Gemäß DSGVO (EU) 2016/679 — Stand: 28. Juli 2026
Astrid Jaeger
Laubenweg 22, 9020 Klagenfurt am Wörthersee
E-Mail: support@thedrawdowndiary.com
Wir erheben folgende personenbezogene Daten:
Registrierung: E-Mail-Adresse, verschlüsseltes Passwort
Nutzungsdaten: eingegebene Trades, Psychology-Logs, Weekly Reviews sowie optional hochgeladene Chart-Screenshots (ausschließlich vom Nutzer selbst eingegeben bzw. hochgeladen; Screenshots werden in einem privaten Storage-Bucket gespeichert und sind nur für den jeweiligen Nutzer abrufbar)
Zahlungsdaten: werden ausschließlich von Stripe verarbeitet — wir speichern keine Kreditkartendaten
Vertragsnachweise: beim Kauf dokumentieren wir Zeitpunkt und Wortlaut Ihres ausdrücklichen Verlangens nach sofortiger Bereitstellung der Leistung (Tarif, Checkout-Referenz, E-Mail-Adresse)
Kündigungsanfragen: über die öffentliche Kündigungsseite übermittelte Angaben (E-Mail-Adresse, Tarif, Art der Kündigung, Zeitpunkt)
Widerrufserklärungen: über die öffentliche Widerrufsseite übermittelte Angaben (Name, E-Mail-Adresse, Bestell- bzw. Rechnungsnummer, Tarif, eine freiwillige Anmerkung sowie Datum und Uhrzeit des Eingangs). Name, Vertragsidentifikation und E-Mail-Adresse sind nach § 13a FAGG gesetzlich vorgeschriebene Angaben der Widerrufsfunktion
Empfehlungsprogramm: die Zuordnung, über welchen Empfehlungslink ein Konto registriert wurde
Provisionsabrechnungen: führt eine Empfehlung zu einem kostenpflichtigen Kauf, entsteht ein Abrechnungsdatensatz (Tabelle affiliate_commissions). Gespeichert werden der Empfehlungscode der werbenden Person, die Nutzerkennung des geworbenen Kontos, der gekaufte Tarif, der Kaufbetrag, die daraus errechnete Provision und deren Auszahlungsstatus — kein Name und keine E-Mail-Adresse
Lifetime-Reservierungen: beim Kauf des Lifetime-Zugangs reservieren wir Ihnen einen der zehn Early-Bird-Plätze. Gespeichert werden dazu Ihre Nutzerkennung, die Stripe-Checkout-Referenz, der Status der Reservierung und die zugehörigen Zeitpunkte — kein Name und keine E-Mail-Adresse
Technische Daten: IP-Adresse, Browser-Typ (über Vercel-Hosting)
Anonyme Seitenaufrufe: gespeichert werden ausschließlich der aufgerufene Pfad, ein etwaiger Referrer und der Zeitpunkt — ohne Nutzerkennung, ohne Cookie und ohne IP-Adresse. Zur Missbrauchsabwehr wird beim Aufruf dieser Schnittstelle jedoch Ihre IP-Adresse an unseren Rate-Limiting-Dienst Upstash (USA) übermittelt und dort für die Dauer des Zeitfensters vorgehalten; sie wird nicht mit den gespeicherten Seitenaufrufen verknüpft (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; Datenübermittlung in die USA auf Basis von Standardvertragsklauseln)
— Bereitstellung der Trading-Journal-Funktionalität — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
— Abwicklung von Zahlungen und Abonnements — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
— Authentifizierung und Kontosicherheit — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
— Dokumentation gesetzlich erforderlicher Bestätigungen (FAGG) und Bearbeitung von Kündigungen — Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) sowie lit. f (Nachweisinteresse)
— Technischer Betrieb der Plattform (Serverprotokolle) — Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb)
— Bot- und Missbrauchsschutz (Captcha, Rate-Limiting) — Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb)
— Affiliate-/Empfehlungs-Tracking (ddd_ref Cookie) — Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
— Einbindung des TradingView-Kurs-Tickers — Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
— Reservierung und Nachweis der zehn Early-Bird-Lifetime-Plätze — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie lit. f (berechtigtes Interesse an einer richtigen Verknappungsangabe, Anh. Z 7 UWG)
— Abrechnung und Auszahlung der Provisionen aus dem Empfehlungsprogramm — Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit der werbenden Person) sowie lit. c (Buchführungs- und Aufbewahrungspflicht, § 132 BAO)
Erforderlichkeit der Bereitstellung (Art. 13 Abs. 2 lit. e DSGVO): E-Mail-Adresse und Passwort sind für den Vertragsabschluss erforderlich — ohne diese Angaben können wir kein Konto anlegen und die Leistung nicht erbringen; alle übrigen Angaben (Trades, Psychology-Logs, Screenshots, Name) sind freiwillig, ihre Nichtbereitstellung hat keine Nachteile außer dem Entfall der jeweiligen Funktion.
