Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Tim Schneider
TradeDay&Night (Einzelunternehmen)
Cranachstr. 2
64546 Mörfelden-Walldorf
Deutschland
kontakt@tradedaynight.de

Ein Datenschutzbeauftragter ist nicht bestellt. Die gesetzlichen Schwellen des § 38 BDSG werden nicht erreicht.

2. Welche Daten wir verarbeiten

Beim Betrieb der Plattform werden folgende Daten verarbeitet:

• Kontodaten: E-Mail-Adresse, Benutzername, Passwort (nur als Hashwert gespeichert), Zeitpunkt der Registrierung und Anmeldung. Den Benutzernamen wählst du bei der Registrierung selbst (3 bis 20 Zeichen, änderbar höchstens alle 30 Tage). Er ist öffentlich sichtbar – etwa an deinem Tisch, an Bewertungen und im Chat –, deshalb sollte er weder deinen vollen Namen noch Kontaktdaten enthalten. Dein Geburtsdatum fragen wir bei der Registrierung nur ab, um zu prüfen, dass du volljährig bist; gespeichert wird nur der Zeitpunkt dieser Bestätigung, nicht das Datum.
• Anmeldung mit Google oder Apple: Meldest du dich mit deinem Google-Konto an, übermittelt Google uns deine E-Mail-Adresse, deinen Namen und eine Kennung deines Google-Kontos; damit legen wir dein Konto an bzw. melden dich an. Dein Passwort bei Google erfahren wir nicht. Anbieter ist Google Ireland Limited (Irland); eine Übermittlung an Google LLC (USA) ist möglich. Die Anmeldung mit Apple (Apple Distribution International Ltd., Irland) bieten wir an, sobald sie freigeschaltet ist; dort kannst du deine E-Mail-Adresse verbergen. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).
• Profildaten: Händlerstatus, Mitgliedschaftsstatus, Bewertungen.
• Inhalte: Angebote, Produktbilder, Chatnachrichten, Preis- und Tauschangebote zwischen Nutzern. Ändert jemand den Preis einer Karte, stellt eine Karte neu ein oder löscht sie, speichern wir den Titel der Karte, den Preis – bei einer Änderung den alten und den neuen, bei einer gelöschten Karte den letzten –, wer das getan hat und wann; einsehen kann das nur der Inhaber des Tisches. Nach zwölf Monaten löschen wir diese Einträge automatisch.
• Chats und ihre Aufbewahrung: Nachrichten, Angebote und Bilder im Chat einer Anfrage sehen nur die Beteiligten – beim Händler auch seine freigeschalteten Mitarbeiter. Mit „Für mich ausblenden“ nimmst du einen beendeten Chat aus deiner Liste. Chats ohne bezahlten Kauf löschen wir, sobald alle Beteiligten sie ausgeblendet haben, sonst sieben Tage nach ihrem Ende. Bei einem bezahlten Kauf löschen wir den Inhalt des Chats (Nachrichten und Bilder) zwölf Monate nach der letzten Änderung der Bestellung; Anfrage, Bestellung, Bewertung und die Zeile mit dem angenommenen Angebot bleiben als Beleg. Solange ein Problem oder Streitfall offen ist oder eine Meldung zum Chat noch nicht entschieden ist, löschen wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Geschäfts) und lit. f DSGVO (Nachweis bei Rückbuchungen und Ansprüchen aus dem Kauf). Als beendet gilt auch ein Chat ohne Kauf, in dem 30 Tage lang nichts passiert ist; die Löschung kündigen wir vorher im Chat an. Über neue Nachrichten, Angebote und Anfragen im Chat informieren wir dich zusätzlich per E-Mail. Diese E-Mails kannst du jederzeit abbestellen – unter „Mein Konto“ → „Benachrichtigungen“ oder über den Link in jeder dieser E-Mails; dafür speichern wir je Konto eine zufällige Kennung, die wir mit dem Konto löschen. Mitteilungen in der App bleiben davon unberührt, und E-Mails zu Bestellungen, Zahlungen, Fristen und zur Sicherheit deines Kontos bekommst du weiterhin.
• Fotos und Videos: Beim Hochladen verkleinern wir Fotos und entfernen eingebettete Angaben wie Kamera, Aufnahmezeit und Aufnahmeort; bei Videos entfernen wir den Aufnahmeort. Fotos und Videos deiner Karten sind öffentlich sichtbar, solange die Karte angeboten wird.
• Versandadresse: Vorname, Nachname, Straße, Hausnummer, PLZ, Ort und Land. Diese Daten werden der jeweils anderen Vertragspartei erst dann angezeigt, wenn ein Deal verbindlich bestätigt und bezahlt wurde – vorher sind sie für die Gegenseite nicht sichtbar. Eine Telefonnummer fragen wir nicht ab und speichern keine, solange wir keine Versandlabels anbieten; früher freiwillig angegebene Nummern haben wir gelöscht.
• Bestell- und Zahlungsdaten: Bestellnummer, Betrag, Versandkosten, Provisionssatz, Zustand der Bestellung, Zeitpunkte von Zahlung, Versand und Empfangsbestätigung sowie die Kennung der Zahlung beim Zahlungsdienstleister. Kreditkarten-, Konto- und Ausweisdaten werden nicht von uns, sondern ausschließlich vom Zahlungsdienstleister Stripe verarbeitet; wir sehen sie zu keinem Zeitpunkt.
