Datenschutzerklärung

foliologic. UG (haftungsbeschränkt) · Stand: Oktober 2026 · Version 0.7

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

foliologic. UG (haftungsbeschränkt)
Kolonnenstr. 8
10827 Berlin
Deutschland
E-Mail: contact@foliologic.app

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Die Benennung eines Datenschutzbeauftragten ist gemäß Art. 37 DSGVO derzeit nicht verpflichtend. Sollte sich dies ändern, wird diese Erklärung entsprechend aktualisiert.

Zuständige Aufsichtsbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Friedrichstr. 219, 10969 Berlin, www.datenschutz-berlin.de

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Website und die Webplattform von foliologic. Sie gilt derzeit nicht für mobile Apps oder app-spezifische Umgebungen.

3. Allgemeine Informationen zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Website, unserer Webplattform und der damit verbundenen Funktionen erforderlich ist oder eine andere datenschutzrechtliche Grundlage besteht.

Je nach Kontext beruht die Verarbeitung auf folgenden Rechtsgrundlagen gemäß Art. 6 DSGVO:

Die jeweils anwendbare Rechtsgrundlage wird in den nachfolgenden Abschnitten konkret benannt.

4. Kontaktaufnahme und Kommunikation

Wenn Sie mit uns Kontakt aufnehmen, etwa per E-Mail oder über ein Kontaktformular, verarbeiten wir die von Ihnen übermittelten Daten, insbesondere:

Zweck: Bearbeitung und Beantwortung Ihrer Anfrage, weitere Kommunikation sowie Unterstützung bei individuellen Anliegen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen bzw. Vertragserfüllung) und/oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung eingehender Anfragen).

Speicherdauer: Kontaktdaten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist, sofern keine vertragliche oder gesetzliche Aufbewahrungspflicht besteht.

5. Registrierung, Account und Nutzung der Plattform

Im Rahmen der Registrierung, Anmeldung und Nutzung unserer Plattform verarbeiten wir insbesondere folgende Daten:

Klartext-Passwörter werden nicht gespeichert. Zugangsdaten werden ausschließlich in technisch erforderlichem Umfang verarbeitet.

Zweck: Bereitstellung des Accounts, Ermöglichung der Plattformfunktionen, Kontoverwaltung sowie Sicherstellung von Login- und Sicherheitsfunktionen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Kontodaten werden für die Dauer der Nutzung gespeichert. Nach Löschung des Accounts werden die Daten innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

6. Finanz-, Portfolio- und Importdaten

Zur Nutzung unserer Plattform können Nutzer eigene finanzbezogene Daten einbringen. Dabei kann es sich handeln um:

Zweck: Bereitstellung der Plattform, Abbildung von Portfolios und Vermögensdaten, Darstellung von Analysen und Auswertungen sowie Ermöglichung der vom Nutzer gewünschten Plattformfunktionen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Portfoliodaten werden für die Dauer der Nutzung gespeichert. Nach Account-Löschung werden diese Daten innerhalb von 30 Tagen gelöscht.

7. Zahlungsabwicklung

Wenn Sie einen kostenpflichtigen Plan nutzen, verarbeiten wir zahlungsbezogene Daten, soweit dies für die Zahlungsabwicklung, Rechnungsstellung, buchhalterische Zuordnung, Betrugsprävention sowie Durchführung und Verwaltung kostenpflichtiger Leistungen erforderlich ist.

Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Ltd. (Dublin, Irland) sowie Stripe, Inc. (San Francisco, USA). Vollständige Zahlungsdaten (z. B. Kreditkartennummern) werden nicht auf unseren Servern gespeichert. Weitere Informationen: stripe.com/de/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, insbesondere handels- und steuerrechtliche Aufbewahrungspflichten).

Speicherdauer: Rechnungs- und Zahlungsdaten werden gemäß den gesetzlichen Aufbewahrungspflichten, in der Regel 10 Jahre (§ 147 AO, § 257 HGB), gespeichert.

8. Support- und Kommunikationsdaten

Wenn Sie sich mit Supportanfragen, Rückfragen oder sonstigen Anliegen an uns wenden, verarbeiten wir die in diesem Zusammenhang anfallenden Daten.

Zweck: Bearbeitung von Anfragen, Kommunikation mit Nutzern sowie Unterstützung bei individuellen Problemen oder Anliegen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Nutzeranfragen).

Speicherdauer: Support-Kommunikation wird gelöscht, sobald das Anliegen abgeschlossen ist und keine weiteren Aufbewahrungsgründe bestehen, in der Regel innerhalb von 12 Monaten nach Abschluss.

8a. Fehlerberichte, Feedback, Fragebögen

Wenn Sie uns aus der Webplattform heraus ein Problem melden, Feedback geben oder einen Fragebogen beantworten, und wenn die Webplattform in Ihrem Browser abstürzt, verarbeiten wir folgende Daten:

Zweck: Fehler nachvollziehen und beheben, auf Rückmeldungen antworten, das Angebot verbessern und das Beta-Programm auswerten.

