Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist der Betreiber von Vantric Capital (Kontaktdaten siehe Impressum/Mandat & Recht in der App). Ein Datenschutzbeauftragter ist aktuell nicht bestellt, da die Voraussetzungen von Art. 37 DSGVO nach derzeitigem Verarbeitungsumfang nicht vorliegen — dies wird mit wachsendem Geschäftsbetrieb erneut geprüft.

2. Grundsatz: Auch bei einem reinen B2B-Angebot gilt die DSGVO vollständig

Vantric Capital richtet sich an Unternehmerinnen und Unternehmer (§ 14 BGB) und macht keine Angebote an Verbraucher. Das ändert nichts an der Anwendbarkeit der DSGVO: Sie erfasst die Verarbeitung personenbezogener Daten natürlicher Personen unabhängig davon, ob diese in ihrer beruflichen oder privaten Rolle handeln. Auch geschäftliche Kontaktdaten (Name, geschäftliche E-Mail-Adresse, Rolle im Unternehmen) sind personenbezogene Daten im Sinne der DSGVO.

3. Verarbeitete Datenkategorien, Zwecke und Rechtsgrundlagen

Wir verarbeiten folgende Datenkategorien zu den jeweils genannten Zwecken:

a) Konto- und Anmeldedaten (E-Mail-Adresse, verschlüsseltes Passwort bzw. Login-Link): zur Bereitstellung des Nutzerkontos und zur Authentifizierung, sowohl in der mobilen App (E-Mail/Passwort) als auch in der Web-Oberfläche (Anmeldelink per E-Mail). Rechtsgrundlage: Erfüllung des Nutzungsvertrags bzw. vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

b) Firmenanalyse- und Bewertungsdaten (z.B. Umsatz, EBIT, Mitarbeiterzahl, Standort, Eigenkapitalquote): zur Erstellung von Positions-Scores, Verkäufergruppen-Einschätzungen und weiteren Analysefunktionen der App. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Diese Daten betreffen primär das Unternehmen, können aber personenbezogene Angaben (z.B. zu Gesellschaftern) enthalten.

c) Im Datenraum hochgeladene Dokumente (z.B. Jahresabschlüsse, Verträge, Kundenlisten): zur Durchführung der Due-Diligence-Prüfung durch berechtigte Parteien eines Mandats. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Der Zugriff ist über Rollen und Zugriffsstufen (Vorbereitung/NDA/LOI/Closing) gestaffelt und wird protokolliert.

d) Digitale Visitenkarte mit öffentlich teilbarem Link/QR-Code: nur bei aktiver, eigenständiger Freischaltung durch den Nutzer sichtbar. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für die Veröffentlichung über den teilbaren Link, im Übrigen Vertragserfüllung für die Kartenverwaltung selbst.

e) Einwilligungen zum konzerninternen Datenaustausch ("consent_bridges"): dokumentiert, wenn Sie eine Verbindung zu einer anderen App der Gosch Group (z.B. Vantric, BuchBalance) herstellen, um Daten automatisiert zu übernehmen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit mit Wirkung für die Zukunft widerrufbar (siehe „Mandat & Recht" in der App).

f) Zugriffs- und Änderungsprotokolle im Datenraum (wer hat wann was gesehen): zur Nachvollziehbarkeit von Zugriffen auf vertrauliche Informationen im Interesse aller Parteien eines Mandats. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Nachweisbarkeit und Sicherheit des Datenraums.

g) Biometrische Anmeldung (Face-ID/Touch-ID) in der mobilen App: rein optional und ausschließlich lokal auf Ihrem Gerät über die Secure Enclave des Betriebssystems verarbeitet. Wir erhalten dabei nur das Ergebnis „Anmeldung erfolgreich" oder „fehlgeschlagen" — keine biometrischen Rohdaten oder Vorlagen werden an unsere Server übertragen oder von uns gespeichert oder ausgewertet. Wir selbst verarbeiten daher keine biometrischen Daten im Sinne von Art. 9 DSGVO; die biometrische Verarbeitung selbst obliegt Ihrem Gerätehersteller (Apple/Google) nach dessen eigenen Datenschutzbestimmungen.

