Integritetspolicy

1. Personuppgiftsansvarig

Personuppgiftsansvarig för behandlingen av uppgifter på den här webbplatsen är:
Tim Schneider
TradeDay&Night (Einzelunternehmen)
Cranachstr. 2
64546 Mörfelden-Walldorf
Tyskland
kontakt@tradedaynight.de

Något dataskyddsombud är inte utsett. De lagstadgade trösklarna i § 38 BDSG (den tyska federala dataskyddslagen) nås inte.

2. Vilka uppgifter vi behandlar

När plattformen drivs behandlas följande uppgifter:

• Kontouppgifter: E-postadress, användarnamn, lösenord (sparas bara som hashvärde), tidpunkten för registreringen och för inloggningen. Användarnamnet väljer du själv vid registreringen (3 till 20 tecken, kan ändras högst en gång per 30 dagar). Det syns offentligt – till exempel vid ditt bord, vid omdömen och i chatten – och bör därför varken innehålla ditt fullständiga namn eller kontaktuppgifter. Ditt födelsedatum frågar vi bara efter vid registreringen för att kontrollera att du är myndig; vi sparar endast tidpunkten för denna bekräftelse, inte datumet.
• Inloggning med Google eller Apple: Loggar du in med ditt Google-konto överför Google din e-postadress, ditt namn och en identifierare för ditt Google-konto till oss; med dem skapar vi ditt konto eller loggar in dig. Ditt lösenord hos Google får vi inte veta. Leverantör är Google Ireland Limited (Irland); en överföring till Google LLC (USA) är möjlig. Inloggning med Apple (Apple Distribution International Ltd., Irland) erbjuder vi så snart den har aktiverats; där kan du dölja din e-postadress. Den rättsliga grunden är fullgörandet av användaravtalet (artikel 6.1 b i GDPR).
• Profiluppgifter: Handlarstatus, medlemskapsstatus, omdömen.
• Innehåll: Erbjudanden, produktbilder, chattmeddelanden, pris- och bytesförslag mellan användare. Ändrar någon priset på ett kort, lägger upp ett nytt kort eller raderar ett, sparar vi kortets titel, priset – vid en ändring det gamla och det nya, vid ett raderat kort det senaste –, vem som gjorde det och när; bara bordets ägare kan se det. Efter tolv månader raderar vi dessa poster automatiskt.
• Chattar och hur länge de sparas: Meddelanden, erbjudanden och bilder i chatten för en förfrågan ser bara de inblandade – hos handlaren även de medarbetare som handlaren har godkänt. Med ”Dölj för mig” tar du bort en avslutad chatt från din lista. Chattar utan betalt köp raderar vi så snart alla inblandade har dolt dem, annars sju dagar efter att de avslutades. Vid ett betalt köp raderar vi chattens innehåll (meddelanden och bilder) tolv månader efter den senaste ändringen av beställningen; förfrågan, beställningen, omdömet och raden med det accepterade erbjudandet finns kvar som underlag. Så länge ett problem eller en tvist är öppen eller en anmälan om chatten ännu inte har avgjorts raderar vi ingenting. Den rättsliga grunden är artikel 6.1 b i GDPR (genomförandet av affären) och led f i GDPR (bevis vid återkrav och anspråk ur köpet). Som avslutad räknas även en chatt utan köp där inget har hänt på 30 dagar; raderingen meddelar vi i förväg i chatten. Om nya meddelanden, erbjudanden och förfrågningar i chatten informerar vi dig dessutom via e-post. De mejlen kan du när som helst avbeställa – under ”Mitt konto” → ”Aviseringar” eller via länken i vart och ett av mejlen; för det sparar vi en slumpmässig kod per konto, som vi raderar tillsammans med kontot. Aviseringar i appen påverkas inte, och mejl om beställningar, betalningar, tidsfrister och säkerheten för ditt konto får du fortfarande.
• Foton och videor: Vid uppladdningen förminskar vi foton och tar bort inbäddade uppgifter som kamera, tidpunkt och plats för inspelningen; i videor tar vi bort inspelningsplatsen. Foton och videor av dina kort syns offentligt så länge kortet erbjuds.
