Rechtliches

Datenschutzerklärung

Stand: 26.10.2026 · gilt für die Website und das Dashboard unter hexa.design-hunter.com bzw. trading-hub.design-hunter.com/hexa/ sowie die Windows-App „HEXA“

1. Verantwortlicher

2. Überblick

• Wir verarbeiten nur Daten, die für Website, Konto, Dashboard, Windows-App und die von Ihnen genutzten Funktionen nötig sind.
• Keine Tracker, keine Analyse- oder Werbe-Cookies, keine Social-Media-Plugins. Schriften und Bibliotheken liegen auf unserem eigenen Server; beim Aufruf der Seiten werden keine Daten an Google oder andere Schrift- bzw. CDN-Anbieter übertragen.
• Daten werden nicht verkauft und nicht für Werbung genutzt. Eine automatisierte Entscheidungsfindung oder ein Profiling im Sinne von Art. 22 DSGVO findet nicht statt.
• Eine Übermittlung in ein Drittland (USA) findet nur statt, wenn Sie die KI-Funktionen nutzen (siehe Abschnitt 8).

3. Aufruf der Website, Server-Protokolle, Hosting

Website und Dashboard liegen bei unserem Hoster ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland auf Servern in Deutschland. Beim Aufruf jeder Seite verarbeitet der Webserver technisch zwingend: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, HTTP-Statuscode, Referrer (soweit vom Browser gesendet) sowie Browser- und Betriebssystemangaben (User-Agent). Diese Daten können in Server-Protokolldateien des Hosters gespeichert werden; wir werten sie nicht aus und führen sie nicht mit anderen Daten zusammen.

Zusätzlich speichert HEXA selbst zur Abwehr von Missbrauch kurzzeitig: die IP-Adresse bei fehlgeschlagenen Anmelde- und Registrierungsversuchen (Sperrliste, höchstens ca. 70 Minuten), gekürzte und mit einem geheimen Schlüssel gehashte IP-Kennungen bei Registrierung, Widerruf und Kündigung (Begrenzung der Anzahl), die Anzahl angeforderter Anmeldelinks je E-Mail-Adresse (eine Stunde) sowie technische Fehlermeldungen ohne Inhaltsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, stabilen und erreichbaren Website). Mit dem Hoster besteht bzw. wird ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Die Verbindung ist durchgehend TLS-verschlüsselt (https).

4. Cookies und lokaler Speicher (§ 25 TDDDG)

HEXA setzt ausschließlich Cookies und Browser-Speicher ein, die für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung und ein Cookie-Banner sind deshalb nicht erforderlich. Es gibt keine Analyse-, Marketing- oder Drittanbieter-Cookies.

Inhalte im localStorage bleiben in Ihrem Browser und werden nur übertragen, soweit Sie die jeweilige Funktion nutzen (z. B. die Registrierung absenden).

5. Registrierung, Benutzerkonto und Dashboard

Daten: Name, E-Mail-Adresse, Telefonnummer (Pflichtangabe mit Vorwahl, zur Rückfrage und zur Sicherheit Ihres Kontos), Ihre Erklärung, keine US-Person zu sein (mit Zeitpunkt und einer gekürzten, mit geheimem Schlüssel gehashten IP-Kennung als Nachweis), optional ein Passwort (nur als sicherer Hash gespeichert), Bestätigungscodes und Einmal-Links (gehasht, 30 Minuten gültig), Angaben aus dem Einrichtungsablauf (z. B. Erfahrung, Rolle „selbst handeln“ oder „Investor“, gewählte Konten im Prop-Katalog), Lizenzstatus, Zustimmungen zu AGB, Widerrufsbelehrung und Risikohinweisen mit Fassung, Datum und Uhrzeit, Einstellungen (Risiko, Varianten, Benachrichtigungen, Erscheinungsbild).

