Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
So Geht TCG
Inhaberin: Sevgi Yurdakul
Am Hasenpfad 11
65451 Kelsterbach
Deutschland
E-Mail: info[at]sogehttcg[punkt]de

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website, zur Durchführung vorvertraglicher Maßnahmen, zur Vertragsabwicklung, zur Bearbeitung von Anfragen sowie zur Gewährleistung der Sicherheit und Stabilität unseres Angebots erforderlich ist. Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst.

Diese Website wird auf einem von uns verwalteten Server bei IONOS gehostet. Beim Aufruf der Website werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Inhalte, übertragene Datenmenge, Browsertyp, Betriebssystem und Referrer-URL. Die Verarbeitung erfolgt zur Auslieferung der Website, zur Fehleranalyse sowie zur Gewährleistung der Systemsicherheit auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Server-Logs werden nur so lange gespeichert, wie dies zur Sicherstellung des technischen Betriebs, zur Fehleranalyse und zur Abwehr von Missbrauch erforderlich ist. Weitere Informationen findest du in der Datenschutzerklärung von IONOS.

Diesem Server ist ein Content Delivery Network (CDN) und Reverse Proxy von Cloudflare vorgeschaltet (Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München; Muttergesellschaft: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA). Sämtliche Anfragen an diese Website werden daher zunächst über die Server von Cloudflare geleitet. Cloudflare verarbeitet dabei Verbindungsdaten, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, die angeforderte URL, Browsertyp und Referrer-URL.

Zweck ist die schnellere Auslieferung der Website durch Zwischenspeicherung öffentlicher Inhalte in Rechenzentren in deiner Nähe sowie die Absicherung des Betriebs (unter anderem Abwehr von Überlastungsangriffen und Filterung schädlicher Anfragen). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, ausfallsicheren und performanten Betrieb dieser Website (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare kann Daten auch außerhalb der EU, insbesondere in den USA, verarbeiten; mit Cloudflare besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO einschließlich der EU-Standardvertragsklauseln. Weitere Informationen findest du in der Datenschutzerklärung von Cloudflare.

Ergänzend setzen wir Cloudflare Web Analytics ein, um die technische Performance der Website zu messen (etwa Ladezeiten und sogenannte Core Web Vitals). Diese Messung arbeitet cookielos: Es werden keine Cookies gesetzt, keine Daten im Local Storage deines Browsers gespeichert, es findet kein Fingerprinting und keine seitenübergreifende Wiedererkennung statt, und es werden keine Nutzerprofile gebildet. Erhoben werden ausschließlich aggregierte, nicht auf dich zurückführbare Kennzahlen. Rechtsgrundlage ist unser berechtigtes Interesse an einer technisch fehlerfreien und schnellen Website (Art. 6 Abs. 1 lit. f DSGVO). Eine Einwilligung ist hierfür nicht erforderlich, da keine Informationen auf deinem Endgerät gespeichert oder ausgelesen werden.

Die Datenübertragung zwischen deinem Browser und unserer Website erfolgt verschlüsselt per TLS/SSL. Du erkennst dies an der Adresszeile deines Browsers mit „https://“.

a) Cookie-Consent

Beim ersten Besuch unserer Website wird dir ein Cookie-Banner angezeigt, über das du deine Einwilligungen verwalten kannst. Deine Auswahl wird im Cookie „cookie_consent“ gespeichert (Speicherdauer: 1 Jahr). Das Setzen dieses Cookies ist nach § 25 Abs. 2 Nr. 2 TDDDG zulässig, da es für die Speicherung deiner Einwilligungsentscheidung technisch erforderlich ist.

Du kannst deine Cookie-Einstellungen jederzeit über den Link „Cookie-Einstellungen“ im Footer unserer Website ändern.

b) Technisch notwendige Cookies

Für die Nutzung geschützter Bereiche (Login, Konto) setzen wir technisch notwendige Cookies ein. Diese sind gemäß § 25 Abs. 2 Nr. 2 TDDDG von der Einwilligungspflicht ausgenommen, da sie für die Bereitstellung des Dienstes unbedingt erforderlich sind. Rechtsgrundlage für die zugehörige Datenverarbeitung ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Im Einzelnen:

• sb-*-auth-token (ggf. .0, .1, …) — Supabase Authentifizierung und Session-Verwaltung. Speicherdauer: Session bzw. bis zum Logout.
• cookie_consent — Speichert deine Cookie-Einstellungen. Speicherdauer: 1 Jahr.

