Rechtliches

Datenschutz

Archival — Finanzinformationsplattform für Privatanleger archival.at Stand: Juni 2026

Inhalt

  • § 1 Allgemeines und Verantwortlicher
  • § 2 Welche Daten wir erheben
  • § 3 Zweck der Datenverarbeitung
  • § 4 KI-Verarbeitung und Pseudonymisierung
  • § 5 Cookies
  • § 6 Hosting, Content Delivery und technischer Betrieb
  • § 7 Zahlungsabwicklung (Stripe)
  • § 8 E-Mail-Kommunikation
  • § 9 Push-Benachrichtigungen
  • § 10 Weitergabe an Dritte
  • § 11 Übermittlung in Drittstaaten
  • § 12 Speicherfristen und Löschung
  • § 13 Ihre Datenschutzrechte
  • § 14 Aktualisierung dieser Erklärung

§ 1 Allgemeines und Verantwortlicher

Der Schutz Ihrer personenbezogenen Daten ist uns ein besonderes Anliegen. Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der geltenden Datenschutzvorschriften, insbesondere der Datenschutz-Grundverordnung (DSGVO) sowie des österreichischen Datenschutzgesetzes (DSG).

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).

Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Archival FlexCo in Gründung vertreten durch die Geschäftsführer: Wladislav Kudelko und Sascha Schwandt Schindlerstraße 1/7/42, 3100 St. Pölten, Österreich E-Mail: [email protected] Website: https://archival.at

§ 2 Welche Daten wir erheben

2.1 Bei der Registrierung

Beim Anlegen eines Nutzerkontos erheben wir folgende Daten:

  • E-Mail-Adresse
  • Selbst gewähltes Passwort (gespeichert ausschließlich als verschlüsselter Hash)
  • Zeitpunkt der Registrierung sowie Zeitpunkt Ihrer Zustimmung zu den AGB und der Kenntnisnahme der Datenschutzerklärung

Sofern Sie später in Ihrem Profil einen Vornamen angeben, wird dieser verschlüsselt gespeichert.

2.2 Bei der Nutzung der Plattform

Im Rahmen der laufenden Nutzung können folgende Daten anfallen:

  • Geräteinformationen (Betriebssystem, Browser-Typ und -version)
  • IP-Adresse bei jedem Seitenaufruf
  • Zeitpunkt und Dauer von Sitzungen
  • Aufgerufene Inhalte und Funktionen

2.3 Beim Depot-Import (CSV, XLSX oder PDF)

Wenn Sie Ihre Depotzusammensetzung durch Upload einer Datei (CSV-, XLSX- oder PDF-Format) eintragen, verarbeiten wir:

  • Wertpapierbezeichnungen und ISINs
  • Stückzahlen und Kaufpreise
  • Kaufdaten (soweit in der Datei enthalten)

Die hochgeladene Datei wird nach erfolgreicher Verarbeitung nicht dauerhaft als Originaldatei gespeichert. Es werden ausschließlich die daraus extrahierten strukturierten Daten (Wertpapier, Menge, Kaufpreis) gespeichert.

2.4 Bei Zahlungsvorgängen

Für die Abwicklung von Abonnementzahlungen werden Zahlungsdaten ausschließlich durch unseren Zahlungsdienstleister Stripe verarbeitet. Wir selbst speichern keine vollständigen Kreditkarten- oder Kontodaten.

2.5 Bei Kontaktaufnahme

Wenn Sie uns per E-Mail kontaktieren, speichern wir Ihre E-Mail-Adresse sowie den Inhalt Ihrer Nachricht zur Bearbeitung Ihrer Anfrage.

