Datenschutzerklärung

Wer für die Datenverarbeitung verantwortlich ist

Verantwortliche Stelle für die Datenverarbeitung im Zusammenhang mit PosakaX im Sinne der Datenschutz-Grundverordnung (DSGVO) ist der oben genannte Anbieter.

Bereitstellung von Website und App

Für das Hosting wird nach dem derzeitigen Betreiber- und Hostingstand ALL-INKL.COM – Neue Medien Münnich, Inh. René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland eingesetzt. Beim Aufruf von PosakaX verarbeitet der Webserver technisch erforderliche Verbindungsdaten. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene URL, übertragene Datenmenge, Referrer, Browsertyp, Betriebssystem und HTTP-Status gehören.

Die Verarbeitung erfolgt zur sicheren, stabilen und fehlerfreien Bereitstellung des Angebots sowie zur Missbrauchs- und Angriffserkennung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Soweit die Verarbeitung für die Nutzung des Mitgliederbereichs erforderlich ist, kommt zusätzlich Art. 6 Abs. 1 lit. b DSGVO in Betracht. Speicherdauer und technische Logverwaltung richten sich nach der konkreten Serverkonfiguration und den gesetzlichen Anforderungen.

Weitere Informationen des Hostinganbieters: Datenschutzinformationen von ALL-INKL.COM.

Technisch erforderliche Funktionen – derzeit ohne Cookie-Banner

PosakaX verwendet das technisch erforderliche Sitzungs-Cookie posakax_session. Es dient insbesondere der Sitzungsverwaltung, dem Login, der Zuordnung sicherheitsrelevanter Formularaktionen und dem Schutz vor Cross-Site-Request-Forgery (CSRF). Die Sitzung kann bei aktiver Nutzung bis zu 90 Tage fortgeführt werden; bei angemeldeten Mitgliedern wird die Laufzeit bei weiterer Nutzung erneuert.

Wenn ein Mitglied Push-Benachrichtigungen ausdrücklich aktiviert, kann zusätzlich das technisch erforderliche Cookie posakax_push_device für bis zu 365 Tage gespeichert werden. Es hilft PosakaX, das aktivierte Browsergerät der zugehörigen Push-Einstellung zuzuordnen. Im lokalen Browserspeicher kann außerdem ausschließlich für die Push-Bedienung gespeichert werden, ob der Aktivierungshinweis bereits bestätigt, abgelehnt oder auf später verschoben wurde.

Diese Speicherungen dienen den jeweils ausdrücklich angeforderten Funktionen und werden nicht für Werbung, Profilbildung oder Reichweitenmessung eingesetzt. Die Speicherung bzw. der Zugriff auf das Endgerät erfolgt nach aktuellem technischen Stand auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten stützt sich – je nach Nutzung – auf Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Auf der öffentlichen PosakaX-Website werden derzeit keine Analyse-, Werbe- oder Marketing-Cookies, keine Tracking-Pixel und keine vergleichbaren einwilligungspflichtigen Marketing-Technologien eingesetzt. Deshalb wird aktuell kein Cookie- bzw. Consent-Banner eingeblendet. Sollten künftig einwilligungspflichtige Technologien hinzukommen, werden diese erst nach einer entsprechenden Einwilligung aktiviert und diese Datenschutzerklärung wird angepasst.

Daten für den Zugang zu PosakaX

Bei einer Mitgliedsanfrage werden Name, E-Mail-Adresse, eine freiwillige Nachricht, Bearbeitungsstatus und Zeitpunkte verarbeitet. Zur Begrenzung automatisierter oder massenhafter Anfragen wird außerdem ein nicht unmittelbar lesbarer Hashwert der IP-Adresse gespeichert. Wird eine Anfrage freigegeben, verarbeitet PosakaX die für den persönlichen Einladungslink erforderlichen Daten.

Bei der Kontoerstellung und späteren Nutzung werden insbesondere Name, Benutzername, E-Mail-Adresse, ein ausschließlich als Hash gespeichertes Passwort, Rolle, Aktivstatus sowie Erstellungs- und Änderungszeitpunkte verarbeitet. Passwörter werden nicht im Klartext gespeichert.

