Datenschutz

Der Schutz Ihrer persönlichen Daten ist der STATELY AG ein zentrales Anliegen. Wir verarbeiten Ihre personenbezogenen Daten stets im Einklang mit der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO), dem liechtensteinischen Datenschutzgesetz (DSG) sowie den einschlägigen spezialgesetzlichen Bestimmungen, insbesondere dem liechtensteinischen Sorgfaltspflichtgesetz (SPG).

1. Verantwortlicher und Datenschutz

Verantwortliche Stelle im Sinne der DSGVO:

STATELY AG

Landstrasse 123

9495 Triesen

Fürstentum Liechtenstein

Handelsregister-Nr.: FL-0002.756.745-6

E-Mail: [email protected] / [email protected]

Website: www.statelyassets.com

Datenschutzkoordination / Anfragen zum Datenschutz:

E-Mail: [email protected]

2. Zwecke und Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten zu folgenden Zwecken und auf Basis nachstehender Rechtsgrundlagen:

Bereitstellung und Betrieb der Plattform: Zur Erfüllung von vertraglichen Pflichten und vorvertraglichen Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

Identitätsprüfung, Geldwäscheprävention & Compliance (KYC/AML): Zur Erfüllung gesetzlicher Sorgfaltspflichten nach dem liechtensteinischen Sorgfaltspflichtgesetz (SPG) und internationalen Sanktionsbestimmungen (Art. 6 Abs. 1 lit. c DSGVO i. V. m. SPG).

Zahlungsabwicklung und Transaktionsmanagement: Zur Durchführung von Einzahlungen, Auszahlungen und Zinsgutschriften (Art. 6 Abs. 1 lit. b DSGVO).

Kommunikation und Support: Zur Beantwortung von Anfragen und Bereitstellung vertragsrelevanter Informationen (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

Webanalyse und Plattformoptimierung: Zur Analyse des Nutzerverhaltens und Fehlererkennung auf Grundlage Ihrer freiwilligen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

IT-Sicherheit und Missbrauchsprävention: Zur Gewährleistung der Stabilität und Abwehr von Cyberangriffen (Art. 6 Abs. 1 lit. f DSGVO).

3. Hosting, Infrastruktur und Datensicherung

Für den Betrieb unserer Systeme setzen wir spezialisierte Dienstleister ein, mit denen Auftragsverarbeitungsverträge (AVV) gemäss Art. 28 DSGVO geschlossen wurden: Webhosting, Domains & Datenbanken (World4You): Wir nutzen Webhosting- und Datenbankdienste der World4You Internet Services GmbH, Hafenstraße 35, 4020 Linz, Österreich. Die Datenverarbeitung erfolgt in ISO-zertifizierten Rechenzentren in Österreich (EU). Plattform- und Serverbetrieb (STRATO): Für den Betrieb unserer Plattformkomponenten nutzen wir Server (Linux-Umgebung) der STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Die Rechenzentren befinden sich in Deutschland und sind nach ISO 27001 zertifiziert. Cloud-Infrastruktur & Backup-Systeme (Amazon Web Services – AWS): Für redundante System-Backups (unter Linux) und Hostingfunktionen nutzen wir Dienste der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Muttergesellschaft: Amazon.com, Inc., USA). Serverstandort: Ausschließlich Rechenzentren innerhalb der Europäischen Union (Region Frankfurt am Main). Amazon.com, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten Standardvertragsklauseln (SCCs).

4. Tag-Management, Webanalyse und Cookies

Google Tag Manager: Wir nutzen den Google Tag Manager der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Der Tag Manager dient der zentralen Einbindung und Verwaltung von Code-Segmenten (Tags) auf unserer Website. Der Dienst selbst setzt keine Cookies und verarbeitet keine Nutzerprofile; beim Laden der Skripte wird jedoch Ihre IP-Adresse an Google übertragen.

Rechtsgrundlage: Berechtigtes Interesse an der effizienten technischen Steuerung unserer Plattform (Art. 6 Abs. 1 lit. f DSGVO).

