In short. DESK is a research workspace for world markets and the economy. Its public pages — the start page, the explainers, the data, country and company pages, the glossary, the free calculators and the links page — can be read without an account; the workspace itself is open only to signed-in members. There is no advertising on the site, no tracking on its pages, no analytics service of a third party, and no data is sold or shared for marketing. Everything you enter is stored on the operator's own server and is visible only to you — except for community messages, which are visible to other signed-in members by design. One point concerns the emails DESK sends: their delivery service records whether an email is opened (see "Email delivery" in section 3).
The controller within the meaning of Art. 4(7) GDPR is:
Jonah Hartmann
Neuburgshof 20
47807 Krefeld
Germany
Email: contact@deskalmanac.com
| Data | Purpose | Legal basis |
|---|---|---|
| Email address | Sign-in, account recovery, verification mail | Art. 6(1)(b) — contract |
| Password | Stored only as a bcrypt hash. The plain password is never written to disk and cannot be recovered. | Art. 6(1)(b) |
| Display name, bio, profile picture | Optional. Shown to other members in the community area. | Art. 6(1)(a) — consent |
| Account creation date | Administration | Art. 6(1)(b) |
| Free trial only: a keyed hash of your connection (IP address; for IPv6 its /64 network) and of your email address in normalised form | So that the free trial is used once per person and at most five times per internet connection. Stored are the two hash values and the time — not the IP address and not the email address; without the server's secret key the values cannot be traced back. | Art. 6(1)(f) — legitimate interest in preventing abuse of the free trial |
| Your confirmations at sign-up | Proof that you accepted the terms, read this policy and allowed the TradingView widgets: date and version of the text | Art. 6(1)(c) and (f) — record of consent |
Signing in sets one cookie, desk_session. It contains a signed token (JWT) holding your
email address and a random session number (so that an account is used in one browser at a time), is
marked httpOnly and SameSite=Lax, and expires after 30 days. It is strictly
necessary to keep you signed in and is not used for tracking. Interface settings (such as the open tab or
a collapsed section) are kept in your browser's local storage for the same reason; so is a copy of each widget
on your custom dashboard as it last looked, so that the dashboard appears instantly (only in this browser, for your
account, deleted when you sign out). The only other cookie
DESK sets is a short-lived one while you sign in with Google or Microsoft (see below); the TradingView
widgets may set their own (see section 3). Neither needs consent under § 25(2)
TDDDG; the TradingView widgets do, and you give it at sign-up.
Public pages. The public pages set no cookie. If you switch them between the dark and the
light colour scheme with the moon and sun buttons, that choice is kept in your browser's local storage
(desk-thema) so the next page opens the same way; nothing else is stored, and nothing of it is
sent to DESK. This is strictly necessary for the function you chose (§ 25(2) TDDDG). The one exception is the
marker desk_empf when you arrive through a partner or referral link (see
Partner and referral programme).
Protection against shared accounts and automated reading. When a sign-in replaces a running session on the same kind of device, the server notes the time, the kind of device (computer, phone, app) and the country the request came from (as reported by Cloudflare — not the IP address); the last twenty such changes are kept for at most thirty days. In addition, the number and addresses of your data requests are counted in the server's memory for at most one hour, without their content and without the IP address. Both are used only to recognise shared accounts and scripts that read DESK automatically; unusual patterns are reported to the operator by account code, never by email address. Legal basis: Art. 6(1)(b) GDPR (the account is personal under the terms) and Art. 6(1)(f) GDPR (protecting the service and its content). Reports you download carry your display name and a code of your account.
Signed-in devices and sign-in notice. For each of the three places an account can be signed in at (computer, phone browser, app), DESK stores when the sign-in happened, a rough device label derived from the browser ("Chrome · Windows" — not the full browser identification) and the country as reported by Cloudflare — no IP address. You see this list in the settings under "Security & data" and can end any of these sessions there. The last twelve combinations of place, device label and country are kept so that DESK can send you an email when someone signs in from a combination it has not seen for your account. Legal basis: Art. 6(1)(b) and (f) GDPR (security of your account). The entries are removed when you sign out and with the account.
Signing in with Google or Microsoft (optional). Instead of your password you can sign in with an account at Google or Microsoft. You are then sent to that provider, sign in there and are sent back. DESK asks only for the basic permissions (openid, email, profile) and receives a permanent identifier of your account at the provider, your email address, whether the provider has verified it, and your name — no access to your mailbox, calendar, contacts or files. DESK stores the identifier and the date of connecting with your account; the name is not stored. The provider learns that and when you sign in to DESK. While the sign-in is running, a cookie that lasts ten minutes at most holds the state of that one sign-in. Providers: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Ireland, and Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland; their own privacy policies apply to the sign-in there. Legal basis: Art. 6(1)(b) GDPR — you choose this way of signing in yourself. You can disconnect it at any time in the settings under "Security & data"; the entry is removed then and with the account.
Two-factor authentication (optional). If you turn it on in the settings, the server stores a secret key for your authenticator app, the time step of the last code used (so that no code works twice) and fingerprints (hashes) of your ten backup codes — never the codes themselves. The key is shown once, while you set it up, and never again. Turning the feature off deletes all of it. Legal basis: Art. 6(1)(b) GDPR, at your request.
Your data as a file. Under Settings › Security & data you can download everything DESK stores about your account as one file (Art. 15 and 20 GDPR). Passwords, session numbers and access keys are never included.
Community and direct messages are readable by their recipients and, for moderation purposes, by the operator. Everything else in this list is visible only to you.
If — and only if — you press "Connect WHOOP" and grant access in WHOOP's own consent screen, the server stores an access token and a refresh token for your WHOOP account and retrieves:
These are health data and therefore a special category of personal data under Art. 9 GDPR. They are processed solely on the basis of your explicit consent under Art. 9(2)(a) GDPR, are shown only to you, are never passed on, and are held in a server-side cache for at most 15 minutes at a time. DESK asks for this consent in its own dialog before connecting, and stores the date and the version of the consent text with the connection; without it, no WHOOP data is fetched. Pressing "Disconnect" — or deleting your DESK account — revokes the access at WHOOP and deletes the stored tokens immediately; you can also revoke access in your WHOOP account at any time. The days and notes you logged yourself remain, since they are your own entries.
The data is requested from WHOOP by the server, not by your browser. WHOOP therefore never learns your IP address through this app. WHOOP's own privacy policy applies to the data held at WHOOP: whoop.com/privacy.
The public pages and the free calculators under /tools can be used without an account.
What you type into a calculator is calculated in your browser and is not sent to DESK. The calculators can
also be embedded in other websites; the visitors of such a site then load the calculator from deskalmanac.com,
which receives the usual connection data (section 6) and, as the referring site, the host name of the
embedding page for the page counts. An embedded calculator contains no sign-up form and sets no cookie. Short
links such as deskalmanac.com/tg or /yt lead to the start page with a campaign label
(utm_source), which is counted as described in section 6.
On the start page, the links page and at the foot of the public pages you can subscribe to the DESK weekly report without an account; since 1 October 2026 the sign-up text says that you then also receive occasional news about DESK (new features, offers). We use the double opt-in procedure: after you enter your address you receive one email with a confirmation link that names what you are signing up for, and only once you click it do you receive anything further. Every email contains a link to unsubscribe with one click. Addresses confirmed before 1 October 2026 receive the weekly report only.
| Data | Purpose | Legal basis |
|---|---|---|
| Email address, language | Sending the weekly report and occasional news about DESK — each only as far as you signed up for it | Art. 6(1)(a) — consent, withdrawable at any time |
| What you signed up for; time of sign-up and of confirmation | Proof of your consent | Art. 6(1)(c) and (f) |
| Where you came from: the campaign label in the link you followed (utm_source, utm_medium, utm_campaign — e.g. “tiktok”) or, without one, only the kind of website that referred you (tiktok, instagram, youtube, facebook, x, google, other) or “direct” | Seeing which channels bring subscribers | Art. 6(1)(f) — our interest in knowing where to invest effort |
If you do not confirm, the address is deleted after 7 days. Nothing is stored in your browser for this (no cookie, no local storage): the start page carries the label along in its own links until you sign up, and the label is kept with your address only. Each sign-up keeps the first label it came with.
Welcome emails. If you have also agreed to news about DESK and confirm your address after 11 October 2026, you receive a short welcome series: five emails within nine days (on the day of confirmation and on days 2, 4, 6 and 9) with the latest report, the macro calendar as a PDF, the DESK Alerts channels on Telegram, the free calculators and a video. The macro calendar is opened through a personal link in the first email; it works only for a confirmed sign-up. The server notes which of these emails it has sent to your address so that none goes out twice; the note is deleted when you unsubscribe. Replies go to contact@deskalmanac.com. Legal basis: your consent, Art. 6(1)(a) GDPR; unsubscribing ends the series as well.
