Datenschutzerklärung
Informationen zum Umgang mit Ihren personenbezogenen Daten nach Art. 13 der Datenschutz-Grundverordnung (DSGVO) und Art. 19 des Schweizer Datenschutzgesetzes (DSG).
1. Verantwortlicher
ChaseCardHunter ist ein privates, nicht-kommerzielles Fanprojekt. Verantwortlich im Sinne der DSGVO ist:
Einen Datenschutzbeauftragten gibt es nicht; er ist für ein Projekt dieser Größe nicht vorgeschrieben. Fragen zum Datenschutz richten Sie bitte an die E-Mail-Adresse oben.
2. Welche Daten wir verarbeiten und wozu
a) Beim Besuch der Website
Ihr Browser sendet beim Aufruf jeder Seite technische Angaben an unseren Server: IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, die verweisende Seite sowie Browser und Betriebssystem. Wir brauchen sie, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren. Die IP-Adresse verwenden wir dafür nur im Arbeitsspeicher: um die Zahl der Anfragen je Adresse zu begrenzen (höchstens etwa eine Stunde lang) und bekannte Angreifer abzuweisen. In die Protokolle des Servers schreiben wir sie nicht; der vorgeschaltete Webserver führt kein Zugriffsprotokoll. Die Protokolle enthalten Zeitpunkte, Fehlermeldungen, Suchbegriffe ohne Bezug zu einer Person, bei abgewiesenen Angriffen die aufgerufene Adresse und bei Kontovorgängen (etwa Registrierung, Anmeldung, Bestätigung, neues Passwort, Löschung) sowie bei Benachrichtigungen die interne Nummer des Kontos, keine E-Mail-Adresse. Sie werden nicht für Auswertungen über Personen verwendet. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionierenden Betrieb (DSGVO Art. 6 Abs. 1 lit. f).
Blockiert Ihr Browser auf unserer Seite etwas wegen unserer Sicherheitsrichtlinie (Content Security Policy), schickt er uns einen Bericht. Davon speichern wir die Art des Verstoßes, den Server der blockierten Quelle, die Seitenadresse ohne Suchparameter und die Browserkennung, ohne IP-Adresse und ohne Bezug zu einem Konto. Gleiche Verstöße werden nur gezählt. Rechtsgrundlage ist dasselbe berechtigte Interesse.
b) Bei der Suche
Ihre Suchanfragen und Filter werden verarbeitet, um passende Angebote anzuzeigen. Ohne Konto werden sie nicht mit Ihrer Person verknüpft. Speichern Sie eine Suche oder legen Sie einen Tracker an, bleiben Suchbegriff und Filter, gegebenenfalls mit dem gewählten Ort und Umkreis, bei Ihrem Konto gespeichert, bis Sie sie löschen (Abschnitt 2 c). Rechtsgrundlage ist ohne Konto unser berechtigtes Interesse, Ihre Suche zu beantworten (DSGVO Art. 6 Abs. 1 lit. f), für Gespeichertes in Ihrem Konto die Bereitstellung der Kontofunktionen (lit. b).
c) Mit einem Konto (Chase Club)
Für ein Konto speichern wir Ihre E-Mail-Adresse und Ihr Passwort, dieses nur als nicht umkehrbaren Hashwert. Dazu kommt, was Sie im Konto anlegen: Tracker, gespeicherte Suchen, Favoriten, gewählte Benachrichtigungswege und Ruhezeiten, außerdem wann wir Sie über welches Angebot benachrichtigt haben, damit Sie dieselbe Meldung nicht doppelt bekommen. Zur Bestätigung der E-Mail-Adresse und zum Zurücksetzen des Passworts schicken wir Ihnen einmalige Links per E-Mail. Rechtsgrundlage ist die Bereitstellung der Kontofunktionen, die Sie mit der Registrierung anfordern (DSGVO Art. 6 Abs. 1 lit. b).
Einmalige Informationen zu Ihrem Konto, etwa zu einer neuen Adresse der Website oder zu geänderten Funktionen, schicken wir Ihnen ebenfalls per E-Mail (Art. 6 Abs. 1 lit. f).
