Datenschutzerklärung

Welche Daten wir erheben

Cardheist erhebt nur, was nötig ist, um die Website zu betreiben und dir ein nutzbares Konto bereitzustellen.

• Konto – E-Mail-Adresse, gehashtes Passwort (falls du eines festlegst), Verifizierungsstatus, optionale Marketing-Einwilligung, deine Einstellung für Preisalarm-Mails und ein optionaler Anzeigename, der in der Anrede von E-Mails verwendet wird.
• Social-Login-Identitäten – wenn du dich über Google oder Facebook anmeldest, speichern wir die Nutzer-ID des Anbieters sowie die E-Mail-Adresse und den Namen, die er uns übermittelt. Dein Passwort beim Anbieter erhalten oder speichern wir nie. Du kannst jeden Anbieter unter Konto → Verknüpfte Konten trennen.
• Sitzungen – IP-Adresse und User-Agent bei der Anmeldung, Sitzungstoken-Cookie.
• Affiliate-Klicks – serverseitiger Logeintrag pro Klick (Zeitstempel + Produkt), gehashte IP, keine personenbezogenen Daten, keine Drittanbieter-Cookies. Außerdem zählen wir Seitenaufrufe und Klicks pro Besucherquelle (zum Beispiel eine Suchmaschine oder ein KI-Assistent) und Gerätetyp – nur als Summen, ohne Cookies und ohne jede Möglichkeit, sie auf dich zurückzuführen.
• Statistik – anonymisierte, aggregierte Seitenaufrufe. Nur mit deiner Einwilligung.

Wo deine Daten gespeichert werden

• Postgres-Datenbank – Hetzner Cloud, Falkenstein, Deutschland (EU).
• E-Mail-Versand – Brevo (sendinblue.com), Frankreich (EU). Wird verwendet, um Bestätigungs-E-Mails, E-Mails zum Zurücksetzen des Passworts und (falls du dich dafür anmeldest) Angebotsalarme zu versenden. Brevo hat einen EU-Standard-Auftragsverarbeitungsvertrag unterzeichnet und verarbeitet nur, was für die Zustellung der E-Mail nötig ist.

Wie lange wir sie aufbewahren

• Konto – bis du es löschst.
• Aktive Sitzungen – bis du dich abmeldest oder nach 30 Tagen Inaktivität.
• Serverlogs – 90 Tage, danach automatische Rotation.
• Affiliate-Klicks – 24 Monate für den Provisionsabgleich.

Die Android-App

Die Cardheist-App für Android nutzt dasselbe Konto wie die Website und erhebt nichts über das oben Beschriebene hinaus. Die App zeigt keine Preise — Links öffnen cardheist.com in deinem Browser.

• Anmeldung — nachdem du dich mit E-Mail und Passwort oder Google angemeldet hast, speichert die App ein Anmelde-Token auf deinem Telefon, verschlüsselt mit dem Android Keystore. Es endet, wenn du dich abmeldest, dein Konto löschst oder dein Passwort änderst. Auf deiner Kontoseite auf der Website siehst du die über die App angemeldeten Telefone und kannst jedes einzeln abmelden.
• Sammlung und Wunschlisten — die Karten und Sealed-Produkte, die du in der App hinzufügst, werden in deinem Konto gespeichert, sind im Datenexport enthalten und werden mit deinem Konto gelöscht.
• Kein Tracking — die App enthält keine SDKs für Statistik, Werbung oder Absturzberichte.

Konto löschen — in der App unter Konto → Konto löschen, auf der Website unter Konto → Konto löschen oder per E-Mail an privacy@cardheist.com. Dein Konto, deine Sammlung, Wunschlisten und App-Anmeldungen werden sofort gelöscht.

