Datenschutz

Verantwortlicher

TCG Germany UG (haftungsbeschränkt), Arbeostraße 11, 82041 Oberhaching, Deutschland
Vertreten durch: Gökhan Karahan · E-Mail: info@tcgermany.de

CARDLEAGUE und TCG Germany

CARDLEAGUE ist ein Angebot der TCG Germany UG (haftungsbeschränkt). Dasselbe Unternehmen betreibt auch www.tcgermany.de (Kartenhandel, An- und Verkauf, Card-Shows und Messen). Für beide Angebote ist also derselbe Verantwortliche zuständig; wir verarbeiten deine Daten angebotsübergreifend, soweit das für den jeweiligen Zweck nötig ist:

• Kontakt und Kundenservice: Anfragen über das Kontaktformular auf www.tcgermany.de/kontakt oder per E-Mail beantworten wir für beide Angebote und nutzen dafür die Daten deines CARDLEAGUE-Kontos (z. B. Bestellstatus). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
• Events und Ankauf: Nimmst du über CARDLEAGUE an einer Card-Show teil oder verkaufst Karten an uns, nutzen wir die dafür nötigen Daten auch in der Abwicklung über TCG Germany. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Newsletter: Mit deiner Einwilligung informieren wir dich per E-Mail über beide Angebote (siehe „Newsletter“). Ohne Einwilligung nutzen wir deine Daten nicht für Werbung von TCG Germany.

Für Daten, die du direkt auf www.tcgermany.de eingibst, gilt ergänzend die Datenschutzerklärung von www.tcgermany.de. Eine Weitergabe an andere Unternehmen findet dadurch nicht statt.

Welche Daten wir verarbeiten und warum

Aufruf der Website

Beim Aufruf verarbeitet unser Hosting-Dienstleister technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser), um die Seite auszuliefern und Angriffe abzuwehren. Diese Protokolle werden nach spätestens 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Konto

Name, E-Mail, Benutzername, Passwort (nur als Hash), Anmeldezeiten, gewählte Sprache. Zweck: Bereitstellung des Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Käufe und Verkäufe

Lieferadresse, Bestellungen, Nachrichten zwischen Käufer und Verkäufer, Sendungsnummern und Zustellstatus, Reklamationen. Der Verkäufer erhält Name und Lieferadresse des Käufers zur Abwicklung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sammlung und Fotos

Deine Karten, Kaufpreise und Fotos. Kaufpreise und nicht angebotene Karten siehst nur du. Fotos angebotener Karten sind öffentlich. Standortdaten entfernen wir beim Hochladen aus den Fotos.

Verifizierung und Auszahlung

Identitätsnachweis und Bankverbindung erhebt unser Zahlungsdienstleister Stripe (Stripe Payments Europe Ltd., Irland) als eigener Verantwortlicher zur Erfüllung geldwäscherechtlicher Pflichten. Wir erhalten nur den Status (verifiziert ja/nein) und Auszahlungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

Steuerdaten (DAC7)

Von Verkäufern erheben wir Name, Anschrift, Geburtsdatum bzw. Firmendaten, Steuer-ID und Umsätze und melden sie jährlich an das Bundeszentralamt für Steuern. Ohne diese Angaben dürfen wir keine Erlöse auszahlen. Steuer-IDs speichern wir verschlüsselt. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. PStTG.

Sicherheit und Missbrauch

Protokolle über Anmeldungen, Änderungen und Admin-Aktionen, um Betrug zu verhindern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Meldungen von Angeboten

Wenn du ein Angebot meldest, speichern wir deine E-Mail-Adresse, optional deinen Namen, Grund und Begründung, um die Meldung zu prüfen und dir die Entscheidung mitzuteilen. Der Verkäufer erfährt nicht, wer gemeldet hat. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 DSA. Speicherdauer: 3 Jahre nach der Entscheidung.

„The Coach“ (Assistent)

Wenn du den Coach nutzt, verarbeiten wir deine Fragen, die Antworten und die aktuelle Seite, um dir zu antworten. Bist du angemeldet, liest der Coach zur Beantwortung deine eigenen Konto-Informationen (z. B. Status deiner Bestellungen) – er kann nichts ändern. Gespräche speichern wir 90 Tage, um Fragen an unser Team weiterzugeben und den Coach zu verbessern. Die Texte werden zur Beantwortung an unseren KI-Dienstleister Anthropic, PBC (USA) übermittelt, der sie nicht zum Training verwendet (Auftragsverarbeitung, EU-Standardvertragsklauseln). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Gib im Chat bitte keine Passwörter, Ausweis- oder Bankdaten ein.