Automatisierte Entscheidungsfindung (Art. 13 Abs. 2 lit. f DSGVO): Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.
Wir setzen keine Werbe- oder Analyse-Cookies. Im Einzelnen:
— Login-/Session-Cookies (Supabase Auth): technisch notwendig, kein Einwilligungserfordernis
— ddd_consent: speichert Ihre Entscheidung zum Empfehlungs-Cookie (12 Monate), technisch notwendig
— ddd_consent_tv: speichert Ihre Entscheidung zum TradingView-Kurs-Ticker (12 Monate), technisch notwendig
— ddd_ref: Empfehlungs-Tracking (30 Tage) — wird nur nach Ihrer Einwilligung über den Cookie-Banner gesetzt
Getrennte Einwilligung je Zweck: Über die beiden einwilligungsbedürftigen Zwecke — das Empfehlungs-Cookie und den TradingView-Kurs-Ticker — entscheiden Sie im Cookie-Banner unabhängig voneinander. Sie können einem zustimmen und den anderen ablehnen; „Alle ablehnen" ist genauso leicht erreichbar wie „Alle akzeptieren".
Reichweitenmessung ohne Speicherung im Endgerät: Für die Zählung anonymer Seitenaufrufe legen wir nichts in Ihrem Endgerät ab — kein Cookie, kein localStorage, kein sessionStorage. Bis zum 28. Juli 2026 wurde dafür ein sessionStorage-Eintrag („pv_tracked") gesetzt; er ist ersatzlos entfallen. Gezählt wird nun einmal je Seitenladung, die dafür nötige Sperre liegt ausschließlich im flüchtigen Arbeitsspeicher der geladenen Seite. § 165 Abs. 3 TKG 2021 ist damit nicht berührt.
Der TradingView-Kurs-Ticker wird nur nach Ihrer Einwilligung geladen; ohne Einwilligung sehen Sie an seiner Stelle einen Platzhalter, den Sie für die laufende Sitzung einmalig freischalten können — dieser Klick setzt kein Cookie und ändert Ihre gespeicherte Entscheidung nicht.
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — mit einem Klick auf „Cookie-Einstellungen" im Footer jeder Seite. Damit werden ddd_consent, ddd_consent_tv und ddd_ref sofort gelöscht, der Cookie-Banner erscheint erneut und der TradingView-Ticker wird entfernt; der Widerruf wirkt auf beide Zwecke zugleich. Er ist damit so einfach wie die Erteilung (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
Supabase (Supabase Inc., Rechenzentrum Frankfurt/Deutschland) — Datenbankhosting und Authentifizierung; die Daten werden in der EU gespeichert (Auftragsverarbeitung nach Art. 28 DSGVO; soweit im Support-Fall ein Zugriff aus den USA erfolgt, auf Basis von Standardvertragsklauseln)
Vercel (Vercel Inc., USA) — Webhosting; Auftragsverarbeitung nach Art. 28 DSGVO, Datenübermittlung in die USA auf Basis der Zertifizierung unter dem EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln
Stripe — Zahlungsabwicklung. Vertragspartner für Kunden im EWR ist die Stripe Payments Europe Ltd., Irland; eine Übermittlung an die Stripe, Inc. (USA) erfolgt auf Basis der Zertifizierung unter dem EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln. Stripe handelt bei der reinen Zahlungsabwicklung als Auftragsverarbeiter für uns (Art. 28 DSGVO), hinsichtlich Betrugsprävention, Geldwäsche- und Aufsichtspflichten jedoch eigenverantwortlich als eigener Verantwortlicher; insoweit gilt die Datenschutzerklärung von Stripe