Support form. If you write to us at /support, the server stores your email address, the topic, the subject and your message, the time, the language of the page and — if you are signed in — the address of your account. The request goes to the DESK support mailbox so that we can answer you by email. Legal basis: Art. 6(1)(b) GDPR where the request concerns your contract, otherwise Art. 6(1)(f) — answering enquiries.
Cancellation form. If you cancel at /cancel, the server stores what you enter there: the address of the account, your name and a second email address if you give them, the kind of cancellation and the date it should take effect, the reason if you give one, whether the account should be kept or deleted, and the time of receipt. You receive a confirmation by email straight away; the cancellation also goes to the DESK support mailbox so that it is carried out, and it is noted on the account. Legal basis: Art. 6(1)(b) and (c) GDPR (§ 312k of the German Civil Code).
Email. Mail to an address at deskalmanac.com is accepted by Cloudflare Email Routing (Cloudflare, Inc., as a processor) and forwarded to the operator's mailbox, which is hosted by Google (Gmail). The DESK support mailbox named above is that mailbox. What you write is used only to deal with your request. Legal basis: as for the support form.
As a member you receive the DESK monthly summary by email at the start of each month: market figures from public sources, the main economic releases, situations from DESK Radar and a short look at your own month in DESK (number of trades in your journal, DESK Credits used, member since) together with your referral link, where the referral programme is switched on. It is switched on by default; you can unsubscribe with one click in every email or under Settings › Emails, and you then receive no further monthly summary.
| Data | Purpose | Legal basis |
|---|---|---|
| Email address, language, name; from your account: number of journal trades in the month, DESK Credits used, member since | Sending the monthly summary as part of your membership | Art. 6(1)(b) — contract; for the note on DESK's own offers Art. 6(1)(f) with § 7(3) UWG, objection possible at any time |
If you have not opened DESK for 14 days, you get one short email as a member: when you were last there and what is new in DESK since then. For this, DESK stores for your account only the day of your last visit (no time, no pages, no device). There is only one reminder per break, and at most one every 30 days. It is switched on by default; you can unsubscribe with one click in every reminder or under Settings › Emails. When your account is deleted, the stored day is deleted with it; the data export contains it.
| Data | Purpose | Legal basis |
|---|---|---|
| Day of your last visit; email address, language, name; when the last reminder was sent | Sending the reminder after a break as part of your membership | Art. 6(1)(f) GDPR — legitimate interest in keeping members informed about their membership and DESK's own service, with § 7(3) UWG; objection possible at any time |
All fonts are delivered by DESK's own server. Your browser does not contact Google Fonts or any other font service.
The Life page can be connected to your own Google Calendar. Nothing happens until you start that yourself, and you can end it at any time with Disconnect.
DESK requests a single scope: https://www.googleapis.com/auth/calendar.events
— reading and writing the events in your calendar. Both are needed because the sync runs in
both directions: reading, to bring your Google entries into DESK; writing, to put your DESK
entries into Google. Deleting works both ways too.
Transferred are the fields an entry consists of: title, start and end, all-day flag, location, note, reminder and recurrence rule. DESK does not read your contacts, your mail or your files. It does not create or delete calendars. It touches only the events of your primary calendar.
The access credentials Google issues are stored on the server and are never handed to a browser. Disconnecting deletes them; the entries stay on both sides.
Limited use. Data received through Google APIs is used solely to keep your calendar in step inside DESK. It is not passed to third parties, not used for advertising, not sold, and not used to train models. Use of this data follows the Google API Services User Data Policy, including its Limited Use requirements.
Legal basis: Art. 6(1)(a) — your consent, given by connecting.
The ticker tape and the price charts on the crypto, company, country, portfolio and market geometry
pages are widgets of TradingView, Inc. (USA). They are loaded from s3.tradingview.com and
widgets.tradingview-widget.com and shown in frames from tradingview-widget.com.
Your browser contacts TradingView directly to do so, which means TradingView receives your IP
address and the symbols shown, and may store its own data in your browser. DESK does not pass any
account data to TradingView and receives nothing back.
Legal basis: your consent, Art. 6(1)(a) GDPR and § 25(1) TDDDG, given with the third box when you create your account. You can withdraw it at any time in Settings → TradingView widgets; the widgets are then no longer loaded, and DESK shows its own price line instead. TradingView's privacy policy: tradingview.com/privacy-policy.
Some public pages (the explainers and some data pages) offer a short video from DESK's YouTube channel. When the
page opens, the video is not loaded and nothing is sent to YouTube: you only see a button. Only when
you click it does your browser load the player from www.youtube-nocookie.com (Google Ireland Limited,
Gordon House, Barrow Street, Dublin 4, Ireland). From then on Google receives your IP address and the page you are
on, may store data in your browser and may transfer data to the United States. Legal basis: your consent by
clicking, Art. 6(1)(a) GDPR and § 25(1) TDDDG. If you do not click, nothing is loaded; the link next to the button
opens the video on YouTube instead. Google's privacy policy:
policies.google.com/privacy.
When you press the analyst button on the portfolio page or ask it a question, the server sends your question and a summary of your portfolio (positions, weights, cost, value, allocation) to Anthropic, PBC (USA), which generates the answer. Your email address and other account data are not sent. Under Anthropic's terms for its API, the content is not used to train its models. Legal basis: Art. 6(1)(b) — you request the analysis. Anthropic's privacy policy: anthropic.com/legal/privacy.
When you ask DESK AI a question, the server sends your question, the earlier messages of the same chat and the DESK data it looks up for the answer to Anthropic, PBC (USA), which generates the answer. Your email address and other account data are not sent. When you ask about your own trading journal or (with DESK Pro) your portfolio, your browser calculates the figures and sends only the result needed for the answer; DESK AI never reads your health data. Your chats are stored with your account on the DESK server so that you can reopen them on any device; you can delete each chat at any time, and all chats are deleted with your account. Under Anthropic's terms for its API, the content is not used to train its models. Legal basis: Art. 6(1)(b) — you ask the question. If you use the microphone button, your browser's own speech recognition turns your speech into text (in Chrome this runs on Google's servers, in Safari on Apple's); DESK only receives the resulting text.
The server sends the operator short messages through Telegram about technical events (start, errors, repeated failed sign-ins) and new sign-ups. A sign-up is reported as a running number and a short checksum, never with the email address. A confirmed newsletter subscription is reported with a running number, a shortened address (the first letters, and the domain only for large email providers, e.g. “jo***@gmail.com”; otherwise only the ending, e.g. “an***@***.de”), the label of where you came from and the number of confirmed subscriptions per label. The full address stays on our own server. If the app runs into a programming error in your browser, it sends the error message, the place in the program code, the open view and the app version to the server — not what you entered. The server reports the first error of each kind to the operator with the same short checksum of your account instead of the email address, and keeps the error text without any reference to an account (the latest 500 kinds). A support request, a cancellation or a report is announced in the same way: with its number and kind and, for a cancellation, the short code of the account — never with the email address, a name or the text. Legal basis: Art. 6(1)(f) — keeping the service secure and running.
DESK Floor signs in with your DESK account; accounts are only created on the website. On the phone, the app keeps its sign-in key and your profile (name, picture link, roles) in Android's encrypted storage, so it opens without waiting for the server, and keeps the latest channel and direct messages in its own cache folder so they appear at once. Signing out removes both.
Push notifications (only if you turn them on). The app then obtains a device token from Google Firebase Cloud Messaging (Google Ireland Ltd. / Google LLC), and the server stores it with your account and your app language. A notification only says that something new is waiting and where (a channel or a conversation); it never carries the message text or the sender. Google delivers it to your phone. Turning notifications off, signing out or deleting your account removes the token. Legal basis: Art. 6(1)(a) — you switch it on.
Camera, microphone, files. The camera is used only when you take a photo to send or scan a food barcode; the microphone only while you record a voice message in a direct message. Photos, files and voice messages you send are uploaded to the DESK server as attachments, exactly as on the website.
Online status. While the app is open, it tells the server every few seconds that you are there; other members then see you as online, with a phone symbol instead of the dot.
Voice messages. In direct messages you can record voice messages in the app and on the website (the browser asks for microphone access first). Along with the recording, the volume curve (48 steps) is stored so the message can be shown as a waveform.
Reports. If you report a message or a member, the server stores the report (reason, optional note, who reported whom and when) together with a copy of the reported message, so that it can be reviewed even if the message is deleted later. The reported person is not told who reported them. The operator receives a short Telegram notice with the report number, reason and place — not the message text. Legal basis: Art. 6(1)(f) — keeping the community safe; reports are kept as long as they are needed for the review and any follow-up.
