Create your account

Datenschutzhinweise zur Fundaro-Plattform

Stand: 6. Oktober 2026 · Version 1.1.0

1. Verantwortlicher und Geltungsbereich

Diese Hinweise erläutern Registrierung, Einladungen und Nutzung der Fundaro-Plattform. Sie werden bereits vor der Registrierung bereitgestellt; eingeladene Personen erhalten sie mit der Einladung auch ohne Konto. Der reine Besuch der öffentlichen Website wird gesondert in den Website-Datenschutzhinweisen beschrieben.

Verantwortlich für die unten genannten eigenen Verarbeitungen ist die Marengo Technologies GmbH, Große Bleichen 34, 20354 Hamburg Neustadt, Deutschland. Kontakt: Telefon 0160 1838429, E-Mail moin@fundaro.app. Hier können Sie auch Ihre Datenschutzrechte geltend machen.

Soweit Marengo Kundeninhalte nach dokumentierter Weisung verarbeitet, handelt Marengo als Auftragsverarbeiter, bei entsprechendem Kundenauftrag als Unterauftragsverarbeiter. Die Kundenorganisation bestimmt dann die Zwecke und Rechtsgrundlagen und erteilt ihre eigenen Informationen nach Art. 13 und 14 DSGVO. Marengo unterstützt sie nach der AVV. Eigene Zwecke werden davon getrennt behandelt.

2. Registrierung, Anmeldung und Kontosicherheit

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, Konto- und Verifizierungsstatus und die zur Bereitstellung und Absicherung erforderlichen Anfrage- und Sitzungsdaten. Bei Anmeldung und Wiederherstellung kommen Einmalcode-, MFA- und gegebenenfalls Passwort- oder Passkeynachweise, Anmeldezeitpunkte und sicherheitsrelevante IP- und Ereignisdaten hinzu. Passkeys betreffen die hierfür vorgesehenen administrativen Konten.

Zwecke sind Kontoerstellung, Authentisierung, Berechtigungsprüfung, Wiederherstellung und Schutz gegen Missbrauch. Ist die betroffene Person selbst Vertragspartei, ist Art. 6 Abs. 1 Buchst. b DSGVO für die erforderliche Vertragserfüllung beziehungsweise Anbahnung einschlägig. Bei Beschäftigten und Vertretern sowie für angemessene Sicherheitsmaßnahmen ist Art. 6 Abs. 1 Buchst. f DSGVO Grundlage; unsere Interessen sind verlässlicher Zugang und ein vertraulicher, integrer und verfügbarer Dienst.

Ihre E-Mail-Adresse und die erforderlichen Authentisierungsdaten sind notwendig, um ein persönliches Konto bereitzustellen. Ohne sie können Registrierung und Anmeldung nicht abgeschlossen werden. Eine Registrierung erfordert keine Einwilligung in diese Datenschutzhinweise und keine Qualitätsfreigabe.

3. Einladungen, Mitgliedschaften und indirekt erhobene Daten

Bei Einladungen und Beitrittsanfragen verarbeiten wir geschäftliche Kontaktangaben, Organisation, Rolle, einladende oder anfragende Person, Bezug zu Fonds und Investorbeziehungen, Einladungs- und Mitgliedschaftsstatus sowie Zeitpunkte. Diese Daten erhalten wir von der einladenden Person, einem Kundenadministrator oder einer beteiligten Organisation; sie können auch aus der Korrespondenz einer Vertragspartei stammen. Der konkrete Einladungszusammenhang und die Organisation werden in der Einladung bezeichnet.

Zwecke sind die Zustellung und Bearbeitung der Einladung, die Zuordnung zu einer berechtigten Organisation und die Nachvollziehbarkeit von Zugangsänderungen. Für eigene Kommunikations- und Sicherheitszwecke gilt Art. 6 Abs. 1 Buchst. f DSGVO mit dem Interesse an verlässlicher Zusammenarbeit und Schutz vor unberechtigtem Zugriff; bei einem Vertrag mit der betroffenen Person gegebenenfalls Art. 6 Abs. 1 Buchst. b. Die auftragsbezogene Verwaltung von Kundenberechtigungen erfolgt nach Art. 28 DSGVO.

Eine Einladung verpflichtet nicht zur Kontoerstellung oder Annahme. Ohne Annahme wird kein entsprechender Zugang erteilt. Bei eigener Verantwortlichkeit informieren wir indirekt betroffene Personen grundsätzlich spätestens bei der ersten Kommunikation oder Offenlegung, jedenfalls innerhalb eines Monats, soweit keine gesetzliche Ausnahme besteht. Bei Kundeninhalten mit Daten Dritter ist im Auftragsbereich die Kundenorganisation informationsverantwortlich; Marengo unterstützt sie.