• Zahlungsarten beim Kauf: Bezahlt wird auf der Zahlungsseite von Stripe. Welche Zahlungsarten dort erscheinen, hängt von deinem Land, dem Betrag und deinem Gerät ab: Karte, Apple Pay, Google Pay, Link (bei Stripe gespeicherte Zahlungsdaten), Banküberweisung, iDEAL, Bancontact, EPS, Przelewy24, Revolut Pay, Amazon Pay, MobilePay, MB WAY, Multibanco und Satispay. Deine Zahlungsdaten gibst du direkt bei Stripe bzw. beim jeweiligen Dienst ein; wir sehen nur Betrag, Zeitpunkt, Zahlungsart und die Kennung der Zahlung. Je nach Zahlungsart verarbeiten zusätzlich in eigener Verantwortung: die Kartenorganisationen und deine Bank; Apple bzw. Google für die Freigabe auf deinem Gerät (Apple Pay, Google Pay); bei Revolut Pay, Amazon Pay, MobilePay, MB WAY und Satispay der jeweilige Anbieter; bei iDEAL, Bancontact, EPS, Przelewy24, Multibanco und Banküberweisung deine Bank und der Betreiber des Verfahrens. Es gelten jeweils deren Datenschutzhinweise. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bietet Stripe dir PayPal an, verarbeitet zusätzlich PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) deine Daten in eigener Verantwortung.
• Rückbuchungen: Bucht ein Käufer eine Zahlung über seine Bank zurück, übermitteln wir dem Zahlungsdienstleister Stripe Belege aus der Bestellung, die Stripe an die Bank des Käufers weitergibt: Bestellnummer, Art der Bestellung und Titel der Karten, den Namen des Tisches mit der Angabe, ob privat oder gewerblich verkauft wird, die Benutzernamen von Verkäufer und Käufer auf TradeDay&Night, Betrag und Zeitpunkt der Zahlung, Versanddienst, Sendungsnummer und Versanddatum, Postleitzahl und Land der Lieferadresse, ob und wann der Empfang bestätigt wurde, und den Verlauf der Bestellung (Zahlung, Versand, Empfang, gemeldete Probleme, Erstattungen). Reicht das nicht aus, ergänzen wir im Einzelfall weitere Nachweise aus der Bestellung, etwa einen Auszug aus ihrem Chat. Rechtsgrundlage ist unser berechtigtes Interesse und das des Händlers, unberechtigte Rückbuchungen abzuwehren (Art. 6 Abs. 1 lit. f DSGVO).
• Guthaben der Händler-Zahlungskonten: Einmal am Tag lesen wir bei Stripe das Guthaben jedes Händler-Zahlungskontos – Betrag, Währung und ob die Lastschrift für ein negatives Guthaben eingerichtet ist – und speichern jeweils nur den letzten Stand am Konto des Händlers; sichtbar ist er nur für uns. So erkennen wir ein negatives Guthaben, etwa nach einer Rückbuchung, und können offene Beträge einfordern. Beim Abgleich des Zahlungskontos speichern wir außerdem Land und Währung des hinterlegten Bankkontos und ob Stripe ein negatives Guthaben per Lastschrift ausgleichen kann; davon hängt die Wartezeit vor der Auszahlung ab (7 oder 30 Tage). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Mindestalter der Händler: Bei jedem Abgleich eines Händler-Zahlungskontos prüfen wir, ob Stripe den Kontoinhaber als minderjährig führt – anhand des Geburtsdatums, soweit Stripe es uns übermittelt, und daran, ob Stripe eine erziehungsberechtigte Person verlangt oder eingetragen hat. Wir speichern nur das Ergebnis, nicht das Geburtsdatum. Ist der Kontoinhaber unter 18, bleiben Tisch-Eröffnung und Verkauf gesperrt, denn TradeDay&Night ist erst ab 18 Jahren nutzbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Offene Forderungen und Inkasso: Schuldet uns ein Nutzer nach einer Rückbuchung einen Betrag, speichern wir die Forderung mit Konto, Bestellung, Betrag, Entgelt, Grund und Stand. Bleibt sie unbezahlt, können wir sie mit den dafür nötigen Angaben – Name, Anschrift, E-Mail-Adresse, Bestellung und Betrag – an ein Inkassounternehmen übergeben; das geschieht nur bei einer offenen Forderung. Rechtsgrundlage ist unser berechtigtes Interesse, unsere Forderungen durchzusetzen (Art. 6 Abs. 1 lit. f DSGVO). Die Angaben zur Forderung bewahren wir wie die übrigen Bestell- und Zahlungsdaten auf (Abschnitt 6).
• Unterlagen für eine Anzeige beim Teiltrade: Schickt ein Händler beim Teiltrade die Karten des Käufers nicht fristgerecht zurück, stellen wir dem Käufer Unterlagen für eine Anzeige bereit. Sie enthalten neben den Angaben zur Bestellung Name und Anschrift des Händlers – die Versandadresse, die beim Teiltrade bereits für den Käufer freigegeben wurde – und bei gewerblichen Händlern die Anbieterkennzeichnung. Rechtsgrundlage ist das berechtigte Interesse des Käufers, seine Karten zurückzufordern und den Vorgang anzuzeigen (Art. 6 Abs. 1 lit. f DSGVO). Den Ermittlungsbehörden nennen wir diese Angaben auf Anfrage (Art. 6 Abs. 1 lit. c bzw. lit. f DSGVO).