Ohne diese technisch erforderlichen Cookies kann insbesondere die Anmeldung, die Verwaltung deines Kontos und die Nutzung des Kontos nicht bereitgestellt werden.

c) Funktionaler Browser-Speicher (Local Storage)

Für von dir aktiv ausgelöste Funktionen speichern wir Daten im Local Storage deines Browsers – konkret deine Merkliste und deinen Gast-Warenkorb, solange du nicht angemeldet bist. Diese Einträge enthalten ausschließlich Produkt- bzw. Kartenkennungen, keine personenbezogenen Daten, und verbleiben lokal auf deinem Gerät, bis du die Einträge entfernst oder den Browser-Speicher leerst. Da diese Speicherung für die von dir gewünschte Funktion unbedingt erforderlich ist, ist sie gemäß § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Meldest du dich an, wird deine Merkliste in dein Konto übernommen und der lokale Eintrag gelöscht.

d) Optionale Cookies (Analyse)

Wir nutzen PostHog in einer cookieless Grundkonfiguration, um allgemeine, nicht identifizierte Nutzungsereignisse (z. B. Seitenaufrufe oder Warenkorb-Interaktionen) zu messen. Solange du nicht eingeloggt bist, speichern wir ohne deine Analyse-Einwilligung keine PostHog-Cookies und keine PostHog-Daten im Local Storage deines Browsers, erstellen kein Nutzerprofil, rufen keine Identify-Funktion auf und aktivieren keine Session-Replay-Aufzeichnung. Rechtsgrundlage für diese cookieless, nicht identifizierende Messung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Reichweitenmessung, Fehleranalyse und Verbesserung unseres Angebots).

Analyse für eingeloggte Nutzer: Wenn du in deinem Konto angemeldet bist, verknüpfen wir deine Nutzungsereignisse pseudonym mit deiner Nutzer-ID (sogenanntes „Identify“), um wiederkehrende Kundinnen und Kunden zu erkennen und unser Angebot zu verbessern (z. B. Bindungs-/Retention-Auswertung). Auch dies erfolgt cookielos: Die Zuordnung geschieht serverseitig über deine Nutzer-ID; es werden hierfür keine Cookies gesetzt und keine Daten auf deinem Endgerät gespeichert (§ 25 TDDDG ist dadurch nicht berührt). Verarbeitet werden dabei deine Nutzer-ID, deine Rolle bzw. der genutzte Bereich sowie die genannten Nutzungsereignisse — nicht jedoch Klartext-Kontaktdaten wie deine E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Nutzung durch angemeldete Kundinnen und Kunden) sowie Art. 6 Abs. 1 lit. b DSGVO. Du kannst dieser Auswertung jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO) — dazu genügt eine formlose Nachricht an info[at]sogehttcg[punkt]de oder über unser Kontaktformular. Nach deinem Widerspruch wird deine Nutzung nicht mehr mit deiner Nutzer-ID verknüpft.

Wenn du im Cookie-Banner „Alle akzeptieren“ wählst, setzen wir den Analysedienst PostHog ein. PostHog verwendet dabei u. a. ein persistentes Cookie (ph_*) zur pseudonymen Wiedererkennung von Sitzungen und zur Analyse des Nutzungsverhaltens. Speicherdauer: bis zu 1 Jahr. Rechtsgrundlage ist § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen“ im Footer widerrufen.

