Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist Firmenname und Rechtsform, Straße und Hausnummer, PLZ und Ort, Land, E-Mail: Support-E-Mail.

Bei Fragen zum Datenschutz erreichst du uns unter Datenschutzkontakt.

Falls der Betreiber keine Niederlassung in der EU hat: Vertreter in der Union nach Art. 27 DSGVO angeben.

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen der Datenschutz-Grundverordnung (DSGVO):

• Art. 6 Abs. 1 lit. b DSGVO: zur Erfüllung des Nutzungsvertrags und zur Abwicklung von Bestellungen
• Art. 6 Abs. 1 lit. c DSGVO: zur Erfüllung gesetzlicher Pflichten, etwa Aufbewahrungs- und Meldepflichten im Steuerrecht oder nach dem Digital Services Act
• Art. 6 Abs. 1 lit. f DSGVO: zur Wahrung berechtigter Interessen, etwa Sicherheit der Plattform, Betrugsprävention und Fehleranalyse
• Art. 6 Abs. 1 lit. a DSGVO: aufgrund deiner Einwilligung, etwa für die optionale Produktanalyse mit PostHog

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

Die Plattform wird bei Vercel Inc. (USA) gehostet. Beim Aufruf der Seiten verarbeitet Vercel technisch notwendige Daten wie IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem. Diese Daten brauchen wir, um die Seite auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO).

Unsere Datenbank betreiben wir bei Neon (Neon Postgres) mit Serverstandort Frankfurt am Main (geplant). Bilder speichern wir bei Cloudflare R2 (Cloudflare Inc., USA) in einem Speicherbereich in der EU (geplant).

Mit allen Dienstleistern schließen wir Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Für dein Konto verarbeiten wir E-Mail-Adresse, Benutzername, Passwort (nur verschlüsselt gespeichert), Spracheinstellung und, sobald du kaufst oder verkaufst, Name und Anschrift.

Bei gewerblichen Verkäufern und verifizierten Shops verarbeiten wir zusätzlich die Händlerangaben nach Art. 30 DSA sowie Unterlagen zur Identitäts- und Unternehmensprüfung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Händlerangaben Art. 6 Abs. 1 lit. c DSGVO.

Zur Abwicklung einer Bestellung verarbeiten wir die bestellten Artikel, Preise, Lieferanschrift, Sendungsnummer und den Bestellstatus.

Der Verkäufer erhält Name und Lieferanschrift des Käufers, damit er versenden kann. Der Käufer sieht den Namen bzw. Shopnamen des Verkäufers und bei gewerblichen Verkäufern deren Händlerangaben.

Zahlungen wickelt Zahlungsdienstleister, geplant: Stripe Payments Europe, Ltd., Dublin, Irland ab. Wir übermitteln dafür Bestellbetrag, Bestellnummer und die für die Zahlung nötigen Angaben wie Name und E-Mail-Adresse; Zahlungsdaten wie Kartennummern gibst du direkt beim Zahlungsdienstleister ein, wir speichern sie nicht selbst. Bei Stornierungen und Erstattungen übermitteln wir die nötigen Angaben zur Rückzahlung.

Verkäufer melden sich für Auszahlungen direkt beim Zahlungsdienstleister an. Er führt dabei die gesetzlich vorgeschriebene Identitätsprüfung (KYC) durch und verarbeitet zum Beispiel Name, Anschrift, Geburtsdatum, Ausweisdaten und Bankverbindung. Für diese Prüfung ist der Zahlungsdienstleister selbst Verantwortlicher; es gilt dessen Datenschutzerklärung. Wir erhalten von ihm nur den Status der Verifizierung und die für Auszahlungen nötigen Angaben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, für die Prüfung beim Zahlungsdienstleister, Art. 6 Abs. 1 lit. c DSGVO.

Angebote, Fotos und deine öffentlichen Profilangaben (zum Beispiel Benutzername, Land, Bewertungen) sind für andere Nutzer sichtbar. Achte darauf, dass auf deinen Fotos keine personenbezogenen Daten zu sehen sind, etwa Adressetiketten.

