Datenschutzerklärung

Stand: 02.11.2026. Diese Erklärung gilt für die Anwendung unter app.tcgfuchs.de. Für die Webseite tcgfuchs.de gilt eine eigene.

1. Verantwortlicher

RubyFox.TCG GbR, Randstraße 1, 22525 Hamburg, E-Mail: ruby@tcgfuchs.de.

2. Der Grundsatz: Eure Geschäftsdaten bleiben bei euch

TCG-Fuchs speichert Bestand, Kunden, Belege, Angebote und Anhänge in einem Ordner auf eurem eigenen Rechner. Die Einträge werden dort verschlüsselt abgelegt. Den vollen Schutz habt ihr nur mit einem eigenen Sicherheitswort, sonst liegt der Schlüssel im selben Ordner. Sicherungsdateien sind nur verschlüsselt, wenn ihr ein eigenes Sicherheitswort vergeben habt. Bewahrt sie so auf, dass Fremde nicht herankommen. Diese Daten werden nicht an uns übertragen, und wir haben keinen Zugriff darauf. Wir sehen weder eure Kunden noch eure Umsätze. Das gilt auch für Fotos und Belege.

3. Konto und Lizenz

Für die Anmeldung verarbeiten wir E-Mail-Adresse, ein verschlüsseltes Passwort, den Namen und das Kürzel eures Betriebs, das gebuchte Paket und die Laufzeit der Lizenz. Zweck ist die Erfüllung des Lizenzvertrags (Art. 6 Abs. 1 lit. b DSGVO). Gespeichert wird das bei unserem Auftragsverarbeiter Supabase (Supabase, Inc.) auf Servern in der EU (Frankfurt am Main). Nach Ende der Lizenz löschen wir das Konto, soweit keine Aufbewahrungspflicht entgegensteht.

4. Lizenzprüfung

Die Anwendung fragt regelmäßig, ob die Lizenz noch gilt. Dabei übermitteln wir eine zufällige Kennung je Browser, das Paket und den Zeitpunkt, keine Geschäftsdaten. Eure IP-Adresse speichern wir dabei nicht. Technisch bedingt sieht sie der Server unseres Anbieters Supabase beim Abruf. Damit eine Lizenz nur für eine Firma gilt, übermitteln wir außerdem einen nicht umkehrbaren Fingerabdruck (SHA-256) eurer Firmendaten. Firmenname, Inhaber und Steuerkennung selbst verlassen euren Rechner nicht. Die Einträge dienen dazu, Mehrfachnutzung einer Lizenz zu erkennen (Art. 6 Abs. 1 lit. b und f DSGVO), und werden nach 90 Tagen gelöscht.

5. Die Ansicht ohne Anmeldung

Die Demo läuft vollständig im Arbeitsspeicher eures Geräts. Die gezeigten Zahlen, Namen und Belege sind frei erfunden. Nichts davon wird gespeichert oder an uns übertragen; mit dem Neuladen ist alles fort. Das gilt auch für Fotos, die ihr in der Demo anhängt.

6. Bewerbung als Tester

Schickt ihr uns das Formular „Als Tester bewerben“, verarbeiten wir die Angaben, die ihr macht: Name und E-Mail-Adresse und ob ein Gewerbe angemeldet ist (Pflicht), auf Wunsch Betrieb, Telefonnummer, gehandelte Spiele, ungefährer Umfang und Bestand, eure Verkaufswege, die Art der Umsatzbesteuerung, womit ihr heute arbeitet, und eure Nachricht. Die Angaben zum Betrieb helfen uns, Testerinnen und Tester auszuwählen, zu denen TCG-Fuchs passt. Zweck ist allein, euch wegen der Testphase zu antworten (Art. 6 Abs. 1 lit. b DSGVO). Die Angaben landen in unserer Datenbank bei Supabase (EU) und gehen als E-Mail an unser Postfach bei der InterNetX GmbH (INWX). Wir geben sie nicht weiter und nutzen sie nicht für Werbung. Wir löschen sie, sobald die Testphase abgeschlossen ist oder ihr uns schreibt — eine formlose Mail an ruby@tcgfuchs.de genügt.

Zum Schutz vor missbräuchlichen Masseneinsendungen speichern wir zusätzlich einen gesalzenen Hashwert eurer IP-Adresse, aus dem sich die Adresse nicht zurückrechnen lässt (Art. 6 Abs. 1 lit. f DSGVO). Er wird nach 30 Tagen gelöscht.

7. Kartensuche und Kartenbilder

Sucht ihr eine Karte, ruft die Anwendung Kartenlisten von daten.tcgfuchs.de ab (ausgeliefert über Cloudflare). Kartendetails und Vorschaubilder lädt euer Browser direkt von den Quellen des jeweiligen Spiels, zum Beispiel TCGdex, Scryfall, pokemontcg.io, YGOPRODeck, TCGplayer, Lorcast und weiteren Kartendatenbanken. Manche Bilder liegen bei Speicherdiensten von Amazon (AWS) oder Google. Dabei wird technisch bedingt eure IP-Adresse an den jeweiligen Server übertragen. Einige dieser Anbieter sitzen in den USA, also außerhalb der EU. Wir haben keinen Einfluss darauf, was diese Anbieter mit der IP-Adresse tun. Rechtsgrundlage ist unser berechtigtes Interesse, euch Karten erkennbar anzuzeigen (Art. 6 Abs. 1 lit. f DSGVO). Die Bilder werden nur angezeigt, nicht gespeichert. Was ihr sucht, speichern wir nicht. Links zu Cardmarket öffnen sich erst, wenn ihr sie anklickt.

