Datenschutzerklärung — OTCValue Version 2026-09-30.2 — 30. September 2026 1. Wer verarbeitet Ihre Daten? THELOS SAS, 10 rue de Penthièvre, 75008 Paris, Frankreich, 789 713 310 RCS Paris, ist Verantwortlicher für die von ihr bestimmten Verarbeitungen zur Verwaltung von OTCValue, insbesondere Konten, Kundenbeziehung, Abrechnung und Sicherheit des Dienstes. Datenschutzkontakt: THELOS SAS, contact@otcvalue.com. Bitte geben Sie nach Möglichkeit «Personenbezogene Daten» im Betreff an. Verwendet Ihre Organisation OTCValue zur Verarbeitung personenbezogener Daten für eigene Zwecke, kann sie Verantwortlicher und THELOS ihr Auftragsverarbeiter sein. Diese Vorgänge regelt die DPA (https://otcvalue.com/Legal/7). Rechte bezüglich dieser Daten können Sie bei Ihrer Organisation ausüben; THELOS unterstützt sie und leitet Anträge weiter, die ihren Weisungen unterliegen. 2. Daten und Herkunft Je nach genutzten Funktionen können die Daten umfassen: - Identität, E-Mail-Adresse, Profilangaben, Sprache und Anzeigepräferenzen; - Organisationszugehörigkeit, Einladungen, Rollen und Zugriffsrechte; - technische Authentifizierungsdaten, Anmeldeereignisse, Sicherheits- und Diagnoseprotokolle; - Kunden- und Zahlerkontaktdaten, Rechnungsanschrift, Steuerkennungen, Abonnements, Rechnungen und Zahlungsreferenzen; - Supportnachrichten, zur Bearbeitung erforderliche Unterlagen und Bearbeitungsverlauf; - personenbezogene Einträge in Portfolios, Positionen oder Freitextfeldern; - Erklärung beruflicher Nutzung, Text, Version, Sprache und Datum; Referenzen und Daten vertraglicher Annahmen, Kündigungsanträge und Beschwerden; - historische Nachweise, soweit für frühere Verträge oder gesetzliche Pflichten erforderlich, ohne neue Erhebung des Verbraucherwohnsitzes im B2B-Ablauf. Die Daten stammen von Ihnen, einem berechtigten Organisationsmitglied, dem Zahlungsdienstleister oder dem Betrieb des Dienstes. Lädt ein Dritter Sie ein oder benennt Sie als Rechnungskontakt, müssen Sie angemessen informiert werden. Nicht alle Finanzdaten einer Gesellschaft sind personenbezogen. Vertrauliche Daten bleiben durch vertragliche Geheimhaltungszusagen geschützt. Stammen Daten von einem Mitglied, Einladenden oder Rechnungskontakt, informiert THELOS Sie spätestens bei der ersten Kontaktaufnahme, der ersten Weitergabe an einen anderen Empfänger oder innerhalb der gesetzlichen Frist, je nachdem, was zuerst eintritt. Sie können Herkunft und betroffene Daten erfragen. Die Kundenorganisation bleibt für Informationen über selbst bestimmte Verarbeitungen verantwortlich. Der Dienst ist ohne Notwendigkeit und besonderen Rahmen nicht zur Aufnahme von Gesundheitsdaten, politischen Meinungen, biometrischen oder anderen besonderen Datenkategorien bestimmt. Senden Sie keine Passwörter oder vollständigen Kartennummern an den Support. 