Kartenerkennung per Foto

Nutzt du „Karte per Foto erkennen“, senden wir das Foto (verkleinert, ohne Standort- und Kameradaten) zur Auswertung an Anthropic. Das Ergebnis füllt nur dein Formular vor; das Foto wird dafür nicht dauerhaft beim Dienstleister gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

E-Mails zu deinem Konto

Bestell-, Versand-, Auszahlungs- und Sicherheits-E-Mails bekommst du, weil sie zur Nutzung gehören (Art. 6 Abs. 1 lit. b DSGVO). Hinweise wie Preisalarme, Suchaufträge oder Nachfrage-Hinweise („Gesucht“) kannst du unter „Benachrichtigungen“ bzw. „Merkliste“ jederzeit abbestellen.

Außerdem schicken wir gelegentlich Tipps zur Nutzung, die sich auf dein eigenes Konto beziehen: Hilfe in den ersten Tagen nach der Registrierung, Hinweise zu deinen Angeboten (z. B. wenn ein Angebot nach einer Woche kaum Aufrufe hat oder deutlich über dem Marktwert liegt), neue Angebote zu Spielern deiner Sammlung und eine Erinnerung an Karten, die seit einem Tag in deinem Warenkorb liegen. Rechtsgrundlage ist unser berechtigtes Interesse, dir die Nutzung des Marktplatzes zu erleichtern (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Jede dieser E-Mails enthält einen Link, mit dem du alle Tipps mit einem Klick abbestellst; außerdem unter „Benachrichtigungen“. Wir werten dafür nur Daten aus, die ohnehin bei uns liegen (Konto, Angebote, Aufrufzahlen, Warenkorb) – keine Daten von Dritten.

Newsletter (Double-Opt-in)

Den Newsletter von CARDLEAGUE und TCG Germany (www.tcgermany.de) mit Neuigkeiten, Drops, Events und Aktionen bekommst du nur, wenn du ihn ausdrücklich bestellst (Haken im Anmeldeformular oder bei der Registrierung) und die Anmeldung über den Link in unserer Bestätigungs-E-Mail bestätigst (Double-Opt-in). Pflichtangabe ist nur die E-Mail-Adresse.

Zum Nachweis der Einwilligung speichern wir Zeitpunkt der Anmeldung und der Bestätigung, eine gekürzte, nicht umkehrbare Kennung der IP-Adresse, die Quelle der Anmeldung sowie Wortlaut und Version des Einwilligungstextes. Unbestätigte Anmeldungen löschen wir nach 30 Tagen.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); die Protokollierung beruht auf unserer Pflicht, die Einwilligung nachweisen zu können (Art. 7 Abs. 1, Art. 6 Abs. 1 lit. c und f DSGVO). Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder Ausgabe oder per E-Mail an info@tcgermany.de. Nach der Abmeldung speichern wir die Adresse nur noch als gesperrt, damit du keine Newsletter mehr bekommst und wir den Widerruf nachweisen können. Versanddienstleister: Resend (Plus Five Five, Inc.), San Francisco, USA – Versand über Server in der EU (Irland). Wir werten nicht aus, ob oder wann du den Newsletter öffnest.

Empfänger

• Hosting und Datenbank: Render Services, Inc., San Francisco, USA – Server und Datenbank in Frankfurt am Main (EU)
• Zahlungen und Auszahlungen: Stripe Payments Europe Ltd., Dublin, Irland
• E-Mail-Versand: Resend (Plus Five Five, Inc.), San Francisco, USA – Versand über Server in der EU (Irland)
• Coach, Kartenerkennung per Foto und Vorprüfung von Meldungen: Anthropic, PBC, San Francisco, USA
• Anzeigenmessung (nur mit Einwilligung): Meta Platforms Ireland Ltd., Dublin, Irland – siehe „Meta-Pixel“
• Anzeigenmessung für ChatGPT-Anzeigen (nur mit Einwilligung): OpenAI – siehe „OpenAI-Pixel“
• Anzeigenmessung für Google-Anzeigen (nur mit Einwilligung): Google Ireland Limited, Dublin, Irland – siehe „Google Ads“
• Versandunternehmen, die der Verkäufer wählt (Name und Lieferadresse zur Zustellung)
• Behörden, soweit gesetzlich vorgeschrieben (z. B. Bundeszentralamt für Steuern)

Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO), soweit sie nicht selbst verantwortlich sind. Bei Anbietern mit Sitz in den USA erfolgt eine Übermittlung auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO), soweit der Anbieter zertifiziert ist, im Übrigen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Server und Datenbank stehen in Frankfurt am Main.