Neuigkeiten zu ChaseCardHunter, etwa zu neuen Funktionen, schicken wir Ihnen per E-Mail nur, wenn Sie das ausdrücklich bestellt haben: bei der Registrierung, mit der Frage im Konto oder unter „Benachrichtigungen“. Die Mail geht erst, wenn Ihre E-Mail-Adresse bestätigt ist, und höchstens einmal pro Woche über Resend (Abschnitt 3). Als Nachweis speichern wir bei Ihrem Konto, wann und auf welchem Weg Sie eingewilligt oder abbestellt haben, den Wortlaut, dem Sie zugestimmt haben, und welche Ausgabe wir Ihnen geschickt haben. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3): mit dem Link in jeder dieser Mails, mit einem Klick, oder im Konto unter „Benachrichtigungen“. Tracker-Alarme sind davon nicht berührt.
d) Benachrichtigungen per E-Mail und Push
Schlägt ein Tracker an, benachrichtigen wir Sie auf dem Weg, den Sie gewählt haben. Für E-Mails verwenden wir die in Abschnitt 3 genannten Versanddienste. Für Push-Mitteilungen speichern wir die Zustelladresse, die Ihr Browser beim Einschalten erzeugt, samt den zugehörigen Schlüsseln; die Mitteilung selbst geht über den Push-Dienst Ihres Browserherstellers und ist auf dem Weg dorthin verschlüsselt. Push lässt sich im Konto und im Browser jederzeit abschalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
e) Kontaktformular
Wenn Sie uns über das Kontaktformular im Impressum schreiben, speichern wir Ihren Namen, Ihre E-Mail-Adresse, den Betreff und Ihre Nachricht, um Ihre Anfrage zu bearbeiten und zu beantworten (DSGVO Art. 6 Abs. 1 lit. f; bei Anfragen zu Ihrem Nutzerkonto lit. b). Wir löschen die Nachricht, sobald Ihre Anfrage erledigt ist.
Haben Sie ein Nutzerkonto mit derselben, bestätigten E-Mail-Adresse, sind Ihre Nachrichten in der Datenauskunft Ihres Kontos enthalten und werden mit der Löschung des Kontos ebenfalls gelöscht.
f) Reichweitenmessung mit Umami
Um zu verstehen, welche Seiten genutzt werden und woher unsere Besucher kommen, setzen wir die Open-Source-Software Umami ein. Umami läuft auf unserem eigenen Server bei Hetzner in Deutschland; die Daten gehen an keinen Dritten. Umami setzt keine Cookies.
Erfasst werden je Seitenaufruf: die aufgerufene Adresse ohne Suchparameter, der Seitentitel, die verweisende Seite, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache sowie Land, Region und Stadt, die aus Ihrer IP-Adresse abgeleitet werden. Die IP-Adresse selbst wird nicht gespeichert. Um mehrere Aufrufe desselben Besuchs zusammenzufassen, bildet Umami aus IP-Adresse und Browserkennung einen Hashwert, der jeden Kalendermonat wechselt; über den Monat hinaus werden Sie nicht wiedererkannt. Umami verknüpft diese Daten nicht mit Ihrem Nutzerkonto.
Blättern Sie in den Suchergebnissen über die erste Seite hinaus, meldet Umami zusätzlich ein Ereignis mit drei Angaben: die Seite, zusammengefasst als 2, 3, 4–5 oder ab 6, die gewählte Sortierung und die Zahl der Treffer je Seite. Suchbegriff, Ort und Filter sind nicht dabei. Damit sehen wir, ob die hinteren Seiten genutzt werden.
Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung der Website (DSGVO Art. 6 Abs. 1 lit. f). Sie können dem jederzeit widersprechen: mit dem Knopf unten für diesen Browser, per E-Mail (Abschnitt 10) oder mit einem Skriptblocker.
3. Empfänger und Dienstleister
Wir verkaufen keine Daten und geben sie nicht für Werbung weiter. Folgende Dienstleister verarbeiten Daten in unserem Auftrag oder bekommen sie, weil der jeweilige Dienst sonst nicht funktioniert:
- Hetzner Online GmbH, Deutschland: Server, auf dem Website, Datenbank und Reichweitenmessung laufen (Rechenzentrum Nürnberg).