Ab Absenden eines Registrierungsschritts wird der Zwischenstand auf dem Server gespeichert, damit Sie auf einem anderen Gerät weitermachen können. Nicht abgeschlossene Registrierungen werden nach 30 Tagen gelöscht.

Handelsdaten im Dashboard: Kontonummer (MT5-Login), Servername, Broker bzw. Prop-Firma, Kontowährung, Kontostand, Equity-Verlauf, offene Positionen, Aufträge, abgeschlossene Trades, Entscheidungen und Protokolle des Handelsagenten, Name und Version der verbundenen PCs, Zeitpunkt der letzten Verbindung.

Zweck und Rechtsgrundlage: Bereitstellung des Kontos, des Dashboards und der Software (Art. 6 Abs. 1 lit. b DSGVO). Die Telefonnummer dient Rückfragen und der Sicherheit Ihres Kontos (Art. 6 Abs. 1 lit. b DSGVO); die US-Personen-Erklärung dient dem Nachweis der Vertragsvoraussetzungen (Art. 6 Abs. 1 lit. b und c DSGVO). Die Speicherung der Zustimmungen dient dem Nachweis (Art. 6 Abs. 1 lit. c und f DSGVO).

Pflicht zur Bereitstellung: Ohne Namen, E-Mail-Adresse, Telefonnummer und die US-Personen-Erklärung kann kein Konto angelegt werden; alle übrigen Angaben sind freiwillig oder nur für die jeweilige Funktion nötig.

Download-Link per E-Mail: Auf Wunsch schicken wir den Download-Link für die Windows-App an Ihre eigene, bestätigte E-Mail-Adresse (höchstens 3 je Stunde).

5a. Schutz vor automatisierten Anmeldungen (ALTCHA, Zeitprüfung, Honigtopf)

Damit unsere Anmeldung nicht von Programmen missbraucht wird, setzen wir vier Maßnahmen ein, die ohne Google, ohne Drittanbieter und ohne Tracking auskommen:

• ALTCHA (Open-Source, MIT-Lizenz) läuft vollständig von unserem eigenen Server. Ihr Browser löst im Hintergrund eine kleine Rechenaufgabe (Proof-of-Work) und sendet das Ergebnis mit der Anmeldung; unser Server prüft es. Es werden keine Bilder erkannt, keine Cookies gesetzt und keine Merkmale Ihres Geräts ausgelesen. Das Widget ist barrierefrei bedienbar.
• Zeitprüfung: Eine signierte Zeitmarke zeigt, wann das Formular geöffnet wurde; unmenschlich schnelle Absendungen werden abgewiesen.
• Honigtopf: Ein für Menschen unsichtbares Feld; Programme, die es ausfüllen, werden abgewiesen.
• Begrenzungen je IP-Adresse und je E-Mail-Adresse (z. B. höchstens 5 Bestätigungscodes in 10 Minuten).

Gespeichert werden nur kurzzeitig: gehashte (nicht umkehrbare) IP-Kennungen und Zähler für die Begrenzungen sowie die Kennung einer gelösten Aufgabe (wenige Minuten), bei Abweisungen ein Protokolleintrag mit gekürzter IP-Kennung und Grund (höchstens 30 Tage).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsabwehr); § 25 Abs. 2 Nr. 2 TDDDG, soweit Informationen auf Ihrem Gerät abgerufen werden (unbedingt erforderlich).