• Leveransadress: Förnamn, efternamn, gata, husnummer, postnummer, ort och land. De här uppgifterna visas för den andra avtalsparten först när en affär har bekräftats bindande och betalats – dessförinnan är de inte synliga för motparten. Vi frågar inte efter något telefonnummer och sparar inget så länge vi inte erbjuder fraktetiketter; nummer som tidigare angetts frivilligt har vi raderat.
• Beställnings- och betalningsuppgifter: Beställningsnummer, belopp, fraktkostnader, provisionssats, beställningens status, tidpunkterna för betalning, försändelse och mottagningsbekräftelse samt betalningens identifierare hos betalleverantören. Kort-, konto- och id-handlingsuppgifter behandlas inte av oss utan uteslutande av betalleverantören Stripe; vi ser dem aldrig.
• Betalsätt vid köp: Betalningen sker på Stripes betalningssida. Vilka betalningssätt som visas där beror på ditt land, beloppet och din enhet: kort, Apple Pay, Google Pay, Link (betalningsuppgifter sparade hos Stripe), banköverföring, iDEAL, Bancontact, EPS, Przelewy24, Revolut Pay, Amazon Pay, MobilePay, MB WAY, Multibanco och Satispay. Dina betalningsuppgifter anger du direkt hos Stripe eller hos respektive tjänst; vi ser bara belopp, tidpunkt, betalningssätt och betalningens id. Beroende på betalningssätt behandlar dessutom under eget ansvar: kortföretagen och din bank; Apple eller Google för godkännandet på din enhet (Apple Pay, Google Pay); vid Revolut Pay, Amazon Pay, MobilePay, MB WAY och Satispay respektive leverantör; vid iDEAL, Bancontact, EPS, Przelewy24, Multibanco och banköverföring din bank och operatören av systemet. Deras integritetspolicyer gäller. Rättslig grund är art. 6.1 b GDPR. Erbjuder Stripe dig PayPal behandlar dessutom PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) dina uppgifter under eget ansvar.
• Återkrav: Låter en köpare sin bank göra ett återkrav på en betalning, lämnar vi betalleverantören Stripe underlag från beställningen, som Stripe vidarebefordrar till köparens bank: ordernummer, typ av beställning och kortens titlar, bordets namn med uppgift om försäljningen sker privat eller som näringsidkare, säljarens och köparens användarnamn på TradeDay&Night, betalningens belopp och tidpunkt, fraktbolag, spårningsnummer och avsändningsdatum, postnummer och land för leveransadressen, om och när mottagandet bekräftades, samt beställningens förlopp (betalning, försändelse, mottagande, anmälda problem, återbetalningar). Räcker det inte kompletterar vi i enskilda fall med ytterligare underlag från beställningen, till exempel ett utdrag ur dess chatt. Rättslig grund är vårt och handlarens berättigade intresse av att avvärja obefogade återkrav (artikel 6.1 f i GDPR).
• Saldon på handlarnas utbetalningskonton: En gång om dagen läser vi hos Stripe av saldot på varje handlares utbetalningskonto – belopp, valuta och om autogiro för ett negativt saldo är inställt – och sparar bara den senaste statusen på handlarens konto; bara vi kan se den. Så upptäcker vi ett negativt saldo, till exempel efter ett återkrav, och kan kräva in obetalda belopp. Vid avstämningen av utbetalningskontot sparar vi dessutom land och valuta för det kopplade bankkontot och om Stripe kan täcka ett negativt saldo via autogiro; det avgör väntetiden före utbetalning (7 eller 30 dagar). Rättslig grund är artikel 6.1 b och 6.1 f i GDPR.
• Lägsta ålder för handlare: Vid varje avstämning av en handlares utbetalningskonto kontrollerar vi om Stripe registrerar kontoinnehavaren som minderårig – utifrån födelsedatumet, i den mån Stripe lämnar det till oss, och utifrån om Stripe kräver eller har registrerat en vårdnadshavare. Vi sparar bara resultatet, inte födelsedatumet. Är kontoinnehavaren under 18 förblir det spärrat att öppna ett bord och att sälja, eftersom TradeDay&Night bara får användas från 18 år. Rättslig grund är artikel 6.1 b och 6.1 f i GDPR.