Bei erteilter Analyse-Einwilligung aktivieren wir außerdem die Session-Replay-Funktion von PostHog. Dabei werden Sitzungsabläufe wie Seitenwechsel, Klicks, Scroll- und Mausbewegungen aufgezeichnet, um Nutzungsprobleme und technische Fehler besser nachvollziehen zu können. Texteingaben, Passwortfelder und sensible Inhalte werden maskiert. Session Replays können auch für Besucher ohne Nutzerkonto entstehen; in diesem Fall wird kein identifiziertes Nutzerprofil erstellt. Wenn du eingeloggt bist und Analyse-Cookies akzeptiert hast, kann PostHog deine Ereignisse mit deiner Nutzer-ID verknüpfen und ein pseudonymes Personenprofil erstellen.

Zusätzlich aktivieren wir bei erteilter Einwilligung die Session-Replay-Funktion von Sentry, die Interaktionen auf der Website (z. B. Klicks und Mausbewegungen) aufzeichnet, um die Fehlerreproduktion zu erleichtern. Auch hierfür werden keine zusätzlichen Cookies gesetzt; die Datenübertragung erfolgt über unseren eigenen Tunnel-Endpunkt. Rechtsgrundlage ist § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

Ohne deine Zustimmung werden keine optionalen Analyse-Cookies oder Local-Storage-Einträge gesetzt, PostHog Session Replay bleibt deaktiviert und Sentry Session Replay bleibt deaktiviert. Ein pseudonymes PostHog-Personenprofil entsteht ohne Analyse-Einwilligung nur für eingeloggte Nutzer im Rahmen der vorstehend beschriebenen, cookielosen Analyse auf Grundlage unseres berechtigten Interesses (mit Widerspruchsmöglichkeit); für nicht eingeloggte Besucherinnen und Besucher werden ohne Einwilligung keine Personenprofile erstellt.

e) Beliebtheits-Statistik (eigene, anonyme Reichweitenmessung)

Um auf unseren Übersichtsseiten eine Sortierung nach „Beliebteste“ anbieten zu können, zählen wir serverseitig, wie oft die Detailseiten unserer Produkte und Einzelkarten aufgerufen werden. Dabei werden keine Cookies gesetzt und keine Daten im Browser gespeichert (§ 25 TDDDG ist dadurch nicht berührt). Gespeichert wird ausschließlich ein aggregierter Tageszähler pro Produkt- bzw. Kartenseite — ohne jeden Personenbezug. Deine IP-Adresse wird hierfür nicht gespeichert, sondern nur flüchtig verarbeitet, um automatisierte Zugriffe zu begrenzen und Mehrfachzählungen zu vermeiden (als gekürzter Hash-Wert, der spätestens nach sechs Stunden automatisch gelöscht wird). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer anonymen Reichweitenmessung zur Verbesserung unseres Angebots).

f) Optionale Cookies (Werbemessung — Google Ads)

Wenn du im Cookie-Banner „Alle akzeptieren“ wählst, setzen wir das Google-Ads-Conversion-Tracking (Google-Tag/gtag.js) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein. Damit können wir messen, ob ein Kauf auf einen Klick auf eine unserer Google-Anzeigen zurückgeht. Google setzt dazu First-Party-Cookies (u. a. _gcl_aw, Speicherdauer bis zu 90 Tage), in denen die Klick-Kennung der Anzeige gespeichert wird; beim Kaufabschluss werden Bestellwert, Währung und eine Bestellnummer an Google übermittelt. Ohne deine Einwilligung wird das Google-Tag nicht geladen und es findet keinerlei Datenübertragung an Google statt (Einwilligungsmodus/„Consent Mode“). Bei der Übermittlung an Google kann es zu einer Datenübertragung in die USA kommen; Google ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst deine Einwilligung jederzeit über „Cookie-Einstellungen“ im Footer widerrufen. Weitere Informationen: Google-Datenschutzerklärung.

