Datenschutzerklärung

ENTWURF: Die mit [ ] markierten Angaben müssen vom Betreiber ausgefüllt und der Text rechtlich geprüft werden, bevor die App öffentlich beworben wird.

1. Verantwortlicher

[Vor- und Nachname / Firma]
[Straße Hausnummer, PLZ Ort, Land]
E-Mail: [Kontakt-E-Mail]

2. Welche Daten wir verarbeiten

Konto: E-Mail-Adresse, Passwort (nur als Argon2-Hash), optionaler Nutzername, optionales Profilbild, Zeitpunkt der Registrierung und der E-Mail-Bestätigung.
Sammlung und Funktionen: deine gescannten/gespeicherten Karten (Variante, Zustand, Menge, Preise, optional Einkaufspreis und Preis-Alarm), Wunschliste, Freundschaften, Tauschangebote, Abzeichen, Sichtbarkeits-Einstellungen, tägliche Wert-Verläufe und Scan-Zähler.
Passkeys: öffentliche Schlüssel und Gerätebezeichnung (kein privater Schlüssel).
Sitzungs-Cookie: ein technisch notwendiges Cookie (sid) hält dich angemeldet. Es gibt kein Tracking und keine Werbe-Cookies.
Server-Logs: IP-Adresse und Zeitpunkt der Anfragen (technisch notwendig für Betrieb und Sicherheit).
Einladungs-Links und Freundes-Hinweise: Für Freundschaftsanfragen erzeugen wir Einladungs-Links (zufälliges Token, 7 Tage gültig, widerrufbar). Öffnet jemand den Link, zeigt die Link-Vorschau in Messengern deinen Nutzernamen („@name lädt dich ein"); das kannst du unter Freunde → Datenschutz abschalten. Wir speichern außerdem Blockierlisten, abgelehnte Anfragen (zur Wiederholungs-Sperre) und kurzlebige Hinweise zu Anfragen/Annahmen.
Benachrichtigungen (optional): Wenn du Web-Push aktivierst, speichern wir die Adresse deines Browser-Push-Dienstes und die Verschlüsselungsschlüssel deines Geräts. Gesendet werden nur kurze Hinweise mit Nutzernamen (z. B. „@name möchte dein Freund sein"), keine Sammlungsinhalte. Du kannst die Benachrichtigungen jederzeit ausschalten; das Abo wird dann gelöscht.
Wechselkurse: Für umgerechnete Preise rufen wir täglich die öffentlichen Referenzkurse der Europäischen Zentralbank ab (kein Personenbezug). Set-Logos, die TCGdex nicht liefert, laden wir serverseitig von pokemontcg.io.
Fotos: Kamerabilder werden zur Kartenerkennung im Browser auf deinem Gerät verarbeitet (OCR). Fotos der Schnell-Scan-Warteschlange und Karten-Fotos bleiben auf deinem Gerät.

3. Zwecke und Rechtsgrundlagen

Bereitstellung der App und deines Kontos (Art. 6 Abs. 1 lit. b DSGVO), Sicherheit und Missbrauchsabwehr (lit. f), E-Mail-Versand für Bestätigung, Passwort-Reset und – nur wenn du einen Preis-Alarm setzt – Alarm-Mails (lit. b).

4. Empfänger und Dienstleister

TCGdex (api.tcgdex.net): Kartendaten und Preise werden von deinem Browser direkt abgerufen; dabei wird deine IP-Adresse an TCGdex übermittelt. Kartenbilder laufen über unseren Server.
Übersetzungsdienst MyMemory: Kartentexte (keine personenbezogenen Daten) werden serverseitig übersetzt.
pokemonpricetracker.com: Abfrage von Preisen für bewertete Karten (ohne Personenbezug).
E-Mail-Versand: [SMTP-Anbieter, z. B. STRATO AG].
Hosting: [Eigener Server in Deutschland / Anbieter eintragen].

5. Speicherdauer

Deine Daten bleiben bis zur Löschung deines Kontos gespeichert. Server-Backups werden nach spätestens [7–14] Tagen überschrieben.

6. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie auf Beschwerde bei einer Aufsichtsbehörde. In der App unter Einstellungen → Daten & Datenschutz kannst du alle deine Daten als JSON herunterladen und dein Konto samt aller Daten endgültig löschen.

7. Änderungen

Stand: [Datum]. Wir passen diese Erklärung an, wenn sich die App ändert.