Legal · Datenschutz · Privacy
Datenschutzerklärung
Informationen nach Art. 13 und 14 DSGVO sowie § 25 TDDDG. Die deutsche Fassung ist maßgeblich; eine englische Zusammenfassung folgt jedem Abschnitt. Diese Erklärung beschreibt, was diese Software tatsächlich tut — nicht mehr.
1. Verantwortlicher Controller
LiquidLabs GmbHHarrenstätter Straße 43, 49757 Werlte, Deutschland
E-Mail: info@liquid-labs.de · Telefon: auf Anfrage / on request
Datenschutzbeauftragter: [nicht benannt — Pflicht wird geprüft (Art. 37 DSGVO)]
Controller of the processing described here. A data protection officer is named above if one has been appointed.
2. Grundsätze dieser Plattform Principles
- Keine Schlüssel. Bei Xaman- und Selbstverwahrungs-Wallets speichern wir ausschließlich die öffentliche Adresse. Seeds oder private Schlüssel werden nie an unsere Server übertragen; eine Anfrage, die einen Seed enthält, wird abgelehnt und protokolliert.
- Keine Werbung, kein Tracking. Es gibt keine Analyse-, Marketing- oder Profiling-Cookies und keine Einbindung sozialer Netzwerke.
- Datensparsamkeit. Identitätsdaten werden verschlüsselt gespeichert, auf das Ergebnis reduziert und nach 180 Tagen ab Entscheidung gelöscht.
- Nachvollziehbarkeit. Sicherheitsrelevante Aktionen werden mit Zeitpunkt und IP-Adresse protokolliert, damit Missbrauch erkannt werden kann.
No keys are ever stored for Xaman or self-custody wallets; no advertising or tracking; identity data is encrypted, minimised and deleted 180 days after the decision; security-relevant actions are logged with timestamp and IP.
3. Verarbeitungen im Einzelnen Processing activities
| Verarbeitung | Daten | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|---|
| Aufruf der Website Visiting the site |
IP-Adresse, Zeitpunkt, aufgerufene URL, User-Agent, Referrer (Server- und Load-Balancer-Logs) | Auslieferung, Stabilität, Abwehr von Angriffen | Art. 6 Abs. 1 lit. f DSGVO | Logs: [30 Tage — festlegen] |
| Konto Account |
E-Mail, Passwort (nur als Hash), Rolle, Anzeigewährung, Zeitpunkt der Registrierung, Sitzungen (gehashte Sitzungs-ID, IP, User-Agent), fehlgeschlagene Anmeldeversuche (E-Mail + IP), Einmal-Tokens für E-Mail-Bestätigung und Passwort-Zurücksetzen (nur als Hash), Zweifaktor-Geheimnis und Wiederherstellungscodes (Hash) | Vertragserfüllung, Kontosicherheit, Missbrauchsabwehr | Art. 6 Abs. 1 lit. b und f DSGVO | Bis zur Kontolöschung; Anmeldeversuche und abgelaufene Tokens kurzfristig |
| Wallets Wallets |
Öffentliche XRPL-Adresse, Bezeichnung, Verwahrungsmodell, Verifizierungsstatus; bei Xaman ein Push-Token für Signaturanfragen; bei Plattformverwahrung nur eine Referenz auf den externen Schlüsseltresor (AWS Secrets Manager), niemals der Schlüssel selbst | Anzeige von Salden, Erstellung unsignierter Transaktionen, Push-Benachrichtigung | Art. 6 Abs. 1 lit. b DSGVO | Bis zur Entfernung der Wallet oder Kontolöschung |
| Externe Adressen Attached addresses |
Öffentliche Ethereum-/Solana-/Bitcoin-Adresse und Bezeichnung, die Sie selbst hinterlegen; Salden werden serverseitig von öffentlichen Knoten gelesen | Empfangsanzeige; Anzeige von Token-Beständen (z. B. LQDA/LQDM) Ihrer eigenen Adresse | Art. 6 Abs. 1 lit. b DSGVO | Bis zur Entfernung der Adresse oder Kontolöschung |