Wenn du ein Nutzerkonto anlegst oder dich einloggst, verarbeiten wir die hierfür erforderlichen Daten, insbesondere E-Mail-Adresse, verschlüsselte Authentifizierungsinformationen, technische Session-Daten und Kontoeinstellungen. Die Authentifizierung und Datenbankbereitstellung erfolgt über Supabase (siehe Datenschutzerklärung von Supabase). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für unser Projekt ist bei Supabase der Rechenzentrumsstandort Frankfurt am Main gewählt. Es kann jedoch nicht ausgeschlossen werden, dass im Rahmen von Support-, Wartungs- oder konzerninternen Leistungen auch Verarbeitungen in Drittländern, insbesondere in den USA, stattfinden. Soweit dies der Fall ist, erfolgt dies auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

Wenn du eine Einladung für ein Produkt anfragst, verarbeiten wir insbesondere deine Nutzer-ID, E-Mail-Adresse, die angefragten Produkte, Statusinformationen zur Einladung sowie Zeitpunkte der Anfrage und Einladung. Dies dient der Bereitstellung unseres Einladungssystems und der Vorbereitung möglicher Käufe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Im Fall einer Bestellung verarbeiten wir zusätzlich Bestelldaten, gekaufte Produkte, Menge, Rechnungs- und Versandinformationen, Zahlungsstatus, Versandadresse, Sendungsnummer sowie die für die Rechnungsstellung erforderlichen Angaben. Der Versand erfolgt je nach Versandart über DHL (DHL Paket) oder die Deutsche Post AG (Standardbrief, Kompaktbrief, Großbrief, Maxibrief, Einschreiben Einwurf). Im Rahmen der Versandabwicklung werden Name und Versandadresse an den jeweiligen Versanddienstleister übermittelt (siehe Datenschutzhinweise von DHL sowie Datenschutzhinweise der Deutschen Post). Diese Verarbeitung ist zur Vertragsdurchführung, Lieferung, Rechnungsstellung und Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO.

Kaufmengenbegrenzung: Bei einzelnen Produkten ist die Kaufmenge pro Person begrenzt, damit knappe Ware nicht an wenige Einzelne geht (siehe § 3 unserer Allgemeinen Geschäftsbedingungen). Um diese Begrenzung durchzusetzen, prüfen wir bei einer Bestellung solcher Produkte, ob dieselbe Person das Produkt in den letzten 48 Stunden bereits bestellt hat. Herangezogen werden dafür deine Nutzer-ID (sofern du angemeldet bist), die Empfänger-E-Mail-Adresse sowie Name und Anschrift der Lieferadresse – bei Lieferung an eine Packstation die dort angegebene Postnummer. Dies gilt für angemeldete Kundinnen und Kunden wie für Gastbestellungen. Es entsteht dabei kein Profil und keine zusätzliche Speicherung: Die Prüfung liest ausschließlich ohnehin vorhandene Bestelldaten aus diesem Zeitraum, ihr Ergebnis wird nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer gleichmäßigen Verteilung begrenzt verfügbarer Ware und an der Verhinderung von Mehrfachbestellungen über verschiedene Konten).

Führt dieser Abgleich dazu, dass eine Bestellung abgelehnt wird, geschieht das zunächst automatisiert. Da mehrere Personen unter einer Anschrift wohnen können, ist eine falsche Zuordnung nicht ausgeschlossen. Du hast deshalb jederzeit das Recht, eine Überprüfung durch einen Menschen zu verlangen, deinen Standpunkt darzulegen und die Entscheidung anzufechten (Art. 22 Abs. 3 DSGVO). Melde dich dazu einfach über unser Kontaktformular – wir prüfen den Fall dann von Hand.

Für die Zahlungsabwicklung nutzen wir Stripe Payments Europe, Limited sowie verbundene Unternehmen von Stripe. Stripe wird in zwei Szenarien eingesetzt: (a) beim Aufladen deines Guthaben-Kontos (Einzweck-Gutschein) und (b) bei der Direktzahlung per Stripe-Checkout ohne vorherige Guthaben-Aufladung. In beiden Fällen werden die für die Zahlungsabwicklung erforderlichen Daten an Stripe übermittelt. Dazu können insbesondere Name, E-Mail-Adresse, Zahlungsdaten, Rechnungs- und Versanddaten, Bestellwert sowie Transaktionskennungen gehören. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für Zahlungen per Banküberweisung (Vorkasse) und Pay by Bank — sowohl bei Bestellungen als auch beim Aufladen deines Guthaben-Kontos — nutzen wir zusätzlich Mollie B.V., Keizersgracht 313, 1016 EE Amsterdam, Niederlande. Dabei werden die für die Zahlungsabwicklung erforderlichen Daten (insbesondere Name, E-Mail-Adresse, Rechnungs- und Versanddaten, Bestellwert sowie Bank- bzw. Transaktionsdaten) an Mollie übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von Mollie.