3. Zwecke und Rechtsgrundlagen Verwaltung beruflicher Berechtigung und Nachweis von Erklärungen und Annahmen: Vertragserfüllung bei Personen als Vertragspartei; berechtigte Interessen an beruflichem Zugang sowie Feststellung und Verteidigung vertraglicher Rechte, je nach Fall. Kontoerstellung, Abonnementbereitstellung und vorvertragliche Anfragen: Vertragserfüllung bei Vertragsparteien; berechtigte Interessen an der Dienstbereitstellung für die Organisation bezüglich ihrer Vertreter und Nutzer. Verwaltung notwendiger Einladungen, Rollen und Präferenzen: Vertragserfüllung oder berechtigtes Interesse an Zugangsverwaltung; Kundenweisungen bei Verarbeitung in dessen Auftrag. Abrechnung, Zahlungsüberwachung und Aufbewahrung vorgeschriebener Belege: Vertragserfüllung und gesetzliche Buchführungs- und Steuerpflichten je nach Vorgang. Missbrauchsverhütung, Kontenschutz und Vorfalldiagnose: Berechtigtes Interesse an Dienstsicherheit bei Beschränkung von Daten und Zugriffen; anwendbare gesetzliche Pflichten. Support und Beschwerden: Vertragserfüllung oder berechtigtes Interesse an Antragsbearbeitung; gesetzliche Pflichten bei bestimmten Rechtsbehelfen. Notwendige Beweise und Streitbehandlung: Gesetzliche Pflichten, soweit vorhanden; berechtigtes Interesse an Feststellung oder Verteidigung von Rechten. Nicht notwendige Tracker, falls hinzugefügt: Vorherige Einwilligung, soweit erforderlich. Pflichtangaben sind für die im Formular bezeichneten Vorgänge notwendig; ihr Fehlen kann Kontoerstellung, Leistung oder Rechnungsstellung verhindern. Optionale Felder sind gekennzeichnet. Diese Erklärung erlaubt keine Werbung. Geplante Werbung muss gesondert mit Rechtsgrundlage und Widerspruchsmöglichkeit beschrieben werden. 4. Empfänger Zugang haben befugte Personen bei THELOS für ihre Aufgaben, Organisationsmitglieder innerhalb ihrer Rechte und notwendige Dienstleister. Daten können auch Behörden, Beratern oder Rechnungswesenfachleuten übermittelt werden, wenn eine Pflicht oder ein bestimmter berechtigter Bedarf dies rechtfertigt. Wesentliche identifizierte technische Empfänger: Microsoft Ireland Operations Limited — Azure: Hosting der Website und der Datenbank sowie Verarbeitung und Sicherung anvertrauter Daten. OVH SAS — OVHcloud: Hosting und Übermittlung von E-Mails, einschließlich der Supportkorrespondenz. Stripe: Zahlungen und Abonnements; Auftragsverarbeitung für bestimmte Vorgänge und eigene Verantwortlichkeit insbesondere für Betrugsbekämpfung und regulatorische Pflichten. Siehe Stripe-Informationen (https://stripe.com/fr/legal/privacy-center). Volentio JSD Limited — jsDelivr: Auslieferung von Websitebibliotheken; Empfang technischer Verbindungsdaten beim Laden nach eigener Datenschutzerklärung (https://www.jsdelivr.com/terms/privacy-policy). 5. Standorte und Übermittlungen Die Website, die primäre Datenbank und deren Sicherungskopien werden in Frankreich gehostet. E-Mails werden von OVHcloud gehostet; das genutzte Angebot sieht eine Speicherung in Frankreich vor. Diese Standorte bedeuten nicht, dass sämtliche Supportzugriffe, E-Mail-Übermittlungen und Zahlungsverarbeitungen in Frankreich verbleiben. Stripes DPA (https://stripe.com/fr/legal/dpa) sieht insbesondere Übermittlungen an Stripe, LLC in den USA vor; die Transfervereinbarung (https://stripe.com/fr/legal/dta) beschreibt die Mechanismen. OVHclouds Unterauftragsverarbeiterliste enthält mögliche Tätigkeiten aus Kanada und dem Vereinigten Königreich. jsDelivr nutzt ebenfalls ein internationales Netzwerk. Diese Datenflüsse sind vom Hauptspeicherort zu unterscheiden. Personenbezogene Übermittlungen außerhalb des Europäischen Wirtschaftsraums müssen identifiziert und durch den anwendbaren Mechanismus abgesichert werden: für den Empfänger gültiger Angemessenheitsbeschluss, Standardvertragsklauseln mit notwendigen Prüfungen oder eine andere einschlägige Rechtsgrundlage. Unter contact@otcvalue.com erhalten Sie nähere Angaben und Kopien geltender Garantien, mit erforderlichen Schwärzungen zum Schutz von Geheimnissen und Rechten Dritter. 