6. Windows-App „HEXA“ und Verbindung zu MetaTrader 5

Die App läuft auf Ihrem PC und gibt über Ihr MetaTrader-5-Terminal Aufträge auf Ihrem eigenen Handelskonto auf. Dabei werden verarbeitet:

• MT5-Zugangsdaten (Login, Server, Passwort): lokal auf Ihrem PC verschlüsselt (Windows-DPAPI). Für die Einrichtung auf weiteren PCs speichert der Server zusätzlich eine verschlüsselte Kopie Ihres Einrichtungsprofils (Passwörter mit AES-256-GCM verschlüsselt, Schlüssel nur auf dem Server, Herausgabe nur an Ihr angemeldetes Konto). Bei einer PC-Übertragung wird das Profil Ende-zu-Ende verschlüsselt; der Server kennt den Inhalt nicht und löscht das Paket nach der Abholung.
• Herzschlag: In kurzen Abständen sendet die App Kontostand, Equity, Positionen, Trades, Status der Strategien und des Terminals, App-Version und PC-Namen an den Server, damit das Dashboard aktuell ist.
• Lokale Kontoprüfung: Eine optionale Prüfung mit einem lokalen Sprachmodell (Ollama) läuft vollständig auf Ihrem PC; dabei werden keine Daten an uns oder Dritte übertragen.
• Updates: Die App fragt regelmäßig die aktuelle Version vom Server ab und lädt Aktualisierungen von dort.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen genutzten Software und des Dashboards). Wir haben keinen Zugriff auf Ein- und Auszahlungen Ihres Handelskontos.

7. E-Mails

Wir senden E-Mails für Bestätigungscodes, Anmeldelinks, Sicherheits- und Risikobestätigungen, Lizenzen, Vertragsbestätigungen (z. B. AGB-Zustimmung, Widerruf, Kündigung) und – je nach Ihren Einstellungen – Benachrichtigungen über Trades, Ausfälle und Rückblicke. Der Versand läuft über den Mailserver unseres Hosters in Deutschland. Benachrichtigungen können Sie in den Einstellungen abschalten. Wir versenden keine Newsletter und keine Werbung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; Vertrags- und Eingangsbestätigungen zusätzlich Art. 6 Abs. 1 lit. c DSGVO (§§ 312f, 312k, 356a BGB).

8. KI-Funktionen (HEXA Lotse, KI-Berater) – Anthropic

Im Dashboard und in der Registrierung können Sie freiwillig einen KI-Assistenten („HEXA Lotse“) und einen KI-Berater für Prop-Konten nutzen. Sie chatten dabei mit einer KI, nicht mit einem Menschen. Die Antworten werden automatisch erzeugt, können fehlerhaft sein und sind keine Anlageberatung.

Was übertragen wird: Ihre Frage bzw. Ihr Wunsch, Ihr Anzeigename und – soweit für die Antwort nötig – Daten aus Ihrem Konto (z. B. Kontostände, Kontobezeichnungen mit gekürzter Kontonummer, Einstellungen, Systemstatus, Positionen und Trades) sowie Daten aus dem Prop-Katalog. Nicht übertragen werden Passwörter, Zugangsdaten und Ihre E-Mail-Adresse.

Empfänger: Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, und als deren Unterauftragnehmer Anthropic, PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA. Die Verarbeitung erfolgt auch in den USA.

Drittlandübermittlung: Grundlage sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Auftragsverarbeitungsvertrags (Data Processing Addendum) von Anthropic sind.

Keine Trainingsnutzung: Nach den kommerziellen Nutzungsbedingungen von Anthropic werden Inhalte, die über die API verarbeitet werden, nicht zum Training von KI-Modellen verwendet. Anthropic löscht Ein- und Ausgaben nach eigenen Angaben grundsätzlich innerhalb von 30 Tagen; längere Speicherung ist nur in Ausnahmefällen (z. B. Missbrauchsprüfung, gesetzliche Pflichten) vorgesehen.

Bei uns gespeichert werden je Anfrage nur Zeitpunkt, Art der Anfrage, Modell, Tokenverbrauch, Kosten und Ergebnisstatus (ohne Inhalte), zur Begrenzung der Anfragen außerdem die IP-Adresse; diese wird nach 7 Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – die KI-Funktion wird nur genutzt, wenn Sie sie aktiv aufrufen. Ohne Nutzung der KI werden keine Daten an Anthropic übertragen. Geben Sie im Chat bitte keine sensiblen Daten ein, die für Ihre Frage nicht nötig sind.