§ 3 Zweck der Datenverarbeitung

Wir verarbeiten Ihre Daten zu folgenden Zwecken:

  • Bereitstellung und Betrieb der Plattform (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung)
  • Verwaltung Ihres Nutzerkontos und Ihres Abonnements (Art. 6 Abs. 1 lit. b DSGVO)
  • Darstellung Ihrer Depotzusammensetzung und zugehöriger Finanzinformationen (Art. 6 Abs. 1 lit. b DSGVO)
  • Bereitstellung KI-gestützter Kontextantworten auf Basis Ihrer pseudonymisierten Depotdaten (Art. 6 Abs. 1 lit. b DSGVO — siehe § 4)
  • Versand von Transaktionsnachrichten (Registrierungsbestätigung, Zahlungsbestätigung) (Art. 6 Abs. 1 lit. b DSGVO)
  • Versand von Push-Benachrichtigungen mit Finanzinformationen, sofern Sie zugestimmt haben (Art. 6 Abs. 1 lit. a DSGVO — Einwilligung)
  • Technischer Betrieb, Sicherheit und Stabilität der Plattform (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse)
  • Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO)

§ 4 KI-Verarbeitung und Pseudonymisierung

4.1 Einsatz von Claude (Anthropic)

Zur Bereitstellung KI-gestützter Funktionen (insbesondere kontextbezogener Antworten im Analyse-Chat) nutzen wir die Claude API von Anthropic. Vertragspartner und Auftragsverarbeiter für Kunden im Europäischen Wirtschaftsraum ist Anthropic Ireland, Limited. Muttergesellschaft ist Anthropic, PBC, 548 Market Street PMB 90375, San Francisco, CA 94104-5401, USA; eine Verarbeitung kann auf Servern in den USA erfolgen (siehe § 4.5).

Hinweis gemäß Art. 50 der Verordnung (EU) 2024/1689 (KI-Verordnung): Bei den Analyse- und Chat-Funktionen der Plattform interagieren Sie mit einem KI-System, nicht mit einem Menschen. KI-generierte Inhalte werden auf der Plattform als solche gekennzeichnet.

4.2 Was an Claude übertragen wird

An die Claude API werden ausschließlich folgende pseudonymisierte Daten übertragen:

  • Es wird keine Nutzer-ID und kein sonstiges identifizierendes Merkmal übertragen; die Zuordnung der nachfolgend genannten Daten zu Ihrem Konto verbleibt ausschließlich auf unseren Servern
  • Wertpapierbezeichnungen, ISINs, Stückzahlen und Kaufpreise aus Ihrem Depot
  • Öffentliche Marktdaten (Kurse, Kennzahlen) von unserem Datenprovider Financial Modeling Prep (FMP)
  • Der von Ihnen eingegebene Text im Analyse-Chat

4.3 Was NICHT an Claude übertragen wird

Folgende Daten werden ausdrücklich nicht an die Claude API übertragen:

  • Name, Vorname
  • E-Mail-Adresse
  • Telefonnummer
  • Geburtsdatum
  • Wohnadresse
  • Zahlungsdaten
  • IP-Adresse

Es werden keinerlei identifizierende Merkmale an die Claude API übertragen; die Verknüpfung der übertragenen Daten mit Ihrem Konto verbleibt ausschließlich auf unseren Servern und ist für Anthropic nicht einsehbar. Anthropic kann die übertragenen Daten daher für sich genommen keiner identifizierten Person zuordnen. Es handelt sich um eine Pseudonymisierung im Sinne des Art. 4 Nr. 5 DSGVO, nicht um eine vollständige Anonymisierung.

4.4 Zweck der Übertragung

Die Übertragung der pseudonymisierten Depotdaten an Claude dient ausschließlich dem Zweck, die Qualität der KI-Antworten zu verbessern — konkret: damit die KI den Kontext Ihrer Depotzusammensetzung bei der Beantwortung von Fragen berücksichtigen kann. Eine personalisierte Anlageberatung oder individuelle Empfehlung findet nicht statt.

4.5 Drittlandübermittlung an Anthropic

Vertragspartner für Kunden im Europäischen Wirtschaftsraum ist Anthropic Ireland, Limited; eine Verarbeitung kann in den USA erfolgen. Die Übermittlung pseudonymisierter Daten in die USA erfolgt auf Grundlage von Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil der Geschäftskundenbedingungen (Commercial Terms) von Anthropic sind. Nach diesen Bedingungen werden die übermittelten Daten nicht zum Training von KI-Modellen verwendet. Die API-seitige Speicherdauer beträgt standardmäßig sieben Tage.