7a. Wechselkurse

Rechnet ihr einen Betrag aus einer fremden Währung um, kann die Anwendung den Tageskurs bei der Europäischen Zentralbank abrufen (data-api.ecb.europa.eu). Dabei wird technisch bedingt eure IP-Adresse an die EZB übertragen. Weitere Daten gehen nicht hinaus.

7b. Ankaufsanfragen abholen

Nutzt ihr ein eigenes Anfrageformular auf eurer Webseite, kann TCG-Fuchs die Anfragen samt Fotos abholen. Die Anwendung verbindet sich dafür mit der Adresse und dem Schlüssel, die ihr eintragt. Die Anfragen gehen direkt in euren Datenordner. Wir sind an dieser Übertragung nicht beteiligt und sehen die Daten nicht. Für die Daten eurer Kunden seid ihr verantwortlich. Dazu gehört auch, eure Kunden auf eurer Webseite über die Verarbeitung zu informieren.

8. Google Drive und Gmail

Nur wenn ihr es ausdrücklich verbindet, nutzt TCG-Fuchs euer eigenes Google-Konto. Die Verbindung läuft direkt zwischen eurem Browser und Google. Wir sind daran nicht beteiligt und sehen weder Fotos noch Nachrichten. Der Zugangsschlüssel von Google liegt nur im Arbeitsspeicher eures Browsers, gilt höchstens eine Stunde und wird nicht gespeichert.

Google Drive. TCG-Fuchs bekommt nur Zugriff auf Dateien, die es selbst in eurem Drive angelegt hat. Euer übriges Drive sieht es nicht. Es nutzt Drive für zwei Dinge:

• Artikelfotos für eBay und Whatnot: Beim Export eurer Angebote legt TCG-Fuchs das Foto in den Ordner „TCG-Fuchs Whatnot-Bilder“ und gibt es per Link für jeden frei, der den Link kennt. Diesen Link brauchen eBay und Whatnot, um das Bild zu zeigen. Vor dem Hochladen zeichnet TCG-Fuchs das Foto neu, dabei fallen Angaben wie der Aufnahmeort weg. Der Dateiname besteht nur aus Artikelnummer und laufender Nummer. Preise, Kunden und Belege gehen nicht hinaus. Fotografiert nur die Karte, ohne Personen, Anschriften oder anderes Persönliches im Bild. Ist eine Karte verkauft, löscht TCG-Fuchs ihre Fotos in Drive beim nächsten Export. Sofort geht es mit dem Knopf „Fotos verkaufter Karten jetzt aus Drive löschen“. Auf eurem Rechner bleiben sie.
• Handy-Eingang: Fotos von Artikeln und Belegen, die ihr mit dem Handy aufnehmt, liegen im Ordner „TCG-Fuchs Foto-Eingang“. Sie werden nie freigegeben. Nach dem Übernehmen löscht TCG-Fuchs sie in Drive. Stehen auf einem Beleg Namen oder Anschriften eurer Kunden, liegen diese Daten bis zum Übernehmen bei Google. Dafür seid ihr verantwortlich. Wir empfehlen ein Google-Geschäftskonto (Workspace) mit Vereinbarung zur Auftragsverarbeitung.

Gmail. TCG-Fuchs versendet E-Mails, die ihr selbst auslöst, über euer Gmail-Konto. Es darf nur senden, nicht lesen.

Die Verbindung trennt ihr in TCG-Fuchs mit „Trennen“. Den Zugriff ganz entziehen könnt ihr in eurem Google-Konto unter „Sicherheit“ → „Drittanbieter-Apps mit Kontozugriff“. Für die Daten, die bei Google liegen, gilt die Datenschutzerklärung von Google. In der Demo ist beides gesperrt.

Die Nutzung von Informationen aus Google-APIs durch TCG-Fuchs entspricht der Richtlinie „Google API Services User Data Policy“, einschließlich der Vorgaben zur eingeschränkten Nutzung („Limited Use“).

9. Speicherung im Browser

Die Anwendung merkt sich in eurem Browser technisch notwendige Angaben: die Sitzung, die Erscheinungseinstellungen, den zuletzt genutzten Datenordner und die zufällige Gerätekennung. Das ist für den Betrieb erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Wir setzen keine Cookies zu Werbe- oder Analysezwecken und binden keine Analysedienste ein.

10. Eure Rechte

Ihr habt das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Wendet euch dafür an ruby@tcgfuchs.de. Außerdem könnt ihr euch bei einer Datenschutz-Aufsichtsbehörde beschweren, für uns zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

11. Auftragsverarbeiter

Supabase, Inc. (Datenbank und Serverfunktionen, Server in der EU), Cloudflare, Inc. (Auslieferung der Anwendung und der Kartenlisten) und InterNetX GmbH (E-Mail-Postfach). Mit ihnen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Supabase und Cloudflare sind Unternehmen mit Sitz in den USA. Für eine Übermittlung in die USA gelten die Garantien aus den Verträgen zur Auftragsverarbeitung.