Platzhalter-Text. Dieser Inhalt ist ein Stub für den technischen Live-Betrieb. Er ist nicht anwaltlich geprüft und enthält Platzhalter (gelb markiert), die vor der echten Veröffentlichung durch verbindliche AMAKA-GmbH-Daten ersetzt werden müssen. Bis dahin gilt der noindex-Tag und kein produktiver Verkauf.

Datenschutzerklärung

Stand: 24. Mai 2026

Diese Datenschutzerklärung informiert Sie über die Verarbeitung personenbezogener Daten beim Besuch unserer Website sowie bei Nutzung unserer mobilen Apps (iOS, Android), unserer Live-Auktionen und unseres Newsletters. Verbindlich ist die deutsche Fassung; Übersetzungen dienen ausschließlich der besseren Verständlichkeit.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

AMAKA GmbH (i.G.) [Anschrift gemäß Impressum] E-Mail: datenschutz@amaka-restposten.de Telefon: [gemäß Impressum]

Geschäftsführer: [Name] Eintragung: Amtsgericht […], HRB […] (in Gründung) USt-IdNr.: […]

Hinweis (Entwurfsphase): Solange die Eintragung ins Handelsregister nicht abgeschlossen ist, tritt die Gesellschaft als „GmbH i.G." auf. Diese Erklärung wird mit Eintragung aktualisiert.

2. Datenschutzbeauftragter

Wir haben einen Datenschutzbeauftragten benannt:

[Name / Kanzlei] [Anschrift] E-Mail: dsb@amaka-restposten.de

3. Allgemeines zur Verarbeitung

3.1 Rechtsgrundlagen

Wir stützen Verarbeitungen auf folgende Rechtsgrundlagen:

Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z. B. Newsletter, optionale Analytics, Push, nicht-essentielle Cookies)
Art. 6 Abs. 1 lit. b DSGVO — Vertrag bzw. vorvertragliche Maßnahmen (Konto, Bestellung, Auktion, Versand)
Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtungen (insbesondere HGB, AO, § 14 UStG)
Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (IT-Sicherheit, Fraud-Prävention, Direktwerbung in den Grenzen des § 7 Abs. 3 UWG)
§ 25 Abs. 1 TTDSG — Einwilligung in das Speichern/Auslesen von Informationen auf Endgeräten
§ 25 Abs. 2 TTDSG — unbedingt erforderliche Speicherung ohne Einwilligung

3.2 Löschung und Speicherdauer

Wir löschen personenbezogene Daten, sobald der Verarbeitungszweck entfällt — sofern keine gesetzliche Aufbewahrungspflicht (insb. §§ 257 HGB, 147 AO) entgegensteht. Konkrete Fristen finden Sie in Abschnitt 27 („Retention").

3.3 Drittlandtransfer

Übermittlungen außerhalb des EWR erfolgen ausschließlich auf Grundlage eines Angemessenheitsbeschlusses, der EU-Standardvertragsklauseln samt Transfer-Impact-Assessment oder Ihrer ausdrücklichen Einwilligung.

4. Hosting, Server-Logs, Sicherheit

4.1 Hosting

Unsere Plattform wird auf einem dedizierten Server bei der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, in einem deutschen Rechenzentrum betrieben. DNS, CDN, WAF und Bot-Schutz werden über Cloudflare, Inc. (USA) bereitgestellt.

4.2 Server-Logs

Beim Aufruf der Plattform speichert der Webserver: IP-Adresse (nach 7 Tagen gekürzt), Datum/Uhrzeit, HTTP-Statuscode, übertragene Datenmenge, Referrer, User-Agent.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 7 Tage (Detail), 30 Tage (Aggregate).

4.3 TLS / Sicherheit

Sämtliche Verbindungen sind TLS-verschlüsselt (TLS 1.2/1.3). Wir setzen Helmet-Security-Header, HSTS, eine Web Application Firewall, Rate-Limits und Bot-Protection ein. Backups werden vor dem Versand clientseitig verschlüsselt (Restic), Sentry-Berichte automatisch von PII (Cookies, Authorization, Passwörter, Tokens, IBAN/BIC) befreit.

5. Kontoregistrierung und Authentifizierung

5.1 Kundenkonto

Für Käufe und Auktionsteilnahme legen Sie ein Konto an. Verarbeitet werden E-Mail, Name, Anschrift, ggf. Telefon und Geburtsdatum.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Dauer der Kundenbeziehung + gesetzliche Aufbewahrung.