| Identitätsprüfung (KYC) Identity verification |
Name (verschlüsselt gespeichert), Land, Dokumenttyp, Prüfergebnis, Referenz eines Prüfdienstleisters — nie das Ausweisdokument selbst; Entscheidung, prüfende Person, Zeitpunkt | Prüfung der Berechtigung für Verwahrungsmodelle und Angebote; Geldwäscheprävention, soweit gesetzlich verpflichtend | Art. 6 Abs. 1 lit. b DSGVO; lit. c i. V. m. GwG soweit anwendbar | Name 180 Tage ab Entscheidung, dann Löschung; die Entscheidung selbst wird zum Nachweis aufbewahrt [gesetzliche Frist prüfen: § 8 GwG 5 Jahre] |
| Marktplatz & Übungsmodus Marketplace & practice |
Orders, Ausführungen, Umrechnungsaufträge, Gebührenbuchungen — verknüpft mit Ihrem Konto | Bereitstellung des Übungs-Orderbuchs auf dem XRPL-Testnetz und der Umrechnung | Art. 6 Abs. 1 lit. b DSGVO | Bis zur Kontolöschung; handelsrechtliche Aufbewahrung, sobald echte Werte bewegt werden [§ 257 HGB / § 147 AO] |
| Ökosystem-Token (SOMA) Ecosystem tokens |
Finanzierungsaufträge (Betrag, Route, Ihre Ziel-Adresse, von Ihnen mitgeteilter Transaktions-Hash); Lesen des ERC-20-Saldos Ihrer Adresse. Kauf, Identitätsprüfung und Lieferung erfolgen bei SOMA.finance — wir übermitteln dorthin keine Daten | Anzeige und Nachverfolgung der Finanzierungsstrecke | Art. 6 Abs. 1 lit. b DSGVO | Bis zur Kontolöschung |
| Temporäre Testkonten Temporary test accounts |
Von einem Administrator angelegte, pseudonyme Konten (zufällige Kennung, kein Postfach, kein Name) für Nutzertests; sie können keine Identitätsdaten einreichen | Nutzertests ohne Erhebung personenbezogener Daten | Art. 6 Abs. 1 lit. f DSGVO | Automatische Löschung samt aller zugehörigen Daten bei Ablauf (1 h bis 30 Tage) |
| Demo & Academy Demo & academy |
Abgeschlossene Demo-Schritte (Schrittkürzel, Zeitpunkt) — nur bei angemeldeten Nutzern | Fortschrittsanzeige | Art. 6 Abs. 1 lit. b DSGVO | Bis zum Zurücksetzen oder zur Kontolöschung |
| Protokoll (Audit-Log) Audit log |
Ereignis, handelnde Person (Konto-ID), IP-Adresse, Zeitpunkt, Kurzbeschreibung | Sicherheit, Nachweis administrativer Entscheidungen, Missbrauchsaufklärung | Art. 6 Abs. 1 lit. f DSGVO | [12 Monate — festlegen]; administrative Entscheidungen länger, soweit Nachweispflichten bestehen |
| E-Mail |
E-Mail-Adresse, Inhalt der Nachricht (Bestätigung, Passwort-Zurücksetzen, Antworten auf Anfragen) | Kontosicherheit, Kommunikation | Art. 6 Abs. 1 lit. b und f DSGVO | Anfragen: bis zur Erledigung, danach [Frist festlegen] |
The table lists every processing activity this software performs: server logs, account data (password only as hash, TOTP secret, sessions, login attempts), wallets (public address only; a Xaman push token; for platform custody only a reference to the key vault), attached external addresses, KYC (encrypted name, country, document type, result — never the document), marketplace and practice records, ecosystem-token funding jobs, demo progress, the audit log and e-mail. Retention periods marked in brackets are still to be fixed by the operator.