Rechtsgrundlage: Für die Originaldatei eines Importberichts Art. 6 Abs. 1 lit. a DSGVO (Ihre ausdrückliche Einwilligung, deren Zeitpunkt wir festhalten); Sie können sie jederzeit widerrufen, indem Sie uns unter contact@foliologic.app schreiben, wir löschen die Datei dann. Für alle übrigen Daten dieses Abschnitts Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Fehler zu beheben und das Angebot zu verbessern).

Speicherdauer: Die Originaldatei eines Importberichts löschen wir nach 30 Tagen, die Diagnosedaten nach 90 Tagen (täglicher automatischer Löschlauf). Feedback, Problemmeldungen und Fragebogen-Antworten speichern wir, solange Ihr Konto besteht; mit der Löschung Ihres Kontos werden sie und alle Importberichte gelöscht. Die E-Mail-Kopie im Support-Postfach gehört zur Support-Kommunikation (Abschnitt 8). Absturzberichte werden bei Sentry höchstens 90 Tage gespeichert.

9. Warteliste, Newsletter und sonstige E-Mail-Kommunikation

Vor dem Start unserer Plattform haben wir eine Warteliste angeboten, über die sich Interessenten mit ihrer E-Mail-Adresse eintragen konnten. Mit dem Start wurde die Warteliste geschlossen; neue Eintragungen sind nicht mehr möglich. Die bestehenden Kontakte erhalten die Nachricht zum Start und können sich jederzeit abmelden. In diesem Zusammenhang verarbeiten wir:

Die E-Mail-Adressen der Warteliste werden in unserer Datenbank bei Supabase, Inc. (EU-Region, siehe § 13) gespeichert und zusätzlich als Kontakt in einer Verteilerliste bei Resend (Plus Five Five, Inc., San Francisco, USA) geführt, damit wir die Warteliste überhaupt anschreiben können. Für diese Übermittlung in die USA gilt dieselbe Grundlage wie beim E-Mail-Versanddienstleister weiter unten: Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Soweit Sie sich darüber hinaus für Newsletter oder sonstige E-Mail-Kommunikation anmelden oder solche Kommunikation im Rahmen unserer Angebote erhalten, verarbeiten wir Ihre Daten insbesondere für:

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Anmeldung zum Newsletter in der Webplattform ist eine aktive, freiwillige Einwilligung (das Feld ist nicht vorangekreuzt); die Eintragung in die frühere Warteliste erfolgte durch die Angabe der E-Mail-Adresse im Formular. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink, den jede Newsletter- und Benachrichtigungs-E-Mail enthält, in den Einstellungen der Webplattform oder durch Kontaktaufnahme unter contact@foliologic.app.

Speicherdauer: Ihre Daten werden gespeichert, solange Sie dem Empfang zugestimmt haben. Nach Widerruf der Einwilligung werden Ihre Daten für den Versand gesperrt und nach Ablauf etwaiger gesetzlicher Aufbewahrungsfristen gelöscht.

E-Mail-Versanddienstleister: Für den Versand unserer E-Mails (z. B. Kontakt- und Support-Antworten, Warteliste, Newsletter sowie Benachrichtigungen aus der Webplattform) setzen wir Resend (Plus Five Five, Inc., San Francisco, USA) ein. Dabei werden insbesondere die Empfänger-E-Mail-Adresse, Betreff und Inhalt der jeweiligen E-Mail sowie Versand-Metadaten verarbeitet. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO als Bestandteil des Auftragsverarbeitungsvertrags mit Resend. Weitere Informationen: resend.com/legal/privacy-policy

10. Cookies, Analytics, Tracking und Consent-Management

Auf unserer Website und innerhalb der Webplattform setzen wir Cookies oder vergleichbare Technologien nur in dem hier beschriebenen Umfang ein. Eigene Cookies setzen wir nicht.

Technisch notwendige Speicherung (z. B. die Login-Sitzung sowie Anzeige- und Verschlüsselungseinstellungen im lokalen Speicher Ihres Browsers) erfolgt auf Basis von Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG und erfordert keine gesonderte Einwilligung.

Analyse- oder Tracking-Dienste von Dritten setzen wir nicht ein.

Anonyme Zählung von Schritten: Auf unserer Website und im Registrierungsformular zählen wir anonym, wie oft bestimmte Schritte vorkommen (z. B. Seite geöffnet, Schaltfläche angeklickt, Formular abgeschickt, Seite mindestens 15 Sekunden lang geöffnet geblieben, Seite über den Seitenanfang hinaus gescrollt), um zu erkennen, an welcher Stelle eine Registrierung scheitert. Gesendet wird dabei nur der Name des Schritts – keine Dauer und keine Scroll-Position. Dafür setzen wir keine Cookies und speichern nichts auf Ihrem Gerät. Unser Server speichert ausschließlich den Namen des Schritts, eine Anzahl und den Tag – keine Kennung und keine IP-Adresse. Die IP-Adresse verarbeiten wir dabei nur zum Schutz vor Missbrauch (Zähler je IP-Adresse in einem Zeitfenster von 10 Minuten, siehe Abschnitt 13) und verknüpfen sie nicht mit den gezählten Schritten. Aus der Browserkennung lesen wir nur ab, ob der Aufruf aus dem eingebauten Browser von Instagram oder Facebook kommt, und zählen auch das nur als Schritt; die Kennung selbst wird nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, zu erkennen, an welcher Stelle die Registrierung scheitert).