Stripe kann Daten auch in Drittländern, insbesondere in den USA, verarbeiten. Die Übermittlung erfolgt auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, soweit erforderlich. Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

Betrugsprävention: Zur Verhinderung von Zahlungsbetrug und der missbräuchlichen Nutzung mehrerer Kundenkonten verarbeiten wir zahlungsbezogene Metadaten, die uns unser Zahlungsdienstleister bereitstellt — insbesondere pseudonyme Kennungen des verwendeten Zahlungsmittels, Angaben wie Kartentyp und die letzten vier Ziffern sowie — je nach Zahlungsart — die dem jeweiligen Zahlungskonto zugeordnete E-Mail-Adresse. Vollständige Zahlungsdaten (z. B. Kartennummern) werden von uns zu keinem Zeitpunkt gespeichert oder verarbeitet; sie verbleiben ausschließlich beim Zahlungsdienstleister. Diese Angaben können intern mit Bestell- und Adressdaten abgeglichen werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung betrügerischer Bestellungen und der Absicherung unseres einladungsbasierten Verkaufssystems).

Zur komfortablen und korrekten Erfassung deiner Lieferadresse setzen wir bei der Adresseingabe (z. B. im Warenkorb-Checkout und in den Kontoeinstellungen) den Dienst Mapbox Search Box der Mapbox, Inc., 740 15th Street NW, 5th Floor, Washington, DC 20005, USA, ein. Wenn du im Adressfeld zu tippen beginnst, wird deine Eingabe an Mapbox übermittelt und es werden passende Adressvorschläge zurückgegeben. Übermittelt werden insbesondere der eingegebene Suchtext, eine sitzungsbezogene Kennung (Session-Token), deine IP-Adresse sowie technische Browser-Daten. Bei Auswahl eines Vorschlags werden die strukturierten Adressbestandteile (Straße, Hausnummer, Postleitzahl, Ort, Land) in das Formular übernommen.

Zwecke: Adress-Autocomplete und Adressvalidierung zur Reduktion von Fehleingaben und unzustellbaren Sendungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vorbereitung und Durchführung des Vertrags) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten, fehlerarmen Bestellabwicklung).

Mit Mapbox besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Mapbox verarbeitet Daten auch in Drittländern, insbesondere in den USA. Die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln und weiterer geeigneter Garantien gemäß Art. 44 ff. DSGVO. Weitere Informationen findest du in den Datenschutzhinweisen von Mapbox.

Wenn du uns über das Kontaktformular kontaktierst oder wir dir transaktionale E-Mails senden (Bestellbestätigung, Rechnung, Versandbenachrichtigung, Einladung, Konto-Mitteilungen), verarbeiten wir die von dir angegebenen Kontaktdaten und Inhalte deiner Nachricht. Dazu zählen insbesondere Name, E-Mail-Adresse, Nachrichtentext sowie technische Metadaten zur Zustellung. Der Versand erfolgt über ZeptoMail, einen Dienst der Zoho Corporation B.V., Niederlande (siehe Datenschutzerklärung von Zoho). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen außerdem Art. 6 Abs. 1 lit. f DSGVO.

Wir nutzen ausschließlich das europäische Rechenzentrum von Zoho (Standorte Niederlande und Irland). Die Verarbeitung der Versanddaten findet damit innerhalb der Europäischen Union statt. Zoho gehört zu einer Unternehmensgruppe mit Sitz in den USA; soweit im Einzelfall ein Zugriff aus einem Drittland erfolgt, geschieht dies auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO.

In unseren E-Mails findet kein Öffnungs- oder Klick-Tracking statt. Wir messen also nicht, ob und wann du eine E-Mail geöffnet oder einen Link darin angeklickt hast, und Links werden nicht über Zähl-Adressen umgeleitet.