h) Zahlungs- und Rechnungsdaten für ein Web-Abonnement: Ihre E-Mail-Adresse und eine interne Nutzer-Kennung übermitteln wir aktiv an den Zahlungsdienstleister Stripe, um Sie dort als Kunde anzulegen. Kreditkarten-/ SEPA-Angaben sowie — sofern von Ihnen beim Bezahlvorgang angegeben — Rechnungsname, Rechnungsanschrift und Umsatzsteuer-Identifikationsnummer werden ausschließlich direkt von Stripe erfasst und verarbeitet, nicht von uns gespeichert oder eingesehen. Wir erhalten von Stripe nur den Abrechnungsstatus (aktiv/gekündigt/ abgelaufen) sowie eine Stripe-interne Kunden-/Abo-Referenz zurück. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), für die Umsatzsteuer-Identifikationsnummer zusätzlich handels-/steuerrechtliche Aufbewahrungspflichten (siehe Ziffer 7). Bei einem In-App-Kauf über App Store/Play Store verarbeitet stattdessen Apple bzw. Google die Zahlungsdaten nach deren eigenen Datenschutzbestimmungen; wir erhalten auch hier nur den Abrechnungsstatus.

4. Empfänger der Daten

Als technischen Dienstleister (Auftragsverarbeiter im Sinne von Art. 28 DSGVO) setzen wir Supabase ein (Datenbank, Authentifizierung, Dateispeicher). Die Verarbeitung dieser Kerndaten erfolgt in einem Rechenzentrum in der Europäischen Union (Region Frankfurt/eu-central-1). Für weitere technische Nebenfunktionen setzen wir zusätzliche Auftragsverarbeiter ein, die außerhalb der EU/des EWR ansässig sein können: Expo (Zustellung von Push-Benachrichtigungen — erhält ausschließlich ein geräteseitiges Push-Token, keinen Nachrichteninhalt), Vercel (Hosting der Web-Oberfläche sowie technische Zugriffs-/Server-Logs), Stripe (Zahlungsabwicklung für Web-Abonnements, siehe Ziffer 3h), Sentry (technische Fehlerprotokollierung sowie — nur in der Web-Oberfläche — anonymisierte Performance-Messung von Seitenaufrufen zur Stabilität und Ladezeit-Optimierung von App und Web-Oberfläche; IP-Adresse, E-Mail-Adresse und erkennbare Zugangsdaten werden vor der Übermittlung entfernt bzw. bereinigt) sowie PostHog (Produkt-Nutzungsanalyse, siehe Ziffer 5). Soweit diese Dienstleister Daten außerhalb der EU/des EWR verarbeiten, erfolgt dies nur auf Grundlage geeigneter Garantien (insbesondere EU-Standardvertragsklauseln bzw. eines gültigen Angemessenheitsbeschlusses, Art. 44 ff. DSGVO). Innerhalb der Gosch Group erhalten andere Gesellschaften (z.B. Vantric, BuchBalance) nur nach Ihrer dokumentierten Einwilligung (siehe Ziffer 3e) Zugriff auf die dort jeweils freigegebenen Daten. Im Datenraum haben ausschließlich die aktiven Parteien des jeweiligen Mandats (Verkäufer, Käufer, Begleiter, Gast-Gutachter) rollenbasierten Zugriff.

5. Produkt-Nutzungsanalyse

Zur Weiterentwicklung von App und Web-Oberfläche setzen wir PostHog als technischen Dienstleister (Auftragsverarbeiter im Sinne von Art. 28 DSGVO) für pseudonymisierte Produkt-Nutzungsanalyse ein (z.B. welche Funktionen wie oft genutzt werden). Es findet keine Bildschirmaufzeichnung (Session Replay) und keine automatische Erfassung einzelner Klicks oder Formulareingaben statt — insbesondere werden Inhalte aus Firmenanalyse, Bewertung und Datenraum zu keinem Zeitpunkt an PostHog übertragen, nur bewusst ausgewählte, anonyme Nutzungsereignisse (z.B. „Screening abgeschlossen"). Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Verbesserung von App und Web-Oberfläche; Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, siehe Ziffer 8). In der Web-Oberfläche holen wir vor dem Setzen des PostHog-Analyse-Cookies Ihre Einwilligung über einen Cookie-Banner ein (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Darüber hinaus verwenden App und Web-Oberfläche keine Analytics-, Tracking- oder Werbe-Software zu Werbezwecken und setzen keine Werbe-Cookies. Es findet keine Profilbildung zu Werbezwecken statt.