6. Aufbewahrungsdauer Fristen werden nach Zweck bestimmt, getrennt nach laufender Nutzung, zugriffsbeschränktem Archiv und Sicherungen. Kündigung rechtfertigt weder allgemeine unbegrenzte Aufbewahrung noch Löschung gesetzlich notwendiger Belege. Konto, Profil und Zugänge: Während aktiver Nutzung; bei seit drei Jahren inaktiven kostenlosen Konten manuelle Prüfung und mindestens dreißigtägige Vorwarnung vor möglicher Schließung. Rechte einer noch aktiven Organisation werden gesondert geprüft. Löschungsanträge werden innerhalb gesetzlicher Fristen mit begründeten Ausnahmen behandelt. Portfolios, Positionen und Geschäftshistorien: Während der Dienstleistung für die Organisation einschließlich Free nach berechtigten Weisungen. Nach Schließung oder Löschungsweisung zunächst verlangte Rückgabe, dann Löschung nicht mehr notwendiger Daten, vorbehaltlich Abrufrechten und rechtlich erforderlicher Aufbewahrung. Die Inaktivität eines Mitglieds erlaubt keine Organisationslöschung. Rechnungen und Buchungsbelege: Gesetzliche Frist, grundsätzlich zehn Jahre ab Ende des betreffenden Geschäftsjahrs für Buchungsbelege. Verträge und für deren Durchführung nützliche Nachweise: Zugriffsbeschränkte Archivierung für fünf Jahre nach Ende des betreffenden Verhältnisses, vorbehaltlich anderen Verjährungsbeginns, Unterbrechung oder Hemmung, besonderer Pflichten oder konkreter Streitigkeiten. Dies rechtfertigt nicht, allein zu Beweiszwecken das gesamte Konto oder alle Nachrichten zu behalten. Allgemeiner Support: Bearbeitungszeit und zwei Jahre nach Abschluss; nur für Streitigkeiten oder Vertragsnachweise nötige Unterlagen werden für die entsprechend begründete Dauer ausgesondert. Sicherheits- und technische Diagnoseprotokolle: Rollierend sechs Monate; für konkrete Vorfälle oder Streitigkeiten nötige Elemente werden entnommen und zugriffsbeschränkt so lange wie zur Bearbeitung nötig aufbewahrt. Dies betrifft keine dienstnotwendigen Geschäftshistorien. Technische Warteschlange für Authentifizierungs-E-Mails: Im Code ist die Bereinigung nach mehr als dreißig Tagen ab Erstellung vorgesehen, außer noch in Verarbeitung befindlichen Nachrichten; nicht mehr notwendige Inhalte werden nach Versand-/Ablaufzyklus gelöscht. Beim Konto aufbewahrte Annahmenachweise sind davon getrennt. Andere E-Mails und Versandnachweise: Dauer des jeweiligen Zwecks, also Support, Vertragsnachweis oder Buchhaltung je nach Inhalt. Unnötige Transportduplikate werden gelöscht; Rechnungen rechtfertigen kein unterschiedsloses Archivieren aller Postfächer. E-Mail-Sicherungskopien: Der Anbieter nennt eine Aufbewahrungsdauer von vierzehn Tagen. Diese Frist ist von der Aufbewahrung der Nachrichten im Postfach zu unterscheiden und garantiert keine physische Löschung innerhalb von vierzehn Tagen. Datenbanksicherungen: Wiederherstellungsfenster von sieben Tagen. Dateien, die für eine vollständige