Datenschutzerklärung

Mit dieser Erklärung informieren wir dich darüber, welche personenbezogenen Daten wir bei der Nutzung von wabisabi.cards verarbeiten, wozu, auf welcher Rechtsgrundlage und welche Rechte du hast.

1. Verantwortlicher

Pascal Claisse c/o flexdienst – #22363 Kurt-Schumacher-Straße 74 67663 Kaiserslautern Deutschland E-Mail: [email protected]

Einen Datenschutzbeauftragten haben wir nicht benannt, da wir hierzu nicht verpflichtet sind. Bei Fragen zum Datenschutz erreichst du uns unter der oben genannten E-Mail-Adresse oder über unser Kontaktformular.

2. Überblick

• Für das Lesen der Website brauchst du kein Konto. Wir setzen dabei nur technisch notwendige Cookies und Einstellungen und messen die Reichweite ohne Cookies (Abschnitt 6).
• Mit einem Konto speichern wir deine E-Mail-Adresse und die Daten, die du selbst anlegst – etwa Portfolio, Binder, Favoriten oder Preisalarme (Abschnitt 4).
• Wir verkaufen keine Daten und zeigen keine personalisierte Werbung.
• Unsere App für iPhone enthält keine Werbung und keine Tracker. Bilder aus dem Kartenscanner bleiben auf deinem Gerät (Abschnitt 3.6).
• Unsere Server stehen in der EU. Einige Dienstleister haben ihren Sitz in den USA; dafür gelten die Garantien aus Abschnitt 10.

3. Aufruf der Website und der App

3.1 Hosting und Server-Logfiles

Die Website läuft bei Railway (Railway Corporation, 548 Market St, San Francisco, CA 94104, USA) auf Servern in den Niederlanden (Region europe-west4). Bei jedem Aufruf verarbeitet der Server technisch notwendige Daten:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Seite bzw. Datei, HTTP-Statuscode und übertragene Datenmenge
• Referrer-URL (die zuvor besuchte Seite), sofern übermittelt
• Browser, Betriebssystem und Gerätetyp (User-Agent)

Diese Daten brauchen wir, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten und Fehler zu beheben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb. Server-Logfiles sind bei Railway höchstens 30 Tage lang abrufbar. Mit Railway besteht ein Vertrag zur Auftragsverarbeitung.

3.2 Content Delivery und Schutz vor Angriffen

Wir nutzen Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Cloudflare leitet die Aufrufe weiter, liefert Inhalte schneller aus und schützt die Website vor Überlastungs- und Bot-Angriffen. Dabei verarbeitet Cloudflare die Daten aus Abschnitt 3.1, insbesondere deine IP-Adresse, und setzt das Cookie __cf_bm (Abschnitt 5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit und Verfügbarkeit der Website. Mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung; Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

3.3 Schriften und Bilder

Die Schriften dieser Website werden von unserem eigenen Server geladen. Eine Verbindung zu Google oder anderen Schriftanbietern findet nicht statt.

Bilder von Karten und Sets lädt dein Browser direkt aus unserem Bildspeicher bei Supabase (Abschnitt 4.1), unter der Adresse ppyxksokasvinwngekst.supabase.co. Supabase liefert sie über das Netz von Cloudflare aus und erhält dabei die technischen Daten aus Abschnitt 3.1, insbesondere deine IP-Adresse. Cloudflare setzt dabei im Auftrag von Supabase ein eigenes Cookie __cf_bm für die Adresse supabase.co (Abschnitt 5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer schnellen und sicheren Auslieferung der Bilder.