Resend (Resend, Inc., Versandregion eu-west-1/Irland) — Versand von Transaktions-E-Mails (Vertragsbestätigung nach § 7 Abs. 3 FAGG, Garantieerklärung nach § 9b KSchG, Bestätigung des Eingangs einer Kündigung). Verarbeitet werden Ihre E-Mail-Adresse, Name bzw. Anrede soweit vorhanden sowie die in der Nachricht enthaltenen Vertragsdaten (Tarif, Preis, Kaufdatum, Referenz). Der technische Versand erfolgt über Amazon SES in der Region eu-west-1 (Irland); die Daten verbleiben in der EU (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung, sowie lit. c, rechtliche Verpflichtung, da die Bestätigung gesetzlich vorgeschrieben ist; Auftragsverarbeitung nach Art. 28 DSGVO)
Zoho (Zoho Corporation B.V., EU-Rechenzentrum) — Hosting unserer Postfächer support@thedrawdowndiary.com und mikko@thedrawdowndiary.com, also Empfang und Bearbeitung von Kundenanfragen, Widerrufs- und Garantieerklärungen. Verarbeitet werden alle Inhalte, die Sie uns per E-Mail übermitteln, sowie Ihre Absenderadresse und die Metadaten der Nachricht. Die Datenhaltung erfolgt in der EU (mx.zoho.eu) (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung, sowie lit. f, berechtigtes Interesse an der Bearbeitung von Anfragen; Auftragsverarbeitung nach Art. 28 DSGVO)
Cloudflare Turnstile (Cloudflare, Inc., USA) — Captcha zum Schutz von Registrierung und Login vor Bots; dabei wird Ihre IP-Adresse an Cloudflare übertragen (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an sicherem Betrieb; Datenübertragung auf Basis des EU-US Data Privacy Framework bzw. Standardvertragsklauseln)
Upstash (USA) — Rate-Limiting zum Schutz vor Missbrauch; hierfür wird Ihre IP-Adresse kurzzeitig verarbeitet (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an sicherem Betrieb; Datenübertragung auf Basis von Standardvertragsklauseln)
TradingView (TradingView Inc., USA) — eingebettetes Kurs-Ticker-Widget im eingeloggten Bereich. Das Widget wird ausschließlich nach Ihrer Einwilligung geladen; dabei wird Ihre IP-Adresse an TradingView übertragen und das Widget kann Einträge in Ihrem Endgerätespeicher anlegen. Es gilt zusätzlich die Datenschutzerklärung von TradingView (Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, Einwilligung, i.V.m. § 165 Abs. 3 TKG 2021; Datenübermittlung in die USA auf Basis von Standardvertragsklauseln bzw. des EU-US Data Privacy Framework)
Daten werden gespeichert, solange ein aktives Konto besteht. Bei Kontolöschung werden Ihre personenbezogenen Daten innerhalb von 30 Tagen unwiderruflich gelöscht — in Sicherungskopien (Backups unseres Datenbankanbieters) bis zu deren turnusmäßiger Überschreibung, längstens 30 Tage. Davon ausgenommen ist ausschließlich, was im Folgenden ausdrücklich genannt ist; diese Aufzählung ist abschließend.
Versandprotokolle unserer Transaktions-E-Mails (Tabelle mail_outbox: Empfängeradresse und vollständiger Nachrichtentext, zum Nachweis der gesetzlich vorgeschriebenen Zusendung) werden 90 Tage nach dem erfolgreichen Versand gelöscht. Konnte eine Nachricht nicht zugestellt werden, bleibt der Eintrag über die 90 Tage hinaus bestehen, bis wir den Fehler bearbeitet haben: Er dokumentiert, dass eine gesetzlich vorgeschriebene Information ihren Empfänger nicht erreicht hat, und ist die einzige Grundlage, den Versand nachzuholen (Art. 6 Abs. 1 lit. c DSGVO, Art. 17 Abs. 3 lit. b). Löschen Sie Ihr Konto, entfernen wir alle Einträge zu Ihrer Adresse sofort — auch die nicht zugestellten.