Cookies und Einwilligung

Beim ersten Besuch fragen wir, was du erlaubst. Ohne Auswahl nutzen wir nur, was technisch notwendig ist. Deine Auswahl kannst du jederzeit unter „Cookie-Einstellungen“ ganz unten auf jeder Seite ändern oder widerrufen.

Notwendig (ohne Einwilligung, § 25 Abs. 2 Nr. 2 TDDDG)

• Sitzung (skp.session_token, 30 Tage) – hält dich angemeldet.
• Sprache (sk_lang, 1 Jahr) – merkt sich die gewählte Sprache.
• Einwilligung (cl_consent, 1 Jahr) – speichert deine Auswahl in diesem Fenster.
• Coach-Verlauf (lokaler Speicher) – damit dein laufendes Gespräch mit dem Coach beim Seitenwechsel erhalten bleibt.
• App-Funktionen (Service Worker) – für die Installation als App und Push-Benachrichtigungen, die du selbst einschaltest.

Statistik (nur mit Einwilligung)

Anonyme Reichweitenmessung auf unseren eigenen Servern, siehe Abschnitt „Reichweitenmessung“. Kommst du über einen Werbe- oder Aktionslink (Adresse mit „utm_“), merkt sich cl_utm (30 Tage) nur die Bezeichnung der Kampagne, damit wir sehen, welche Anzeige zu Registrierungen führt. Außerdem merkt sich der Browser im Sitzungsspeicher dieses Tabs (cl_attr, gelöscht beim Schließen des Tabs), über welche Seite du gekommen bist und auf welcher Seite du gelandet bist; registrierst du dich, speichern wir diese Angaben und die Kampagne zu deinem Konto. Klick-Kennungen von Anzeigen (gclid, fbclid, oppref) nur, wenn du zusätzlich „Werbung“ erlaubst.

Einladungen (nur mit Einwilligung)

sk_ref (30 Tage) – merkt sich, über welchen Einladungslink du gekommen bist, damit der Werbende seine Provision erhält. Ohne Einwilligung wird der Einladungscode nur in der Adresse der Registrierungsseite weitergegeben.

Werbung (nur mit Einwilligung)

_fbp (90 Tage) und _fbc (90 Tage) – Cookies des Meta-Pixels, siehe Abschnitt „Meta-Pixel“. Sie werden erst gesetzt, wenn du „Werbung“ erlaubst, und beim Widerruf wieder gelöscht.

__oppref (Cookie des OpenAI-Pixels) und cl_oppref (30 Tage) – merken sich die Kennung eines Klicks auf unsere Anzeige in ChatGPT, siehe Abschnitt „OpenAI-Pixel“. Sie werden erst gesetzt, wenn du „Werbung“ erlaubst, und beim Widerruf wieder gelöscht.

_gcl_au und _gcl_aw (bis 90 Tage) – Cookies des Google-Ads-Tags; „_gcl_aw“ merkt sich die Kennung eines Klicks auf unsere Google-Anzeige („gclid“), siehe Abschnitt „Google Ads“. Sie werden erst gesetzt, wenn du „Werbung“ erlaubst, und beim Widerruf wieder gelöscht.

Rechtsgrundlage für die einwilligungspflichtigen Funktionen: § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO. Werbe-Cookies von Drittanbietern setzen wir ausschließlich mit deiner Einwilligung (Meta-Pixel, OpenAI-Pixel, Google-Ads-Tag).