3.4 Kontaktformular und Anfragen per E-Mail

Du kannst uns über das Kontaktformular oder per E-Mail erreichen. Wir verarbeiten deinen Namen, deine E-Mail-Adresse, das gewählte Thema, deine Nachricht, die Sprache der Seite, den Zeitpunkt und – wenn du angemeldet bist – dein Konto. Anfragen aus dem Formular speichern wir in unserer Datenbank bei Supabase und schicken sie über Resend per E-Mail an unsere Adresse (zu beiden Abschnitt 4.1). E-Mails an [email protected] – auch deine direkten – leitet Cloudflare (Abschnitt 3.2) an unser Postfach bei Proton (Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz) weiter. Proton speichert die Nachrichten verschlüsselt auf Servern in der Schweiz; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Zum Schutz vor Spam enthält das Formular ein für Menschen unsichtbares Feld und eine Zeitprüfung; außerdem begrenzen wir die Zahl der Anfragen je IP-Adresse. Dafür hält der Server deine IP-Adresse höchstens 24 Stunden im Arbeitsspeicher; zusammen mit der Anfrage speichern wir sie nicht. Dienste Dritter wie Captchas binden wir dafür nicht ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit deine Anfrage dein Konto oder einen Vertrag mit uns betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Anfragen zu beantworten und das Formular vor Missbrauch zu schützen. Wir löschen Anfragen spätestens zwölf Monate nach Eingang, es sei denn, eine gesetzliche Aufbewahrungspflicht steht dem entgegen. Auf Wunsch löschen wir sie früher.

3.5 Erkennung von Angriffen

Um Angriffe und Missbrauchsversuche zu erkennen, werten wir automatisch aus, wie oft bestimmte sicherheitsrelevante Ereignisse auftreten: falsch eingegebene Anmelde-Codes, Aufrufe geschützter Bereiche ohne Berechtigung, ungültige Zugangsschlüssel für KI-Assistenten (Abschnitt 4.5) und Anfragen, die unsere Website nicht über Cloudflare erreichen. Zu einem solchen Ereignis speichern wir den Zeitpunkt, die aufgerufene Adresse, das von Cloudflare ermittelte Land, bei angemeldeten Personen das Konto und statt der IP-Adresse nur einen pseudonymen Prüfwert (Hash), mit dem wir wiederholte Zugriffe derselben Quelle erkennen. Dazu kommen zusammengefasste Zahlen von Cloudflare (Abschnitt 3.2), etwa wie oft bekannte Angriffsadressen aufgerufen oder Anfragen blockiert wurden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Sicherheit der Website und deines Kontos. Die Ereignisse löschen wir nach 30 Tagen.

3.6 App für iPhone

Unsere App für iPhone („App“) zeigt dieselben Inhalte wie die Website und ruft sie über unsere Server ab. Dabei fallen dieselben technischen Daten an wie beim Aufruf der Website (Abschnitte 3.1 und 3.2), insbesondere deine IP-Adresse; statt des Browsers übermittelt die App ihren Namen, ihre Version und die Version von iOS. Suchbegriffe, die du in der App eingibst, sind Teil der Anfrage an unseren Server. Bilder lädt die App wie die Website aus unserem Bildspeicher (Abschnitt 3.3). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die App mit Inhalten zu versorgen und sicher zu betreiben.

Die App enthält keine Werbung und keine Werkzeuge Dritter zur Reichweitenmessung oder Fehlerauswertung. Sie liest keine Werbe-ID (IDFA) aus und verfolgt dich nicht über andere Apps oder Websites hinweg.

Anmeldung und Konto: Du meldest dich in der App wie auf der Website mit einem Einmal-Code per E-Mail an; die App spricht dafür direkt mit unserem Anmeldedienst bei Supabase (Abschnitt 4.1). Danach ruft die App dein Portfolio, deine Favoriten und dein Profil über unseren Server ab und ändert sie dort auf deinen Wunsch. Es gelten die Abschnitte 4.1 und 4.2; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Kartenscanner: Für den Scanner fragt die App nach Zugriff auf die Kamera. Stattdessen kannst du ein Foto auswählen; die App erhält dann nur das Foto, das du auswählst, nicht deine Mediathek. Die Texterkennung läuft vollständig auf deinem iPhone. Kamerabilder und Fotos verlassen dein Gerät nicht. An unseren Server schickt die App nur den erkannten Text, der zum Finden der Karte nötig ist: Sammlernummer, Set-Kürzel, Kartenname und ob japanische Schrift erkannt wurde. Diesen Text speichern wir nicht; wir halten nur fest, ob eine Karte gefunden wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Du nutzt damit eine Funktion, die du selbst startest. Den Kamerazugriff kannst du jederzeit in den Einstellungen deines iPhones entziehen.

