Crypto Capital Masterclass← Zum Studio

Rechtliches · Trading OS

Datenschutz im CCM Trading OS

Hier erfährst du, welche Daten bei der Nutzung des Trading OS verarbeitet werden. Für die CCM-Website, Marketingseiten und Newsletter findest du ergänzende Angaben in der allgemeinen Datenschutzerklärung.

Stand: 10.10.2026 · Angaben zu den Zugangswegen ergänzt

Verantwortlicher und Kontakt

Nach den veröffentlichten CCM-Angaben: HORCH TRADE SOLUTIONS – FZCO, Premises Number 70133-001, IFZA Business Park, DDP, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate. Ansprechpartner: Markus Horch. E-Mail: info@markushorch.de. Quelle: CCM-Impressum. Die rechtliche Zuordnung zum heutigen OS wird noch bestätigt. Ein EU-Vertreter oder Datenschutzbeauftragter ist hier mangels belegter Bestellung nicht benannt.

Welche Daten wofür verarbeitet werden

Die folgenden Abläufe sind im OS-Code vorhanden. Die Anbieterliste unterscheidet implementierte Verbindungen von deren individueller Nutzung; ein Adapter beweist keinen aktuellen Kauf oder aktivierten Automationslauf. Die genannten Rechtsgrundlagen gelten nur, soweit der jeweilige Ablauf für die tatsächlich gebuchte Leistung erforderlich ist. Für optionale Nutzungen ist eine eigene Grundlage nötig.