Konnte eine E-Mail nicht zugestellt werden, speichern wir den Versandvorgang für längstens 7 Tage, um sie automatisch erneut zuzustellen; danach wird er gelöscht. Zusätzlich merken wir uns für 30 Tage eine Kennung bereits zugestellter E-Mails, damit du dieselbe Benachrichtigung nicht doppelt erhältst.

Zur Erkennung und Behebung technischer Fehler, Abstürze und Laufzeitprobleme setzen wir den Dienst Sentry der Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA, ein. Sentry erfasst im Fehlerfall technische Informationen wie Fehlermeldungen, Stacktraces, Browsertyp, Betriebssystem und die aufgerufene URL. Es werden keine zusätzlichen Cookies gesetzt. Clientseitig werden keine personenbezogenen Daten (z. B. IP-Adresse) übermittelt; serverseitig verarbeitet Sentry Verbindungsdaten wie IP-Adresse und Request-Header zur Fehlerzuordnung.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb einer stabilen und fehlerfreien Website). Wir verwenden den europäischen Sentry-Endpunkt (ingest.de.sentry.io); ein Zugriff aus den USA im Rahmen von Support und Wartung durch Sentry kann nicht vollständig ausgeschlossen werden. Mit Sentry besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Weitere Informationen findest du in der Datenschutzerklärung von Sentry.

Session Replay: Bei erteilter Cookie-Einwilligung („Alle akzeptieren“) aktivieren wir zusätzlich die Session-Replay-Funktion von Sentry. Diese zeichnet Interaktionen auf der Website auf, um die Fehlerreproduktion zu erleichtern. Ohne Einwilligung bleibt Session Replay deaktiviert.

Wenn du in deinen Kontoeinstellungen dem Erhalt von Newslettern und weiteren Informationen zustimmst, speichern wir diese Einwilligung in deinem Nutzerprofil. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft in deinem Konto oder per E-Mail an uns widerrufen.

Zur Bereitstellung unseres Angebots setzen wir insbesondere folgende Dienstleister ein:

• IONOS als Infrastruktur- bzw. Hosting-Anbieter für den von uns betriebenen Server
• Cloudflare (Cloudflare Germany GmbH, Rosental 7, c/o Mindspace, 80331 München; Muttergesellschaft: Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) als vorgeschaltetes Content Delivery Network und Reverse Proxy zur beschleunigten Auslieferung und Absicherung der Website sowie für cookielose Web-Analytics zur Performance-Messung. Verarbeitung auch in Drittländern, insbesondere den USA, möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Ein AVV nach Art. 28 DSGVO einschließlich EU-Standardvertragsklauseln ist mit Cloudflare geschlossen.
• Supabase für Datenbank, Authentifizierung und Speicherfunktionen, Rechenzentrumsstandort Frankfurt am Main
• Stripe zur Zahlungsabwicklung
• Mollie zur Zahlungsabwicklung (Banküberweisung / Pay by Bank / PayPal), Sitz in den Niederlanden
• PayPal zur Zahlungsabwicklung, wenn du PayPal als Zahlungsart wählst. Die Zahlung wird über Mollie angestoßen, aber von PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) durchgeführt; dabei werden u. a. dein Name, deine E-Mail-Adresse und der Zahlbetrag an PayPal übermittelt
• ZeptoMail (Zoho Corporation B.V.) für den Versand von Kontakt- und System-E-Mails, EU-Rechenzentrum (Niederlande/Irland)
• Mapbox für das Adress-Autocomplete (Search Box API), Verarbeitung u. a. in den USA
• DHL für den Paketversand innerhalb Deutschlands
• PostHog (PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114 / EU-Cloud auf eu.posthog.com) für cookieless Web-Analytics ohne optionale Speicherung sowie, nur bei erteilter Analyse-Einwilligung, für persistente Web-Analytics, Session Replay und weitergehende pseudonyme Personenprofile; für eingeloggte Nutzer zudem eine cookielose, pseudonyme Analyse über die Nutzer-ID auf Grundlage berechtigten Interesses (mit Widerspruchsmöglichkeit). Daten werden in der EU verarbeitet; ein Zugriff aus den USA kann im Rahmen von Support und Wartung nicht vollständig ausgeschlossen werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO für cookieless Messung sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für optionale Analyse-Cookies und Session Replay; die cookielose Analyse eingeloggter Nutzer stützt sich ebenfalls auf Art. 6 Abs. 1 lit. f DSGVO. Ein AVV nach Art. 28 DSGVO ist mit PostHog geschlossen.
• Sentry (Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA / EU-Ingest-Endpunkt ingest.de.sentry.io) für technische Fehlerüberwachung — läuft grundsätzlich ohne Cookie-Einwilligung (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO); Session Replay nur bei erteilter Einwilligung. Ein AVV nach Art. 28 DSGVO ist mit Sentry geschlossen.