Wiederherstellungskette benötigt werden, können bis zu einer weiteren Woche aufbewahrt werden und werden anschließend vom Anbieter gelöscht, sobald sie nicht mehr benötigt werden. Das Siebentagefenster ermöglicht die Datenbankwiederherstellung; es verspricht nicht die physische Löschung aller Kopien binnen sieben Tagen nach Antrag. Restsicherungen dienen ausschließlich Kontinuität und Wiederherstellung, sind geschützt und vom normalen Gebrauch ausgeschlossen. Werden bereits zur Löschung bearbeitete Daten wiederhergestellt, sind Löschungen vor erneuter gewöhnlicher Nutzung erneut anzuwenden. Streitigkeiten, Untersuchungen oder besondere Pflichten rechtfertigen Zusatzaufbewahrung nur für notwendige Daten und Dauer bei beschränktem Zugang. Anschließend werden sie gelöscht oder wirksam anonymisiert. Die manuelle Schließung entbindet THELOS nicht von diesen Fristen. 7. Ihre Rechte Unter den DSGVO-Voraussetzungen können Sie Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit geeigneter Daten verlangen sowie Verarbeitungen aufgrund berechtigter Interessen widersprechen. Einwilligungswiderruf berührt die Rechtmäßigkeit früherer Verarbeitung nicht. Französische Regeln zu Verfügungen über Daten nach dem Tod bleiben vorbehalten. Senden Sie Ihren Antrag an contact@otcvalue.com mit Angaben zur Identifikation von Konto und Anliegen. Verhältnismäßige Identitätsprüfung kann nötig sein; eine Ausweiskopie darf nicht systematisch verlangt werden. THELOS antwortet innerhalb gesetzlicher Fristen, grundsätzlich eines Monats, und erläutert zulässige Verlängerungen. Kontoschließungen und Löschungen werden manuell bearbeitet. Die Seite für persönliche Daten erklärt, wie Sie contact@otcvalue.com anschreiben; sie löst keine automatische Löschung aus. Geben Sie an, ob Kontoschließung, bestimmte Datenlöschung oder beides gewünscht ist. Abonnementkündigung bleibt ein gesonderter Vorgang in der Abonnementverwaltung; die Rückkehr zum kostenlosen Angebot löscht keine Daten. Beim Schließen individuellen Zugangs müssen gegebenenfalls Organisationsdaten und gesetzlich aufzubewahrende Belege unterschieden werden. Dies erlaubt keine pauschale Ablehnung von Löschungsrechten. Sie können sich bei der CNIL (https://www.cnil.fr/fr/plaintes) oder der zuständigen Aufsichtsbehörde beschweren. 8. Sicherheit, automatisierte Entscheidungen und Aktualisierungen THELOS muss risikogerechte Maßnahmen umsetzen: Zugriffskontrollen, Schutz der Kommunikation, Bearbeitung von Vorfällen und Kontrolle der Dienstleister. Die primäre Datenbank und deren automatische Sicherungskopien sind im Ruhezustand verschlüsselt. Diese Erklärung sagt keine besondere Zertifizierung, Freiheit von Sicherheitslücken oder bezifferte Wiederherstellungsgarantie zu. Identifizierte automatisierte Verarbeitungen umfassen Bewertungen und die Verwaltung angebot- und zahlungsabhängiger Rechte. Sie können THELOS um Prüfung zugangsrelevanter Situationen bitten und verwendete Informationen beanstanden; gesetzliche Rechte bleiben erhalten. Änderungen dieser Erklärung werden datiert und zugänglich gemacht. Zweckänderungen oder neue Einwilligungserfordernisse werden gesetzeskonform behandelt; allein die Veröffentlichung einer neuen Fassung begründet keine Einwilligung.