Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Mikail Fettah Fettah Cards & Trading Neckarstraße 4 12053 Berlin Deutschland E-Mail: tcgfolio@outlook.de

Hosting und Bereitstellung

Wir hosten unsere Web-App bei Vercel Inc., USA. Vercel stellt Hosting, Deployment, Serverless/API-Laufzeit, Content Delivery Network und technische Sicherheits- sowie Fehlerlogs bereit.

Dabei können insbesondere folgende Daten verarbeitet werden:

IP-Adresse
Datum und Uhrzeit des Zugriffs
aufgerufene URL und HTTP-Methode
Browser- und Geräteinformationen
Referrer-Informationen
technische Log- und Fehlerdaten

Hosting – Rechtsgrundlage

Die Verarbeitung erfolgt zur sicheren, stabilen und schnellen Bereitstellung der App. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren Betrieb, der Fehleranalyse, der Abwehr von Missbrauch und der Bereitstellung unserer App.

Weitere Informationen: Vercel Datenschutzerklärung (https://vercel.com/legal/privacy-policy) und Vercel Data Processing Addendum (https://vercel.com/legal/dpa).

Backend, Authentifizierung und Datenbank

Wir verwenden Supabase als Backend-Dienstleister. Supabase stellt Authentifizierung, Postgres-Datenbank, Row Level Security, Datenbank-Backups und serverseitige Verwaltungsfunktionen bereit.

Dabei verarbeiten wir insbesondere:

Accountdaten wie User-ID, E-Mail-Adresse und Login-Zeitpunkte
Profildaten wie Username, Sichtbarkeit und Avatar-Auswahl
Sammlungsdaten wie Karten-IDs, Menge, Zustand, Sprache, Variante, Preise, Lagerdaten und Notizen
Wishlist-Daten wie Karten-ID, Priorität, Status, Wunschpreis und Notizen
Inventar-, Album-, Ziel- und Fortschrittsdaten
Sicherheits-Audit-Logs und eigene Produktanalytics

Backend – Rechtsgrundlage

Die Verarbeitung erfolgt zur Bereitstellung des Nutzerkontos und der Sammlungsfunktionen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Sicherheitslogs und betriebsnotwendige technische Verarbeitung erfolgen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Weitere Informationen: Supabase (https://supabase.com), Supabase Datenschutz- und Vertragsunterlagen (https://supabase.com/terms) und Supabase DPA.

Cookies und lokale Speicherung

Wir setzen keine Werbe- oder Tracking-Cookies ein und binden keine externen Analyse- oder Marketing-Cookies ein.

Für den Login speichern wir notwendige Authentifizierungs-Token (Session). Diese werden – soweit technisch möglich – in HttpOnly-Cookies abgelegt. Zusätzlich speichern wir technische Voreinstellungen wie deine gewählte Sprache und dein Theme im lokalen Speicher (localStorage) deines Browsers bzw. Geräts.

Diese Speicherung ist für den Betrieb der App technisch erforderlich. Rechtsgrundlage ist § 25 Abs. 2 TDDDG (technisch erforderliche Speicherung) sowie Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Eigene Produktanalytics

Wir verwenden keine externe Analytics-Plattform. Zur Verbesserung der App erfassen wir wenige eigene Produkt-Ereignisse und speichern diese in unserer Supabase-Datenbank. Erfasst werden können zum Beispiel: Registrierung abgeschlossen, Onboarding abgeschlossen, Feature geöffnet, Kartensuche durchgeführt, Karte zur Sammlung hinzugefügt, Karte zur Wishlist hinzugefügt.

Wir speichern dabei keine rohen Suchbegriffe, keine Kartennamen und keine hochgeladenen Kartenbilder. Bei Suchanfragen speichern wir nur abgeleitete Werte wie Suchtyp, ungefähre Suchlänge, Ergebnisanzahl und ob die Suche erfolgreich war. Es wird keine persistente Analytics-ID im Browser-localStorage gespeichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, zu verstehen, ob neue Nutzer die Kernfunktionen finden, wo Suchen fehlschlagen und welche Funktionen verbessert werden müssen.

Scanner

Der Scanner verarbeitet Kartenbilder im normalen Flow lokal im Browser bzw. auf dem Gerät. Kartenbilder werden für den normalen Scan nicht dauerhaft in Supabase gespeichert und nicht an externe KI-Dienste übermittelt.