Bei ungegradeten Einzelkarten ab 20 € musst du eigene Fotos hochladen. Wir speichern sie bei Cloudflare R2 in einem Speicherbereich in der EU (geplant) und zeigen sie öffentlich zusammen mit deinem Angebot an, solange es online ist (Art. 6 Abs. 1 lit. b DSGVO).

Bei gegradeten Karten gibst du die Zertifikatsnummer an. Wir prüfen sie automatisch beim jeweiligen Grading-Anbieter (zum Beispiel über die Zertifikatsabfrage von PSA), um Echtheit und Gültigkeit des Zertifikats zu prüfen. Dabei senden wir ausschließlich die Zertifikatsnummer; personenbezogene Daten werden nicht übermittelt (Art. 6 Abs. 1 lit. f DSGVO, Betrugsprävention).

Importierst du Bestände per CSV, verarbeiten wir nur die Artikeldaten aus der Datei.

Wir speichern die Nachrichten zwischen Käufer und Verkäufer zu jeder Bestellung sowie Bewertungen und Fallangaben einschließlich hochgeladener Fotos.

Nachrichten werden automatisch auf Zahlungs- und Kontaktdaten wie IBAN, PayPal-Adressen, Telefonnummern und E-Mail-Adressen geprüft, damit wir vor Zahlungen außerhalb der Plattform warnen können. Diese Prüfung erfolgt zum Schutz vor Betrug (Art. 6 Abs. 1 lit. f DSGVO) und führt nur zu einem Warnhinweis, nicht zu einer automatischen Sperre.

In einem Streitfall kann unser Support die Nachrichten, Fotos und Sendungsdaten der betroffenen Bestellung einsehen, um zu entscheiden (Art. 6 Abs. 1 lit. b und f DSGVO).

Wenn du ein Problem meldest (einen Fall eröffnest), sind die Fallangaben, Fotos und Nachrichten für die andere Seite der Bestellung und für den binder-Support sichtbar. Wir speichern sie bis 2 Jahre nach Abschluss des Falls, länger nur, wenn es für die Geltendmachung oder Abwehr von Rechtsansprüchen nötig ist.

Wir benachrichtigen dich in der App und per E-Mail über Ereignisse zu deinen Bestellungen und deinem Konto, etwa Zahlung, Versand, Zustellung, Auszahlung, neue Nachrichten, Bewertungsanfragen und Fallaktualisierungen (Art. 6 Abs. 1 lit. b DSGVO).

Für den Versand von E-Mails nutzen wir Resend (Resend Inc., USA; geplant). Werbe-Newsletter versenden wir nur mit deiner Einwilligung.

Als Plattformbetreiber müssen wir nach der EU-Richtlinie DAC7 (in Deutschland: Plattformen-Steuertransparenzgesetz) Daten von Verkäufern erheben und prüfen, etwa Name, Anschrift, Geburtsdatum, Steuer-Identifikationsnummer, Umsatzsteuer-Identifikationsnummer, Bankverbindung sowie Anzahl und Höhe der Verkäufe.

Erreicht ein Verkäufer in einem Kalenderjahr mindestens 30 Verkäufe oder mindestens 2.000 € Umsatz, melden wir diese Daten an die zuständige Steuerbehörde (in Deutschland das Bundeszentralamt für Steuern), die sie gegebenenfalls mit anderen EU-Staaten austauscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Wenn du uns Inhalte meldest oder gegen eine Maßnahme Beschwerde einlegst, verarbeiten wir deine Angaben, um die Meldung zu bearbeiten und dich über das Ergebnis zu informieren (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16, 17 und 20 DSA).

Eigene Reichweitenmessung ohne Cookies: Um binder zu verbessern, erfassen wir einige Ereignisse auf unserem eigenen Server, nämlich Seitenaufrufe, Suchen, „In den Warenkorb“, geöffneter Checkout, erfolgte Zahlung, bestätigte Bestellung, neu erstellte Angebote, Ladezeiten (Web Vitals) und Fehler im Browser. Dabei setzen wir keine Cookies und speichern nichts auf deinem Gerät. IP-Adresse und Browserkennung speichern wir nicht; um Besucher zu zählen, bilden wir daraus einen Hashwert, der sich jeden Tag ändert, sodass du nicht über mehrere Tage wiedererkannt werden kannst. Zugriffe von Bots filtern wir heraus. Die Rohdaten löschen wir nach 13 Monaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist es, die Plattform zu verbessern. Der Betreiber kann diese Messung jederzeit abschalten. bestätigen: einwilligungsfrei nach § 25 TDDDG