AblaufDatenZweck und GrundlageEmpfänger und Zugriff
Anmeldung und SicherheitE-Mail, Anzeigename, Auth-Kennung, Passwortprüfwert, Sitzung, MFA-Faktoren, technische Verbindungsdaten und Sicherheitsereignisse.Zugang und Schutz deines Kontos; Art. 6 Abs. 1 b DSGVO für den Zugang, f für Missbrauchsschutz.CCM, Supabase und Netcup; Brevo für Zugangsmails über den dokumentierten Auth-SMTP-Weg und die Versand-API bei bestehenden Konten; nur berechtigte Betriebsrollen.
ProfilbildFreiwillig hochgeladenes Bild (nur JPG oder PNG, höchstens 2 MB, höchstens 4096 Pixel je Seite bzw. 16 Megapixel). Vor dem Speichern werden eingebettete Metadaten wie Standort/GPS, Gerät, Aufnahmezeit, Kommentare und Textblöcke entfernt. Erhalten bleiben bei JPG die Ausrichtungsangabe, damit das Bild nicht quer steht, sowie bei JPG und PNG ein gegebenenfalls eingebettetes Farbprofil, damit die Farben stimmen. Das Farbprofil wird vor dem Speichern neu aufgebaut, und zwar ohne Angaben zu Gerätehersteller, Gerätemodell, Erstellungsdatum und Ersteller sowie ohne Beschreibungs- oder Copyright-Texte (es trägt nur die neutrale Bezeichnung „ICC Profile“); ist es nicht sauber lesbar, wird es weggelassen. Gespeichert wird das bereinigte Original ohne Umrechnung des Bildes.Anzeige deines selbst gewählten Profilbilds; ohne Bild wird ein Standardbild gezeigt. Für den Kurszugang ist es nicht erforderlich. Art. 6 Abs. 1 b DSGVO, soweit die von dir gewählte Profilfunktion Teil der Leistung ist; eine pauschale Einwilligung wird dafür nicht behauptet.Sichtbar nur für dich selbst (im Studio oben rechts, in der Seitenleiste und in den Einstellungen); andere Mitglieder sehen es nicht. Keine Weitergabe an Discord, Telegram oder andere Dienste. Gespeichert in einem privaten Speicherbereich (Storage) desselben Supabase-Projekts wie die übrigen OS-Daten; technisch Zugriff haben Supabase als Speicheranbieter und berechtigte Betriebsrollen.
Mitgliedschaft und ZahlungKäufer-E-Mail, Bestell-, Produkt- und Transaktionsreferenzen, Betrag, Währung, Zahlungszeitpunkt und Status sowie Laufzeit, Pause und Sonderrechte; keine vollständigen Kartendaten im OS.Vertrag und Zugang; Art. 6 Abs. 1 b. Eine zusätzliche gesetzliche Aufbewahrung setzt eine konkret anwendbare Pflicht voraus.CCM und Supabase; CopeCart und andere Zahlungsanbieter nur im jeweiligen tatsächlichen Vertragsweg, Brevo für die Zugangsmail und M7H nur im jeweiligen tatsächlichen Automationsweg. Ein produktiver OS-Zahlungsadapter ist nicht allein durch seine Simulation belegt.
Lernen und PrüfungenLektionen, Wiedergabeposition, Abschluss, Prüfungsantworten, Versuch, Punkte, Bestehensstatus und Zeitpunkte.Bereitstellung der gebuchten Ausbildung und Selbstkontrollen; Art. 6 Abs. 1 b.CCM, Supabase und Netcup; Bunny erhält technische Verbindungsdaten beim Laden des Videos, keine Prüfungsantworten aus diesem Playerpfad.
Indikator und PartnerprüfungTradingView-Nutzername, Anfrage-, Freigabe- und Entzugsstatus sowie zugehörige Zeitpunkte und Prüfergebnisse; bei Partnerprüfung Börsen-UID, Zuordnung, Ergebnis, Begründung und Prüfnachweis.Bereitstellung gebuchter Indikatorrechte und Prüfung gewählter Partnerzugänge; Art. 6 Abs. 1 b nur soweit für die vereinbarte Leistung nötig. Missbrauchsschutz gegebenenfalls f mit eigener Abwägung.CCM und Supabase; TradingView für die Statusprüfung, Freigabe und Entfernung des Indikatorzugangs, manuell oder bei entsprechend aktivierter Zugangsautomation; BingX oder Bitunix und der tatsächlich genutzte Partnerprüfungsdienst bei entsprechender Prüfung.
Trading-JournalManuelle und importierte Trades, Börsen-UID, Kontobezeichnung, Setups, Tags, Notizen und Tagebuch. Verbindungsdaten für Börsen sind verschlüsselt gespeichert.Von dir genutztes Journal und ausdrücklich verbundenes Konto; Art. 6 Abs. 1 b. Kein Handelsauftrag durch den lesenden Import.CCM, Supabase, Netcup und die ausdrücklich verbundene Börse. Welche Börsenverbindung für dein Konto aktiv ist, zeigt dein Zugang.
Support und CommunityKontaktangaben, Nachrichten, Ticket- und Discord-Zuordnung; technische Betriebsereignisse.Bearbeitung deiner Anfrage und Bereitstellung von Support; Art. 6 Abs. 1 b, f bei Sicherheitsfällen.CCM, Discord bei Tickets, M7H/n8n und Telegram bei tatsächlich aktivierten Betriebsmeldungen. Sensible Journaldaten gehören nicht in öffentliche Kanäle.