4. Öffentliche Ledger — was wir nicht löschen können Public ledgers
Transaktionen, die Sie mit Ihrer Wallet signieren, werden auf dem XRP Ledger bzw. auf Ethereum veröffentlicht. Diese Netzwerke sind öffentlich, weltweit repliziert und unveränderlich: Adresse, Beträge, Zeitpunkt und Memo einer Transaktion sind für jeden einsehbar und können weder von uns noch von Dritten gelöscht oder berichtigt werden (Art. 17 Abs. 3 DSGVO greift, soweit die Verarbeitung durch das Netzwerk technisch nicht rückgängig zu machen ist). Wir speichern unsererseits nur die Zuordnung Ihrer öffentlichen Adresse zu Ihrem Konto und löschen diese auf Wunsch. Prüfen Sie vor dem Verknüpfen einer Adresse, ob deren öffentliche Historie mit Ihrer Person in Verbindung gebracht werden soll. Der Übungsmodus verwendet ausschließlich das XRPL-Testnetz; dessen Token haben keinen Wert, seine Daten sind gleichwohl öffentlich.
Transactions you sign are published on public, replicated, immutable ledgers. Neither we nor anyone else can delete or correct them; we only store — and delete on request — the link between your public address and your account. Consider this before attaching an address. Practice mode uses the XRPL testnet only.
5. Empfänger und Auftragsverarbeiter Recipients and processors
| Empfänger | Rolle | Ort | Grundlage |
|---|---|---|---|
| Amazon Web Services EMEA SARL | Hosting, Datenbank, Geheimnisverwaltung Hosting, database, secrets management |
EU (Stockholm, eu-north-1) | Art. 28 DSGVO (Auftragsverarbeitung); Standardvertragsklauseln für Support-Zugriffe Art. 28 GDPR (processor); SCCs for support access |
| XRPL Labs B.V. (Xaman / XUMM) | Signatur-Payloads und Push-Benachrichtigungen für verknüpfte Wallets Signing payloads and push notifications for linked wallets |
Niederlande (EU) | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) Art. 6(1)(b) GDPR (contract) |
| Google LLC (Google Fonts) | Auslieferung der Schriftarten Montserrat / Dancing Script Delivery of the Montserrat / Dancing Script web fonts |
USA (Drittland) | Art. 6 Abs. 1 lit. f DSGVO — Umstellung auf Self-Hosting geplant Art. 6(1)(f) GDPR — self-hosting planned |
| Google Ireland Ltd. (YouTube) | Einbettung von Projektvideos, die ein Administrator verlinkt hat — im erweiterten Datenschutzmodus (youtube-nocookie.com): Daten fließen erst, wenn der Besucher das Video startet; Vorschaubilder werden von i.ytimg.com geladen Embedding of project videos an administrator has linked — in privacy-enhanced mode (youtube-nocookie.com): nothing is sent until the visitor presses play; thumbnails load from i.ytimg.com |
Irland (EU) / USA (Drittland) | Art. 6 Abs. 1 lit. f DSGVO; Wiedergabe nur auf Klick Art. 6(1)(f) GDPR; playback only on click |
| Öffentliche XRPL- und Ethereum-Knoten | Lesen von Kontoständen und Einreichen signierter Transaktionen (serverseitig) Reading balances and submitting signed transactions (server-side) |
weltweit (öffentliche Ledger) | Art. 6 Abs. 1 lit. b DSGVO; es werden nur öffentliche Ledgerdaten übertragen Art. 6(1)(b) GDPR; only public ledger data is transmitted |
| Identitätsprüfungsdienst (z. B. Sumsub), falls aktiviert | Identitäts- und Sanktionsprüfung (KYC/AML) Identity and sanctions screening (KYC/AML) |
EU / Drittland je nach Anbieter | Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflicht) — derzeit manuelle Prüfung Art. 6(1)(c) GDPR (legal obligation) — currently manual review |
| Verwahrungsanbieter (z. B. Fireblocks), falls aktiviert | Institutionelle Schlüsselverwahrung Institutional key custody |
EU / USA je nach Anbieter | Art. 6 Abs. 1 lit. b DSGVO — derzeit nicht angeboten Art. 6(1)(b) GDPR — not offered today |
| SOMA.finance / Tritaurian Capital, Inc. | Externer Handelsplatz für LQDA / LQDM — eigener Verantwortlicher, keine Datenweitergabe durch uns External venue for LQDA / LQDM — independent controller, no data passed by us |
USA | Sie verlassen unsere Seite über einen Link; es gilt deren Datenschutzerklärung You leave our site via a link; their privacy policy applies |
Behörden erhalten Daten nur bei gesetzlicher Verpflichtung. Eine Weitergabe zu Werbezwecken findet nicht statt.