Speicher auf deinem iPhone: Die App speichert auf deinem Gerät

• deine Anmeldung (Zugangs- und Erneuerungs-Token sowie deine E-Mail-Adresse) im Schlüsselbund von iOS, nur für dieses Gerät,
• die zuletzt gesuchten Begriffe (höchstens zehn) und das zuletzt gewählte Sammelkartenspiel,
• einen Zwischenspeicher für Bilder und Antworten unseres Servers, den iOS verwaltet.

An uns überträgt die App davon nur die Anmeldung, die sie mit jeder Anfrage zu deinem Konto mitsendet. Beim Abmelden löscht die App die Anmeldung; alles andere entfernt iOS, wenn du die App löschst. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG.

Links: Angebote, Rechtstexte und die Kontolöschung öffnet die App in einem Browserfenster von iOS. Dort gelten die Abschnitte 5 bis 7 wie auf der Website.

Apple: Die App erhältst du über den App Store oder, während wir sie testen, über TestFlight von Apple (Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland). Für Download, Updates und dein Apple-Konto ist Apple selbst verantwortlich; es gilt die Datenschutzrichtlinie von Apple: https://www.apple.com/de/legal/privacy/. Hast du auf deinem iPhone erlaubt, Analysedaten mit App-Entwicklern zu teilen, erhalten wir von Apple Absturzberichte (mit Gerätemodell und iOS-Version) und zusammengefasste Nutzungszahlen, ohne deinen Namen oder deine E-Mail-Adresse. Nimmst du an einem Test über TestFlight teil, sehen wir außerdem den Namen und die E-Mail-Adresse, mit denen du eingeladen wurdest, sowie Feedback, Bildschirmfotos und Absturzberichte, die du über TestFlight schickst. Wir nutzen diese Daten nur, um Fehler zu finden und die App zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, für die Teilnahme an einem Test Art. 6 Abs. 1 lit. b DSGVO; unser berechtigtes Interesse liegt in einer stabilen App.

4. Konto und Funktionen

4.1 Registrierung und Anmeldung

Für ein Konto brauchst du nur deine E-Mail-Adresse. Zur Anmeldung schicken wir dir einen Einmal-Code per E-Mail; ein Passwort speichern wir nicht. Optional kannst du dein Konto mit einem zweiten Faktor (Authenticator-App) oder einem Passkey zusätzlich schützen. Wir verarbeiten:

• E-Mail-Adresse
• Zeitpunkte von Registrierung und Anmeldungen sowie technische Anmeldedaten (IP-Adresse, User-Agent) in Sicherheitsprotokollen
• gewählte Sprache und Kontoeinstellungen
• bei aktiviertem zweitem Faktor bzw. Passkey die dafür nötigen technischen Daten (z. B. öffentlicher Schlüssel); dein privater Schlüssel verlässt dein Gerät nicht

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos auf deinen Wunsch). Die Sicherheitsprotokolle verarbeiten wir zudem auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, um Missbrauch zu erkennen und abzuwehren.

Datenbank und Anmeldung betreibt für uns Supabase (Supabase, Inc., 970 Toa Payoh North #07-04, Singapore 318992) auf Servern in Frankfurt am Main (Region eu-central-1). Die E-Mails mit Anmelde-Codes versendet Resend (Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Mit beiden besteht ein Vertrag zur Auftragsverarbeitung.

4.2 Portfolio, Profil, Binder, Favoriten, Listen und gespeicherte Suchen

Wenn du Karten in dein Portfolio oder in Listen aufnimmst oder Suchen speicherst, speichern wir diese Angaben (z. B. Karte, Variante, Sprache, Menge, Zustand, Zeitpunkt) zu deinem Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

In deinem Profil kannst du freiwillig einen Anzeigenamen und ein Profilbild festlegen. Das Profilbild wählst du aus unseren vorgegebenen Figuren und Farben – hochladen kannst du nichts. Solange du keines wählst, zeigen wir eine Figur, die aus deinem Konto abgeleitet ist.