Reichweitenmessung

Wenn du „Statistik“ erlaubst, zählen wir Seitenaufrufe, Suchbegriffe und Schritte im Kaufablauf (angesehen, Warenkorb, Kasse, bezahlt) – auf unseren eigenen Servern und ohne Drittanbieter. Wir speichern dabei weder deine IP-Adresse noch deine Nutzerkennung. Um Besuche zu zählen, bilden wir aus IP-Adresse, Browser-Kennung und Datum einen verschlüsselten Kurzwert, der sich täglich ändert und nicht auf dich zurückgeführt werden kann. Zusätzlich speichern wir Sprache, die ungefähre Region aus deiner Browsersprache, die aufgerufene Seite, die Website, von der du gekommen bist, und – bei Werbe- oder Aktionslinks – die Bezeichnung der Kampagne (Cookie „cl_utm“, siehe oben).

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sendet dein Browser „Do Not Track“ oder „Global Privacy Control“, zählen wir dich auch mit Einwilligung nicht. Die Einträge werden nach 13 Monaten gelöscht.

Unabhängig davon zählen wir, wie oft ein Angebot aufgerufen wurde, und zeigen diese Zahl nur dem Verkäufer. Gespeichert wird allein die Zahl am Angebot – kein Cookie, keine IP-Adresse. Damit Neuladen nicht doppelt zählt, halten wir einen nicht umkehrbaren Kurzwert aus IP-Adresse und Browser-Kennung für 30 Minuten im Arbeitsspeicher. Rechtsgrundlage ist unser berechtigtes Interesse, Verkäufern die Reichweite ihrer Angebote zu zeigen (Art. 6 Abs. 1 lit. f DSGVO).

Meta-Pixel und Conversions API

Wir schalten Anzeigen auf Facebook und Instagram. Wenn du „Werbung“ erlaubst, laden wir das Meta-Pixel der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland. Es setzt die Cookies „_fbp“ und „_fbc“ und meldet Meta Seitenaufrufe sowie die Ereignisse Registrierung, Angebot eingestellt und Kauf (mit Betrag) – zusammen mit der Adresse der Seite, deiner IP-Adresse und Browser-Kennung. Dieselben Ereignisse übermitteln wir zusätzlich von unserem Server an Meta (Conversions API); dabei wird deine E-Mail-Adresse nur als nicht umkehrbarer Hash-Wert gesendet, damit Meta die Anzeige zuordnen kann. Ohne Einwilligung wird weder das Pixel geladen noch ein Ereignis übermittelt.

Zweck ist die Messung, ob unsere Anzeigen zu Registrierungen und Angeboten führen, und die Optimierung der Anzeigenauslieferung. Meta verarbeitet diese Daten auch für eigene Zwecke; für die Erhebung und Übermittlung sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO, Vereinbarung unter facebook.com/legal/controller_addendum). Eine Übermittlung an Meta Platforms, Inc. in den USA erfolgt auf Grundlage des EU-US Data Privacy Framework. Informationen zur Verarbeitung durch Meta: facebook.com/privacy/policy.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit unter „Cookie-Einstellungen“ ganz unten auf jeder Seite widerrufen kannst – die Cookies werden dann gelöscht. Werbeeinstellungen bei Meta: „Einstellungen → Werbepräferenzen“ in deinem Facebook- oder Instagram-Konto.

OpenAI-Pixel und Conversions API (ChatGPT-Anzeigen)

Wir schalten Anzeigen in ChatGPT. Wenn du „Werbung“ erlaubst, laden wir das Mess-Pixel von OpenAI. Kommst du über eine solche Anzeige zu uns, enthält die Adresse eine Klick-Kennung („oppref“); das Pixel und wir speichern sie in den Cookies „__oppref“ und „cl_oppref“ (30 Tage). Bei der Registrierung speichern wir diese Kennung und die Kampagnenbezeichnung (utm-Parameter) zu deinem Konto.

OpenAI melden wir nur zwei Ereignisse: die abgeschlossene Registrierung (aus dem Browser über das Pixel und von unserem Server) und dein erstes eingestelltes Angebot (nur vom Server). Übermittelt werden die Klick-Kennung, die Adresse der Seite, IP-Adresse und Browser-Kennung sowie deine E-Mail-Adresse und deine Nutzerkennung – beide nur als nicht umkehrbarer Hash-Wert (SHA-256) –, damit OpenAI die Anzeige zuordnen kann. Seitenaufrufe senden wir OpenAI nicht. Ohne Einwilligung wird weder das Pixel geladen noch ein Ereignis übermittelt.