6. Technisch notwendige Cookies der Web-Oberfläche

Die native mobile App verwendet keine Cookies. Die Web-Oberfläche setzt beim Anmelden mehrere technisch notwendige Cookies (u.a. für Ihre Anmelde-Sitzung sowie deren automatische Erneuerung), um Sie während Ihres Besuchs angemeldet zu halten. Diese Cookies dienen ausschließlich der Bereitstellung der Anmeldefunktion, enthalten keine Trackinginformationen und werden nicht zu Analyse- oder Werbezwecken genutzt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TTDSG (technisch unbedingt erforderlich) bzw. Art. 6 Abs. 1 lit. b DSGVO — eine gesonderte Einwilligung ist hierfür nicht erforderlich.

7. Speicherdauer

Kontodaten werden für die Dauer der Nutzung der App gespeichert und nach Kontolöschung gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Firmenanalyse-, Bewertungs- und Datenraum-Dokumente bleiben nach Abschluss oder Schließung eines Mandats als historisches Dossier für die daran beteiligten Parteien grundsätzlich weiter gespeichert und einsehbar, dies dient der Nachvollziehbarkeit des Verfahrens und der beiderseitigen Beweissicherung. Eine Löschung erfolgt auf Anforderung des Fall-Erstellers, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zugriffsprotokolle werden zu Beweiszwecken über die Dauer des Mandats hinaus vorgehalten. Rechnungen und andere steuerlich relevante Buchungsbelege zu einem Abonnement werden unabhängig von einer Kontolöschung für die gesetzlich vorgeschriebene Dauer von zehn Jahren aufbewahrt (§ 147 AO, § 257 HGB). Eine konkrete kalendarische Löschfrist für die übrigen Datenkategorien wird eingeführt, sobald der reguläre Geschäftsbetrieb mit echten Mandaten startet.

8. Ihre Rechte als betroffene Person

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen eine auf berechtigtem Interesse gestützte Verarbeitung (Art. 21 DSGVO). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

9. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

10. Pflicht zur Bereitstellung von Daten

Konto- und Anmeldedaten sind zur Nutzung der App vertraglich erforderlich — ohne sie kann kein Nutzerkonto angelegt werden. Firmenanalyse-Daten sind für bestimmte Analysefunktionen (z.B. Bewertung) erforderlich, aber einzelne Felder bleiben optional. Digitale Visitenkarte, biometrische Anmeldung und konzerninterne Einwilligungen sind vollständig freiwillig und für die Kernnutzung der App nicht erforderlich.

11. Automatisierte Entscheidungsfindung und Einsatz von Künstlicher Intelligenz

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Positions-Scores, Zielkäufergruppen-Vorschläge und ähnliche Auswertungen sind Orientierungshilfen für Sie selbst als Nutzer und entfalten keine automatisierte Rechtswirkung Dritter gegenüber Ihnen.

Vantric Capital setzt zur Ermittlung von Richtwerten, Scores oder sonstigen Analysen keine künstliche Intelligenz, kein maschinelles Lernen und kein Sprachmodell ein. Alle angezeigten Werte entstehen ausschließlich durch eine fest dokumentierte, deterministische Formelberechnung (Ertragswert-, Substanzwert- und Multiple-Verfahren nach im Voraus definierten Rechenregeln): dieselbe Eingabe liefert immer dasselbe Ergebnis, es findet weder ein Training noch ein Lernen aus Nutzerdaten noch eine Modell-Inferenz statt. Auch der „Persönliche Begleiter" ist ein echter Mensch, keine KI-gestützte Chat-Funktion.

Da Vantric Capital kein KI-System im Sinne von Art. 3 Nr. 1 der Verordnung (EU) 2024/1689 (KI-Verordnung) einsetzt, sind die dortigen Pflichten (u.a. Risikoklassifizierung, Transparenzpflichten für KI-Systeme) auf die Berechnungsfunktionen von Vantric Capital nicht anwendbar. Sollte sich dies durch eine künftige Produktänderung ändern, wird diese Datenschutzerklärung entsprechend angepasst (siehe Ziffer 12).

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die tatsächliche Datenverarbeitung ändert (z.B. neue Funktionen, neue Auftragsverarbeiter). Die jeweils aktuelle Version ist in der App und auf der Web-Oberfläche unter „Mandat & Recht" bzw. „Datenschutz" abrufbar.