Privatlivspolitik

1. Dataansvarlig

Ansvarlig for databehandlingen på denne hjemmeside er:
Tim Schneider
TradeDay&Night (Einzelunternehmen)
Cranachstr. 2
64546 Mörfelden-Walldorf
Tyskland
kontakt@tradedaynight.de

Der er ikke udpeget en databeskyttelsesrådgiver. De lovbestemte tærskler i § 38 BDSG (den tyske databeskyttelseslov) nås ikke.

2. Hvilke data vi behandler

Ved driften af platformen behandles følgende data:

• Kontodata: E-mailadresse, brugernavn, adgangskode (gemmes kun som hashværdi), tidspunktet for registrering og login. Brugernavnet vælger du selv ved registreringen (3 til 20 tegn, kan højst ændres hver 30. dag). Det er offentligt synligt – for eksempel ved dit bord, ved bedømmelser og i chatten –, derfor bør det hverken indeholde dit fulde navn eller kontaktoplysninger. Din fødselsdato spørger vi kun om ved registreringen for at kontrollere, at du er myndig; vi gemmer kun tidspunktet for denne bekræftelse, ikke datoen.
• Login med Google eller Apple: Logger du ind med din Google-konto, sender Google os din e-mailadresse, dit navn og en identifikator for din Google-konto; med dem opretter vi din konto eller logger dig ind. Din adgangskode hos Google får vi ikke at vide. Udbyder er Google Ireland Limited (Irland); en overførsel til Google LLC (USA) er mulig. Login med Apple (Apple Distribution International Ltd., Irland) tilbyder vi, så snart det er aktiveret; der kan du skjule din e-mailadresse. Retsgrundlaget er opfyldelsen af brugsaftalen (GDPR art. 6, stk. 1, litra b).
• Profildata: Sælgerstatus, medlemskabsstatus, bedømmelser.
• Indhold: Tilbud, produktbilleder, chatbeskeder, pris- og byttetilbud mellem brugerne. Ændrer nogen prisen på et kort, lægger et nyt kort op eller sletter et, gemmer vi kortets titel, prisen – ved en ændring den gamle og den nye, ved et slettet kort den sidste –, hvem der gjorde det og hvornår; kun bordets ejer kan se det. Efter tolv måneder sletter vi disse poster automatisk.
• Chats og deres opbevaring: Beskeder, tilbud og billeder i chatten til en forespørgsel ser kun de involverede – hos sælgeren også de medarbejdere, der har adgang. Med »Skjul for mig« fjerner du en afsluttet chat fra din liste. Chats uden betalt køb sletter vi, så snart alle involverede har skjult dem, ellers syv dage efter at de er afsluttet. Ved et betalt køb sletter vi indholdet af chatten (beskeder og billeder) tolv måneder efter den seneste ændring af ordren; forespørgsel, ordre, bedømmelse og linjen med det accepterede tilbud bevares som dokumentation. Så længe et problem eller en tvist er åben, eller en anmeldelse af chatten endnu ikke er afgjort, sletter vi ikke. Retsgrundlaget er GDPR art. 6, stk. 1, litra b (gennemførelse af handlen) og litra f (dokumentation ved tilbageførsler og krav fra købet). En chat uden køb, hvor der ikke er sket noget i 30 dage, regnes også som afsluttet; sletningen varsler vi på forhånd i chatten. Om nye beskeder, tilbud og forespørgsler i chatten giver vi dig desuden besked pr. e-mail. Disse e-mails kan du til enhver tid afmelde – under »Min konto« → »Notifikationer« eller via linket i hver af disse e-mails; til det gemmer vi et tilfældigt id pr. konto, som vi sletter sammen med kontoen. Notifikationer i appen påvirkes ikke, og e-mails om ordrer, betalinger, frister og sikkerheden på din konto får du stadig.
• Billeder og videoer: Ved upload gør vi billeder mindre og fjerner indlejrede oplysninger som kamera, optagelsestidspunkt og optagelsessted; ved videoer fjerner vi optagelsesstedet. Billeder og videoer af dine kort er offentligt synlige, så længe kortet udbydes.
• Leveringsadresse: Fornavn, efternavn, gade, husnummer, postnummer, by og land. Disse data vises først for den anden aftalepart, når en handel er bindende bekræftet og betalt – inden da er de ikke synlige for modparten. Vi beder ikke om et telefonnummer og gemmer intet, så længe vi ikke tilbyder forsendelseslabels; numre, der tidligere er angivet frivilligt, har vi slettet.