Zweck ist die Messung, ob unsere Anzeigen zu Registrierungen und Angeboten führen. Empfänger ist OpenAI (OpenAI Ireland Limited, Dublin, Irland, bzw. OpenAI, L.L.C., San Francisco, USA); eine Übermittlung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln. Informationen zur Verarbeitung durch OpenAI: openai.com/policies/privacy-policy.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit unter „Cookie-Einstellungen“ ganz unten auf jeder Seite widerrufen kannst – die Cookies werden dann gelöscht. Die zum Konto gespeicherte Kennung löschen wir mit dem Konto.

Google Ads (Conversion-Messung)

Wir schalten Anzeigen bei Google. Wenn du „Werbung“ erlaubst, laden wir den Google-Tag (gtag.js) im Google-Einwilligungsmodus („Consent Mode“): Alle Einwilligungssignale stehen zunächst auf „abgelehnt“ und werden erst mit deiner Zustimmung freigegeben. Ohne Einwilligung wird der Tag nicht geladen und nichts an Google übermittelt. Kommst du über eine Google-Anzeige zu uns, enthält die Adresse eine Klick-Kennung („gclid“); bis zu deiner Entscheidung im Cookie-Hinweis behalten wir sie nur in diesem Browser-Tab, danach speichert Google sie im Cookie „_gcl_aw“.

Google melden wir nur ein Ereignis: die abgeschlossene Registrierung, mit deiner Nutzerkennung als Vorgangsnummer, damit sie nur einmal gezählt wird. Dabei verarbeitet Google die Klick-Kennung, die Adresse der Seite, IP-Adresse und Browser-Informationen; mit deiner Einwilligung kann Google diese Daten auch für personalisierte Werbung nutzen. Namen oder E-Mail-Adresse übermitteln wir nicht.

Zweck ist die Messung, ob unsere Anzeigen zu Registrierungen führen. Empfänger ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; dabei kann eine Übermittlung an Google LLC in den USA erfolgen, auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln. Informationen zur Verarbeitung durch Google: policies.google.com/privacy.

Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit unter „Cookie-Einstellungen“ ganz unten auf jeder Seite widerrufen kannst – die Cookies werden dann gelöscht.

Nachfrage-Hinweise („Gesucht“)

Suchbegriffe, zu denen es kein Angebot gibt, und offene Suchaufträge fassen wir zusammen und zeigen Verkäufern und Sammlern, was gesucht wird – nur als Anzahl verschiedener Interessenten und erst ab zwei Personen, nie, wer sucht. Begriffe, die wie E-Mail-Adressen, Links oder lange Nummern aussehen, werden nie angezeigt. Wer eine gesuchte Karte in seiner Sammlung hat, bekommt höchstens einmal pro Woche einen Hinweis; das lässt sich unter „Merkliste“ abbestellen. Rechtsgrundlage ist unser berechtigtes Interesse, Angebot und Nachfrage zusammenzubringen (Art. 6 Abs. 1 lit. f DSGVO); du kannst jederzeit widersprechen.

Push-Benachrichtigungen

Wenn du Benachrichtigungen aktivierst, speichern wir die Zustelladresse, die dein Browser dafür erzeugt, bis du sie ausschaltest oder das Gerät entfernst. Die Nachrichten werden über den Push-Dienst deines Browsers zugestellt (z. B. Google, Mozilla oder Apple) – mit verschlüsseltem Inhalt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit unter „Benachrichtigungen“ widerrufen kannst.

Speicherdauer

Kontodaten bis zur Schließung des Kontos; dann werden Name, E-Mail, Login, Sammlungsfotos und Kaufpreise gelöscht und Bestelldaten anonymisiert. Bestell-, Rechnungs- und Zahlungsdaten bis zu 10 Jahre (§ 147 AO, § 257 HGB). DAC7-Daten 10 Jahre nach Ablauf des Meldejahres. Nachrichten 3 Jahre nach Abschluss der Bestellung. Sicherheitsprotokolle 12 Monate, Server-Protokolle 30 Tage. Newsletter: bis zur Abmeldung (danach nur als gesperrte Adresse), unbestätigte Anmeldungen 30 Tage.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20 – alle Daten kannst du jederzeit unter „Konto & Daten“ als Datei herunterladen) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Löschen und Herunterladen geht direkt unter „Konto & Daten“, alles andere per E-Mail an info@tcgermany.de.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der für uns zuständigen: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Die Angabe deiner Daten ist für Konto, Kauf und Verkauf erforderlich; ohne sie können wir diese Leistungen nicht erbringen. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.