Datenschutzerklärung

Konto und Profil

Für die Sammlung und den Trade Binder ist ein Konto nötig. Wir speichern deine E-Mail-Adresse und ein verschlüsseltes Passwort, deinen Nickname, deine Postleitzahl (daraus nur die grobe Region) und deine gewählten Trade Spots. Freiwillig kannst du ein Profilbild, einen Vornamen und einen kurzen Text über dich hinterlegen. Andere angemeldete Sammler sehen Nickname, Region, Trade Spots, Profilbild, Text, deine Bewertungen und wann du zuletzt ungefähr aktiv warst (auf den Tag gerundet). Nie E-Mail, Postleitzahl oder Adresse. Deinen Vornamen sieht nur, wer mit dir einen Trade vereinbart hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Sammlung, Fotos und Werte

Eingetragene Karten, Sealed-Produkte, Kaufpreise, Werte und optionale Fotos deiner Karten liegen in deinem Konto. Fotos werden vor dem Upload auf deinem Gerät verkleinert. Als „zum Tausch“ markierte Einträge sind für angemeldete Sammler sichtbar, alles andere nur für dich. Dein Profil zeigt angemeldeten Sammlern außerdem deine Chases und deine Trades als Listen. Beide Listen lassen sich in den Einstellungen einzeln ausschalten; bei Konten, die vor dem 21. September 2026 angelegt wurden, sind sie ausgeschaltet, bis du sie einschaltest.

Einladungen und Folgen

Jedes Konto hat einen persönlichen Einladungslink. Meldet sich jemand darüber an, speichern wir, dass diese Person über dich gekommen ist, und beide sehen den Nickname des anderen: du in deiner Liste der Eingeladenen, die andere Person als Hinweis, wer sie eingeladen hat. Aus einer Empfehlung können Scan-Gutschriften entstehen; dafür prüfen wir, ob die eingeladene Person Karten oder Chases eingetragen hat, nicht welche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wer über einen Einladungslink kommt, folgt der einladenden Person automatisch; sie folgt zurück, sobald das neue Konto aktiv genutzt wird. Du kannst anderen Sammlern folgen. Wem du folgst und wer dir folgt, siehst nur du; andere sehen auf deinem Profil höchstens die Anzahl deiner Follower. Blockierst du jemanden, endet das Folgen in beide Richtungen.

Trades, Nachrichten und Bewertungen

Schickst du ein Angebot oder nimmst eines an, entsteht ein Trade mit den beteiligten Karten, den vorgeschlagenen Werten, dem Treffpunkt und dem Zeitpunkt. Die Nachrichten darin sehen nur die beiden Beteiligten. Die einzige Ausnahme ist eine Meldung: Dann geht eine Kopie der letzten Textnachrichten an uns, mehr dazu unter „Meldungen und Sperren“. Fotos, die du im Chat schickst, gehen auch dabei nicht mit. Sie werden vor dem Hochladen in deinem Browser verkleinert und von Metadaten wie Aufnahmeort und Gerät befreit, liegen in einem nicht öffentlichen Speicher und werden 30 Tage nach Ende des Trades automatisch gelöscht. Reaktionen (Emoji) auf Nachrichten sehen ebenfalls nur die beiden Beteiligten. Nach einem abgeschlossenen Trade können sich beide gegenseitig bewerten; Bewertungen sind für angemeldete Sammler sichtbar und können vom Verfasser 24 Stunden lang geändert oder zurückgezogen werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Import aus anderen Apps

Lädst du eine Exportdatei aus einer anderen Sammel-App hoch, wird sie auf unserem Server gelesen und den passenden Katalogkarten zugeordnet. Die Datei selbst wird nicht gespeichert: es entstehen nur die Einträge in deiner Sammlung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Kartenerkennung per KI

Nutzt du den Scanner ohne Set-Auswahl, wird der Ausschnitt der fotografierten Karte an unseren Server und von dort an Anthropic PBC, 548 Market St, San Francisco, CA 94104, USA übermittelt. Dort liest ein KI-Modell, was auf der Karte gedruckt steht: Name, Sammlernummer, Setcode, Sprache und ob die Karte Folie hat. Aus diesen Angaben bestimmt unser Katalog die Karte. Übermittelt wird nur das Bild der Karte, nie ein Bezug zu deinem Konto.

Das Bild wird bei uns nicht gespeichert. Gespeichert wird nur, was gelesen wurde, welche Karten dazu gefunden wurden und welche du übernommen hast, damit wir die Erkennung verbessern und deine Scans zählen können. Fotografierst du als Betreiber des Dienstes, wird der Ausschnitt zusätzlich in einem nicht öffentlichen Speicher abgelegt, um die Erkennung zu prüfen. Anthropic speichert Eingaben nach eigenen Angaben bis zu 30 Tage und nutzt sie nicht zum Training seiner Modelle.