Reports of illegal content. If you report content at /report, the server stores your email address, your name if you give it, the kind of content, where it is, your explanation and the time. They are used to review the report, to confirm receipt and to tell you our decision; the report also goes to the DESK support mailbox, and the operator receives a short Telegram notice with the report number and kind. Legal basis: Art. 6(1)(c) GDPR together with Art. 16 of the Digital Services Act; reports are kept as long as they are needed for the review and any follow-up.
Emails from DESK (verification and account emails, reports, replies to support requests, confirmations of cancellations, the weekly report, news about DESK and the welcome emails) are sent from noreply@deskalmanac.com through Brevo (Sendinblue SAS, France) as a processor. Brevo receives the recipient address and the content of the email. Brevo privacy policy.
What Brevo records. Brevo adds a tiny invisible image to every email and routes the links in it through its own address (sendibt2.com) on the way to their destination. When you open an email with images switched on, or click a link in it, Brevo therefore counts that it happened. Since 11 October 2026 DESK's Brevo account is set to anonymous tracking: these counts are no longer linked to the recipient's address, so DESK only sees totals. DESK does not want the counting at all and asked Brevo on 11 October 2026 to switch it off completely; on 12 October 2026 Brevo replied that this is not available for DESK's account, so the image and the redirect remain, with anonymous counting. You can prevent the count of openings by not loading images in your email program; the links still work. The images in DESK's email signature (logo and symbols) are loaded from deskalmanac.com and are the same for every recipient, so they do not tell DESK who opened an email. Legal basis: Art. 6(1)(f) GDPR — checking that emails are delivered.
The programme starts shortly; until it is switched on, DESK sets none of the following. If you arrive through a
partner link (deskalmanac.com/p/…) or a member's link (deskalmanac.com/r/…), DESK sets a cookie called
desk_empf. It only holds which link you came through and when, and lasts 60 days. If you buy a
subscription in that time, DESK stores on your account who referred you; this does not change afterwards. We use it
to settle the partner's commission or the member's credit (Art. 6(1)(b) and (f) GDPR).
Partners and referring members see no names, addresses or payment details of the people they referred – only counts and amounts. To detect abuse (own link on own purchase, second accounts) we compare the email address and an encrypted feature of the payment method (card type, last four digits, expiry, name – hashed only, never in plain text); the operator reviews suspected cases by hand. So that the same customer is not referred twice, we keep a hash of their address even after the account is deleted.
If a partner has no DESK account yet, DESK creates one with the email address the partner gave us and sends a link to set the password (valid 14 days); the terms are accepted at the first sign-in.
Partners provide name, address, IBAN and, where relevant, tax details for payouts; we use them only for the transfer and the statement and keep statements as long as tax and commercial law require (up to 10 years). The terms for partners are at deskalmanac.com/partner-terms.
Subscriptions are sold through Paddle.com Market Limited (London, United Kingdom) as merchant of record: Paddle is the seller in the purchase, takes the payment, issues the invoice and handles taxes. For this, Paddle is its own controller; your payment details (card, bank, address for the invoice) go only to Paddle, never to DESK. DESK receives from Paddle only what it needs to open or close your access: the status of the subscription, its start and end, the amount and currency, and Paddle's reference numbers for you and the subscription (Art. 6(1)(b) GDPR). Paddle privacy policy.
The checkout: when you click “Order with obligation to pay”, DESK keeps your username, email address, password (only as an encrypted hash, never in plain text), language and community code until Paddle confirms the payment – at most 24 hours. Your account is created only after that confirmation; the password hash is deleted from this checkout entry at that moment, and the rest of the entry after 24 hours at the latest. Only this click loads Paddle’s payment window (Paddle.js from cdn.paddle.com) on the checkout page; your browser connects to Paddle for it. No other page of DESK loads anything from Paddle (Art. 6(1)(b) GDPR).
The server is hosted by netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Germany, on a virtual server in a data centre in the European Union. netcup acts as a processor under a data processing agreement (Art. 28 GDPR) and stores everything DESK keeps on the server: accounts, entries, messages and files. netcup privacy policy.
The server is reachable over a Cloudflare tunnel, so Cloudflare, Inc. processes the connection data required to deliver the site (IP address, time, requested resource) as a processor. Cloudflare privacy policy.
The market and macro pages show data from public providers such as the World Bank, Eurostat, the OECD, the ECB, CEPII, UNHCR, NASA and others. These are requested by the server, not by your browser: those providers never see your IP address or learn that you visited. That also holds for exchange rates, flag images and company logos — your browser loads them from DESK. The full list is on the Sources page inside the app.
We run profiles on Facebook and Instagram (Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Ireland), TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, Ireland), YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland) and X (Twitter International Unlimited Company, One Cumberland Place, Fenian Street, Dublin 2, Ireland). When you visit one of these profiles, the platform processes your data under its own privacy policy — whether or not you have an account there: Facebook, Instagram, TikTok, YouTube (Google), X. The platforms may also transfer data to the United States; the details are in those policies.
DESK Alerts on Telegram. We also run two public Telegram channels, DESK Alerts (English) and DESK Alerts (Deutsch), in which DESK posts market alerts and the weekly report. Telegram is operated by Telegram FZ-LLC (Dubai, United Arab Emirates) and processes your data under its own privacy policy when you open or join a channel. As the owner of the channels we see the number of subscribers and, as Telegram shows it to channel owners, a list of subscribers with their public Telegram names; we do not copy this list, do not write to subscribers and do not link it to DESK accounts. DESK posts to the channels through Telegram's interface and receives nothing about the readers. Legal basis: Art. 6(1)(f) GDPR, as above.
For the statistics Meta prepares about our Facebook page and our Instagram profile (Page Insights), we and Meta are joint controllers under Art. 26 GDPR. Meta has taken on the main responsibility for this processing and for the rights of data subjects; the agreement is Meta's Page Insights Controller Addendum, and Meta explains which data it uses in its information about Page Insights data.
We ourselves only see anonymous statistics (such as reach and views) and what you post publicly on our profiles or send to us directly. We do not combine any of this with your DESK account. The legal basis is Art. 6(1)(f) GDPR — our interest in presenting DESK and talking to people interested in it. You can exercise your rights (section 8) with us and also directly with the platform concerned; for anything only the platform holds, it is the platform that can act on the request, and we will pass on requests we receive.
The app contains links to external sites. Once you follow one, that site's own privacy policy applies; we have no influence over what it does.
Cloudflare, TradingView, Anthropic and — if you write to us by email or through the support or cancellation form, connect Google Calendar or turn on notifications in the DESK Floor app — Google are based in the United States. Where a provider is certified under the EU-U.S. Data Privacy Framework, the transfer rests on the Commission's adequacy decision (Art. 45 GDPR); otherwise on the standard contractual clauses the provider offers (Art. 46(2)(c) GDPR). Paddle is based in the United Kingdom; the Commission's adequacy decision for the United Kingdom applies (Art. 45 GDPR). If you open or join our Telegram channels, Telegram processes your data in the United Arab Emirates and elsewhere under its own responsibility; there is no adequacy decision for the United Arab Emirates.
The web server records technical connection data (IP address, time, requested resource, status code, user agent) as part of normal operation. This is used for troubleshooting and to defend against abuse, on the basis of Art. 6(1)(f) GDPR, and is not merged with your account data.
Page counts. To see which public pages are used, DESK counts per day how often each
public page was opened, how often the steps towards an account happened (code checked, account created,
address confirmed, sign-ups by email), the host name of the referring site (for example "google.com",
never the full address) or the value of a utm_source parameter, the country as reported by
Cloudflare and whether a phone or a computer was used. These are totals only. No cookie is set for this,
and no IP address, browser identification or other identifier of a visitor is stored — not even in
hashed form — so the counts cannot be traced back to a person and a visit cannot be recognised again.
Signed-in members and automated requests are not included. The totals are kept for 400 days.
Under the GDPR you have the right to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object (Art. 21). Where processing rests on consent — the profile fields, the TradingView widgets, the weekly report and news by email, Google Calendar, the YouTube player, push notifications and, in particular, the WHOOP health data — you may withdraw that consent at any time with effect for the future, without affecting the lawfulness of processing carried out beforehand. Disconnecting WHOOP in the app is such a withdrawal.
To exercise any of these rights, write to the contact address in section 1. A copy of everything stored about your account can also be downloaded yourself at any time (Settings › Security & data › Download my data), and the account can be deleted there as well. You also have the right to lodge a complaint with a supervisory authority (Art. 77 GDPR), in particular in the member state of your residence.
