Datenschutz
Datenschutzerklärung
Stand: 1. September 2026
1. Verantwortlicher
Verantwortlicher für VorsorgeScore ist Finanzberatung Grabich, Inhaber Martin Grabich, Strackestr. 17, 59929 Brilon, Deutschland. Telefon: +49 (0)2991 3099895. E-Mail: grabich@martingrabich.de.
2. Datenschutzkontakt
Für Datenschutzanfragen erreichst du uns unter datenschutz@vorsorgescore.de.
3. Geltungsbereich
Diese Erklärung erläutert die Verarbeitung personenbezogener Daten bei der Nutzung der öffentlichen Seiten, des anonymen VorsorgeScore, eines Nutzerkontos, der Analysezustellung sowie freiwilliger Beratungs- und Marketingkontaktwege.
4. Anonyme VorsorgeScore-Analyse
Du kannst den VorsorgeScore zunächst ohne Kontaktangaben nutzen. Die Eingaben werden einer zufällig erzeugten, technisch geschützten Sitzung zugeordnet. Fehlende Angaben werden nicht automatisch als null bewertet. Die Verarbeitung erfolgt zur Bereitstellung der von dir aufgerufenen Analysefunktion sowie zur sicheren technischen Bereitstellung des Dienstes.
5. Zweck der Analyse
Wir verarbeiten die von dir eingegebenen Angaben, um eine strukturierte, deterministische Orientierung zur persönlichen Vorsorgesituation, zum Analysegrad, zu Modellannahmen und zu möglichen nächsten Schritten bereitzustellen.
6. Keine automatisierte Vertragsentscheidung
Der VorsorgeScore dient der Orientierung und strukturierten Einschätzung der persönlichen Vorsorgesituation. Er führt nicht automatisiert zu einer Vertragsentscheidung und ersetzt keine individuelle Anlage-, Versicherungs-, Finanzierungs-, Steuer- oder Rechtsberatung. Es erfolgt keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung.
7. Rechtsgrundlagen
Soweit die Verarbeitung zur Bereitstellung des Nutzerkontos, der angeforderten Analyse oder einer ausdrücklich angeforderten Zustellung erforderlich ist, erfolgt sie grundsätzlich auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Freiwillige Beratungs- und Marketingkontakte beruhen auf deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Technisch erforderliche Sicherheits-, Missbrauchs- und Serverprotokolle können auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden, soweit unser berechtigtes Interesse an einem sicheren und stabilen Betrieb überwiegt.
8. Konto und Anmeldung
Bei einer Registrierung verarbeiten wir insbesondere E-Mail-Adresse, Passwort-Hash, Sitzungsdaten sowie technische Schutzinformationen. Das Passwort wird ausschließlich durch Better Auth gehasht; Klartextpasswörter werden nicht gespeichert.
9. E-Mail-Bestätigung und Passwortschutz
Ein Konto kann erst nach Bestätigung der E-Mail-Adresse genutzt werden. Wir verwenden kurzlebige, nach Nutzung ungültige Bestätigungs- und Passwort-Zurücksetzlinks. Bei Passwortänderung und Kontolöschung werden bestehende Sitzungen widerrufen.
10. Speicherung und Zustellung einer Analyse
Wenn du die Speicherung und Zustellung ausdrücklich anforderst, kann deine Analyse deinem verifizierten Konto zugeordnet, gespeichert und einmalig über einen sicheren Link bereitgestellt werden. Finanzielle Details und der VorsorgeScore stehen nicht im E-Mail-Text. Der Abruflink ist zeitlich begrenzt und serverseitig widerrufbar.
11. Einwilligungen und Widerruf
Einwilligungen für Beratung per E-Mail, Beratung per Telefon und Marketing sind getrennt, freiwillig und nicht vorangekreuzt. Sie können im Konto jederzeit einzeln mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Ein Widerruf beendet nur den jeweiligen freiwilligen Kontaktkanal und nicht automatisch dein Konto oder deine Analyse.
12. Marketing
Marketing-E-Mails werden nur nach gesonderter Einwilligung und abgeschlossenem Double-Opt-in versandt. Nach einem Widerruf führen wir eine minimierte, gehashte Sperrliste, damit die erklärte Werbesperre bei späteren Importen oder erneuten Kontaktprozessen zuverlässig beachtet wird. Eine erneute Marketingaktivierung setzt einen neuen ausdrücklichen Double-Opt-in-Prozess voraus.
13. Beratung und Terminbuchung
Eine Beratungsanfrage oder externe Terminbuchung wird erst nach entsprechender Nutzeraktion bzw. Einwilligung angeboten. Score-, Analyse- und Finanzdaten werden nicht als URL-Parameter an einen externen Kalenderanbieter übergeben. Ein externer Terminanbieter wird erst nach dokumentierter Datenschutz- und Auftragsverarbeitungsprüfung eingebunden.