Die Übermittlung in die USA erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags mit Anthropic samt Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO, weil die Erkennung die von dir gewünschte Funktion ist. Du kannst sie vermeiden: der Scanner innerhalb eines Sets erkennt Karten vollständig auf deinem Gerät, und Karten lassen sich jederzeit über die Suche von Hand eintragen. In der App für iPhone und Android fragt dein Gerät beim ersten Scan, ob ChaseSpot die Kamera nutzen darf. Die Kamera läuft nur, solange der Scanner offen ist.

Kontaktformular

Schreibst du uns über das Formular auf der Startseite, speichern wir deine E-Mail-Adresse, optional deinen Namen oder Nickname, das gewählte Thema, deine Nachricht und die Sprache der Seite. Das brauchen wir, um dir zu antworten; wer ChaseSpot betreibt, bekommt dazu eine Benachrichtigung in der App. Ein Konto ist dafür nicht nötig, und nichts davon ist öffentlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse, Anfragen zu beantworten, bei Fragen zu einer Partnerschaft auch lit. b. Die Nachricht bleibt gespeichert, bis sie beantwortet ist, und danach noch 12 Monate, damit wir bei einer zweiten Nachricht wissen, was wir geantwortet haben. Dann wird sie automatisch gelöscht; auf Wunsch löschen wir sie sofort.

Laden vorschlagen

Schlägst du einen Laden als Spot vor, in der App oder über das Kontaktformular, speichern wir, was du eingibst: Name, Adresse, Website oder Instagram, ob es dort Trade Nights gibt, und deine Notiz. In der App speichern wir dazu, dass der Vorschlag von deinem Konto kommt; über das Formular deine E-Mail-Adresse, damit wir dir antworten können. Wir prüfen den Vorschlag und legen den Laden gegebenenfalls als Spot an; der Spot selbst enthält keine Angaben über dich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser Interesse, Treffpunkte in deiner Region anzubieten. Die E-Mail-Adresse löschen wir 12 Monate, nachdem der Vorschlag erledigt ist. Löschst du dein Konto, bleibt der Vorschlag ohne Bezug zu dir erhalten.

Meldungen und Sperren

Meldest du eine andere Person, speichern wir wer gemeldet hat, wen, aus welchem Grund und was du dazu geschrieben hast. Hattet ihr einen gemeinsamen Trade, speichern wir außerdem diesen Trade und eine Kopie seiner letzten 20 Textnachrichten, von beiden Seiten. Fotos gehen nicht mit. Ohne die Nachrichten ließe sich eine Meldung wie „schreibt mir beleidigende Nachrichten“ nicht prüfen. Darauf weist dich der Melden-Dialog vor dem Absenden hin.

Die Meldung sieht nur das ChaseSpot-Team: der Betreiber und Helfer, die er dafür einsetzt und die zur Verschwiegenheit verpflichtet sind. Die gemeldete Person sieht sie nie. Den laufenden Chat sieht auch das Team nicht, nur die Kopie in der Meldung, und jedes Öffnen dieser Kopie wird mit Namen protokolliert. Wir brauchen die Meldung, um zu entscheiden, ob etwas zu tun ist, und um bei einer zweiten Meldung zu erkennen, dass es nicht die erste war. Rechtsgrundlage ist unser berechtigtes Interesse an einem Dienst, auf dem Menschen sich ohne Sorge verabreden, nach Art. 6 Abs. 1 lit. f DSGVO. Das gilt auch für die Nachrichten der gemeldeten Person: Sie sind Teil des Gesprächs, das die meldende Person selbst geführt hat.

Die Kopie der Nachrichten löschen wir 180 Tage nach Abschluss der Meldung. Die Meldung selbst bleibt erhalten, solange das gemeldete Konto besteht.

Wird ein Konto gesperrt, speichern wir den Zeitpunkt, den verletzten Punkt der AGB und eine Begründung für die betroffene Person. Beides teilen wir ihr von uns aus mit, per E-Mail und auf der Seite, die sie beim Anmelden sieht, zusammen mit dem Weg zum Widerspruch; die Entscheidung trifft ein Mensch. Das verlangt der Digital Services Act (Art. 17). Dazu kann das Team einen internen Grund und Notizen zum Konto festhalten; diese sieht nur das Team. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (die Pflicht zur Begründung) und lit. f (ein sicherer Dienst).

