Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Andreas Härtel · Rheinstrasse 2, 64319 Pfungstadt · E-Mail: support@lumex-tcg.de

2. Welche Daten wir verarbeiten

Konto & Mandant: Bei der Registrierung verarbeiten wir deine E-Mail-Adresse und ein (gehasht gespeichertes) Passwort (Art. 6 Abs. 1 lit. b DSGVO). Lumex Pro ist mandantengetrennt (Row-Level Security) — jeder Händler-Account sieht ausschließlich seine eigenen Daten.

Karten-Scans: Beim Hochladen eines Scan-Batches verarbeiten wir die von dir hochgeladenen Kartenfotos, um sie automatisch zu erkennen (serverseitiger Hash-Abgleich gegen unsere Kartendatenbank — keine Übermittlung an einen externen KI-Dienstleister). Gespeichert werden dabei sowohl dein Originalfoto als auch eine daraus erzeugte, komprimierte Vorschaukopie für den Prüfbildschirm; beide liegen mandanten-isoliert. Ein täglicher, automatisierter Lauf prüft, ob ein Foto seit mehr als 28 Tagen gespeichert ist, und löscht es dann beim nächsten Durchlauf — unabhängig vom Kontostatus und unabhängig davon, ob du den zugehörigen Scan-Batch zwischenzeitlich schon gelöscht hast. Im Regelbetrieb heißt das: Beide Kopien sind spätestens 30 Tage nach dem Upload gelöscht (Art. 5 Abs. 1 lit. c/e DSGVO); erkannte Karten-/Preisdaten bleiben davon unberührt.

Staging & Preisdaten: Erkannte Karten, Zustand, Sprache und die daraus abgeleiteten Listing-/Preisdaten verarbeiten wir, um dir den Export-Workflow bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung).

Server-Logs: Beim Aufruf der Seite werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, User-Agent) durch unseren Hosting-Dienstleister verarbeitet (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an Betrieb und Sicherheit).

3. Auftragsverarbeiter / Hosting

Vercel: Das Hosting der Web-App erfolgt über Vercel (Region eu-west-1). Mit Vercel besteht ein Auftragsverarbeitungsvertrag. Vercel Inc. hat seinen Sitz in den USA; Kontroll- und Supportdaten können dort verarbeitet werden. Der Transfer ist über das EU-U.S. Data Privacy Framework sowie EU-Standardvertragsklauseln abgesichert.

Vercel Web Analytics & Speed Insights: Erfasst aggregierte, cookie-lose Zugriffs- und Performance-Daten (u. a. aufgerufene Seiten, Ladezeiten) ohne seitenübergreifende Nutzerverfolgung; im lokalen Entwicklungsbetrieb inaktiv. Gleicher Auftragsverarbeitungsvertrag mit Vercel wie beim Hosting (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Betriebsoptimierung).

Supabase: Authentifizierung, Datenbank und der Storage für hochgeladene Scan-Bilder laufen über Supabase (Region EU, eu-west-1). Mit Supabase besteht ein Auftragsverarbeitungsvertrag, Row-Level-Security beschränkt den Zugriff auf deinen eigenen Mandanten.

Upstash: IP-basierte Ratenbegrenzung gegen Missbrauch (Redis). Deine IP-Adresse dient dabei als Zähler-Schlüssel mit Verfall nach Sekunden bis Minuten (Art. 6 Abs. 1 lit. f DSGVO).

Cloudflare: Bot-Schutz (Turnstile) für die öffentliche Demo (Abschnitt 8). Technische Daten, u. a. deine IP-Adresse, werden dabei an Cloudflare, Inc. (USA) übermittelt; Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert, zusätzlich bestehen EU-Standardvertragsklauseln und ein Auftragsverarbeitungsvertrag.

4. Cookies

Wir setzen ausschließlich technisch notwendige Cookies zur Verwaltung deiner Anmelde-Sitzung (Session). Es findet kein Tracking und keine Werbung statt.

5. Speicherdauer

Kontodaten und Staging-/Exportdaten werden gespeichert, bis du dein Konto löschst. Scan-Fotos (Original und Vorschaukopie) werden unabhängig vom Kontostatus automatisch gelöscht, sobald sie länger als 28 Tage gespeichert sind — der tägliche Prüflauf sorgt dafür, dass das spätestens 30 Tage nach dem Upload geschehen ist (siehe Abschnitt 2). Löschung auf Anfrage an support@lumex-tcg.de.

6. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht (Art. 21 DSGVO) und ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO). Wende dich dazu an support@lumex-tcg.de.

7. Externe Karteninhalte

Kartenbilder und Referenzdaten für den Abgleich stammen u. a. von Scryfall. Dabei kann deine IP-Adresse an diesen Anbieter übermittelt werden (Art. 6 Abs. 1 lit. f DSGVO).

8. Öffentliche Demo (/demo)

Auf /demo bieten wir eine kostenlose, zeitlich befristete Testversion von Lumex Pro ohne Registrierung an. Es gelten ergänzend zu den Abschnitten 2–6 die folgenden Besonderheiten.

Bot-Schutz (Cloudflare Turnstile): Vor dem Start einer Demo prüfen wir per Cloudflare Turnstile, ob ein Mensch zugreift. Dabei werden technische Daten, u. a. deine IP-Adresse und Geräte-/Browser-Informationen, an Cloudflare, Inc. (USA) übermittelt. Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert, zusätzlich bestehen EU-Standardvertragsklauseln und ein Auftragsverarbeitungsvertrag. Rechtsgrundlage ist unser berechtigtes Interesse an einer missbrauchssicheren Demo (Art. 6 Abs. 1 lit. f DSGVO). Zusätzlich begrenzen wir, wie viele Demo-Sitzungen von derselben IP-Adresse aus gestartet werden können (ebenfalls Art. 6 Abs. 1 lit. f DSGVO).

Deine Kartenfotos in der Demo: Wenn du eigene Fotos hochlädst, verarbeiten wir sie wie im echten Produkt (Abschnitt 2): automatischer, serverseitiger Bildabgleich mit unserem Kartenkatalog, keine Übermittlung an einen externen KI-Dienstleister, keine routinemäßige manuelle Durchsicht. Deine Uploads sind ausschließlich innerhalb deiner eigenen, isolierten Demo-Sitzung sichtbar. Rechtsgrundlage ist unser berechtigtes Interesse, dir einen echten Produkttest zu ermöglichen (Art. 6 Abs. 1 lit. f DSGVO). Bitte lade nur Fotos hoch, die du selbst gemacht hast und die ausschließlich die Karte zeigen.

Speicherdauer Demo: Alle Daten einer Demo-Sitzung — hochgeladene Fotos, erkannte Karten, Staging- und Listing-Daten sowie die temporäre Demo-Kennung — werden spätestens 24 Stunden nach Start der Demo automatisch und vollständig gelöscht (die Demo läuft 23 Stunden; ein stündlich laufender Aufräum-Prozess entfernt alle Sitzungen, deren 23-Stunden-Frist abgelaufen ist).