Discord- und Telegram-ZugangWenn du die Verbindung im Studio startest: Zuordnung deiner Studio-Kennung zur Discord- beziehungsweise Telegram-Nutzerkennung, Server- beziehungsweise Gruppenkennung, Verbindungs- und Zugangsstatus sowie Zeitpunkte. Für Discord verwenden wir die Berechtigung „identify“. Telegram-Beitrittsanfragen werden geprüft; die Anbieterantwort liegt dabei vorübergehend im Arbeitsspeicher. Gespeicherte Einladungen enthalten eine Prüfsumme des Links und dessen Ablauf. Dieser geprüfte Zugangspfad speichert keine Chatnachrichten oder Börsenschlüssel.Bereitstellung deiner gewählten Community- und Signalzugänge sowie Verwaltung gebuchter Rechte; Art. 6 Abs. 1 b nur soweit für die vereinbarte Leistung erforderlich. Die Kontoverbindung ist keine pauschale Einwilligung in andere Verarbeitungen der Anbieter.CCM, Supabase, Netcup und der jeweils von dir gewählte Dienst Discord oder Telegram. Die Dienste erhalten die für Freigabe, Statusprüfung und Entzug erforderlichen Konto-, Server-/Gruppen- beziehungsweise Rollenkennungen. Discord verwaltet die vorgesehenen Serverrollen, Telegram den Signalgruppen-Zugang. Anbieter-Verträge, Verarbeitungsorte und Transfergrundlagen sind noch nicht abschließend nachgewiesen.
Handy-Meldungen (Web-Push)Nur wenn du im Studio die Handy-Meldungen für Signale einschaltest und dein Browser die Benachrichtigungserlaubnis erteilt. Gespeichert werden deine Kontokennung, die vom Browser vergebene Push-Adresse (Endpunkt), die öffentlichen Browserschlüssel (p256dh/auth) und optional eine Gerätebezeichnung (höchstens 120 Zeichen). Beim Versand geht die Meldung (Titel „Neues Signal · Thema“, gekürzte erste Textzeile des Signals, Link ins Studio) Ende-zu-Ende verschlüsselt nach RFC 8291 an den Push-Dienst deines Browsers. Eine Absenderkennung (VAPID) mit CCM-Kontaktadresse wird mitgeschickt.Zustellung der von dir gewählten Signalmeldungen aufs Gerät; Art. 6 Abs. 1 b DSGVO, soweit die Funktion Teil der Leistung ist. Du kannst sie jederzeit ausschalten, das Abo wird dann entfernt.CCM, Supabase und der Push-Dienst deines Browsers: Google (Firebase Cloud Messaging, fcm.googleapis.com), Mozilla (updates.push.services.mozilla.com), Apple (web.push.apple.com) oder Microsoft (notify.windows.com). Andere Push-Adressen werden nicht angenommen. Welcher Dienst zuständig ist, bestimmt dein Browser. Der Dienst sieht den Inhalt nicht im Klartext, erhält aber Push-Adresse, Zeitpunkt und Größe der Zustellung. Verträge und Verarbeitungsorte dieser Dienste sind nicht nachgewiesen.
Livecalls und AufzeichnungenBei Teilnahme gegebenenfalls Name, Stimme, Bild, Chat und Verbindungsdaten; Recording- und Freigabemetadaten.Liveunterricht: Art. 6 Abs. 1 b. Aufnahme und Replay benötigen eine gesondert belegte Rechtsgrundlage und Teilnehmerinformation; bloße Teilnahme beweist keine Einwilligung.Zoom bei Teilnahme/Aufnahme, Supabase und Netcup für Metadaten, Bunny bei Replay und berechtigte CCM-Mitglieder im freigegebenen Publikum. Der konkrete Nachweis für historische Replays ist noch offen.
Live-Call-TexteNur bei automatisch übernommenen Aufzeichnungen der Serien „Q&A mit Markus“ und „Newcomer-Call mit den Mods“, wenn die Funktion eingeschaltet ist: Der Server holt das Zoom-Transkript, entfernt Zeitmarken, Formatierungen und die von Zoom vorangestellten Sprechernamen und sendet den reinen Gesprächstext mit Serienname und Datum an Anthropic (Modell Claude Sonnet, höchstens drei Aufrufe je Aufzeichnung). Was jemand im Call ausspricht, kann weiterhin Namen oder Angaben enthalten. Zurück kommen Titel, zwei Sätze Beschreibung und drei Stichpunkte, die automatisch geprüft werden; bei einem Fehler gibt es den Ersatztitel „Live-Call vom TT.MM.JJJJ“. Gespeichert werden nur die erzeugten Texte, nicht das Transkript; es liegt nur im Arbeitsspeicher des Laufs.Beschriftung der Aufzeichnung für berechtigte Mitglieder; Art. 6 Abs. 1 b DSGVO für die Bereitstellung, für die Weitergabe an einen KI-Dienst gegebenenfalls f. Die Abwägung und die Teilnehmerinformation sind noch zu dokumentieren.Zoom (Quelle des Transkripts), CCM-Server, Anthropic (api.anthropic.com), Supabase für die erzeugten Texte. Der Titel einer neuen Aufzeichnung erscheint in der Lektion im Studio und als Meldung im privaten Telegram-Kanal „CCM VIP · Live“; das VIP-Modul selbst ruft Anthropic nicht auf. Vertrag, Verarbeitungsort und Transfergrundlage für Anthropic sind noch nachzuweisen.
Protokolle und SicherungenTechnische Zugriffe, Fehler, Sicherheits- und Änderungsereignisse sowie Sicherungskopien der jeweiligen Bestände.Stabilität, Wiederherstellung und Schutz; Art. 6 Abs. 1 f. Berechtigtes Interesse: sichere Bereitstellung und Aufklärung von Missbrauch.Berechtigte CCM-Betriebsrollen, Netcup, Supabase und tatsächlich eingesetzte Automationshoster. Aktuelle Protokoll- und Backupfristen sind noch nicht abschließend belegt.

