EverySlabDatenschutzerklärung
Stand 2026-10-22
1. Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten auf EverySlab (https://everyslab.com) ist Manta Technologies GmbH, Erich-Weinert-Str. 10, 10439 Berlin, Deutschland. Sie erreichen uns unter info@everyslab.com oder telefonisch unter +49 30 75939148.
Diese Erklärung beschreibt, welche Daten wir verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Ihnen nach der DSGVO und dem TDDDG zustehen. Sie orientiert sich am tatsächlichen Betrieb des Dienstes.
2. Sprache
Diese Datenschutzerklärung liegt auf Deutsch und Englisch vor. Bei Abweichungen ist die deutsche Fassung maßgeblich.
3. Was wir nicht tun
Wir setzen keine Werbenetze, Tracking-Pixel oder Profiling zu Werbezwecken ein. Wir verkaufen keine personenbezogenen Daten. Für Produktanalyse, Webanalyse und Sitzungsaufzeichnungen nutzen wir PostHog nur mit Ihrer Einwilligung; ohne Einwilligung zählen wir Besuche ausschließlich anonym (siehe Analyse). Schriften werden selbst gehostet (@fontsource); wir laden keine Google Fonts oder andere fremde Webfonts nach.
5. Analyse (PostHog)
Wir setzen PostHog, Inc. (USA) als Auftragsverarbeiter für Produktanalyse, Webanalyse und Sitzungsaufzeichnungen ein. Die Daten werden in der EU-Cloud von PostHog (Frankfurt am Main) gespeichert. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework und, soweit erforderlich, Standardvertragsklauseln.
Ohne Einwilligung: PostHog zählt Besuche im cookieless-Modus. Dafür wird ein täglich rotierender serverseitiger Hash aus IP-Adresse, User-Agent und Hostname gebildet. Auf Ihrem Gerät wird nichts gespeichert oder ausgelesen (keine Cookies, kein local- oder sessionStorage). IP-Adressen werden anonymisiert und nicht gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung). § 25 TDDDG greift nicht, weil nichts auf dem Endgerät gespeichert oder ausgelesen wird.
Mit Einwilligung: PostHog speichert eine Kennung in einem First-Party-Cookie und im localStorage (Name ph_<project token>_posthog, Speicherdauer 365 Tage), erfasst Seitenaufrufe, Klicks und eigene Ereignisse und zeichnet Sitzungen mit vollständig maskierten Eingaben auf (Aufbewahrung 30 Tage). Wenn Sie angemeldet sind, verknüpfen wir Ereignisse mit Ihrer internen Konto-ID (nicht mit E-Mail oder Namen). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können die Einwilligung jederzeit über die Cookie-Einstellungen widerrufen; wir beenden dann die Aufzeichnung, löschen die PostHog-Analysespeicher und kehren zur cookieless-Zählung zurück.
Serverseitige Betriebsereignisse (zum Beispiel dass ein Alert oder die Willkommens-E-Mail gesendet wurde, dass Sie E-Mail-Alerts abbestellt haben, dass Sie einen Sammlungs-Eintrag hinzugefügt oder entfernt haben oder dass Sie ein Foto gescannt haben und wie viele Karten erkannt wurden) gehen an PostHog nur mit der pseudonymen Konto-ID, ohne dass serverseitig ein Personenprofil angelegt wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Verbesserung des Dienstes).
6. Konto und Anmeldung
Für ein Konto melden Sie sich über WorkOS, Inc. (USA) an. WorkOS verarbeitet als Auftragsverarbeiter Ihre E-Mail-Adresse, Ihren Namen und Authentisierungsereignisse. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework und, soweit erforderlich, auf Standardvertragsklauseln.
Wir speichern: E-Mail-Adresse, Vorname, Nachname, Sprache, Zeitpunkt der letzten Anmeldung, Kontostatus (Warteliste, aktiv oder deaktiviert) sowie eine WorkOS-Nutzerkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag) und Art. 6 Abs. 1 lit. f DSGVO für die Sicherheit der Anmeldung.
7. Watchlists, Alerts und Einstellungen
Wenn Sie Watchlists nutzen, speichern wir Ihre Alert-Kriterien (Karte, Sprachen, Noten- oder Zustandsfilter, Preis- und Rabattgrenzen, Konfidenz), passende Angebote, den Verlauf der Benachrichtigungen (Kanal, Status, Sendezeitpunkt) sowie Ihre E-Mail- und Telegram-Einstellungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Zu Sicherheit und Integrität des Dienstes führen wir kurze Betriebsprotokolle über Änderungen an Watchlists (Vorgang, vorher/nachher, Nutzer-ID; Art. 6 Abs. 1 lit. f DSGVO).
8. E-Mail-Versand
Alert-E-Mails und eine einmalige Willkommens-E-Mail, die wir bei Freischaltung Ihres Kontos senden und die erklärt, wie der Dienst funktioniert, versenden wir über Resend (Plus Five Five, Inc.), USA. Die Versandregion ist die EU (eu-west-1). Jede Alert-E-Mail enthält einen Abmeldelink. Newsletter zu Werbezwecken versenden wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Übermittlungen: EU-US Data Privacy Framework und Standardvertragsklauseln, soweit anwendbar.
9. Optionale Telegram-Alerts
Wenn Sie Telegram verbinden, speichern wir Chat-ID und Nutzername und senden Alerts über die Telegram-Bot-API. Telegram (Telegram Messenger Inc. / Telegram FZ-LLC) verarbeitet die Nachricht nach eigener Datenschutzerklärung. Die Verbindung können Sie in den Einstellungen trennen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Bis zur erfolgreichen Verknüpfung oder zum Ablauf speichern wir einen kurzlebigen, gehashten Link-Token.
