbeziehung sowie über die Geeignetheit eines Finanzinstruments oder einer Dienstleistung trifft stets ein Mitarbeiter unter Berücksichtigung des Scoring-Ergebnisses, der vorgelegten Dokumente und etwaiger Rückfragen. Ergänzend findet regelmäßig ein persönliches Gespräch mit der Kundin oder dem Kunden statt, in dem offene Punkte geklärt und das Bewertungsergebnis individuell besprochen werden. Eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung im Sinne von Art. 22 Abs. 1 DSGVO findet damit nicht statt. Sollten Sie hierzu nähere Auskünfte wünschen, wenden Sie sich an die in Abschnitt 2 genannten Kontaktdaten.

6.13 Aufsichtsrechtliche Transaktionsmeldungen (MiFIR Art. 26)

Als MFSA-lizensiertes Wertpapierdienstleistungsunternehmen sind wir nach Art. 26 der Verordnung (EU) 600/2014 (MiFIR) verpflichtet, vollständige und genaue Meldungen aller von uns ausgeführten oder veranlassten Transaktionen in Finanzinstrumenten an die zuständige nationale Behörde (Malta Financial Services Authority) zu übermitteln. Verarbeitete Datenarten: nationale Kundenkennung gemäß RTS 22 (für natürliche Personen ein aus Geburtsdaten und Namensbestandteilen abgeleiteter Identifier), Identifikation der Entscheidungsträger und ausführenden Personen, Transaktions- und Instrumentenangaben. Betroffene Personen: Kunden, in deren Auftrag wir Transaktionen ausführen oder veranlassen, sowie Entscheidungs- und Ausführungsverantwortliche. Zwecke: Erfüllung der MiFIR-Meldepflicht. Empfänger: Malta Financial Services Authority. Dauer der Speicherung: fünf Jahre, durch die MFSA verlängerbar. Rechtsgrundlage: Erfüllung einer rechtlichen Verpflichtung nach Art. 26 MiFIR (Art. 6 Abs. 1 lit. c DSGVO).

7 Datenherkunft bei nicht direkter Erhebung (Art. 14 DSGVO)

Soweit wir personenbezogene Daten nicht unmittelbar bei Ihnen erheben, stammen die Daten typischerweise aus folgenden Quellen:

• vermittelnde Vertragspartner (Trading Mentors, Introducers, Marketing-Partner), die uns Ihre Kontaktdaten und ggf. weitere für die Anbahnung der Geschäftsbeziehung erforderliche Angaben übermitteln;
• Anbieter von Sanktions-, PEP- und Adverse-Media-Screenings im Rahmen unserer KYC-/AML-Pflichten (Muinmos);
• Auskunfteien und öffentliche Register (Handelsregister, Insolvenzbekanntmachungen, EU-Sanktionslisten);
• zuständige Aufsichts- und Steuerbehörden im Rahmen aufsichtsrechtlicher oder steuerlicher Anfragen.

Die Kategorien dieser Daten entsprechen den unter 3.1 aufgeführten; sie werden zu den unter 3.3 genannten Zwecken verarbeitet und auf den unter 4.2 sowie in den Abschnitten 6.5 bis 6.9 genannten Rechtsgrundlagen gestützt.

8 Änderung und Aktualisierung dieser Richtlinie

Wir behalten uns vor, diese Richtlinie anzupassen, um sie an Änderungen der rechtlichen Anforderungen, der aufsichtsrechtlichen Praxis oder unserer Dienstleistungen anzupassen. Die jeweils aktuelle Fassung mit Versionsnummer und Datum finden Sie auf unserer Website. Bei wesentlichen Änderungen — insbesondere solchen, die neue Verarbeitungszwecke oder Empfängerkategorien betreffen — informieren wir Sie zusätzlich in geeigneter Weise, etwa per E-Mail oder durch einen deutlichen Hinweis bei Ihrem nächsten Besuch unserer Websites.

Anhang A — Register der Auftragsverarbeiter

Die nachfolgende Übersicht listet die Auftragsverarbeiter im Sinne von Art. 28 DSGVO auf, mit denen wir bei der Erbringung unserer Dienstleistungen zusammenarbeiten. Mit jedem dieser Auftragsverarbeiter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Die Übersicht wird laufend aktualisiert; die jeweils aktuelle Fassung erhalten Sie auf Anfrage über die in Abschnitt 2 genannten Kontaktdaten.