• Obetalda fordringar och inkasso: Är en användare skyldig oss ett belopp efter ett återkrav, sparar vi fordran med konto, beställning, belopp, avgift, orsak och status. Förblir den obetald kan vi lämna över den till ett inkassobolag tillsammans med de uppgifter som behövs för det – namn, adress, e-postadress, beställning och belopp; det sker bara vid en obetald fordran. Rättslig grund är vårt berättigade intresse av att driva in våra fordringar (artikel 6.1 f i GDPR). Uppgifterna om fordran sparar vi som de övriga beställnings- och betalningsuppgifterna (avsnitt 6).
• Underlag för en polisanmälan vid delbyte: Skickar en handlare vid ett delbyte inte tillbaka köparens kort i tid, ställer vi underlag för en polisanmälan till köparens förfogande. Utöver uppgifterna om beställningen innehåller det handlarens namn och adress – den leveransadress som redan lämnades ut till köparen för delbytet – och för näringsidkande handlare säljaruppgifterna. Rättslig grund är köparens berättigade intresse av att kräva tillbaka sina kort och anmäla saken (artikel 6.1 f i GDPR). Till de brottsutredande myndigheterna lämnar vi ut dessa uppgifter på begäran (artikel 6.1 c eller f i GDPR).
• Ungefärlig plats: När du öppnar en sida tar vår värdtjänst Vercel fram ditt land och en ungefärlig ort (ungefär på stadsnivå) ur din IP-adress och lämnar båda vidare till våra servrar. Vi använder de uppgifterna bara för att visa mässor och handlarbord i ordning efter närhet och för att tala om för dig om ett bord levererar till ditt land. Är du inloggad och har sparat en leveransadress använder vi i stället landet i den adressen. Uppgifterna sparas inte, kopplas inte till ditt konto och lämnas inte vidare till tredje part; ingenting visas eller döljs, bara ordningen ändras. Rättslig grund är vårt berättigade intresse av en överskådlig presentation som passar dig (artikel 6.1 f i GDPR). Dessutom väljer vi språk utifrån detta land när du öppnar en adress utan språkangivelse och varken ett tidigare valt språk eller webbläsarens språkinställning passar något av våra språk.
• Handlarnas skatteuppgifter: Handlare anger namn, adress, födelsedatum respektive organisationsnummer, skatteidentifikationsnummer, i förekommande fall momsregistreringsnummer och frivilligt sina bankuppgifter. Enligt den tyska lagen om skattetransparens för plattformar (Plattformen-Steuertransparenzgesetz, EU-direktivet DAC7) måste plattformsoperatörer en gång om året rapportera säljare, antalet försäljningar, omsättning och innehållna avgifter till den tyska federala centrala skattemyndigheten (BZSt); BZSt kan lämna uppgifterna vidare till skattemyndigheterna i andra EU-länder. Bara den som når de lagstadgade tröskelvärdena rapporteras (30 försäljningar eller mer än 2 000 € per år). Saknas uppgifterna när en säljare blir rapporteringspliktig begär vi in dem och påminner två gånger (efter 20 och efter 40 dagar); finns de inte efter 60 dagar pausas nya försäljningar tills de finns (§ 22 PStTG). Ett angivet momsregistreringsnummer – från handlare och vid köp för ett företag även från köpare – kontrollerar vi i Europeiska kommissionens system för utbyte av momsinformation (VIES); dit skickas bara numret, och svaret anger om det är giltigt och i förekommande fall det namn som är registrerat för det. Rättslig grund är artikel 6.1 c i GDPR. Uppgifterna sparas i tio år, så som lagen kräver. Handlare utan skatteuppgifter kan frivilligt ange en fakturaadress (namn eller företag och adress) under utbetalningskontot så att deras provisionsunderlag får ett underlagsnummer (artikel 6.1 b i GDPR); den kan tas bort när som helst och raderas tillsammans med kontot, medan underlag som redan har utfärdats sparas som fakturor.