10. Kartenscan (Google Gemini)
Wenn Sie die Scan-Funktion nutzen, werden die Fotos, die Sie hochladen, an die Gemini-API von Google (Google Ireland Ltd. / Google LLC) gesendet, damit die gedruckte Karte erkannt werden kann. Das Bild wird im Arbeitsspeicher verarbeitet. Nach der Erkennung speichern wir das Foto nicht: Die Bytes werden gelöscht. Wir behalten nur die erkannte Kartenidentität, die Konfidenz dieser Erkennung und den Sammlungs-Eintrag, den Sie übernehmen.
Nach den Bedingungen von Google für die Gemini-API werden Inhalte beim kostenpflichtigen Dienst nicht zum Trainieren von Modellen verwendet. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework und, soweit erforderlich, Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Sie haben die Funktion angefordert).
Jeder Scan-Link gilt nur für diese Sitzung und läuft nach 30 Minuten ab. Die Karten, die Sie als Besitz markieren, sowie optionaler Kaufpreis und Notizen speichern wir nach Art. 6 Abs. 1 lit. b DSGVO.
11. Hosting, Protokolle und Sicherheit
Website, API, PostgreSQL-Datenbank, Redis und Hintergrundprozesse hostet Railway Corporation (USA) in der EU-Region europe-west4 (Niederlande). Übermittlungen: EU-US Data Privacy Framework und Standardvertragsklauseln, soweit anwendbar.
Wir speichern Server- und Anwendungsprotokolle (einschließlich IP-Adresse, aufgerufene URL, Zeitpunkt und Fehlerangaben) zur Sicherheit, zur Missbrauchsvermeidung, zur Begrenzung der Anfragenrate und zur Fehleranalyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Protokolle werden 30 Tage aufbewahrt.
12. DNS, Weiterleitungen und eingehende E-Mails
Cloudflare, Inc. (USA) stellt DNS bereit, leitet everyslabs.com und www auf everyslab.com um und leitet eingehende E-Mails an info@everyslab.com und alerts@everyslab.com weiter. Übermittlungen: EU-US Data Privacy Framework und Standardvertragsklauseln, soweit anwendbar.
13. Kartenbilder (TCGdex)
Kartenbilder lädt Ihr Browser unmittelbar von assets.tcgdex.net (TCGdex, eine quelloffene Kartendatenbank). TCGdex erhält dadurch Ihre IP-Adresse und Ihren User-Agent. Kontodaten übermitteln wir nicht. Rechtsgrundlage für die Einbindung: Art. 6 Abs. 1 lit. f DSGVO (Darstellung des Katalogs).
14. Marktdaten und fremde Websites
Fair Values, Live-Angebote und Deals berechnen wir aus öffentlich zugänglichen Marktseiten und Verkaufsdaten (insbesondere Cardmarket sowie historische Verkäufe etwa von eBay, Fanatics und Goldin). Ihre personenbezogenen Daten übermitteln wir an diese Plattformen nicht.
Folgen Sie einem externen Link — etwa zu einem Angebot auf Cardmarket —, verlassen Sie EverySlab; es gilt die Datenschutzerklärung der jeweiligen Seite. Käufe kommen ausschließlich zwischen Ihnen und dem Drittverkäufer zustande.
15. Speicherdauer und Löschung
Eine Selbstbedienung zur Kontolöschung gibt es derzeit nicht. Zur Löschung schreiben Sie an info@everyslab.com. Wir deaktivieren das Konto und löschen oder anonymisieren personenbezogene Daten, soweit keine gesetzliche Aufbewahrungspflicht eine begrenzte weitere Speicherung verlangt.
Teilt uns WorkOS mit, dass der Nutzer gelöscht wurde, deaktivieren wir das EverySlab-Konto (Soft-Delete): Die Anmeldung wird gesperrt, Watchlists werden abgeschaltet. Für den Benachrichtigungsverlauf gibt es keinen gesonderten Löschlauf; er bleibt bis zur Löschung des Kontos gespeichert.
Kontodaten speichern wir im Übrigen, solange das Konto besteht. Cookies enden wie oben angegeben. Protokolle bewahren wir 30 Tage auf.
16. Empfänger und Drittlandübermittlung
Außer den oben genannten Stellen verarbeiten nur wir und — soweit erforderlich — zur Verschwiegenheit verpflichtete Berater personenbezogene Daten. Ein Verkauf von Daten findet nicht statt.
Soweit Anbieter in den USA sitzen, stützen sich Übermittlungen auf einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework) und/oder Standardvertragsklauseln sowie die von den Anbietern beschriebenen Maßnahmen.
17. Ihre Rechte
Ihnen stehen die Rechte aus Art. 15–21 DSGVO zu: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Soweit eine Verarbeitung auf einer Einwilligung beruht (Analyse und Sitzungsaufzeichnungen), können Sie diese jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen.
Zur Ausübung Ihrer Rechte schreiben Sie an info@everyslab.com. Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren — insbesondere in dem Mitgliedstaat Ihres Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes oder am Sitz des Verantwortlichen: Berliner Beauftragte für Datenschutz und Informationsfreiheit.
18. Widerspruchsrecht (Art. 21 DSGVO)
Sie können einer Verarbeitung, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir stellen die Verarbeitung dann ein, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
19. Mindestalter
EverySlab richtet sich nicht an Kinder unter 16 Jahren. Legen Sie kein Konto an, wenn Sie unter 16 Jahre alt sind.
20. Änderungen
Wir passen diese Erklärung an, wenn sich der Dienst oder das Recht ändert. Das Datum oben ist der letzte Stand. Registrierte Nutzer unterrichten wir per E-Mail, wenn eine Änderung wesentlich ist. Siehe auch das Impressum und die Nutzungsbedingungen.