Right to object (Art. 21 GDPR)
Where we process data on the basis of legitimate interests (Art. 6(1)(f) GDPR) — server logs, protection against shared accounts and automated reading, the free-trial check, notifications to the operator, the moderation of the community, the counting of email deliveries, where newsletter subscribers came from and our social media profiles — you may object to this processing at any time on grounds relating to your particular situation. We will then no longer process the data for these purposes unless we can demonstrate compelling legitimate grounds that override your interests, rights and freedoms, or the processing serves the establishment, exercise or defence of legal claims. News about DESK by email (direct marketing) is sent only with your consent; you can object to it, and withdraw that consent, at any time with the unsubscribe link in every email, without giving reasons (Art. 21(2) and (3) GDPR). Other than that, DESK does not use your data for direct marketing. An objection can be sent informally to the contact address in section 1.
Traffic is encrypted in transit (HTTPS). Passwords are stored only as bcrypt hashes. API credentials for third-party services are held on the server and are never sent to the browser. Backups are encrypted (AES-256) before they leave the server's data folder. Two-factor sign-in with an authenticator app can be turned on in the settings. Please note that no system can be made absolutely secure.
This policy will be updated when the app changes. The date at the top always shows the current version.
Kurz gesagt. DESK ist ein Recherche-Arbeitsplatz für Weltmärkte und Weltwirtschaft. Seine öffentlichen Seiten — die Startseite, die Erklärseiten, die Daten-, Länder- und Firmenseiten, das Glossar, die kostenlosen Rechner und die Link-Seite — kann jeder ohne Konto lesen; der Arbeitsplatz selbst steht nur angemeldeten Mitgliedern offen. Auf der Seite gibt es keine Werbung, kein Tracking auf den Seiten und keinen Analysedienst eines Dritten, und es werden keine Daten verkauft oder zu Werbezwecken weitergegeben. Alles, was du einträgst, liegt auf dem eigenen Server des Betreibers und ist nur für dich sichtbar — mit Ausnahme der Community-Nachrichten, die andere angemeldete Mitglieder sehen sollen und auch sehen. Ein Punkt betrifft die E-Mails von DESK: Ihr Versanddienst hält fest, ob eine E-Mail geöffnet wird (siehe „E-Mail-Versand“ in Abschnitt 3).
Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:
Jonah Hartmann
Neuburgshof 20
47807 Krefeld
Deutschland
E-Mail: contact@deskalmanac.com
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse | Anmeldung, Wiederherstellung, Bestätigungsmail | Art. 6 Abs. 1 lit. b — Vertrag |
| Passwort | Wird ausschließlich als bcrypt-Hash gespeichert. Das Klartextpasswort wird nie auf die Platte geschrieben und ist nicht wiederherstellbar. | Art. 6 Abs. 1 lit. b |
| Anzeigename, Kurzbio, Profilbild | Freiwillig. Für andere Mitglieder im Community-Bereich sichtbar. | Art. 6 Abs. 1 lit. a — Einwilligung |
| Datum der Kontoanlage | Verwaltung | Art. 6 Abs. 1 lit. b |
| Nur beim kostenlosen Test: ein Schlüsselwert (Hash mit geheimem Schlüssel) deines Anschlusses (IP-Adresse; bei IPv6 ihr /64-Netz) und deiner E-Mail-Adresse in vereinheitlichter Schreibweise | Damit der kostenlose Test einmal pro Person und höchstens fünfmal je Internetanschluss genutzt wird. Gespeichert werden die beiden Schlüsselwerte und der Zeitpunkt — nicht die IP-Adresse und nicht die E-Mail-Adresse; ohne den geheimen Schlüssel des Servers lassen sich die Werte nicht zurückrechnen. | Art. 6 Abs. 1 lit. f — berechtigtes Interesse, Missbrauch des kostenlosen Tests zu verhindern |
| Deine Bestätigungen bei der Anmeldung | Nachweis, dass du den Bedingungen zugestimmt, diese Erklärung gelesen und die TradingView-Widgets erlaubt hast: Datum und Fassung des Textes | Art. 6 Abs. 1 lit. c und f — Nachweis der Einwilligung |
Die Anmeldung setzt genau ein Cookie: desk_session. Es enthält ein signiertes Merkmal (JWT)
mit deiner E-Mail-Adresse und einer zufälligen Sitzungsnummer (damit ein Konto in einem Browser zur Zeit
genutzt wird), ist als httpOnly und SameSite=Lax gesetzt und läuft nach 30 Tagen
ab. Es ist technisch notwendig, um dich angemeldet zu halten, und dient nicht der Nachverfolgung.
Einstellungen der Oberfläche (etwa der offene Reiter oder ein eingeklappter Bereich) liegen aus demselben
Grund im lokalen Speicher deines Browsers – ebenso eine Kopie jedes Widgets deines Custom-Dashboards, wie es zuletzt
aussah, damit das Dashboard sofort dasteht (nur in diesem Browser, für dein Konto, gelöscht beim Abmelden). Das
einzige weitere Cookie von DESK ist ein kurzlebiges,
während du dich mit Google oder Microsoft anmeldest (siehe unten); die TradingView-Widgets
können eigene Daten ablegen (siehe Abschnitt 3). Für beides braucht es nach § 25 Abs. 2 TDDDG keine
Einwilligung; für die TradingView-Widgets schon, und die gibst du bei der Anmeldung.
Öffentliche Seiten. Die öffentlichen Seiten setzen kein Cookie. Stellst du sie mit den
Knöpfen Mond und Sonne zwischen dunkler und heller Darstellung um, merkt sich dein Browser diese Wahl im lokalen
Speicher (desk-thema), damit die nächste Seite genauso aussieht; sonst wird nichts gespeichert, und
nichts davon geht an DESK. Das ist für die von dir gewählte Funktion unbedingt erforderlich (§ 25 Abs. 2 TDDDG). Die
einzige Ausnahme ist der Merker desk_empf, wenn du über einen Partner- oder Empfehlungslink kommst
(siehe Partner- und Empfehlungsprogramm).
Schutz vor geteilten Konten und automatischem Auslesen. Löst eine Anmeldung eine laufende Sitzung auf derselben Art von Gerät ab, vermerkt der Server Zeitpunkt, Art des Geräts (Rechner, Handy, App) und das Land, aus dem die Anfrage kam (laut Cloudflare – nicht die IP-Adresse); aufbewahrt werden die letzten zwanzig solcher Wechsel, höchstens dreißig Tage. Außerdem zählt der Server Anzahl und Adressen deiner Datenabrufe höchstens eine Stunde lang in seinem Arbeitsspeicher, ohne Inhalt und ohne IP-Adresse. Beides dient allein dazu, geteilte Konten und Skripte zu erkennen, die DESK automatisch auslesen; auffällige Muster gehen mit der Kennung des Kontos an den Betreiber, nie mit der E-Mail-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (das Konto ist nach den Nutzungsbedingungen persönlich) und Art. 6 Abs. 1 lit. f DSGVO (Schutz des Dienstes und seiner Inhalte). Berichte, die du herunterlädst, tragen deinen Anzeigenamen und eine Kennung deines Kontos.
Angemeldete Geräte und Hinweis bei neuer Anmeldung. Zu jedem der drei Plätze, an denen ein Konto angemeldet sein kann (Rechner, Handy-Browser, App), speichert DESK, wann die Anmeldung war, eine grobe Bezeichnung des Geräts aus der Browserkennung („Chrome · Windows“ – nicht die volle Kennung) und das Land laut Cloudflare – keine IP-Adresse. Diese Liste siehst du in den Einstellungen unter „Sicherheit & Daten“ und kannst jede dieser Sitzungen dort beenden. Die letzten zwölf Kombinationen aus Platz, Gerätebezeichnung und Land bleiben gespeichert, damit DESK dir eine E-Mail schicken kann, wenn sich jemand von einer Kombination anmeldet, die es für dein Konto noch nicht kennt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Sicherheit deines Kontos). Die Einträge entfallen beim Abmelden und mit dem Konto.
Anmelden mit Google oder Microsoft (freiwillig). Statt mit deinem Passwort kannst du dich mit einem Konto bei Google oder Microsoft anmelden. Du wirst dafür zum Anbieter geleitet, meldest dich dort an und kommst zurück. DESK fragt nur die Grundberechtigungen ab (openid, email, profile) und erhält eine dauerhafte Kennung deines Kontos beim Anbieter, deine E-Mail-Adresse, die Angabe, ob der Anbieter sie geprüft hat, und deinen Namen – keinen Zugriff auf Postfach, Kalender, Kontakte oder Dateien. DESK speichert die Kennung und den Tag des Verbindens bei deinem Konto; der Name wird nicht gespeichert. Der Anbieter erfährt, dass und wann du dich bei DESK anmeldest. Während die Anmeldung läuft, hält ein Cookie von höchstens zehn Minuten Dauer den Stand dieses einen Vorgangs. Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland, und Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; für die Anmeldung dort gelten deren eigene Datenschutzerklärungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – du wählst diesen Weg selbst. Du kannst die Verbindung jederzeit in den Einstellungen unter „Sicherheit & Daten“ trennen; der Eintrag entfällt dann und mit dem Konto.
