1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf dieser Website ist die MyInvest Finance GmbH, Große Gallusstraße 14, 60315 Frankfurt am Main, Deutschland, vertreten durch die Geschäftsführerin Naciye Sinem Uslu. Telefon: +49 173 3135108, E-Mail: account@myinvest-finance.de.
2. Das Wichtigste in Kürze
Norua ist so gebaut, dass möglichst wenige Daten unsere Server erreichen.
- Für die Analyse wird Ihr Foto ausschließlich in Ihrem Browser verarbeitet – kein Upload, keine Speicherung bei uns. Auf Wunsch bleibt es bis zu 24 Stunden auf Ihrem Gerät.
- Nur für die optionale KI-Visualisierung (Plus) und nur nach Ihrer gesonderten Einwilligung wird Ihr Foto an Google übermittelt – ohne Speicherung auf unseren Servern; die Ergebnisbilder bleiben auf Ihrem Gerät. Google bewahrt Anfragen 55 Tage zur Missbrauchserkennung auf.
- Für den KI-Bericht (Plus) übermitteln wir nur Messwerte und Antworten an Anthropic, nie das Foto.
- Es findet keine Identifizierung oder Wiedererkennung statt; biometrische Templates werden nicht gespeichert.
- Analyseergebnisse liegen zunächst nur in Ihrem Browser. In Ihrem Konto speichern wir sie nur, wenn Sie das wählen – und dann nur Antworten und Messwerte, nie das Foto.
- Die Website läuft auf unserem eigenen Server in einem Rechenzentrum in Frankfurt am Main, Deutschland; die Verbindung führt über das Netzwerk von Cloudflare.
- Sie melden sich ohne Passwort mit einem Einmalcode an, den wir Ihnen per E-Mail senden.
- Bezahlt wird über Stripe. Die Zahlungsfelder und Cookies von Stripe gibt es nur auf der Bestellseite.
- Marketing-Messung mit Meta ist standardmäßig aus und läuft nur nach Ihrer Einwilligung.
- Foto, Messwerte, Antworten und Analyseergebnisse geben wir nie an Werbeplattformen weiter. Wir verkaufen keine personenbezogenen Daten.
3. Lokale Fotoanalyse
Wenn Sie ein Foto auswählen oder mit der Kamera aufnehmen, wird es ausschließlich in Ihrem Browser verarbeitet. Ein Erkennungsmodell, das wir selbst bereitstellen und das in Ihren Browser geladen wird, bestimmt auf Ihrem Gerät 478 Gesichtspunkte; daraus berechnet die Software die Messwerte.
Für die Analyse werden weder das Foto noch die Gesichtspunkte an uns, an unsere Dienstleister oder an Dritte übertragen; die einzige Ausnahme ist die optionale KI-Visualisierung (Abschnitt 4). Ohne Ihre ausdrückliche Wahl bleibt das Foto nur im Arbeitsspeicher des geöffneten Browser-Tabs und wird bei einer neuen Analyse oder beim Schließen des Tabs verworfen. Für Kameraaufnahmen fragt Ihr Browser nach Ihrer Erlaubnis; auch das Kamerabild wird nur lokal verarbeitet.
Foto 24 Stunden auf diesem Gerät behalten: Wählen Sie diese Option, legen wir das Foto in der IndexedDB Ihres Browsers ab, damit Sie es nach der Bestellung oder Anmeldung für die KI-Visualisierung nicht erneut auswählen müssen. Es wird dabei nicht übertragen, nach 24 Stunden automatisch gelöscht und lässt sich vorher jederzeit löschen, auch mit „Ergebnis löschen“.
Biometrie: Die Vermessung dient nicht der Identifizierung oder Wiedererkennung einer Person. Es findet kein Abgleich mit anderen Gesichtern oder Datenbanken statt, und es werden keine biometrischen Templates gespeichert. Auch gespeicherte Ergebnisse enthalten weder das Foto noch Koordinaten von Gesichtspunkten.
Soweit diese Verarbeitung auf Ihrem Gerät uns datenschutzrechtlich zuzurechnen ist, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen angeforderten Analyse); das Ablegen auf Ihrem Gerät ist für die von Ihnen gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).
