Anmelden / Registrieren

Datenschutzerklärung

Stand: 25.09.2026 · English version · Italiano · Português

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist Marcel René Stoni (Einzelunternehmer), Adi-Dassler-Gasse 2, 9073 Klagenfurt am Wörthersee, Österreich, E-Mail: business@pendrai.com (siehe auch Impressum). Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter dieser E-Mail-Adresse.

2. Bereitstellung der Anwendung / Hosting / Fehlerprotokolle

Pendrai wird bei Railway Corp. (USA) betrieben, der Server der Anwendung steht in der EU (Region Amsterdam, Niederlande). Auch Ihre Konto- und Portfoliodaten liegen in der bei Railway betriebenen Datenbank. Railway verarbeitet die Daten als Auftragsverarbeiter (Art. 28 DSGVO) ausschließlich nach unseren Weisungen. Beim Aufruf von Pendrai verarbeitet der Hosting-Anbieter automatisch technische Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser), um die Anwendung technisch auszuliefern und abzusichern. Diese Daten werden nicht mit dem Nutzerkonto verknüpft. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Die Schriftarten der Anwendung werden von unserem eigenen Server ausgeliefert; dafür findet keine Verbindung zu Schriftarten-Servern Dritter statt.

Zur Störungsbehebung protokolliert Pendrai technische Fehler (Zeitpunkt, aufgerufene Route, technische Fehlermeldung und gegebenenfalls die interne Konto-Nummer). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit). Fehlerprotokolle werden nach 90 Tagen automatisiert gelöscht; bei der Löschung eines Kontos wird die Konto-Zuordnung vorhandener Einträge unverzüglich entfernt.

3. Registrierung und Nutzerkonto

Für die Nutzung wird eine E-Mail-Adresse benötigt. Das Passwort wird mittels scrypt mit individuellem Zufalls-Salt als Einweg-Hash gespeichert. Zur Anmeldung dient das technisch notwendige Sitzungscookie athena.sid (HttpOnly, SameSite=Lax, maximal 30 Tage). Es ordnet Ihren Browser Ihrer Anmeldung zu und wird nicht für Werbung verwendet. Funktionale Einstellungen wie Design, Sprache, Privacy-Modus und ausgewähltes Depot werden zusätzlich im Browser gespeichert (Local Storage bzw. Session Storage). Rechtsgrundlage für die Kontofunktionen: Art. 6 Abs. 1 lit. b DSGVO. Werbung und die dafür gesonderte Einwilligung beschreibt Abschnitt 11.

Die Angabe der E-Mail-Adresse ist für die Erstellung des Kontos erforderlich; ohne sie kann kein Konto angelegt werden. Zur Bestätigung Ihrer E-Mail-Adresse und für Kontofunktionen versenden wir E-Mails (Bestätigungslink, Passwort zurücksetzen bzw. ändern, auf Wunsch Kursalarm-Benachrichtigungen, Bestätigungen zu einem Premium-Abo). Dafür setzen wir den Versanddienst Resend (Resend, Inc., USA) ein; ihm werden dabei Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht übermittelt. Links zum Bestätigen und Zurücksetzen werden bei uns nur als Hash gespeichert und laufen nach begrenzter Zeit ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Kontodaten speichern wir, solange Ihr Konto besteht. Sitzungsdaten werden nach Ablauf der Sitzung (spätestens nach 30 Tagen) gelöscht. Versand- und Zustellinformationen zu transaktionalen E-Mails bewahren wir nur so lange auf, wie dies zur Fehleranalyse, Missbrauchsabwehr oder Erfüllung gesetzlicher Pflichten erforderlich ist.

