1. Verantwortlicher und Kontakt
Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website ist:
2. Geltungsbereich
Diese Datenschutzerklärung gilt für die Website branleeay-finance.com und die dort bereitgestellten Funktionen von Branleeay Finance, insbesondere MoneyCounter, Arbeitszeit-Tracker, Dashboard, Analysebereiche, Edelmetalle sowie Aktien & Kurse.
Sie gilt nicht für externe Websites, die über Links erreichbar sind. Für externe Angebote gelten die Datenschutzinformationen des jeweiligen Anbieters.
3. Allgemeine Verarbeitung und Rechtsgrundlagen
Personenbezogene Daten werden verarbeitet, wenn dies für den Betrieb der Website, die Bereitstellung eines Nutzerkontos, die Speicherung nutzerbezogener Inhalte, die Sicherheit der Plattform oder die Bearbeitung von Anfragen erforderlich ist.
- Art. 6 Abs. 1 lit. b DSGVO: Kontoerstellung, Login, MoneyCounter-Funktionen, Speicherung von Sessions, Zielen und nutzerbezogenen Daten zur Durchführung des Nutzungsverhältnisses.
- Art. 6 Abs. 1 lit. f DSGVO: sicherer technischer Betrieb, Missbrauchsschutz, Fehleranalyse, Verfügbarkeit und Stabilität der Website. Das berechtigte Interesse liegt im sicheren und zuverlässigen Betrieb des Dienstes.
- Art. 6 Abs. 1 lit. a DSGVO: freiwillige Produktinformationen per E-Mail sowie die optionale externe KI-Interpretation, soweit diese aktiv ausgewählt werden. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.
- Art. 6 Abs. 1 lit. c DSGVO: Verarbeitung, soweit gesetzliche Aufbewahrungs-, Nachweis- oder Mitwirkungspflichten bestehen.
Die Bereitstellung der für Konto und Produktfunktionen erforderlichen Daten ist notwendig, wenn diese Funktionen genutzt werden sollen. Ohne diese Daten können einzelne Funktionen nicht oder nur lokal eingeschränkt bereitgestellt werden.
4. Aufruf der Website und Hosting über Vercel
Die Website wird über Vercel ausgeliefert. Beim Aufruf der Website können technisch notwendige Zugriffsdaten verarbeitet werden. Dazu gehören typischerweise IP-Adresse, Datum und Uhrzeit des Abrufs, angeforderte Datei oder Seite, Referrer, Browser- und Geräteinformationen sowie technische Log- und Sicherheitsdaten.
Zweck ist die Auslieferung der Website, die Erkennung von Angriffen und Fehlern sowie die Sicherstellung der Stabilität. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Empfänger ist Vercel als Hostinganbieter. Protokolldaten werden nur so lange aufbewahrt, wie dies für Betrieb, Sicherheit und Fehleranalyse erforderlich ist oder vertragliche Providerfristen greifen. Eine Nutzung zu werblichen Profilen findet nach aktuellem Projektstand nicht statt.
5. Supabase Auth, Nutzerkonten und Datenbank
Branleeay Finance nutzt Supabase für Authentifizierung und Datenbankfunktionen. Supabase Auth verwaltet unter anderem Nutzer-ID, E-Mail-Adresse, Authentifizierungsanbieter, Bestätigungsstatus, Login-Zeitpunkte, technische Sitzungsdaten und Sicherheitsinformationen.
Bei Registrierung mit E-Mail und Passwort wird das Passwort nicht im Klartext von Branleeay Finance gespeichert. Die Verarbeitung erfolgt über Supabase Auth. Für E-Mail-Bestätigung und Passwort-Zurücksetzung können notwendige E-Mails versendet werden.
Die nutzerbezogenen Produktdaten werden über die jeweilige Nutzer-ID getrennt. Dazu gehören je nach Nutzung Profile, MoneyCounter-Daten, Arbeitszeitdaten, Zielwerte, Session-Verläufe, Edelmetallpositionen, Wertpapierpositionen, Analysewerte und technische Zustände. Row-Level-Security-Regeln sollen sicherstellen, dass angemeldete Nutzer nur ihre eigenen Daten lesen oder verändern können.
Zwecke sind Konto- und Sitzungsverwaltung, Authentifizierung, nutzerbezogene Speicherung und Wiederherstellung der Produktdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheitsprotokolle und Missbrauchsschutz beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO. Konto- und Produktdaten werden grundsätzlich bis zur eigenen Löschung oder Kontolöschung gespeichert, soweit keine gesetzlichen Pflichten oder technisch unvermeidbare, befristete Sicherungskopien entgegenstehen.
