Stand: 25. Oktober 2026

Deine Daten.
Verständlich erklärt.

1. Verantwortlicher und Geltungsbereich

Luca Kraft, Betreiber von StockCub. Aktuelle Betreiberangaben. Die postalische Anschrift bleibt noch zu ergänzen.

Für Datenschutzanfragen und Kontakt zum verantwortlichen Betreiber: luca@stockcub.com. Bitte sende keine Passwörter, Bestätigungscodes oder vorsorglichen Ausweiskopien.

Diese Hinweise betreffen stockcub.com, www.stockcub.com, app.stockcub.com, konto.stockcub.com und die StockCub-Desktop-App sowie die iPhone-/iPad-Test-App und die installierbare Online-App für Windows und Android. Die Zuordnung einer zuständigen Datenschutzaufsichtsbehörde zum Betreiber bleibt bis zur Ergänzung seines Sitzes offen.

2. Welche Daten wir wofür verwenden

Ohne E-Mail, Passwort und Profilname ist ein Online-Konto nicht möglich. Du kannst die Informationswebsite ohne Konto ansehen. StockCub richtet sich ausschließlich an Erwachsene ab18.

3. Anbieter und Empfänger

• Supabase Pte. Ltd.: Authentifizierung, Profile und zentraler Spielstand. Aktuell gewählte Datenregion: London (eu-west-2). Support und Betriebsverarbeitung können auch außerhalb dieser Region stattfinden. Auftragsverarbeitung · Datenregionen und Übermittlungen.
• Render Services, Inc.: App-Server in Frankfurt, Anfragen, Sitzungsschlüssel im Arbeitsspeicher und technische Spielstandkopien auf dem flüchtigen Serverlaufwerk. Auftragsverarbeitung.
• OpenAI Ireland Ltd. / ChatGPT Sites: öffentliche Website, Downloads und Passwortseite, mit Cloudflare-Auslieferung und technischen Sicherheitsinformationen. Spielstände gehören nicht in die Downloadarchive. Sites-Auftragsverarbeitung · Unterauftragsverarbeiter.
• OVH GmbH / OVHcloud: Bestätigungs-, Rücksetz- und Supportmails, einschließlich Adressen, Nachrichteninhalt und Zustellinformationen. Auftragsverarbeitungsvertrag.
• UptimeRobot s. r. o.: technische Verfügbarkeitsprüfung des öffentlichen App-Endpunkts. Dabei werden Prüf-URL, Status, Antwortzeit und Betreiber-Benachrichtigungsdaten verarbeitet. Diese Prüfung benötigt weder eine Anmeldung als Spieler noch Spieler-E-Mail-Adressen, Spielstände oder Lernantworten. Es wird dafür kein UptimeRobot-Skript im Browser der Spieler eingebunden. Auftragsverarbeitung · Datenschutz.
• Berechtigte Verwaltung: Die Kontenübersicht zeigt E-Mail und Profilname. Technisch berechtigte Administratoren und Dienstleister können im notwendigen Umfang Daten für Betrieb, Rechteanfragen und Fehlerbehebung einsehen.

Vertragsgrundlagen und Unterauftragnehmer

Supabase und Render beziehen ihre Datenschutzverträge in die jeweiligen Nutzungsbedingungen ein. Für das Hosting mit ChatGPT Sites gilt der eigene Sites-Datenschutzvertrag. Der deutsche OVH-Auftragsverarbeitungsvertrag in der Fassung vom 17. Oktober 2025 wurde im Betreiberkonto als bereits validiert nachgewiesen. UptimeRobot veröffentlicht ebenfalls einen in seine Bedingungen einbezogenen Datenschutzvertrag. Das sind keine Zusagen einer ausschließlichen EU-Verarbeitung oder einer unabhängigen Zertifizierung von StockCub.

Die aktuellen Anbieterlisten erläutern Infrastruktur-, Support- und Sicherheitsdienstleister: Supabase, Render, Sites/OpenAI und UptimeRobot. Nicht jeder gelistete Dienstleister erhält bei jeder Funktion die Daten eines Spielers. Bei OVH sind die konkreten Leistungsbedingungen und die darin genannten Unterauftragsverarbeiter maßgeblich. Die Erhebung von Betreiber-Konto- und Abrechnungsdaten durch einen Anbieter kann daneben in dessen eigener Verantwortlichkeit erfolgen.