4. Optionale persönliche KI-Visualisierung (Plus)
Mit Norua Plus können Sie sich optional zeigen lassen, wie eine Stilvariante – etwa eine andere Frisur – an Ihnen aussehen könnte. Nur dafür und nur nach Ihrer ausdrücklichen, gesonderten Einwilligung wird Ihr Foto hochgeladen. Die Gesichtsanalyse selbst bleibt auch dann lokal in Ihrem Browser.
Ablauf: Ihr Foto wird verkleinert und ohne Standort- und Kameradaten zusammen mit einer textlichen Bildanweisung für die gewählte Stilvariante über eine verschlüsselte Verbindung – durch das Netzwerk von Cloudflare (Abschnitt 13) – an unseren Server und von dort an Google (Gemini API) übermittelt. Google erzeugt daraus das Visualisierungsbild und sendet es zurück. Name, E-Mail-Adresse und Kontokennung werden nicht mitgesendet. Das Foto wird ausschließlich zur Bilderzeugung verwendet, nicht zur Identifizierung.
Speicherung bei uns: Auf unseren Servern wird Ihr Foto nicht gespeichert, sondern nur flüchtig im Arbeitsspeicher verarbeitet, bis die Bilderzeugung abgeschlossen ist. Auch die Ergebnisbilder speichern wir nicht; sie liegen nur auf Ihrem Gerät. In Ihrem Konto protokollieren wir lediglich Zeitpunkt und Version Ihrer Einwilligung sowie die Zahl Ihrer Visualisierungen, um die Einwilligung nachweisen und die Nutzung begrenzen zu können.
Speicherung bei Google: Google speichert Anfragen und Antworten – bei der Visualisierung also auch Ihr Foto und das erzeugte Bild – nach seinen Bedingungen 55 Tage lang ausschließlich, um Verstöße gegen seine Nutzungsrichtlinien zu erkennen und zu verhindern, und löscht sie danach. Zum Training oder zur Verbesserung seiner Produkte verwendet Google diese Daten bei der kostenpflichtigen Nutzung nicht.
Empfänger: Vertragspartner ist die Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Google verarbeitet das Foto als unser Auftragsverarbeiter (Art. 28 DSGVO) nur nach unseren Weisungen; Grundlage ist das Data Processing Addendum for Products Where Google is a Data Processor. Die Verarbeitung kann in Rechenzentren von Google weltweit und vor allem in den USA stattfinden; eine Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework bzw. der EU-Standardvertragsklauseln in den Datenverarbeitungsbedingungen von Google.
Rechtsgrundlage ist Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und vorsorglich Art. 9 Abs. 2 lit. a DSGVO, weil ein Gesichtsfoto sensible Rückschlüsse zulassen kann). Die Einwilligung ist freiwillig und keine Voraussetzung für die Analyse oder den übrigen Plus-Umfang. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an account@myinvest-finance.de; danach übermitteln wir keine Fotos mehr. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
5. Speicherung in Ihrem Browser
Damit Ihr Ergebnis beim Weiterklicken erhalten bleibt, speichern wir im lokalen Speicher Ihres Browsers (localStorage) Ihre Antworten und die daraus berechneten Messwerte. Der laufende Fragebogen liegt bis zum Ende der Browsersitzung im sessionStorage. Gibt jemand im Fragebogen ein Alter unter 18 Jahren an, speichern wir auf dem Gerät einen Sperrvermerk.
Diese Daten verlassen Ihr Gerät nicht, solange Sie sie nicht ausdrücklich in Ihrem Konto speichern. Sie können Ihr Ergebnis jederzeit mit „Ergebnis löschen“ entfernen oder die Website-Daten in Ihrem Browser löschen.
Alle Cookies und Speichereinträge mit Name, Zweck und Laufzeit stehen auf der Seite „Cookies und Einwilligungen“.
Rechtsgrundlage für das Speichern auf Ihrem Gerät ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen gewünschten Dienst), für die Verarbeitung Art. 6 Abs. 1 lit. b DSGVO.
