CardVault · Stand: 10. August 2026
Diese Erklärung informiert dich nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten die App „CardVault" verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, wer sie erhält und wie lange sie gespeichert werden.
Sönke Morrow
c/o MDC#1264
Welserstraße 3
87463 Dietmannsried
Deutschland
E-Mail: support@cardvault-app.de
Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen nach Art. 37 DSGVO / § 38 BDSG liegen nicht vor.
Deine Kartensammlung, deine Kartenfotos, deine Beobachtungsliste und deine Erfolge werden lokal auf deinem iPhone gespeichert und nicht an uns übertragen. Wir betreiben keine Cloud-Synchronisierung deiner Sammlung. Was unseren Server erreicht, steht vollständig in der Tabelle unter Punkt 3.
| Zweck | Daten | Rechtsgrundlage | Empfänger | Speicherdauer |
|---|---|---|---|---|
| Konto anlegen und anmelden | E-Mail-Adresse, verschlüsseltes Passwort, Nutzer-ID, Zeitpunkt der Registrierung. Bei „Mit Apple anmelden": die von Apple übermittelte (ggf. anonymisierte Weiterleitungs-)Adresse und optional dein Vorname. | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) | Supabase (EU) | Bis zur Löschung des Kontos |
| Karten-Erkennung („Scannen") | Das aufgenommene Kartenfoto, auf max. 1024 px verkleinert | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) | Anthropic PBC (USA) | Wird von uns nicht gespeichert — das Bild wird zur Erkennung durchgereicht und danach verworfen. Zur Speicherung bei Anthropic siehe Punkt 5. |
| Wöchentliches Scan-Kontingent, Missbrauchs- und Kostenkontrolle | Nutzer-ID, Zeitstempel, Erfolg/Fehler des Scans, Modellname, Token-Anzahl und -Kosten, erkannter Kartenname und -nummer | Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Durchsetzung des Kontingents und der Abwehr von Missbrauch) | Supabase (EU) | 12 Monate, danach automatische Löschung; bei Kontolöschung sofort |
| CardVault Pro: Abo-Status prüfen | Nutzer-ID, Abo-Status, Ablaufdatum, anonyme RevenueCat-Kennung | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) | RevenueCat (USA), Apple | Bis zur Löschung des Kontos |
| CardVault Pro: Preis-Verlauf und Beobachtungsliste | Karten-IDs (z. B. base1-4) — ohne Bezug zu deinem Konto. Die abgerufenen Marktpreise werden anonym pro Karte gespeichert und von allen Pro-Mitgliedern gemeinsam genutzt. |
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) | Supabase (EU), TCGdex | Preisreihen dauerhaft (anonym, kein Personenbezug); deine Beobachtungsliste bleibt lokal |
| Konto-E-Mails (Bestätigung, Passwort zurücksetzen) | E-Mail-Adresse, Zeitpunkt des Versands | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) | Resend (EU-Region) | Versandprotokoll max. 30 Tage beim Dienstleister |
| „Mit Apple anmelden" bei Kontolöschung widerrufen | Apple-Refresh-Token (nur serverseitig, für dich und für uns nicht auslesbar) | Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus Apples Vorgaben) i. V. m. lit. b | Supabase (EU), Apple | Bis zur Löschung des Kontos |
| Kartendaten und Kartenbilder abrufen | Nur die angefragte Karten- oder Set-ID. Es werden keine personenbezogenen Daten übermittelt. | Art. 6 Abs. 1 lit. b DSGVO | TCGdex | Antworten werden nur lokal auf dem Gerät zwischengespeichert |
Die Karten-Erkennung nutzt ein KI-Modell (Claude von Anthropic). Dein Foto wird dafür einmalig an Anthropic übertragen und dort ausgewertet; zurück kommen der erkannte Kartenname, die Kartennummer, der Set-Name und ein Sicherheitswert. Das Ergebnis ist ein Vorschlag, keine gesicherte Feststellung — die App zeigt dir das Ergebnis vor dem Speichern an, weist auf geringe Sicherheit hin und lässt dich jederzeit korrigieren oder manuell suchen.
Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt: die Erkennung hat keine rechtliche Wirkung und beeinträchtigt dich nicht in ähnlicher Weise erheblich. Es findet kein Profiling statt.
Zwei Empfänger sitzen in den USA: Anthropic PBC (Karten-Erkennung) und RevenueCat, Inc. (Abo-Status). Die Übermittlung erfolgt auf Grundlage der von der EU-Kommission erlassenen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914, Modul 2 Verantwortlicher → Auftragsverarbeiter), die Bestandteil der jeweiligen Auftragsverarbeitungsverträge sind.
Anthropic verwendet über die API übermittelte Inhalte vertraglich nicht zum Training von Modellen. Trotz dieser Garantien lässt sich ein Zugriff US-amerikanischer Behörden auf Daten in den USA nicht vollständig ausschließen. Wenn du das vermeiden möchtest, nutze statt des Scans die manuelle Kartensuche in der App — dabei wird kein Foto übertragen.
Der Kamerazugriff dient ausschließlich dem Scannen von Karten und findet nur statt, während der Scanner geöffnet ist. Es gibt keinen Hintergrundzugriff und keine Aufzeichnung von Video oder Ton. CardVault fordert keinen Zugriff auf deine Fotomediathek an. Aufgenommene Kartenfotos werden ausschließlich im privaten App-Verzeichnis auf deinem Gerät abgelegt und beim Löschen der Karte mitgelöscht.
CardVault enthält keine Werbung, kein Analyse-SDK und kein geräteübergreifendes Tracking. Es wird nicht um Tracking-Erlaubnis (App Tracking Transparency) gebeten, weil nicht getrackt wird. Daten werden nicht verkauft.
Mit Supabase, Anthropic, RevenueCat und Resend bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Diese Dienstleister verarbeiten die Daten ausschließlich nach unserer Weisung.
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist z. B. das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach.
Die Angabe einer E-Mail-Adresse ist für die Erstellung eines Kontos erforderlich; ohne Konto kann die Scan-Funktion nicht genutzt werden, weil das wöchentliche Kontingent sonst nicht zugeordnet werden kann. Es besteht keine gesetzliche Pflicht zur Bereitstellung dieser Daten.
CardVault richtet sich an Sammlerinnen und Sammler jeden Alters, wird aber nicht gezielt an Kinder vermarktet und enthält keine Werbung. Ist der Nutzer jünger als 16 Jahre, sollte das Konto durch einen Erziehungsberechtigten eingerichtet werden (Art. 8 DSGVO).
Diese Erklärung kann angepasst werden, wenn sich die Verarbeitung ändert. Die jeweils aktuelle Fassung ist in der App unter Profil → Rechtliches verlinkt.