• Ordre- og betalingsdata: Ordrenummer, beløb, forsendelsesomkostninger, kommissionssats, ordrens status, tidspunkterne for betaling, afsendelse og modtagelsesbekræftelse samt betalingens identifikation hos betalingsudbyderen. Kreditkort-, konto- og legitimationsdata behandles ikke af os, men udelukkende af betalingsudbyderen Stripe; vi ser dem på intet tidspunkt.
• Betalingsmåder ved købet: Der betales på Stripes betalingsside. Hvilke betalingsmåder der vises der, afhænger af dit land, beløbet og din enhed: kort, Apple Pay, Google Pay, Link (betalingsoplysninger gemt hos Stripe), bankoverførsel, iDEAL, Bancontact, EPS, Przelewy24, Revolut Pay, Amazon Pay, MobilePay, MB WAY, Multibanco og Satispay. Dine betalingsoplysninger indtaster du direkte hos Stripe eller hos den pågældende tjeneste; vi ser kun beløb, tidspunkt, betalingsmåde og betalingens id. Afhængigt af betalingsmåden behandler desuden under eget ansvar: kortorganisationerne og din bank; Apple eller Google til godkendelsen på din enhed (Apple Pay, Google Pay); ved Revolut Pay, Amazon Pay, MobilePay, MB WAY og Satispay den pågældende udbyder; ved iDEAL, Bancontact, EPS, Przelewy24, Multibanco og bankoverførsel din bank og operatøren af ordningen. Deres respektive privatlivspolitikker gælder. Retsgrundlaget er art. 6, stk. 1, litra b, i GDPR. Tilbyder Stripe dig PayPal, behandler PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg) desuden dine oplysninger under eget ansvar.
• Tilbageførsler: Får en køber en betaling tilbageført via sin bank, sender vi betalingsudbyderen Stripe dokumentation fra ordren, som Stripe videregiver til køberens bank: ordrenummer, ordretype og kortenes titler, bordets navn med oplysning om, hvorvidt der sælges privat eller erhvervsmæssigt, sælgerens og køberens brugernavne på TradeDay&Night, betalingens beløb og tidspunkt, fragtfirma, forsendelsesnummer og afsendelsesdato, postnummer og land for leveringsadressen, om og hvornår modtagelsen blev bekræftet, samt ordrens forløb (betaling, forsendelse, modtagelse, anmeldte problemer, tilbagebetalinger). Er det ikke nok, supplerer vi i enkelte tilfælde med yderligere dokumentation fra ordren, f.eks. et uddrag af dens chat. Retsgrundlaget er vores og sælgerens legitime interesse i at afværge uberettigede tilbageførsler (GDPR art. 6, stk. 1, litra f).
• Saldi på sælgernes udbetalingskonti: Én gang om dagen henter vi hos Stripe saldoen på hver sælgers udbetalingskonto – beløb, valuta og om direkte debitering af en negativ saldo er sat op – og gemmer kun den seneste status på sælgerens konto; kun vi kan se den. Sådan opdager vi en negativ saldo, f.eks. efter en tilbageførsel, og kan kræve udestående beløb betalt. Ved afstemningen af udbetalingskontoen gemmer vi desuden land og valuta for den tilknyttede bankkonto, og om Stripe kan udligne en negativ saldo via direkte debitering; det afgør ventetiden før udbetaling (7 eller 30 dage). Retsgrundlaget er GDPR art. 6, stk. 1, litra b og litra f.
• Minimumsalder for sælgere: Ved hver afstemning af en sælgers udbetalingskonto tjekker vi, om Stripe registrerer kontohaveren som mindreårig – ud fra fødselsdatoen, i det omfang Stripe videregiver den til os, og ud fra, om Stripe kræver eller har registreret en værge. Vi gemmer kun resultatet, ikke fødselsdatoen. Er kontohaveren under 18, forbliver åbning af et bord og salg spærret, fordi TradeDay&Night først må bruges fra 18 år. Retsgrundlaget er GDPR art. 6, stk. 1, litra b og litra f.