• Privata säljare – räkning, granskningspaus och egenförsäkran: För bord som drivs som privata räknar vi per kalenderår de betalda försäljningarna och deras summa. Från 20 försäljningar eller 1 500 € gör vi säljaren uppmärksam på detta; från 30 försäljningar eller 2 000 € pausas nya försäljningar tills säljaren har lämnat fullständiga skatteuppgifter och besvarat en egenförsäkran (till exempel: köper du medvetet för att sälja vidare? säljer du nya varor?). För detta analyserar vi också korten på säljarens bord – hur ofta samma kort förekommer och hur mycket förseglade varor det rör sig om. Är svaren utan anmärkning upphör pausen automatiskt; annars granskar en människa fallet. Pausen uppstår automatiskt och är preliminär; en spärr beslutas alltid av en människa. Via kontaktformuläret kan du när som helst begära att en människa granskar fallet. Räkningen, svaren och beslutet sparar vi till utgången av det tredje året efter det berörda kalenderåret. Något meddelande till skattemyndigheten är inte förenat med detta. Den rättsliga grunden är vårt och köparnas berättigade intresse av att ingen uppträder som privatperson som i själva verket bedriver näringsverksamhet (artikel 6.1 f i GDPR).
• Uppgifter enligt § 22f i den tyska mervärdesskattelagen: För varje försäljning på TradeDay&Night registrerar vi det som § 22f i den tyska mervärdesskattelagen (UStG) kräver: säljarens namn och adress (för privata säljare även födelsedatum, för näringsidkare e-postadress och momsregistreringsnummer), skattenummer och bankuppgifter om de är kända, avsändarlandet, land, postnummer och ort för leveransen, tidpunkt och belopp, de sålda korten och ordernumret. Ändrar en handlare sina handlaruppgifter eller skatteuppgifter eller raderar sitt konto, sparar vi den tidigare versionen i den mån tidigare försäljningar behöver den. Vi sparar uppgifterna i tio år och lämnar dem elektroniskt till skattemyndigheten på begäran (§ 22f punkt 4 UStG; art. 6.1 c GDPR). Den som rapporteras enligt den tyska lagen om skattemässig transparens för plattformar får senast den 31 januari året därpå veta via e-post och i handlarområdet vad vi har rapporterat. Handlare kan ladda ner sin försäljning som tabell; den innehåller köparens användarnamn samt land, postnummer och ort för leveransen, som de ändå får för frakten.
• Säljaruppgifter för näringsidkande säljare: Näringsidkande säljare måste uppge namn eller firma, adress och kontaktuppgifter för köparna (§ 312l BGB, artikel 246d EGBGB). De här uppgifterna står på en egen sida för bordet. E-postadressen visas först efter ett klick; för detta räknar vi visningarna per besökare – för inloggade via användaridentifieraren, annars via en icke-reversibel nyckel som bildas av IP-adressen – och raderar räkningen efter två dagar, så att ingen kan samla in adresserna automatiskt. Telefonnumret visar vi bara om säljaren uttryckligen har godkänt det. Vid varje beställning registrerar vi uppgifterna så som de gällde vid köpet. Den rättsliga grunden är artikel 6.1 c i GDPR, för begränsningen av antalet visningar led f.
• Väntelista för fler länder: Skriver du upp dig på väntelistan för ett land där handlarkonton ännu inte är möjliga, sparar vi landet, sidans språk och tidpunkten på ditt konto. Så snart handlarkonton är möjliga där skickar vi ett e-postmeddelande till ditt kontos adress; 30 dagar efter det meddelandet raderar vi anmälan. Du kan när som helst ta bort dig från väntelistan på samma ställe, och anmälan raderas också tillsammans med ditt konto. Rättslig grund är ditt samtycke (artikel 6.1 a i GDPR), som du återkallar genom att ta bort dig från väntelistan.
• Öppningslista: Om du anmäler dig till öppningslistan före öppningen sparar vi din e-postadress, sidans språk, versionen av samtyckestexten och tidpunkterna för anmälan och bekräftelse – med stöd av ditt samtycke (art. 6.1 a GDPR). Först får du ett mejl för att bekräfta; utan bekräftelse raderar vi anmälan efter 7 dagar. Vid öppningen skickar vi exakt ett mejl och raderar sedan adressen. Du kan avregistrera dig när som helst via länken i bekräftelsemejlet; då återkallar du ditt samtycke. För att förhindra missbruk räknar vi anmälningar per adress och per IP-adress enligt beskrivningen av gränserna mot missbruk. Mejlen skickas via Resend.