• Ungefährer Standort: Beim Aufruf einer Seite ermittelt unser Hoster Vercel aus deiner IP-Adresse dein Land und einen ungefähren Ort (etwa auf Stadtebene) und gibt beides an unsere Server weiter. Wir nutzen diese Angaben nur, um Messen und Händler-Tische in der Reihenfolge nach Nähe anzuzeigen und dir zu sagen, ob ein Tisch in dein Land liefert. Bist du angemeldet und hast eine Versandadresse hinterlegt, verwenden wir stattdessen das Land dieser Adresse. Die Angaben werden nicht gespeichert, nicht mit deinem Konto verknüpft und nicht an Dritte weitergegeben; es wird nichts eingeblendet oder ausgeblendet, nur die Reihenfolge ändert sich. Rechtsgrundlage ist unser berechtigtes Interesse an einer übersichtlichen, für dich passenden Darstellung (Art. 6 Abs. 1 lit. f DSGVO). Außerdem wählen wir nach diesem Land die Sprache, wenn du eine Adresse ohne Sprachangabe aufrufst und weder eine früher gewählte Sprache noch die Spracheinstellung deines Browsers zu einer unserer Sprachen passt.
• Steuerangaben der Händler: Händler hinterlegen Name, Anschrift, Geburtsdatum bzw. Handelsregisternummer, Steuer-Identifikationsnummer, gegebenenfalls die Umsatzsteuer-Identifikationsnummer und freiwillig ihre Bankverbindung. Plattformbetreiber müssen nach dem Plattformen-Steuertransparenzgesetz (EU-Richtlinie DAC7) einmal im Jahr Verkäufer, Anzahl ihrer Verkäufe, Umsätze und einbehaltene Gebühren an das Bundeszentralamt für Steuern melden; das BZSt kann die Daten an die Steuerbehörden anderer EU-Staaten weitergeben. Gemeldet wird nur, wer die gesetzlichen Schwellen erreicht (30 Verkäufe oder mehr als 2.000 € im Jahr). Fehlen die Angaben, sobald ein Verkäufer meldepflichtig wird, fordern wir sie an und erinnern zweimal (nach 20 und 40 Tagen); liegen sie nach 60 Tagen nicht vor, ruhen neue Verkäufe, bis sie da sind (§ 22 PStTG). Eine angegebene Umsatzsteuer-Identifikationsnummer – von Händlern und bei Käufen für eine Firma auch von Käufern – prüfen wir im MwSt-Informationsaustauschsystem (VIES) der Europäischen Kommission; dorthin geht nur die Nummer, zurück kommt, ob sie gültig ist, und gegebenenfalls der dazu hinterlegte Name. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO. Die Angaben werden zehn Jahre aufbewahrt, wie es das Gesetz verlangt. Händler ohne Steuerangaben können im Zahlungskonto freiwillig eine Rechnungsanschrift (Name bzw. Firma und Anschrift) hinterlegen, damit ihre Provisionsbelege eine Belegnummer bekommen (Art. 6 Abs. 1 lit. b DSGVO); sie lässt sich jederzeit entfernen und wird mit dem Konto gelöscht, ausgestellte Belege bewahren wir wie Rechnungen auf.
• Privatverkäufer – Zählung, Prüfpause und Selbstauskunft: Für Tische, die als privat geführt werden, zählen wir je Kalenderjahr die bezahlten Verkäufe und ihre Summe. Ab 20 Verkäufen oder 1.500 € weisen wir darauf hin; ab 30 Verkäufen oder 2.000 € ruhen neue Verkäufe, bis der Verkäufer seine Steuerangaben vollständig hinterlegt und eine Selbstauskunft beantwortet hat (etwa: Kaufst du gezielt zum Weiterverkauf? Verkaufst du Neuware?). Dazu werten wir auch die Karten seines Tisches aus – wie oft dieselbe Karte vorkommt und wie viel versiegelte Ware dabei ist. Sind die Antworten unauffällig, endet die Pause automatisch; sonst prüft ein Mensch den Fall. Die Pause entsteht automatisch und ist vorläufig; eine Sperre setzt immer ein Mensch. Du kannst jederzeit über das Kontaktformular verlangen, dass ein Mensch den Fall prüft. Zählung, Antworten und Entscheidung bewahren wir bis zum Ende des dritten Jahres nach dem betroffenen Kalenderjahr auf. Eine Nachricht an das Finanzamt ist damit nicht verbunden. Rechtsgrundlage ist unser berechtigtes Interesse und das der Käufer, dass niemand als privat auftritt, der gewerblich handelt (Art. 6 Abs. 1 lit. f DSGVO).
• Aufzeichnungen nach § 22f UStG: Für jeden Verkauf über TradeDay&Night zeichnen wir auf, was § 22f des Umsatzsteuergesetzes verlangt: Name und Anschrift des Verkäufers (bei privaten Verkäufern auch das Geburtsdatum, bei gewerblichen die E-Mail-Adresse und die Umsatzsteuer-Identifikationsnummer), Steuernummer und Bankverbindung, soweit bekannt, das Versandland, Land, Postleitzahl und Ort der Lieferung, Zeitpunkt und Betrag, die verkauften Karten und die Bestellnummer. Ändert ein Händler seine Anbieterkennzeichnung oder Steuerangaben oder löscht er sein Konto, bewahren wir die frühere Fassung auf, soweit frühere Verkäufe sie brauchen. Die Aufzeichnungen bewahren wir zehn Jahre auf und geben sie dem Finanzamt auf Anforderung elektronisch (§ 22f Abs. 4 UStG; Art. 6 Abs. 1 lit. c DSGVO). Wer nach dem Plattformen-Steuertransparenzgesetz gemeldet wird, erfährt bis zum 31. Januar des Folgejahres per E-Mail und im Händlerbereich, was wir gemeldet haben. Händler können ihre Verkäufe als Tabelle herunterladen; sie enthält den Benutzernamen des Käufers sowie Land, Postleitzahl und Ort der Lieferung, die sie für den Versand ohnehin erhalten.