Geteilte Portfolios: Wenn du ein Portfolio teilst, kann es jeder aufrufen, der den Link kennt – mit Karten, Mengen, Zustand und Werten sowie deinem Anzeigenamen und Profilbild. Deine E-Mail-Adresse zeigen wir dabei nie. Geteilte Portfolios stehen in keiner öffentlichen Liste und sind für Suchmaschinen gesperrt; wer den Link hat, kann ihn aber weitergeben. Du kannst das Teilen jederzeit beenden oder den Link ändern – der bisherige Link funktioniert dann sofort nicht mehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Du nutzt damit eine Funktion, die du selbst einschaltest.

Binder: Wenn du einen Binder anlegst, speichern wir seinen Namen, die Beschreibung, die Regel, das Cover und die Karten, die du hineinlegst, zu deinem Konto – außerdem, welchen Bindern du folgst und wann du ihre Änderungen zuletzt angesehen hast. Gefüllt wird ein Binder mit den Karten aus deinem Portfolio; das berechnen wir beim Aufruf und speichern es nicht. Änderungen an Name, Beschreibung, Regel, Cover und Karten halten wir im Verlauf „Änderungen“ fest. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Öffentliche Binder und Folgen: Stellst du einen Binder auf „Öffentlich“, kann ihn jeder aufrufen, der den Link kennt – mit Name, Beschreibung, Regel und Cover, der Zahl der Folgenden sowie deinem Anzeigenamen und Profilbild. Wer dem Binder folgt, sieht zusätzlich seinen Änderungsverlauf. Den Inhalt deines Portfolios zeigen wir dabei nicht: Wer den Binder aufruft, sieht ihn mit den eigenen Karten gefüllt. Nur wenn du „Meinen Fortschritt zeigen“ einschaltest, sehen andere, wie viele Fächer du gefüllt hast – ohne Karten, Preise und Mengen. Wer einem Binder folgt, zeigen wir niemandem, nur die Zahl; deine E-Mail-Adresse zeigen wir nie. Öffentliche Binder stehen in keiner öffentlichen Liste und sind für Suchmaschinen gesperrt; wer den Link hat, kann ihn aber weitergeben. Ausnahme: Binder, die wir als „Empfohlen“ auszeichnen, dürfen Suchmaschinen finden, und wir nehmen sie in unsere Sitemap auf (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, gute Sammlungsziele sichtbar zu machen). Die Auszeichnung endet, sobald du den Binder auf „Privat“ stellst. Du kannst einen Binder jederzeit wieder auf „Privat“ stellen oder den Link ändern – der bisherige Link funktioniert dann sofort nicht mehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: Du nutzt damit Funktionen, die du selbst einschaltest.

Einsicht durch uns: Unsere Administratoren können im Verwaltungsbereich deine Portfolios und Binder einsehen – auch die, die du nicht teilst – mit Karten, Mengen und Werten, außerdem wie oft dein Konto KI-Assistenten nutzt (Abschnitt 4.5). Das tun wir nur, soweit es für den Betrieb nötig ist, etwa um Fehlern, Meldungen oder Missbrauch nachzugehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und fehlerfreien Betrieb des Dienstes.

4.3 Preisalarme

Legst du einen Preisalarm an, speichern wir die gewählte Karte und deine Bedingungen. Wird ein Alarm ausgelöst, schicken wir dir eine E-Mail über Resend. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Alarme kannst du jederzeit in deinem Konto löschen.

4.4 Feedback

Über „Feedback senden“ kannst du uns auf fehlerhafte Daten, technische Probleme oder Ideen hinweisen oder einen Spitznamen für eine Karte vorschlagen. Wir speichern die gewählte Art und den Grund, deine Nachricht, den vorgeschlagenen Spitznamen, das betroffene Element (Karte, Set oder Angebot), die Seite, von der aus du schreibst, die Sprache der Seite, den Zeitpunkt und – wenn du angemeldet bist – dein Konto. Bei technischen Problemen speichern wir zusätzlich Browser und Betriebssystem (etwa „Safari · iOS“), ohne Version. Um zu viele Nachrichten von derselben Quelle zu begrenzen, speichern wir statt deiner IP-Adresse nur einen pseudonymen Prüfwert (Hash). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Qualität unserer Daten und unserer Website. Den Prüfwert und den Bezug zu deinem Konto löschen wir, sobald wir das Feedback bearbeitet haben, spätestens nach 30 Tagen; das Feedback selbst bleibt danach ohne Bezug zu deiner Person erhalten. Möchtest du eine Antwort, nutze bitte das Kontaktformular (Abschnitt 3.4). Über „Binder melden“ auf einem öffentlichen Binder speichern wir die Meldung ebenso, mit dem gewählten Grund und dem Binder; der Ersteller erfährt nicht, wer gemeldet hat. Übernehmen wir einen Spitznamen, findet die Suche die Karte auch unter diesem Namen – ohne Hinweis darauf, wer ihn vorgeschlagen hat. Übernehmen wir eine Meldung zu fehlerhaften oder fehlenden Daten oder einen Spitznamen, zählen wir das für deine Abzeichen (Abschnitt 4.8) – wir behalten dafür nur die Zahl, nicht die Meldung.