4. Portfolio-, Watchlist- und Depotdaten

Von Ihnen selbst eingegebene oder importierte Daten (Positionen, Transaktionen, Watchlist, Depotnamen, Einstellungen) werden ausschließlich zur Erbringung der genutzten Funktionen verarbeitet und nicht zu Werbezwecken weitergegeben oder verkauft. Wir speichern sie, solange Ihr Konto besteht; bei der Löschung des Kontos werden sie vollständig gelöscht (siehe Abschnitt 8). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. Interne Nutzung und Weitergabe an Dienstleister

Wir verkaufen Ihre personenbezogenen Daten nicht und geben sie nicht zur eigenständigen Nutzung durch Dritte weiter. Wir verarbeiten sie ausschließlich

Ausnahmen beschreibt diese Erklärung bei den jeweiligen Funktionen: Broker-Verbindungen (Abschnitt 6), serverseitige Marktdatenabfragen (Abschnitt 7), Zahlungsabwicklung (Abschnitt 10) sowie Google AdSense und die Einwilligungsverwaltung (Abschnitt 11). Pendrai übermittelt Ihre Portfoliobestände und Broker-Zugangsdaten nicht als Werbedaten an Google. Für die Kontofunktionen gilt Art. 6 Abs. 1 lit. b DSGVO; die gesonderten Voraussetzungen der Werbeverarbeitung stehen in Abschnitt 11.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Support, Fehleranalyse und Weiterentwicklung: Soweit im Einzelfall erforderlich, können wir Konto-, Portfolio-, Depot- und Nutzungsdaten einsehen, um eine von Ihnen angefragte Unterstützung zu leisten, Fehler zu untersuchen und zu beheben, Missbrauch oder Sicherheitsvorfälle abzuwehren sowie Stabilität, Performance und Funktionen der Anwendung zu prüfen und weiterzuentwickeln. Der Zugriff ist auf den jeweiligen Zweck und die erforderlichen Daten beschränkt. Rechtsgrundlage ist – je nach konkreter Maßnahme – Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung und Support des Dienstes) oder Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Fehleranalyse und technische Verbesserung). Gegen Verarbeitungen auf Grundlage berechtigter Interessen können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen (Art. 21 DSGVO).

Für plattformweite Statistiken, Kapazitätsplanung und Produktverbesserung verwenden wir nach Möglichkeit aggregierte oder anonymisierte Daten, etwa zur Nutzung einzelner Funktionen oder zur Verteilung von Wertpapierarten. Wirklich anonymisierte Gesamtstatistiken können wir erst ab mindestens 1.000 aktiven Nutzerkonten im vorangegangenen Zeitraum von 30 Tagen auf Pendrai veröffentlichen, in Berichten oder Präsentationen verwenden oder auf Anfragen an interessierte Dritte (z. B. Medien, Marktteilnehmer oder Forschung) weitergeben. Vor einer Veröffentlichung oder Weitergabe prüfen wir, dass die Daten keine direkten oder indirekten Rückschlüsse auf einzelne Personen oder Portfolios zulassen; kleine oder identifizierbare Gruppen werden nicht veröffentlicht. Diese Auswertungen dienen nicht dazu, Nutzer individuell zu bewerten, Werbung anhand von Portfolios auszuspielen oder personenbezogene Daten zu verkaufen. Soweit eine Anonymisierung nicht möglich ist, werden personenbezogene Daten nur verwendet, wenn dies für den beschriebenen Zweck erforderlich und rechtlich zulässig ist.

Übermittlung in Drittländer: Einige Dienstleister (Hosting, E-Mail-Versand, Zahlungsabwicklung, Marktdaten, Werbung) haben ihren Sitz oder ihre Konzernmutter in den USA oder einem anderen Drittland. Soweit dabei personenbezogene Daten in ein Drittland übermittelt werden, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (z. B. EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist) oder der EU-Standardvertragsklauseln (Art. 45, 46 DSGVO).

Sicherungskopien: Daten können für die technische Wiederherstellung zeitlich begrenzt in Sicherungskopien des Hosting-Anbieters enthalten sein. Auf diese Kopien greifen wir nicht für den laufenden Betrieb zu; sie werden im Rahmen der regulären Sicherungsrotation überschrieben. Bis dahin werden sie ausschließlich zur Wiederherstellung nach einem Sicherheits- oder Systemvorfall verwendet.