6. Ihr lokaler Stil-Kompass
Die drei Kompassantworten und das kurze Ergebnis bleiben zunächst im Arbeitsspeicher der geöffneten Seite. Erst wenn Sie ausdrücklich die Übernahme ins persönliche Briefing wählen, wird ein begrenzter Entwurf in sessionStorage dieses Browsers abgelegt. Er enthält Ziel, gewünschte Wirkung und Stylingzeit sowie gegebenenfalls die selbst gewählte redaktionelle Referenz, eine Formatversion und den Erstellungszeitpunkt. Fotos, Modellpunkte und Volljährigkeitsbestätigungen werden darin nicht gespeichert. Entwürfe werden nach 30 Minuten beim nächsten Lesen verworfen; eine sekundengenaue Hintergrundlöschung wird nicht behauptet. Übernehmen oder Verwerfen entfernt den Entwurf. sessionStorage ist an die Browser-Sitzung gebunden und wird nicht zu einem gespeicherten Konto-Bericht, bevor Sie das vollständige Formular ausdrücklich absenden.
7. Anmeldung und Kundenkonto
Für Norua Plus und die Speicherung im Konto brauchen Sie ein Kundenkonto. Es entsteht, wenn Sie Plus mit einer E-Mail-Adresse bestellen, zu der es noch kein Konto gibt, oder wenn Sie sich mit Ihrer E-Mail-Adresse anmelden. Ein Passwort gibt es nicht: Für jede Anmeldung senden wir Ihnen einen Einmalcode per E-Mail, der nur kurze Zeit gültig ist und nur einmal verwendet werden kann.
Wir speichern Ihre E-Mail-Adresse, eine Kontokennung und das Anlagedatum. Nach der Anmeldung setzen wir das Sitzungs-Cookie „__Host-norua_session“, das Sie angemeldet hält (30 Tage nach der Anmeldung oder bis zur Abmeldung); es ist für die von Ihnen gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Um Ihr Konto vor Missbrauch zu schützen, begrenzen wir Anmeldeversuche und verarbeiten dafür kurzzeitig Zeitpunkt und technische Verbindungsdaten der Anfrage.
Die E-Mails mit Anmeldecodes versenden wir über unseren E-Mail-Dienst (Abschnitt 14).
Fordern Sie innerhalb einer Stunde von Ihrem Anschluss mehr als zwei oder für dieselbe E-Mail-Adresse mehr als fünf Anmeldecodes an, binden wir – sofern diese Sicherheitsprüfung eingeschaltet ist – zum Schutz vor automatisierten Massenanfragen den Dienst Turnstile der Cloudflare, Inc. ein. Erst dann lädt Ihr Browser ein Skript von challenges.cloudflare.com; Cloudflare verarbeitet Ihre IP-Adresse und technische Merkmale Ihres Browsers und Geräts, um Menschen von automatisierten Zugriffen zu unterscheiden, und kann im Prüffeld eigene Informationen speichern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Anmeldung und unseres E-Mail-Versands vor Missbrauch); der Zugriff auf Ihr Endgerät ist dafür unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare handelt dabei als unser Auftragsverarbeiter und nutzt die Daten nach seinem Turnstile Privacy Addendum zusätzlich in eigener Verantwortung zur Verbesserung der Bot-Erkennung; eine Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework, nach dem Cloudflare zertifiziert ist, und ergänzend der EU-Standardvertragsklauseln.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos und Ihres Vertrags), für den Schutz vor Missbrauch Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit Ihres Kontos und unserer Systeme. Ihr Konto speichern wir, bis Sie es löschen (Abschnitt 19).
8. Optionale Speicherung von Analyseergebnissen im Konto
Wenn Sie es ausdrücklich wählen, speichern wir Ihr Analyseergebnis in Ihrem Konto, damit Sie es auf anderen Geräten öffnen und für den Fortschritts-Check nutzen können. Gespeichert werden ausschließlich Ihre Antworten aus dem Fragebogen und die berechneten Messwerte mit Datum und Versionsangabe – nie das Foto und keine Koordinaten von Gesichtspunkten.
Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und, soweit Antworten etwa zum Hauttyp Rückschlüsse auf Ihre Gesundheit zulassen könnten, Art. 9 Abs. 2 lit. a DSGVO). Soweit die Speicherung für von Ihnen gebuchte Plus-Funktionen erforderlich ist, zusätzlich Art. 6 Abs. 1 lit. b DSGVO.
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; die gespeicherten Ergebnisse werden dann gelöscht. Unter „Meine Daten“ in Ihrem Konto können Sie Ihre Kontodaten als Datei exportieren und Ihr Konto mit allen gespeicherten Ergebnissen löschen. Ohne Widerruf speichern wir die Ergebnisse, bis Sie sie oder Ihr Konto löschen.
9. KI-Bericht (Plus)
Für Ihren persönlichen Textbericht übermitteln wir Ihre Messwerte und Ihre Antworten aus dem Fragebogen an Anthropic (Claude API), das daraus den Berichtstext erzeugt. Ihr Foto und Koordinaten von Gesichtspunkten werden dabei nicht übermittelt, ebenso wenig Ihr Name oder Ihre E-Mail-Adresse.
Den fertigen Bericht speichern wir in Ihrem Konto, damit Sie ihn wieder öffnen können. Er ist im Kontodatenexport enthalten und wird mit der zugehörigen Analyse, spätestens mit Ihrem Konto gelöscht.
Vertragspartner ist die Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland. Anthropic verarbeitet die Daten als unser Auftragsverarbeiter (Art. 28 DSGVO); Grundlage ist das Data Processing Addendum von Anthropic. Die Verarbeitung findet auf Servern von Anthropic vor allem in den USA statt; die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln im Data Processing Addendum von Anthropic. Anthropic löscht Eingaben und Ausgaben nach eigenen Angaben innerhalb von 30 Tagen; nur wenn ein automatischer Verstoß gegen die Nutzungsrichtlinien erkannt wird, bis zu zwei Jahre. Zum Training von KI-Modellen darf Anthropic diese Daten nach den Vertragsbedingungen nicht verwenden.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erstellung des von Ihnen gebuchten Berichts). Der Bericht ist eine automatisch erzeugte Stil- und Pflegeempfehlung, keine medizinische Auswertung; KI-erzeugte Texte können Fehler enthalten.
10. Check-ins und gespeicherte Stilbriefings
Wenn Sie ein persönliches Stilbriefing speichern, werden Ihre Volljährigkeitsbestätigung und die gewählten Antworten zu Ziel, Haarstruktur, Länge, Wirkung, Stylingzeit und Rhythmus mit dem zusammengestellten Dossier in Ihrem Konto gespeichert. Hinzu kommen Berichtskennung, Erstellungsdatum und Bibliotheksversion. Es werden keine Fotos oder Landmarken im Dossier gespeichert. Check-ins enthalten nur Ihre freiwilligen Textnotizen; bitte tragen Sie dort keine Gesundheitsangaben ein.
Der Kontodatenexport enthält sämtliche eigenen Briefings und Check-ins; bei der Kontolöschung werden sie mit entfernt. Ein persönliches Dossier ist keine medizinische Auswertung. Im Demo-Konto bleiben selbst erstellte Briefings nur im Arbeitsspeicher der geöffneten Seite. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
11. Bestellung und Zahlung über Stripe
Norua Plus bestellen Sie auf unserer Bestellseite (/checkout). Die Zahlungsfelder dort stellt Stripe bereit; Anbieter ist die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe verarbeitet insbesondere Name, E-Mail-Adresse, Zahlungsdaten, gegebenenfalls Rechnungsanschrift sowie Geräte- und Verbindungsdaten zur Betrugsvermeidung.
