Datenschutzerklärung

Stand: 2026-10-07. Rechtlich maßgeblich ist die deutsche Fassung.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

André Baum Marloffsteiner Straße 36A 91080 Uttenreuth Deutschland E-Mail: andrebaum.aistudio@gmail.com

Diese Angaben entsprechen denen im Impressum.

2. Welche Daten wir verarbeiten

Wenn du CardFolio nutzt, verarbeiten wir folgende Kategorien personenbezogener Daten:

• Kontodaten: E-Mail-Adresse, Anzeigename (display_name), deine gewählte Sprache und eine von Supabase vergebene, pseudonyme Benutzerkennung (UUID).
• Sammlungsdaten: die von dir erfassten Karten deiner Sammlung (collection_entries), deine Sammlungen bzw. Ordner (collections) und die Zuordnung von Karten zu Sammlungen (collection_memberships), jeweils inklusive der von dir angegebenen Kaufpreise, Kaufdaten und Notizen.
• Wunschlisten-Daten: von dir zu einer Wunschliste hinzugefügte Karten (wishlist) einschließlich eines von dir festgelegten Zielpreises.
• Sealed-Produkt-Daten: von dir erfasste versiegelte Produkte (z. B. Displays, Booster, Boxen) in sealed_entries.
• Wert-Historie: der zeitliche Verlauf des Gesamtwerts deines Portfolios (portfolio_value_history), der aus deinen Sammlungs- und Sealed-Daten sowie externen Preisdaten berechnet wird.
• Push-/Benachrichtigungsdaten: sofern du Push-Benachrichtigungen aktivierst, dein Geräte-Push-Token (push_tokens), deine Benachrichtigungseinstellungen (alert_settings) sowie ausgelöste Benachrichtigungsereignisse (alert_events).
• Abo- und Kaufmetadaten: bei Nutzung von CardFolio Pro insbesondere Produkt- und Paketkennung, zuständiger App-Store, Kauf-, Test-, Verlängerungs-, Kündigungs-, Ablauf- und Erstattungsstatus sowie die jeweilige Anspruchs- bzw. Ablaufzeit. Vollständige Zahlungsdaten wie Kreditkarten- oder Bankkontodaten erhalten wir nicht.
• Scan-Fotos: Wenn du die Scan-Funktion nutzt, wird das von dir aufgenommene Foto (Einzelkarte, Binderseite oder versiegeltes Produkt) zur Erkennung an die Google-Gemini-Schnittstelle übermittelt (siehe Abschnitt 4). Ohne deine ausdrückliche Einwilligung speichern wir diese Fotos nicht; auf unseren Servern verbleiben dann nur technische Metadaten des Scans (Zeitpunkt, Scan-Modus, verwendetes Modell, Erfolg/Fehlschlag und Dauer), keine Bildinhalte. Fotos, die du mit Centering aufnimmst, sind davon getrennt und im nächsten Punkt beschrieben.
• Centering-Fotos: Wenn du mit Centering eine Karte misst, speichern wir das dafür verkleinerte Foto (höchstens 1.600 Pixel Kantenlänge), die Lage der Ecken und Linien und das Ergebnis in deinem Konto. So kannst du eine Messung später wieder öffnen und ändern, auch auf einem anderen Gerät. Die Fotos liegen in einem privaten Speicherbereich, auf den nur dein Konto zugreift. Wir werten sie nicht aus und nutzen sie nicht zum Training. Gespeichert bleiben höchstens die 50 neuesten Messungen. Du kannst jede Messung einzeln löschen. Mit deinem Konto löschen wir alle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
• Scan-Trainingsdaten (nur mit Einwilligung): Wenn du unter Einstellungen → Daten → „Scans für die Erkennung spenden" einwilligst, speichern wir zusätzlich das aufgenommene Foto (immer das vollständige Bild, kein Ausschnitt) sowie — sobald du das Ergebnis bestätigst — die von dir bestätigte Karte, die vom System ursprünglich vorgeschlagene Karte und die Information, ob du korrigiert hast. Wir speichern dabei keinen Namen und keine E-Mail-Adresse zum Bild, sondern nur deine pseudonyme Benutzerkennung, damit wir deine Einwilligung prüfen, ein Tageslimit durchsetzen und die Daten bei einer Kontolöschung wieder entfernen können. Versiegelte Produkte sind von der Erfassung ausgenommen.
• Nutzungs- und Sicherheitsdaten: Scan-Kontingente und technische Zeitpunkte, die erforderlich sind, um Free-, Pro- und Fair-Use-Limits durchzusetzen und Missbrauch zu verhindern.
• Nutzungsereignisse (app_events): einzelne, fest definierte Schritte in der App, jeweils mit deiner pseudonymen Benutzerkennung, dem Zeitpunkt und der Plattform (iOS, Android, Web): das Öffnen der Pro-Seite, ein Kaufversuch und dessen Ergebnis, eine Centering-Messung sowie das Antippen eines eBay-Links (dazu der Bildschirm, die Art des Links, die eBay-Länderseite und die Kennung der Karte bzw. des Produkts). Freitext, Standort oder Gerätekennungen werden dabei nicht gespeichert.
• Empfehlungsprogramm („Freunde einladen“): dein persönlicher Einladungscode; wenn du einen Code einlöst, die Verknüpfung deines Kontos mit dem Konto der einladenden Person, der Zeitpunkt der Einlösung sowie ob und wann aufgrund deiner ersten Zahlung eine Prämie gebucht oder nach einer Erstattung zurückgenommen wurde; außerdem dein Guthaben an Prämienmonaten. Die einladende Person sieht nur die Anzahl ihrer Einladungen und Prämien, nicht deine Identität.
• Gast-Scans ohne Konto: Wenn du die Scan-Funktion ohne Anmeldung ausprobierst, speichern wir zur Durchsetzung des Tageslimits einen gesalzenen Hashwert deiner IP-Adresse (guest_scans) — nicht die IP-Adresse selbst. Rechtsgrundlage ist unser berechtigtes Interesse an der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO).