6. Optionale Broker-Verbindung

Bei einer freiwillig eingerichteten Broker-Verbindung werden Ihre API-Zugangsdaten mit AES-256-GCM verschlüsselt gespeichert und nur bei einer Synchronisierung serverseitig entschlüsselt, um Ihre eigenen Transaktionsdaten abzurufen. Der jeweilige Broker (derzeit Trading 212 und Bitpanda) verarbeitet Ihre Zugangsdaten nach seinen eigenen Datenschutzbestimmungen. Bei jedem Abruf werden nur die zur Abfrage nötigen Angaben an den Broker gesendet; zurück erhalten wir Ihre Transaktionsdaten. Für jede Synchronisierung protokollieren wir Zeitpunkt, Anzahl der übernommenen Buchungen und etwaige Fehlermeldungen (einsehbar unter „Protokoll“ in den Einstellungen). Löschen Sie eine Verbindung, werden die gespeicherten Zugangsdaten und das zugehörige Protokoll gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Externe Marktdaten-Anbieter

Zur Kursanzeige, Wechselkursumrechnung und für weitere Marktinformationen ruft Pendrai serverseitig öffentliche Schnittstellen spezialisierter Anbieter ab: Twelve Data (Aktien-/ETF-Kurse, -Historie, Dividenden), Frankfurter/Europäische Zentralbank (Wechselkurse), CoinGecko (Kryptowährungen), alternative.me (Krypto-Marktstimmung „Fear & Greed“), die US-Börsenaufsicht SEC (öffentliche Meldungen institutioneller Anleger für „Prominente Portfolios“) sowie Elbstream (Firmenlogos). Dabei werden nur die abgefragten Wertpapier-Kennungen (z. B. Ticker, ISIN) bzw. Währungspaare übermittelt, keine Daten, die Sie identifizieren. Die Abrufe erfolgen durch den Pendrai-Server; Ihre IP-Adresse wird an diese Anbieter nicht weitergegeben. Firmenlogos werden über unseren Server ausgeliefert; lediglich der Attributions-Link zu Elbstream am Seitenende führt bei einem Klick auf die Seite von Elbstream. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Zu Drittlandübermittlungen siehe Abschnitt 5.

8. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen (für Werbung über die „Cookie-Einstellungen“, siehe Abschnitt 11). Zur Ausübung genügt eine formlose Mitteilung an business@pendrai.com; wir beantworten Ihr Anliegen innerhalb eines Monats.

Löschung Ihres Kontos: Sie können Ihr Konto jederzeit selbst löschen: in den Einstellungen unter „Konto“ über „Konto löschen“ (Bestätigung mit Ihrem Passwort). Alternativ genügt eine formlose Nachricht von der E-Mail-Adresse Ihres Kontos an uns. Die Löschung erfolgt sofort und unwiderruflich und umfasst Ihr Konto samt aller zugeordneten Daten (Portfolio, Watchlist, Depots, Budget, Ziele, Kursalarme, Broker-Verbindungen samt Zugangsdaten und Protokollen sowie Einstellungen) und alle laufenden Anmeldungen auf Ihren Geräten. Ein laufendes Premium-Abo wird dabei beendet. Danach senden wir Ihnen einmalig eine Bestätigung an die bisherige E-Mail-Adresse; diese Adresse wird dafür nicht gespeichert. Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungen bei unserem Zahlungsdienstleister, siehe Abschnitt 10) bleiben unberührt. Datenübertragbarkeit: Auf Anfrage stellen wir Ihnen Ihre Daten in einem gängigen, maschinenlesbaren Format (z. B. CSV oder JSON) zur Verfügung; die PDF-Auswertung in den Einstellungen ersetzt das nicht.

Sie haben das Recht auf Beschwerde bei der österreichischen Datenschutzbehörde (Barichgasse 40–42, 1030 Wien, dsb.gv.at).

9. Datensicherheit

Passwort-Hashing mittels scrypt, Verschlüsselung von Broker-Zugangsdaten mittels AES-256-GCM, Trennung der Daten je Nutzerkonto, Rate-Limiting gegen automatisierte Login-Versuche.