4. Verzögerte Kurse und freie Übungsfälle

Für echte Kryptopreisproben und Referenzkurse zur Euro-Umrechnung ruft der App-Server die öffentlich unter CC BY 4.0 bereitgestellte API von CoinSpectrum ab. Der Abruf wird für alle Nutzer gemeinsam zwischengespeichert. Kontoangaben, E-Mail-Adressen, Profilnamen, Passwörter, Spielstände und Lernantworten werden nicht übermittelt. Bei der Desktop-App kommt der Abruf von deinem Gerät und der Anbieter sieht dessen öffentliche IP-Adresse. Die Bereitstellung angeforderter Marktinformationen dient der App-Nutzung (Art. 6 Abs. 1 lit. b DSGVO). Zwischenstände sind reine öffentliche Kursdaten; der Trainingsmarkt bleibt davon getrennt.

Aktienkurse stammen jetzt aus dem offiziellen MiFIR-Dienst der Deutschen Börse und sind mindestens 15 Minuten verzögert. Der App-Server ruft gemeinsame Marktdaten ab; E-Mail-Adresse, Profilname, Passwort, Spielstand und Lernantworten werden nicht an den Kursanbieter übertragen. Bei der lokalen Desktop-Version läuft dieser Abruf auf deinem Gerät; dabei sieht der Anbieter dessen öffentliche IP-Adresse. Die installierbare Windows-/Android-Online-App verwendet stattdessen den gemeinsamen App-Server. Die Bereitstellung der angeforderten Marktinformationen dient der App-Nutzung (Art. 6 Abs. 1 lit. b DSGVO).

Die bisherigen direkten Yahoo-/Kraken-Streams und Anbieterabfragen für Kurse, Nachrichten und Langzeithistorie sind deaktiviert. Bereits erfolgte Übermittlungen werden dadurch nicht zurückgeholt. Die freien Übungsfälle unter Lernen erzeugen künstliche Kurse auf deinem Gerät, ohne externe Datenquelle, dauerhafte Speicherung oder Zugriff auf deinen normalen Spielstand. Beim Neuladen beginnt eine neue Trainingsrunde. Externe Google-Schriftarten werden nicht geladen. Datenschutz der Deutschen Börse.

Die Zeitmaschine verwendet feste, echte historische Ausschnitte aus diesen Kursquellen. Fehlende Minuten werden nicht erfunden. Kryptokerzen sind aus Preisproben zusammengefasst; Volumen ist unbekannt. Quellen- und Nutzungshinweise stehen an der Runde. Lernantworten und Rundenergebnisse werden wie bisher dem eigenen Konto zugeordnet.

Für allgemeine Marktinformationen lädt der App-Server gemeinsame RSS-Feeds der Europäischen Zentralbank und Federal Reserve. Es werden nur Originalüberschriften, Quellenlinks und Veröffentlichungszeitpunkte angezeigt, keine Bilder und keine Artikelkopien. Kontodaten, Suchbegriffe und Spielstände werden nicht an diese Anbieter gesendet. In der Desktop-App sieht der Anbieter beim Abruf die öffentliche IP-Adresse des Geräts. Rechtsgrundlage für die angeforderte Anzeige ist Art. 6 Abs. 1 lit. b DSGVO. Beim freiwilligen Öffnen eines Artikels gilt die Datenschutzinformation des jeweiligen Anbieters: EZB / Federal Reserve.

Wertbezogene Nachrichtenlinks stammen zusätzlich aus den öffentlichen GDELT-Indexdateien. Der App-Server lädt gemeinsam für alle Werte den aktuellen Index und ordnet Überschriften anhand festgelegter Unternehmens- und Coinnamen zu. Es werden nur passende Überschriften, HTTPS-Links, Quelldomänen und GDELT-Indexzeitfenster für höchstens 48 Stunden im Arbeitsspeicher vorgehalten; eine kleine Startauswahl wird mit der App ausgeliefert und nach derselben Altersgrenze ausgeblendet. Artikeltexte, Fotos und Personen-/Ortsmetadaten werden nicht gespeichert oder beim Verlag abgerufen. E-Mail, Profilname, Spielstand und individuell aufgerufene Symbole werden nicht an GDELT gesendet. In der Desktop-App sieht der Datenanbieter bei gemeinsamen Abrufen die öffentliche IP-Adresse des Geräts. Die Anzeige erfolgt zur angeforderten App-Nutzung (Art. 6 Abs. 1 lit. b DSGVO). Originalartikel öffnen erst nach deinem Klick beim jeweiligen Anbieter; dort gelten dessen Bedingungen und Datenschutzhinweise. GDELT-Projekt und Nutzungshinweise.