- Resend, USA: Versand unserer E-Mails. Resend erhält Ihre E-Mail-Adresse und den Inhalt der Mail.
- Google (Google Ireland Ltd. bzw. Google LLC, USA): Ersatzweg für den Mailversand, wenn Resend ausfällt; unser Postfach für Kontaktanfragen; Speicherort für verschlüsselte Sicherungskopien unserer Datenbanken (auch der Reichweitenmessung), die Google nicht lesen kann.
- Push-Dienst Ihres Browserherstellers (etwa Google, Mozilla, Apple oder Microsoft), nur wenn Sie Push-Mitteilungen einschalten.
Bei Kaufinteresse verlinken wir auf die Websites der Händler. Ab dort gelten deren Datenschutzbestimmungen.
4. Übermittlung in Drittländer
Resend (Plus Five Five, Inc.) und Google (Google LLC) verarbeiten Daten auch in den USA. Die Übermittlung aus der EU stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DSGVO Art. 45), unter dem beide Unternehmen zertifiziert sind; mit Resend haben wir zusätzlich Standardvertragsklauseln vereinbart (Art. 46).
Die Kartenansicht der Suche lädt Ihr Browser über das Netz von Cloudflare (Cloudflare, Inc., USA; Abschnitt 5). Ob Cloudflare Daten dabei in die USA überträgt, wissen wir nicht; ausschließen können wir es nicht. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Einen eigenen Vertrag mit Cloudflare haben wir nicht.
Für die Schweiz sind Google und Cloudflare auch unter dem Swiss-US Data Privacy Framework zertifiziert, Resend nicht. Übermittlungen aus der Schweiz an Resend stützen sich deshalb allein auf die Standardvertragsklauseln, die für das Schweizer Datenschutzgesetz angepasst sind.
5. Inhalte, die Ihr Browser von Dritten lädt
Einige Bilder und Karten lädt Ihr Browser direkt von fremden Servern. Diese sehen dabei Ihre IP-Adresse und die Angaben aus Abschnitt 2 a:
- Kartenbilder der Pokémon-Karten von TCGdex (Florian Bouillon), Server in Frankreich;
- Produktbilder von den Servern der jeweiligen Händler;
- Kartenkacheln, Kartenstil und Schriften von OpenFreeMap (Hyperknot Software Kft., Ungarn), wenn Sie die Kartenansicht der Suche öffnen. OpenFreeMap liefert sie über das Netz von Cloudflare (Cloudflare, Inc., USA) aus; Cloudflare sieht dabei Ihre IP-Adresse.
Rechtsgrundlage ist unser berechtigtes Interesse, Angebote verständlich darzustellen, ohne jedes Bild selbst zu speichern (DSGVO Art. 6 Abs. 1 lit. f).
6. Cookies und Speicher im Browser
Wir setzen nur ein technisch notwendiges Cookie, das Sie nach der Anmeldung angemeldet hält. Außerdem legt die Website Einträge im Speicher Ihres Browsers (localStorage) ab, die nur für von Ihnen genutzte Funktionen da sind und unseren Server nur erreichen, wo es unten dabeisteht:
- Darstellung: helles oder dunkles Design, Listen- oder Kachelansicht, Suchmodus, Tempo der Diashow in der Kartengalerie;
- ob Sie einen Hinweis (Begrüßung, Push-Angebot) schon geschlossen haben;
- ob Sie der Reichweitenmessung widersprochen haben (Abschnitt 2 f);
- Suchfilter, die eine frühere Version der Website nur in Ihrem Browser gespeichert hat. Nach der Anmeldung können Sie sie in Ihr Konto übernehmen; erst dann gehen sie an unseren Server und werden im Browser gelöscht.
Schalten Sie Push-Mitteilungen ein, registriert die Website zusätzlich ein Hintergrundskript (Service Worker), das eingehende Mitteilungen anzeigt. Es speichert keine Seiten oder Daten zwischen.