Google Analytics: Soweit Sie über unser Cookie-Banner eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO), nutzen wir Google Analytics der Google Ireland Limited. Google Analytics verwendet Cookies, um die Nutzung der Website zu analysieren. Wir nutzen die Funktion anonymizeIp, wodurch Ihre IP-Adresse innerhalb des EWR gekürzt wird. Die Übermittlung an die Google LLC in den USA erfolgt auf Grundlage des EU-U.S. Data Privacy Frameworks. Microsoft Clarity: Soweit Sie Ihre Einwilligung erteilt haben (Art. 6 Abs. 1 lit. a DSGVO), setzen wir den Analysedienst Microsoft Clarity der Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Muttergesellschaft: Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA) ein. Clarity erstellt pseudonymisierte Sitzungsaufzeichnungen (Session Recordings), Klick- und Scroll-Heatmaps sowie Fehleranalysen, um die Bedienbarkeit der Plattform zu verbessern. Sensible Eingabefelder (wie Passwörter, Adressen oder Zahlungsdaten) werden vor der Übertragung von Microsoft standardmäßig maskiert. Die Microsoft Corporation ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Widerruf von Cookie-Einwilligungen: Sie können eine erteilte Einwilligung für Analyse-Cookies jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Cookie-Einstellungen über den Link im Fußbereich unserer Website aufrufen und anpassen.

5. Identitätsprüfung, Compliance und Weitergabe an die Partnerbank

Identitäts- und Adressverifikation via didit.me: Zur gesetzlich vorgeschriebenen Identitäts- und Wohnsitzprüfung (KYC), Dokumentenprüfung und Sanktionslistenüberprüfung setzen wir den spezialisierten Dienst didit.me (Didit Technologies) ein. Hierbei werden Ausweisdaten, Lichtbilder, Meldedaten und biometrische Verifikationsdaten verschlüsselt erfasst und geprüft.

Rechtsgrundlage: Erfüllung rechtlicher Pflichten nach dem Sorgfaltspflichtgesetz (Art. 6 Abs. 1 lit. c DSGVO i. V. m. SPG).

Datenweitergabe an die Partnerbank (Bank Frick & Co. AG): Wir führen unsere Geschäftskonten bei der Bank Frick & Co. AG, Landstrasse 14, 9496 Balzers, Fürstentum Liechtenstein. Zur regulatorischen Abwicklung von Zahlungsströmen und zur Einhaltung der bankaufsichtsrechtlichen Sorgfaltspflichten übermitteln wir die verifizierten Identifikations- und Transaktionsunterlagen an die Bank Frick. Die Bank Frick verarbeitet diese Daten als eigenständige Verantwortliche zur Erfüllung ihrer bankenrechtlichen Pflichten.

6. Zahlungsabwicklung

Zahlungsdienstleister Stripe: Zahlungstransaktionen werden über Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland (bzw. Stripe, Inc., USA) abgewickelt. Ihre Zahlungsangaben (Kartendaten, IBAN, Betrag, Zeitstempel) werden direkt über eine verschlüsselte Verbindung an Stripe übermittelt. STATELY speichert zu keinem Zeitpunkt vollständige Kartendaten. Stripe Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Banküberweisungen: Bei manuellen Banküberweisungen verarbeiten wir die im Zahlungsaviso enthaltenen Kontoinformationen zur Zuordnung Ihres Investments auf unserem Konto bei der Bank Frick.

7. Kommunikation, E-Mail-Versand und Newsletter

Transaktions-E-Mails via Resend: Für den automatisierten Versand vertrags- und sicherheitsrelevanter E-Mails (z. B. Registrierungsbestätigungen, Order-Receipts, Anlagebestätigungen, 2FA-Codes) nutzen wir Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Die Datenübermittlung stützt sich auf Standardvertragsklauseln (SCCs).

Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

E-Mail-Marketing via Brevo: Für Informations-Updates, Investor-Relations-Meldungen und Plattform-News nutzen wir Brevo (Sendinblue GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland bzw. Brevo SAS, Paris, Frankreich). Der Versand erfolgt ausschließlich nach Ihrer gesonderten Einwilligung über ein Double-Opt-In-Verfahren (Art. 6 Abs. 1 lit. a DSGVO). Sie können den Bezug jederzeit über den Abmeldelink am Ende jeder E-Mail beenden.

8. Social-Media-Präsenzen und Drittplattformen

Wir unterhalten öffentlich zugängliche Unternehmensprofile auf externen Plattformen: Verlinkungen: Auf unserer Website eingebundene Symbole zu externen Plattformen (z. B. LinkedIn, Instagram, YouTube, X/Twitter) sind als einfache externe Verlinkungen ausgestaltet. Beim bloßen Besuch unserer Website werden über diese Icons keine Daten an die jeweiligen Plattformbetreiber übertragen. Erst durch aktives Anklicken des jeweiligen Symbols werden Sie zur Plattform weitergeleitet. Verarbeitung auf Plattformen: Wenn Sie unsere Unternehmensprofile (z. B. auf LinkedIn der LinkedIn Ireland Unlimited Company oder Instagram/YouTube) besuchen, verarbeiten die Plattformbetreiber personenbezogene Daten für Marktforschungs- und Werbezwecke (unter anderem über Cookies, die auf Ihrem Endgerät gespeichert werden). STATELY hat keinen Einfluss auf diese Verarbeitung. Einzelheiten entnehmen Sie den Datenschutzerklärungen der jeweiligen Plattformen. Eingebettete Inhalte (Auffangklausel): Sollten in Ausnahmefällen Inhalte externer Dienste (wie Videos oder Grafiken) direkt auf unserer Website eingebunden sein, erfolgt das Laden dieser Inhalte erst nach Ihrer ausdrücklichen Zustimmung über das Cookie-Banner oder über datenschutzfreundliche Einbettungslösungen (z. B. YouTube im erweiterten Datenschutzmodus).

9. Speicherdauer und gesetzliche Aufbewahrungspflichten

Sorgfaltspflichtgesetz (SPG Liechtenstein): Sämtliche Unterlagen und Nachweise bezüglich Kundenidentifikation (KYC), wirtschaftlich Berechtigten und Transaktionen werden gemäß Art. 28 Abs. 5 SPG für mindestens 10 Jahre ab Beendigung der Geschäftsbeziehung aufbewahrt. Buchhaltungs- und gesellschaftsrechtliche Fristen: Verträge, Rechnungs- und Buchungsbelege werden gemäss den Bestimmungen des Personen- und Gesellschaftsrechts (PGR) sowie des liechtensteinischen Steuergesetzes (SteG) für 10 Jahre aufbewahrt. Nach Ablauf der Fristen werden Daten gelöscht oder irreversibel anonymisiert, sofern keine sonstigen gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Ihre Betroffenenrechte

Sie haben nach der DSGVO folgende Rechte gegenüber der STATELY AG: Recht auf Auskunft (Art. 15 DSGVO) Recht auf Berichtigung (Art. 16 DSGVO) Recht auf Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Pflichten (insb. 10 Jahre nach SPG) entgegenstehen Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) Recht auf Datenübertragbarkeit (Art. 20 DSGVO) Widerspruchsrecht (Art. 21 DSGVO) gegen Verarbeitungen auf Basis berechtigter Interessen Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft Zur Ausübung dieser Rechte genügt eine formlose E-Mail an: [email protected].

11. Zuständige Aufsichtsbehörde

Sie haben das Recht, bei einer Datenschutz-Aufsichtsbehörde Beschwerde einzulegen. Die für uns zuständige Behörde ist:

Datenschutzstelle Fürstentum Liechtenstein (DSS)

Städtle 38

Postfach 684

9490 Vaduz

Fürstentum Liechtenstein

Telefon: +423 236 60 90

E-Mail: [email protected]

Website: www.datenschutzstelle.li