• Udestående krav og inkasso: Skylder en bruger os et beløb efter en tilbageførsel, gemmer vi kravet med konto, ordre, beløb, gebyr, årsag og status. Forbliver det ubetalt, kan vi overdrage det til et inkassobureau med de oplysninger, der er nødvendige til det – navn, adresse, e-mailadresse, ordre og beløb; det sker kun ved et udestående krav. Retsgrundlaget er vores legitime interesse i at gøre vores krav gældende (GDPR art. 6, stk. 1, litra f). Oplysningerne om kravet opbevarer vi som de øvrige ordre- og betalingsdata (afsnit 6).
• Oplysninger til en politianmeldelse ved delbytte: Sender en sælger ved et delbytte ikke køberens kort tilbage rettidigt, stiller vi oplysninger til en politianmeldelse til rådighed for køberen. Ud over oplysningerne om ordren indeholder de sælgerens navn og adresse – den leveringsadresse, der allerede blev frigivet til køberen ved delbyttet – og for erhvervsdrivende sælgere sælgeroplysningerne. Retsgrundlaget er køberens legitime interesse i at kræve sine kort tilbage og anmelde forholdet (GDPR art. 6, stk. 1, litra f). Til de efterforskende myndigheder udleverer vi disse oplysninger på anmodning (GDPR art. 6, stk. 1, litra c eller litra f).
• Omtrentlig placering: Når du åbner en side, udleder vores hostingudbyder Vercel dit land og en omtrentlig placering (cirka på byniveau) af din IP-adresse og videregiver begge dele til vores servere. Vi bruger kun disse oplysninger til at vise messer og sælgerborde i rækkefølge efter nærhed og til at fortælle dig, om et bord leverer til dit land. Er du logget ind og har gemt en leveringsadresse, bruger vi i stedet landet fra denne adresse. Oplysningerne gemmes ikke, knyttes ikke til din konto og videregives ikke til tredjemand; der bliver hverken vist eller skjult noget, kun rækkefølgen ændrer sig. Retsgrundlaget er vores legitime interesse i en overskuelig fremstilling, der passer til dig (GDPR art. 6, stk. 1, litra f). Derudover vælger vi sproget ud fra dette land, hvis du åbner en adresse uden sprogangivelse, og hverken et tidligere valgt sprog eller din browsers sprogindstilling passer til et af vores sprog.
• Sælgernes skatteoplysninger: Sælgere angiver navn, adresse, fødselsdato eller handelsregisternummer, skatteidentifikationsnummer, i givet fald momsregistreringsnummer og frivilligt deres bankforbindelse. Platformsoperatører skal efter den tyske lov om skattegennemsigtighed for platforme (PStTG, EU-direktivet DAC7) én gang om året indberette sælgere, antallet af deres salg, omsætning og tilbageholdte gebyrer til den tyske føderale centrale skattemyndighed (BZSt); BZSt kan videregive oplysningerne til skattemyndighederne i andre EU-lande. Kun den, der når de lovbestemte tærskler (30 salg eller mere end 2.000 € om året), bliver indberettet. Mangler oplysningerne, når en sælger bliver indberetningspligtig, anmoder vi om dem og minder om det to gange (efter 20 og 40 dage); foreligger de ikke efter 60 dage, er nye salg sat på pause, indtil de er der (§ 22 PStTG). Et oplyst momsregistreringsnummer – fra sælgere og ved køb til en virksomhed også fra købere – kontrollerer vi i Europa-Kommissionens system til udveksling af momsoplysninger (VIES); kun nummeret sendes dertil, og svaret angiver, om det er gyldigt, og i givet fald det navn, der er registreret til det. Retsgrundlaget er GDPR art. 6, stk. 1, litra c. Oplysningerne opbevares i ti år, som loven kræver. Sælgere uden skatteoplysninger kan frivilligt angive en faktureringsadresse (navn eller firma og adresse) under deres udbetalingskonto, så deres kommissionsbilag får et bilagsnummer (GDPR art. 6, stk. 1, litra b); den kan til enhver tid fjernes og slettes sammen med kontoen, mens allerede udstedte bilag opbevares som fakturaer.
