Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir im VentaceCapital Partnerportal (https://partners.ventacecapital.com) verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Sie haben.

1. Verantwortlicher

VentaceCapital GmbH (in Gründung)

Talstraße 7a, 65527 Niedernhausen, Deutschland

Vertreten durch die Geschäftsführer Noah Moser und Lars Lübbert.

• E-Mail für Datenschutzanfragen: privacy@ventacecapital.com
• Allgemeiner Kontakt: contact@ventacecapital.com

Ein Datenschutzbeauftragter ist für unser Unternehmen gesetzlich nicht vorgeschrieben und daher nicht benannt. Bei allen Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte Adresse.

2. Zugang zum Portal

Das Portal ist kein öffentliches Angebot. Ein Zugang wird ausschließlich auf Einladung für unsere Vertragspartner und für unsere eigenen Mitarbeitenden eingerichtet. Eine freie Registrierung gibt es nicht.

3. Welche Daten wir verarbeiten und woher sie stammen

• Stammdaten: Anrede, Vor- und Nachname, ggf. Firma, Anschrift, Telefonnummer, E-Mail-Adresse, Partnernummer, bevorzugte Sprache
• Vertragsdaten: Vertragsnummer, Darlehensbetrag, Währung, Zinssatz, Laufzeit, Vertragsstatus, Verlängerungsanfragen sowie Vertragsdokumente
• Partnerprogramm: Punktestand, Rang und die Historie aller Punktebuchungen
• Kommunikation: Nachrichten, die Sie mit uns über das Portal austauschen, sowie Benachrichtigungen des Portals
• Zugangsdaten: E-Mail-Adresse und Passwort. Das Passwort wird nur als nicht umkehrbarer Hashwert (Argon2id) gespeichert; wir können es nicht einsehen.
• Nutzungs- und Sicherheitsdaten: Zeitpunkte von An- und Abmeldungen, fehlgeschlagene Anmeldeversuche, IP-Adresse, Browser- und Systemkennung, aktive Sitzungen, bekannte Geräte, Dokumentenzugriffe sowie Ihre Zustimmung zu dieser Datenschutzerklärung (Version, Zeitpunkt, IP-Adresse)

Stamm- und Vertragsdaten erhalten wir überwiegend von Ihnen selbst im Rahmen des Vertragsschlusses; wir erfassen sie im Portal, bevor wir Ihnen die Einladung senden. Nutzungs- und Sicherheitsdaten entstehen bei der Nutzung des Portals.

4. Zwecke und Rechtsgrundlagen

• Durchführung des Vertragsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung Ihres Zugangs, Anzeige Ihrer Verträge und Dokumente, Bearbeitung von Verlängerungsanfragen, Kommunikation mit Ihnen, Verwaltung des Partnerprogramms.
• Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO): insbesondere handels- und steuerrechtliche Aufbewahrungspflichten sowie die Pflicht zur Sicherheit der Verarbeitung (Art. 32 DSGVO).
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Unser berechtigtes Interesse liegt im sicheren und missbrauchsfreien Betrieb des Portals, im Schutz Ihrer Daten vor unbefugtem Zugriff sowie in der Nachweisbarkeit von Vorgängen. Dazu gehören das Protokollieren von Anmeldungen und Dokumentenzugriffen, die Begrenzung und Sperrung bei wiederholten Fehlversuchen, das Erkennen von Anmeldungen von unbekannten Geräten und die Prüfung von Uploads auf Schadsoftware.

Die Bereitstellung Ihrer Stamm- und Vertragsdaten ist für den Abschluss und die Durchführung des Vertrags erforderlich. Ohne diese Daten können wir Ihnen keinen Zugang zum Portal einrichten.

5. Anmeldung, Sitzungen und Gerätewiedererkennung

Nach der Anmeldung wird eine Sitzung erstellt. Sie endet automatisch nach 30 Minuten Inaktivität (bei Mitarbeitenden nach 15 Minuten) und spätestens nach 12 Stunden. Zu jeder Sitzung speichern wir IP-Adresse, Browser- und Systemkennung sowie Zeitstempel, damit Sie Ihre aktiven Sitzungen einsehen und beenden können.