Deine Rechte

Nach der DSGVO kannst du die folgenden Rechte über deine Kontoseite (oder per E-Mail an uns) ausüben:

• Auskunft – lade unter Konto → Deine Daten herunterladen einen JSON-Export mit allem herunter, was wir über dich gespeichert haben.
• Berichtigung – ändere Name, E-Mail-Adresse, Passwort oder Marketing-Einwilligung unter Konto.
• Löschung – lösche dein Konto und alle zugehörigen Daten unter Konto → Konto löschen. Du erhältst eine Bestätigungs-E-Mail.
• Widerspruch / Widerruf – schalte Marketing-E-Mails und Preisalarm-Mails jederzeit unter Konto → E-Mail-Einstellungen ab – Preisalarm-Mails auch über den Abmeldelink in jeder E-Mail.
• Datenübertragbarkeit – der Datenexport liegt in maschinenlesbarem JSON vor.
• Beschwerde – du kannst Beschwerde bei der dänischen Datenschutzbehörde (Datatilsynet) einlegen.

Cookies

Cardheist.com holt deine Einwilligung zu Statistik- und Werbe-Cookies über Googles zertifizierte Consent-Management-Plattform (IAB TCF v2.2) ein, die bei deinem ersten Besuch angezeigt wird. Deine Wahl wird in einem Cookie (FCCDCF) auf cardheist.com gespeichert. Du kannst deine Einwilligung jederzeit ändern oder widerrufen – über die Schaltfläche Cookie-Einstellungen unten auf der Seite, die Googles Einwilligungsdialog erneut öffnet.

• Unbedingt erforderlich – Login-Sitzung, CSRF-Schutz, deine Einwilligungsentscheidung. Werden immer gesetzt; ohne sie funktioniert die Website nicht. Affiliate-Klicks werden serverseitig anonym protokolliert (gehashte IP, keine personenbezogenen Daten), damit Händlerpartner Provisionen korrekt zuordnen können.
• Suchverlauf – heist_recent_searches (First-Party, 1 Jahr) merkt sich deine letzten Suchanfragen, damit sie im Suchfeld angezeigt werden können. Wird nur gesetzt, wenn du im Suchfeld selbst „Suchverlauf speichern“ aktivierst; enthält nur deine Suchbegriffe und kann über „Verlauf löschen“ gelöscht oder an derselben Stelle wieder deaktiviert werden. Wenn du angemeldet bist, werden die letzten Suchanfragen stattdessen in deinem Konto gespeichert.
• Einstellungen – ch_game und ch_filters (First-Party, 1 Jahr) merken sich das Spiel und die Filter, die du selbst gewählt hast, damit du beim nächsten Mal bei deinem Spiel landest. Werden in dem Moment gesetzt, in dem du wählst; „Spiel wechseln“ und „Alle zurücksetzen“ löschen sie. Wenn du angemeldet bist, wird das Spiel stattdessen in deinem Profil gespeichert. Kein Tracking, keine Weitergabe.
• Statistik – Google Analytics 4 mit Consent Mode v2 und anonymisierter IP. Wird nur aktiviert, wenn du in der Einwilligungsmeldung zustimmst.
• Werbung – Google AdSense und Affiliate-Netzwerke. Ohne Einwilligung werden nicht personalisierte Anzeigen ohne Cookies angezeigt; mit deiner Einwilligung in der Einwilligungsmeldung dürfen Google und Partner Cookies zur Personalisierung setzen.

Affiliate-Links

Wenn du auf einen Link zu einem Händler klickst, erhalten wir unter Umständen eine kleine Provision. Der Händler weiß, dass du von Cardheist.com kommst, erfährt aber nicht, wer du bist. Wenn du Marketing-Cookies akzeptiert hast, können Affiliate-Netzwerke und der Händler auf ihrer eigenen Domain eigene Cookies setzen, um zu messen, ob dein Klick zu einem Kauf geführt hat.

Kontakt

Fragen zu unserer Datenschutzerklärung? Schreib an privacy@cardheist.com – wir antworten innerhalb von 5 Werktagen.