Zwei-Faktor-Anmeldung (freiwillig). Schaltest du sie in den Einstellungen ein, speichert der Server einen geheimen Schlüssel für deine Authenticator-App, den Zeitschritt des zuletzt benutzten Codes (damit kein Code zweimal gilt) und Fingerabdrücke (Hashes) deiner zehn Ersatzcodes – nie die Codes selbst. Der Schlüssel wird nur einmal gezeigt, beim Einrichten. Schaltest du die Funktion aus, wird alles gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, auf deinen Wunsch.
Deine Daten als Datei. Unter Einstellungen › Sicherheit & Daten kannst du alles, was DESK zu deinem Konto speichert, als eine Datei herunterladen (Art. 15 und 20 DSGVO). Passwörter, Sitzungsnummern und Zugangsschlüssel sind nie enthalten.
Community- und Direktnachrichten sind für ihre Empfänger und — zur Moderation — für den Betreiber lesbar. Alles Übrige aus dieser Liste sieht nur du.
Nur wenn du auf „WHOOP verbinden" drückst und im Zustimmungsfenster von WHOOP den Zugriff erlaubst, speichert der Server ein Zugriffs- und ein Erneuerungsmerkmal für dein WHOOP-Konto und ruft ab:
Das sind Gesundheitsdaten und damit eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Sie werden ausschließlich auf Grundlage deiner ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO verarbeitet, nur dir angezeigt, niemals weitergegeben und höchstens 15 Minuten am Stück serverseitig zwischengehalten. DESK fragt diese Einwilligung vor dem Verbinden in einem eigenen Dialog ab und speichert Datum und Fassung des Einwilligungstextes bei der Verbindung; ohne sie werden keine WHOOP-Daten abgerufen. „Trennen" — oder das Löschen deines DESK-Kontos — widerruft den Zugriff bei WHOOP und löscht die gespeicherten Merkmale sofort; du kannst den Zugriff außerdem jederzeit in deinem WHOOP-Konto entziehen. Die Tage und Notizen, die du selbst eingetragen hast, bleiben — das sind deine eigenen Einträge.
Die Daten holt der Server, nicht dein Browser. WHOOP erfährt über diese Anwendung also nie deine IP-Adresse. Für die bei WHOOP selbst liegenden Daten gilt deren Datenschutzerklärung: whoop.com/privacy.
Die öffentlichen Seiten und die kostenlosen Rechner unter /de/tools lassen sich ohne
Konto nutzen. Was du in einen Rechner eingibst, rechnet dein Browser; es geht nicht an DESK. Die Rechner lassen
sich auch in fremde Webseiten einbetten; deren Besucher laden den Rechner dann von deskalmanac.com, das dabei die
üblichen Verbindungsdaten (Abschnitt 6) und als verweisende Seite den Rechnernamen der einbettenden Seite für die
Aufrufzahlen erhält. Ein eingebetteter Rechner enthält kein Anmeldefeld und setzt kein Cookie. Kurzlinks wie
deskalmanac.com/tg oder /yt führen mit einer Kampagnenkennung (utm_source) zur Startseite; sie wird
gezählt, wie in Abschnitt 6 beschrieben.
Auf der Startseite, der Link-Seite und unten auf den öffentlichen Seiten kannst du den DESK-Wochenbericht ohne Konto bestellen; seit dem 1. Oktober 2026 sagt der Anmeldetext, dass du dann auch gelegentlich Neuigkeiten zu DESK bekommst (neue Funktionen, Angebote). Wir nutzen das Double-Opt-in-Verfahren: Nach der Eingabe deiner Adresse bekommst du eine E-Mail mit einem Bestätigungslink, die nennt, wofür du dich anmeldest, und erst nach dem Klick darauf bekommst du Weiteres. Jede E-Mail enthält einen Link, mit dem du dich mit einem Klick abmeldest. Adressen, die vor dem 1. Oktober 2026 bestätigt wurden, bekommen nur den Wochenbericht.
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse, Sprache | Versand des Wochenberichts und gelegentlicher Neuigkeiten zu DESK – jeweils nur, soweit du es bestellt hast | Art. 6 Abs. 1 lit. a — Einwilligung, jederzeit widerrufbar |
| Wofür du dich angemeldet hast; Zeitpunkt der Anmeldung und der Bestätigung | Nachweis deiner Einwilligung | Art. 6 Abs. 1 lit. c und f |
| Woher du kamst: die Kampagnenkennung im Link, dem du gefolgt bist (utm_source, utm_medium, utm_campaign – z. B. „tiktok“), oder ohne sie nur die Art der verweisenden Seite (tiktok, instagram, youtube, facebook, x, google, andere) oder „direkt“ | Sehen, über welche Kanäle Abonnenten kommen | Art. 6 Abs. 1 lit. f — unser Interesse, zu wissen, wo sich Aufwand lohnt |
Bestätigst du nicht, wird die Adresse nach 7 Tagen gelöscht. In deinem Browser wird dafür nichts gespeichert (kein Cookie, kein lokaler Speicher): Die Startseite reicht die Kennung in ihren eigenen Links weiter, bis du dich anmeldest, und sie wird nur bei deiner Adresse festgehalten. Jede Anmeldung behält die erste Kennung, mit der sie kam.
Willkommensmails. Hast du auch den Neuigkeiten zugestimmt und bestätigst deine Adresse nach dem 11. Oktober 2026, bekommst du eine kurze Willkommensserie: fünf E-Mails in neun Tagen (am Tag der Bestätigung und an den Tagen 2, 4, 6 und 9) mit dem jüngsten Bericht, dem Makro-Kalender als PDF, den Kanälen DESK Alerts auf Telegram, den kostenlosen Rechnern und einem Video. Den Makro-Kalender öffnest du über einen persönlichen Link in der ersten Mail; er funktioniert nur bei einer bestätigten Anmeldung. Der Server vermerkt, welche dieser Mails er an deine Adresse geschickt hat, damit keine doppelt kommt; der Vermerk wird mit der Abmeldung gelöscht. Antworten gehen an contact@deskalmanac.com. Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; die Abmeldung beendet auch die Serie.
Support-Formular. Schreibst du uns unter /support, speichert der Server deine E-Mail-Adresse, das Thema, den Betreff und deine Nachricht, den Zeitpunkt, die Sprache der Seite und — wenn du angemeldet bist — die Adresse deines Kontos. Die Anfrage geht an das Support-Postfach von DESK, damit wir dir per E-Mail antworten können. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage deinen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f — Beantwortung von Anfragen.
Kündigungsformular. Kündigst du unter /cancel, speichert der Server, was du dort einträgst: die Adresse des Kontos, deinen Namen und eine zweite E-Mail-Adresse, falls du sie angibst, die Art der Kündigung und den Zeitpunkt, zu dem sie gelten soll, den Grund, falls du einen nennst, ob das Konto bleiben oder gelöscht werden soll, und den Zeitpunkt des Eingangs. Du bekommst sofort eine Bestätigung per E-Mail; die Kündigung geht außerdem an das Support-Postfach von DESK, damit sie ausgeführt wird, und wird am Konto vermerkt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (§ 312k BGB).
E-Mail. Post an eine Adresse bei deskalmanac.com nimmt Cloudflare Email Routing (Cloudflare, Inc., als Auftragsverarbeiter) an und leitet sie an das Postfach des Betreibers weiter, das bei Google (Gmail) liegt. Das oben genannte Support-Postfach von DESK ist dieses Postfach. Was du schreibst, wird nur verwendet, um dein Anliegen zu bearbeiten. Rechtsgrundlage: wie beim Support-Formular.
Als Mitglied bekommst du am Monatsanfang die DESK-Monatsbilanz per E-Mail: Marktzahlen aus öffentlichen Quellen, die wichtigsten Konjunkturtermine, Lagen aus DESK Radar und einen kurzen Blick auf deinen eigenen Monat in DESK (Zahl der Trades im Journal, genutzte DESK Credits, Mitglied seit), dazu dein Empfehlungslink, wenn das Empfehlungsprogramm eingeschaltet ist. Sie ist standardmäßig eingeschaltet; du kannst sie in jeder Mail mit einem Klick oder unter Einstellungen › E-Mails abbestellen und bekommst dann keine Monatsbilanz mehr.