Moderation von Bindern: Ändern wir einen öffentlichen Binder (Name, Beschreibung oder Cover entfernt, auf privat gestellt), halten wir fest, was wir geändert haben, warum, wann und welcher Administrator entschieden hat – als Grundlage für die E-Mail an dich und einen Widerspruch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 der Verordnung (EU) 2022/2065 (Digital Services Act) sowie Art. 6 Abs. 1 lit. f DSGVO.

4.5 Zugang für KI-Assistenten (MCP)

Du kannst einen KI-Assistenten deiner Wahl (z. B. Claude, ChatGPT oder Cursor) mit wabisabi verbinden. Er ruft dann über unseren MCP-Server Kartendaten ab und – wenn du es erlaubst – liest und ändert er dein Portfolio und deine Favoriten. Verbinden kannst du ihn auf zwei Wegen:

• Anmeldung: Die App leitet dich zu uns; du meldest dich an und erlaubst den Zugriff. Wir speichern dazu den Namen und die Rückleitungsadressen, die die App bei uns angibt, und zu deinem Konto die Verbindung (wann erteilt, wann zuletzt genutzt, ob die App schreiben darf) sowie nicht umkehrbare Prüfsummen der Anmelde-Token. Ein Zugangs-Token gilt eine Stunde, ein Erneuerungs-Token höchstens 90 Tage.
• Schlüssel: Unter „KI-Assistenten“ in deinem Konto erzeugst du einen Schlüssel. Wir speichern eine nicht umkehrbare Prüfsumme davon – den Schlüssel selbst zeigen wir dir nur einmal –, seinen Anfang und sein Ende zur Anzeige, ob er schreiben darf, wann er erzeugt und wann er zuletzt genutzt wurde.

Für beide Wege zählen wir die Zahl deiner Anfragen pro Tag, um die Nutzungsgrenzen durchzusetzen.

Den Inhalt der Anfragen speichern wir nicht; es gelten nur die Server-Logfiles aus Abschnitt 3.1. Was du deinem Assistenten schickst – etwa ein Foto einer Karte oder deine Nachrichten –, geht an dessen Anbieter, nicht an uns; dafür gelten dessen Datenschutzbestimmungen. Wir erhalten nur die Abfragen, die der Assistent an unseren Server stellt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Nutzungszähler zusätzlich Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz vor Missbrauch und Überlastung. Verbundene Apps kannst du jederzeit trennen, den Schlüssel jederzeit widerrufen oder neu erzeugen.

4.6 Konto löschen

Du kannst dein Konto jederzeit selbst in den Kontoeinstellungen löschen; in der App führt „Konto löschen“ dorthin. Dabei löschen wir dein Profil, Portfolio, deine Binder samt ihrem Änderungsverlauf, wem du folgst, Favoriten, Listen, Alarme, gespeicherten Suchen, deine Abzeichen sowie deine verbundenen KI-Assistenten, deinen Schlüssel und die Nutzungszähler. Ein laufendes Abonnement wird vorher gekündigt. Daten, die wir aus gesetzlichen Gründen aufbewahren müssen (Abschnitt 4.7), sperren wir bis zum Ablauf der Frist.

