Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist Max-Hermann Hoek, Einzelunternehmer (OSVČ), IČO 17184576, Revoluční 1082/8, 110 00 Praha 1 – Nové Město, Tschechische Republik. E-Mail: privacy@slabfolio.app. Kontaktformular: slabfolio.app/contact.

Einen Datenschutzbeauftragten haben wir nicht benannt, weil das Gesetz für einen Dienst wie unseren keinen verlangt (Art. 37 DSGVO). Bitte richten Sie alle Datenschutzfragen an privacy@slabfolio.app.

2. Was wir verarbeiten, wozu und auf welcher Rechtsgrundlage

2.1 Besuch der Website

Wenn Sie slabfolio.app aufrufen, sendet Ihr Browser technische Daten, die unser Server zur Auslieferung der Seite braucht: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Antwortstatus, übertragene Datenmenge, verweisende Seite sowie Browser und Betriebssystem (User-Agent).

Zweck: Auslieferung der Website, Stabilität und Schutz vor Angriffen und Missbrauch, etwa durch die Begrenzung der Anfragen pro Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere, funktionierende Website.

Speicherdauer: Unser Webserver speichert Zugriffsprotokolle 7 Tage lang, wobei der letzte Teil Ihrer IP-Adresse entfernt wird. Zähler, die Anfragen pro IP-Adresse begrenzen, existieren nur im Arbeitsspeicher und höchstens eine Stunde. Unsere Anwendungsprotokolle enthalten keine IP-Adressen und werden nach 30 Tagen gelöscht.

2.2 Nutzung ohne Konto (Gast- und Demo-Modus)

Ohne Konto werden Ihr Portfolio, Ihre Merkliste und Ihre Einstellungen nur in Ihrem Browser gespeichert (siehe Abschnitt 4). Um Werte anzuzeigen, fragt Ihr Browser einzelne Artikel bei unserem Server an, zum Beispiel eine Karte, Grader und Grade, eine Zertifikatsnummer oder einen Suchbegriff. Wir beantworten diese Anfragen, ohne sie Ihnen zuzuordnen, und speichern sie nicht über Abschnitt 2.1 hinaus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung des von Ihnen gewünschten Dienstes) und Art. 6 Abs. 1 lit. f DSGVO.

2.3 Ihr Konto

Wenn Sie ein Konto anlegen, verarbeiten wir Ihre E-Mail-Adresse und Ihr Passwort. Ihr Passwort speichern wir nur als gesalzenen Hash (argon2id), nie im Klartext. Außerdem verarbeiten wir einen optionalen Anzeigenamen; das Datum der Registrierung, der Bestätigung Ihrer E-Mail-Adresse, der letzten Anmeldung und der letzten Nutzung; Ihre Einstellungen (zum Beispiel Währung und Design); Ihren Tarif (derzeit nutzen alle Slabfolio kostenlos); Ihre Rolle; die Version der Nutzungsbedingungen, der Sie zugestimmt haben; und, falls Sie über einen Einladungslink gekommen sind, welchen Link Sie genutzt haben.

Wenn Sie die optionale Zwei-Faktor-Authentifizierung einschalten, speichern wir zusätzlich den geheimen Schlüssel für Ihre Authenticator-App und Ihre Backup-Codes, beides verschlüsselt. Wenn Sie einen Anmeldelink per E-Mail anfordern, speichern wir dessen Einmal-Token, bis Sie ihn nutzen oder er nach 10 Minuten abläuft.

Zweck: Anlegen und Betrieb Ihres Kontos, Anmeldung, Kontosicherheit und Synchronisierung Ihres Portfolios zwischen Geräten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (unser Vertrag: die Nutzungsbedingungen).

Speicherdauer: solange Ihr Konto besteht. Bestätigen Sie Ihre E-Mail-Adresse nicht innerhalb von 7 Tagen, löschen wir das unbestätigte Konto. Zur Kontolöschung siehe Abschnitt 6.

Für ein Konto brauchen Sie eine E-Mail-Adresse und ein Passwort. Ohne sie können wir kein Konto bereitstellen. Den Gastmodus können Sie trotzdem nutzen.

2.4 Ihr Portfolio

Wir verarbeiten, was Sie eintragen: Slabs und Artikel (Grader, Grade, Zertifikatsnummer, Artikel und Variante), Kaufpreis und -datum, wie Sie einen Artikel erhalten haben, erfasste Verkäufe, Notizen, Ihre Merkliste und den Verlauf Ihres Portfoliowerts.