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse, Sprache, Name; aus deinem Konto: Zahl der Journal-Trades im Monat, genutzte DESK Credits, Mitglied seit | Versand der Monatsbilanz als Teil deiner Mitgliedschaft | Art. 6 Abs. 1 lit. b DSGVO – Vertrag; für den Hinweis auf eigene Angebote von DESK Art. 6 Abs. 1 lit. f mit § 7 Abs. 3 UWG, Widerspruch jederzeit möglich |
Warst du 14 Tage nicht in DESK, bekommst du als Mitglied eine kurze E-Mail: wann du zuletzt da warst und was seitdem in DESK neu ist. Dafür speichert DESK zu deinem Konto nur den Tag deines letzten Besuchs (keine Uhrzeit, keine Seiten, kein Gerät). Es gibt nur eine Erinnerung je Pause und höchstens eine alle 30 Tage. Sie ist standardmäßig eingeschaltet; du kannst sie in jeder Erinnerung mit einem Klick oder unter Einstellungen › E-Mails abbestellen. Wird dein Konto gelöscht, wird der gespeicherte Tag mit gelöscht; die Datenauskunft enthält ihn.
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| Tag deines letzten Besuchs; E-Mail-Adresse, Sprache, Name; wann die letzte Erinnerung ging | Versand der Erinnerung nach einer Pause als Teil deiner Mitgliedschaft | Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse, Mitglieder über ihre Mitgliedschaft und das eigene Angebot von DESK zu informieren, mit § 7 Abs. 3 UWG; Widerspruch jederzeit möglich |
Alle Schriften liefert der Server von DESK selbst aus. Dein Browser nimmt dafür keine Verbindung zu Google Fonts oder einem anderen Schriftdienst auf.
Die Life-Seite lässt sich mit deinem eigenen Google-Kalender verbinden. Ohne dass du das selbst anstößt, geschieht nichts, und über Trennen endet es jederzeit wieder.
DESK fordert einen einzigen Bereich an: https://www.googleapis.com/auth/calendar.events
— Lesen und Schreiben der Termine deines Kalenders. Beides ist nötig, weil der Abgleich in beide
Richtungen läuft: Lesen, um deine Google-Termine nach DESK zu holen; Schreiben, um deine
DESK-Termine bei Google einzutragen. Löschen wirkt ebenfalls auf beiden Seiten.
Übertragen werden die Felder, aus denen ein Termin besteht: Titel, Anfang und Ende, Kennzeichen für ganztägig, Ort, Notiz, Erinnerung und Wiederholungsregel. DESK liest keine Kontakte, keine E-Mails und keine Dateien. Es legt keine Kalender an und löscht keine. Es fasst ausschließlich die Termine deines Hauptkalenders an.
Die Zugangsmerkmale von Google liegen auf dem Server und werden nie an einen Browser ausgeliefert. Beim Trennen werden sie gelöscht; die Termine bleiben auf beiden Seiten stehen.
Eingeschränkte Verwendung. Über die Google-Schnittstellen empfangene Daten werden ausschließlich dafür verwendet, deinen Kalender in DESK gleichzuhalten. Sie werden nicht an Dritte weitergegeben, nicht für Werbung genutzt, nicht verkauft und nicht zum Training von Modellen verwendet. Der Umgang folgt der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung, erteilt durch das Verbinden.
Die Kursleiste und die Kurscharts im Krypto-Terminal, auf Firmen-, Länder-, Portfolio- und
Marktgeometrie-Seiten sind Widgets der TradingView, Inc. (USA). Sie werden von
s3.tradingview.com und widgets.tradingview-widget.com geladen und in Rahmen von
tradingview-widget.com angezeigt. Dein Browser nimmt dafür direkt Verbindung zu TradingView
auf; TradingView erhält dabei deine IP-Adresse und die angezeigten Symbole und kann
eigene Daten in deinem Browser ablegen. DESK gibt keine Kontodaten an TradingView weiter und erhält nichts
zurück.
Rechtsgrundlage: deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG, erteilt mit dem dritten Häkchen beim Anlegen deines Kontos. Du kannst sie jederzeit unter Einstellungen → TradingView-Widgets widerrufen; die Widgets werden dann nicht mehr geladen, und DESK zeigt seine eigene Kursleiste. Datenschutzerklärung von TradingView.
Einige öffentliche Seiten (die Erklärseiten und einige Datenseiten) bieten ein kurzes Video aus dem YouTube-Kanal
von DESK an. Beim Öffnen der Seite wird das Video nicht geladen, und nichts geht an YouTube: Du siehst
nur einen Knopf. Erst wenn du ihn anklickst, lädt dein Browser den Player von www.youtube-nocookie.com
(Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Ab dann erhält Google deine IP-Adresse und
die Seite, auf der du bist, kann Daten in deinem Browser speichern und Daten in die USA übermitteln. Rechtsgrundlage:
deine Einwilligung durch den Klick, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Klickst du nicht, wird nichts
geladen; der Link neben dem Knopf öffnet das Video stattdessen auf YouTube. Datenschutzerklärung von Google:
policies.google.com/privacy.
Wenn du auf der Portfolio-Seite den Analysten startest oder ihm eine Frage stellst, schickt der Server deine Frage und eine Zusammenfassung deines Portfolios (Positionen, Gewichte, Einstand, Wert, Aufteilung) an Anthropic, PBC (USA), das die Antwort erzeugt. Deine E-Mail-Adresse und andere Kontodaten werden nicht übermittelt. Nach den Bedingungen von Anthropic für die Programmierschnittstelle werden die Inhalte nicht zum Training der Modelle verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — du forderst die Auswertung an. Datenschutzerklärung von Anthropic: anthropic.com/legal/privacy.
Wenn du der DESK AI eine Frage stellst, schickt der Server deine Frage, die früheren Nachrichten desselben Chats und die DESK-Daten, die sie für die Antwort nachschlägt, an Anthropic, PBC (USA), das die Antwort erzeugt. Deine E-Mail-Adresse und andere Kontodaten werden nicht übermittelt. Fragst du nach deinem eigenen Trading-Journal oder (mit DESK Pro) deinem Portfolio, rechnet dein Browser die Zahlen und schickt nur das Ergebnis, das für die Antwort nötig ist; deine Gesundheitsdaten liest die DESK AI nie. Deine Chats werden an deinem Konto auf dem DESK-Server gespeichert, damit du sie auf jedem Gerät wieder öffnen kannst; du kannst jeden Chat jederzeit löschen, und mit deinem Konto werden alle Chats gelöscht. Nach den Bedingungen von Anthropic für die Programmierschnittstelle werden die Inhalte nicht zum Training der Modelle verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — du stellst die Frage. Nutzt du den Mikrofon-Knopf, wandelt die eingebaute Spracherkennung deines Browsers deine Sprache in Text um (bei Chrome über Server von Google, bei Safari über Apple); DESK erhält nur den fertigen Text.
Der Server schickt dem Betreiber über Telegram kurze Nachrichten zu technischen Ereignissen (Start, Fehler, gehäufte Fehlanmeldungen) und zu neuen Anmeldungen. Eine Anmeldung wird als laufende Nummer mit kurzer Prüfsumme gemeldet, nie mit der E-Mail-Adresse. Eine bestätigte Newsletter-Anmeldung wird mit laufender Nummer, gekürzter Adresse (die ersten Buchstaben, die Domain nur bei großen E-Mail-Anbietern, z. B. „jo***@gmail.com“, sonst nur die Endung, z. B. „an***@***.de“), der Kennung, woher du kamst, und der Zahl bestätigter Anmeldungen je Kennung gemeldet. Die volle Adresse bleibt auf unserem eigenen Server. Stößt die Anwendung in deinem Browser auf einen Programmfehler, schickt sie die Fehlermeldung, die Stelle im Programmcode, die geöffnete Ansicht und die Version an den Server — nicht, was du eingegeben hast. Der Server meldet den ersten Fehler jeder Art dem Betreiber mit derselben kurzen Prüfsumme deines Kontos statt der E-Mail-Adresse und bewahrt den Fehlertext ohne Bezug zu einem Konto auf (die jüngsten 500 Arten). Eine Support-Anfrage, eine Kündigung oder eine Meldung wird genauso angekündigt: mit Nummer und Art, bei einer Kündigung dazu mit der kurzen Kennung des Kontos — nie mit der E-Mail-Adresse, einem Namen oder dem Text. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — sicherer und störungsfreier Betrieb.