5.2 Magic-Link-Login

Wir verwenden eine passwortlose Anmeldung. Verarbeitet werden E-Mail-Adresse, IP, User-Agent, ein HMAC-gehashter Einmal-Token (nicht der Token selbst). Tokens laufen nach 15 Minuten oder mit Einlösung ab. Audit-Logs werden 90 Tage vorgehalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b, lit. f DSGVO. Bot-Schutz über Cloudflare Turnstile.

5.3 Apple Sign-In

Anmeldung über Apple-ID. Verarbeitet werden Apple-Subject (pseudonyme ID), E-Mail oder Apple-Relay-E-Mail (auf Ihren Wunsch verborgen), Name (nur wenn freigegeben). Anbieter: Apple Inc., USA — EU-US Data Privacy Framework + SCC.

5.4 Google Sign-In

Anmeldung über Google-Konto. Verarbeitet werden Google-Subject, E-Mail, ggf. Name und Profilbild. Anbieter: Google Ireland Limited / Google LLC (USA) — DPF + SCC.

5.5 Sessions / JWT

Nach Login erhalten Sie ein signiertes JSON-Web-Token (JWT) und ein Session-Cookie. Beide sind unbedingt erforderlich i. S. v. § 25 Abs. 2 Nr. 2 TTDSG.

6. Bestell- und Zahlungsabwicklung

6.1 Bestelldaten

Bei einer Bestellung verarbeiten wir gekaufte Artikel, Versandadresse, Preise, Liefermenge, Status, Stornos und Bewertungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO. Speicherdauer: 6 Jahre handelsrechtlich (§ 257 HGB), 10 Jahre steuerrechtlich (§ 147 AO).

6.2 Stripe (Kreditkarte, SEPA, Apple Pay, Google Pay)

Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland. Stripe verarbeitet IBAN und Kartendaten als PCI-DSS-Level-1-zertifiziertes Unternehmen — wir selbst speichern keine vollständigen Kartendaten. Stripe nutzt zur Betrugserkennung („Radar") IP, Gerätesignaturen, Verhaltensmuster und Risk-Score.

Datenschutz Stripe: https://stripe.com/de/privacy

6.3 PayPal

PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg. PayPal kann eine eigene Bonitätsprüfung durchführen.

6.4 Klarna (Rechnungskauf, Ratenzahlung, Sofort)

Klarna Bank AB (publ.), Sveavägen 46, 111 34 Stockholm, Schweden. Bei Rechnungs-/Ratenkauf kann Klarna eine SCHUFA-Auskunft einholen (§ 31 BDSG, Art. 6 Abs. 1 lit. f DSGVO). Sie willigen hierin ausdrücklich im Checkout ein.

Datenschutz Klarna: https://www.klarna.com/de/datenschutz/

6.5 SEPA-Lastschrift

Bei SEPA-Lastschrift verarbeiten wir IBAN, ggf. BIC, Kontoinhaber, Mandatsreferenz und Zahlungsdetails über Stripe als technischen Dienstleister.

6.6 Rechnungsstellung

Rechnungen werden gemäß den GoBD-Anforderungen unveränderbar und lückenlos nummeriert erstellt. Aufbewahrung 10 Jahre.

7. Auktionen und Zahlungs-Gating

7.1 Voraussetzungen

Live-Auktionen erfordern ein verifiziertes Konto, mindestens eine hinterlegte Zahlungsmethode und einen eingeloggten Zustand auf einem registrierten Gerät.

7.2 Automatische Belastung bei Höchstgebot

Mit Abgabe eines Gebots autorisieren Sie uns, im Zuschlagsfall den Auktionspreis zzgl. Versandkosten unmittelbar von der hinterlegten Zahlungsmethode einzuziehen (Stripe Off-Session-Charge, PayPal Reference-Transaction, SEPA-COR1-Mandat). Höchstgebote sind nach §§ 145 ff. BGB verbindlich.

7.3 Fraud-Scoring

Zur Echtzeit-Absicherung werten wir Gebotsmuster, Geräte-/IP-Konsistenz, Verbindungen zwischen Konten (Graph-Fraud-Engine), Stripe-Radar-Score, Cloudflare Bot-Score sowie App-Attest-/Play-Integrity-Token aus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Keine ausschließlich automatisierte Entscheidung i. S. v. Art. 22 DSGVO — bei substantiierten Verdachtsfällen entscheidet stets ein Mitarbeiter. Sie können das Ergebnis erläutern lassen und Ihre Sicht darlegen.