Bei Zugangsanfrage und Kontoerstellung wird außerdem dokumentiert, dass die Datenschutzerklärung zur Kenntnis genommen wurde. Diese Kenntnisnahme ist keine Newsletter- oder Werbeeinwilligung; sie dient der transparenten Bereitstellung der Datenschutzinformationen und der Dokumentation des Onboarding-Zeitpunkts.

Für das vorbereitete Free-/Pro-Tarifmodell verarbeitet PosakaX zusätzlich den dem Konto zugeordneten Tarifstatus (z. B. Free, Pro monatlich, Pro jährlich oder Founders Pro), die Herkunft dieser Zuordnung sowie Beginn und – soweit relevant – ein mögliches Enddatum. Bei Zugangsanfragen wird außerdem gespeichert, ob die Anfrage innerhalb der bis 31.12.2026 laufenden Founders-Aktion eingegangen ist. Dies dient ausschließlich der späteren Funktionsfreischaltung, Limitverwaltung und dem nachvollziehbaren Erhalt des zugesagten Founders-Vorteils. Eine werbliche Profilbildung findet dadurch nicht statt.

Die Zahlungsabwicklung für reguläre Pro-Abonnements ist derzeit noch nicht aktiviert; PosakaX verarbeitet deshalb aktuell keine Zahlungs- oder Kreditkartendaten. Sobald ein Zahlungsanbieter eingebunden wird, werden die Angaben zu Empfängern, Rechtsgrundlagen und Speicherdauern vor dem Verkaufsstart entsprechend ergänzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO zur Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person und zur Bereitstellung des Nutzerkontos einschließlich der gewählten bzw. zugesagten Leistungsstufe. Sicherheits-, Dokumentations- und Missbrauchsschutzmaßnahmen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.

Authentifizierung und Kontosicherheit

Für die Anmeldung werden Benutzername oder E-Mail-Adresse und das eingegebene Passwort verarbeitet. Beim Zurücksetzen eines Passworts werden zeitlich begrenzte Einmal-Token eingesetzt. Zur Missbrauchsbegrenzung kann ein Hashwert der anfragenden IP-Adresse gespeichert werden. Einladungs- und Passwort-Reset-E-Mails werden über die serverseitig eingerichtete E-Mail-Infrastruktur versendet.

Mitglieder, Moderatoren und Administratoren können ihre hinterlegte Konto-E-Mail-Adresse in den Einstellungen ändern. Zur Absicherung werden dabei die neue E-Mail-Adresse, das aktuelle Passwort zur einmaligen Prüfung, ein nur als kryptografischer Hash gespeicherter Bestätigungstoken, Ablauf- und Anforderungszeitpunkt sowie ein Hashwert der anfragenden IP-Adresse verarbeitet. Die Änderung wird erst nach ausdrücklicher Bestätigung über die neue Adresse wirksam; anschließend wird die bisherige Adresse über die Änderung informiert und bestehende Anmeldesitzungen werden aus Sicherheitsgründen ungültig. Eine vorhandene Newsletter-Zuordnung wird technisch auf die neue Konto-Adresse übertragen, sofern für diese Adresse kein bereits gespeicherter abweichender Newsletter-Status besteht.

Die Verarbeitung dient der Authentifizierung, Wiederherstellung des Kontozugangs und Absicherung des Dienstes. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Freiwillige Neuigkeiten per E-Mail

PosakaX bietet einen freiwilligen E-Mail-Newsletter zu neuen Funktionen, wichtigen Änderungen und Neuigkeiten rund um das Pokémon-Karten-Sammlerportal an. Die Anmeldung ist auf der öffentlichen Startseite auch ohne PosakaX-Konto möglich. Zusätzlich kann der Newsletter bei einer Zugangsanfrage, bei der Kontoerstellung und später in den App-Einstellungen gewählt werden. Die Newsletter-Anmeldung ist keine Voraussetzung für eine Mitgliedschaft oder die Nutzung des Mitgliederbereichs und ist niemals vorausgewählt.