Gespeichert werden können technische Scan-Ergebnisse wie erkannte Karten-ID, Set, Kartennummer, Match-Status und Zeitpunkt des Scans. Diese Daten werden benötigt, um Scan-Verlauf, Limits und Verbesserungen der Erkennung zu ermöglichen.

Sicherheits-Audit-Logs mit gehashten IP-Fingerprint-Daten, gekürztem User-Agent und technischen Metadaten werden für 180 Tage aufbewahrt und danach automatisch gelöscht.

Externe Kartendaten

Für Karten-, Set-, Bild- und Preisinformationen nutzt TCGFolio externe TCG-Datenquellen, insbesondere die Pokémon TCG API und für Yu-Gi-Oh-Funktionen YGOPRODeck. Dabei können Suchbegriffe, Kartennummern oder Karten-IDs an diese Anbieter übermittelt werden. Accountdaten wie E-Mail-Adresse oder User-ID werden dabei nicht übermittelt.

Die Verarbeitung erfolgt zur Bereitstellung der Such-, Binder-, Wishlist-, Pokédex- und Scannerfunktionen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Zahlungsabwicklung (TCGFolio Pro)

Für die Abwicklung kostenpflichtiger Funktionen (TCGFolio Pro) nutzen wir den Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Irland; für bestimmte Verarbeitungsschritte Stripe, Inc., USA).

Bei einer Bezahlung werden die Zahlungsdaten direkt durch Stripe verarbeitet, insbesondere Name, E-Mail-Adresse, Zahlungsmittel- und Rechnungsdaten sowie Transaktions- und Betragsinformationen. Wir selbst speichern keine vollständigen Zahlungsmitteldaten (z. B. vollständige Kreditkartennummern). Von Stripe erhalten wir lediglich Status- und Abo-Informationen, etwa ob ein Pro-Zugang aktiv ist, sowie Kunden- und Abo-Kennungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags über den Pro-Zugang) sowie Art. 6 Abs. 1 lit. f DSGVO (sicherer Zahlungsbetrieb und Betrugsprävention). Weitere Informationen findest du in der Datenschutzerklärung von Stripe unter https://stripe.com/privacy.

Datenexport und Löschung

Nutzer können ihre Daten in der App exportieren und ihr Konto löschen. Der Export umfasst Konto-, Profil-, Sammlungs-, Wishlist-, Album-, Inventar-, Erfolgs- und eigene Analytics-Daten.

Bei einer Kontolöschung werden App-Daten gelöscht und der Supabase-Auth-Nutzer serverseitig entfernt, soweit die Serverkonfiguration vollständig eingerichtet ist. Sicherheitsrelevante Audit-Logs können für eine begrenzte Zeit zur Missbrauchsabwehr und Nachvollziehbarkeit sicherheitsrelevanter Vorgänge aufbewahrt werden.

Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorgeben.

Account- und Sammlungsdaten: bis zur Löschung des Kontos durch dich.
Sicherheits-Audit-Logs: 180 Tage, danach automatische Löschung.
Zahlungs- und Rechnungsdaten: im Rahmen der gesetzlichen handels- und steuerrechtlichen Aufbewahrungsfristen (in der Regel bis zu 10 Jahre).

Datenübermittlung in Drittländer

Einige der eingesetzten Dienstleister (insbesondere Vercel, Supabase und Stripe) können Daten in den USA oder anderen Drittländern verarbeiten. Soweit Daten in ein Drittland außerhalb der EU/des EWR übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien, insbesondere der Standardvertragsklauseln der EU-Kommission (Art. 46 DSGVO) bzw. eines bestehenden Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework).

Deine Rechte

Dir stehen nach der DSGVO insbesondere folgende Rechte zu:

Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung deiner Daten (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)

Widerruf und Kontakt zur Ausübung deiner Rechte

Soweit eine Verarbeitung auf einer Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung deiner Rechte genügt eine Nachricht an tcgfolio@outlook.de. Viele Rechte (Export, Berichtigung, Löschung) kannst du zudem direkt in der App unter „Profil → Deine Daten“ ausüben.

Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit Alt-Moabit 59-61 10555 Berlin https://www.datenschutz-berlin.de

Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitung ändert. Es gilt jeweils die hier veröffentlichte aktuelle Fassung.