3. Zwecke & Rechtsgrundlagen

Wir verarbeiten diese Daten für folgende Zwecke:

• Bereitstellung von Konto und Portfolio-Funktionen (Anlegen und Verwalten deiner Sammlung, deiner Wunschliste, deiner Sealed-Produkte und der Wertberechnung): Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags mit dir bzw. die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).
• Bereitstellung und Verwaltung von CardFolio Pro (Kaufzuordnung, Prüfung des Pro-Anspruchs, Wiederherstellung, Verlängerung, Kündigung, Ablauf und Erstattung): Rechtsgrundlage ist die Erfüllung des Vertrags über CardFolio Pro bzw. die Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).
• Auswertung der Nutzungsereignisse (zu erkennen, welche Funktionen genutzt werden, wo der Weg zu CardFolio Pro abbricht und welche Bildschirme zu eBay führen, um den Dienst zu verbessern und wirtschaftlich zu planen): Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Wir werten diese Ereignisse nur zusammengefasst aus und verknüpfen sie nicht mit den Provisionsberichten von eBay.
• Durchsetzung von Kontingenten und Schutz vor Missbrauch: Rechtsgrundlage sind die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Sicherheit, Stabilität und wirtschaftlich tragfähigen Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).
• Durchführung des Empfehlungsprogramms (Zuordnung eingelöster Codes, Buchung und Rücknahme von Prämien, Missbrauchsabwehr): Rechtsgrundlage ist die Erfüllung der Teilnahmebedingungen (Art. 6 Abs. 1 lit. b DSGVO) sowie für die Missbrauchsabwehr unser berechtigtes Interesse an einem fairen Programm (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden mit der Löschung des jeweiligen Kontos gelöscht; wird das Konto der einladenden Person gelöscht, bleibt beim Konto der eingeladenen Person nur vermerkt, dass bereits ein Code eingelöst wurde.
• Push-Benachrichtigungen (z. B. Preisalarme für Wunschkarten oder Hinweise auf Wertänderungen deiner Sammlung): Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst diese Einwilligung jederzeit mit Wirkung für die Zukunft in den App-Einstellungen widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.
• Verbesserung der Kartenerkennung (Speicherung deiner Scan-Fotos zusammen mit der von dir bestätigten Karte, um die Erkennung zu trainieren und zu bewerten): Rechtsgrundlage ist ausschließlich deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung ist freiwillig, standardmäßig deaktiviert und für die Nutzung der Scan-Funktion nicht erforderlich — die Scan-Funktion arbeitet ohne sie unverändert. Du kannst sie jederzeit mit Wirkung für die Zukunft unter Einstellungen → Daten widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

4. Empfänger / Auftragsverarbeiter

Zur Erbringung unseres Dienstes setzen wir folgende Auftragsverarbeiter bzw. Empfänger ein:

• Supabase — Hosting der Datenbank, Authentifizierung und Backend-Infrastruktur sowie der privaten Speicherung deiner Centering-Fotos. Die Verarbeitung erfolgt in der EU-Region Frankfurt am Main.
• RevenueCat, Inc. — technische Verwaltung und Verifizierung von In-App-Abonnements. RevenueCat erhält als App-Benutzerkennung ausschließlich deine pseudonyme Supabase-UUID, nicht deine E-Mail-Adresse. Daneben werden die zur Aboverwaltung erforderlichen Kauf- und Anspruchsmetadaten verarbeitet, darunter Produkt, App-Store, Transaktions-/Kaufstatus und Ablaufzeit. Die Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags; Grundlage der Übermittlung in die USA sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
• Expo — Zustellung von Push-Benachrichtigungen an dein Gerät. Expo verarbeitet dazu Push-Token in den USA. Hierbei handelt es sich um eine Datenübermittlung in ein Drittland außerhalb der EU/des EWR. Rechtsgrundlage für diese Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).
• Google Ireland Ltd. / Google LLC (Gemini API) — Erkennung der von dir gescannten Karten und Produkte. Das aufgenommene Foto wird hierzu an die Gemini-Schnittstelle von Google übermittelt und dort ausschließlich zur Beantwortung der Erkennungsanfrage verarbeitet; wir übermitteln dabei keine Kontodaten, sondern nur das Bild. Die Verarbeitung kann auf Servern außerhalb der EU/des EWR (insbesondere in den USA) stattfinden. Rechtsgrundlage der Verarbeitung ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO — du löst den Scan aktiv aus); Rechtsgrundlage der Drittlandübermittlung ist die Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO), ergänzend die Standardvertragsklauseln. Wir nutzen die kostenpflichtige Gemini-Schnittstelle; die übermittelten Bilder werden von Google nicht zum Training von Modellen verwendet.
• Cloudflare Germany GmbH / Cloudflare, Inc. (R2-Objektspeicher) — Speicherung der Scan-Trainingsdaten, sofern du hierin eingewilligt hast. Der genutzte Speicherbereich ist ausdrücklich auf die EU-Jurisdiktion beschränkt, sodass die Daten in Rechenzentren innerhalb der Europäischen Union gespeichert werden; ein öffentlicher Zugriff auf den Speicherbereich besteht nicht. Die Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO); ergänzend gelten für etwaige Zugriffe aus Drittländern die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Ohne deine Einwilligung werden an diesen Empfänger keine Daten übermittelt.
• Apple App Store bzw. Google Play Store — Abschluss und Abwicklung eines In-App-Abonnements, einschließlich Zahlung, Kündigung und Erstattung, nach den Datenschutzbestimmungen des von dir genutzten Stores. Zahlungsdaten werden unmittelbar vom Store verarbeitet und nicht an CardFolio übermittelt.

Soweit ein Empfänger als Auftragsverarbeiter für uns tätig wird, besteht bzw. wird vor Produktionsstart ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO geschlossen. App-Store-Anbieter können hinsichtlich ihrer Zahlungs- und Store-Dienste eigenständig Verantwortliche sein.

5. Externe Datenquellen

Zur Anzeige von Katalog-, Preis- und Wechselkursdaten fragt die App folgende externe Quellen ab: TCGdex/Cardmarket, TCGcsv/TCGplayer sowie frankfurter.app. Diese Abfragen dienen ausschließlich dem Abruf öffentlicher Katalog-, Markt- und Wechselkursdaten; dabei werden keine Nutzeridentitäten oder sonstigen personenbezogenen Daten von dir an diese Quellen übermittelt.

eBay (Preise und Affiliate-Links). Für den angezeigten „ab“-Preis fragt unser Server die Browse-Schnittstelle von eBay mit dem Suchbegriff der jeweiligen Karte bzw. des Produkts ab; personenbezogene Daten von dir werden dabei nicht übermittelt. Die Links zu eBay sind Affiliate-Links des eBay Partner Network: Tippst du einen an, verlässt du CardFolio und öffnest eBay im Browser oder in der eBay-App. Der Link enthält unsere Partner-Kennung und die Kennung der Karte bzw. des Produkts, aber keine Kennung deines Kontos. eBay nutzt diese Angaben und eigene Cookies bzw. vergleichbare Techniken, um einen Kauf unserem Link zuzuordnen; dafür ist eBay nach seiner eigenen Datenschutzerklärung verantwortlich. Wir erhalten von eBay nur Provisionsberichte ohne Angaben zu deiner Person. CardFolio selbst bindet kein Tracking-Skript von eBay ein. Rechtsgrundlage für das Setzen der Affiliate-Links ist unser berechtigtes Interesse an der Finanzierung des Dienstes über Provisionen (Art. 6 Abs. 1 lit. f DSGVO).