Für deutsche Nachrichtenüberschriften nutzt der App-Server zusätzlich die kostenlose MyMemory-API von Translated. Es werden ausschließlich öffentliche Überschriften mit der Sprachrichtung Englisch–Deutsch übertragen, keine E-Mail, Profilnamen, Passwörter, Spielstände oder Nutzer-IP-Adressen als API-Parameter. Der Dienst sieht die Server-IP; bei der Desktop-App ist das die öffentliche IP-Adresse deines Geräts. Übersetzungen werden gemeinsam zwischengespeichert und bis zu 48 Stunden wiederverwendet, mit maximal 500 Einträgen getrennt vom Spielstand. Ältere Cache-Einträge werden beim nächsten Speichern bereinigt. Eine kleine mitgelieferte öffentliche Startauswahl bleibt Teil der Programmdateien, wird nach derselben Altersgrenze aber nicht mehr zur Anzeige verwendet. Ein gemeinsamer Tageszähler und ein Sperrzeitpunkt verhindern übermäßige Abrufe und bleiben über Neustarts erhalten. Bei ausgeschöpftem Gratis-Kontingent wird kein kostenpflichtiger Dienst verwendet, sondern die Originalüberschrift angezeigt. Rechtsgrundlage ist die angeforderte Nachrichtenanzeige (Art. 6 Abs. 1 lit. b DSGVO). MyMemory beschreibt eine langfristige Speicherung übermittelter Textsegmente und Verarbeitung durch externe Übersetzungsanbieter; deshalb werden keine privaten Texte oder Kontoinhalte an diesen Dienst gesendet. MyMemory-Datenschutz und Nutzungsbedingungen. Automatische Übersetzungen können fehlerhaft sein; die Originalüberschrift bleibt zugänglich.

Quellen, Nutzungshinweise und Grenzen der Kurs- und Nachrichtenanzeige. Die Nutzung von Marktdaten ist von der Verarbeitung deines Kontos getrennt.

5. Cookies und Gerätespeicher

Die Geräteübersicht zeigt ausschließlich Sitzungen deines Kontos mit Anmeldezeit, einer aus Browserangaben abgeleiteten Gerätebezeichnung und der Kennzeichnung der aktuellen Anmeldung. Die Bezeichnung ist keine verifizierte Geräteidentität; es werden dafür keine Fingerabdrücke, Standorte oder zusätzlichen IP-Listen erstellt. Bei älteren Anmeldungen kann die Gerätebezeichnung fehlen. Sie wird mit der Sitzung gelöscht. Du kannst andere Sitzungen gezielt beenden; die zusätzliche App-Sicherheitsprüfung erkennt dies innerhalb von etwa 30 Sekunden. Gesetzte Browser-/App-Cookies auf einem ausgeschalteten Gerät werden dadurch nicht physisch gelöscht, berechtigen aber nicht mehr zum App-Zugriff. Zum Schutz der Passwortbestätigung begrenzen wir Löschversuche pro Konto. Hierfür werden Konto-ID, Beginn des Zeitfensters und Versuchszahl gespeichert; der Zähler wird bei einem neuen Zeitfenster neu gesetzt und bei Kontolöschung mit entfernt. Diese Sicherheitsverarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO.

In der iPhone-/iPad-Test-App werden die bestehende Online-Oberfläche und ein dauerhafter WebKit-Webseitenspeicher verwendet. Die Anmeldung ist von Safari getrennt; Spielstand und Lernfortschritt gehören weiterhin zum selben Online-Konto. Die native App enthält keine eigene Passwort- oder Spielstanddatenbank und fordert keine Kamera-, Standort- oder Mikrofonfreigabe an.

Unter Windows und Android kann die Online-App über Edge beziehungsweise Chrome installiert werden. Sie nutzt den Website-Speicher des jeweiligen Browsers. Beim erneuten Start werden Programmdateien vom Server geladen; ein Update setzt das Online-Konto nicht zurück. Es gibt keinen Offline-Handel und keine Warteschlange für nicht übermittelte Aufträge.