Das Skript von Stripe (Stripe.js) laden wir ausschließlich auf der Bestellseite, nicht auf anderen Seiten. Dort setzt Stripe die Cookies __stripe_mid (1 Jahr) und __stripe_sid (30 Minuten) und wertet Geräte- und Nutzungsmerkmale aus, um betrügerische Zahlungen zu erkennen; dafür kann Stripe in den Zahlungsfeldern zusätzlich eine unsichtbare Bot-Erkennung (hCaptcha) einsetzen. Wir stufen das als unbedingt erforderlich ein (§ 25 Abs. 2 Nr. 2 TDDDG): Es geschieht erst, wenn Sie den Bestellvorgang selbst aufrufen, und dient allein dazu, die von Ihnen gewünschte Zahlung vor dem Missbrauch von Zahlungsmitteln zu schützen. Für Werbung nutzt Stripe diese Cookies nicht.
Je nach Gerät und Browser bietet die Bestellseite Apple Pay, Google Pay und Link an; dafür prüft Stripe, ob Ihr Browser diese Zahlungsarten unterstützt. Wählen Sie Apple Pay oder Google Pay, verarbeiten Apple bzw. Google Ihre Zahlungsdaten nach ihren eigenen Bedingungen und Datenschutzhinweisen in eigener Verantwortung. Link ist ein Dienst von Stripe zum Speichern Ihrer Zahlungsdaten für künftige Käufe; ob Sie Link nutzen, entscheiden Sie in den Zahlungsfeldern, und dafür ist Stripe eigener Verantwortlicher.
Stripe handelt teils in unserem Auftrag und teils – etwa zur Betrugsprävention, für Link und zur Erfüllung eigener gesetzlicher Pflichten – in eigener Verantwortung. Stripe verarbeitet Daten in der EU und in den USA; die Übermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework, nach dem Stripe zertifiziert ist, bzw. der EU-Standardvertragsklauseln. Vollständige Kartendaten erhalten wir nicht. Von Stripe erhalten und speichern wir Kunden- und Abonnementkennungen, gewählten Tarif, Abo-Status, Laufzeitende und Zahlungsstatus; zu jedem Bestellversuch speichern wir Tarif, E-Mail-Adresse, Zeitpunkt und Ihre Angabe zum sofortigen Leistungsbeginn.
Bestellen Sie mit einer E-Mail-Adresse, zu der es noch kein Konto gibt, legen wir mit Ihrer Bestellung ein Kundenkonto für diese Adresse an (Abschnitt 7); kommt die Zahlung nicht zustande und nutzen Sie das Konto nicht (keine Anmeldung, keine gespeicherten Daten), löschen wir es automatisch, wenn seit dem Ablauf der Bestellung 48 Stunden vergangen sind. Eingangs- und Vertragsbestätigung und den Zahlungsbeleg erhalten Sie per E-Mail (Abschnitt 14).
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten) und für die Betrugsprävention Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt im Schutz vor Zahlungsbetrug, auch in Ihrem Interesse. Abrechnungsrelevante Unterlagen bewahren wir für die gesetzlichen Fristen auf (je nach Unterlage sechs, acht oder zehn Jahre nach § 257 HGB und § 147 AO).
12. Marketing-Messung mit Meta – nur mit Ihrer Einwilligung
Um zu messen, ob unsere Anzeigen auf Facebook und Instagram wirken, setzen wir das Meta-Pixel und die Meta Conversions API ein – aber nur, wenn Sie in den Cookie-Einstellungen ausdrücklich einwilligen. Standardmäßig ist die Messung ausgeschaltet: Ohne Einwilligung wird kein Meta-Skript geladen, kein Meta-Cookie gesetzt und auch serverseitig nichts an Meta übermittelt.
Anbieter ist Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Für die Erhebung über das Pixel und die Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); Grundlage ist die Vereinbarung von Meta über die gemeinsame Verantwortlichkeit (Controller Addendum). Danach informieren wir Sie über diese Verarbeitung, und Meta ist für Anfragen Betroffener zur gemeinsamen Verarbeitung zuständig; Sie können Ihre Rechte aber auch uns gegenüber geltend machen. Die weitere Verarbeitung bei Meta erfolgt in Metas eigener Verantwortung, auch in den USA; eine Übermittlung erfolgt auf Grundlage des EU-U.S. Data Privacy Framework bzw. der EU-Standardvertragsklauseln, die Meta dafür vorsieht.