8. Versand- und Logistikdaten

An Versanddienstleister (DHL, DPD, weitere — siehe Abschnitt 28) übermitteln wir Name, Lieferanschrift, ggf. Telefon/E-Mail für Track-and-Trace.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Mobile App — Berechtigungen

| Berechtigung | Zweck | Pflicht / Optional | |---|---|---| | Push-Benachrichtigungen | Auktions-Updates, Liefer- und Sicherheitsmeldungen | Optional, jederzeit widerrufbar | | Kamera | Foto-Uploads (Bewertungen, Reklamationen), Barcode-Scan | Optional | | Fotomediathek | Auswahl bestehender Bilder | Optional | | Mikrofon | Sprach-Reaktionen in Live-Streams (falls aktiv) | Optional | | Standort | wird derzeit nicht verarbeitet | — | | Face-/Touch-ID | komfortabler Login | Optional |

9.1 Geräteintegrität (App Attest / Play Integrity)

Wir prüfen die Integrität der App-Installation, um modifizierte / emulierte Installationen (Bot-Farmen, Jailbreak) zu erkennen. Verarbeitet wird ein anonymer Attest-Token; ein Personenprofil entsteht nicht.

Anbieter: Apple Inc. (USA), Google Ireland Limited (Play Integrity). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

9.2 Push-Benachrichtigungen

Push erfolgt über Apple Push Notification Service (APNs) und Firebase Cloud Messaging (FCM) über Google Ireland Limited. Verarbeitet werden Push-Token, Versandzeit und Zustellstatus. Wir tracken keine Push-Klicks, sofern Sie hierzu nicht ausdrücklich einwilligen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TTDSG. Widerruf jederzeit in den Geräte-Einstellungen oder im Consent-Center der App.

10. Firebase (Push, Crashlytics, Performance, Remote Config)

| Dienst | Zweck | Daten | Rechtsgrundlage | |---|---|---|---| | Cloud Messaging (FCM) | Push-Versand | Device-Token, Push-Inhalt | Art. 6 Abs. 1 lit. a | | Crashlytics | Absturzberichte | Stacktrace, OS-/App-Version (KEINE Nutzer-IDs ohne Consent) | Art. 6 Abs. 1 lit. f | | Performance Monitoring | App-Start, Netzwerklatenzen | aggregierte Metriken | Art. 6 Abs. 1 lit. a (Consent) | | Remote Config | Feature-Flags / A/B | anonyme Installations-ID | Art. 6 Abs. 1 lit. f |

Projekt: amaka-megapreis. Standort EU-Region; ergänzende Übermittlungen in die USA durch DPF + SCC abgesichert.

11. Analytics, Tracking und Cookies

11.1 Grundsatz

Analytics-Werkzeuge werden erst nach ausdrücklicher Einwilligung geladen. Vor Consent laufen keine Drittanbieter-SDKs.

11.2 PostHog (EU-Endpoint)

Wir nutzen PostHog auf dem EU-Endpoint eu.posthog.com. Verarbeitet werden pseudonyme Distinct-ID, definierte Events, aggregierte Geräte-/Browser-Daten, gekürzte IP. AutoCapture ist deaktiviert; Do Not Track wird als Opt-out respektiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO + § 25 Abs. 1 TTDSG. Speicherdauer: 13 Monate.

11.3 Conversion-/Marketing-Tracking

Aktuell kein Drittanbieter-Marketing-Tracking (kein Meta-Pixel, kein TikTok-Pixel, kein Google-Ads-Tracking). Sollten wir entsprechende Werkzeuge ergänzen, geschieht das ausschließlich nach Einwilligung und nach Aktualisierung dieser Erklärung.

11.4 Cookies und vergleichbare Technologien (vollständiges Inventar)

Maßgeblich ist der jeweils aktuelle Stand der internen Consent-Governance-Spezifikation (Version 1.0, Stand 24. Mai 2026). Halbjährliche Cookie-Audits zum 1. April und 1. Oktober.

A) Unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TTDSG — ohne Einwilligung)

| Name | Anbieter | Speicher | Dauer | Zweck | Drittland | |---|---|---|---|---|---| | medusa_session / connect.sid | AMAKA | Cookie, HttpOnly, SameSite=Lax, Secure | Session (max. 24 h) | Sitzung, Login-Bindung | — | | _medusa_jwt | AMAKA | Cookie, HttpOnly, Secure | 7 Tage | Customer-Authentifizierung | — | | _csrf | AMAKA | Cookie, HttpOnly, SameSite=Strict | Session | CSRF-Schutz | — | | next-locale | AMAKA | Cookie | 1 Jahr | Sprachauswahl URL-Routing | — | | amaka.cart.id | AMAKA | Cookie | 30 Tage | Warenkorb-Persistenz | — | | amaka.consent.v1 | AMAKA | LocalStorage | 12 Monate | Speicherung Ihrer Consent-Entscheidung selbst | — | | amaka.visitor_id.v1 | AMAKA | LocalStorage | 12 Monate | Pseudonyme Visitor-ID für Consent-Audit-Log (Backend nutzt nur den Hash) | — |

B) Sicherheit und Betrugsabwehr (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse, kein Opt-out)

Erforderlich für den Schutz einer Live-Auktions-Plattform mit echten Zahlungsströmen. Ohne diese Komponenten ist ein Schutz vor Bot-Farmen, Kartenbetrug und Credential-Stuffing nicht möglich.

| Name | Anbieter | Speicher | Dauer | Zweck | Drittland | |---|---|---|---|---|---| | cf_clearance | Cloudflare, Inc. | Cookie | 30 Min. | Bot-Mitigation | USA (DPF + SCC) | | __cf_bm | Cloudflare, Inc. | Cookie | 30 Min. | Bot-Management | USA (DPF + SCC) | | Turnstile-Challenge-Token | Cloudflare, Inc. | Memory (kurzlebig) | Session | Captcha für Magic-Link-Login | USA (DPF + SCC) | | __stripe_mid | Stripe Payments Europe Ltd. | First-Party-Cookie über Stripe.js | 1 Jahr | Fraud-Erkennung Stripe Radar | IE + USA (DPF + SCC) | | __stripe_sid | Stripe Payments Europe Ltd. | First-Party-Cookie über Stripe.js | 30 Min. | Fraud-Erkennung Stripe Radar | IE + USA (DPF + SCC) |

Stripe.js wird erst beim Aufruf der Zahlungsseite (/zahlung) lazy geladen — diese Cookies entstehen folglich nicht auf Landing-, Produkt- oder Auktionsseiten.

C) Funktional (Art. 6 Abs. 1 lit. a DSGVO — optional, Einwilligung)

| Name | Anbieter | Speicher | Dauer | Zweck | |---|---|---|---|---| | amaka.player.volume | AMAKA | LocalStorage | 12 Monate | Lautstärke-Memory Live-Player | | amaka.wishlist.guest | AMAKA | LocalStorage | 12 Monate | Wunschliste ohne Konto |

D) Analyse (Art. 6 Abs. 1 lit. a DSGVO + § 25 Abs. 1 TTDSG — optional, Einwilligung)

| Name | Anbieter | Speicher | Dauer | Zweck | Drittland | |---|---|---|---|---|---| | ph_<projectKey>_posthog | PostHog Inc. (EU-Endpoint Irland) | LocalStorage + Cookie | 12 Monate | Produkt-Nutzung, Funnels (ohne IP, ohne Werbe-ID, kein AutoCapture, kein Session-Replay) | EU (IE) | | sentry-trace, baggage | Functional Software Inc. (Sentry, DE-Region) | Request-Header (kein persistenter Cookie) | je Request | Performance-Traces (10 % Sample, nur bei Analyse-Consent) | EU (DE) |

E) Marketing (Art. 6 Abs. 1 lit. a DSGVO — derzeit nicht aktiv)

Derzeit setzen wir keinerlei Marketing-/Retargeting-/Pixel-Werkzeuge ein (kein Meta-Pixel, kein TikTok-Pixel, kein Google-Ads-Conversion-Tracking). Sollte sich das ändern, wird die zugehörige Checkbox im Cookie-Banner sichtbar geschaltet und diese Tabelle vor dem Roll-out aktualisiert.