Vercel Web Analytics und Vercel Speed Insights (Vercel Inc., USA; zertifiziert nach dem EU-US Data Privacy Framework): Damit messen wir Seitenaufrufe und Ladezeiten. Es werden nur anonyme Daten wie Seitenpfad, Ladezeit und Gerätetyp erfasst, keine Cookies gesetzt und keine Nutzerprofile gebildet (Art. 6 Abs. 1 lit. f DSGVO).

Sentry (Functional Software Inc., USA; Datenregion EU): Wenn im Browser oder auf dem Server ein Fehler auftritt, erhalten wir einen Fehlerbericht mit technischen Angaben wie Fehlermeldung, Seitenpfad, Browser und Betriebssystem. Sitzungsaufzeichnungen (Session Replay) nutzen wir nicht, IP-Adressen werden nicht gespeichert. Sentry ist erst aktiv, wenn der Betreiber es eingerichtet hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein stabiler, fehlerfreier Betrieb.

PostHog (PostHog Inc., USA; EU-Cloud mit Serverstandort Frankfurt): Für eine genauere Produktanalyse nutzen wir PostHog, aber nur, wenn du im Cookie-Banner zustimmst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Wir erfassen dabei nur gezielt ausgewählte Ereignisse, keine automatische Erfassung aller Klicks (kein Autocapture) und keine Sitzungsaufzeichnungen. PostHog speichert dafür Cookies bzw. localStorage-Einträge (beginnend mit „ph_“) auf deinem Gerät. Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen“ im Footer widerrufen. Das Banner erscheint erst, wenn PostHog eingeschaltet ist.

Werbe-Cookies oder Tracking über andere Websites hinweg setzen wir nicht ein.

Wir speichern einige technisch notwendige Informationen in deinem Browser, etwa deine Spracheinstellung, deinen Warenkorb, den Lesestatus von Benachrichtigungen und deine Auswahl im Cookie-Banner. Dafür brauchen wir keine Einwilligung, weil diese Speicherung unbedingt erforderlich ist, um den von dir gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG).

Einträge von PostHog speichern wir nur, wenn du eingewilligt hast (§ 25 Abs. 1 TDDDG).

Welche Einträge das genau sind, findest du in unserer Cookie-Richtlinie.

Einige unserer Dienstleister haben ihren Sitz in den USA (zum Beispiel Vercel, Cloudflare, Resend, Sentry und PostHog) oder können von dort auf Daten zugreifen. Bei Sentry und PostHog nutzen wir die Datenregion EU; Stripe verarbeitet Zahlungen über seine irische Gesellschaft. Eine Übermittlung erfolgt nur, wenn der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist oder wir mit ihm EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart haben.

Wo möglich, wählen wir Serverstandorte in der EU.

Wir speichern Daten nur so lange, wie es für den jeweiligen Zweck nötig ist oder das Gesetz es verlangt:

• Kontodaten: bis zur Löschung deines Kontos
• Bestell- und Abrechnungsdaten: 6 bzw. 10 Jahre nach den handels- und steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO)
• DAC7-Aufzeichnungen: 10 Jahre
• Nachrichten: bis 2 Jahre nach der jeweiligen Bestellung, länger nur, wenn ein Streitfall es erfordert
• Problemfälle (Fallangaben, Fotos, Nachrichten): bis 2 Jahre nach Abschluss des Falls, länger nur, wenn es für Rechtsansprüche nötig ist
• Angebotsfotos: solange das Angebot online ist, danach bis zum Ablauf der Fristen für Bestelldaten, soweit das Foto zu einem Verkauf gehört
• Rohdaten unserer eigenen Reichweitenmessung: 13 Monate
• Server-Logs: Speicherdauer Server-Logs

Nach Ablauf der Fristen löschen oder anonymisieren wir die Daten.

Du hast das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wende dich dafür an Datenschutzkontakt. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat deines Aufenthaltsorts.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Plattform oder die Rechtslage ändert. Die aktuelle Fassung findest du immer auf dieser Seite.