4. Vertrags-, Organisations- und Kontaktverwaltung

Wir verarbeiten geschäftliche Kontakte, Vertretungs- und Mitgliedschaftsbezug, Vertrags- und Bestelldaten sowie für die jeweilige Vertragsabwicklung erforderliche Abrechnungsdaten. Mitgliedschaften, Rollen, aktive Organisation, Eigentümerwechsel und Fonds- beziehungsweise Investorbeziehungen steuern Zusammenarbeit und Berechtigungen. Technische Rollen belegen nicht für sich die rechtsgeschäftliche Vertretungsmacht.

Für eigene Vertragsverwaltung gilt Art. 6 Abs. 1 Buchst. b DSGVO bei persönlichen Vertragspartnern, sonst Art. 6 Abs. 1 Buchst. f mit dem Interesse an verlässlicher B2B-Vertragsdurchführung. Soweit gesetzliche Aufbewahrungspflichten für Geschäfts- und Steuerunterlagen bestehen, erfolgt die Verarbeitung nach Art. 6 Abs. 1 Buchst. c DSGVO, insbesondere nach den einschlägigen handels- und steuerrechtlichen Aufbewahrungsregeln.

5. Kundeninhalte, Dokumentverarbeitung und KI

Im Auftrag verarbeitet Fundaro Originaldateien, Versionen, Metadaten, Tags, Prüfsummen, Texte, Tabellen, Bilder und unterstützte Medien, Schadsoftware- und Verarbeitungsstatus, Extrakte, OCR-Ergebnisse, Zusammenfassungen, Textabschnitte, Kontext und Suchindizes einschließlich Embeddings. Diese Verarbeitung ermöglicht Bereitstellung, Suche, Quellenbezug, Anzeige, Bearbeitung und Export.

Für KI-gestützte Antworten und Prüfungen können Fragen, Suchabfragen, ausgewählte Quellen, Prompts, Retrieval- und Rerankingdaten, Antwortentwürfe, sichtbare Generierungsversuche einschließlich verworfener Ergebnisse, Evidenzpakete, Feststellungen, Bestätigungen und menschliche Überarbeitungen verarbeitet werden. Auftrag und zugelassene Verarbeitungskette bestimmen die Empfänger. Eine technische Möglichkeit ersetzt keine Berechtigung zur Verarbeitung sensibler Daten. Insbesondere Art.-9- und Art.-10-Daten dürfen nur rechtmäßig und im vereinbarten Schutzumfang bereitgestellt werden.

Marengo und seine Anbieter verwenden Kundeninhalte, Eingaben, Quellenpassagen, Ausgaben und daraus abgeleitete Beispiele niemals für Training, Fine-Tuning, Reinforcement Learning, Präferenztraining oder gemeinsame Trainings- und Evaluationskorpora. Das gilt auch bei Qualitätsfreigabe und nach behaupteter Anonymisierung. Inferenz, Embeddings und Retrieval sind kein Training, bleiben aber Datenverarbeitung.

Fundaro dient der Assistenz. Ergebnisse müssen sachkundig geprüft werden. Der Dienst trifft nach seinem Zweck keine autonome Investmententscheidung und keine ausschließlich automatisierte Entscheidung über natürliche Personen mit rechtlicher oder ähnlich erheblicher Wirkung. Kunden dürfen menschliche Kontrolle nicht durch routinemäßige Bestätigung ersetzen.

6. Kommunikation, Support und Sicherheit

Dokument- und Fragenkonversationen können Nachrichten, Zitate, Anhänge, Erwähnungen, Autorenorganisation, Lesestatus und Benachrichtigungen enthalten. Die Sichtbarkeit unterscheidet interne Asset-Manager-, interne Investor- und parteiübergreifende Kommunikation. Für die Zustellung werden Empfänger- und Nachrichtendaten sowie Zustellinformationen verarbeitet.

Eine Supportanfrage überführt angehängte Kundeninhalte nicht automatisch in Marengos eigene Verantwortlichkeit. Erforderliche Fehlerbehebung an Kundendokumenten, Fragen oder Diagnoseauszügen bleibt Verarbeitung nach dokumentierter Weisung unter Art. 28 DSGVO. Für die getrennte eigene Supportverwaltung verarbeiten wir erforderliche Ticket-/Kontaktmetadaten und Korrespondenz; minimale eigene Missbrauchs-/Sicherheitsnachweise bleiben zweckgebunden. Grundlage sind Art. 6 Abs. 1 Buchst. b beziehungsweise Buchst. f DSGVO mit dem Interesse an verlässlicher Anfragebearbeitung und sicherem Betrieb. Support erlaubt keinen allgemeinen Produktverbesserungszugriff.