• Private sælgere – optælling, kontrolpause og egenerklæring: For borde, der drives som private, tæller vi pr. kalenderår de betalte salg og deres sum. Fra 20 salg eller 1.500 € gør vi opmærksom på det; fra 30 salg eller 2.000 € er nye salg sat på pause, indtil sælgeren har angivet sine skatteoplysninger fuldstændigt og besvaret en egenerklæring (for eksempel: Køber du målrettet for at videresælge? Sælger du nye varer?). Til det vurderer vi også kortene på sælgerens bord – hvor ofte det samme kort forekommer, og hvor mange forseglede varer der er imellem. Er svarene uproblematiske, slutter pausen automatisk; ellers vurderer et menneske sagen. Pausen opstår automatisk og er foreløbig; en spærring sætter altid et menneske. Du kan til enhver tid via kontaktformularen kræve, at et menneske vurderer sagen. Optælling, svar og afgørelse opbevarer vi til udgangen af det tredje år efter det pågældende kalenderår. Der er ikke knyttet nogen meddelelse til skattemyndighederne til dette. Retsgrundlaget er vores legitime interesse og købernes interesse i, at ingen optræder som privat, der handler erhvervsmæssigt (GDPR art. 6, stk. 1, litra f).
• Optegnelser efter § 22f i den tyske momslov: For hvert salg på TradeDay&Night registrerer vi, hvad § 22f i den tyske momslov (UStG) kræver: sælgerens navn og adresse (for private sælgere også fødselsdato, for erhvervsdrivende e-mailadresse og momsregistreringsnummer), skattenummer og bankoplysninger, hvis de er kendt, afsendelseslandet, land, postnummer og by for leveringen, tidspunkt og beløb, de solgte kort og ordrenummeret. Ændrer en sælger sine forhandleroplysninger eller skatteoplysninger eller sletter sin konto, gemmer vi den tidligere version, så længe tidligere salg kræver det. Vi opbevarer optegnelserne i ti år og udleverer dem elektronisk til skattemyndigheden på anmodning (§ 22f stk. 4 UStG; art. 6, stk. 1, litra c, GDPR). Den, der indberettes efter den tyske lov om skattegennemsigtighed for platforme, får senest den 31. januar året efter besked via e-mail og i forhandlerområdet om, hvad vi har indberettet. Sælgere kan downloade deres salg som regneark; det indeholder køberens brugernavn samt land, postnummer og by for leveringen, som de alligevel får til forsendelsen.
• Sælgeroplysninger for erhvervsdrivende sælgere: Erhvervsdrivende sælgere skal oplyse købere om navn eller firma, adresse og kontaktoplysninger (§ 312l BGB, art. 246d EGBGB). Disse oplysninger står på en særskilt side for bordet. E-mailadressen vises først efter et klik; derfor tæller vi visningerne pr. besøgende – for indloggede via bruger-id'et, ellers via en ikke-reversibel nøgle dannet ud fra IP-adressen – og sletter denne optælling efter to dage, så ingen samler adresserne automatisk ind. Telefonnummeret viser vi kun, hvis sælgeren udtrykkeligt har frigivet det. Ved hver ordre fastholder vi oplysningerne, som de gjaldt ved købet. Retsgrundlaget er GDPR art. 6, stk. 1, litra c, for mængdegrænsen litra f.
• Venteliste for flere lande: Skriver du dig på ventelisten for et land, hvor sælgerkonti endnu ikke er mulige, gemmer vi landet, sidens sprog og tidspunktet på din konto. Så snart sælgerkonti er mulige dér, sender vi dig en e-mail til din kontos adresse; 30 dage efter denne e-mail sletter vi tilmeldingen. Du kan til enhver tid fjerne dig fra ventelisten samme sted, og tilmeldingen slettes også sammen med din konto. Retsgrundlaget er dit samtykke (GDPR art. 6, stk. 1, litra a), som du trækker tilbage ved at fjerne dig fra ventelisten.
• Åbningsliste: Skriver du dig op til åbningslisten før åbningen, gemmer vi din e-mailadresse, sidens sprog, versionen af samtykketeksten og tidspunkterne for tilmelding og bekræftelse – på grundlag af dit samtykke (art. 6, stk. 1, litra a, GDPR). Først får du en mail til bekræftelse; uden bekræftelse sletter vi tilmeldingen efter 7 dage. Ved åbningen sender vi dig præcis én mail og sletter derefter adressen. Du kan til enhver tid framelde dig via linket i bekræftelsesmailen; dermed trækker du dit samtykke tilbage. For at forhindre misbrug tæller vi tilmeldinger pr. adresse og pr. IP-adresse som beskrevet under grænserne mod misbrug. Mailene sendes via Resend.