6. Speicherdauer & Löschung

Wir speichern deine Daten grundsätzlich, solange dein Konto besteht oder sie zur Erfüllung eines laufenden Vertrags benötigt werden. Im Einzelnen gelten folgende Fristen:

• Konto-, Sammlungs-, Wunschlisten- und Sealed-Daten: bis zur Löschung deines Kontos.
• Scan-Protokoll (scan_events: Zeitpunkt, Scan-Modus, Modell, Erfolg/Fehlschlag, Dauer, Zahl der Versuche und verbrauchte Recheneinheiten des KI-Dienstes — nie Bildinhalte): 62 Tage, danach automatische Löschung.
• Gast-Scan-Zähler (guest_scans: gesalzener Hash der IP-Adresse zur Durchsetzung des Tageslimits, keine Klartext-IP): 7 Tage, danach automatische Löschung.
• Abo-Metadaten (Produkt, Store, Kauf-/Anspruchsstatus, Ablaufzeit): für die Dauer des Abonnements und darüber hinaus, solange handels- und steuerrechtliche Aufbewahrungspflichten bestehen (in der Regel bis zu 10 Jahre nach § 147 AO, § 257 HGB).
• Nutzungsereignisse (app_events): 12 Monate, danach automatische Löschung; bei Kontolöschung sofort.
• Push-Token: bis zum Widerruf der Einwilligung, bis zur Abmeldung des Geräts oder bis zur Kontolöschung.
• Scan-Trainingsdaten (nur bei erteilter Einwilligung): Fotos, zu denen du keine Karte bestätigt hast, löschen wir automatisch nach 7 Tagen. Fotos mit bestätigter Karte speichern wir, solange sie für die Verbesserung der Erkennung erforderlich sind, längstens jedoch bis zur Löschung deines Kontos; ein Widerruf der Einwilligung beendet die weitere Speicherung neuer Fotos.
• Centering-Fotos und Messungen: die 50 neuesten Messungen, bis du eine einzeln löschst oder dein Konto löschst. Wird eine 51. Messung gespeichert, löschen wir die älteste samt Fotos. Fotos, zu denen keine Messung mehr besteht, entfernt ein täglicher Lauf.

Ohne deine Einwilligung in die Scan-Trainingsdaten speichern wir Scan-Fotos zu keinem Zeitpunkt. Davon unberührt bleiben die Centering-Fotos, die wir wie oben beschrieben zur Bereitstellung der Funktion speichern.

Die App bietet dir unter Einstellungen → Konto löschen die Möglichkeit, dein CardFolio-Konto und die damit verbundenen App-Daten löschen zu lassen (Recht auf Löschung, Art. 17 DSGVO). Von der Kontolöschung erfasst sind auch etwaige gespeicherte Scan-Trainingsdaten einschließlich der zugehörigen Bilddateien im Objektspeicher sowie alle Centering-Messungen und ihre Fotos. Dabei wird auch die Löschung bzw. Anonymisierung des CardFolio-bezogenen RevenueCat-Abonnentendatensatzes angestoßen, soweit keine gesetzlichen oder zwingenden technischen Aufbewahrungsgründe entgegenstehen. Beim App-Store verbleibende Kauf- und Abrechnungsdaten unterliegen den Löschfristen und Datenschutzbestimmungen des jeweiligen Stores.

Wichtig: Die Kontolöschung beendet ein beim App-Store abgeschlossenes Abonnement nicht automatisch. Du musst das Abonnement zusätzlich über die Abonnementverwaltung des Stores kündigen, um zukünftige Verlängerungen zu verhindern.

7. Deine Rechte

Dir stehen als betroffener Person nach der DSGVO folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) über die von uns verarbeiteten Daten,
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten,
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO), sowie
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft.

Zur Ausübung dieser Rechte kannst du dich jederzeit über die im Impressum angegebene E-Mail-Adresse an uns wenden.

8. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten durch uns zu beschweren. Zuständig ist in der Regel die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder unseres Unternehmenssitzes, insbesondere:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 27, 91522 Ansbach poststelle@lda.bayern.de