Fehler und erfolglose Suchen

Wenn eine Suche nichts findet oder ein Fehler auftritt, speichern wir den eingegebenen Suchbegriff beziehungsweise die Fehlermeldung, den Bereich und die Aktion, bei der es passierte, den Fehlercode, die App-Version und ob das Konto zum ChaseSpot-Team gehört. Ohne Bezug zu dir: die Tabelle kennt keine Nutzerkennung, keine IP-Adresse und keine Gerätekennung, wir können diese Einträge also niemandem zuordnen. Sie sagen uns, welche Karten im Katalog fehlen und was kaputt ist. Nach 90 Tagen löschen wir sie. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Konto und Daten löschen

Du kannst dein Konto jederzeit selbst löschen, im Browser auf chasespot.app genauso wie in der App für iPhone und Android:

1. Anmelden und oben rechts dein Profil antippen.
2. Einstellungen öffnen, dann Konto.
3. Ganz unten Konto löschen wählen, „LÖSCHEN“ eintippen und mit deinem Passwort bestätigen.

Das Konto ist damit sofort gelöscht. Was dabei entfernt wird und was ohne Bezug zu dir bestehen bleibt, steht unter „Speicherdauer“. Willst du vorher eine Kopie, lädst du sie an derselben Stelle unter „Alle deine Daten“ herunter.

Kommst du nicht mehr in dein Konto, schreib uns von der E-Mail-Adresse deines Kontos an hallo@chasespot.app. Dann wissen wir, dass es deins ist, löschen es innerhalb eines Monats und bestätigen dir das per Mail.

Nur einen Teil löschen geht auch: Unter Einstellungen, Sammlung übernehmen und sichern leerst du deine Sammlung, dein Konto bleibt bestehen. Einzelne Karten, Chases, Angebote, dein Profilbild und deinen Text entfernst du dort, wo du sie eingetragen hast. Schaltest du Benachrichtigungen aus, löschen wir die Kennung deines Geräts.

Speicherdauer

Deine Daten bleiben gespeichert, solange dein Konto besteht. Löschst du dein Konto, werden Profil, Sammlung, Chases, Angebote, Fotos sowie alle Bewertungen, die du abgegeben oder erhalten hast, sofort entfernt. Laufende Trades werden geschlossen. Trades und Nachrichten bleiben für deine Tauschpartner als Verlauf erhalten, aber ohne Bezug zu dir: dein Name wird entfernt, und Nachrichten erscheinen ohne Absender. Ebenso ohne Namen und ohne Bezug zu dir bleiben Feedback, das du uns geschrieben hast, Meldungen, die du abgegeben hast, und Läden, die du vorgeschlagen hast; Meldungen über dein Konto werden mit dem Konto gelöscht. Kürzer gespeichert wird, was wir nur eine Zeit lang brauchen: Chatfotos 30 Tage nach Ende des Trades, die Kopie der Nachrichten bei einer Meldung 180 Tage nach ihrem Abschluss, Nachrichten über das Kontaktformular 12 Monate nach der Antwort. Löschst du nur deine Sammlung, bleibt das Konto bestehen. Server-Logs des Hosting-Anbieters werden nach kurzer Zeit automatisch gelöscht.

Auftragsverarbeitung

Die App selbst läuft bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA. Die Server, die deine Anfragen beantworten, stehen in Frankfurt am Main; Grundlage ist ein Auftragsverarbeitungsvertrag. Datenbank, Login und Foto-Speicher betreibt Supabase Inc. für uns in einem Rechenzentrum in Frankfurt am Main (AWS eu-central-1) auf Basis eines Auftragsverarbeitungsvertrags. Kartenbilder und Setlogos werden überwiegend von TCGdex (assets.tcgdex.net) geladen; dabei wird deine IP-Adresse an diesen Dienst übermittelt. Einen Teil der Kartenbilder liefern wir seit dem 20. September 2026 von unserem eigenen Speicher in Frankfurt aus, weil die vorherige Quelle abgeschaltet wird; dabei verlässt keine Anfrage unseren Auftragsverarbeiter. Bilder und Setlogos chinesischer Karten lädt dein Browser seit dem 26. September 2026 bei Rarebit (media.rarebit.app); dabei wird deine IP-Adresse an diesen Dienst übermittelt. Preisangaben holen wir einmal täglich auf unserem Server bei TCGdex ab, das dafür Daten von Cardmarket bereitstellt. Dabei werden keine Daten über dich übermittelt: der Abruf kennt nur Kartennummern.

Bilder und Preise von versiegelten Produkten stammen von TCGplayer (TCGplayer Inc., USA). Die Preise holen wir einmal täglich auf unserem Server ab, ohne Daten über dich. Die Produktfotos lädt dein Browser direkt bei TCGplayer; dabei wird deine IP-Adresse an diesen Dienst übermittelt, genau wie bei den Kartenbildern von TCGdex.