Authorities receive data only where the law requires it. No data is shared for advertising.
6. Übermittlung in Drittländer Third-country transfers
Hosting erfolgt in der EU (AWS eu-north-1 (Stockholm), EU). Beim Laden der Schriftarten von Google Fonts wird Ihre IP-Adresse an Google LLC (USA) übermittelt; Grundlage ist das EU-US Data Privacy Framework bzw. Standardvertragsklauseln. Wir bereiten die Umstellung auf lokal ausgelieferte Schriftarten vor, um diese Übermittlung vollständig zu vermeiden. Wenn Sie einem Link zu SOMA.finance oder zu Block-Explorern folgen, verlassen Sie unser Angebot; dort gelten die Datenschutzhinweise des jeweiligen Anbieters.
Hosting is in the EU. Loading Google Fonts transmits your IP address to Google LLC (USA) under the EU-US DPF / SCCs; we are moving to self-hosted fonts to remove this transfer. Following links to SOMA.finance or block explorers takes you to independent providers.
7. Cookies und Speicherung auf Ihrem Endgerät Cookies
Wir setzen ausschließlich technisch notwendige Cookies ein: ein signiertes Sitzungs-Cookie (Anmeldung, Sicherheitsstatus, Hinweise) und ein CSRF-Schutz-Token. Beide sind für den Betrieb unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und bedürfen keiner Einwilligung; deshalb zeigen wir kein Cookie-Banner. Es werden keine Analyse-, Marketing- oder Drittanbieter-Cookies gesetzt. Das Sitzungs-Cookie ist mit HttpOnly, SameSite und — über HTTPS — Secure geschützt und endet mit der Abmeldung bzw. nach Ablauf der Sitzung.
Only strictly necessary cookies are used: a signed session cookie and a CSRF token (§ 25(2) no. 2 TDDDG — no consent required, hence no banner). No analytics, marketing or third-party cookies.
8. Ihre Rechte Your rights
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f (Art. 21 DSGVO). Wenden Sie sich dazu an info@liquid-labs.de. Sie haben ferner das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO); zuständig ist Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover. Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt; Entscheidungen zur Identitätsprüfung werden von Menschen getroffen.
You have the rights of access, rectification, erasure, restriction, portability and objection (Arts. 15–21 GDPR) and the right to lodge a complaint with a supervisory authority (Art. 77). No automated decision-making or profiling takes place; identity decisions are made by people.
Auskunft und Löschung erledigen Sie selbst: Unter Konto → „Meine Daten“ laden Sie alle zu Ihrer Person gespeicherten Daten als JSON-Datei herunter und löschen Ihr Konto samt allen Wallet-Zuordnungen, Adressen, Aufträgen und Jobs. Seeds in Plattform-Verwahrung werden zur Löschung vorgemerkt (Wiederherstellungsfrist des Tresors); Einträge im Sicherheitsprotokoll bleiben ohne Personenbezug erhalten (Art. 17 Abs. 3 lit. b, e DSGVO).
Access and erasure are self-service: under Account → “Your data” you download everything held about you as a JSON file and delete your account with every wallet link, address, order and job. Vault seeds are scheduled for deletion (the vault’s recovery window); security-log entries are kept without any link to a person (Art. 17(3)(b), (e) GDPR).
9. Sicherheit der Verarbeitung Security
Transportverschlüsselung (TLS), Passwort-Hashing, verpflichtende Zwei-Faktor-Authentifizierung und erneute Bestätigung für administrative Änderungen, Vier-Augen-Prinzip für kritische Entscheidungen, strikte Content-Security-Policy, Ratenbegrenzung, verschlüsselte Speicherung von Identitätsdaten, versionierte und personenbezogen protokollierte Konfigurationsänderungen. Die Wirksamkeit dieser Maßnahmen wird durch automatisierte Tests fortlaufend geprüft.
TLS, password hashing, mandatory MFA and step-up for administrators, two-person approval for critical decisions, strict CSP, rate limiting, encrypted identity data, versioned and attributed configuration changes — all continuously verified by automated tests.