§ 5 Cookies

Die Plattform verwendet ausschließlich technisch notwendige Cookies, die für den Betrieb der Plattform erforderlich sind:

  • Ein Anmelde-Cookie, das Ihre aktive Sitzung trägt (Gültigkeit: ca. 15 Minuten, wird bei Nutzung automatisch erneuert)
  • Ein Verlängerungs-Cookie („Refresh-Token", Gültigkeit: bis zu 30 Tage), mit dem Ihre Anmeldung erneuert wird, ohne dass Sie sich erneut einloggen müssen

Beide Cookies sind technisch gegen Auslesen durch Skripte (HttpOnly) und gegen unverschlüsselte Übertragung (Secure) geschützt; das SameSite-Attribut schützt vor Cross-Site-Request-Forgery (CSRF). Mit dem Abmelden werden die Cookies gelöscht. Eine Einwilligung ist für technisch notwendige Cookies nicht erforderlich (Art. 6 Abs. 1 lit. b DSGVO).

Optionale Tracking- oder Analyse-Cookies werden derzeit nicht verwendet.

§ 6 Hosting, Content Delivery und technischer Betrieb

6.1 Hosting

Die Plattform wird derzeit auf einem physischen Server in Deutschland betrieben, der sich unter der ausschließlichen Kontrolle der Archival FlexCo in Gründung befindet. Vor dem öffentlichen bzw. kostenpflichtigen Launch wird der Produktivbetrieb auf ein professionelles Rechenzentrum innerhalb der EU migriert.

Im Rahmen des Hostingbetriebs werden technische Protokolldaten (Server-Logs) verarbeitet, insbesondere:

  • IP-Adressen der zugreifenden Geräte
  • Zeitpunkt des Zugriffs
  • Aufgerufene Ressourcen
  • HTTP-Statuscodes

Diese Daten werden ausschließlich zur Sicherstellung des technischen Betriebs und zur Erkennung von Sicherheitsvorfällen verarbeitet und nach spätestens 30 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und stabilem Betrieb).

6.2 Content Delivery und Schutz vor Angriffen (Cloudflare)

Zur Auslieferung der Plattform, zur DNS-Verwaltung und zum Schutz vor Angriffen (z. B. DDoS) nutzen wir Dienste von Cloudflare. Anbieter ist Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA; für Nutzer im EWR ist Cloudflare Germany GmbH bzw. die europäische Niederlassung Ansprechpartner. Sämtlicher Datenverkehr zwischen Ihrem Gerät und unserem Server wird technisch über die Infrastruktur von Cloudflare geleitet. Dabei werden insbesondere IP-Adressen und technische Verbindungsdaten verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und performanten Bereitstellung der Plattform). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln gemäß Art. 46 DSGVO.

6.3 Marktdaten-Anbieter

Zur Bereitstellung von Kursen, Kennzahlen und sonstigen Finanzinformationen ruft unser Server Daten von externen Anbietern ab — insbesondere Financial Modeling Prep (FMP), Finnhub, OpenFIGI, SEC EDGAR und der Europäischen Zentralbank (Wechselkurse). Diese Abrufe erfolgen ausschließlich serverseitig. Dabei werden keine personenbezogenen Daten an diese Anbieter übermittelt; übertragen werden lediglich Wertpapierkennungen (z. B. Ticker-Symbole, ISINs) ohne jeden Bezug zu Ihrem Konto.

§ 7 Zahlungsabwicklung — Stripe

Für die Abwicklung von Abonnementzahlungen nutzen wir den Dienst Stripe von Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland.

Wenn Sie eine Zahlung durchführen, werden Ihre Zahlungsdaten direkt an Stripe übermittelt. Wir selbst speichern keine vollständigen Zahlungsdaten. Stripe verarbeitet die Daten als eigenverantwortlicher Datenverarbeiter gemäß seinen eigenen Datenschutzbestimmungen (https://stripe.com/at/privacy).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer Zahlungsabwicklung).