Browser, Cookies und Videowiedergabe

Die Anmeldung verwendet Sitzungscookies mit HttpOnly und SameSite=Lax; in der Produktionskonfiguration zusätzlich Secure. Die Anmeldung benötigt diese Sitzung. Von dir gespeicherte Anzeige-, Journal- und Kalenderpräferenzen sowie Cacheeinträge liegen gegebenenfalls im Browser. Sie dienen den jeweils gewählten Funktionen. Es wird in diesem OS-Code keine Marketinganalyse geladen; das ersetzt keine Messung aller Anbieter beim Videostart.

Das Kursvideo wird erst über „Video laden“ angefordert. Dabei erhält Bunny insbesondere deine IP-Adresse und technische Browserdaten. Der Start ist ein Wiedergabeauftrag und keine pauschale Einwilligung in Analyse oder Werbung. Bunny beschreibt zusätzlich mögliche Performancekontakte seines Players; die tatsächlichen Kontakte, Endgerätezugriffe und eine gegebenenfalls notwendige Einwilligung sind noch zu prüfen. Optionale Funktionen dürfen nicht allein mit dem Kursstart als genehmigt behandelt werden. § 25 TDDDG unterscheidet erforderliche Endgerätefunktionen von einwilligungsbedürftigen Zugriffen.

Eingebettete Inhalte und externe Charts

Im Signale- und Onchain-Bereich werden Charts, Ideen und Verläufe von Drittanbietern erst geladen, nachdem du je Anbieter auf „laden“ klickst. Vorher zeigt das Studio den Hinweis, dass der Anbieter beim Laden deine IP-Adresse sieht. Diese Auswahl wird je Konto im Browser gespeichert (localStorage) und lässt sich über „Nicht mehr automatisch laden“ zurücknehmen. Das Kurs-Laufband auf der Übersicht lädt ein Skript von TradingView; sobald es geladen wird, erhält TradingView deine IP-Adresse und technische Browserdaten. Der Livestream-Player wird von youtube-nocookie.com erst nach deinem Klick geladen. Marktdaten, die der CCM-Server selbst abruft, werden ohne Angaben zu deinem Konto angefragt; dabei werden keine Daten über dich übermittelt.