• Anbieterkennzeichnung gewerblicher Verkäufer: Gewerbliche Verkäufer müssen Käufern Name bzw. Firma, Anschrift und Kontaktdaten nennen (§ 312l BGB, Art. 246d EGBGB). Diese Angaben stehen auf einer eigenen Seite des Tisches. Die E-Mail-Adresse erscheint erst nach einem Klick; dafür zählen wir die Abrufe je Besucher – angemeldet über die Nutzer-Kennung, sonst über einen nicht umkehrbaren Schlüssel aus der IP-Adresse – und löschen diese Zählung nach zwei Tagen, damit niemand die Adressen automatisch einsammelt. Die Telefonnummer zeigen wir nur, wenn der Verkäufer sie ausdrücklich freigegeben hat. Mit jeder Bestellung halten wir die Angaben so fest, wie sie beim Kauf galten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, für die Mengengrenze lit. f.
• Warteliste für weitere Länder: Trägst du dich in die Warteliste für ein Land ein, in dem Händlerkonten noch nicht möglich sind, speichern wir zu deinem Konto das Land, die Sprache der Seite und den Zeitpunkt. Sobald Händlerkonten dort möglich sind, schreiben wir dir eine E-Mail an die Adresse deines Kontos; 30 Tage nach dieser E-Mail löschen wir den Eintrag. Austragen kannst du dich jederzeit an derselben Stelle, und mit deinem Konto wird auch der Eintrag gelöscht. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Austragen widerrufst.
• Vormerkliste zum Start: Trägst du dich vor dem Start in die Vormerkliste ein, speichern wir deine E-Mail-Adresse, die Sprache der Seite, den Stand des Einwilligungstexts und die Zeitpunkte von Eintrag und Bestätigung – auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Zuerst bekommst du eine Mail zum Bestätigen; ohne Bestätigung löschen wir den Eintrag nach 7 Tagen. Zum Start schicken wir dir genau eine Mail und löschen die Adresse danach. Austragen kannst du dich jederzeit über den Link in der Bestätigungsmail; damit widerrufst du deine Einwilligung. Zum Schutz vor Missbrauch zählen wir Eintragungen je Adresse und je IP-Adresse, wie bei den Mengengrenzen beschrieben. Die Mails verschicken wir über Resend.
• Adressvorschläge und Adressprüfung: Beim Eintragen der Versandadresse schlagen wir passende Adressen vor und prüfen beim Speichern, ob es die Adresse gibt. Dafür schickt unser Server den eingegebenen Adresstext – ohne deinen Namen und ohne deine IP-Adresse – an Photon, einen Adressdienst der komoot GmbH (Deutschland), der auf den offenen Kartendaten von OpenStreetMap beruht. Wir speichern diese Anfragen nicht. Rechtsgrundlage ist die Erfüllung des Vertrags, zu dem eine zustellbare Adresse gehört (Art. 6 Abs. 1 lit. b DSGVO), und unser berechtigtes Interesse an fehlerfreien Sendungen (Art. 6 Abs. 1 lit. f DSGVO).
• Schutz vor automatisierten Anfragen: In den Formularen zum Anmelden, Registrieren, Zurücksetzen des Passworts, zum Kontakt, zum Einlösen von Gutscheinen, zum Einreichen von Wünschen und zum Kündigen von Verträgen prüft unser Hoster Vercel (BotID), ob ein Mensch sie abschickt. Dafür werden technische Merkmale deines Browsers und deine IP-Adresse ausgewertet; Cookies für Werbung oder Analyse entstehen dabei nicht. Rechtsgrundlage ist unser berechtigtes Interesse, die Plattform und ihre Nutzer vor Missbrauch wie massenhaften Anmeldeversuchen und Spam zu schützen (Art. 6 Abs. 1 lit. f DSGVO). In den Formularen zum Anmelden, Registrieren, Zurücksetzen des Passworts, zum Kontakt und zum Melden von Inhalten kommt zusätzlich Cloudflare Turnstile zum Einsatz (siehe Abschnitt 4). Ein Kästchen zum Anklicken erscheint nur, wenn wir eine automatisierte Anfrage vermuten – etwa nach vielen Fehlversuchen.
• Mengengrenzen gegen Missbrauch: Um Konten und Postfächer vor massenhaften Versuchen zu schützen, zählen wir fehlgeschlagene Anmeldungen sowie Registrierungen, Anfragen zum Zurücksetzen des Passworts, Kontaktnachrichten, Meldungen ohne Konto und das Einlösen von Gutscheinen – jeweils je E-Mail-Adresse bzw. Konto und je IP-Adresse. Gespeichert wird dafür weder die Adresse noch die IP-Adresse selbst, sondern nur ein mit unserem Schlüssel gebildeter Prüfwert (HMAC), der sich ohne diesen Schlüssel nicht zurückrechnen lässt; er wird nach spätestens einem Tag gelöscht, die Fehlversuche einer Adresse schon bei der nächsten erfolgreichen Anmeldung. Wird eine Grenze erreicht, bitten wir um eine kurze Bestätigung oder um etwas Geduld. Rechtsgrundlage ist unser berechtigtes Interesse, die Plattform und ihre Nutzer vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).
• Automatischer Chatfilter und Verwarnungen: Der Chat prüft Nachrichten vor dem Versand automatisch auf Telefonnummern, E-Mail-Adressen, Anschriften, Kontakte in anderen Diensten und fremde Links – so schützen wir Käufer und Verkäufer vor Betrug außerhalb der Plattform. Eindeutige Fälle werden nicht zugestellt und führen zu einer Verwarnung; unklare Fälle werden nur nicht zugestellt. Nach drei Verwarnungen innerhalb von 30 Tagen ist der Chat für 30 Tage gesperrt; Ansehen, Kaufen und laufende Bestellungen bleiben möglich. Gespeichert werden Verwarnung, Zeitpunkt und Grund. Diese Sperre entsteht automatisch: Du kannst jederzeit über das Kontaktformular verlangen, dass ein Mensch sie prüft, deinen Standpunkt darlegen und sie anfechten; war sie nicht berechtigt, heben wir sie auf. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, missbrauchsfreien Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).