Kampagnen-Parameter und Empfehlungscode in Links: Kommen Sie über einen Link mit Kampagnen-Parametern (utm_source, utm_medium, utm_campaign, utm_content, utm_term) oder mit einem Empfehlungscode (ref=FOLIO-…) auf unsere Website, geben unsere Seiten diese Angaben in den Links zur Registrierung und zur Anmeldung weiter; sie werden nur im Link übertragen, auf Ihrem Gerät wird nichts gespeichert. Legen Sie ein Konto an, speichern wir diese Angaben bei der Registrierung mit Ihrem Konto (wie Ihre übrigen Kontodaten für die Dauer der Nutzung), damit wir wissen, welche Kampagne zur Registrierung geführt hat, und die Empfehlung zuordnen und gutschreiben können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Wirkung unserer Kampagnen zu erkennen und Empfehlungen zuzuordnen).

TradingView (nur nach Einwilligung): Innerhalb der Webplattform binden wir auf zwei Ansichten Inhalte von TradingView Inc. (New York, USA) ein — den interaktiven Chart (Seite „Charts“) und den Wirtschaftskalender (Seite „Märkte“). Diese Inhalte werden ausschließlich geladen, nachdem Sie eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG) — direkt auf den betreffenden Seiten (Charts, Märkte). Beim Laden werden Daten wie Ihre IP-Adresse an TradingView übermittelt, und TradingView kann eigene Cookies setzen. Dabei können Daten in die USA übermittelt werden; die Übermittlung stützt sich auf Ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO) — ein der EU gleichwertiges Datenschutzniveau kann dort nicht in jedem Fall gewährleistet werden. Alle übrigen Diagramme der Webplattform werden ohne Drittanbieter erzeugt. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft in der Webplattform unter Einstellungen → Allgemein widerrufen. Weitere Informationen: tradingview.com/privacy-policy

11. KI-/LLM-gestützte Funktionen

Unsere Plattform kann KI- bzw. LLM-gestützte Funktionen enthalten. In diesem Zusammenhang können Nutzerdaten an externe KI-Dienstleister übermittelt und dort verarbeitet werden.

Externer KI-Dienstleister: Wir setzen Anthropic, PBC (San Francisco, USA) ein. Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Weitere Informationen: anthropic.com/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und/oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung effizienter Plattformfunktionen).

KI-gestützte Ergebnisse können im Einzelfall fehlerhaft, unvollständig oder ungenau sein. Nach aktuellem Stand treffen wir keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO.

12. Open Banking und verbundene Konten

Soweit Nutzer entsprechende Funktionen aktiv nutzen, kann unsere Plattform die Anbindung externer Bank- oder Kontodaten über einen externen Open-Banking-Dienst ermöglichen.

Externer Dienstleister: finAPI GmbH (München, Deutschland), regulierter Kontoinformationsdienst (AISP) gemäß PSD2, zugelassen bei der BaFin. Weitere Informationen: finapi.io/datenschutz

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — die Verarbeitung erfolgt nur, soweit der Nutzer die Verbindung selbst aktiv initiiert und ausdrücklich zugestimmt hat.

Ihre Online-Banking-Zugangsdaten geben Sie ausschließlich auf der Seite von finAPI ein; wir sehen und speichern sie nicht. Welche Zugangsdaten wir selbst für den Abgleich speichern, steht in Abschnitt 12a.

12a. Zugangsdaten für den Kontoabgleich

Wenn Sie eine Bank oder eine Krypto-Börse verbinden, speichern wir die Zugangsdaten, die spätere Abgleiche brauchen. Sie liegen in unserer Datenbank (Supabase, Region EU (Irland)), sind dort durch Zugriffsregeln der Datenbank (Row Level Security) auf Ihr Konto beschränkt und verschlüsselt:

Der Schlüssel, mit dem beides verschlüsselt ist, liegt nur in der Serverumgebung unseres Hosting-Anbieters (Vercel): nicht in der Datenbank, nicht in Ihrem Browser und nicht auf unserem Server für zeitgesteuerte Aufgaben. Bei jedem Abgleich öffnen unsere Serverfunktionen die Zugangsdaten kurz im Arbeitsspeicher, melden sich damit bei finAPI an bzw. signieren damit die lesenden Anfragen an die Börse und rufen Ihre Bestände, Umsätze und Salden ab. Diese Daten laufen durch unsere Server, werden dort nicht gespeichert und in Ihrem Browser verschlüsselt in Ihr Portfolio übernommen.

Zweck: der Abruf Ihrer Bestände, Umsätze und Salden bei jedem Abgleich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): ohne die gespeicherten Zugangsdaten kann der von Ihnen gewählte Abgleich nicht laufen. Dass Ihre Bankdaten bei finAPI abgerufen werden, beruht weiterhin auf Ihrer Einwilligung nach Abschnitt 12.