Übermittelt werden nur neutrale Ereignisse: Seitenaufruf, aufgerufene Einstiegsseite, abgeschlossene kostenlose Analyse ohne jeden Inhalt, begonnener Checkout und Kauf, jeweils mit einer Ereigniskennung, bei Checkout und Kauf zusätzlich Tarif, Betrag und Währung. Dazu kommen die aufgerufene Adresse ohne Ergebnisinhalte, Ihre IP-Adresse, die Browserkennung (User-Agent) und die Meta-Cookie-Kennungen _fbp und _fbc. Über die Conversions API senden wir dieselben Ereignisse zusätzlich von unserem Server, damit Meta Doppelungen erkennt – ebenfalls nur mit Ihrer Einwilligung.
Nie übermittelt werden Ihr Foto, Gesichtspunkte, Messwerte, Analyseergebnisse, Antworten aus dem Fragebogen, Inhalte Ihres Plans oder Kontos, Ihr Name und Ihre E-Mail-Adresse, auch nicht verschlüsselt oder gehasht. Aus Analyse-Ereignissen bilden wir keine Werbezielgruppen.
Rechtsgrundlagen sind § 25 Abs. 1 TDDDG für das Speichern und Auslesen von Informationen auf Ihrem Gerät und Art. 6 Abs. 1 lit. a DSGVO für die Übermittlung. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft in den Cookie-Einstellungen widerrufen; danach wird nichts mehr übermittelt, und die Meta-Cookies werden entfernt.
Speicherdauer: Ihre Auswahl speichern wir zwölf Monate ohne Kennung im Cookie „ebm_consent“; danach fragen wir erneut. Die Meta-Cookies _fbp und _fbc bestehen nach Vorgabe von Meta bis zu 90 Tage, unser Cookie „ebm_ckid“ zur Zuordnung eines Kaufs zwei Stunden. Wie lange Meta die übermittelten Ereignisse speichert, bestimmt Meta in seiner Datenschutzrichtlinie.
13. Hosting, Cloudflare und Zugriffsprotokolle
Website, Anwendung und Datenbank mit den Kontodaten betreiben wir auf einem eigenen Server in einem Rechenzentrum in Frankfurt am Main, Deutschland. Rechenzentrum, Server-Hardware und Netzanbindung stellt die 23M GmbH, Johann-Krane-Weg 18, 48149 Münster, Deutschland, als unser Auftragsverarbeiter (Art. 28 DSGVO) bereit.
Beim Aufruf der Website werden technisch bedingt Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die zuvor besuchte Seite, Browser- und Systemangaben sowie der Statuscode verarbeitet, um die Website auszuliefern und vor Missbrauch und Angriffen zu schützen. Diese Zugriffsprotokolle löschen wir nach spätestens 14 Tagen, es sei denn, ein konkreter Sicherheitsvorfall muss aufgeklärt werden.
Alle Verbindungen zu unserer Website laufen über das Netzwerk der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (DNS, verschlüsselte Verbindung und Cloudflare Tunnel). Cloudflare beantwortet die Namensauflösung, stellt die verschlüsselte Verbindung zu Ihrem Browser her, wehrt Angriffe ab und leitet die Anfragen über einen verschlüsselten Tunnel an unseren Server weiter. Dabei verarbeitet Cloudflare Ihre IP-Adresse, die übrigen Verbindungsdaten und die übertragenen Inhalte – technisch bedingt auch Daten, die Sie an uns senden, etwa ein Foto für die KI-Visualisierung. Cloudflare ist unser Auftragsverarbeiter (Grundlage: Data Processing Addendum von Cloudflare) und verarbeitet die Daten im weltweiten Netzwerk von Cloudflare, in der Regel in einem Rechenzentrum in Ihrer Nähe, auch außerhalb der EU; eine Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework, nach dem Cloudflare zertifiziert ist, und ergänzend der EU-Standardvertragsklauseln. Zum Schutz vor Angriffen kann Cloudflare Sicherheits-Cookies setzen (siehe Cookie-Seite).