Um Sie bei einer Anmeldung von einem neuen Gerät zu warnen, speichern wir einen Hashwert aus Browser-Merkmalen und eine gekürzte IP-Adresse (nur das Netzwerk, nicht die vollständige Adresse). Diese Einträge werden gelöscht, wenn das Gerät ein Jahr lang nicht verwendet wurde.

Nach mehreren fehlgeschlagenen Anmeldeversuchen wird der Zugang vorübergehend gesperrt. Dafür verarbeiten wir die Anzahl der Fehlversuche je Konto und je IP-Adresse.

6. Protokollierung

Sicherheits- und vertragsrelevante Vorgänge werden in einem manipulationsgeschützten Protokoll erfasst: Anmeldungen und fehlgeschlagene Anmeldeversuche, Passwortänderungen, Zugriffe von Mitarbeitenden auf Ihre Partnerakte, Uploads und Downloads von Dokumenten sowie Vertrags- und Punkteänderungen. Jeder Eintrag enthält Zeitstempel, handelndes Konto, betroffenen Datensatz, IP-Adresse und Browser-Kennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c und f DSGVO.

7. Dokumente

Vertragsdokumente und weitere Dateien werden auf unserem Server einzeln verschlüsselt gespeichert (AES-256-GCM). Hochgeladene Dateien können vor der Speicherung auf unserem eigenen Server auf Schadsoftware geprüft werden; dabei werden keine Daten an Dritte übermittelt.

8. Passwortprüfung gegen bekannte Datenlecks

Wenn Sie ein neues Passwort festlegen, prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu nutzen wir den Dienst „Pwned Passwords“ (Have I Been Pwned, betrieben von Troy Hunt, Australien) im sogenannten k-Anonymity-Verfahren: Übermittelt werden ausschließlich die ersten fünf Zeichen eines SHA-1-Hashwerts, die Anfrage stellt unser Server. Weder Ihr Passwort noch Ihre E-Mail-Adresse, Ihre IP-Adresse oder andere Angaben zu Ihrer Person verlassen dabei unseren Server; ein Rückschluss auf Ihr Passwort oder Ihre Person ist nicht möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos).

9. E-Mail-Benachrichtigungen

Wir senden Ihnen E-Mails, soweit dies für die Nutzung des Portals erforderlich ist, etwa Einladungen, Links zum Zurücksetzen des Passworts, Sicherheitshinweise (z. B. Anmeldung von einem neuen Gerät), Hinweise auf neue Dokumente oder Nachrichten und Erinnerungen an Vertragslaufzeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO. Die E-Mails werden über Microsoft 365 (Exchange Online) versendet. Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland. Microsoft verarbeitet die Daten (insbesondere E-Mail-Adresse, Name und Inhalt der E-Mail) als unser Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Microsoft Data Protection Addendum und speichert sie in Rechenzentren innerhalb der EU (EU Data Boundary). Ein Zugriff durch die Microsoft Corporation in den USA, etwa zu Support- oder Sicherheitszwecken, ist nicht vollständig ausgeschlossen. Die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert; für solche Übermittlungen besteht daher ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Ergänzend hat Microsoft die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart. Werbe-E-Mails versenden wir über das Portal nicht.

10. Cookies

Das Portal setzt ausschließlich technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich.

• __Host-vc_session: hält Ihre Anmeldung aufrecht. Das Cookie enthält nur eine zufällige Kennung und wird beim Schließen des Browsers gelöscht; die Sitzung selbst läuft wie in Abschnitt 5 beschrieben ab.
• vc_locale: speichert die gewählte Sprache (Deutsch oder Englisch). Speicherdauer: 1 Jahr.