Mit Dienstleistern werden, soweit erforderlich, Verträge zur Auftragsverarbeitung abgeschlossen.

Soweit einzelne Dienstleister Daten in Drittländern verarbeiten oder ein Zugriff aus Drittländern nicht ausgeschlossen werden kann, erfolgt dies nur unter Beachtung der Voraussetzungen der Art. 44 ff. DSGVO.

Soweit wir personenbezogene Daten durch externe Dienstleister verarbeiten lassen (z. B. Hosting, Zahlungsabwicklung, E-Mail-Versand, Adressen-Autovervollständigung), geschieht dies ausschließlich auf Grundlage eines Vertrags zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Die Dienstleister verarbeiten die Daten nur nach unserer Weisung und ausschließlich zu den in dieser Datenschutzerklärung genannten Zwecken. Eine Nutzung deiner Daten zu eigenen Werbe- oder Profilbildungszwecken oder eine Weitergabe an Dritte zu kommerziellen Zwecken findet nicht statt.

Wir wählen unsere Auftragsverarbeiter sorgfältig aus und prüfen, ob sie geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten getroffen haben. Verträge mit Auftragsverarbeitern verpflichten diese insbesondere zur Vertraulichkeit, zur Datenminimierung, zur Sicherstellung der Betroffenenrechte und zur Löschung oder Rückgabe der Daten nach Beendigung des Auftrags.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Marketingzwecken an Dritte weiter. Eine Übermittlung an Behörden erfolgt ausschließlich im Rahmen gesetzlicher Verpflichtungen.

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist. Kontodaten bleiben grundsätzlich gespeichert, solange dein Nutzerkonto besteht. Vertrags- und Rechnungsdaten speichern wir darüber hinaus im Rahmen gesetzlicher Aufbewahrungspflichten (in der Regel 10 Jahre gemäß § 147 AO, § 257 HGB). Daten aus Kontaktanfragen werden gelöscht, sobald die Bearbeitung abgeschlossen ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Restguthaben bei Kontoschließung: Schließt du dein Nutzerkonto, obwohl noch ein Restguthaben (Einzweck-Gutschein) vorhanden ist, speichern wir zur Zuordnung etwaiger Ansprüche ausschließlich deine E-Mail-Adresse und den Restbetrag in einem internen Archiv. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Die Speicherung erfolgt längstens bis zum Ablauf der gesetzlichen Verjährungsfrist (in der Regel drei Jahre zum Jahresende, §§ 195, 199 BGB); danach werden die Einträge gelöscht.

Du hast im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft über deine gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16 DSGVO), auf Löschung (Art. 17 DSGVO), auf Einschränkung der Verarbeitung (Art. 18 DSGVO), auf Datenübertragbarkeit (Art. 20 DSGVO) sowie auf Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO). Bereits erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Zur Ausübung deiner Rechte wende dich bitte per E-Mail an info[at]sogehttcg[punkt]de.

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder unseres Unternehmenssitzes. Die für uns zuständige Aufsichtsbehörde ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 3163
65021 Wiesbaden
Link zur Website der Aufsichtsbehörde

Soweit die Bereitstellung personenbezogener Daten nicht für die Nutzung einzelner Funktionen oder zur Vertragsabwicklung erforderlich ist, bist du nicht verpflichtet, diese Daten bereitzustellen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.