Widerruf: Ihre Einwilligungen können Sie jederzeit über den Link „Cookie-Einstellungen" im Fußbereich jeder Seite widerrufen oder anpassen. Bei Widerruf werden die zugehörigen Cookies/LocalStorage-Einträge entfernt und aktive Analyse-Sitzungen deaktiviert. Die Widerrufsmöglichkeit ist nach Art. 7 Abs. 3 DSGVO ebenso einfach gestaltet wie die Erteilung der Einwilligung.

12. Cloudflare, WAF, Turnstile

Anfragen laufen über Cloudflare (USA, DPF + SCC). Verarbeitet werden IP, Anfrage-Header, User-Agent, Verkehrsmuster.

Zusätzlich setzen wir auf besonders missbrauchsanfälligen Formularen (Login, Registrierung, Passwort-Reset, Newsletter) das Cookie-freie Captcha Cloudflare Turnstile ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Schutz vor Bots und Credential-Stuffing).

13. Newsletter

Newsletter erhalten Sie nur nach Bestätigung Ihrer Adresse (Double-Opt-In). Wir protokollieren E-Mail, Anmelde- und Bestätigungszeitpunkt, IP und Versandhistorie. Tracking-Pixel werden nur bei expliziter Einwilligung gesetzt.

Versanddienstleister: Resend, Inc. (USA, DPF + SCC; AVV vorhanden).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO + § 7 Abs. 2 UWG. Abmeldung in jeder Mail über den Link „Abmelden".

Bestandskundenwerbung: Wir behalten uns vor, an Bestandskunden vergleichbare eigene Waren per E-Mail zu bewerben (§ 7 Abs. 3 UWG). Sie können dem jederzeit kostenfrei widersprechen.

14. Live-Streams, Chat, Realtime

Während Live-Streams verarbeiten wir Beobachter-Anzahl (anonym, aggregiert), Chat-Nachrichten (kontobezogen), Gebote (kontobezogen) und WebSocket-Verbindungsmetadaten.

Chat-Nachrichten werden 90 Tage vorgehalten und bei Vertragsschluss 10 Jahre. Automatisierte Moderation filtert Beleidigungen und Spam; Treffer können menschlich überprüft werden.

15. Watchlist, Suche, Empfehlungen

Watchlist: kontobezogene Merkliste; Statusbenachrichtigung nur bei aktiver Push-Einwilligung.
Suche: Suchanfragen werden 14 Tage kontobezogen gespeichert (Qualitätsverbesserung); keine Profilbildung.
Empfehlungen: auf Basis Ihrer letzten Käufe und Aufrufe; keine Art.-22-Wirkung.

16. Uploads, Bilder, EXIF

EXIF-Daten (insb. GPS) werden vor Speicherung automatisch entfernt. Bilder werden zu AVIF/WebP konvertiert und höchstens 5 Jahre nach Vorgangsabschluss aufbewahrt.

17. Sentry — Fehler-Telemetrie

Wir verwenden Sentry zur Erkennung von Fehlern. Stacktraces werden vor Versand PII-bereinigt; aggregierte Performance-Daten mit Sample-Rate 10 %. Speicherdauer: 30 Tage Detail, 90 Tage Aggregate.

Anbieter: Functional Software Inc. (USA, DPF + SCC). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

18. Backups

Tägliche, clientseitig verschlüsselte Backups (Restic). Lokale Aufbewahrung 14 Tage, Off-Site 30 Tage daily + 12 Monate monthly. Löschanträge wirken in laufenden Backups erst nach deren Ablauf vollständig (max. 12 Monate). Reaktivierung gelöschter Daten ist ausgeschlossen (Tombstone-Mechanik bei Restore).

19. Empfänger / Auftragsverarbeiter

Vollständige Übersicht in Abschnitt 28.

20. Drittlandtransfer

Verarbeitungen außerhalb des EWR finden bei den in Abschnitt 28 markierten Empfängern statt. Grundlage: Adäquanz / DPF / EU-Standardvertragsklauseln + Transfer-Impact-Assessment + technische Zusatzmaßnahmen (Encryption, Pseudonymisierung).

21. Ihre Rechte

Auskunft (Art. 15) — maschinenlesbare Übersicht aller zu Ihrer Person gespeicherten Daten
Berichtigung (Art. 16)
Löschung (Art. 17) — ausgenommen gesetzlich aufbewahrungspflichtige Daten (diese werden gesperrt)
Einschränkung (Art. 18)
Datenübertragbarkeit (Art. 20) — strukturierter Export (JSON)
Widerspruch (Art. 21) — gegen Verarbeitungen auf Basis berechtigter Interessen, insbesondere gegen Direktwerbung jederzeit ohne Begründung
Widerruf von Einwilligungen (Art. 7 Abs. 3) — jederzeit für die Zukunft
Beschwerde (Art. 77) — bei einer Datenschutz-Aufsichtsbehörde

Kontakt: datenschutz@amaka-restposten.de. Antwort innerhalb von 30 Tagen.