Es werden auf dieser öffentlichen Seite keine internen Supabase-Schlüssel, Projekt-IDs, Tokens oder geheimen Konfigurationswerte veröffentlicht.
6. Google-Login über OAuth
Nutzer können sich freiwillig über Google anmelden. Die Anmeldung erfolgt technisch über Google OAuth und Supabase. Alternativ bleibt die Anmeldung mit E-Mail und Passwort möglich.
Beim Google-Login kann Branleeay Finance typischerweise Name, E-Mail-Adresse, Profilbild und eine technische Google- beziehungsweise Provider-Kennung erhalten. Diese Daten werden verwendet, um das Konto anzulegen, das bestehende Konto zuzuordnen, den Login zu ermöglichen und das Nutzerkonto darzustellen.
Branleeay Finance erhält kein Google-Passwort. Es werden keine Inhalte aus Gmail, Google Drive, Google Kalender oder anderen Google-Diensten angefordert. Nach aktuellem Stand werden nur Standard-Identitätsberechtigungen für Anmeldung und Kontozuordnung genutzt.
Ergänzend gelten die Datenschutzhinweise von Google und die Nutzungsbedingungen von Google. Eine Google-Verknüpfung kann im Google-Konto, insbesondere unter Apps mit Kontozugriff, verwaltet werden.
Die Verarbeitung dient der freiwillig gewählten Anmeldung und Kontozuordnung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Google kann Daten in eigener Verantwortung und gegebenenfalls außerhalb des EWR verarbeiten; Einzelheiten zu Rechtsgrundlagen und Übermittlungsmechanismen beschreibt Google in den verlinkten Hinweisen.
Eine Apple-Anmeldung sowie Anmeldung oder Verifizierung per Telefonnummer sind nach aktuellem Projektstand nicht aktiv eingebunden.
7. Facebook-Login über OAuth
Nutzer können sich freiwillig über Facebook anmelden. Die Anmeldung wird über Meta Platforms und Supabase Auth ausgeführt. Angefordert werden ausschließlich die für Anmeldung und Kontozuordnung vorgesehenen Standardberechtigungen, insbesondere die Provider-Kennung, das öffentliche Profil und – sofern von Facebook bereitgestellt – die E-Mail-Adresse.
Branleeay Finance erhält kein Facebook-Passwort. Wird keine E-Mail-Adresse übermittelt, wird der Zugang nicht stillschweigend als vollständiges Branleeay-Finance-Konto weiterverwendet. Verbundene Anmeldeverfahren können im Kontobereich verwaltet werden, sofern mindestens ein weiterer Zugang bestehen bleibt.
Für Löschanforderungen von Meta ist eine signaturgeprüfte Datenlöschschnittstelle vorgesehen. Sie löscht das zugehörige Supabase-Konto und die nutzerbezogenen Produkttabellen und stellt einen pseudonymen Bestätigungscode bereit. Ergänzend gelten die Datenschutzinformationen von Meta.
Die Verarbeitung dient der freiwillig gewählten Anmeldung und Kontozuordnung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Meta kann Daten in eigener Verantwortung und gegebenenfalls außerhalb des EWR verarbeiten; Einzelheiten beschreibt Meta in den verlinkten Hinweisen.
8. Produktdaten: MoneyCounter, Arbeitszeit und Vermögensbereiche
Wenn die Funktionen genutzt werden, können insbesondere folgende Daten verarbeitet und einem Nutzerkonto zugeordnet werden:
- MoneyCounter-Sessions mit Startzeit, Endzeit, Pausen, Fortsetzungen, Abschluss, Reset- oder Abbruchereignissen.
- Verdienst- und Kostenwerte, Stundenwerte, Zielwerte, Tages-, Wochen-, Monats- und Jahreswerte.
- Arbeitszeitdaten, Netto-Arbeitszeit, Pausendauer, Arbeitsphasen, Pausenphasen und Zielerreichung.
- Analysewerte und Auswertungen, etwa Effizienz, Fokusblöcke, Vorperiodenvergleiche, Mustererkennung und Vertrauensstufen auf Basis vorhandener Sessions.
- Edelmetallpositionen, Feingewichte, Kaufwerte, Notizen und rechnerische Marktwerte.
- Wertpapierpositionen, Stückzahlen, Kaufwerte, Kursdaten, Notizen und berechnete Portfolio-Werte.
Die Berechnungen dienen der persönlichen Übersicht. Sie sind keine Finanz-, Steuer-, Rechts- oder Anlageberatung.