• Adressförslag och adresskontroll: När du fyller i leveransadressen föreslår vi passande adresser och kontrollerar när du sparar om adressen finns. För detta skickar vår server den inskrivna adresstexten – utan ditt namn och utan din IP-adress – till Photon, en adresstjänst från komoot GmbH (Tyskland) som bygger på OpenStreetMaps öppna kartdata. Vi sparar inte dessa förfrågningar. Rättslig grund är fullgörandet av avtalet, som förutsätter en adress dit leverans är möjlig (artikel 6.1 b i GDPR), och vårt berättigade intresse av felfria försändelser (artikel 6.1 f i GDPR).
• Skydd mot automatiserade förfrågningar: I formulären för inloggning, registrering, återställning av lösenord, kontakt, inlösen av presentkoder, inskickning av önskemål och uppsägning av avtal kontrollerar vår webbhotellsleverantör Vercel (BotID) om det är en människa som skickar dem. För detta utvärderas tekniska egenskaper hos din webbläsare och din IP-adress; inga cookies för reklam eller analys skapas. Den rättsliga grunden är vårt berättigade intresse av att skydda plattformen och dess användare mot missbruk som massinloggningsförsök och skräppost (artikel 6.1 f i GDPR). I formulären för inloggning, registrering, återställning av lösenord, kontakt och anmälan av innehåll använder vi dessutom Cloudflare Turnstile (se avsnitt 4). En ruta att klicka i visas bara om vi misstänker en automatiserad förfrågan – till exempel efter många misslyckade försök.
• Mängdgränser mot missbruk: För att skydda konton och brevlådor mot massförsök räknar vi misslyckade inloggningar samt registreringar, förfrågningar om att återställa lösenordet, kontaktmeddelanden, anmälningar utan konto och inlösen av presentkoder – per e-postadress respektive konto och per IP-adress. För detta sparar vi varken adressen eller själva IP-adressen, utan bara ett kontrollvärde som bildas med vår nyckel (HMAC) och som inte kan räknas tillbaka utan denna nyckel; det raderas senast efter en dag, de misslyckade försöken för en adress redan vid nästa lyckade inloggning. Nås en gräns ber vi om en kort bekräftelse eller lite tålamod. Den rättsliga grunden är vårt berättigade intresse av att skydda plattformen och dess användare mot missbruk (artikel 6.1 f i GDPR).
• Automatiskt chattfilter och varningar: Innan ett meddelande skickas kontrollerar chatten automatiskt om det innehåller telefonnummer, e-postadresser, postadresser, kontakter i andra tjänster eller externa länkar – så skyddar vi köpare och säljare mot bedrägerier utanför plattformen. Tydliga fall levereras inte och leder till en varning; oklara fall levereras bara inte. Efter tre varningar inom 30 dagar spärras chatten i 30 dagar; att titta, köpa och pågående beställningar är fortfarande möjligt. Vi sparar varningen, tidpunkten och skälet. Spärren uppstår automatiskt: via kontaktformuläret kan du när som helst begära att en människa granskar den, framföra din ståndpunkt och bestrida den; var den inte berättigad häver vi den. Den rättsliga grunden är vårt berättigade intresse av en säker drift av plattformen utan missbruk (artikel 6.1 f i GDPR).
• Anmälan av innehåll: Den som anmäler innehåll via ”Anmäl” skickar oss skälet, en beskrivning, frivilligt en e-postadress och – inloggad – upp till fem bilder som bevis; en anmälan från en inloggad användare kopplas till kontot; vid en anmälan från en chatt tittar vi på den berörda chatthistoriken. Vi fattar beslut om anmälan och meddelar beslutet med motivering till den som anmält och den berörda personen (art. 16 och 17 Digital Services Act). Anmälan sparar vi som bevis för beslutet; bilderna raderar vi sex månader efter beslutet, när fristen för ett klagomål har gått ut. Rättslig grund är art. 6.1 c GDPR jämförd med Digital Services Act samt vårt berättigade intresse av en säker plattform (led f).