• Meldungen von Inhalten: Wer über „Melden“ einen Inhalt meldet, übermittelt uns den Grund, eine Beschreibung, freiwillig eine E-Mail-Adresse und – angemeldet – bis zu fünf Bilder als Beleg; wer angemeldet meldet, dessen Meldung ist seinem Konto zugeordnet; bei einer Meldung aus einem Chat sehen wir den betroffenen Chatverlauf ein. Wir entscheiden über die Meldung und teilen die Entscheidung dem Meldenden und der betroffenen Person mit Begründung mit (Art. 16 und 17 Digital Services Act). Die Meldung bewahren wir als Nachweis der Entscheidung auf; die Bilder löschen wir sechs Monate nach der Entscheidung, wenn die Frist für eine Beschwerde abgelaufen ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem Digital Services Act sowie unser berechtigtes Interesse an einer sicheren Plattform (lit. f).
• Blockieren: Blockierst du ein Konto, speichern wir, wer wen blockiert hat, damit zwischen euch keine neuen Anfragen und Nachrichten entstehen. Laufende Bestellungen werden trotzdem abgewickelt. Die Blockierung gilt, bis du sie aufhebst oder eines der Konten gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.
• Kontaktformular und E-Mail: Schreibst du uns über das Kontaktformular, verarbeiten wir Name, E-Mail-Adresse und Nachricht, um zu antworten. Die Nachricht erreicht uns über unseren Mailversand (Resend) als E-Mail in unserem Postfach bei Google (Gmail). Wir bewahren die Korrespondenz auf, solange sie für dein Anliegen nötig ist, und darüber hinaus nur, wenn eine gesetzliche Aufbewahrungspflicht besteht (etwa für Geschäftsbriefe nach § 257 HGB). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.
• Kündigen über „Verträge hier kündigen“: Für eine Kündigung über den Kündigungsknopf (§ 312k BGB) verarbeiten wir Name, E-Mail-Adresse, den gekündigten Vertrag, die Art der Kündigung, gegebenenfalls ihren Grund und den Zeitpunkt, und wir bestätigen die Kündigung per E-Mail. Die Kündigung bewahren wir als Nachweis auf, bis Ansprüche aus dem Vertrag verjährt sind (drei Jahre ab Ende des Jahres der Kündigung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB.
• App und Mitteilungen: In unserer App für Android und iOS gelten dieselben Regeln wie auf der Website. Erlaubst du Mitteilungen, speichern wir je Gerät eine Kennung für Mitteilungen (Push-Token), das Betriebssystem und die Sprache der App, um dir etwa neue Nachrichten oder Zahlungseingänge zu melden. Die Mitteilungen laufen über Firebase Cloud Messaging von Google (Google Ireland Limited; eine Verarbeitung in den USA ist möglich). Die Kennung löschen wir, wenn du dich abmeldest, Google sie als ungültig meldet oder du dein Konto löschst. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du in den Einstellungen deines Geräts jederzeit widerrufen kannst. Mitgliedschaften verkaufen wir in der App nicht. Tritt in der App ein Fehler auf oder stürzt sie ab, meldet sie das an unser Fehlerprotokoll – nur mit App-Version, Betriebssystem, dem betroffenen Bildschirm und der Fehlermeldung, ohne dein Konto und ohne Inhalte. Dafür merkt sich die App auf deinem Gerät, ob sie zuletzt sauber beendet wurde. Rechtsgrundlage ist unser berechtigtes Interesse an einer fehlerfreien App (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG).
• Empfehlungslinks zu Amazon: Einige Empfehlungen für Messezubehör verlinken mit unserer Partnerkennung auf Amazon. Bevor du einen solchen Link anklickst, erhält Amazon von uns keine Daten. Nach dem Klick gelten die Datenschutzhinweise und Cookies von Amazon; kaufst du dort ein, erhalten wir eine Provision, ohne zu erfahren, wer gekauft hat. Rechtsgrundlage ist unser berechtigtes Interesse an der Finanzierung der Plattform (Art. 6 Abs. 1 lit. f DSGVO).
• Sicherungen und Protokolle: Unsere Datenbank sichern wir täglich in einen nicht öffentlichen Speicher unseres Datenbankanbieters Supabase in der EU; jede Sicherung löschen wir nach 14 Tagen. Unser Hoster Vercel protokolliert beim Aufruf der Seiten technische Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung) für den sicheren Betrieb und die Fehlersuche und löscht sie nach kurzer Zeit. Fehler auf unseren Servern halten wir in einem eigenen Fehlerprotokoll fest – ohne IP-Adresse und ohne Formularinhalte, nur Adresse, Art und Meldung des Fehlers –, um sie zu beheben; einen behobenen Fehler löschen wir 90 Tage danach aus dem Protokoll. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, verfügbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). [Löschfrist der Server-Protokolle bei Vercel (je nach Tarif) eintragen]