Betriebs- und Sicherheitsdaten können Anfragekennungen, Fehler, Zeitpunkte, Anmeldeereignisse, Zugriffs- und Änderungshistorien sowie technische Auftragszustände umfassen. Solche Metadaten können personenbezogen oder vertraulich sein. Wir beschränken ihre Verarbeitung auf den erforderlichen Zweck und die hierzu berechtigten Personen.

7. Optionale interne Qualitätsprüfung

Die gelegentliche vertrauliche Einsicht in ausdrücklich zugelassene Antwortläufe durch benannte interne Menschen ist ein gesonderter Zweck zur Erkennung von Fehlerklassen und Verbesserung des Produktverhaltens. Sie ist standardmäßig ausgeschaltet und für die Kernleistung nicht erforderlich. Eine Organisation kann ihre Freigabe ohne Nachteil ablehnen oder für die Zukunft widerrufen.

Die Organisationsfreigabe ist keine DSGVO-Einwilligung der handelnden Person oder aller in Unterlagen genannten Personen. Sie ersetzt weder eine eigene Rechtsgrundlage noch die erforderliche Information, Zweckvereinbarkeit, Drittrechte oder eine Ausnahme für Art.-9-/10-Daten. Personenbezogene Qualitätsverarbeitung setzt eine für den konkreten Fall tragfähige Rechtsgrundlage voraus; auf berechtigte Interessen gestützte Verarbeitung erfordert eine entsprechende Abwägung und unterliegt dem Widerspruchsrecht. Ist eine persönliche Einwilligung erforderlich, ist sie gesondert einzuholen. Die Organisationsfreigabe erteilt sie nicht.

Jede betroffene Organisation und sämtliche Eingabequellen müssen berechtigt einbezogen sein. Zusätzlich bedarf es der gesonderten Zulassung des einzelnen Laufs und der festgelegten menschlichen Empfänger, Datenminimierung und Aufbewahrung. Bei ungeklärten Voraussetzungen erfolgt kein Qualitätszugriff. Die Freigabe erlaubt weder Training noch externe oder automatisierte Evaluatoren, Veröffentlichung oder gemeinsame Beispielkorpora. Einzelheiten enthält die gesonderte optionale Qualitätsfreigabe.

8. Empfänger und internationale Verarbeitung

Zugriff erhalten nach Aufgabe und Berechtigung Beschäftigte, vertraglich gebundene Betriebs- und Supportpersonen sowie die für den jeweiligen Zweck eingesetzten Dienstleister. Die Kategorien umfassen Hosting, Datenbank- und Dateispeicherung, Suche, Schadsoftwareprüfung, Dokumentkonvertierung, KI- und Embeddingverarbeitung, E-Mail-Zustellung sowie technische Fehler- und Sicherheitsdienste. Innerhalb eingerichteter Beziehungen können ausdrücklich berechtigte Nutzer anderer Organisationen Empfänger sein. Gesetzlich vorgeschriebene Offenlegungen an Behörden erfolgen nur im erforderlichen Umfang.

Im Auftragsbereich bestimmen die AVV und die individuell vereinbarte Anbieter- und Standortliste die zulässigen Unterauftragsverarbeiter, Länder und Datenzugriffe. Für eigene Verarbeitungen können Betroffene Informationen zu den sie betreffenden Empfängern über den Kontakt aus Abschnitt 1 erhalten. Die konkrete Verarbeitungskette ist kein allgemeines Versprechen einer ausschließlichen Verarbeitung in Deutschland oder der EU.

Übermittlungen oder Fernzugriffe außerhalb des Europäischen Wirtschaftsraums unterliegen Art. 44 ff. DSGVO. Soweit einschlägig, werden Angemessenheitsbeschlüsse oder geeignete Garantien wie Standardvertragsklauseln und ergänzende Maßnahmen zugrunde gelegt. Informationen zu den einschlägigen Garantien und eine Kopie erhalten Sie über den Datenschutzkontakt.