Stripe ist im EU-US Data Privacy Framework zertifiziert. Zusätzlich wurden Standardvertragsklauseln gemäß Art. 46 DSGVO abgeschlossen.

§ 8 E-Mail-Kommunikation

Für den Versand von Transaktionsnachrichten (Registrierungsbestätigung, Zahlungsbestätigung, Passwort-Reset) verwenden wir das E-Mail-Postfach [email protected] auf Basis von Microsoft 365 (Exchange Online), bezogen über einen Geschäftskunden-Tarif des Anbieters GoDaddy. Verarbeitender Dienstanbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Konzernmutter: Microsoft Corporation, USA).

Dabei werden Ihre E-Mail-Adresse sowie der jeweilige Nachrichteninhalt verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend bestehen Standardvertragsklauseln gemäß Art. 46 DSGVO.

§ 9 Push-Benachrichtigungen

Sofern Sie Push-Benachrichtigungen aktiviert haben, stellen wir Ihnen Finanzinformationen als Web-Push-Nachricht über den Push-Dienst Ihres Browsers zu. Je nach verwendetem Browser ist das insbesondere:

  • Firebase Cloud Messaging (FCM) — bei Google Chrome und Chromium-basierten Browsern. Betreiber: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
  • Apple Push-Dienst — bei Safari. Betreiber: Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA.
  • Mozilla Autopush — bei Firefox. Betreiber: Mozilla Corporation, 149 New Montgomery Street, San Francisco, CA 94105, USA.

Für die Zustellung von Push-Benachrichtigungen ist die Übertragung eines technischen Push-Abonnements (Geräte-Token) an den Push-Dienst Ihres Browsers erforderlich. Dieser Token enthält keinen direkten Personenbezug.

Push-Benachrichtigungen dienen ausschließlich der Übermittlung allgemeiner Finanzinformationen. Sie stellen keine individuelle Anlageempfehlung dar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Push-Benachrichtigungen jederzeit deaktivieren — in der App unter Profil → Benachrichtigungen sowie in den Einstellungen Ihres Browsers bzw. Geräts.

§ 10 Weitergabe an Dritte

Ihre personenbezogenen Daten werden grundsätzlich nicht an Dritte weitergegeben, mit Ausnahme der in dieser Datenschutzerklärung beschriebenen Fälle:

  • Stripe — für die Zahlungsabwicklung (§ 7)
  • Anthropic (Claude API) — ausschließlich pseudonymisierte Depotdaten für KI-Kontextantworten (§ 4)
  • Cloudflare — technische Verbindungsdaten im Rahmen der Auslieferung der Plattform (§ 6.2)
  • Microsoft 365 — für den Versand von Transaktions-E-Mails (§ 8)
  • Browser-Push-Dienste (Google FCM, Apple, Mozilla) — für Push-Benachrichtigungen (§ 9)

Eine darüber hinausgehende Weitergabe an Dritte, insbesondere zu Werbezwecken oder an Datenbroker, findet nicht statt.

Falls wir gesetzlich dazu verpflichtet sind (z. B. aufgrund einer behördlichen Anordnung), können wir Daten an zuständige Behörden weitergeben.

§ 11 Übermittlung in Drittstaaten

Folgende Datenübermittlungen in Länder außerhalb der Europäischen Union (Drittstaaten) finden statt:

  • Anthropic (Vertragspartner: Anthropic Ireland, Limited; Verarbeitung ggf. in den USA) — pseudonymisierte Depotdaten für KI-Funktionen. Rechtsgrundlage: Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.
  • Stripe, Irland (mit US-Muttergesellschaft) — Zahlungsdaten. Rechtsgrundlage: EU-US Data Privacy Framework und SCC.
  • Cloudflare, Inc., USA — technische Verbindungsdaten (IP-Adressen). Rechtsgrundlage: EU-US Data Privacy Framework und SCC.
  • Microsoft (Vertragspartner: Microsoft Ireland Operations Limited; Verarbeitung ggf. in den USA) — E-Mail-Adresse und Inhalte von Transaktions-E-Mails. Rechtsgrundlage: EU-US Data Privacy Framework und SCC.
  • Apple Inc., USA — Push-Abonnement (Geräte-Token) bei Nutzung von Safari. Rechtsgrundlage: EU-US Data Privacy Framework.
  • Mozilla Corporation, USA — Push-Abonnement (Geräte-Token) bei Nutzung von Firefox. Rechtsgrundlage: Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO.