22. Account-Löschung und Datenexport (Self-Service)

In Ihrem Konto unter „Datenschutz" finden Sie:

Datenexport (Art. 20): Download Ihrer Konto-, Bestell-, Auktions- und Kommunikationsdaten als ZIP (JSON + PDF-Rechnungen).
Konto-Löschung (Art. 17): sofortige Löschung pseudonymisierbarer Daten; gesetzlich aufbewahrungspflichtige Daten werden gesperrt und nach Fristablauf endgültig gelöscht.

Bestätigungs- und Vollzugs-Mails dokumentieren den Vorgang.

23. Automatisierte Entscheidungen und Profiling

Wir treffen keine ausschließlich automatisierten Entscheidungen i. S. v. Art. 22 DSGVO. Risk-Scoring (Stripe Radar, Cloudflare Bot-Score, Graph-Fraud-Engine) dient der Entscheidungsvorbereitung. Sie können auf Anfrage eine Erläuterung der wesentlichen Logik erhalten und die Entscheidung anfechten.

24. Minderjährige

Unsere Dienste richten sich an volljährige Personen (≥ 18 Jahre). Mit Anlage des Kontos versichern Sie, das 18. Lebensjahr vollendet zu haben.

25. Kontaktformular / Support

Bei Anfragen verarbeiten wir Name, E-Mail, ggf. Anschrift und den Inhalt Ihrer Nachricht. Speicherdauer: 3 Jahre nach Vorgangsabschluss (Verjährungsregelungen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

26. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen. Über wesentliche Änderungen informieren wir Sie per E-Mail oder App-Hinweis. Maßgeblich ist die jeweils zum Zeitpunkt der Verarbeitung aktuelle Fassung.

27. Speicherfristen (Retention)

| Datentyp | Frist | Grundlage | |---|---|---| | Server-Logs (vollständig) | 7 Tage | Art. 6 Abs. 1 lit. f | | Server-Logs (aggregiert) | 30 Tage | Art. 6 Abs. 1 lit. f | | Magic-Link-Token (Hash) | bis Einlösung / 15 Min. | Art. 6 Abs. 1 lit. b | | Magic-Link-Audit-Log | 90 Tage | Art. 6 Abs. 1 lit. f | | Konto-Stammdaten | Dauer der Kundenbeziehung | Art. 6 Abs. 1 lit. b | | Bestell-/Rechnungsdaten | 10 Jahre | § 147 AO | | Handelsbriefe | 6 Jahre | § 257 HGB | | Essentielle Cookies | Session – 12 Monate | § 25 Abs. 2 TTDSG | | Analyse-Cookies | bis 13 Monate | Art. 6 Abs. 1 lit. a + § 25 Abs. 1 TTDSG | | Consent-Logs | 3 Jahre | Art. 7 Abs. 1 (Nachweispflicht) | | Newsletter-DOI-Beleg | bis 1 Jahr nach Abmeldung | § 7 Abs. 2 UWG | | Chat Live-Auktion | 90 Tage; bei Vertragsschluss 10 Jahre | Art. 6 Abs. 1 lit. b, c | | Bilder/Uploads | 5 Jahre nach Vorgang | Art. 6 Abs. 1 lit. b, f | | Fraud-Scores / Risk-Events | 18 Monate | Art. 6 Abs. 1 lit. f | | Sentry-Errors | 30 Tage Detail / 90 Tage Aggregate | Art. 6 Abs. 1 lit. f | | PostHog-Events | 13 Monate | Art. 6 Abs. 1 lit. a | | Backups | 30 Tage daily + 12 Monate monthly | Art. 6 Abs. 1 lit. f | | Push-Tokens | bis Deinstallation / Logout | Art. 6 Abs. 1 lit. a | | Kontaktformular-Daten | 3 Jahre nach Vorgang | Art. 6 Abs. 1 lit. f |