Interne Bearbeitungsvermerke (Tabelle ops_tasks) entstehen immer dann, wenn ein Vorgang nicht automatisch abgeschlossen werden kann und eine Entscheidung von uns verlangt. Das sind nicht nur Zahlungsvorgänge: Auch eine Empfehlung, die sich keiner werbenden Person zuordnen ließ, oder das Auslaufen eines Pro-Guthabens aus dem Empfehlungsprogramm erzeugt einen solchen Vermerk. Gespeichert wird jeweils nur, was zur Bearbeitung nötig ist — Nutzerkennung oder E-Mail-Adresse, gegebenenfalls Beträge und Zahlungsreferenz. Offene Vorgänge bewahren wir bis zur Erledigung auf (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14 FAGG, Art. 17 Abs. 3 lit. e DSGVO); 90 Tage nach der Erledigung werden sie gelöscht. Bei einer Kontolöschung entfernen wir erledigte Vermerke zu Ihrem Konto sofort; ein noch offener Vorgang bleibt bis zu seiner Erledigung bestehen.
Kündigungsanfragen (Tabelle cancellation_requests) bewahren wir zum Nachweis der fristgerechten Bearbeitung bis zum Ablauf der gesetzlichen Verjährungsfristen auf (Art. 17 Abs. 3 lit. e DSGVO); bei einer Kontolöschung werden sie sofort mitgelöscht.
Rücktrittserklärungen (Tabelle withdrawal_declarations) behandeln wir nach ihrem Ausgang. Haben wir den Rücktritt anerkannt und ganz oder teilweise rückabgewickelt, ist die Erklärung der Beleg für einen Geldfluss und bleibt für die Dauer der steuerlichen Aufbewahrungspflicht erhalten (§ 132 BAO, 7 Jahre; Art. 17 Abs. 3 lit. b und lit. e DSGVO) — auch über eine Kontolöschung hinaus. Ein noch nicht entschiedener Rücktritt bleibt bis zur Entscheidung bestehen, weil die Rückzahlungsfrist des § 14 FAGG unabhängig davon läuft, ob das Konto noch existiert. Haben wir den Rücktritt abgelehnt, löschen wir die Erklärung samt der zugehörigen Korrespondenz spätestens mit Ihrer Kontolöschung.
Lifetime-Reservierungen (Tabelle lifetime_reservations) dokumentieren, welcher der zehn beworbenen Early-Bird-Plätze vergeben ist. Ein eingelöster Platz bleibt dauerhaft gespeichert — auch nach einer Kontolöschung und auch nach einer Erstattung —, weil der öffentlich angezeigte Zähler „X von 10 übrig" sonst rückwärts liefe und damit eine unrichtige Verknappungsangabe wäre (Art. 6 Abs. 1 lit. f DSGVO, Anh. Z 7 UWG; Art. 17 Abs. 3 lit. e DSGVO). Gespeichert sind dazu nur Ihre Nutzerkennung, die Stripe-Checkout-Referenz, der Status und die Zeitpunkte — kein Name, keine E-Mail-Adresse. Nicht eingelöste, also abgelaufene oder wieder freigegebene Reservierungen werden bei einer Kontolöschung sofort entfernt.
Provisionsabrechnungen (Tabelle affiliate_commissions) sind Buchungsbelege der Betreiberin und unterliegen der steuerlichen Aufbewahrungspflicht (§ 132 BAO, 7 Jahre; Art. 6 Abs. 1 lit. c, Art. 17 Abs. 3 lit. b DSGVO). Löschen Sie Ihr Konto, entfernen wir die Verknüpfung zu Ihrer Nutzerkennung aus dem Datensatz; der Beleg besteht danach nur noch aus Tarif, Betrag, Provision und Status und ist Ihnen nicht mehr zuordenbar.
Anonyme Seitenaufrufe (Tabelle page_views: Pfad, etwaiger Referrer, Zeitpunkt) enthalten keine Nutzerkennung, keine IP-Adresse und kein Cookie. Sie sind keiner Person zuordenbar und unterliegen deshalb keiner Löschfrist; wir werten sie dauerhaft zur Reichweitenmessung aus.