• Adresseforslag og adressetjek: Når du indtaster leveringsadressen, foreslår vi passende adresser og tjekker ved gemning, om adressen findes. Til det sender vores server den indtastede adressetekst – uden dit navn og uden din IP-adresse – til Photon, en adressetjeneste fra komoot GmbH (Tyskland), der bygger på de åbne kortdata fra OpenStreetMap. Vi gemmer ikke disse forespørgsler. Retsgrundlaget er opfyldelsen af aftalen, som kræver en adresse, der kan leveres til (GDPR art. 6, stk. 1, litra b), og vores legitime interesse i fejlfri forsendelser (GDPR art. 6, stk. 1, litra f).
• Beskyttelse mod automatiserede forespørgsler: I formularerne til login, registrering, nulstilling af adgangskode, kontakt, indløsning af gavekoder, indsendelse af ønsker og opsigelse af aftaler kontrollerer vores hostingudbyder Vercel (BotID), om det er et menneske, der sender dem. Til det vurderes tekniske kendetegn ved din browser og din IP-adresse; der oprettes ingen cookies til reklame eller analyse. Retsgrundlaget er vores legitime interesse i at beskytte platformen og dens brugere mod misbrug som masseforsøg på login og spam (GDPR art. 6, stk. 1, litra f). I formularerne til login, registrering, nulstilling af adgangskode, kontakt og anmeldelse af indhold bruger vi desuden Cloudflare Turnstile (se afsnit 4). Et felt, der skal klikkes af, vises kun, hvis vi har mistanke om en automatiseret forespørgsel – for eksempel efter mange mislykkede forsøg.
• Mængdegrænser mod misbrug: For at beskytte konti og postkasser mod masseforsøg tæller vi mislykkede logins samt registreringer, anmodninger om nulstilling af adgangskoden, kontaktbeskeder, anmeldelser uden konto og indløsning af gavekoder – hver især pr. e-mailadresse eller konto og pr. IP-adresse. Til det gemmes hverken adressen eller selve IP-adressen, men kun en kontrolværdi dannet med vores nøgle (HMAC), som ikke kan regnes tilbage uden denne nøgle; den slettes senest efter én dag, en adresses mislykkede forsøg allerede ved det næste vellykkede login. Nås en grænse, beder vi om en kort bekræftelse eller om lidt tålmodighed. Retsgrundlaget er vores legitime interesse i at beskytte platformen og dens brugere mod misbrug (GDPR art. 6, stk. 1, litra f).
• Automatisk chatfilter og advarsler: Chatten kontrollerer automatisk beskeder før afsendelse for telefonnumre, e-mailadresser, adresser, kontakter i andre tjenester og fremmede links – sådan beskytter vi købere og sælgere mod svindel uden for platformen. Entydige tilfælde leveres ikke og fører til en advarsel; uklare tilfælde leveres blot ikke. Efter tre advarsler inden for 30 dage er chatten spærret i 30 dage; at se, købe og igangværende ordrer er stadig muligt. Der gemmes advarsel, tidspunkt og grund. Denne spærring opstår automatisk: Du kan til enhver tid via kontaktformularen kræve, at et menneske vurderer den, fremlægge dit synspunkt og anfægte den; var den ikke berettiget, ophæver vi den. Retsgrundlaget er vores legitime interesse i en sikker drift af platformen uden misbrug (GDPR art. 6, stk. 1, litra f).
• Anmeldelser af indhold: Den, der anmelder indhold via »Anmeld«, sender os årsagen, en beskrivelse, frivilligt en e-mailadresse og – som logget ind – op til fem billeder som dokumentation; en anmeldelse fra en, der er logget ind, knyttes til dennes konto; ved en anmeldelse fra en chat ser vi det pågældende chatforløb. Vi træffer afgørelse om anmeldelsen og meddeler afgørelsen med begrundelse til anmelderen og den berørte person (art. 16 og 17 i Digital Services Act). Anmeldelsen opbevarer vi som dokumentation for afgørelsen; billederne sletter vi seks måneder efter afgørelsen, når fristen for en klage er udløbet. Retsgrundlaget er art. 6, stk. 1, litra c, i GDPR sammenholdt med Digital Services Act samt vores legitime interesse i en sikker platform (litra f).