Speicherdauer: Den API-Schlüssel und das Secret einer Börse löschen wir, sobald Sie die Verbindung trennen. Das finAPI-Nutzerkonto und sein Passwort löschen wir, sobald Sie die letzte Bankverbindung trennen oder Ihr Tarif keinen Bankabgleich mehr umfasst (zum Beispiel nach Kündigung des Abonnements). Mit der Löschung Ihres Kontos werden alle diese Zugangsdaten sofort gelöscht, bei finAPI zugleich das Nutzerkonto. Ein täglicher Prüflauf löscht finAPI-Nutzerkonten, die dabei übrig geblieben sind.

Verarbeitende Stellen: unsere Serverfunktionen bei Vercel und die Datenbank bei Supabase (Abschnitt 13), die finAPI GmbH (Abschnitt 12), die jeweilige Börse (Abschnitt 14) und der tägliche Prüflauf auf unserem Server bei der Hetzner Online GmbH (Deutschland). Dieser Prüflauf liest nur Kennungen von Nutzerkonten, nie Passwörter oder Schlüssel.

12b. Wallet-Adressen und Blockchain-Abfragen

Wenn Sie eine Krypto-Wallet über ihre öffentliche Adresse oder einen erweiterten öffentlichen Schlüssel (xpub, ypub oder zpub) in foliologic. hinterlegen, wird diese Angabe nur verschlüsselt in Ihrem Portfolio gespeichert, mit einem Schlüssel, den wir nicht haben. Das verschlüsselte Portfolio liegt in unserer Datenbank (Abschnitt 6).

Für jeden Abgleich schickt Ihr Browser die Adresse bzw. den Schlüssel allerdings an unseren Server, der sie an öffentliche Blockchain-Dienste weiterreicht, um den Kontostand zu ermitteln, und das Ergebnis an Ihren Browser zurückgibt. Unser Server speichert dabei nichts. Die Blockchain-Dienste sehen die Adresse (bei einem erweiterten öffentlichen Schlüssel alle daraus abgeleiteten Adressen, also die ganze Wallet mit ihren Kontoständen) und die Adresse unseres Servers, nicht Ihre IP-Adresse und nicht Ihre Kontodaten. Je nach Netzwerk sind das: mempool.space und blockstream.info (Bitcoin), blockchain.info (erweiterte öffentliche Schlüssel), etherscan.io, blockscout.com, publicnode.com, cloudflare-eth.com, 1rpc.io, base.org und arbitrum.io (Ethereum und kompatible Netzwerke), solana.com (Solana) sowie xrplcluster.com und ripple.com (XRP).

Eine Blockchain-Adresse ist öffentlich einsehbar, kann aber, wenn sie Ihrem Konto zugeordnet ist, auf Sie zurückführbar sein. Wer seine Adresse nicht an diese Dienste weitergeben möchte, sollte sie nicht in foliologic. hinterlegen.

Zweck: der Abruf der Kontostände Ihrer Wallets.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Soweit die Dienste außerhalb des EWR sitzen, stützt sich die Übermittlung auf Art. 49 Abs. 1 lit. b DSGVO (erforderlich zur Erfüllung des Vertrags mit Ihnen).

Speicherdauer: Bei uns wird die Adresse nur verschlüsselt im Portfolio gespeichert (siehe oben); dieses verschlüsselte Portfolio löschen wir mit Ihrem Konto (Abschnitt 6). Wie lange die Dienste Abfragen protokollieren, regeln deren eigene Datenschutzerklärungen.

13. Technische Zugriffsdaten und Hosting

Hosting-Dienstleister: Unsere Website und Webplattform werden bei Vercel Inc. (San Francisco, USA) gehostet. Unsere Serverfunktionen laufen in der Region Dublin (Irland); statische Dateien werden über ein weltweites Netzwerk ausgeliefert, in der Regel vom Standort in Ihrer Nähe. Die Übermittlung in die USA erfolgt auf Grundlage von Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Weitere Informationen: vercel.com/legal/privacy-policy

Datenbank- und Backend-Dienstleister: Zur Speicherung von Nutzer-, Konto- und Plattformdaten setzen wir Supabase, Inc. (San Francisco, USA) ein. Die Datenbank wird in einem Rechenzentrum von Amazon Web Services in der Region EU (Irland) betrieben. Die Schnittstelle der Datenbank wird über das Netzwerk von Cloudflare, Inc. (San Francisco, USA) ausgeliefert, über das Ihre Anfragen verschlüsselt laufen. Weil Supabase, Inc. und Cloudflare, Inc. ihren Sitz in den USA haben, können wir nicht ausschließen, dass im Rahmen von Betrieb und Support auch von dort aus auf Daten zugegriffen wird; dafür gelten Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO (siehe Abschnitt 15). Weitere Informationen: supabase.com/privacy

Missbrauchsschutz: Damit unsere Formulare und Datenschnittstellen nicht mit massenhaften Anfragen überlastet werden, zählen wir die Anfragen je IP-Adresse (bei Kursdaten-Abfragen zusätzlich je Konto-Kennung) in einer Tabelle unserer Datenbank (Supabase), in Zeitfenstern von 10 Minuten bei den Formularen und bei der anonymen Zählung von Schritten (Abschnitt 10) und 60 Sekunden bei Kursdaten-Abfragen. Einen eigenen Löschlauf gibt es dafür nicht: Ein Zähler wird bei der ersten Anfrage nach Ablauf seines Zeitfensters überschrieben, bei einem selten genutzten Formular steht eine Adresse also bis zu dieser nächsten Anfrage darin. Ein Protokoll einzelner Anfragen entsteht dabei nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb der Plattform).