Einsicht im Streitfall: Meldet eine Seite vor der Freigabe der Zahlung einen Streitfall, sehen wir den betreffenden Chatverlauf und die Bestelldaten ein, um über Erstattung oder Freigabe zu entscheiden. Ohne gemeldeten Streitfall lesen wir keine Chats mit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Sammelliste: Legst du eine Sammelliste an, speichern wir ihren Namen und die Karten darin mit Set, Nummer, Sprache, Zustand, Menge, deinem Höchstpreis, deiner Notiz und ob du sie abgehakt hast – in deinem Konto, damit Website und App dieselbe Liste zeigen (Art. 6 Abs. 1 lit. b DSGVO). Die App hält eine Kopie auf deinem Gerät, damit die Liste auch ohne Netz funktioniert; beim Abmelden wird sie dort gelöscht. Erstellst du einen Lese-Link, kann jeder mit dem Link den Namen der Liste und die Karten sehen – ohne Höchstpreis, Notiz und Konto. Du kannst den Link jederzeit zurückziehen. Listen löschst du selbst; mit deinem Konto werden alle Sammellisten gelöscht.

3. Rechtsgrundlagen

Die Verarbeitung erfolgt zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie auf Grundlage unseres berechtigten Interesses an einem sicheren Plattformbetrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Eingesetzte Dienstleister