28. Auftragsverarbeiter / Empfänger

| Anbieter | Zweck | Sitz | DSGVO-Status | SCC | DPF | AVV | |---|---|---|---|---|---|---| | netcup GmbH | Hosting | DE | EU | — | — | ✓ | | Cloudflare, Inc. | CDN / WAF / Turnstile / DNS | US | Drittland | ✓ | ✓ | ✓ | | Stripe Payments Europe Ltd. | Zahlung | IE / US | EU + Drittland | ✓ | ✓ | ✓ | | PayPal (Europe) S.à r.l. et Cie | Zahlung | LU | EU | — | — | tlw. gemeinsame Verantwortung | | Klarna Bank AB | Zahlung / Bonität | SE | EU | — | — | tlw. gemeinsame Verantwortung | | Apple Inc. | Sign-In, APNs, App Attest, App Store | US | Drittland | ✓ | ✓ | tlw. | | Google Ireland Limited / Google LLC | Sign-In, Firebase, Play Integrity, Play Store | IE / US | EU + Drittland | ✓ | ✓ | ✓ (Firebase) | | Resend, Inc. | Transaktions-Mail / Newsletter | US | Drittland | ✓ | ✓ | ✓ | | Functional Software Inc. (Sentry) | Error-Telemetrie | US | Drittland | ✓ | ✓ | ✓ | | PostHog Inc. (EU-Endpoint) | Produkt-Analytics | EU-Cluster | EU | ✓ | ✓ | ✓ | | DHL / DPD / weitere Carrier | Versand | EU | EU | — | — | tlw. | | SCHUFA (über Klarna) | Bonitätsprüfung | DE | EU | — | — | Drittverantwortung |

29. Apple Privacy Nutrition Label

| Datenkategorie | Erhoben? | Verknüpft mit Nutzer? | Tracking? | Zwecke | |---|---|---|---|---| | Kontaktdaten (E-Mail, Name, Anschrift, Telefon) | Ja | Ja | Nein | App-Funktion, Käufe, Auth | | Kaufdaten | Ja | Ja | Nein | App-Funktion | | Finanzdaten (bei Stripe/PayPal/Klarna, nicht bei uns) | Ja | Ja | Nein | App-Funktion | | Standort | Nein | — | — | — | | Health & Fitness | Nein | — | — | — | | Identifikatoren (User-ID, Device-/Push-Token) | Ja | Ja | Nein | App-Funktion, Push, Analytics (mit Consent) | | Nutzungsdaten (Klicks, Funnel) | Nur mit Consent | Ja (pseudonym) | Nein | Analytics | | Diagnostics (Crashes, Performance) | Ja | Nein | Nein | App-Funktion | | Content vom Nutzer (Reklamationsfotos, Chat) | Ja | Ja | Nein | App-Funktion |

Tracking im Sinne des Apple-ATT-Frameworks (Verknüpfung der Geräte-Werbe-ID mit Daten anderer Apps oder Websites zu Werbe-/Messzwecken) findet nicht statt. Aus Sorgfaltsgründen blendet die iOS-App dennoch den App-Tracking-Transparency-Dialog ein, da Apple-Reviewer das Vorhandensein bestimmter SDKs (Firebase, Sentry, PostHog) konservativ prüfen. Eine Ablehnung des Dialogs ändert das Verhalten der App nicht — sie hat keinerlei Funktionseinbußen zur Folge.

30. Google Play Data Safety

| Datenkategorie | Erhoben | Geteilt | Optional? | Zweck | |---|---|---|---|---| | Personal info (Name, E-Mail, Adresse, Telefon) | Ja | Nein (außer Carrier/Versand) | Pflicht für Kauf | Account, Lieferung | | Financial info | Ja (durch Zahlungsanbieter) | Nein | Pflicht für Auktionen | Käufe | | Location | Nein | — | — | — | | Photos | Ja, bei Upload | Nein | Optional | Reklamation, Bewertung | | Audio | Nein | — | — | — | | App activity (interactions, search history) | Ja, mit Consent | Nein | Optional | Analytics | | App info & performance (crashes, diagnostics) | Ja | Nein | Stabilität | Bugfixing | | Device or other IDs | Ja (Push-Token, Install-ID) | Ja (FCM/APNs) | Optional Push | Push |

Verschlüsselung in Transit: TLS 1.2/1.3. Account-Löschung: Self-Service in der App.

Letzte Aktualisierung: 24. Mai 2026 — verbindliche Fassung in Deutsch.