Für die Anmeldung verwenden wir ein Double-Opt-In-Verfahren. Nach dem Anfordern des Newsletters wird eine Bestätigungs-E-Mail an die angegebene Adresse versendet. Erst wenn die Anmeldung auf der Bestätigungsseite ausdrücklich abgeschlossen wird, erhält das Abonnement den Status „bestätigt“ und kann bei Newsletter-Kampagnen berücksichtigt werden. Der Bestätigungslink ist 48 Stunden gültig.

Zur Verwaltung und zum Nachweis des Anmeldeprozesses werden insbesondere E-Mail-Adresse, gegebenenfalls die interne Benutzer-ID, Herkunft der Anmeldung (z. B. öffentliche Startseite, Zugangsanfrage, Kontoerstellung oder Einstellungen), Abonnementstatus sowie Zeitpunkte für Anforderung, Bestätigung und Abmeldung verarbeitet. Der eigentliche Bestätigungstoken wird nicht im Klartext gespeichert, sondern nur als kryptografischer Hash. Für versendete Kampagnen werden zusätzlich technische Zustellstatus wie „vorgemerkt“, „gesendet“, „fehlgeschlagen“ oder „übersprungen“ protokolliert.

Rechtsgrundlage für den eigentlichen Newsletter-Versand ist Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft über den Abmeldelink in jeder Newsletter-E-Mail oder als Mitglied direkt in den PosakaX-Einstellungen widerrufen werden. Nach einer erneuten Aktivierung ist wieder eine Double-Opt-In-Bestätigung erforderlich.

PosakaX setzt im Newsletter derzeit keine Tracking-Pixel und keine Öffnungs- oder Klickmessung ein. Der Versand erfolgt über die serverseitig konfigurierte E-Mail-Infrastruktur. Dabei werden die für die E-Mail-Zustellung notwendigen Daten an den technisch eingesetzten Mail- bzw. Hostinganbieter übermittelt.

Nicht bestätigte Anmeldungen werden nach Ablauf des Bestätigungslinks nicht für Newsletter verwendet und veraltete offene Vormerkungen regelmäßig bereinigt. Abmeldungen werden als Sperrstatus gespeichert, damit die Adresse nicht versehentlich erneut angeschrieben wird. Versandprotokolle werden nur so lange personenbezogen vorgehalten, wie dies für Versandnachweis, Fehleranalyse und die Wahrung von Abmeldungen erforderlich ist; bei einer Kontolöschung werden Newsletter-Zuordnungen entfernt und historische Versanddaten soweit möglich anonymisiert.

Daten, die Mitglieder selbst in PosakaX anlegen

Zur Nutzung der Sammlungsfunktionen können insbesondere Karten, Stückzahlen, Sprache, Zustand, Variante, Ordner, Notizen, Kaufpreise, geschätzte Werte, Verkaufs- oder Tauschangebote, Wunschlistenangaben und weitere vom Mitglied eingegebene Kartendaten gespeichert werden. Soweit ein Mitglied ein eigenes Kartenfoto oder Profilbild hochlädt, wird das Bild serverseitig neu codiert; ursprüngliche Dateinamen und eingebettete Metadaten werden dabei nicht in den privaten Bildspeicher übernommen.

Die Verarbeitung erfolgt zur Bereitstellung der vom Mitglied gewünschten App-Funktionen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Was beim Scannen einer Karte geschieht

Der Zugriff auf die Kamera erfolgt erst nach Freigabe durch das Mitglied im Browser bzw. Betriebssystem. Teile der Texterkennung werden direkt im Browser ausgeführt. Hierfür lädt der Scanner aktuell Bibliotheken von jsDelivr (Tesseract.js) und von docs.opencv.org (OpenCV.js). Beim Abruf dieser Dateien können die jeweiligen Anbieter technische Verbindungsdaten wie IP-Adresse, Zeitpunkt und Browserinformationen erhalten.