• Blokering: Blokerer du en konto, gemmer vi, hvem der har blokeret hvem, så der ikke opstår nye forespørgsler og beskeder mellem jer. Igangværende ordrer gennemføres alligevel. Blokeringen gælder, indtil du ophæver den, eller en af kontiene slettes. Retsgrundlaget er GDPR art. 6, stk. 1, litra b og f.
• Kontaktformular og e-mail: Skriver du til os via kontaktformularen, behandler vi navn, e-mailadresse og besked for at kunne svare. Beskeden når os via vores mailudsendelse (Resend) som e-mail i vores postkasse hos Google (Gmail). Vi opbevarer korrespondancen, så længe den er nødvendig for din henvendelse, og derudover kun, hvis der gælder en lovbestemt opbevaringspligt (for eksempel for forretningsbreve efter § 257 HGB). Retsgrundlaget er GDPR art. 6, stk. 1, litra b eller litra f.
• Opsigelse via »Opsig aftaler her«: Til en opsigelse via opsigelsesknappen (§ 312k BGB) behandler vi navn, e-mailadresse, den opsagte aftale, opsigelsens art, i givet fald dens grund og tidspunktet, og vi bekræfter opsigelsen pr. e-mail. Opsigelsen opbevarer vi som dokumentation, indtil krav fra aftalen er forældet (tre år fra udgangen af det år, opsigelsen skete). Retsgrundlaget er GDPR art. 6, stk. 1, litra c, sammenholdt med § 312k BGB.
• App og notifikationer: I vores app til Android og iOS gælder de samme regler som på hjemmesiden. Tillader du notifikationer, gemmer vi pr. enhed en identifikator til notifikationer (push-token), styresystemet og appens sprog for at kunne give dig besked om for eksempel nye beskeder eller indgående betalinger. Notifikationerne kører via Firebase Cloud Messaging fra Google (Google Ireland Limited; en behandling i USA er mulig). Identifikatoren sletter vi, når du logger ud, Google melder den som ugyldig, eller du sletter din konto. Retsgrundlaget er dit samtykke (GDPR art. 6, stk. 1, litra a, § 25, stk. 1, TDDDG), som du til enhver tid kan trække tilbage i indstillingerne på din enhed. Medlemskaber sælger vi ikke i appen. Opstår der en fejl i appen, eller går den ned, melder den det til vores fejllog – kun med appversion, styresystem, den berørte skærm og fejlmeddelelsen, uden din konto og uden indhold. Til det formål husker appen på din enhed, om den sidst blev lukket korrekt. Retsgrundlaget er vores legitime interesse i en fejlfri app (GDPR art. 6, stk. 1, litra f, § 25, stk. 2, nr. 2, TDDDG).
• Anbefalingslinks til Amazon: Nogle anbefalinger af messetilbehør linker med vores partner-id til Amazon. Før du klikker på et sådant link, modtager Amazon ingen data fra os. Efter klikket gælder Amazons privatlivspolitik og cookies; køber du noget dér, får vi en provision uden at få at vide, hvem der har købt. Retsgrundlaget er vores legitime interesse i at finansiere platformen (GDPR art. 6, stk. 1, litra f).
• Sikkerhedskopier og logfiler: Vores database sikkerhedskopierer vi dagligt til et ikke-offentligt lager hos vores databaseudbyder Supabase i EU; hver sikkerhedskopi sletter vi efter 14 dage. Vores hostingudbyder Vercel logger ved visning af siderne tekniske data (IP-adresse, tidspunkt, hentet adresse, browseridentifikation) for sikker drift og fejlsøgning og sletter dem efter kort tid. Fejl på vores servere registrerer vi i en egen fejllog – uden IP-adresse og uden formularindhold, kun adresse, type og meddelelse for fejlen – for at kunne rette dem; en rettet fejl sletter vi fra loggen 90 dage efter. Retsgrundlaget er vores legitime interesse i en sikker og tilgængelig drift (GDPR art. 6, stk. 1, litra f). [Indsæt sletningsfristen for serverlogfilerne hos Vercel (afhængigt af abonnement)]