• Blockering: Blockerar du ett konto sparar vi vem som har blockerat vem, så att det inte uppstår några nya förfrågningar och meddelanden mellan er. Pågående beställningar genomförs ändå. Blockeringen gäller tills du häver den eller ett av kontona raderas. Den rättsliga grunden är artikel 6.1 b och f i GDPR.
• Kontaktformulär och e-post: Skriver du till oss via kontaktformuläret behandlar vi namn, e-postadress och meddelande för att kunna svara. Meddelandet når oss via vår e-posttjänst (Resend) som ett mejl i vår brevlåda hos Google (Gmail). Vi sparar korrespondensen så länge den behövs för ditt ärende och därutöver bara om det finns en lagstadgad skyldighet att bevara den (till exempel för affärsbrev enligt § 257 HGB, den tyska handelsbalken). Den rättsliga grunden är artikel 6.1 b respektive f i GDPR.
• Uppsägning via ”Säg upp avtal här”: För en uppsägning via uppsägningsknappen (§ 312k BGB) behandlar vi namn, e-postadress, det uppsagda avtalet, typen av uppsägning, i förekommande fall skälet och tidpunkten, och vi bekräftar uppsägningen per mejl. Uppsägningen sparar vi som bevis tills anspråk enligt avtalet har preskriberats (tre år från utgången av det år då uppsägningen gjordes). Den rättsliga grunden är artikel 6.1 c i GDPR i förening med § 312k BGB.
• Appen och aviseringar: I vår app för Android och iOS gäller samma regler som på webbplatsen. Tillåter du aviseringar sparar vi per enhet en identifierare för aviseringar (push-token), operativsystemet och appens språk, för att till exempel meddela dig om nya meddelanden eller inkomna betalningar. Aviseringarna skickas via Googles Firebase Cloud Messaging (Google Ireland Limited; behandling i USA är möjlig). Identifieraren raderar vi när du loggar ut, när Google rapporterar den som ogiltig eller när du raderar ditt konto. Den rättsliga grunden är ditt samtycke (artikel 6.1 a i GDPR, § 25.1 TDDDG), som du när som helst kan återkalla i enhetens inställningar. Medlemskap säljer vi inte i appen. Om ett fel uppstår i appen eller om den kraschar rapporterar den det till vår fellogg – bara med appversion, operativsystem, den berörda skärmen och felmeddelandet, utan ditt konto och utan innehåll. För detta kommer appen ihåg på din enhet om den senast avslutades korrekt. Rättslig grund är vårt berättigade intresse av en felfri app (artikel 6.1 f i GDPR, § 25.2 nr 2 TDDDG).
• Rekommendationslänkar till Amazon: Vissa rekommendationer för mässutrustning länkar till Amazon med vår partnerkod. Innan du klickar på en sådan länk får Amazon inga uppgifter från oss. Efter klicket gäller Amazons integritetsinformation och cookies; handlar du där får vi en provision utan att få veta vem som har köpt. Den rättsliga grunden är vårt berättigade intresse av att finansiera plattformen (artikel 6.1 f i GDPR).
• Säkerhetskopior och loggar: Vi säkerhetskopierar vår databas dagligen till en icke-offentlig lagring hos vår databasleverantör Supabase i EU; varje säkerhetskopia raderar vi efter 14 dagar. Vår webbhotellsleverantör Vercel loggar tekniska uppgifter när sidorna öppnas (IP-adress, tidpunkt, anropad adress, webbläsaridentifierare) för en säker drift och felsökning och raderar dem efter kort tid. Fel på våra servrar registrerar vi i en egen fellogg – utan IP-adress och utan formulärinnehåll, bara felets adress, typ och meddelande – för att kunna åtgärda dem; ett åtgärdat fel raderar vi ur loggen 90 dagar senare. Den rättsliga grunden är vårt berättigade intresse av en säker och tillgänglig drift (artikel 6.1 f i GDPR). [Fyll i lagringstiden för serverloggarna hos Vercel (beror på abonnemanget)]