4.7 Pro-Abonnement und Zahlung

Soweit wir kostenpflichtige Pro-Funktionen anbieten, erfolgt die Zahlung über Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland). Den Bezahlvorgang führst du auf einer Seite von Stripe durch; deine Zahlungsdaten (z. B. Kartennummer) erhalten wir nicht. Wir speichern die Kunden- und Abonnement-Kennung von Stripe, den Status deines Abonnements sowie Rechnungs- und Zahlungsinformationen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, für die steuer- und handelsrechtliche Aufbewahrung (bis zu zehn Jahre), Art. 6 Abs. 1 lit. c DSGVO. Für die Verarbeitung durch Stripe gilt ergänzend die Datenschutzerklärung von Stripe: https://stripe.com/de/privacy.

4.8 Abzeichen

Für bestimmte Dinge, die wir selbst prüfen können, vergeben wir Abzeichen an dein Konto: für die Treue (Gründungsmitglied – eines der ersten 1.000 Konten mit bestätigter E-Mail-Adresse, mit Nummer nach der Reihenfolge der Bestätigung –, und die Jahre seit dem Anlegen deines Kontos), für Meldungen, die wir übernommen haben, und für deine Binder (öffentlich gestellt, Zahl der Folgenden, von uns empfohlen). Dazu speichern wir zu deinem Konto, welches Abzeichen du in welcher Stufe seit wann hast und ob du es schon angesehen hast, sowie je Art die Zahl der übernommenen Meldungen. Ein Abzeichen („VIP“) vergeben unsere Administratoren von Hand, ohne feste Bedingung; dafür speichern wir, wer es vergeben hat, und eine kurze interne Notiz zum Grund, die nur unsere Administratoren sehen (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, nachvollziehen zu können, warum wir es vergeben haben). Nehmen wir es zurück, löschen wir das Abzeichen samt Notiz. Abzeichen vergeben wir nie für den Inhalt oder Wert deines Portfolios, für Besuche oder für Käufe über Partnerlinks. Bis zu drei Abzeichen kannst du in deine „Vitrine“ legen; dafür speichern wir ihre Reihenfolge. Deine Abzeichen siehst nur du – solange du ein Portfolio teilst (Abschnitt 4.2), sehen alle mit dem Link dort zusätzlich deine Vitrine und deine erreichten Abzeichen mit Stufe, Datum und gegebenenfalls Gründungsnummer, nicht aber die Zahl deiner Meldungen oder deinen Fortschritt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5. Cookies und Speicher im Browser

Wir speichern nur Informationen in deinem Browser, die für den Betrieb unbedingt erforderlich sind oder die du ausdrücklich wünschst (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich, deshalb gibt es kein Cookie-Banner.

Cookies

• sb-…-auth-token: hält dich angemeldet; bis zur Abmeldung bzw. bis zum Ablauf der Sitzung.
• tcg_lang: speichert die gewählte Sprache; 1 Jahr.
• tcg_game: speichert das zuletzt gewählte Sammelkartenspiel (z. B. Pokémon); 1 Jahr.
• tcg_price_pref: speichert deine Preisanzeige (z. B. Zustand und Sprache); 1 Jahr.
• __cf_bm (Cloudflare): erkennt Bots und schützt vor Missbrauch; 30 Minuten. Ein gleichnamiges Cookie für supabase.co entsteht beim Laden der Bilder (Abschnitt 3.3); es dient demselben Zweck und läuft ebenfalls nach 30 Minuten ab.

Lokaler Speicher (localStorage)

• Darstellung (hell, dunkel oder System)
• zuletzt gesuchte Begriffe, gewählte Ansicht und Tabelleneinstellungen
• umami.disabled: nur wenn du die Statistik ausgeschaltet hast (Abschnitt 6)

Diese Einträge bleiben, bis du sie in deinem Browser löschst.

Sitzungsspeicher (sessionStorage)

• wabisabi:badge-notice: nur wenn du angemeldet bist – merkt, dass wir dir den Hinweis auf neue Abzeichen schon gezeigt haben, damit er nicht auf jeder Seite wiederkommt; bis du den Tab schließt.

Keiner dieser Einträge wird an uns übertragen, mit Ausnahme der Cookies, die dein Browser bei jedem Aufruf mitsendet.