Damit keine Daten verloren gehen, sichern wir unseren Server verschlüsselt auf Speicherplatz der Scaleway SAS, 8 rue de la Ville l’Évêque, 75008 Paris, Frankreich, in einem Rechenzentrum in Amsterdam, Niederlande (Auftragsverarbeiter). Gelöschte Daten können in diesen Sicherungen noch bis zu zwölf Monate enthalten sein und verschwinden dann mit dem regulären Löschzyklus.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren, stabilen und schnellen Betrieb der Website. Für Kontofunktionen gilt zusätzlich Art. 6 Abs. 1 lit. b DSGVO.
14. E-Mail-Versand
Wir senden Ihnen nur E-Mails, die für Ihr Konto und Ihren Vertrag nötig sind: Anmeldecodes, die Eingangs- und Vertragsbestätigung Ihrer Bestellung mit AGB und Widerrufsbelehrung, Zahlungsbelege, Bestätigungen Ihrer Kündigung oder Ihres Widerrufs und Hinweise zu Ihrem Vertrag. Werbe-E-Mails senden wir nicht.
Für den Versand nutzen wir Google Workspace (Gmail). Vertragspartner ist die Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland, als unser Auftragsverarbeiter; Grundlage ist das Cloud Data Processing Addendum von Google. Verarbeitet werden Ihre E-Mail-Adresse, gegebenenfalls Ihr Name und der Inhalt der E-Mail. Die Verarbeitung kann in Rechenzentren von Google in der EU und weltweit stattfinden; eine Übermittlung in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework bzw. der EU-Standardvertragsklauseln, die das Cloud Data Processing Addendum von Google vorsieht.
Kopien von E-Mails mit Anmeldecodes löschen wir nach spätestens 30 Tagen. E-Mails zu Ihrem Vertrag – etwa Vertrags-, Kündigungs- und Widerrufsbestätigungen – bewahren wir als Handelsbriefe sechs Jahre ab dem Ende des Kalenderjahres auf, in dem sie versandt wurden (§ 257 Abs. 1 Nr. 3, Abs. 4 und 5 HGB).
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Konto und Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Bestätigungspflichten nach §§ 312f, 312i, 312k und 356a BGB sowie Aufbewahrungspflichten).
15. Kontakt per E-Mail oder Telefon
Wenn Sie uns kontaktieren, verarbeiten wir Ihre Angaben, um Ihr Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihr Anliegen einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen). Wir löschen die Angaben, wenn sie nicht mehr benötigt werden und keine Aufbewahrungspflicht besteht.
16. Kündigung und Widerruf über unsere Website
Wenn Sie über „Verträge hier kündigen“ oder „Vertrag widerrufen“ eine Erklärung abgeben, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Vertrag, Art und Zeitpunkt der Kündigung, gegebenenfalls Kündigungsgrund oder Bestelldatum) mit Datum und Uhrzeit des Eingangs, um die Erklärung umzusetzen und Ihnen den Eingang in Textform zu bestätigen.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k bzw. § 356a BGB sowie Art. 6 Abs. 1 lit. b DSGVO.
Die Erklärung speichern wir unveränderbar so, wie sie eingegangen ist; das Ergebnis der Bearbeitung halten wir getrennt fest. So kann sie Ihnen und uns als Nachweis dienen. Wir bewahren sie sechs Jahre ab dem Ende des Kalenderjahres auf, in dem sie eingegangen ist (empfangene Handelsbriefe, § 257 Abs. 1 Nr. 2, Abs. 4 und 5 HGB), und löschen sie danach. Diese Frist deckt auch die regelmäßige Verjährungsfrist von drei Jahren ab (§§ 195, 199 BGB), innerhalb derer Ansprüche aus der Kündigung oder dem Widerruf geltend gemacht werden können.
17. Empfänger
Personenbezogene Daten erhalten nur:
- 23M GmbH als Hosting-Dienstleister, Cloudflare für Netzwerk und Angriffsschutz und Scaleway SAS für verschlüsselte Datensicherungen, jeweils als Auftragsverarbeiter (Abschnitt 13),
- Google Cloud EMEA Limited als Auftragsverarbeiter für den E-Mail-Versand (Abschnitt 14),
- Google als Auftragsverarbeiter für die optionale KI-Visualisierung, nur mit Ihrer Einwilligung (Abschnitt 4),
- Anthropic als Auftragsverarbeiter für den KI-Bericht (Abschnitt 9),
- Stripe für Bestellung und Zahlung, bei Apple Pay oder Google Pay zusätzlich Apple bzw. Google (Abschnitt 11),
- Meta, nur mit Ihrer Einwilligung (Abschnitt 12),
- Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind.