Das notwendige Cookie sb_session ordnet die Anmeldung zu und gilt höchstens zwölf Stunden. Damit du angemeldet bleibst, speichert das notwendige Cookie sb_keep den Erneuerungsschlüssel deiner Anmeldung bei Supabase für höchstens 30 Tage; nach einem Serverneustart wird die Anmeldung damit automatisch wiederhergestellt. Beide Cookies sind online Secure, HttpOnly und SameSite=Strict und für Skripte auf der Seite nicht lesbar. Bei der Abmeldung werden beide entfernt; das Abmelden anderer Geräte macht den Erneuerungsschlüssel ungültig. Zugangstokens liegen serverseitig im Arbeitsspeicher.

Profilbezogene Darstellungsoptionen und die Entscheidung über optionale Live-Streams (Anbieter, Ja/Nein, Fassung und Zeitpunkt) liegen in localStorage, vorübergehende Hinweise in sessionStorage. Du kannst diese über die Website-Daten deines Browsers löschen; dadurch wird der zentrale Spielstand nicht gelöscht. Die erforderliche Speicherung zur angeforderten Anmeldung und Anzeige folgt §25 Abs.2 Nr.2 TDDDG; sonstige einwilligungspflichtige Zugriffe müssten zuvor freigegeben werden.

Im eigenen geprüften Code gibt es keine Werbe- oder Reichweitenanalyse-Skripte. Der Hostingdienst verwendet gegebenenfalls Sicherheitscookies; auf der öffentlichen Website wurde ein Cloudflare-Sicherheitscookie festgestellt. Der Service Worker speichert keine Kontoseiten, API-Antworten oder Aufträge zwischen.

6. Aufbewahrung und Löschung

• Konto und zentraler Spielstand: werden für die fortgesetzte Kontonutzung vorgehalten. Löschwünsche werden nach Prüfung bearbeitet. Es gibt keine automatische Löschung allein wegen Inaktivität. Abmelden setzt deinen Fortschritt nicht zurück.
• Neue technische Arbeitskopien: werden beim Abmelden bzw. nach Ende der letzten Sitzung entfernt, wenn ihr Inhalt vollständig online bestätigt ist. Nicht mehr aktive, bestätigte Kopien werden ab sieben Tagen beim nächsten Start bzw. bei der stündlichen Prüfung des laufenden App-Servers bereinigt. Das betrifft nur Kopien, die die neue Bereinigungsfunktion selbst kennzeichnet.
• Speicherkonflikte und ältere Kopien: werden zum Schutz vor Datenverlust nicht automatisch gelöscht. Alte Arbeitskopien, Fehlerfälle und vorhandene Sicherungen benötigen eine gesonderte Prüfung. Sie dürfen nicht unbegrenzt ohne Zweck aufbewahrt werden; eine vollständige automatisierte Altbestands- und Backupbereinigung besteht noch nicht.
• AGB-Nachweise: Fassung, Dokument-Prüfsumme, Zeitpunkt und Annahmekontext werden dem Konto zugeordnet. Normale Nutzer können den Nachweis nicht direkt verändern. Er wird bei der kontrollierten Löschung des zugehörigen Online-Kontos mit entfernt.
• Support- und Rechtepost: wird zur Bearbeitung und, soweit erforderlich, als begrenzter Nachweis vorgehalten. Eine automatische Postfachlöschung oder bereits durchgesetzte einheitliche Frist wird nicht behauptet. Die Einzelfallprüfung und Begrenzung der Aufbewahrung gehören zum Betreiberablauf.
• Anbieterprotokolle und Backups: richten sich zusätzlich nach Dienst und Tarif. Render nennt sieben Tage verfügbare Log-Historie im Hobby-Workspace; das ist keine Aussage über sämtliche Anbieterbetriebsdaten. Supabase Free bietet keine zugesagte tägliche Datenbanksicherung wie kostenpflichtige Tarife. Unbekannte Anbieterfristen werden hier nicht erfunden.

Die Löschung wird nach Prüfung der Berechtigung über die Datenschutzanfrage koordiniert. Unter Profil verwalten kannst du dein eigenes Spielerkonto nach erneuter Passwortbestätigung und ausdrücklicher Warnungsbestätigung endgültig löschen. Entfernt werden das Online-Konto, Profil, Spielstand, Lernfortschritt, AGB-Nachweis, Sitzungen und zugehörige technische Rücksetzereignisse. Das Betreiberkonto ist gegen Selbstlöschung geschützt; hierfür bleibt der Kontaktweg erforderlich. Der ausführende App-Server entfernt nach bestätigter Löschung seine Arbeitskopien, soweit dies sicher möglich ist. Kopien auf anderen oder ausgeschalteten Geräten, ältere Sicherungen und Supportpost benötigen weiterhin eine gesonderte Prüfung. Die vollständige geräteübergreifende Löschung ist keine automatische Funktion des bloßen Abmeldens. Diese Funktion löscht niemals automatisch den zentralen Online-Spielstand.