Speicherdauer: Technische Zugriffsdaten werden in der Regel nicht länger als 30 Tage gespeichert.

14. Empfänger und Dienstleisterkategorien

Je nach Funktion und Verarbeitungszweck können personenbezogene Daten an externe Empfänger übermittelt werden:

Daneben fragen unsere Server öffentliche Datenquellen für Kurse, Nachrichten, Wertpapierkennungen, Unternehmensmeldungen und Fondsdaten ab, darunter Twelve Data, Marketaux, OpenFIGI, die US-Börsenaufsicht (SEC EDGAR), FRED (Federal Reserve Bank of St. Louis), die Europäische Zentralbank, iShares und DexScreener. Diese Abfragen enthalten Wertpapier- oder Unternehmenskennungen (etwa ISIN oder Ticker), aber keine Angaben zu Ihrer Person oder Ihrem Konto; bei OpenFIGI sind das die Kennungen der Wertpapiere, die Sie in Ihr Portfolio importieren.

Soweit Dienstleister in unserem Auftrag tätig werden, erfolgt ihre Einbindung auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.

15. Drittlandübermittlungen

Soweit wir Dienstleister einsetzen, die außerhalb der EU/des EWR tätig sind, erfolgen Übermittlungen nur auf Grundlage geeigneter Schutzmechanismen:

Das betrifft insbesondere Vercel Inc., Supabase, Inc., Cloudflare, Inc., Resend (Plus Five Five, Inc.), Anthropic, PBC, Functional Software, Inc. (Sentry) und Stripe, Inc. in den USA sowie Fastmail Pty Ltd in Australien. In einzelnen Fällen stützen wir eine Übermittlung stattdessen auf eine Ausnahme nach Art. 49 DSGVO: bei TradingView auf Ihre Einwilligung (Abschnitt 10), bei den Krypto-Börsen (Abschnitt 12a) und den Blockchain-Diensten (Abschnitt 12b), die zum Teil außerhalb des EWR sitzen, auf Art. 49 Abs. 1 lit. b DSGVO, weil Sie die Verbindung selbst einrichten und der Abgleich ohne die Weitergabe nicht möglich ist.

16. Speicherdauer und Löschung

Nach Account-Löschung oder Vertragsbeendigung können bestimmte Daten weiterhin gespeichert bleiben, soweit dies für gesetzliche Pflichten, Abrechnung, Missbrauchsprävention oder die Durchsetzung von Ansprüchen erforderlich ist.

17. Sicherheitsmaßnahmen

Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Aus Sicherheitsgründen machen wir keine detaillierten Angaben zu internen Schutzmaßnahmen. Allgemein setzen wir auf Verschlüsselung bei der Datenübertragung (TLS/HTTPS) und Zugangskontrollen für interne Systeme.

18. Minderjährige

Unsere Website und Plattform richten sich nicht an Personen unter 18 Jahren. Sollten wir Kenntnis davon erlangen, dass dennoch Daten Minderjähriger verarbeitet wurden, werden wir diese unverzüglich löschen.

19. Rechte betroffener Personen

Betroffene Personen haben gemäß der DSGVO insbesondere folgende Rechte:

Kontakt: contact@foliologic.app

Zuständige Aufsichtsbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Friedrichstr. 219, 10969 Berlin, www.datenschutz-berlin.de

20. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei rechtlichen, technischen oder tatsächlichen Änderungen anzupassen. Bei wesentlichen Änderungen werden wir Nutzer, soweit möglich, vorab informieren. Es gilt jeweils die zum Zeitpunkt Ihres Besuchs aktuelle Fassung.

Privacy Policy

foliologic. UG (haftungsbeschränkt) · As of: October 2026 · Version 0.7

1. Data Controller

The controller responsible for the processing of personal data under the General Data Protection Regulation (GDPR) is:

foliologic. UG (haftungsbeschränkt)
Kolonnenstr. 8
10827 Berlin
Germany
Email: contact@foliologic.app

No data protection officer has been appointed at this time. Appointment of a data protection officer is not currently required under Art. 37 GDPR. Should this change, this policy will be updated accordingly.

Supervisory authority: Berlin Commissioner for Data Protection and Freedom of Information (BlnBDI), Friedrichstr. 219, 10969 Berlin, www.datenschutz-berlin.de

2. Scope

This privacy policy applies to the foliologic website and web platform. It does not currently apply to mobile apps or app-specific environments.

3. General Information on Data Processing

We process personal data only to the extent necessary to provide our website, web platform, and associated features — or where another legal basis under data protection law exists.

Depending on the context, processing is based on the following legal grounds under Art. 6 GDPR:

The applicable legal basis is specified in each section below.

4. Contact and Communication

When you contact us — for example by email or via a contact form — we process the data you provide, including your name, email address, message content, and any other information you choose to share.

Purpose: Handling and responding to your enquiry, ongoing communication, and individual support.

Legal basis: Art. 6(1)(b) GDPR (pre-contractual measures or contract performance) and/or Art. 6(1)(f) GDPR (legitimate interest in processing incoming enquiries).