Insyn vid en tvist: Anmäler en sida en tvist innan betalningen frisläpps tittar vi på den berörda chatthistoriken och beställningsuppgifterna för att besluta om återbetalning eller frisläppning. Utan en anmäld tvist läser vi inga chattar. Rättslig grund är artikel 6.1 b och 6.1 f i GDPR.

Samlarlista: Om du skapar en samlarlista sparar vi dess namn och korten på den med set, nummer, språk, skick, antal, ditt högsta pris, din anteckning och om du har bockat av dem – på ditt konto, så att webbplatsen och appen visar samma lista (artikel 6.1 b i GDPR). Appen har en kopia på din enhet så att listan fungerar även utan nät; när du loggar ut raderas den där. Om du skapar en läslänk kan alla som har länken se listans namn och korten – utan högsta pris, anteckning och konto. Du kan när som helst dra tillbaka länken. Listor raderar du själv; när ditt konto raderas raderas alla samlarlistor.

3. Rättsliga grunder

Behandlingen sker för att fullgöra användaravtalet (artikel 6.1 b i GDPR), för att uppfylla rättsliga skyldigheter (artikel 6.1 c i GDPR) och på grundval av vårt berättigade intresse av en säker drift av plattformen (artikel 6.1 f i GDPR).

4. Anlitade tjänsteleverantörer

Vi anlitar följande tjänsteleverantörer. Med personuppgiftsbiträdena finns i varje enskilt fall ett avtal enligt artikel 28 i GDPR.

• Vercel (Vercel Inc., USA) – drift av webbplatsen. Projektets serverfunktioner körs i regionen Dublin, Irland (dub1). Personuppgiftsbiträde. [Bekräfta personuppgiftsbiträdesavtalet – i Vercels kontrollpanel under Settings, Legal]
• Supabase (Supabase Inc., USA) – databas, användarkonton, fillagring och realtidsuppdatering av chatten. Uppgifterna ligger i regionen eu-west-1 (Irland). Personuppgiftsbiträde. [Bekräfta personuppgiftsbiträdesavtalet – i Supabases organisationsinställningar]
• Resend (Resend, Inc., USA) – utskick av aviseringsmejl. Det som överförs är e-postadressen och innehållet i respektive meddelande. Personuppgiftsbiträde; behandlingen sker i USA. [Bekräfta personuppgiftsbiträdesavtalet och ange grunden för överföringen till USA – beslut om adekvat skyddsnivå (Data Privacy Framework) eller standardavtalsklausuler]
• Cloudflare (Cloudflare, Inc., USA) – Turnstile, en kontroll mot automatiserade förfrågningar i inloggnings- och kontaktformulären. IP-adressen och tekniska egenskaper hos webbläsaren behandlas. Personuppgiftsbiträde; behandling i USA är möjlig. [Bekräfta personuppgiftsbiträdesavtalet (Cloudflare Data Processing Addendum) och ange grunden för överföringen till USA – beslut om adekvat skyddsnivå (Data Privacy Framework) eller standardavtalsklausuler]
• Stripe (Stripe Payments Europe, Limited, Irland, samt Stripe, Inc., USA) – hantering av det betalda medlemskapet, av betalningarna mellan användare och av utbetalningarna till handlare. Stripe behandlar betalningsuppgifter till stor del som självständigt personuppgiftsansvarig och inte på vårt uppdrag, särskilt för att uppfylla egna tillsynsrättsliga skyldigheter (åtgärder mot penningtvätt, identitetskontroll av handlarna). För den behandlingen gäller Stripes integritetspolicy. Vilka betalsätt Stripe erbjuder och vilka tjänster som står bakom dem står i avsnitt 2 under ”Betalsätt vid köp”.
• Google (Google Ireland Limited, Irland, och Google LLC, USA) – inloggning med Google på din begäran, aviseringar i appen (Firebase Cloud Messaging) och vår e-postbrevlåda (Gmail), dit meddelanden från kontaktformuläret kommer. För Firebase Cloud Messaging och brevlådan är Google personuppgiftsbiträde; behandling i USA är möjlig. [Bekräfta personuppgiftsbiträdesavtalet (Firebase: Data Processing and Security Terms) och ange grunden för överföringen till USA; för brevlådan välj ett konto med personuppgiftsbiträdesavtal (Google Workspace) eller en brevlåda på den egna domänen]
• YouTube (Google Ireland Limited, Irland, och Google LLC, USA) – säljarnas livestreamar på deras bordssida. Spelaren läses in först när du trycker på ”Läs in livestream”; dessförinnan finns ingen anslutning till YouTube. Därefter tar Google emot bland annat din IP-adress, uppgifter om din webbläsare och enhet samt den visade sidan och kan sätta cookies; behandling i USA är möjlig (Data Privacy Framework). Vi använder läget för utökad integritet (youtube-nocookie.com). Den rättsliga grunden är ditt samtycke genom klicket (art. 6.1 a GDPR, § 25.1 TDDDG). För behandlingen hos YouTube gäller Googles integritetspolicy.