Wir setzen keine Analyse-, Tracking- oder Marketingdienste ein und binden keine Inhalte externer Anbieter ein (z. B. Schriftarten, Karten oder Videos). Alle Dateien des Portals werden von unserem eigenen Server ausgeliefert.

11. Hosting und Server-Protokolle

Das Portal wird auf einem Server in einem Rechenzentrum der Contabo GmbH, Aschauer Straße 32a, 81549 München, Deutschland, in Deutschland betrieben. Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf des Portals verarbeitet der Server technisch notwendige Verbindungsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode, Browser-Kennung), um die Seite auszuliefern und Angriffe zu erkennen. Diese Server-Protokolle werden nach spätestens 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Die Verbindung zum Portal ist durchgehend per TLS (HTTPS) verschlüsselt.

12. Empfänger

Innerhalb unseres Unternehmens erhalten nur die Mitarbeitenden Zugriff auf Ihre Daten, die ihn für ihre Aufgaben benötigen. Die Zugriffsrechte sind nach Rollen abgestuft, und Zugriffe auf Ihre Partnerakte werden protokolliert.

Außerhalb unseres Unternehmens erhalten Daten nur:

• unser Hosting-Anbieter und unser E-Mail-Anbieter als Auftragsverarbeiter (siehe Abschnitte 9 und 11),
• unsere Steuerberatung, Wirtschaftsprüfung oder Rechtsberatung, soweit dies zur Erfüllung gesetzlicher Pflichten oder zur Wahrung unserer Rechte erforderlich ist; diese sind beruflich zur Verschwiegenheit verpflichtet,
• Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind.

Eine Übermittlung Ihrer personenbezogenen Daten in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums findet grundsätzlich nicht statt. Die einzige Ausnahme ist ein möglicher Zugriff der Microsoft Corporation (USA) im Rahmen des E-Mail-Versands; dieser ist, wie in Abschnitt 9 beschrieben, durch das EU-US Data Privacy Framework abgesichert.

13. Speicherdauer

Wir speichern Ihre Daten, solange dies für die genannten Zwecke erforderlich ist:

• Vertrags-, Buchungs- und Geschäftsunterlagen werden nach Ende des Vertragsverhältnisses für die Dauer der gesetzlichen Aufbewahrungsfristen gespeichert, insbesondere nach § 257 HGB und § 147 AO (bis zu 10 Jahre). Danach werden Ihre Stammdaten anonymisiert; die für den Nachweis erforderlichen Vertrags- und Buchungsdaten bleiben ohne Personenbezug erhalten.
• Sitzungen enden spätestens nach 12 Stunden.
• Gespeicherte Geräte werden nach einem Jahr ohne Nutzung gelöscht.
• Links zum Zurücksetzen des Passworts werden 30 Tage nach Verwendung oder Ablauf gelöscht.
• Einladungen werden 90 Tage nach Verwendung, Widerruf oder Ablauf gelöscht.
• Versandprotokolle von E-Mails werden nach 90 Tagen gelöscht.
• Einträge im Sicherheitsprotokoll werden aufbewahrt, solange sie zum Nachweis und zur Aufklärung von Vorgängen erforderlich sind, längstens bis zum Ablauf der gesetzlichen Aufbewahrungsfristen für den zugehörigen Vertrag.

14. Automatisierte Entscheidungen

Punktestand und Rang im Partnerprogramm werden nach festen Regeln automatisch berechnet. Dies ist keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, da damit keine rechtliche Wirkung für Sie verbunden ist und Sie nicht in ähnlicher Weise erheblich beeinträchtigt werden. Die Punkte haben keinen Geldwert. Ein Profiling findet nicht statt.

15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Wenden Sie sich dazu an privacy@ventacecapital.com oder an Ihre persönliche Ansprechperson im Portal.

Widerspruchsrecht: Soweit wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

16. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, https://datenschutz.hessen.de

17. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich das Portal oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist im Portal abrufbar. Über wesentliche Änderungen informieren wir Sie im Portal.

Stand: 24. September 2026