Retention: Contact data is deleted once the enquiry has been fully resolved, unless contractual or statutory retention obligations apply.

5. Registration, Account, and Platform Use

When you register, sign in, and use our platform, we process data including your email address, registration and account data, authentication-related data, account settings, and platform-specific usage data.

Plaintext passwords are never stored. Credentials are processed only to the extent technically required.

Purpose: Providing your account, enabling platform features, account management, and ensuring login and security functions.

Legal basis: Art. 6(1)(b) GDPR (contract performance).

Retention: Account data is stored for the duration of use. After account deletion, data is removed within 30 days unless statutory retention obligations apply.

6. Financial, Portfolio, and Import Data

Users may bring their own financial data into the platform through manual entries, uploads, imported portfolio and transaction data, connected accounts or data sources, and other investment-related information.

Purpose: Providing the platform, displaying portfolios and asset data, presenting analyses and insights, and enabling the features requested by the user.

Legal basis: Art. 6(1)(b) GDPR (contract performance).

Retention: Portfolio data is stored for the duration of use. After account deletion, this data is removed within 30 days.

7. Payment Processing

When you use a paid plan, we process payment-related data to the extent required for payment processing, invoicing, accounting, fraud prevention, and administration of paid services.

Payment processing is handled by Stripe Payments Europe, Ltd. (Dublin, Ireland) and Stripe, Inc. (San Francisco, USA). Full payment details (e.g. credit card numbers) are not stored on our servers. More information: stripe.com/privacy

Legal basis: Art. 6(1)(b) GDPR (contract performance) and Art. 6(1)(c) GDPR (statutory retention obligations under German commercial and tax law).

Retention: Invoicing and payment data is retained for 10 years in accordance with statutory requirements (§ 147 AO, § 257 HGB).

8. Support and Communication Data

When you contact us with support requests or other enquiries, we process the data generated in that context.

Purpose: Handling enquiries, communicating with users, and providing individual assistance.

Legal basis: Art. 6(1)(b) GDPR (contract performance) and Art. 6(1)(f) GDPR (legitimate interest in handling user enquiries).

Retention: Support communications are deleted once the matter is resolved, typically within 12 months.

8a. Error Reports, Feedback, Questionnaires

When you report a problem from the web platform, give feedback or answer a questionnaire, and when the web platform crashes in your browser, we process the following data:

Purpose: understanding and fixing errors, answering feedback, improving the service and evaluating the beta programme.

Legal basis: for the original file of an import report, Art. 6(1)(a) GDPR (your explicit consent, the time of which we record); you can withdraw it at any time by writing to contact@foliologic.app, and we then delete the file. For all other data in this section, Art. 6(1)(f) GDPR (legitimate interest in fixing errors and improving the service).

Retention: we delete the original file of an import report after 30 days and the diagnostics after 90 days (daily automatic deletion run). We keep feedback, problem reports and questionnaire answers as long as your account exists; when you delete your account, they and all import reports are deleted. The email copy in the support mailbox belongs to support communications (section 8). Sentry keeps crash reports for 90 days at most.

9. Waitlist, Newsletter, and Email Communications

Before our platform launched, we offered a waitlist where interested users could sign up with their email address. The waitlist closed at launch; new sign-ups are no longer possible. Existing contacts receive the launch announcement and can unsubscribe at any time. In this context, we process:

Waitlist email addresses are stored in our database hosted by Supabase, Inc. (EU region — see § 13) and, in addition, as a contact in a mailing audience at Resend (Plus Five Five, Inc., San Francisco, USA), which is what allows us to write to the waitlist at all. That transfer to the United States rests on the same basis as the email delivery provider described below: Standard Contractual Clauses under Art. 46(2)(c) GDPR.

If you additionally sign up for newsletters or other email communications, we process your data for sending updates and information, pre-launch product news, marketing and product communications, and managing consent records.

Legal basis: Art. 6(1)(a) GDPR (consent). Signing up for the newsletter in the web platform is active, voluntary consent (the box is not pre-ticked); the earlier waitlist entry was made by entering the email address in the form. You may withdraw your consent at any time with effect for the future — via the unsubscribe link included in every newsletter and notification email, in the web platform's settings, or by contacting us at contact@foliologic.app.

Retention: Your data is stored as long as you have consented to receiving communications. After withdrawal, your data is blocked for sending purposes and deleted after any applicable statutory retention periods expire.

Email delivery provider: We use Resend (Plus Five Five, Inc., San Francisco, USA) to send our emails (e.g. contact and support replies, waitlist, newsletter, and notifications from the web platform). This involves processing the recipient's email address, the subject and content of the email, and delivery metadata. Transfers to the United States are based on Standard Contractual Clauses under Art. 46(2)(c) GDPR as part of our data processing agreement with Resend. Further information: resend.com/legal/privacy-policy

10. Cookies, Analytics, Tracking, and Consent Management

Our website and web platform use cookies or comparable technologies only to the extent described here. We do not set any cookies of our own.

Strictly necessary storage (e.g. your login session and display or encryption settings in your browser's local storage) is used on the basis of Art. 6(1)(b) GDPR (contract performance) or Art. 6(1)(f) GDPR (legitimate interest in operating the platform) and Section 25(2) no. 2 TDDDG, and does not require separate consent.