Indsigt i en tvist: Anmelder en side en tvist, før betalingen frigives, ser vi det pågældende chatforløb og ordredataene igennem for at træffe afgørelse om tilbagebetaling eller frigivelse. Uden en anmeldt tvist læser vi ikke med i chatterne. Retsgrundlaget er GDPR art. 6, stk. 1, litra b og litra f.

Samleliste: Opretter du en samleliste, gemmer vi dens navn og kortene på den med sæt, nummer, sprog, stand, antal, din maksimalpris, din note, og om du har krydset dem af – på din konto, så hjemmesiden og appen viser den samme liste (GDPR art. 6, stk. 1, litra b). Appen gemmer en kopi på din enhed, så listen også virker uden netværk; når du logger ud, slettes den dér. Opretter du et læselink, kan alle med linket se listens navn og kortene – uden maksimalpris, note og konto. Du kan til enhver tid trække linket tilbage. Lister sletter du selv; når du sletter din konto, slettes alle samlelister.

3. Retsgrundlag

Behandlingen sker for at opfylde brugsaftalen (GDPR art. 6, stk. 1, litra b), for at opfylde retlige forpligtelser (GDPR art. 6, stk. 1, litra c) samt på grundlag af vores legitime interesse i en sikker drift af platformen (GDPR art. 6, stk. 1, litra f).

4. Anvendte tjenesteudbydere

Vi anvender følgende tjenesteudbydere. Med databehandlerne foreligger der i hvert tilfælde en aftale efter GDPR art. 28.

• Vercel (Vercel Inc., USA) – hosting af hjemmesiden. Dette projekts serverfunktioner kører i regionen Dublin, Irland (dub1). Databehandler. [Bekræft databehandleraftalen – i Vercel-dashboardet under Settings, Legal]
• Supabase (Supabase Inc., USA) – database, brugerkonti, fillager og realtidsopdatering af chatten. Dataene ligger i regionen eu-west-1 (Irland). Databehandler. [Bekræft databehandleraftalen – i organisationsindstillingerne hos Supabase]
• Resend (Resend, Inc., USA) – udsendelse af notifikationsmails. Der overføres e-mailadresse og indholdet af den pågældende besked. Databehandler; behandlingen finder sted i USA. [Bekræft databehandleraftalen og angiv grundlaget for overførslen til USA – tilstrækkelighedsafgørelse (Data Privacy Framework) eller standardkontraktbestemmelser]
• Cloudflare (Cloudflare, Inc., USA) – Turnstile, et tjek mod automatiserede forespørgsler i login- og kontaktformularerne. Der behandles IP-adresse og tekniske kendetegn ved browseren. Databehandler; behandling i USA er mulig. [Bekræft databehandleraftalen (Cloudflare Data Processing Addendum) og angiv grundlaget for overførslen til USA – tilstrækkelighedsafgørelse (Data Privacy Framework) eller standardkontraktbestemmelser]
• Stripe (Stripe Payments Europe, Limited, Irland, samt Stripe, Inc., USA) – afvikling af det betalte medlemskab, betalingerne mellem brugerne og udbetalingerne til sælgerne. Stripe behandler betalingsdata i vidt omfang som selvstændigt dataansvarlig og ikke på vores vegne, navnlig for at opfylde sine egne tilsynsretlige forpligtelser (forebyggelse af hvidvask, identitetskontrol af sælgerne). For denne behandling gælder Stripes privatlivspolitik. Hvilke betalingsmåder Stripe tilbyder, og hvilke tjenester der står bag, står i afsnit 2 under »Betalingsmåder ved købet«.
• Google (Google Ireland Limited, Irland, og Google LLC, USA) – login med Google, hvis du ønsker det, notifikationer i appen (Firebase Cloud Messaging) og vores e-mailpostkasse (Gmail), hvor beskeder fra kontaktformularen kommer ind. For Firebase Cloud Messaging og postkassen er Google databehandler; en behandling i USA er mulig. [Bekræft databehandleraftalen (Firebase: Data Processing and Security Terms), og angiv grundlaget for overførslen til USA; vælg til postkassen en konto med databehandleraftale (Google Workspace) eller en postkasse under eget domæne]
• YouTube (Google Ireland Limited, Irland, og Google LLC, USA) – sælgernes livestreams på deres bordside. Afspilleren indlæses først, når du trykker på »Indlæs livestream«; inden da er der ingen forbindelse til YouTube. Derefter modtager Google bl.a. din IP-adresse, oplysninger om din browser og enhed samt den viste side og kan sætte cookies; behandling i USA er mulig (Data Privacy Framework). Vi bruger den udvidede beskyttelse af privatlivet (youtube-nocookie.com). Retsgrundlaget er dit samtykke givet med klikket (art. 6, stk. 1, litra a, i GDPR, § 25, stk. 1, TDDDG). For behandlingen hos YouTube gælder Googles privatlivspolitik.