7. Internationale Verarbeitung

Die Datenbank in London liegt außerhalb des EWR. Für das Vereinigte Königreich besteht ein EU-Angemessenheitsbeschluss; die Europäische Kommission hat ihn am 19. Dezember 2025 erneuert. Entscheidungen der Kommission. Weitere internationale Zugriffe sind je Anbieter möglich. Supabase beschreibt Standardvertragsklauseln für Singapur und die USA; auch Render und Sites sehen in ihren Auftragsverarbeitungsbedingungen Übermittlungsmechanismen vor. Daraus folgt keine Zusage einer ausschließlichen Verarbeitung in der EU.

Informationen und gegebenenfalls eine Kopie einschlägiger Garantien kannst du über die Datenschutz-Kontaktadresse anfragen. Die Anbietertexte sind oben verlinkt. Die Anbieterlisten und beschriebenen Übermittlungsmechanismen wurden am 24. Oktober 2026 geprüft. Dienstinterne Lösch- und Sicherungsfristen sowie spätere Änderungen müssen zusätzlich vom Betreiber verfolgt werden. Eine vollständige dienstspezifische Transfer- und Löschgarantie wird damit nicht behauptet.

8. Deine Rechte und dein Kontaktweg

Unter den gesetzlichen Voraussetzungen kannst du Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen. Gegen Verarbeitung auf Grundlage berechtigter Interessen kannst du nach Art.21 DSGVO Widerspruch einlegen. Soweit eine gesonderte Einwilligung verwendet wird, ist sie für die Zukunft widerruflich.

Diese Links öffnen dein E-Mail-Programm und senden nichts automatisch. Eine Löschanfrage löscht noch kein Konto. Zur Identifizierung wird nur ein angemessener Nachweis verlangt, falls nötig. Eine fehlende Export-Schaltfläche hebt gesetzliche Rechte nicht auf.

Wir bearbeiten Rechteanfragen grundsätzlich binnen eines Monats. Falls eine zulässige Verlängerung nötig ist, teilen wir Grund und Verlängerung innerhalb dieser Frist mit. Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an deinem Aufenthalts- oder Arbeitsort oder am Ort des vermuteten Verstoßes.

Lernfeedback und Simulationsergebnisse entstehen automatisiert. Nach dem geprüften Funktionsumfang werden dadurch keine Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung über dich getroffen.

9. Aktuelle Kontakt- und Funktionshinweise

AGB, Betreiberangaben, Kontolöschung und Geräteverwaltung. Ältere Zustimmungsfassungen bleiben unverändert abrufbar. Eine Aktualisierung dieser Informationen setzt keinen Spielstand oder Lernfortschritt zurück.

Freiwilliger Push-Test

Nach deiner Gerätefreigabe speichert StockCub die Push-Zustelladresse und kryptografischen Geräteschlüssel im geschützten Konto. Der Push-Dienst deines Browsers (beispielsweise Apple, Google, Microsoft oder Mozilla) übernimmt die verschlüsselte Zustellung. Die Meldungen enthalten keine Depotwerte oder Wertpapierdetails. Ausschalten entfernt die Anmeldung dieses Geräts. Einträge laufen nach 30 Tagen ohne Erneuerung ab; die Bereinigung erfolgt beim nächsten Zugriff. Nach gesonderter Gerätefreigabe für den Hintergrundbetrieb werden Zustelladresse und Geräteschlüssel in einer geschützten Supabase-Tabelle gespeichert, an das Konto und die zugrunde liegende Anmeldung gebunden und durch eine geplante Supabase-Funktion verwendet. Ein abgelaufenes Browser-Zugriffstoken allein beendet diesen Hintergrundbetrieb nicht. Abmelden, Widerruf der Anmeldung, Kontolöschung und Ablauf der 30-tägigen Gerätefreigabe beenden die Zustellung. Eine begrenzte Versandwarteschlange speichert ausschließlich Ereignisart und Zustellzuordnung für Wiederholungen; diese Einträge werden spätestens nach zwei Tagen bereinigt. Fehlende Kurse, Netzprobleme oder eine pausierte Datenbank können Meldungen verhindern. Es gibt keine Zustellgarantie. Spiel- und Lerninformationen werden durch eine Gerätefreigabe nicht zurückgesetzt.