Rechtliches
Datenschutzerklärung
Wir nehmen den Schutz deiner persönlichen Daten ernst. Diese Erklärung informiert dich darüber, welche Daten wir bei der Nutzung von Flippit verarbeiten und welche Rechte du diesbezüglich hast (DSGVO + revDSG).
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung auf flippit.ch:
2. Welche Daten wir erfassen
Bei der Nutzung von Flippit verarbeiten wir folgende Daten:
- Account-Daten: E-Mail, Username, Passwort (gehasht), Bio, Avatar-Bild, Theme-Präferenz, Sprache.
- Karten-Daten: von dir hochgeladene Karten-Listings inkl. Fotos, Beschreibungen, Preisen, Tausch-Wünschen.
- Kommunikation: Nachrichten zwischen Nutzer:innen, Anfragen zu Karten, Bewertungen.
- Bestellungen: Käufe, Verkäufe, Tracking-Nummern, Status-Updates.
- Aktivitäten: Wishlist, gefolgte Profile, Last-Seen-Zeitstempel.
- Technische Daten: IP-Adresse (in Logs ~30 Tage), Browser-User-Agent, Session-Cookies (essentielle Auth).
- Notifications: Inhalt + Zustellstatus deiner App-Benachrichtigungen.
Kinder und Jugendliche: Flippit richtet sich an Personen ab 12 Jahren. Bei Nutzer:innen unter 16 setzen wir die Zustimmung der Eltern oder einer erziehungsberechtigten Person voraus. Wir erheben von Kindern keine zusätzlichen Daten und stützen optionale Verarbeitungen (z. B. Reichweitenmessung) nicht auf die Einwilligung von Kindern.
3. Zwecke und Rechtsgrundlagen
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung der Plattform (Login, Profil, Marktplatz, Messaging) | Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) |
| Bewertungen nach Käufen und Verkäufen, Anti-Spam, Moderation | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) |
| Versand von Plattform-Mitteilungen (Suspendierungen, AGB-Updates) | Vertragserfüllung + berechtigtes Interesse |
| Cookies/Tracking jenseits "essentiell" | Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) — siehe Cookie-Banner |
| Gesetzliche Aufbewahrungspflichten (z. B. Buchhaltung, soweit anwendbar) | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) |
4. Auftragsverarbeiter und Empfänger
Wir setzen folgende Dienstleister ein, die Daten in unserem Auftrag verarbeiten:
- Supabase (Datenbank + Authentifizierung) — Anbieter: Supabase Inc., USA. Verträge: Standardvertragsklauseln (SCC) der EU.
- Vercel (Hosting + CDN) — Anbieter: Vercel Inc., USA. Verträge: SCC.
- Resend (Versand von E-Mails, z. B. Bestätigungen und Benachrichtigungen) — Anbieter: Resend Inc., USA. Erhält E-Mail-Adresse und den Inhalt der jeweiligen Nachricht. Verträge: SCC.
- Sentry (Fehlerberichte der Anwendung) — Anbieter: Functional Software Inc., USA. Erhält technische Daten zum Fehler (Browser, Seite, gekürzte IP), keine Nachrichteninhalte. Verträge: SCC.
- Vercel Analytics und Speed Insights (Reichweite und Ladezeiten) — nur mit deiner Einwilligung über die Cookie-Einstellungen; ohne Cookies, keine Profile über Seiten hinweg.
- RapidAPI / cardmarket-api-tcg (Markt-Preis-Lookup für Karten) — übermittelt werden nur Karten-Identifier, keine Personendaten.
- Slack/Discord (optional, nur wenn du als Admin Webhook-Alerts konfigurierst) — empfängt Plattform-Error-Events, keine Inhalte von Nutzer:innen.
Eine Weitergabe an andere Dritte erfolgt nicht, ausser zur Erfüllung rechtlicher Verpflichtungen.
5. Drittland-Übermittlung
Da Supabase, Vercel, Resend und Sentry teilweise auf Server in den USA zugreifen, findet eine Drittland-Übermittlung statt. Diese basiert auf Standardvertragsklauseln (SCC) der EU-Kommission und/oder dem EU-US Data Privacy Framework. Die Anbieter haben sich zur Einhaltung gleichwertiger Schutzstandards verpflichtet.
6. Speicherdauer
- Account-Daten: bis zur Löschung des Accounts durch dich.
- Bei Account-Löschung: Username + Profil-Inhalte werden anonymisiert. Beiträge in Bestellungen / Bewertungen bleiben für die andere Vertrags partei erhalten (für Rückverfolgbarkeit eines Geschäfts), aber dein Username erscheint dort als
deleted_xxxx. - Audit-Log Einträge zu Admin-Aktionen: zeitlich unbegrenzt (Compliance).
- Error-Logs: 7 / 30 / 90 Tage gestaffelt nach Severity (Auto-Cleanup).
- IP-Adressen in Server-Logs: max. 30 Tage.
7. Deine Rechte
Als betroffene Person hast du folgende Rechte:
- Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung falscher Daten (Art. 16 DSGVO)
- Löschung ("Recht auf Vergessenwerden", Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit — deine Daten in einem maschinenlesbaren Format erhalten (Art. 20 DSGVO)
- Widerspruch gegen eine Verarbeitung (Art. 21 DSGVO)
- Widerruf einer Einwilligung jederzeit (Art. 7 Abs. 3 DSGVO) — z. B. Cookie-Einstellungen
- Beschwerde bei der zuständigen Aufsichtsbehörde:
- CH: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
- DE: Datenschutzbehörde des jeweiligen Bundeslandes
- AT: Datenschutzbehörde (DSB)
Anfragen zu diesen Rechten richte bitte an flippit.cards@gmail.com. Account-Löschung kannst du auch direkt im Profil-Menü auslösen.
8. Daten-Export
Du kannst jederzeit eine Kopie aller dich betreffenden Daten als maschinenlesbare JSON-Datei herunterladen. Der Export umfasst dein Profil, deine Karten, Bestellungen, Konversationen, Bewertungen, Wishlist und Notification-Historie.
Die Datei landet nur lokal in deinem Browser, wird nicht serverseitig gespeichert. Rate-Limit: 1 Export pro 5 Minuten.
10. Änderungen dieser Datenschutzerklärung
Wir passen diese Erklärung an, wenn sich rechtliche Vorgaben oder unsere Verarbeitung ändern. Wesentliche Änderungen kommunizieren wir per Plattform-Notification. Den jeweils aktuellen Stand findest du immer hier.