Im Übrigen: Rechnungs- und Zahlungsdaten unterliegen der gesetzlichen Aufbewahrungspflicht (§ 132 BAO, 7 Jahre). Vertragsnachweise (Tabelle withdrawal_waivers, z. B. das dokumentierte Verlangen nach sofortiger Bereitstellung) bewahren wir zur Geltendmachung bzw. Abwehr von Rechtsansprüchen bis zum Ablauf der gesetzlichen Verjährungsfristen auf (Art. 17 Abs. 3 lit. e DSGVO); Nachweise zu abgebrochenen Checkouts, die keinen Vertrag belegen, löschen wir bereits nach 90 Tagen.
Gemäß DSGVO haben Sie das Recht auf:
— Auskunft über gespeicherte Daten (Art. 15)
— Berichtigung unrichtiger Daten (Art. 16)
— Löschung Ihrer Daten (Art. 17) — direkt über Settings → Account löschen
— Einschränkung der Verarbeitung (Art. 18)
— Datenübertragbarkeit (Art. 20) — jederzeit selbst über Settings → Deine Daten → „Alle meine Daten exportieren", zusätzlich weiterhin kostenlos auf Anfrage per E-Mail
— Widerspruch gegen die Verarbeitung (Art. 21)
— Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3)
Datenexport (Art. 15 und 20 DSGVO, § 5c Abs. 2 VGG): In den Einstellungen können Sie jederzeit selbst und unentgeltlich eine vollständige Kopie Ihrer Daten als JSON-Datei herunterladen — in jedem Tarif, auch im Free-Tarif und auch nach Beendigung eines kostenpflichtigen Vertrags. Enthalten sind: Ihre Kontostammdaten und Einstellungen, alle Trades, Tags, Psychology-Logs, Weekly Reviews, Journal-Einträge, Achievements, Vertrags- und Abodaten, Vertragsnachweise, Kündigungs- und Widerrufserklärungen, In-App-Benachrichtigungen, Ihre Reservierungen eines der zehn Lifetime-Plätze einschließlich abgebrochener Kaufversuche (data.lifetime_reservations), Provisionsabrechnungen zu Ihren Käufen, betriebliche Vorgänge zu Ihrem Konto, die von Hand geprüft werden mussten (data.operations_backlog), das Protokoll der an Sie versandten Transaktions-E-Mails sowie befristet gültige Download-Links zu Ihren Screenshots (die Bilddateien selbst werden aus Größengründen nicht eingebettet). Nicht enthalten sind Zahlungs- und Kreditkartendaten — diese liegen ausschließlich bei Stripe — sowie Kennungen anderer Personen aus dem Empfehlungsprogramm, insbesondere der Empfehlungscode der werbenden Person (Art. 15 Abs. 4 DSGVO); aus den betrieblichen Vorgängen sind zusätzlich die interne Handlungsanweisung und der technische Fehlertext entfernt, weil beides keine Angabe über Sie ist.
Selbstprüfung vor der Auslieferung: Bevor die Datei erzeugt wird, gleicht der Export sich gegen unabhängige Zähler ab — unter anderem gegen den Trade-Zähler in Ihrem Stammdatensatz. Widerspricht er sich dabei selbst oder hat eine Abfrage einen Fehler gemeldet, liefern wir bewusst nichts aus: Eine Auskunft, die sich fälschlich als vollständige Kopie ausgibt, wäre schlechter als gar keine, weil Sie die Sache für erledigt hielten. Sie erhalten stattdessen einen Hinweis, der Vorgang wird bei uns automatisch zur Bearbeitung gemeldet, und Ihr Auskunftsanspruch bleibt unberührt — die Monatsfrist des Art. 12 Abs. 3 DSGVO läuft ab Ihrer Anfrage weiter, nicht ab der Behebung.
Anfragen an: support@thedrawdowndiary.com
Sie haben das Recht, bei der österreichischen Datenschutzbehörde Beschwerde einzulegen:
Österreichische Datenschutzbehörde
Barichgasse 40-42, 1030 Wien
www.dsb.gv.at