Für die visuelle Vollkatalog-Suche wird das bearbeitete Scanbild an den PosakaX-Server übertragen und dort zur Berechnung von Bildmerkmalen verarbeitet. Der hierfür verwendete Suchendpunkt legt das übertragene Scanbild nicht dauerhaft als Kartendatei ab. Nur wenn das Mitglied beim Speichern ausdrücklich das eigene Kartenfoto auswählt, wird eine optimierte, neu codierte Version im geschützten PosakaX-Bildspeicher gespeichert.

Die Verarbeitung dient ausschließlich der vom Mitglied angeforderten Scan- und Erkennungsfunktion und erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Der Zugriff auf die Kamera wird zusätzlich durch die Geräte- bzw. Browserberechtigung kontrolliert.

Externe Datenquellen für Sammelkarten

PosakaX greift je nach Karte und Funktion auf externe Kartendaten-, Preis- und Bildquellen zurück. Im aktuellen Anwendungscode sind unter anderem Pokémon TCG API, Scrydex, TCGdex, PikaQian, Pokémon Card Korea, Cardmarket-bezogene Daten, Guardian sowie ergänzende Bildquellen für einzelne Sprachregionen vorgesehen.

Serverseitige Suchanfragen enthalten in der Regel kartenspezifische Angaben wie Name, Set, Sprache, Kartennummer oder Produktkennung, jedoch keine für die Kartensuche unnötigen Kontodaten wie Passwort oder E-Mail-Adresse. Werden Kartenbilder direkt von externen Bildservern im Browser dargestellt oder externe Produktseiten geöffnet, stellt das Endgerät technisch bedingt eine Verbindung zum jeweiligen Anbieter her. Dabei können insbesondere IP-Adresse, Browserinformationen, Zeitpunkt und die angeforderte Ressource verarbeitet werden.

Diese Verarbeitung dient der Bereitstellung von Kartendaten, Vorschaubildern und Preisfunktionen auf Grundlage von Art. 6 Abs. 1 lit. b und – für den wirtschaftlichen, sicheren und aktuellen Betrieb des Katalogs – ergänzend Art. 6 Abs. 1 lit. f DSGVO.

Kommunikation zwischen Mitgliedern

Bei Nutzung der Community-Funktionen verarbeitet PosakaX Freundschaftsanfragen und -beziehungen, ausdrücklich freigegebene Ordner bzw. Sammlungsinformationen, Direktnachrichten, Tausch- und Kaufanfragen, Angebotsdaten, Statusinformationen sowie die für eine Übergabe oder Abstimmung erforderlichen Nachrichten und Zeitpunkte.

Diese Inhalte werden den jeweils beteiligten Mitgliedern entsprechend der gewählten Funktion angezeigt. Die Verarbeitung erfolgt zur Erfüllung der vom Mitglied angeforderten Community-, Kommunikations- und Tauschfunktionen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Maßnahmen gegen Missbrauch, Belästigung oder unzulässige Inhalte beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO.

Meldungen an Administration und Moderation

Mitglieder können Probleme, Nutzer oder Chats melden. Dabei werden die vom Mitglied übermittelten Angaben, gegebenenfalls Bezug zu betroffenen Konten, Unterhaltungen oder Nachrichten, Bearbeitungsstatus, interne Bearbeitungshinweise und Antworten verarbeitet. Diese Daten werden ausschließlich im Rahmen der Administration, Moderation, Fehlerbehebung und Missbrauchsprävention verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Bearbeitung zur Bereitstellung des Dienstes gehört, sowie Art. 6 Abs. 1 lit. f DSGVO aufgrund des berechtigten Interesses an einem sicheren und regelkonformen Mitgliederbereich.

Optionale Hinweise auf neue Aktivitäten

Push-Benachrichtigungen sind optional und werden nur nach ausdrücklicher Aktivierung am jeweiligen Gerät eingerichtet. PosakaX speichert dafür unter anderem die technische Push-Endpunktadresse, kryptografische Schlüssel, eine Gerätekennung bzw. Gerätebezeichnung, Browserkennung, Aktivstatus und die gewählten Benachrichtigungseinstellungen.