5. Cookies og lokal lagring

Vi bruger kun cookies og lokal lagring, der er teknisk nødvendige: login-cookies, uden hvilke kontoen ikke kan bruges; en cookie med det senest valgte sprog (et år); i appen en cookie, der markerer app-visningen (30 minutter); en cookie med svaret på sprogforslaget (et år); ved login med kode og ved nulstilling af adgangskoden en cookie med den indtastede e-mailadresse, så koden kan knyttes til den (en time); efter indtastning af en fødselsdato under 18 år en cookie, der spærrer registreringen (24 timer); indtil lanceringen en cookie, der giver adgang til forhåndsvisningen (op til 180 dage); og når du tilslutter dig et sælgerteam, en cookie med invitationen (en time). I selve browseren (localStorage eller sessionStorage) gemmes de senest brugte søgeord, valget mellem lyst og mørkt udseende, indholdet af forespørgselskurven, en lukket påmindelse om bedømmelse og udkastet til et produkt, mens det oprettes – disse oplysninger bliver på enheden.

Analyse- eller markedsføringsværktøjer anvender vi ikke. Et samtykkebanner er derfor ikke nødvendigt.

Bemærkning til operatøren, ikke til brugerne: [Så snart der kommer et analyse- eller markedsføringsværktøj til, er et samtykkebanner obligatorisk på dette sted, og afsnittet ovenfor skal erstattes]

6. Opbevaringsperiode

Kontodata gemmer vi, så længe kontoen består. På anmodning til den ovenfor nævnte adresse sletter vi en konto; undtaget herfra er data, som vi skal eller må opbevare.

Du kan til enhver tid selv slette din konto: under »Min konto« → »Slet konto«. Forudsætningen er, at der ikke længere er nogen igangværende ordre. Straks slettes dine logindata, din profil, din leveringsadresse, søgeannoncer, favoritter, samlelister, notifikationer, stemmer og advarsler; et løbende medlemskab ophører. Dit bord og dine kort tages ud af kataloget. Det, vi skal opbevare – ordre-, betalings- og fakturadata samt sælgeres skatteoplysninger –, forbliver gemt og spærret i den lovpligtige periode; selve din profil bliver da anonymiseret. Chathistorikker og bedømmelser forbliver læsbare for modparten; i stedet for dit navn står der »Slettet konto«. Retsgrundlaget for opbevaringen er GDPR art. 6, stk. 1, litra c, sammenholdt med § 147 AO og § 257 HGB, for den fortsatte visning af chattene vores og modpartens legitime interesse i en sporbar handel (GDPR art. 6, stk. 1, litra f).

Hvor længe vi opbevarer chats, står i afsnit 2 under »Chats og deres opbevaring«. Alle frister i overblik viser tabellen sidst i dette afsnit.

Ordre-, betalings- og fakturadata opbevarer vi efter de handels- og skatteretlige forskrifter: ti år efter § 147 Abgabenordnung (den tyske skattelov) og § 257 Handelsgesetzbuch (den tyske handelslov), regnet fra udgangen af det kalenderår, hvor ordren blev afsluttet. I dette tidsrum er dataene spærret for yderligere behandling.

Advarsler og spærreperioder sletter vi, når de ikke længere er nødvendige for at forhindre misbrug.

Sletningsfrister i overblik

Denne tabel opsummerer, hvor længe vi opbevarer hvilke data. Spærret betyder: Dataene opbevares kun til det nævnte formål og behandles ellers ikke længere.

7. Dine rettigheder

Du har ret til indsigt, berigtigelse, sletning, begrænsning af behandlingen, dataportabilitet og indsigelse. Desuden har du ret til at klage til en databeskyttelsestilsynsmyndighed. Kompetent myndighed er Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Automatiske afgørelser: Nogle trin sker automatisk: chatspærringen efter tre advarsler, kontrolpausen for private sælgere fra grænsen og spærringen af en konto, hvis en køber får en betaling tilbageført, efter selv at have bekræftet modtagelsen, hvis en sælger ved et delbytte ikke sender køberens kort tilbage rettidigt, eller hvis en sælger taber to tilbageførsler ved egen skyld inden for 90 dage. Alle disse trin er foreløbige. Du kan til enhver tid kræve, at et menneske vurderer sagen, fremlægge dit synspunkt og anfægte afgørelsen (GDPR art. 22, stk. 3) – nemmest via kontaktformularen. En endelig spærring af din konto eller dine salg afgør altid et menneske.