Zweck: Anzeige Ihres Portfolios mit Werten, Gewinnen und Verlauf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: bis Sie den Eintrag entfernen oder Ihr Konto löschen.

Wir fragen nie nach Ihrer Postanschrift oder Telefonnummer. Bitte tragen Sie in Notizen keine persönlichen Angaben ein, die Sie nicht gespeichert haben möchten.

2.5 Anmeldesicherheit und Sitzungen

Wenn Sie sich anmelden, setzen wir ein Sitzungs-Cookie (Abschnitt 4) und speichern einen Sitzungseintrag: eine zufällige Sitzungs-ID, Erstellungs- und Ablaufzeit sowie IP-Adresse und Browser bzw. Gerät, von dem aus die Sitzung erstellt wurde. Ihre Sitzungen und Ihre letzten Sicherheitsereignisse sehen Sie unter Einstellungen › Konto bei „Active sessions“ und „Security activity“; dort können Sie jede Sitzung beenden. Außerdem protokollieren wir Sicherheitsereignisse wie fehlgeschlagene Anmeldungen, Passwort-Zurücksetzungen, Änderungen der E-Mail-Adresse und Anmeldungen von neuen Geräten. Anmeldeversuche zählen wir pro IP-Adresse und pro Konto, um das Erraten von Passwörtern zu verhindern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos und unseres Dienstes).

Speicherdauer: Sitzungseinträge bis zur Abmeldung oder zum Ablauf der Sitzung, spätestens nach 30 Tagen. Sicherheitsereignisse 90 Tage. Zähler für Anmeldeversuche höchstens 24 Stunden.

2.6 E-Mails, die wir Ihnen senden

Wir senden Service-E-Mails: Bestätigung Ihrer E-Mail-Adresse, Anmeldelinks, Passwort-Zurücksetzungen, Sicherheitshinweise (zum Beispiel neue Anmeldung oder geänderte E-Mail-Adresse), die Bestätigung einer Kontolöschung sowie wichtige Hinweise zum Dienst oder zu diesen Richtlinien. Diese E-Mails gehören zum Betrieb Ihres Kontos, deshalb können Sie sie nicht abbestellen, solange Sie ein Konto haben.

Newsletter oder Werbung senden wir nicht. Sollten wir einmal einen Newsletter anbieten, erhalten Sie ihn nur, wenn Sie ihn bestellen und per E-Mail bestätigen (Double-Opt-in). Abbestellen können Sie ihn dann in jeder Nachricht.

Auftragsverarbeiter: mailbox.org (Abschnitt 3). Wir protokollieren den Versand (Empfänger, Art, Zeitpunkt, Zustellstatus) 90 Tage lang, um Zustellprobleme zu beheben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

2.7 Wenn Sie uns kontaktieren

Schreiben Sie uns per E-Mail oder über das Kontaktformular, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen (falls angegeben), Ihre Nachricht und etwaige Anhänge, um Ihnen zu antworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Nachricht Ihr Konto oder den Dienst betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Anfragen zu beantworten).

Speicherdauer: Wir löschen Unterhaltungen 24 Monate nach der letzten Nachricht, sofern wir sie nicht länger zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen brauchen. E-Mails werden bei mailbox.org gespeichert.

2.8 Meldungen und Moderation

Melden Sie Inhalte oder ein Konto, etwa als rechtswidrigen Inhalt nach dem Digital Services Act, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den gemeldeten Inhalt, Ihre Begründung und das Ergebnis unserer Prüfung. Schränken wir Inhalte oder ein Konto ein, speichern wir unsere Entscheidung und deren Begründung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 16 und 17 der Verordnung (EU) 2022/2065 (Digital Services Act) sowie Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: 12 Monate nach Abschluss des Vorgangs.

2.9 Einladungslinks und Creator-Programm

Manche Menschen kommen über einen persönlichen Einladungslink zu Slabfolio, zum Beispiel Creator, die Slabfolio testen. Wir speichern, welchen Link ein Konto genutzt hat, und zählen Registrierungen pro Link. Creator sehen nur Summen (zum Beispiel „12 Registrierungen“), nie, wer sich registriert hat.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, das Einladungsprogramm zu betreiben und auszuwerten).

Speicherdauer: solange das Konto besteht. Summen ohne Personenbezug können länger aufbewahrt werden.