AnbieterWann geladenWas der Anbieter erhält
TradingView (Charts und Ideen, s.tradingview.com, tradingview-widget.com)Im Signale- und Onchain-Bereich erst, nachdem du für diesen Anbieter auf „laden“ klickst.IP-Adresse und technische Browserdaten. Was der Anbieter darüber hinaus setzt oder ausliest, liegt in seiner Verantwortung und wurde hier nicht gemessen.
TradingView (Kurs-Laufband, s3.tradingview.com)Sobald das Laufband auf der Übersicht geladen wird.IP-Adresse und technische Browserdaten, sobald das Laufband geladen wird.
checkonchain (charts.checkonchain.com)Im Onchain-Bereich erst nach deinem Klick auf „laden“.IP-Adresse und technische Browserdaten; weitere Vorgänge beim Anbieter sind nicht gemessen.
Google Trends (trends.google.com)Im Signale-Bereich erst nach deinem Klick auf „laden“.IP-Adresse und technische Browserdaten; weitere Vorgänge beim Anbieter sind nicht gemessen.
PerpFinder (perpfinder.com, Fear-&-Greed-Anzeige)Im Signale-Bereich erst nach deinem Klick auf „laden“.IP-Adresse und technische Browserdaten; weitere Vorgänge beim Anbieter sind nicht gemessen.
YouTube (www.youtube-nocookie.com)Vorschaubilder der YouTube-Kachel holt der CCM-Server ohne deine Daten und ohne Cookies. Der Player lädt erst, wenn du einen laufenden Livestream per Klick startest.Beim Start des Players erhalten YouTube und Google IP-Adresse und technische Browserdaten. Links zum YouTube-Kanal oder Video öffnen YouTube direkt.

Anbieter und Verarbeitung außerhalb des EWR

Die Supabase-Projektregion wurde am 04.10.2026 über den bestehenden Connector als eu-central-1 gelesen. Das belegt die Projektregion, nicht sämtliche Support-, Unterauftragnehmer- oder Transferwege. Supabase veröffentlicht eine DPA mit einer Gesellschaft in Singapur und Transferregelungen. Bunny stellt seinen DPA im Kundenkonto bereit und kann den Player über internationale Netze ausliefern. Für Zoom hängen Regionen von der tatsächlichen Kontokonfiguration ab. Netcup hostet nach dem dokumentierten Betriebsstand die Anwendung; Brevo versendet Zugangsmails. Die aktuellen CCM-Verträge und Kontoeinstellungen für diese Anbieter sind noch nachzuweisen. Das gilt ebenso für Anthropic (Live-Call-Texte): Vertrag, Verarbeitungsort und Transfergrundlage sind noch nachzuweisen. Die Push-Dienste von Google, Mozilla, Apple und Microsoft erhalten die verschlüsselten Meldungen vom CCM-Server, wobei dein Browser den Dienst vorgibt; die eingebetteten Anbieter kontaktiert dein Browser direkt. Auch für sie sind Verarbeitungsorte und Transfergrundlagen von CCM nicht belegt.

Ein EU-Rechenzentrum allein bestätigt keine durchgehende Verarbeitung im EWR. Drittlandübermittlungen benötigen eine fallbezogene Grundlage nach Art. 44 ff. DSGVO, etwa einen tatsächlich passenden Angemessenheitsbeschluss oder Standardvertragsklauseln mit Bewertung und nötigen Zusatzmaßnahmen. Ein US-DPF-Eintrag gilt nur für die erfasste Gesellschaft und Datenverarbeitung. Dubai-Zugriffe sind anhand der beteiligten Stellen zu bewerten. Für die VAE ist hier kein Angemessenheitsbeschluss belegt.

Aufbewahrung und Zugangsende

Das Ende eines Kurszugangs ist keine automatische Löschung deiner Daten und beendet deine Datenschutzrechte nicht. Für Profil, Journal, Lernstände, Prüfungsversuche, Support, Discord-/Telegram-Verknüpfungen, Einladungs- und Zugangsstände, Protokolle, Aufzeichnungen und Backups fehlen noch abschließend bestätigte konkrete Fristen oder ausreichend konkrete Löschkriterien. Es werden deshalb keine erfundenen Tages- oder Jahresfristen angegeben. Die erforderlichen Kriterien und gegebenenfalls gesetzlichen Grundlagen werden ergänzt. Eine Aufbewahrung auf unbestimmte Zeit wird damit nicht genehmigt.