We do not use any third-party analytics or tracking services.

Anonymous counting of steps: On our website and in the sign-up form we count anonymously how often certain steps occur (e.g. page opened, button clicked, form submitted, page kept open for at least 15 seconds, page scrolled past the top) to see where a sign-up fails. All that is sent is the name of the step — no duration and no scroll position. For this we set no cookies and store nothing on your device. Our server stores only the name of the step, a count and the day — no identifier and no IP address. We process the IP address only to protect against abuse (a counter per IP address in a 10-minute time window, see section 13) and do not link it to the counted steps. From the browser identifier we only read whether the visit comes from the built-in browser of Instagram or Facebook, and count even that only as a step; the identifier itself is not stored. The legal basis is Art. 6(1)(f) GDPR (legitimate interest in knowing where the sign-up fails).

Campaign parameters and referral code in links: If you reach our website through a link with campaign parameters (utm_source, utm_medium, utm_campaign, utm_content, utm_term) or with a referral code (ref=FOLIO-…), our pages pass these details on in their links to sign-up and sign-in; they travel in the link only, and nothing is stored on your device. If you create an account, we store these details with your account at sign-up (like the rest of your account data, for as long as you use it) so we know which campaign led to the sign-up and can assign and credit the referral. The legal basis is Art. 6(1)(f) GDPR (legitimate interest in knowing how well our campaigns work and in assigning referrals).

TradingView (only with your consent): Within the web platform, two views embed content from TradingView Inc. (New York, USA) — the interactive chart (Charts page) and the economic calendar (Markets page). This content is loaded only after you have given consent (Art. 6(1)(a) GDPR, Section 25(1) TDDDG) — directly on the affected pages (Charts, Markets). Loading it transmits data such as your IP address to TradingView, and TradingView may set its own cookies. Data may be transferred to the United States; the transfer is based on your explicit consent (Art. 49(1)(a) GDPR) — a level of data protection equivalent to the EU cannot be guaranteed there in every case. All other charts in the web platform are generated without third parties. You may withdraw your consent at any time with effect for the future in the web platform under Settings → General. Further information: tradingview.com/privacy-policy

11. AI/LLM-Powered Features

Our platform may include AI or LLM-powered features. In this context, user data may be transmitted to and processed by external AI service providers to deliver those features.

External AI provider: We use Anthropic, PBC (San Francisco, USA). Data transfers to the US are based on Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR. More information: anthropic.com/privacy

Legal basis: Art. 6(1)(b) GDPR (contract performance) and/or Art. 6(1)(f) GDPR (legitimate interest in providing efficient platform features).

AI-generated results may occasionally be inaccurate, incomplete, or incorrect. We do not currently make any automated decisions with legal or similarly significant effects within the meaning of Art. 22 GDPR.

12. Open Banking and Connected Accounts

Where users actively choose to use such features, our platform may enable the connection of external bank or account data through a third-party open banking provider.

External provider: finAPI GmbH (Munich, Germany), a regulated Account Information Service Provider (AISP) under PSD2, licensed by BaFin. More information: finapi.io/datenschutz

Legal basis: Art. 6(1)(a) GDPR (consent) — processing only occurs when the user actively initiates the connection and provides explicit consent.

You enter your online banking credentials only on finAPI's own page; we neither see nor store them. Section 12a describes the access data we do store for the sync.

12a. Access Data for Account Syncing

When you connect a bank or a crypto exchange, we store the access data that later syncs need. It sits in our database (Supabase, EU (Ireland) region), is restricted to your account there by the database's access rules (row level security), and is encrypted:

The key these values are encrypted with exists only in the server environment of our hosting provider (Vercel): not in the database, not in your browser and not on our server for scheduled tasks. On every sync, our server functions open the access data briefly in memory, use it to sign in at finAPI or to sign the read requests to the exchange, and retrieve your holdings, transactions and balances. This data passes through our servers, is not stored there, and is taken into your portfolio, encrypted, in your browser.

Purpose: retrieving your holdings, transactions and balances on every sync.

Legal basis: Art. 6(1)(b) GDPR (contract performance): without the stored access data, the sync you chose cannot run. That your bank data is retrieved at finAPI continues to rest on your consent under section 12.

Retention: We delete an exchange's API key and secret as soon as you disconnect it. We delete the finAPI user account and its password as soon as you disconnect your last bank or your plan no longer includes bank syncing (for example after you cancel the subscription). When you delete your account, all of this access data is deleted immediately, and the user account at finAPI with it. A daily check deletes any finAPI user accounts left over.

Parties involved: our server functions at Vercel and the database at Supabase (section 13), finAPI GmbH (section 12), the respective exchange (section 14) and the daily check on our server at Hetzner Online GmbH (Germany). That check reads only user account IDs, never passwords or keys.

12b. Wallet Addresses and Blockchain Queries

If you add a crypto wallet to foliologic. by its public address or an extended public key (xpub, ypub or zpub), that information is stored only in encrypted form in your portfolio, with a key we do not have. The encrypted portfolio sits in our database (section 6).