Wir setzen die folgenden Dienstleister ein. Mit den Auftragsverarbeitern besteht jeweils ein Vertrag nach Art. 28 DSGVO.

• Vercel (Vercel Inc., USA) – Hosting der Website. Die Server-Funktionen dieses Projekts laufen in der Region Dublin, Irland (dub1). Auftragsverarbeiter. [AVV bestätigen – im Vercel-Dashboard unter Settings, Legal]
• Supabase (Supabase Inc., USA) – Datenbank, Nutzerkonten, Dateispeicher und Echtzeit-Aktualisierung des Chats. Die Daten liegen in der Region eu-west-1 (Irland). Auftragsverarbeiter. [AVV bestätigen – in den Organisationseinstellungen von Supabase]
• Resend (Resend, Inc., USA) – Versand von Benachrichtigungs-E-Mails. Übermittelt werden E-Mail-Adresse und der Inhalt der jeweiligen Nachricht. Auftragsverarbeiter; die Verarbeitung findet in den USA statt. [AVV bestätigen und die Grundlage der Übermittlung in die USA angeben – Angemessenheitsbeschluss (Data Privacy Framework) oder Standardvertragsklauseln]
• Cloudflare (Cloudflare, Inc., USA) – Turnstile, eine Prüfung gegen automatisierte Anfragen in den Anmelde- und Kontaktformularen. Verarbeitet werden IP-Adresse und technische Merkmale des Browsers. Auftragsverarbeiter; eine Verarbeitung in den USA ist möglich. [AVV bestätigen (Cloudflare Data Processing Addendum) und die Grundlage der Übermittlung in die USA angeben – Angemessenheitsbeschluss (Data Privacy Framework) oder Standardvertragsklauseln]
• Stripe (Stripe Payments Europe, Limited, Irland, sowie Stripe, Inc., USA) – Abwicklung der kostenpflichtigen Mitgliedschaft, der Zahlungen zwischen Nutzern und der Auszahlungen an Händler. Stripe verarbeitet Zahlungsdaten weitgehend als eigenständig Verantwortlicher und nicht in unserem Auftrag, insbesondere zur Erfüllung eigener aufsichtsrechtlicher Pflichten (Geldwäscheprävention, Identitätsprüfung der Händler). Für diese Verarbeitung gilt die Datenschutzerklärung von Stripe. Welche Zahlungsarten Stripe anbietet und welche Dienste dahinter stehen, steht in Abschnitt 2 unter „Zahlungsarten beim Kauf“.
• Google (Google Ireland Limited, Irland, und Google LLC, USA) – Anmeldung mit Google auf deinen Wunsch, Mitteilungen in der App (Firebase Cloud Messaging) und unser E-Mail-Postfach (Gmail), in dem Nachrichten aus dem Kontaktformular ankommen. Für Firebase Cloud Messaging und das Postfach ist Google Auftragsverarbeiter; eine Verarbeitung in den USA ist möglich. [AVV bestätigen (Firebase: Data Processing and Security Terms) und die Grundlage der Übermittlung in die USA angeben; für das Postfach ein Konto mit AVV (Google Workspace) oder ein Postfach unter der eigenen Domain wählen]
• YouTube (Google Ireland Limited, Irland, und Google LLC, USA) – Livestreams der Händler auf ihrer Tischseite. Der Player wird erst geladen, wenn du auf „Livestream laden“ tippst; vorher besteht keine Verbindung zu YouTube. Danach erhält Google unter anderem deine IP-Adresse, Angaben zu Browser und Gerät sowie die aufgerufene Seite und kann Cookies setzen; eine Verarbeitung in den USA ist möglich (Data Privacy Framework). Wir nutzen den erweiterten Datenschutzmodus (youtube-nocookie.com). Rechtsgrundlage ist deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Für die Verarbeitung bei YouTube gilt die Datenschutzerklärung von Google.