5. Cookies och lokal lagring

Vi använder bara cookies och lokal lagring som är tekniskt nödvändiga: inloggningscookies, utan vilka det inte går att använda kontot; en cookie med det senast valda språket (ett år); i appen en cookie som markerar appvyn (30 minuter); en cookie med svaret på språkförslaget (ett år); vid inloggning med kod och vid återställning av lösenordet en cookie med den angivna e-postadressen, så att koden kan kopplas till den (en timme); efter att ett födelsedatum under 18 år har angetts en cookie som spärrar registreringen (24 timmar); fram till lanseringen en cookie som ger åtkomst till förhandsvisningen (upp till 180 dagar); och när du går med i en handlares team en cookie med inbjudan (en timme). I själva webbläsaren (localStorage eller sessionStorage) sparas de senast använda sökorden, valet mellan ljust och mörkt utseende, innehållet i förfrågningskorgen, en stängd påminnelse om omdöme och utkastet till en produkt medan den skapas – de uppgifterna stannar på enheten.

Analys- eller marknadsföringsverktyg använder vi inte. En samtyckesbanner är därför inte nödvändig.

Upplysning till operatören, inte till användarna: [Så snart ett analys- eller marknadsföringsverktyg tillkommer är en samtyckesbanner obligatorisk på det här stället och stycket ovan ska ersättas]

6. Lagringstid

Kontouppgifter sparar vi så länge kontot finns. På begäran till adressen ovan raderar vi ett konto; undantagna är uppgifter som vi måste eller får bevara.

Du kan när som helst radera ditt konto själv: under ”Mitt konto” → ”Radera konto”. En förutsättning är att ingen beställning längre pågår. Omedelbart raderas dina inloggningsuppgifter, din profil, din leveransadress, sökannonser, favoriter, samlarlistor, aviseringar, röster och varningar; ett pågående medlemskap upphör. Ditt bord och dina kort tas bort ur katalogen. Det vi måste bevara – beställnings-, betalnings- och fakturauppgifter samt säljares skatteuppgifter – förblir sparat och spärrat under den lagstadgade tiden; själva profilen anonymiseras då. Chatthistoriker och omdömen förblir läsbara för motparten; i stället för ditt namn står där ”Raderat konto”. Rättslig grund för bevarandet är artikel 6.1 c i GDPR jämförd med § 147 AO och § 257 HGB, för att chattarna fortsätter att visas vårt och motpartens berättigade intresse av en spårbar affär (artikel 6.1 f i GDPR).

Hur länge vi sparar chattar står i avsnitt 2 under ”Chattar och hur länge de sparas”. En överblick över alla frister ger tabellen i slutet av det här avsnittet.

Beställnings-, betalnings- och fakturauppgifter bevarar vi enligt handels- och skatterättsliga krav: tio år enligt § 147 Abgabenordnung (den tyska skatteförfarandelagen) och § 257 Handelsgesetzbuch (den tyska handelslagen), räknat från slutet av det kalenderår då beställningen avslutades. Under den tiden är uppgifterna spärrade för vidare behandling.

Varningar och spärrperioder raderar vi när de inte längre behövs för att motverka missbruk.

Raderingsfrister i överblick

Den här tabellen sammanfattar hur länge vi sparar vilka uppgifter. Spärrad betyder: uppgifterna sparas bara för det angivna ändamålet och behandlas inte längre i övrigt.

7. Dina rättigheter

Du har rätt till tillgång, rättelse, radering, begränsning av behandlingen, dataportabilitet och invändning. Dessutom har du rätt att klaga hos en dataskyddsmyndighet. Behörig är Hessischer Beauftragter für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Automatiserade beslut: Vissa steg sker automatiskt: chattspärren efter tre varningar, granskningspausen för privata säljare när gränsen har nåtts och spärren av ett konto om en köpare låter göra ett återkrav på en betalning efter att själv ha bekräftat mottagandet, om en handlare vid ett delbyte inte skickar tillbaka köparens kort i tid eller om en handlare förlorar två återkrav genom eget vållande inom 90 dagar. Alla dessa steg är preliminära. Du kan när som helst begära att en människa granskar fallet, framföra din ståndpunkt och bestrida beslutet (artikel 22.3 i GDPR) – enklast via kontaktformuläret. En slutgiltig spärr av ditt konto eller dina försäljningar beslutas alltid av en människa.