14. Eingesetzte Dienstleister
Für Hosting, Anwendung, API-Routen und technische Laufzeitverarbeitung nutzen wir Vercel. Die PostgreSQL-Datenbank wird bei Neon betrieben. Für E-Mail-Verifikation, Passwort-Reset, transaktionale Nachrichten, Analyse-Abruflinks und Marketing-Double-Opt-in wird Resend eingesetzt. Better Auth wird als lokale Open-Source-Authentifizierungskomponente genutzt und speichert Authentifizierungsdaten in Neon. Für die externen Auftragsverarbeiter sind DPA-/AVV-, Subprozessoren-, Lösch- und Transferinformationen intern dokumentiert.
15. Empfänger und Drittlandtransfers
Personenbezogene Daten werden nur an die für den jeweiligen Zweck erforderlichen Empfänger übermittelt. Bei Vercel und Resend kann eine Verarbeitung in den USA stattfinden. Soweit erforderlich, werden internationale Übermittlungen auf die in den jeweiligen Auftragsverarbeitungsvereinbarungen eingebundenen EU-Standardvertragsklauseln und weitere anwendbare Transfermechanismen gestützt. Die produktive Neon-Datenbankregion befindet sich in AWS Europe Central 1 (Frankfurt); über Unterauftragsverarbeiter kann dennoch ein Drittlandbezug bestehen.
16. Aufbewahrung
Anonyme, nicht dauerhaft gespeicherte Analysen werden grundsätzlich 30 Tage nach letzter Aktivität gelöscht. Unbestätigte Registrierungen werden nach 7 Tagen entfernt. Gespeicherte Analysen ohne Beratungsfall sowie Beratungsanfragen ohne weitere Aktivität werden grundsätzlich nach 12 Monaten gelöscht bzw. der Löschung zugeführt, sofern keine vorrangigen gesetzlichen Gründe entgegenstehen. Marketingdaten werden bis zum Widerruf verarbeitet; nach 24 Monaten ohne Interaktion ist eine erneute Bestätigung bzw. Reaktivierungsprüfung vorgesehen. Technische Logs werden nur so lange vorgehalten, wie dies im tatsächlich verwendeten Infrastrukturplan und für Sicherheitszwecke erforderlich ist.
17. Konto- und Datenlöschung
Du kannst die Löschung deines Kontos im Kontobereich mit Passwort und zusätzlicher Bestätigung anfordern. Danach werden Konto-, Authentifizierungs-, Profil-, Analyse-, Score- und sonstige personenbezogene Daten in der vorgesehenen Abhängigkeitsreihenfolge gelöscht und aktive Sitzungen ungültig gemacht. Nach erfolgreicher Löschung verbleibt ausschließlich ein unabhängiger, nicht rückführbarer technischer Tombstone ohne frühere Nutzer-ID, E-Mail-Adresse, Name, Telefonnummer, Auth-, Consent-, Analyse-, Score- oder Finanzdaten. Gesetzliche Aufbewahrungspflichten können im Einzelfall einer sofortigen vollständigen Löschung entgegenstehen.
18. Deine Rechte
Du hast nach Maßgabe der gesetzlichen Voraussetzungen insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Anfragen richtest du an datenschutz@vorsorgescore.de. Außerdem besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.
19. Besondere Kategorien personenbezogener Daten
VorsorgeScore verarbeitet in Version 1 keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Eine spätere Erweiterung setzt eine gesonderte fachliche und rechtliche Freigabe voraus.
20. Technisch notwendige Cookies und Sitzungen
Für Anmeldung, Sitzungssteuerung und Sicherheitsfunktionen werden technisch notwendige Cookies bzw. vergleichbare Sitzungsmechanismen eingesetzt. Sie dienen nicht der werblichen Profilbildung. Authentifizierungs-Cookies werden sicher, soweit vorgesehen HttpOnly und Secure, verarbeitet.
21. Sicherheit und technische Protokolle
Wir verwenden technische und organisatorische Maßnahmen, getrennte Datenbereiche, serverseitige Validierung, sichere Authentifizierungsprozesse, begrenzte Protokollierung und Zugriffsschutz. Personenbezogene oder finanzielle Inhalte sollen nicht unnötig in Runtime-Logs geschrieben werden.
22. Änderungen dieser Datenschutzerklärung
Diese Datenschutzerklärung wird angepasst, wenn sich Verarbeitungsvorgänge, eingesetzte Dienstleister oder rechtliche Anforderungen ändern. Stand: 1. September 2026.