E-Mails (die Bestätigung deiner Adresse, das Zurücksetzen des Passworts, Einladungen und Mitteilungen zu deinem Konto wie eine Sperre) versenden wir über Brevo (Sendinblue GmbH, Köln). Übermittelt werden deine E-Mail-Adresse und der Inhalt der Nachricht.

Benachrichtigungen auf dein Gerät

Schaltest du Push-Benachrichtigungen ein, speichern wir die Adresse, unter der dein Browser sie entgegennimmt, zusammen mit den Schlüsseln, die dein Gerät dafür erzeugt. Zum Zustellen wird diese Adresse an den Push-Dienst deines Browsers übermittelt, je nach Gerät an Google (Chrome, Android), Apple (Safari, iOS) oder Mozilla. Der Inhalt der Nachricht ist dabei verschlüsselt und für den Dienst nicht lesbar. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO; du kannst sie jederzeit in den Einstellungen widerrufen, dann wird die Adresse gelöscht.

In der App für iPhone und Android läuft das über Firebase Cloud Messaging von Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland. Schaltest du Mitteilungen dort ein, vergibt Firebase eine Kennung für diese Installation der App. Wir speichern sie wie die Adresse eines Browsers und schicken Mitteilungen über Firebase, auf dem iPhone weiter über den Push-Dienst von Apple. Dabei sieht der Dienst den Text der Mitteilung, etwa „Lena hat dir geschrieben“, nie aber den Inhalt einer Nachricht, der bleibt in der App. Firebase nutzen wir nur für die Zustellung, Analyse-Funktionen sind ausgeschaltet. Grundlage ist ein Auftragsverarbeitungsvertrag mit Google; soweit Daten in die USA gelangen, auf Basis der Standardvertragsklauseln. Rechtsgrundlage ist auch hier deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du widerrufst sie in den Einstellungen; beim Abmelden löschen wir die Kennung dieses Geräts.

Nutzungsstatistik

Wir messen stichprobenartig, wie schnell die App antwortet und auf welcher Art von Gerät sie benutzt wird, etwa jede fünfte Seite plus jeder Kaltstart. Gespeichert werden die aufgerufene Route, die Antwortzeit und die Geräteklasse (Handy, Tablet oder Desktop).

Ohne Bezug zu dir. Es wird keine Nutzerkennung, keine IP-Adresse und keine Gerätekennung gespeichert; die Geräteklasse leiten wir beim Aufruf aus der Browserkennung ab und verwerfen diese sofort. Die Daten lassen sich keiner Person zuordnen, auch nicht von uns. Wir benutzen sie, um zu entscheiden, woran wir arbeiten, zum Beispiel ob sich Arbeit an der Desktop-Ansicht lohnt. Rechtsgrundlage ist unser berechtigtes Interesse an einer funktionierenden App nach Art. 6 Abs. 1 lit. f DSGVO. Analyse-Dienste Dritter setzen wir nicht ein.

Cookies

Wir setzen nur Cookies, die für den Dienst nötig sind: für die Anmeldung, einen Merker, dass dein Profil fertig eingerichtet ist, und die Sprache, wenn du sie ohne Konto umstellst. Im Speicher deines Browsers (localStorage) merken wir uns ein paar Anzeige-Einstellungen, etwa die gewählte Ansicht oder ob du einen Hinweis schon gesehen hast. All das dient nur dazu, was du selbst angefordert hast (§ 25 Abs. 2 Nr. 2 TDDDG), deshalb fragen wir dafür keine Einwilligung ab. Es gibt keine Analyse-, Tracking- oder Werbe-Cookies. Schriftarten werden vom eigenen Server ausgeliefert.

Server-Logs

Der Hosting-Anbieter verarbeitet technisch notwendige Verbindungsdaten (z. B. IP-Adresse) zur Auslieferung der Seite. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Verantwortlicher

Christian Critti
Raimundstraße 96, 60320 Frankfurt am Main, Deutschland
hallo@chasespot.app

Für Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO) genügt eine formlose Nachricht an diese Adresse. Eine Kopie aller Daten, die wir über dich speichern, kannst du außerdem jederzeit selbst in den Einstellungen herunterladen (Art. 15 und 20 DSGVO); wer die meldende Person einer Meldung über dich ist, steht darin zu ihrem Schutz nicht. Dort kannst du auch deine Sammlung leeren oder dein Konto vollständig löschen. Unabhängig davon steht dir ein Beschwerderecht bei einer Aufsichtsbehörde zu, für Frankfurt am Main ist das der Hessische Beauftragte für Datenschutz und Informationsfreiheit.