2.10 Nutzungsstatistik ohne Cookies

Um zu verstehen, wie Slabfolio genutzt wird, und den Dienst stabil zu halten, zählt unser eigener Server Seitenaufrufe. Dabei erfasst er die Seitenadresse, die Domain der verweisenden Website, einen groben Gerätetyp (Smartphone, Tablet, Desktop) und die Browserfamilie aus dem User-Agent. Die IP-Adresse wird nie gespeichert. Um eindeutige Besucher pro Tag zu zählen, bilden wir aus IP-Adresse, User-Agent und einem täglich neu erzeugten und gelöschten Zufallswert einen Einweg-Code. Er lässt sich nicht auf Sie zurückführen und ist am nächsten Tag wertlos. Wir verwenden keine Cookies, keinen Speicher auf Ihrem Gerät, kein Fingerprinting und keinen Analysedienst Dritter. Bei angemeldeten Nutzern verwenden wir zusätzlich das Datum der letzten Aktivität, um tägliche und monatliche aktive Nutzer zu zählen. Sendet Ihr Browser ein „Global Privacy Control“- oder „Do Not Track“-Signal, zählen wir Sie nicht als eindeutigen Besucher.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, die Nutzung in zusammengefasster Form zu verstehen, um den Dienst zu verbessern und zu schützen). Sie können widersprechen (Abschnitt 7).

Speicherdauer: einzelne Seitenaufrufe höchstens 24 Stunden. Danach behalten wir nur Tagessummen ohne Personenbezug.

2.11 Karten-, Spiele- und Preisabfragen durch unseren Server

Um Artikel zu identifizieren und Werte anzuzeigen, fragt unser Server externe Datenquellen ab, zum Beispiel: die Zertifikatsdatenbank von PSA (Collectors Universe, Inc., USA) für Zertifikatsnummern; die Pokémon TCG API (Scrydex) für Kartendaten; IGDB und libretro-thumbnails für Box-Art; und Frankfurter (Referenzkurse der Europäischen Zentralbank) für Währungsumrechnungen. Wir senden nur, was die Abfrage braucht, etwa eine Zertifikatsnummer, einen Kartennamen oder eine Artikel-ID, und zwar von unserem Server aus. Ihre IP-Adresse, Ihren Namen, Ihre E-Mail-Adresse oder Ihre Konto-ID senden wir nie. Da diese Quellen Sie nicht identifizieren können, werden ihnen dabei keine personenbezogenen Daten übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

2.12 Bilder und Schriften

Kartenbilder und Box-Art lädt unser Server von den Quellen und liefert sie von slabfolio.app aus. Ihr Browser verbindet sich also nicht mit diesen fremden Servern. Auch unsere Schriften und die Texterkennungsdaten des Scanners liegen auf unserem eigenen Server. Es gehen keine Anfragen an Google oder andere Schrift- oder CDN-Dienste.

2.13 Kamera und Fotos

Der Scanner liest das Etikett eines Slabs (QR-Code, Barcode und Text) aus Ihrer Kamera oder aus einem Foto, das Sie auswählen. Das geschieht vollständig auf Ihrem Gerät, in Ihrem Browser. Fotos oder Videobilder laden wir weder hoch noch speichern wir sie. Ihr Browser fragt vor der Kameranutzung um Erlaubnis. Sie können sie jederzeit in den Browser-Einstellungen widerrufen.

2.14 Betrieb des Dienstes

Für den Betrieb von Slabfolio nutzen wir einen Admin-Bereich, etwa um bei Supportanfragen zu helfen, Bestätigungs-E-Mails erneut zu senden oder missbräuchliche Konten zu sperren. Zugriff hat nur der Betreiber. Der Zugang ist mit einem zweiten Faktor gesichert, und jede Admin-Aktion an einem Konto wird in einem Audit-Log festgehalten (wer, was, wann), das wir 12 Monate aufbewahren. Außerdem führen wir ein Fehlerprotokoll (Fehlermeldung, Seite, App-Version, Zeitpunkt und, falls Sie angemeldet waren, Ihre Konto-ID; keine IP-Adressen), das wir nach 30 Tagen löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO sowie unsere Pflichten aus Art. 5 Abs. 2 und Art. 32 DSGVO.

2.15 Datensicherungen

Wir sichern die Datenbank jede Nacht und bewahren die letzten 14 Sicherungen auf unserem Server in Deutschland auf, lesbar nur für den Betreiber. Gelöschte Daten verschwinden aus den Sicherungen spätestens nach 14 Tagen. Wir stellen Sicherungen nur wieder her, um Fehler oder Vorfälle zu beheben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f und Art. 32 DSGVO.