Bei allen Drittstaatübermittlungen stellen wir sicher, dass ein angemessenes Datenschutzniveau durch geeignete Garantien gewährleistet ist. Auf Anfrage stellen wir Ihnen den Nachweis der jeweils geltenden Garantien zur Verfügung.

§ 12 Speicherfristen und Löschung

12.1 Aktive Nutzerkonten

Ihre Daten werden gespeichert, solange Ihr Nutzerkonto aktiv ist. Mit der Kündigung Ihres kostenpflichtigen Abonnements wird Ihr Konto auf den kostenlosen Tarif zurückgestuft. Ihre Daten bleiben dabei erhalten.

12.2 Kontolöschung

Sie können die Löschung Ihres Nutzerkontos direkt in der App auslösen: Profil → „Account löschen (DSGVO Art. 17)". Mit der Kontolöschung werden aktive Abonnements automatisch gekündigt. Innerhalb von 30 Tagen können Sie die Löschung durch erneute Anmeldung widerrufen.

Ihre personenbezogenen Daten werden wie folgt behandelt:

  • Aktive Kontodaten (E-Mail-Adresse, Profilangaben, Depotdaten): Löschung innerhalb von 30 Tagen nach Löschungsantrag.
  • Technische Protokolldaten (Server-Logs): Löschung nach spätestens 30 Tagen.
  • Zahlungs- und Rechnungsdaten: Aufbewahrung für 7 Jahre gemäß österreichischem Unternehmensgesetzbuch (§ 132 UGB) und Bundesabgabenordnung (§ 132 BAO), danach Löschung.

12.3 Gesetzliche Aufbewahrungspflichten

Soweit gesetzliche Aufbewahrungspflichten einer sofortigen Löschung entgegenstehen, wird die Verarbeitung dieser Daten bis zum Ablauf der gesetzlichen Frist eingeschränkt (gesperrt) und danach gelöscht.

§ 13 Ihre Datenschutzrechte

Sie haben gegenüber uns folgende Datenschutzrechte:

  • Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über die zu Ihrer Person gespeicherten Daten zu verlangen.
  • Berichtigungsrecht (Art. 16 DSGVO): Sie haben das Recht, unrichtige Daten berichtigen zu lassen.
  • Löschungsrecht (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen — direkt in der App unter Profil → „Account löschen (DSGVO Art. 17)" oder per E-Mail.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen.
  • Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem maschinenlesbaren Format zu erhalten — direkt in der App unter Profil → „Daten-Export (DSGVO Art. 20)" als ZIP-Archiv mit Ihren Profil-, Depot- und Abrechnungsdaten.
  • Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, der Verarbeitung Ihrer Daten auf Basis berechtigter Interessen zu widersprechen.
  • Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (z. B. Deaktivierung von Push-Benachrichtigungen unter Profil → Benachrichtigungen).

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: [email protected]

Beschwerderecht

Sie haben das Recht, sich bei der zuständigen Datenschutzbehörde zu beschweren:

Österreichische Datenschutzbehörde Barichgasse 40-42, 1030 Wien E-Mail: [email protected] Website: https://www.dsb.gv.at

§ 14 Aktualisierung dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen unserer Dienste oder der gesetzlichen Anforderungen anzupassen. Die jeweils aktuelle Version ist unter https://archival.at/legal/datenschutz abrufbar. Bei wesentlichen Änderungen informieren wir Sie per E-Mail.

Archival — Stand Juni 2026

Zuordnung nach Hauptsitz. ETF-Aufloesung folgt. Keine Anlageberatung gem. WAG 2018.