DESK Floor meldet sich mit deinem DESK-Konto an; Konten entstehen nur auf der Webseite. Auf dem Telefon bewahrt die App ihren Anmeldeschlüssel und dein Profil (Name, Verweis auf das Profilbild, Rollen) im verschlüsselten Speicher von Android auf, damit sie ohne Warten auf den Server startet, und die jüngsten Kanal- und Direktnachrichten in ihrem eigenen Zwischenspeicher, damit sie sofort erscheinen. Beim Abmelden wird beides gelöscht.
Mitteilungen (nur wenn du sie einschaltest). Die App erhält dann von Google Firebase Cloud Messaging (Google Ireland Ltd. / Google LLC) eine Gerätekennung, die der Server mit deinem Konto und deiner App-Sprache speichert. Eine Mitteilung sagt nur, dass etwas Neues wartet und wo (ein Kanal oder ein Gespräch); sie enthält nie den Nachrichtentext oder den Absender. Google stellt sie deinem Telefon zu. Schaltest du Mitteilungen aus, meldest du dich ab oder löschst du dein Konto, wird die Kennung entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — du schaltest sie ein.
Kamera, Mikrofon, Dateien. Die Kamera wird nur benutzt, wenn du ein Foto zum Senden aufnimmst oder einen Strichcode eines Lebensmittels scannst; das Mikrofon nur, während du in einer Direktnachricht eine Sprachnachricht aufnimmst. Fotos, Dateien und Sprachnachrichten, die du sendest, werden wie auf der Webseite als Anhang auf den DESK-Server geladen.
Online-Status. Solange die App geöffnet ist, meldet sie dem Server alle paar Sekunden, dass du da bist; andere Mitglieder sehen dich dann als online, mit einem Telefon-Symbol statt des Punkts.
Sprachnachrichten. In Direktnachrichten kannst du in der App und auf der Webseite Sprachnachrichten aufnehmen (der Browser fragt vorher nach dem Mikrofon). Mit der Aufnahme wird ihr Lautstärkeverlauf (48 Stufen) gespeichert, damit sie als Wellenform angezeigt werden kann.
Meldungen. Meldest du eine Nachricht oder ein Mitglied, speichert der Server die Meldung (Grund, freiwillige Notiz, wer wen wann gemeldet hat) zusammen mit einer Abschrift der gemeldeten Nachricht, damit sie auch dann geprüft werden kann, wenn die Nachricht später gelöscht wird. Die gemeldete Person erfährt nicht, wer gemeldet hat. Der Betreiber erhält per Telegram einen kurzen Hinweis mit Nummer, Grund und Ort der Meldung — nicht den Nachrichtentext. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — eine sichere Gemeinschaft; Meldungen werden aufbewahrt, solange sie für die Prüfung und deren Folgen gebraucht werden.
Meldungen rechtswidriger Inhalte. Meldest du einen Inhalt unter /report, speichert der Server deine E-Mail-Adresse, deinen Namen, falls du ihn angibst, die Art des Inhalts, wo er steht, deine Begründung und den Zeitpunkt. Sie dienen dazu, die Meldung zu prüfen, den Eingang zu bestätigen und dir unsere Entscheidung mitzuteilen; die Meldung geht außerdem an das Support-Postfach von DESK, und der Betreiber erhält per Telegram einen kurzen Hinweis mit Nummer und Art. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 des Gesetzes über digitale Dienste; Meldungen werden aufbewahrt, solange sie für die Prüfung und deren Folgen gebraucht werden.
E-Mails von DESK (Bestätigungs- und Kontomails, Berichte, Antworten auf Support-Anfragen, Bestätigungen von Kündigungen, der Wochenbericht, Neuigkeiten zu DESK und die Willkommensmails) werden von noreply@deskalmanac.com über Brevo (Sendinblue SAS, Frankreich) als Auftragsverarbeiter versendet. Brevo erhält dafür die Empfängeradresse und den Inhalt der E-Mail. Datenschutzhinweise von Brevo.
Was Brevo festhält. Brevo fügt jeder E-Mail ein winziges unsichtbares Bild hinzu und leitet die Links darin über eine eigene Adresse (sendibt2.com) zum Ziel weiter. Öffnest du eine E-Mail mit eingeschalteten Bildern oder klickst auf einen Link darin, zählt Brevo deshalb, dass das geschah. Seit dem 11. Oktober 2026 ist das Brevo-Konto von DESK auf anonymes Tracking gestellt: Diese Zählungen werden nicht mehr mit der Empfängeradresse verbunden, DESK sieht nur Summen. DESK will die Zählung gar nicht und hat Brevo am 11. Oktober 2026 gebeten, sie ganz abzuschalten; am 12. Oktober 2026 hat Brevo geantwortet, dass das für das Konto von DESK nicht möglich ist. Bild und Weiterleitung bleiben deshalb, mit anonymer Zählung. Du verhinderst die Zählung des Öffnens, indem du in deinem E-Mail-Programm keine Bilder lädst; die Links funktionieren trotzdem. Die Bilder in der Signatur der DESK-Mails (Logo und Symbole) kommen von deskalmanac.com und sind für alle Empfänger gleich; DESK erfährt daraus nicht, wer eine E-Mail geöffnet hat. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — Prüfung, ob E-Mails ankommen.
Das Programm startet in Kürze; bis es eingeschaltet ist, setzt DESK nichts von dem Folgenden. Kommst du über den
Link eines Partners (deskalmanac.com/p/…) oder eines Mitglieds (deskalmanac.com/r/…), setzt DESK ein Cookie namens
desk_empf. Es enthält nur, über welchen Link du kamst, und den Zeitpunkt, und gilt 60 Tage. Kaufst du in
dieser Zeit ein Abo, speichert DESK an deinem Konto, wer dich geworben hat; das ändert sich danach nicht mehr. Damit
rechnen wir die Provision des Partners bzw. das Guthaben des Mitglieds ab (Art. 6 Abs. 1 lit. b und f DSGVO).
Partner und werbende Mitglieder sehen keine Namen, Adressen oder Zahlungsdaten der Geworbenen – nur die Anzahl und die Beträge. Um Missbrauch zu erkennen (eigener Link beim eigenen Kauf, Zweitkonten), vergleichen wir die E-Mail-Adresse und ein verschlüsseltes Merkmal des Zahlungsmittels (Kartentyp, letzte vier Ziffern, Ablaufdatum, Name – nur als Hash, nie im Klartext); Verdachtsfälle prüft der Betreiber von Hand. Damit derselbe Kunde nicht zweimal geworben wird, behalten wir einen Hash seiner Adresse auch nach dem Löschen des Kontos.
Hat ein Partner noch kein DESK-Konto, legt DESK es mit der E-Mail-Adresse an, die er uns genannt hat, und schickt einen Link zum Festlegen des Passworts (14 Tage gültig); den Bedingungen stimmt er bei der ersten Anmeldung zu.
Partner hinterlegen für die Auszahlung Name, Anschrift, IBAN und ggf. Steuerangaben; wir nutzen sie nur für Überweisung und Abrechnung und bewahren Abrechnungen so lange auf, wie Steuer- und Handelsrecht es verlangen (bis zu 10 Jahre). Die Bedingungen für Partner stehen unter deskalmanac.com/partner-terms.
Abos werden über Paddle.com Market Limited (London, Vereinigtes Königreich) als Merchant of Record verkauft: Paddle ist beim Kauf der Verkäufer, nimmt die Zahlung entgegen, stellt die Rechnung aus und führt die Steuern ab. Dafür ist Paddle selbst Verantwortlicher; deine Zahlungsdaten (Karte, Konto, Rechnungsanschrift) gehen nur an Paddle, nie an DESK. DESK erhält von Paddle nur, was es braucht, um deinen Zugang zu öffnen oder zu schließen: den Stand des Abos, Beginn und Ende, Betrag und Währung sowie die Kennnummern von Paddle für dich und das Abo (Art. 6 Abs. 1 lit. b DSGVO). Datenschutzhinweise von Paddle.
Der Checkout: Klickst du auf „Zahlungspflichtig bestellen“, behält DESK Benutzername, E-Mail-Adresse, Passwort (nur als verschlüsselter Hash, nie im Klartext), Sprache und Community-Code, bis Paddle die Zahlung bestätigt – höchstens 24 Stunden. Dein Konto entsteht erst mit dieser Bestätigung; in dem Moment wird der Passwort-Hash aus diesem Checkout-Eintrag gelöscht, der Rest des Eintrags spätestens nach 24 Stunden. Erst dieser Klick lädt auf der Checkout-Seite das Bezahlfenster von Paddle (Paddle.js von cdn.paddle.com); dein Browser verbindet sich dafür mit Paddle. Keine andere Seite von DESK lädt etwas von Paddle (Art. 6 Abs. 1 lit. b DSGVO).