Für die Zustellung wird die Push-Infrastruktur des verwendeten Browsers oder Betriebssystems genutzt. Dadurch erhält der jeweilige Push-Anbieter technisch notwendige Zustellinformationen. Die PosakaX-Implementierung verwendet den externen Push-Dienst im Wesentlichen als Wecksignal; die konkrete Benachrichtigung wird anschließend aus PosakaX abgerufen. Die Push-Einwilligung kann jederzeit in den PosakaX-Einstellungen sowie zusätzlich in den Browser- oder Geräteeinstellungen widerrufen werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Der Widerruf wirkt für die Zukunft und berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.

Wer Daten erhalten kann

Personenbezogene Daten werden nur weitergegeben, wenn dies für die jeweilige Funktion erforderlich ist, eine gesetzliche Verpflichtung besteht oder eine andere Rechtsgrundlage dies erlaubt. Typische Empfänger können der Hosting- und E-Mail-Anbieter, technische Dienstleister, Browser-/Push-Infrastrukturen sowie – bei ausdrücklich genutzten Community-Funktionen – andere beteiligte PosakaX-Mitglieder sein. Beim Newsletter erhält die eingesetzte E-Mail-Infrastruktur insbesondere die Empfängeradresse und die für die Zustellung erforderlichen Nachrichtendaten.

Externe Karten- und Preisdienste erhalten grundsätzlich nur die für die jeweilige Kartenabfrage erforderlichen Informationen. Soweit Dienstleister personenbezogene Daten im Auftrag verarbeiten, werden die datenschutzrechtlich erforderlichen Vereinbarungen eingesetzt.

Mögliche Verarbeitung außerhalb EU/EWR

Einzelne externe Bibliotheks-, Karten-, Bild- oder Push-Dienste können Infrastruktur außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums einsetzen. In diesen Fällen kann eine Übermittlung technischer Daten in Drittstaaten nicht ausgeschlossen werden. Soweit erforderlich, stützt sich eine solche Übermittlung auf einen Angemessenheitsbeschluss, geeignete Garantien wie EU-Standardvertragsklauseln oder eine andere nach der DSGVO zulässige Grundlage.

Wie lange Daten gespeichert werden

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie sie für den jeweiligen Zweck erforderlich sind oder gesetzliche Aufbewahrungspflichten bestehen. Kontodaten und zugehörige Sammlungsdaten werden grundsätzlich für die Dauer der Mitgliedschaft verarbeitet. Zeitlich begrenzte Einladungs-, Passwort-Reset- und Newsletter-Bestätigungstoken verlieren nach Ablauf bzw. Nutzung ihre Funktion. Nicht bestätigte Newsletter-Vormerkungen werden nicht beschickt und veraltete Vormerkungen regelmäßig bereinigt. Abmeldestatus und erforderliche Versandnachweise können zur Vermeidung unerwünschter weiterer Zusendungen und zur Dokumentation des Einwilligungsprozesses fortbestehen. Push-Abonnements werden bei Deaktivierung bzw. Kontolöschung beendet oder deaktiviert.

Bei Löschanfragen werden Daten gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten, Sicherheitsinteressen, noch laufende Vorgänge oder die Geltendmachung, Ausübung bzw. Verteidigung von Rechtsansprüchen entgegenstehen.

Auskunft, Berichtigung, Löschung und weitere Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen bestehen insbesondere Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO). Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.

Zur Ausübung dieser Rechte genügt eine Nachricht an info@posakax.de. Zum Schutz der Daten kann vor Auskunft oder Änderung ein geeigneter Identitätsnachweis erforderlich sein.

Zuständige Datenschutzaufsicht

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für den nichtöffentlichen Bereich in Bayern ist insbesondere folgende Behörde zuständig:

Technische und organisatorische Maßnahmen

PosakaX setzt angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten gegen Verlust, Manipulation und unbefugten Zugriff zu schützen. Dazu gehören unter anderem verschlüsselte HTTPS-Übertragung, gehashte Passwörter, CSRF-Schutz, rollenbasierte Zugriffe, private Bildspeicher und die Begrenzung sicherheitskritischer Anfragen.

Diese Datenschutzerklärung wird angepasst, wenn Funktionen, Anbieter oder Verarbeitungsprozesse geändert werden. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.