9. Speicherdauer und Löschung

Wir speichern Daten nur für die Dauer des jeweiligen Zwecks oder einer gesetzlichen Pflicht. Für Kontakte und Support ist die Bearbeitung maßgeblich, anschließend nur ein konkret erforderlicher Nachweisbedarf. Vertrags- und Geschäftsunterlagen werden für die Vertragsabwicklung und anwendbare handels- oder steuerrechtliche Aufbewahrung verarbeitet. Konten und Mitgliedschaften werden für die Dauer ihrer Nutzung und erforderlicher Berechtigungsnachweise gespeichert. Sicherheits- und Fehlerdaten werden nach dem für Erkennung und Bearbeitung eines konkreten Risikos erforderlichen Zeitraum gelöscht; eine längere Aufbewahrung setzt einen gesonderten konkreten Bedarf voraus.

Kundeninhalte unterliegen der Weisung des Kunden und der AVV einschließlich Rückgabe, Löschung verbleibender Kopien, Anbieter- und Backupbehandlung. Dies umfasst Originale, Versionen, Artefakte, Suchindizes, Antworten, Versuche, Kommunikation und inhaltstragende Historien. Archivierung und Deaktivierung allein sind keine Löschung. Gesetzlich aufzubewahrende Daten bleiben auf diesen Zweck beschränkt; nach Ablauf werden sie gelöscht. Gelöschte Daten dürfen durch Wiederherstellung einer Sicherung nicht erneut regulär verarbeitet werden.

Ein Qualitätswiderruf beendet neue Qualitätszugriffe. Er löscht nicht automatisch die weiterhin für den Kundenauftrag oder gesetzliche Pflichten benötigten Daten. Bereits rechtmäßig übermittelte Dateien können technisch nicht zurückgerufen werden.

10. Cookies und Speicher der Anwendung

Sitzungsfunktionen ordnen Anfragen einem Browser zu und unterstützen Anmeldung, Schutz gegen gefälschte Anfragen, Einmalcodes und MFA, Anti-Spam-Prüfung, Organisationskontext und sichere Rückleitungen. Die Anti-Spam-Komponente wird lokal bereitgestellt. Diese erforderlichen Endgerätezugriffe beruhen auf § 25 Abs. 2 Nr. 2 TDDDG; die anschließende personenbezogene Verarbeitung auf den in Abschnitt 2 genannten Grundlagen. Sitzungscookies enden grundsätzlich mit der Browsersitzung; Browser können eine Sitzung wiederherstellen.

Der lokale Speicher kann die gewählte Aufteilung des Dokumentarbeitsbereichs unter fundaro.documentWorkspaceSplit.v1, die Position und Darstellung der Administrationskontextsteuerung unter fundaro.adminContextPosition.v1 und das Ausblenden dafür vorgesehener Hinweise merken. Diese Darstellungseinstellungen haben kein automatisch festgelegtes Ablaufdatum und bleiben bis zum Löschen oder Überschreiben erhalten. Sie dienen der gewählten Arbeitsoberfläche. Soweit sie für deren ausdrücklich gewünschte Funktion erforderlich sind, gilt § 25 Abs. 2 Nr. 2 TDDDG; für personenbezogene Folgeverarbeitung Art. 6 Abs. 1 Buchst. f DSGVO mit dem Interesse an einer nutzbaren, konsistenten Oberfläche.

Der Sitzungsspeicher des Tabs verwendet Einträge mit dem Präfix fundaro.documentConversationPageScroll.v1, um die Scrollposition einer Dokumentkonversation wiederherzustellen. Der Eintrag wird nach Auslesen entfernt und endet ansonsten mit der Tab-Sitzung. Sie können Cookies, lokalen Speicher und Sitzungsspeicher über den Browser löschen oder blockieren; dadurch gehen Einstellungen verloren oder erforderliche Funktionen stehen nicht zur Verfügung. Serverdaten werden dadurch nicht gelöscht.

11. Ihre Rechte und Beschwerde

Nach den gesetzlichen Voraussetzungen haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Eine persönliche Einwilligung können Sie jederzeit für die Zukunft widerrufen, ohne die Rechtmäßigkeit bisheriger Verarbeitung zu berühren.

Bei Verarbeitungen auf Art. 6 Abs. 1 Buchst. f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen. Gegen Direktwerbung besteht ein jederzeitiges Widerspruchsrecht. Eine Organisationsfreigabe nimmt Ihnen diese Rechte nicht.

Für eigene Verarbeitungen richten Sie Anfragen an Marengo. Im Auftragsbereich leiten wir sie an die zuständige Kundenorganisation weiter und unterstützen diese. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für Hamburg ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit zuständig. Eine vorherige Kontaktaufnahme mit uns ist nicht erforderlich.