On every sync, however, your browser sends the address or key to our server, which passes it on to public blockchain services to look up the balance and returns the result to your browser. Our server stores nothing in the process. The blockchain services see the address (for an extended public key, all addresses derived from it, that is, the whole wallet with its balances) and the address of our server, not your IP address and not your account data. Depending on the network, these are: mempool.space and blockstream.info (Bitcoin), blockchain.info (extended public keys), etherscan.io, blockscout.com, publicnode.com, cloudflare-eth.com, 1rpc.io, base.org and arbitrum.io (Ethereum and compatible networks), solana.com (Solana), and xrplcluster.com and ripple.com (XRP).

A blockchain address is publicly visible but, once it is linked to your account, may be traceable to you. If you do not want to pass your address on to these services, do not add it to foliologic.

Purpose: retrieving the balances of your wallets.

Legal basis: Art. 6(1)(b) GDPR (contract performance). Where the services are located outside the EEA, the transfer rests on Art. 49(1)(b) GDPR (necessary for the performance of the contract with you).

Retention: On our side the address is stored only in encrypted form in the portfolio (see above); we delete that encrypted portfolio together with your account (section 6). How long the services log queries is governed by their own privacy policies.

13. Technical Access Data and Hosting

Hosting provider: Our website and platform are hosted by Vercel Inc. (San Francisco, USA). Our server functions run in the Dublin (Ireland) region; static files are delivered through a worldwide network, usually from the location nearest to you. Data transfers to the US are based on Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR. More information: vercel.com/legal/privacy-policy

Database and backend provider: We use Supabase, Inc. (San Francisco, USA) for storing user, account, and platform data. The database is operated in a data centre of Amazon Web Services in the EU (Ireland) region. The database interface is delivered through the network of Cloudflare, Inc. (San Francisco, USA), over which your requests travel encrypted. Because Supabase, Inc. and Cloudflare, Inc. are based in the United States, we cannot rule out that data is also accessed from there in the course of operations and support; Standard Contractual Clauses pursuant to Art. 46(2)(c) GDPR apply to that (see section 15). More information: supabase.com/privacy

Abuse protection: So that our forms and data interfaces are not flooded with mass requests, we count requests per IP address (for market-data requests also per account ID) in a table of our database (Supabase), in time windows of 10 minutes for the forms and for the anonymous counting of steps (section 10) and 60 seconds for market-data requests. There is no separate deletion run for this: a counter is overwritten by the first request after its time window has ended, so for a rarely used form an address stays in it until that next request. No log of individual requests is created.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in secure and stable platform operation).

Retention: Technical access data is typically retained for no longer than 30 days.

14. Recipients and Service Provider Categories

Depending on the function and processing purpose, personal data may be shared with external recipients:

In addition, our servers query public data sources for prices, news, security identifiers, company filings and fund data, including Twelve Data, Marketaux, OpenFIGI, the US Securities and Exchange Commission (SEC EDGAR), FRED (Federal Reserve Bank of St. Louis), the European Central Bank, iShares and DexScreener. These queries contain security or company identifiers (such as ISIN or ticker) but no information about you or your account; for OpenFIGI these are the identifiers of the securities you import into your portfolio.

Where service providers act on our behalf, their engagement is based on a data processing agreement pursuant to Art. 28 GDPR.

15. International Data Transfers

Where we use providers located outside the EU/EEA, transfers are only carried out on the basis of appropriate safeguards:

This applies in particular to Vercel Inc., Supabase, Inc., Cloudflare, Inc., Resend (Plus Five Five, Inc.), Anthropic, PBC, Functional Software, Inc. (Sentry) and Stripe, Inc. in the United States, and Fastmail Pty Ltd in Australia. In individual cases we base a transfer on a derogation under Art. 49 GDPR instead: for TradingView on your consent (section 10), for the crypto exchanges (section 12a) and the blockchain services (section 12b), some of which are located outside the EEA, on Art. 49(1)(b) GDPR, because you set up the connection yourself and the sync is not possible without passing the data on.

16. Retention and Deletion

After account deletion or contract termination, certain data may continue to be stored where required for statutory obligations, billing, fraud prevention, or the enforcement of claims.

17. Security Measures

We implement appropriate technical and organisational measures pursuant to Art. 32 GDPR. For security reasons, we do not disclose the details of our internal safeguards. In general terms, we rely on encryption in transit (TLS/HTTPS) and access controls for internal systems.

18. Minors

Our website and platform are not intended for children or minors (persons under 18). We do not knowingly collect personal data from minors. If we become aware that data from a minor has been processed, we will delete it without delay.

19. Your Rights

Under the GDPR, you have the following rights:

To exercise these rights, please contact: contact@foliologic.app

Supervisory authority: Berlin Commissioner for Data Protection and Freedom of Information (BlnBDI), Friedrichstr. 219, 10969 Berlin, www.datenschutz-berlin.de

Please note that exercising certain rights (e.g. erasure) may mean that continued use of the platform is no longer possible or may be limited.

20. Changes to This Privacy Policy

We reserve the right to update this privacy policy in response to legal, technical, or factual changes. Where material changes are made, we will inform users in advance where possible. The version in effect at the time of your visit or use of our services applies.