10. Zahlungsabwicklung (Premium)

Ein kostenpflichtiges Premium-Abo wird über den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Dublin, Irland, gegebenenfalls Stripe, Inc., USA) abgewickelt. Premium kann über die Einstellungen abgeschlossen werden.

Beim Kauf werden Sie zur Bezahlseite von Stripe weitergeleitet. Zahlungsdaten (z. B. Kartennummer, Rechnungsadresse) geben Sie ausschließlich dort ein; wir erhalten sie nicht. Zur Zuordnung wird Ihre E-Mail-Adresse an Stripe übermittelt. Von Stripe erhalten wir die Kunden- und Abo-Kennung, den Abo-Status, den Abrechnungszeitraum und den gezahlten Betrag. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie lit. c (gesetzliche Aufbewahrungspflichten, insbesondere § 132 BAO – 7 Jahre). Für die Verarbeitung durch Stripe gilt zusätzlich dessen Datenschutzerklärung. Beim Start des Kaufs speichern wir außerdem den Zeitpunkt Ihrer ausdrücklichen Zustimmung zum sofortigen Beginn der Leistung während der Rücktrittsfrist (Nachweis für die gesetzlichen Verbraucherrechte, Art. 6 Abs. 1 lit. c DSGVO). Lösen Sie einen Aktionscode ein, speichern wir, dass und wann Sie ihn eingelöst haben.

11. Google AdSense, Cookies und Ihre Auswahl

Pendrai hat Google AdSense eingebunden. Google und seine Werbepartner können nach entsprechender Einwilligung Cookies oder vergleichbare Kennungen einsetzen, um Anzeigen bereitzustellen, ihre Wirkung zu messen und – soweit ausgewählt – Werbung anhand Ihrer Besuche auf dieser und anderen Websites zu personalisieren. Dabei können insbesondere IP-Adresse, Browser- und Geräteinformationen, aufgerufene Seiten und Cookie-Kennungen verarbeitet werden. Die Einwilligungsnachricht von Google nennt die zur Auswahl stehenden Partner und Zwecke.

Anzeigenanfragen werden beim Seitenaufruf zunächst pausiert. Pendrai gibt sie erst frei, wenn über die Google-Einwilligungsverwaltung eine gültige Zustimmung zur Gerätespeicherung und zu Google vorliegt. Weitere Zweck- und Anbieterentscheidungen berücksichtigt AdSense anhand dieser Auswahl. Bei Ablehnung oder wenn die Einwilligungsverwaltung nicht verfügbar ist, bleiben Anzeigenanfragen pausiert; die Kontofunktionen bleiben nutzbar. Das Google-Grundskript wird zur Bereitstellung der Einwilligungsnachricht bereits geladen, sobald Pendrai (über eine Abfrage an den eigenen Server) festgestellt hat, dass kein Premium-Konto angemeldet ist; bei angemeldeten Premium-Nutzer:innen wird weder dieses Skript geladen noch werden Anzeigen angefordert. Kann der Kontostatus nicht ermittelt werden, wird das Skript ebenfalls nicht geladen. Dabei findet eine Verbindung zu Google statt und bestehende Google-Cookies können gelesen werden; die Pausierung ist keine vollständige Sperre sämtlicher Google-Verbindungen.

Die Einwilligungsverwaltung speichert Ihre Auswahl im Browser. Über am Seitenende können Sie die Auswahl erneut öffnen und ändern. Ein Widerruf wirkt für die Zukunft. Die Verarbeitung für einwilligungsabhängige Werbezwecke erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO; notwendige Speicherung für Anmeldung und Einwilligungsverwaltung ist davon getrennt.

Weitere Angaben zu Google, Empfängern, internationalen Datenübermittlungen und Speicherdauern finden Sie in Googles Datenschutzerklärung und unter Datennutzung auf Partner-Websites. Personalisierte Werbung lässt sich außerdem im Google-Anzeigencenter verwalten.