Wir fragen persönliche Daten erst ab, wenn wir sie brauchen.

Verantwortliche und Kontakt

Olivier Schildgen, 11 rue Belair, L-4713 Pétange, Luxemburg, ist für die Datenerfassung über die Website verantwortlich und unter hello@cardbuyer.eu erreichbar. Sobald ein Angebot den rechtlichen Käufer nennt, wird dieser für den Kaufablauf eigenständig Verantwortlicher. Name und Anschrift des Käufers stehen vor deiner Zustimmung im Angebot.

Wenn du ein Angebot anfragst

Wir erfassen deine E-Mail-Adresse, die gewünschte E-Mail-Sprache und deine Kartenliste, um die Karten zu prüfen und dir ein Angebot zu senden. Anschrift oder Zahlungsdaten brauchen wir jetzt noch nicht.

Importierte CSV-Dateien werden in deinem Browser gelesen und nicht gespeichert. Wenn du einen Entwurf speicherst, liegen die ausgewählten Karten hinter einem privaten, nicht erratbaren Link und werden nach 31 Tagen Inaktivität gelöscht. Sammlungsanfragen können Nachricht, Kontaktdaten und bis zu acht Fotos enthalten; sie bleiben in geschütztem Speicher und werden 31 Tage nach Abschluss oder Inaktivität gelöscht.

Wenn du eine Bulk-Anfrage sendest, erfassen wir deine E-Mail-Adresse, die E-Mail-Sprache, deine Kartenzahlen pro Sprache, deine Angabe zum Anteil an Energiekarten und, falls du sie hinzufügst, eine Nachricht und bis zu drei Fotos. Wir nutzen diese Daten, um deine Anfrage zu beantworten und einen Preis zu erstellen. Das sind Schritte vor einem Vertrag auf deine Anfrage (Art. 6 Abs. 1 lit. b DSGVO). Eine Bulk-Anfrage und ihre Fotos bleiben wie andere Anfragen in geschütztem Speicher und werden 31 Tage nach Abschluss oder Inaktivität gelöscht.

Nach deiner Zustimmung

Wir erfassen Name, Anschrift, Zustimmungsnachweis und nur die Angaben, die für deine gewählte Auszahlung nötig sind. Außerdem speichern wir Angebot, Antworten, Prüfergebnis, Kaufnachweis und Zahlungshistorie, um den Kauf durchzuführen und zu dokumentieren.

Zwecke und Rechtsgrundlagen

Wir verarbeiten Angebotsanfragen, Kommunikation und den Kaufablauf, um auf deine Anfrage hin vorvertragliche Schritte durchzuführen und den Kaufvertrag zu erfüllen (Art. 6 Abs. 1 Buchst. b DSGVO). Rechnungen, Kaufnachweise und Zahlungsbelege bewahren wir zur Erfüllung gesetzlicher Pflichten auf (Buchst. c). Sicherheitsprotokolle, Betrugsprävention, Verbesserung des Dienstes und cookielose Reichweitenmessung beruhen auf unserem berechtigten Interesse an einem sicheren und nützlichen Dienst (Buchst. f). Pflichtangaben sind für Anfrage oder Vertrag erforderlich; ohne sie können wir kein Angebot erstellen oder einen angenommenen Ankauf abschließen.

Empfänger und Auftragsverarbeiter

Hetzner hostet den Dienst und seine Daten. Ein beauftragter SMTP-/E-Mail-Anbieter stellt Transaktionsnachrichten zu. DHL erhält die für Label und Tracking erforderlichen Versanddaten. PayPal erhält Auszahlungsdaten nur, wenn du PayPal auswählst. Umami Software, Inc. verarbeitet in unserem Auftrag anonyme Nutzungsdaten der Website als Auftragsverarbeiter (siehe „Anonyme Reichweitenmessung“). Im Übrigen ist der Zugriff auf den genannten Käufer und die für den Betrieb erforderlichen Personen beschränkt.

Übermittlungen außerhalb des EWR

PayPal kann personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Laut PayPals Datenschutzhinweisen nutzt PayPal dafür anwendbare Garantien wie Angemessenheitsbeschlüsse, genehmigte Standardvertragsklauseln oder andere gesetzlich anerkannte Übermittlungsmechanismen. Wähle die Banküberweisung, wenn PayPal für deine Auszahlung nicht eingesetzt werden soll.