6. Reichweitenmessung mit Umami

Um zu verstehen, welche Seiten genutzt werden, verwenden wir Umami. Umami betreiben wir selbst auf unseren Servern bei Railway in den Niederlanden; die Daten werden nicht an Dritte weitergegeben. Umami setzt keine Cookies und speichert nichts in deinem Browser. Erfasst werden:

• aufgerufene Seite, Referrer und Zeitpunkt
• Browser, Betriebssystem, Gerätetyp, Bildschirmgröße und Sprache
• Land, abgeleitet aus der IP-Adresse; die IP-Adresse selbst wird nicht gespeichert
• einzelne Ereignisse ohne Bezug zu deinem Konto, z. B. dass eine Karte zu den Favoriten hinzugefügt wurde

Um Aufrufe desselben Besuchers zusammenzufassen, bildet Umami aus IP-Adresse, User-Agent und einem Wert, der zu Beginn jedes Kalendermonats wechselt, eine Prüfsumme, aus der sich deine IP-Adresse nicht zurückgewinnen lässt. Über den Monatswechsel hinaus wirst du dadurch nicht wiedererkannt. Die Auswertung erfolgt ausschließlich in zusammengefasster Form.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, unser Angebot zu verbessern. Sendet dein Browser das Signal „Do Not Track“, wirst du nicht erfasst. Außerdem kannst du die Statistik unten auf dieser Seite für deinen Browser ausschalten.

7. Links zu Marktplätzen und Affiliate-Links

Wir verlinken auf Angebote bei eBay, Cardmarket und CardNexus. Erst wenn du einen Link anklickst, gelangst du auf deren Website; ab dann gelten deren Datenschutzbestimmungen.

Links auf Angebote, die wir über KI-Assistenten herausgeben (Abschnitt 4.5), führen zuerst auf eine Weiterleitungsseite bei uns, die das Ziel anzeigt. Zu eBay geht es erst nach deinem Klick, zu Cardmarket nach wenigen Sekunden. Die Sprache der Seite richten wir nach der Spracheinstellung deines Browsers, wenn du keine gewählt hast. Dabei verarbeiten wir nur die Daten aus Abschnitt 3.1.

Links zu eBay sind Affiliate-Links des eBay Partner Network (eBay GmbH, Albert-Einstein-Ring 2–6, 14532 Kleinmachnow). Beim Klick wird eine Kennung in den Link aufgenommen, damit eBay einen Kauf uns zuordnen und eine Provision zahlen kann. Auf unserer Website werden dafür keine Cookies gesetzt und keine Daten an eBay übermittelt; eBay verarbeitet die Daten nach dem Klick in eigener Verantwortung: https://www.ebay.de/help/policies/member-behaviour-policies/user-privacy-notice-privacy-policy?id=4260.

Links zu CardNexus (CardNexus SAS, 68 avenue Jules Guesde, 33110 Le Bouscat, Frankreich) sind Affiliate-Links des Partnerprogramms von CardNexus. Der Link enthält unsere Partnerkennung und führt über eine Weiterleitung zum Angebot, damit ein Kauf uns zugeordnet werden kann. Die Weiterleitung und die Zuordnung übernimmt für CardNexus der Dienstleister Impact (Impact Tech, Inc., Santa Barbara, USA; https://impact.com/privacy-policy/). Auf unserer Website werden dafür keine Cookies gesetzt und keine Daten an CardNexus oder Impact übermittelt; nach dem Klick verarbeitet CardNexus die Daten in eigener Verantwortung: https://app.termly.io/policy-viewer/policy.html?policyUUID=049cd8d0-e94e-49b8-9caa-233bab4a957a.

8. Angebote von Marktplätzen

Für den Preisvergleich erheben wir öffentlich einsehbare Angebote von eBay (über die offizielle Schnittstelle von eBay) und Cardmarket: Titel, Preis, Versandkosten, Zustand, Sprache, Link zum Angebot und bei eBay, ob der Artikel aus einem Land außerhalb der EU versendet wird (für den Hinweis auf mögliche weitere Kosten). Von CardNexus erhalten wir über deren Schnittstelle nur zusammengefasste Angebotsdaten: günstigster Preis und Anzahl der Angebote je Karte, Zustand und Sprache. Angaben zum Verkäufer – etwa Name, Bewertung oder Standort – speichern und zeigen wir nicht. Wer ein Angebot eingestellt hat, siehst du erst auf dem jeweiligen Marktplatz.