Ein Löschantrag wird geprüft; der Knopf löscht nicht unmittelbar Daten. Notwendige gesetzliche Aufbewahrung oder Rechtsansprüche können einzelne Daten von sofortiger Löschung ausnehmen. Darüber erhältst du eine begründete Antwort. Empfängerkopien, Backups und Wiederherstellungen müssen dabei berücksichtigt werden. Das Trennen einer Börsenverbindung stoppt ihre Nutzung im OS; widerrufe den API-Key zusätzlich direkt bei der Börse. Die heutige OS-Trennung ist kein belegter vollständiger Löschlauf aller verschlüsselten Schlüssel. Über „Entfernen“ in den Einstellungen wird dein gespeichertes Profilbild gelöscht. Beim Stellen eines Löschantrags wird das Profilbild sofort mit entfernt; gelingt das technisch nicht, wird dies im Antrag vermerkt und bei der Bearbeitung nachgeholt.

Deine Rechte, auch nach Ende des Zugangs

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und gegebenenfalls Widerspruch verlangen. Erteilte Einwilligungen kannst du für die Zukunft widerrufen, ohne dass ihre bisherige Rechtmäßigkeit dadurch entfällt. Du kannst dich bei einer zuständigen Datenschutz-Aufsichtsbehörde beschweren, insbesondere am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes.

Schreibe an info@markushorch.de. Ein Discord-Konto oder aktives Abo ist dafür nicht erforderlich. Nenne die Kontoadresse und dein Anliegen; sende keine Passwörter, Börsenschlüssel oder unnötigen Ausweiskopien. Bei begründeten Identitätszweifeln können angemessene zusätzliche Angaben erforderlich sein. Deine Anfrage wird grundsätzlich unverzüglich, spätestens innerhalb eines Monats nach Eingang beantwortet; wir teilen dir die getroffenen Maßnahmen oder begründete offene Schritte mit. Eine zulässige Verlängerung um bis zu zwei weitere Monate wird innerhalb des ersten Monats begründet mitgeteilt.

Der Download unter Einstellungen → Datenschutz ist ein Selbstbedienungs-Teilauszug. Er kennzeichnet fehlerhafte oder gekürzte Abschnitte und kann Seitenrechte berücksichtigen. Er ersetzt keine vollständige Auskunft nach Art. 15. Fehlende oder nicht zugängliche Bestände werden über den Kontakt gesondert geprüft, ohne dir dafür neue Kursrechte zu erteilen. Die ergänzend zu prüfenden Bereiche sind:

Widerspruch gegen berechtigte Interessen

Soweit wir Daten auf Art. 6 Abs. 1 f DSGVO stützen, kannst du aus Gründen deiner besonderen Situation jederzeit widersprechen. Wir prüfen dann, ob zwingende schutzwürdige Gründe oder Rechtsansprüche die weitere Verarbeitung rechtfertigen. Eine Direktwerbung auf dieser Grundlage kannst du ohne Angabe einer besonderen Situation ablehnen.

Datenquelle und erforderliche Angaben

Profil-, Journal- und Anfragedaten stammen von dir; Vertrags- und Zahlungsstatus gegebenenfalls vom Zahlungsweg, importierte Trades von deiner verbundenen Börse. Ohne die für Anmeldung und Vertragszuordnung erforderlichen Angaben kann der Zugang nicht bereitgestellt werden. Freiwillige Notizen und optionale Börsenverbindungen sind für einen reinen Kurszugang nicht erforderlich. Prüfungen bewerten Antworten und Bestehen automatisiert für den Lernablauf; eine Entscheidung im Sinne von Art. 22 wird dadurch nicht pauschal behauptet. Weitere Auswirkungen solcher Bewertungen sind noch fachlich zu bestätigen.

Quellen und weiterer Nachweis