18. Übermittlung in Drittländer
Server und Datensicherungen stehen in der EU (Deutschland und Niederlande). Einige Empfänger verarbeiten Daten auch außerhalb der EU und des EWR, insbesondere in den USA: Cloudflare (Abschnitt 13), Google beim E-Mail-Versand und bei der KI-Visualisierung (Abschnitte 14 und 4), Anthropic (Abschnitt 9), Stripe (Abschnitt 11) und – nur mit Ihrer Einwilligung – Meta (Abschnitt 12).
Das geschieht nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind: auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, oder von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Die jeweilige Grundlage steht im Abschnitt des Dienstes. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage.
19. Speicherdauer im Überblick
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder eine gesetzliche Pflicht besteht:
- Foto und Gesichtspunkte bei der Analyse: keine Speicherung bei uns. Das Foto bleibt im Arbeitsspeicher des Browser-Tabs oder, wenn Sie es wählen, bis zu 24 Stunden auf Ihrem Gerät.
- Foto bei der KI-Visualisierung: keine Speicherung auf unseren Servern, nur flüchtige Verarbeitung; bei Google 55 Tage zur Missbrauchserkennung. Ergebnisbilder nur auf Ihrem Gerät. Protokoll Ihrer Einwilligung (Zeitpunkt, Version): bis zur Löschung Ihres Kontos.
- Ergebnis und Antworten im Browser: bis Sie sie löschen; der laufende Fragebogen bis zum Ende der Browsersitzung.
- Kundenkonto (E-Mail-Adresse, Kontokennung, Anlagedatum): bis Sie es löschen.
- Gespeicherte Analysen, Check-ins und Briefings: bis Sie sie löschen, Ihre Einwilligung widerrufen oder Ihr Konto löschen.
- KI-Berichte: bis Sie die zugehörige Analyse oder Ihr Konto löschen; das inhaltslose Protokoll der Berichtserstellung (für Nutzungsgrenzen) 30 Tage. Bei Anthropic höchstens 30 Tage (Abschnitt 9).
- Bestell-, Abo- und Zahlungsdaten: für die Vertragsdauer, danach für die gesetzlichen Aufbewahrungsfristen (Buchungsbelege acht Jahre, Handelsbriefe sechs Jahre, § 257 HGB, § 147 AO).
- Kündigungs- und Widerrufserklärungen: unveränderbar, sechs Jahre ab dem Ende des Kalenderjahres ihres Eingangs.
- E-Mails: mit Anmeldecodes höchstens 30 Tage, zum Vertrag sechs Jahre (Abschnitt 14).
- Zugriffsprotokolle unseres Servers: höchstens 14 Tage; verschlüsselte Datensicherungen: bis zu zwölf Monate.
- Einwilligungen in Marketing-Messung: bis zum Widerruf, die gespeicherte Auswahl zwölf Monate (Abschnitt 12).
Eine Kontolöschung ist erst möglich, wenn kein Abonnement mehr läuft. Unterlagen mit gesetzlicher Aufbewahrungspflicht werden bis zum Fristablauf gesperrt und danach gelöscht.
20. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).
Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).
Für Anfragen genügt eine E-Mail an account@myinvest-finance.de. Den Export Ihrer Kontodaten und die Kontolöschung können Sie auch selbst unter „Meine Daten“ in Ihrem Konto auslösen.
21. Beschwerderecht
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.
22. Weitere Hinweise
Sie sind nicht verpflichtet, uns Daten bereitzustellen. Ohne E-Mail-Adresse und Zahlungsdaten können Sie Norua Plus allerdings nicht abschließen. Die Analyse ist automatisiert, trifft aber keine Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Norua richtet sich nur an Personen ab 18 Jahren.
Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.