Angebote löschen wir 90 Tage, nachdem sie zuletzt auf dem Marktplatz zu sehen waren. Angebote, die nachweislich verkauft wurden, behalten wir als Verkaufspreis zwei Jahre nach dem Verkauf, für die Preisentwicklung einer Karte. Darüber hinaus bleiben nur Durchschnitts- und Tiefstpreise je Karte.

9. E-Mails

Wir senden dir E-Mails nur, wenn sie zu einer Funktion gehören, die du nutzt: Anmelde-Codes, ausgelöste Preisalarme, wichtige Hinweise zu deinem Konto oder Abonnement und Antworten auf deine Anfragen. Einen Newsletter versenden wir nicht. Der Versand erfolgt über Resend (Abschnitt 4.1).

10. Empfänger und Übermittlung in Drittländer

Wir geben personenbezogene Daten nur an die in dieser Erklärung genannten Dienstleister (einschließlich Proton für unser E-Mail-Postfach, Abschnitt 3.4) weiter, die sie in unserem Auftrag und nach unseren Weisungen verarbeiten (Art. 28 DSGVO), sowie an Stripe als eigenständig Verantwortlichen für die Zahlungsabwicklung. Apple ist für den Vertrieb unserer App eigenständig verantwortlich (Abschnitt 3.6).

Einige Dienstleister haben ihren Sitz in den USA (Railway, Cloudflare, Resend) bzw. gehören zu Unternehmen mit Sitz außerhalb der EU (Supabase). Auch wenn unsere Server in der EU stehen, ist ein Zugriff aus diesen Ländern nicht auszuschließen. Die Übermittlung stützen wir auf einen Angemessenheitsbeschluss der EU-Kommission (EU-U.S. Data Privacy Framework, Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie stellen wir dir auf Anfrage zur Verfügung.

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Kontodaten und die Daten deiner Funktionen: bis du dein Konto löschst
• Änderungsverlauf eines Binders: die letzten 100 Einträge je Binder, bis du den Binder oder dein Konto löschst
• verbundene KI-Assistenten und Schlüssel: bis du sie trennst bzw. widerrufst oder dein Konto löschst; Anmelde-Token: höchstens 90 Tage; die Zahl der Anfragen pro Tag: 90 Tage
• Server-Logfiles: höchstens 30 Tage
• Daten der App auf deinem iPhone (Abschnitt 3.6): die Anmeldung bis du dich abmeldest, alles andere bis du die App löschst
• Sicherheitsprotokolle der Anmeldung: 7 Tage
• Sicherheitsereignisse (Abschnitt 3.5): 30 Tage
• Angebote von Marktplätzen (ohne Verkäuferangaben): 90 Tage, nachdem das Angebot zuletzt zu sehen war; verkaufte Angebote: zwei Jahre nach dem Verkauf
• Feedback (Abschnitt 4.4): Prüfwert und Bezug zu deinem Konto bis zur Bearbeitung, höchstens 30 Tage; danach das Feedback ohne Bezug zu deiner Person
• Entscheidungen zur Moderation deiner Binder (Abschnitt 4.4): bis du dein Konto löschst
• Abzeichen und die Zahl übernommener Meldungen (Abschnitt 4.8): bis du dein Konto löschst; die interne Notiz zum Abzeichen „VIP“, solange du es hast; die Nummer als Gründungsmitglied vergeben wir danach nicht neu, sie ist dann keinem Konto mehr zugeordnet
• Kontaktanfragen: höchstens zwölf Monate nach Eingang
• Rechnungs- und Zahlungsdaten: bis zu zehn Jahre (gesetzliche Aufbewahrungspflicht)

12. Deine Rechte

Du hast das Recht auf

• Auskunft über die Daten, die wir über dich verarbeiten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Für all das genügt eine formlose Nachricht an [email protected] oder über unser Kontaktformular.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der Behörde deines Wohnorts oder der für uns zuständigen Behörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

13. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Für die Nutzung der Website ohne Konto musst du keine Daten angeben. Für ein Konto ist die E-Mail-Adresse erforderlich; ohne sie können wir kein Konto anlegen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.