9. Investor-Freigabe

Sie können einer von Ihnen bestimmten Person („Investor“) per Code eine reine Leseansicht Ihrer Konten freigeben. Der Investor sieht dann die von Ihnen freigegebenen Konten mit Kontostand, Verlauf, Positionen, Trades und Systemstatus sowie Ihren Anzeigenamen, und Sie können miteinander Nachrichten austauschen. Die Weitergabe erfolgt ausschließlich auf Ihre Veranlassung (Art. 6 Abs. 1 lit. b DSGVO); Sie können die Freigabe jederzeit pausieren oder beenden. Nachrichten bleiben gespeichert, bis die Freigabe gelöscht wird.

10. Bestellung, Lizenz, Widerruf und Kündigung

Für Lizenz und Abonnement verarbeiten wir Lizenzcode (nur als Hash und die letzten Zeichen), Laufzeit, Status und Ihre Vertragsangaben. Nutzen Sie die Funktionen „Vertrag widerrufen“ oder „Verträge hier kündigen“, speichern wir Ihre Angaben (Name, E-Mail-Adresse, Vertragsangaben, Art und Zeitpunkt der Erklärung, ggf. Grund) und senden Ihnen eine Eingangsbestätigung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

Ein Bezahlvorgang ist derzeit nicht freigeschaltet; es werden keine Zahlungsdaten erhoben. Wird ein Zahlungsdienstleister eingebunden, ergänzen wir diese Erklärung vorher.

11. Empfänger und Auftragsverarbeiter

• Hoster und Mailversand: ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland (Auftragsverarbeitung nach Art. 28 DSGVO).
• KI: Anthropic (nur bei Nutzung der KI-Funktionen, siehe Abschnitt 8).
• Von Ihnen bestimmte Investoren (nur bei Freigabe, siehe Abschnitt 9).
• Ihr Broker bzw. Ihre Prop-Firma erhält Aufträge direkt von Ihrem MetaTrader-Terminal; das ist Ihr eigenes Vertragsverhältnis mit diesem Anbieter.
• Links zu Prop-Firmen und anderen Anbietern öffnen deren Websites erst nach Ihrem Klick; dort gelten deren Datenschutzbestimmungen.
• Behörden nur, soweit wir gesetzlich dazu verpflichtet sind.

12. Speicherdauer und Löschung

• Konto-, Einstellungs- und Handelsdaten: solange Ihr Benutzerkonto besteht. Handelskonten können Sie im Dashboard selbst entfernen; dabei werden die zugehörigen Trades, Protokolle und Verläufe gelöscht. Protokolle des Handelsagenten werden laufend auf die letzten 2.000 Einträge je Konto gekürzt.
• Löschung des ganzen Benutzerkontos: auf Anfrage per E-Mail an support@design-hunter.com – wir löschen dann alle Daten, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
• Einmal-Links und Bestätigungscodes: 30 Minuten bzw. bis zur Nutzung; nicht abgeschlossene Registrierungen: 30 Tage.
• Sperrlisten mit IP-Adressen: höchstens ca. 70 Minuten; IP-Adressen im KI-Protokoll: 7 Tage.
• Nachweise über Zustimmungen, Widerrufe und Kündigungen: bis zum Ablauf der regelmäßigen Verjährungsfrist (3 Jahre ab Jahresende).
• Rechnungs- und Buchungsbelege (sobald es entgeltliche Verträge gibt): 8 bzw. 10 Jahre nach § 147 AO, § 257 HGB.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Eine formlose E-Mail an support@design-hunter.com genügt.

Beschwerderecht (Art. 77 DSGVO): Sie können sich bei jeder Datenschutz-Aufsichtsbehörde beschweren, insbesondere an Ihrem Wohnort. Für uns zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

14. Änderungen

Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.