Zweck ist die vom Nutzer angeforderte Speicherung, Berechnung und Darstellung persönlicher Arbeits-, Leistungs- und Vermögensdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Angaben sind nur erforderlich, soweit die jeweilige Funktion genutzt werden soll; ohne Eingabe ist die betreffende Auswertung nicht möglich.
9. KI-Interpretation und Analysefunktionen
Die MoneyCounter-Analyse berechnet Kennzahlen deterministisch aus den vorhandenen Sessions. Eine optionale KI-Interpretation darf nach dem aktuellen System keine eigenen Zahlen erfinden, sondern nur bereits berechnete Kennzahlen verständlich zusammenfassen und Hinweise formulieren.
Die externe KI-Interpretation ist standardmäßig deaktiviert. Sie wird nur nach ausdrücklicher Aktivierung im Bereich „Datenschutz & Sicherheit“ und nur dann verwendet, wenn der Betreiber den externen Dienst serverseitig freigeschaltet hat. Übermittelt werden ausschließlich minimierte, aggregierte Analysekennzahlen. E-Mail-Adresse, Nutzer-ID, vollständige Sessions, Passwörter und Authentifizierungstokens werden nicht in die KI-Payload aufgenommen.
Ist die externe Interpretation deaktiviert oder nicht konfiguriert, wird ausschließlich eine lokale, regelbasierte Zusammenfassung angezeigt. Eine gespeicherte KI-Zusammenfassung kann getrennt von Sessions und deterministischen Kennzahlen gelöscht werden.
Der Analysebereich kennzeichnet dauerhaft, ob eine regelbasierte Analyse ohne externe KI oder eine tatsächlich extern erzeugte KI-Interpretation angezeigt wird. Bei externer KI-Nutzung bleiben die Kennzahlen systemseitig berechnet; die sprachliche Interpretation kann unvollständig oder fehlerhaft sein und ist vom Nutzer eigenständig zu prüfen. Herkunft, Zeitpunkt, Analyseversion und externe Verarbeitung werden mit dem jeweiligen Analyse-Snapshot gespeichert und im Account-Datenexport berücksichtigt.
Rechtsgrundlage für den externen Aufruf ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung ist freiwillig, im Datenschutzcenter widerrufbar und wird mit Version und Zeitpunkt dokumentiert. Der Widerruf berührt die Rechtmäßigkeit der vorherigen Verarbeitung nicht. Ohne Einwilligung entstehen keine Nachteile für die Kernfunktionen.
10. Cookies, Local Storage und Session-Persistenz
Die Anwendung verwendet technisch notwendige lokale Speichermechanismen, um Login-Status, aktive Kontozuordnung, MoneyCounter-Zustände, Arbeitszeit-Zustände, Vermögenspositionen, Wertpapier-Caches und Bedienzustände wiederherzustellen.
Supabase Auth kann Sitzungsdaten im Browser speichern, damit Nutzer angemeldet bleiben. Zusätzlich nutzt die Anwendung Local Storage für accountbezogene lokale Fallback-Zustände und Caches. Eine freiwillige E-Mail-Einwilligung kann lokal gespeichert und zusätzlich durch ein technisch einfaches Cookie wie branleeay_email_consent vermerkt werden.
Nach aktuellem Stand werden keine Werbe-Cookies, keine externen Werbenetzwerke und keine nicht notwendigen Trackingdienste aktiv eingebunden. Für technisch notwendige Speicherungen wird kein separates Cookie-Banner erstellt. Die dauerhaft erreichbaren Cookie-Einstellungen informieren über lokale Speicherungen und erlauben das Löschen eines lokalen Einwilligungsstatus.
11. Empfänger, Auftragsverarbeiter und Drittlandübermittlungen
Je nach Nutzung können Daten an technische Dienstleister übermittelt oder dort verarbeitet werden:
- Vercel: Hosting, Auslieferung, technische Logs und Sicherheit.
- Supabase: Authentifizierung, Datenbank, Sitzung, Nutzer-ID und Sicherheitsfunktionen.
- Google: freiwilliger OAuth-Login und Kontozuordnung, wenn diese Loginmethode gewählt wird.
- Meta: freiwilliger Facebook-OAuth-Login, Kontozuordnung und Provider-Löschanforderungen.
- Resend: Versand von Kontaktanfragen an den Betreiber; übermittelt werden Formularangaben und eine pseudonyme Kontoreferenz, nicht die vollständige Nutzer-ID.
- Marktdatenanbieter: Abruf von Edelmetall- und Wertpapierkursen ohne Übermittlung der Branleeay-Nutzer-ID.
- Optionaler KI-Anbieter: nur nach ausdrücklicher Nutzerfreigabe, serverseitiger Betreiberfreigabe und mit minimierten aggregierten Analysekennzahlen.