3. Empfänger

Auftragsverarbeiter, die nur nach unserer Weisung und auf Grundlage eines Auftragsverarbeitungsvertrags arbeiten (Art. 28 DSGVO):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Server-Hosting, Server in Deutschland.
• Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9A, 10119 Berlin, Deutschland: E-Mail.

Weitere Empfänger: Die Datenquellen aus Abschnitt 2.11 erhalten nur Abfragedaten ohne Angaben, die Sie identifizieren. An Behörden geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

Wir verkaufen oder vermieten keine personenbezogenen Daten und geben sie nicht zu Werbezwecken weiter.

Wir übermitteln Ihre personenbezogenen Daten nicht in Länder außerhalb der EU bzw. des EWR.

4. Cookies und Speicher auf Ihrem Gerät

Wir speichern nur, was Slabfolio zum Funktionieren braucht. Deshalb fragen wir nicht nach einer Cookie-Einwilligung: Speicherungen, die für einen von Ihnen gewünschten Dienst unbedingt erforderlich sind, sind ohne Einwilligung erlaubt (Art. 5 Abs. 3 ePrivacy-Richtlinie, umgesetzt in § 89 Abs. 3 des tschechischen Gesetzes Nr. 127/2005 Slg. und, für Nutzer in Deutschland, in § 25 Abs. 2 Nr. 2 TDDDG).

Cookie-Namen beginnen mit __Secure-, weil sie nur über eine verschlüsselte Verbindung gesendet werden. Daten im Speicher Ihres Browsers bleiben auf Ihrem Gerät. Sie erreichen uns nur, wenn Sie eine Funktion nutzen, die sie braucht, zum Beispiel wenn Sie Ihr Browser-Portfolio in Ihr Konto importieren. Löschen können Sie sie unter Einstellungen › Alle Daten löschen oder über die Website-Daten in Ihrem Browser.

Wir setzen keine Werbe-, Analyse- oder Social-Media-Cookies und binden keine Inhalte Dritter ein.

5. Kinder

Slabfolio richtet sich an Personen ab 16 Jahren. Daten jüngerer Kinder verarbeiten wir nicht wissentlich. Wenn Sie glauben, dass ein Kind unter 16 ein Konto angelegt hat, sagen Sie uns bitte Bescheid. Wir löschen es dann.

6. Konto löschen und Daten herunterladen

• Herunterladen: Unter Einstellungen › Konto › Meine Daten exportieren erhalten Sie alles, was wir zu Ihrem Konto speichern, als maschinenlesbare Datei (JSON) sowie Ihre Bestände als CSV.
• Löschen: Unter Einstellungen › Konto › Konto löschen werden Ihr Konto und Ihr Portfolio sofort gelöscht. Sie erhalten eine Bestätigung per E-Mail. Kopien in unseren Sicherungen verschwinden innerhalb von 14 Tagen. Wir behalten nur einen Vermerk, dass ein Konto gelöscht wurde (ohne Ihre E-Mail-Adresse), sowie Daten, die wir für ein laufendes Verfahren oder eine offene Meldung aufbewahren müssen.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Vieles davon erledigen Sie selbst in den Einstellungen. Für alles andere schreiben Sie an privacy@slabfolio.app. Wir antworten innerhalb eines Monats.

Beschwerderecht. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist das tschechische Amt für den Schutz personenbezogener Daten (Úřad pro ochranu osobních údajů, Pplk. Sochora 27, 170 00 Praha 7, Tschechische Republik, uoou.gov.cz). Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts oder Arbeitsplatzes wenden, in Deutschland etwa an die Datenschutzbehörde Ihres Bundeslandes.

Eine automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) findet nicht statt. Werte in Slabfolio sind Berechnungen zu Artikeln, keine Entscheidungen über Personen.

8. Sicherheit

Verbindungen zu Slabfolio sind immer verschlüsselt (HTTPS mit HSTS). Passwörter speichern wir nur als gesalzene Hashes, und Sitzungs-Cookies sind für Skripte nicht lesbar. Der Admin-Zugang erfordert einen zweiten Faktor. Server und Sicherungen stehen in Deutschland. Sie haben eine Sicherheitslücke gefunden? Siehe unsere Security policy.

9. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung ändert. Das Datum oben zeigt die aktuelle Fassung, frühere Fassungen sind unten verlinkt. Betrifft eine Änderung Sie wesentlich, informieren wir Sie vorher per E-Mail oder in der App.

Frühere Fassungen: noch keine. Version 1.0 ist die erste.