5. Cookies und lokale Speicherung

Wir setzen nur Cookies und lokale Speicherungen ein, die technisch notwendig sind: die Anmelde-Cookies, ohne die eine Nutzung des Kontos nicht möglich ist; ein Cookie mit der zuletzt gewählten Sprache (ein Jahr); in der App ein Cookie, das die App-Ansicht kennzeichnet (30 Minuten); ein Cookie mit der Antwort auf den Sprachvorschlag (ein Jahr); bei der Anmeldung mit Code und beim Zurücksetzen des Passworts ein Cookie mit der eingegebenen E-Mail-Adresse, damit der Code ihr zugeordnet werden kann (eine Stunde); nach Angabe eines Geburtsdatums unter 18 Jahren ein Cookie, das die Registrierung sperrt (24 Stunden); bis zum Start ein Cookie, das den Zugang zur Vorschau freischaltet (bis zu 180 Tage); und beim Beitritt zu einem Händler-Team ein Cookie mit der Einladung (eine Stunde). Im Browser selbst (localStorage bzw. sessionStorage) werden die zuletzt verwendeten Suchbegriffe, die Wahl zwischen hellem und dunklem Erscheinungsbild, der Inhalt des Anfragekorbs, ein weggeklickter Hinweis zur Bewertung und der Entwurf eines Produkts während des Anlegens gespeichert – diese Einträge bleiben auf dem Gerät.

Analyse- oder Marketing-Werkzeuge setzen wir nicht ein. Ein Einwilligungsbanner ist deshalb nicht erforderlich.

Hinweis für den Betreiber, nicht für Nutzer: [Sobald ein Analyse- oder Marketing-Werkzeug hinzukommt, ist an dieser Stelle ein Einwilligungsbanner Pflicht und der Absatz oben zu ersetzen]

6. Speicherdauer

Kontodaten speichern wir, solange das Konto besteht. Auf Anfrage an die oben genannte Adresse löschen wir ein Konto; davon ausgenommen sind Daten, die wir aufbewahren müssen oder dürfen.

Du kannst dein Konto jederzeit selbst löschen: unter „Mein Konto“ → „Konto löschen“. Voraussetzung ist, dass keine Bestellung mehr läuft. Gelöscht werden sofort deine Anmeldedaten, dein Profil, deine Versandadresse, Suchanzeigen, Merkliste, Favoriten, Sammellisten, Benachrichtigungen, Stimmen und Verwarnungen; eine laufende Mitgliedschaft endet. Dein Tisch und deine Karten werden aus dem Katalog genommen. Was wir aufbewahren müssen – Bestell-, Zahlungs- und Rechnungsdaten sowie Steuerangaben von Händlern –, bleibt für die gesetzliche Frist gesperrt gespeichert; dein Profil selbst ist dann anonymisiert. Chatverläufe und Bewertungen bleiben für die Gegenseite lesbar, statt deines Namens steht dort „Gelöschtes Konto“. Rechtsgrundlage für das Aufbewahren ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB, für das Weiterzeigen der Chats unser berechtigtes Interesse und das der Gegenseite an einem nachvollziehbaren Geschäft (Art. 6 Abs. 1 lit. f DSGVO).

Wie lange wir Chats aufbewahren, steht in Abschnitt 2 unter „Chats und ihre Aufbewahrung“. Alle Fristen im Überblick zeigt die Tabelle am Ende dieses Abschnitts.

Bestell-, Zahlungs- und Rechnungsdaten bewahren wir nach den handels- und steuerrechtlichen Vorgaben auf: zehn Jahre nach § 147 Abgabenordnung und § 257 Handelsgesetzbuch, gerechnet ab dem Ende des Kalenderjahres, in dem die Bestellung abgeschlossen wurde. Während dieser Zeit sind die Daten für die weitere Verarbeitung gesperrt.

Verwarnungen und Sperrzeiträume löschen wir, wenn sie für die Missbrauchsabwehr nicht mehr erforderlich sind.

Löschfristen im Überblick

Diese Tabelle fasst zusammen, wie lange wir welche Daten aufbewahren. Gesperrt heißt: Die Daten werden nur noch für den genannten Zweck aufbewahrt und sonst nicht mehr verarbeitet.

7. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Außerdem steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Automatisierte Entscheidungen: Einige Schritte laufen automatisch: die Chatsperre nach drei Verwarnungen, die Prüfpause für private Verkäufer ab der Grenze und die Sperre eines Kontos, wenn ein Käufer eine Zahlung zurückbucht, nachdem er den Empfang selbst bestätigt hat, wenn ein Händler beim Teiltrade die Karten des Käufers nicht fristgerecht zurückschickt oder wenn er innerhalb von 90 Tagen zwei Rückbuchungen aus eigenem Verschulden verliert. Alle diese Schritte sind vorläufig. Du kannst jederzeit verlangen, dass ein Mensch den Fall prüft, deinen Standpunkt darlegen und die Entscheidung anfechten (Art. 22 Abs. 3 DSGVO) – am einfachsten über das Kontaktformular. Eine endgültige Sperre deines Kontos oder deiner Verkäufe entscheidet immer ein Mensch.