Stripe oder ein vergleichbarer Zahlungsanbieter ist nach aktuellem Projektstand nicht aktiv für Zahlungen oder Abonnements eingebunden.
Da einige Anbieter international tätig sind, können Daten in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums übermittelt werden. Soweit erforderlich, sollen geeignete Garantien wie Standardvertragsklauseln oder vergleichbare Schutzmechanismen genutzt werden.
12. Kontaktformular und E-Mail-Versand
Bei einer Kontaktanfrage werden Name, angegebene E-Mail-Adresse, Betreff, Nachricht, Einwilligungsbestätigung und technischer Übermittlungszeitpunkt zur Bearbeitung verarbeitet. Der Versand erfolgt serverseitig über Resend. Bei angemeldeten Nutzern werden lediglich der Anmeldestatus und eine nicht direkt lesbare, pseudonyme Kontoreferenz ergänzt.
Browserkennung, vollständige Supabase-Nutzer-ID, Authentifizierungstoken, Providerprofil und Produktdaten werden nicht in die Kontakt-E-Mail aufgenommen. Die Aufbewahrung in den Systemen des E-Mail-Dienstes richtet sich zusätzlich nach der dort konfigurierten Protokoll- und Vertragslage.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen und im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Beantwortung und Dokumentation von Anfragen. Nachrichten werden gelöscht, sobald sie für die Bearbeitung nicht mehr benötigt werden und keine gesetzlichen Aufbewahrungspflichten bestehen.
13. Speicherdauer und Kontolöschung
Kontodaten und nutzerbezogene Produktdaten werden grundsätzlich gespeichert, solange das Konto besteht oder die Daten für die bereitgestellten Funktionen benötigt werden. Lokale Browserdaten können Nutzer über die Browserfunktionen löschen.
Angemeldete Nutzer können im Konto einen Datenexport erstellen und eine Account-Löschung anstoßen. Die Löschung umfasst Profil, MoneyCounter- und Arbeitszeitstatus, Ereignisse, Analyse-Snapshots, Edelmetall- und Wertpapierpositionen, Privatsphäre-Einstellungen sowie den Supabase-Auth-Nutzer. Provider-Löschbestätigungen enthalten ausschließlich Hashwerte und werden nach dem dokumentierten Löschkonzept befristet vorgehalten.
Backups und technische Providerprotokolle können nicht allein durch den Frontend-Löschvorgang selektiv bereinigt werden. Solche Restbestände sind durch Zugriffsbeschränkung, definierte Backup-Zyklen und die jeweiligen Anbieterprozesse zu behandeln.
14. Rechte betroffener Personen
Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch gegen bestimmte Verarbeitungen und Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft.
Zur Ausübung der Rechte kann der oben genannte Kontakt genutzt werden. Angemeldete Nutzer können im Bereich „Datenschutz & Sicherheit“ zusätzlich einen Datenexport anfordern, optionale KI-Einwilligungen verwalten und die Kontolöschung einleiten.
Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständige Behörde ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg, Stahnsdorfer Damm 77, 14532 Kleinmachnow, E-Mail: Poststelle@LDA.Brandenburg.de, Telefon: +49 33203 356-0. Die Behörde ist unter lda.brandenburg.de erreichbar.
15. Automatisierte Entscheidungen und Profiling
Nach aktuellem Stand findet keine automatisierte Entscheidung mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung statt. Analysefunktionen zeigen berechnete Auswertungen und Hinweise, ersetzen aber keine menschliche Entscheidung.
MoneyCounter ist für die persönliche Selbstanalyse bestimmt. Der Dienst ist nicht für die automatisierte Bewertung, Überwachung oder Kategorisierung von Beschäftigten vorgesehen und trifft keine Personalentscheidungen.
16. Sicherheitsmaßnahmen
Die Website wird über HTTPS bereitgestellt. Authentifizierung und Datenbankzugriffe erfolgen über Supabase und nutzerbezogene Row-Level-Security-Regeln. Der Zugriff auf sensible Funktionen ist an eine gültige Anmeldung gebunden. Nutzer können optional einen TOTP-Zweitfaktor einrichten und alle Sitzungen auf allen Geräten beenden.
Trotz sorgfältiger technischer Maßnahmen kann eine absolute Sicherheit nicht garantiert werden. Nutzer sollten sichere Passwörter verwenden und Zugangsdaten vertraulich behandeln.
17. Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung kann angepasst werden, wenn sich Funktionen, technische Dienste oder rechtliche Anforderungen ändern. Die jeweils aktuelle Fassung ist unter /datenschutz.html abrufbar.