Der Server wird von der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, betrieben – ein virtueller Server in einem Rechenzentrum in der Europäischen Union. netcup ist Auftragsverarbeiter nach Art. 28 DSGVO (Vertrag zur Auftragsverarbeitung) und speichert alles, was DESK auf dem Server ablegt: Konten, Einträge, Nachrichten und Dateien. Datenschutzerklärung von netcup.
Erreichbar ist der Server über einen Cloudflare-Tunnel; Cloudflare, Inc. verarbeitet dabei als Auftragsverarbeiter die zur Auslieferung nötigen Verbindungsdaten (IP-Adresse, Zeitpunkt, angefragte Ressource). Datenschutzerklärung von Cloudflare.
Die Markt- und Makroseiten zeigen Daten öffentlicher Anbieter wie Weltbank, Eurostat, OECD, EZB, CEPII, UNHCR, NASA und weiterer. Diese werden vom Server abgerufen, nicht von deinem Browser: die Anbieter sehen weder deine IP-Adresse noch erfahren sie von deinem Besuch. Das gilt auch für Wechselkurse, Flaggenbilder und Firmenlogos — dein Browser lädt sie von DESK. Die vollständige Liste steht in der Anwendung auf der Seite „Sources".
Wir betreiben Profile auf Facebook und Instagram (Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland), TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin 2, Irland), YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) und X (Twitter International Unlimited Company, One Cumberland Place, Fenian Street, Dublin 2, Irland). Wenn du eines dieser Profile besuchst, verarbeitet die Plattform deine Daten nach ihren eigenen Datenschutzbestimmungen — unabhängig davon, ob du dort ein Konto hast: Facebook, Instagram, TikTok, YouTube (Google), X. Die Plattformen können Daten auch in die USA übermitteln; Einzelheiten stehen in diesen Bestimmungen.
DESK Alerts auf Telegram. Außerdem betreiben wir zwei öffentliche Telegram-Kanäle, DESK Alerts (Deutsch) und DESK Alerts (English), in denen DESK Marktmeldungen und den Wochenbericht veröffentlicht. Telegram wird von der Telegram FZ-LLC (Dubai, Vereinigte Arabische Emirate) betrieben und verarbeitet deine Daten nach seiner eigenen Datenschutzerklärung, wenn du einen Kanal öffnest oder ihm beitrittst. Als Inhaber der Kanäle sehen wir die Zahl der Abonnenten und, so wie Telegram sie Kanalinhabern zeigt, eine Liste der Abonnenten mit ihren öffentlichen Telegram-Namen; wir kopieren diese Liste nicht, schreiben Abonnenten nicht an und verbinden sie nicht mit DESK-Konten. DESK veröffentlicht in den Kanälen über die Schnittstelle von Telegram und erfährt dabei nichts über die Leser. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, wie oben.
Für die Statistiken, die Meta über unsere Facebook-Seite und unser Instagram-Profil erstellt (Seiten-Insights), sind wir und Meta gemeinsam verantwortlich nach Art. 26 DSGVO. Meta hat die Hauptverantwortung für diese Verarbeitung und für die Betroffenenrechte übernommen; die Vereinbarung ist Metas Page Insights Controller Addendum, welche Daten Meta dafür nutzt, erklärt Meta in den Informationen zu den Daten von Seiten-Insights.
Wir selbst sehen nur anonyme Statistiken (etwa Reichweite und Aufrufe) und das, was du öffentlich auf unseren Profilen postest oder uns direkt schreibst. Nichts davon verbinden wir mit deinem DESK-Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — unser Interesse an Öffentlichkeitsarbeit für DESK und am Austausch mit Interessierten. Deine Rechte (Abschnitt 8) kannst du bei uns und auch direkt bei der jeweiligen Plattform geltend machen; für das, was nur die Plattform speichert, kann nur sie die Anfrage umsetzen — Anfragen, die bei uns eingehen, leiten wir weiter.
Die Anwendung verweist auf fremde Seiten. Sobald du einem Verweis folgst, gilt die Datenschutzerklärung der jeweiligen Seite; darauf haben wir keinen Einfluss.
Cloudflare, TradingView, Anthropic und — wenn du uns per E-Mail oder über das Support- oder Kündigungsformular schreibst, den Google Kalender verbindest oder in der App DESK Floor Mitteilungen einschaltest — Google sitzen in den USA. Ist ein Anbieter nach dem EU-US Data Privacy Framework zertifiziert, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Kommission (Art. 45 DSGVO); sonst auf die Standardvertragsklauseln des Anbieters (Art. 46 Abs. 2 lit. c DSGVO). Paddle sitzt im Vereinigten Königreich; dafür gilt der Angemessenheitsbeschluss der Kommission für das Vereinigte Königreich (Art. 45 DSGVO). Öffnest du unsere Telegram-Kanäle oder trittst ihnen bei, verarbeitet Telegram deine Daten in eigener Verantwortung in den Vereinigten Arabischen Emiraten und anderswo; für die Vereinigten Arabischen Emirate gibt es keinen Angemessenheitsbeschluss.
Der Webserver protokolliert im Normalbetrieb technische Verbindungsdaten (IP-Adresse, Zeitpunkt, angefragte Ressource, Statuscode, Browserkennung). Das dient der Fehlersuche und der Abwehr von Missbrauch auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO und wird nicht mit deinen Kontodaten zusammengeführt.
Aufrufzahlen. Um zu sehen, welche öffentlichen Seiten genutzt werden, zählt DESK je Tag,
wie oft jede öffentliche Seite geöffnet wurde, wie oft die Schritte auf dem Weg zum Konto vorkamen (Code
geprüft, Konto angelegt, Adresse bestätigt, Anmeldungen per E-Mail), den Rechnernamen der verweisenden
Seite (zum Beispiel „google.com“, nie die ganze Adresse) oder den Wert eines utm_source-Parameters,
das Land laut Cloudflare und ob ein Handy oder ein Rechner benutzt wurde. Das sind ausschließlich Summen.
Dafür wird kein Cookie gesetzt, und es wird keine IP-Adresse, keine Browserkennung und keine andere
Kennung eines Besuchers gespeichert – auch nicht als Prüfsumme –, sodass sich die Zahlen keiner Person
zuordnen lassen und ein Besuch nicht wiedererkannt werden kann. Angemeldete Mitglieder und automatische
Abrufe zählen nicht mit. Die Summen werden 400 Tage aufbewahrt.
Nach der DSGVO hast du das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Wo die Verarbeitung auf einer Einwilligung beruht — die Profilfelder, die TradingView-Widgets, Wochenbericht und Neuigkeiten per E-Mail, der Google Kalender, der YouTube-Player, Push-Benachrichtigungen und insbesondere die WHOOP-Gesundheitsdaten —, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Das Trennen von WHOOP in der Anwendung ist ein solcher Widerruf.
Zur Ausübung dieser Rechte genügt eine Nachricht an die Kontaktadresse unter Punkt 1. Eine Kopie von allem, was zu deinem Konto gespeichert ist, kannst du außerdem jederzeit selbst herunterladen (Einstellungen › Sicherheit & Daten › Meine Daten herunterladen), und dort lässt sich das Konto auch löschen. Außerdem steht dir ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts.
Widerspruchsrecht (Art. 21 DSGVO)
Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO) — Serverprotokolle, Schutz vor geteilten Konten und automatischem Auslesen, die Prüfung beim kostenlosen Test, Meldungen an den Betreiber, die Moderation der Community, die Zählung beim E-Mail-Versand, die Herkunft der Newsletter-Bestellungen und unsere Social-Media-Profile —, kannst du dieser Verarbeitung jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen. Wir verarbeiten die Daten dann für diese Zwecke nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Neuigkeiten zu DESK per E-Mail (Direktwerbung) gibt es nur mit deiner Einwilligung; dem kannst du jederzeit ohne Angabe von Gründen widersprechen und die Einwilligung widerrufen, mit dem Abmeldelink in jeder E-Mail (Art. 21 Abs. 2 und 3 DSGVO). Darüber hinaus nutzt DESK deine Daten nicht für Direktwerbung. Der Widerspruch ist formlos an die Kontaktadresse unter Punkt 1 möglich.
Die Übertragung ist verschlüsselt (HTTPS). Passwörter liegen ausschließlich als bcrypt-Hash vor. Zugangsdaten zu Diensten Dritter liegen auf dem Server und werden nie an den Browser gegeben. Sicherungen werden verschlüsselt (AES-256), bevor sie den Datenordner des Servers verlassen. Die Zwei-Faktor-Anmeldung mit einer Authenticator-App lässt sich in den Einstellungen einschalten. Eine absolute Sicherheit kann kein System bieten.
Diese Erklärung wird angepasst, wenn sich die Anwendung ändert. Das Datum oben nennt immer den aktuellen Stand.