Dafür ist keine Einwilligung nötig, weil diese Einträge für Funktionen gebraucht werden, die Sie ausdrücklich nutzen (§ 165 Abs. 3 TKG 2021; § 25 Abs. 2 TDDDG). Sie können sie jederzeit in den Einstellungen Ihres Browsers löschen.
7. Standortdaten
Ihren Standort erfahren wir nur, wenn Sie ihn über die Abfrage Ihres Browsers freigeben oder einen Ort eingeben. Die Koordinaten gehen dann an unseren Server: um den nächstgelegenen Ortsnamen zu ermitteln, was wir mit einer eigenen Ortsliste ohne fremden Dienst tun, und um Händler im gewählten Umkreis zu finden. Wir speichern sie dabei nicht, außer Sie legen eine Suche oder einen Tracker mit diesem Ort an (Abschnitt 2 b). Rechtsgrundlage ist ohne Konto unser berechtigtes Interesse, Ihnen die Angebote in Ihrer Nähe zu zeigen, nach denen Sie fragen (DSGVO Art. 6 Abs. 1 lit. f); für Suchen und Tracker in Ihrem Konto die Bereitstellung der Kontofunktionen (lit. b). Die Freigabe im Browser können Sie jederzeit zurücknehmen.
8. Speicherdauer
- Konto und alles, was Sie darin angelegt haben: bis Sie das Konto löschen.
- Kontaktnachrichten: bis Ihre Anfrage erledigt ist (Abschnitt 2 e).
- Sicherungskopien der Datenbank: auf unserem Server 14 Tage, verschlüsselte Kopien bei Google 30 Tage; danach werden sie automatisch gelöscht. Mit der Löschung Ihres Kontos verschwinden Ihre Daten aus neuen Sicherungen, ältere Kopien werden nur zur Wiederherstellung nach einem Ausfall verwendet.
- Reichweitenmessung (Abschnitt 2 f): 13 Monate, danach werden die Einträge automatisch gelöscht; sie enthält keine IP-Adressen. Für Sicherungskopien davon gelten die Fristen oben, ein gelöschter Eintrag kann also bis zu 30 Tage länger in einer verschlüsselten Kopie liegen.
- Protokolle des Servers (Abschnitt 2 a): bis zur nächsten Aktualisierung der Anwendung; eine feste Höchstfrist gibt es nicht. Sie enthalten keine IP-Adressen.
- Berichte zur Sicherheitsrichtlinie (Abschnitt 2 a): bis wir sie nach der Auswertung löschen; es bleiben höchstens 500 verschiedene Einträge, eine feste Höchstfrist gibt es nicht.
9. Ihre Rechte
Sie haben das Recht auf Auskunft (DSGVO Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Mit einem Konto können Sie Ihre Daten im Bereich „Profil & Übersicht“ selbst herunterladen und das Konto dort vollständig löschen; für alles andere genügt eine E-Mail an daniele.cirignotta1@gmail.com.
Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77). Zuständig für uns ist die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at. Sie können sich auch an die Behörde Ihres Wohnsitzlands wenden, in der Schweiz an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB).
10. Widerspruchsrecht
Soweit wir Daten auf Grund unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21). Eine E-Mail an daniele.cirignotta1@gmail.com genügt. Der Reichweitenmessung können Sie ohne Begründung und direkt mit dem Knopf in Abschnitt 2 f widersprechen.
11. Pflicht zur Bereitstellung
Sie sind nicht verpflichtet, uns Daten zu geben. Die Suche funktioniert ohne Konto. Für ein Konto brauchen wir eine E-Mail-Adresse und ein Passwort, sonst können wir weder Tracker führen noch Sie benachrichtigen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO treffen wir nicht.
12. Datensicherheit
Die Verbindung zur Website ist mit TLS verschlüsselt. Passwörter speichern wir nur als Hashwert. Sicherungskopien, die unseren Server verlassen, werden vorher verschlüsselt; der Schlüssel zum Entschlüsseln liegt nicht auf dem Server.
13. Aktualität dieser Datenschutzerklärung
Diese Datenschutzerklärung hat den Stand 30. Oktober 2026. Ändern sich unsere Dienste oder die Rechtslage, passen wir sie an.