Unser Anbieter für die Reichweitenmessung, Umami Software, Inc., hat seinen Sitz in den USA; dort kann eine Verarbeitung stattfinden. Diese Übermittlungen sind durch die EU-Standardvertragsklauseln (Art. 46 Abs. 2 Buchst. c DSGVO) im Rahmen unseres Auftragsverarbeitungsvertrags mit Umami abgesichert.

Private Auftragslinks

Dein Link wird für diesen Auftrag erstellt und bei jeder Antwort geprüft. Nach der Eingabe werden persönliche und Zahlungsdaten dort nicht erneut angezeigt. Unsere interne Marktrecherche und Referenzpreise sind darüber nicht sichtbar.

Anonyme Reichweitenmessung

Wir nutzen Umami Cloud der Umami Software, Inc., 1362 42nd Ave., San Francisco, CA 94122, USA, um Seitenaufrufe und die Nutzung des Angebotsablaufs zu verstehen. Umami ist unser Auftragsverarbeiter nach Art. 28 DSGVO. Die Messung verwendet keine Cookies, kein seitenübergreifendes Tracking und keine Kennungen im lokalen Speicher deines Browsers. Beim Laden einer Seite ruft dein Browser das Messskript von cloud.umami.is ab und sendet Daten an gateway.umami.is; die Server von Umami erhalten dabei als Teil der Verbindung deine IP-Adresse und deine Browserkennung. Die IP-Adresse wird nur vorübergehend verarbeitet, um eine anonyme Sitzungskennung und den ungefähren Standort abzuleiten, und nicht als solche gespeichert. Die Server von Umami stehen in den USA und in der EU; Umami setzt Unterauftragsverarbeiter ein, darunter Unternehmen mit Sitz in den USA.

Das Skript sendet den öffentlichen Pfad ohne Suchparameter, den Seitentitel und bei Ereignissen die verweisende Seite, die Bildschirmgröße und die Browsersprache; aus der Verbindung leitet Umami Browser, Betriebssystem, Gerätetyp und den ungefähren Standort (Land und Region) ab. Unsere Ereignisse enthalten einen festen Ereignisnamen, die Sprache der Website, die Geräteklasse, eine kontrollierte Herkunftsangabe und, soweit zutreffend, die Zahl der Kartenzeilen, das Importformat (CSV oder Text) oder die Art der Anfrage. Für wichtige Schritte im Angebotsablauf (zum Beispiel wenn ein Angebot geöffnet oder eine Zahlung abgeschlossen wird) sendet unser Server außerdem ein Ereignis, das nur Sprache, Geräteklasse, Herkunftsangabe, die Zahl der Kartenzeilen und einen aggregierten Referenzwert enthält. Wir senden keine E-Mail-Adressen, Namen, Auftragsnummern, privaten Angebotslinks oder Zahlungsdaten an Umami. Anonyme Analysedaten werden nach 6 Monaten gelöscht.

Du kannst die Messung verhindern, indem du Skripte von cloud.umami.is blockierst, etwa mit einem Inhaltsblocker, oder indem du widersprichst, wie unter „Deine Rechte und Beschwerde“ beschrieben.

Serverprotokolle und Speicherdauer

Sicherheits- und Serverprotokolle enthalten technische Anfragedaten wie Zeitpunkt, Pfad, Status, IP-Adresse und Browserkennung und bleiben nur so lange gespeichert, wie sie für Sicherheit und Fehlerdiagnose benötigt werden. Abgeschlossene Kaufunterlagen bleiben für die gesetzliche Aufbewahrungsfrist des Käufers erhalten. Bei aufgegebenen Aufträgen und Ergebnissen ohne Kauf werden persönliche Daten 31 Tage nach dem Ende entfernt; nur ein anonymisierter Betriebsnachweis bleibt. Anonyme Umami-Daten werden nach 6 Monaten gelöscht.

Deine Rechte und Beschwerde

Unter den gesetzlichen Voraussetzungen kannst du nach Art. 15–21 DSGVO Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit verlangen oder der Verarbeitung widersprechen. Einer Verarbeitung auf Grundlage unseres berechtigten Interesses, auch der Reichweitenmessung, kannst du jederzeit widersprechen (Art. 21 DSGVO). Du kannst dich außerdem bei der luxemburgischen Commission nationale pour la protection des données (CNPD), 15 Boulevard du Jazz, L-4370 Belvaux, Luxemburg, cnpd.public.lu, beschweren. Schreib zur Ausübung eines Rechts an hello@cardbuyer.eu; nenne bei Bedarf die kurze Auftragsreferenz, aber sende niemals Zahlungsdaten per E-Mail.