Datenschutzerklärung

Stand: 7. Oktober 2026 · English version

Deckjack ist eine kostenlose, inoffizielle Fan-App zum Verwalten einer Kartensammlung mit Tagespreisen. Es gibt keine Werbung, keine Analyse-Werkzeuge und keinen Verkauf deiner Daten. Weitergegeben werden Daten nur an die unten genannten Dienstleister, die wir für den Betrieb brauchen. Wir verarbeiten nur, was für die App nötig ist – das beschreibt diese Erklärung.

1. Verantwortlicher

Verantwortlich ist der Betreiber, eine Privatperson. Name und Anschrift stehen im Impressum. Kontakt für Datenschutzfragen: kenearos@mastersofdungeons.de. Ein Datenschutzbeauftragter ist nicht bestellt (nicht vorgeschrieben).

2. Hosting und Aufruf der App

App und Server laufen bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, auf Servern in Deutschland (Falkenstein). Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO).

Beim Aufruf überträgt dein Browser technisch bedingt deine IP-Adresse, Uhrzeit und die angefragte Adresse. Wir speichern keine Zugriffsprotokolle mit deiner IP-Adresse. Zum Schutz vor Missbrauch (Begrenzung zu vieler Anfragen) zählt der Server Anfragen je IP-Adresse; dieser Zähler verfällt nach etwa einer Minute; fehlgeschlagene Anmeldeversuche zählt er 15 Minuten lang unter einem Hashwert aus E-Mail-Adresse und IP-Adresse (pseudonymisiert, nicht im Klartext). Technische Fehlerprotokolle der Anwendung (ohne IP-Adressen, E-Mail-Adressen und Zugangsdaten) werden 14 Tage aufbewahrt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer, stabiler Betrieb).

Schriften, Programmteile und Kartenbilder kommen von unserem eigenen Server. Einzige Ausnahme: Die Web-App lädt beim Start die Fehlerbericht-Bibliothek von Sentry (browser.sentry-cdn.com); dabei erhält Sentry technisch bedingt deine IP-Adresse (Abschnitt 10). Die Verbindung ist durchgehend verschlüsselt (HTTPS).

3. Konto und Anmeldung

Daten
E-Mail-Adresse, Bestätigungsstatus, Spracheinstellung, deine Preis- und Alarm-Einstellungen. Meldest du dich mit Google an, speichern wir zusätzlich die von Google vergebene Konto-Kennung. Nutzt du ein Passwort, speichern wir es nur als nicht umkehrbaren Hashwert.
Zweck und Rechtsgrundlage
Bereitstellung deines Kontos und der Synchronisierung zwischen deinen Geräten, Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer
Bis du dein Konto löschst. Die Löschung kannst du jederzeit in der App unter „Konto" auslösen; sie wird innerhalb von 24 Stunden vollständig ausgeführt.

4. Anmeldung mit Google

Erst wenn du auf „Mit Google anmelden" tippst, wirst du zu Google weitergeleitet (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Google übermittelt uns danach deine E-Mail-Adresse und eine Konto-Kennung; dein Google-Passwort sehen wir nie. Google kann Daten auch in den USA verarbeiten; Grundlage ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Mehr dazu in der Datenschutzerklärung von Google.

5. Sammlung, Wunschliste, Alarme

Deine Karten (Menge, Zustand, Sprache, optional Einkaufspreis, Notizen), Ordner, Wunschliste mit Zielpreisen, Preisalarme, Portfolio-Verläufe und das Änderungsprotokoll speichern wir auf dem Server, damit sie auf allen deinen Geräten gleich sind; zusätzlich liegt eine Kopie lokal in deinem Browser bzw. auf deinem Gerät. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung des Kontos (einzelne Einträge löschst du jederzeit selbst). Unter „Konto" kannst du alle Daten als JSON oder CSV herunterladen.

6. Geräte, Sitzungen und lokale Speicherung

Für jedes angemeldete Gerät speichern wir eine zufällige Geräte-Kennung, die Plattform, einen Gerätenamen (im Browser nur der Browsername, in der Windows-App der Computername) und den letzten Zeitpunkt der Nutzung – damit du unter „Meine Geräte" siehst, wo du angemeldet bist, und andere Geräte abmelden kannst. Bei einer Anmeldung von einem neuen Gerät schicken wir dir eine Hinweis-Mail mit dem Gerätenamen.

Im Browser setzen wir nur technisch notwendige Speicherungen ein (§ 25 Abs. 2 TDDDG, keine Einwilligung nötig): Anmelde-Cookies (geschützt vor Skriptzugriff, 15 Minuten bzw. 30 Tage), ein Sicherheitswert gegen gefälschte Anfragen, deine E-Mail-Adresse und Geräte-Kennung für die Wiederanmeldung sowie eine lokale Datenbank mit Katalog und Sammlung. Es gibt keine Tracking- oder Werbe-Cookies. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Speicherdauer: Sitzungen laufen nach spätestens 30 Tagen ab; Geräte- und Sitzungseinträge auf dem Server werden mit dem Konto gelöscht. Abmelden entfernt die Anmeldedaten aus dem Browser; die lokale Kopie von Katalog und Sammlung bleibt aber im Browser, bis du die Websitedaten löschst oder dein Konto löschst – auf einem fremden oder geteilten Gerät lösche deshalb nach dem Abmelden die Websitedaten im Browser.

7. E-Mails (Brevo)

E-Mails versenden wir über Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) mit Vertrag zur Auftragsverarbeitung. Das betrifft: Bestätigung der E-Mail-Adresse, Passwort zurücksetzen, Hinweis auf ein neues Gerät, Preisalarme per Mail (nur wenn du sie einschaltest; ohne Kartennamen und Preise) und die Bestätigung der Kontolöschung. Brevo erhält dafür deine E-Mail-Adresse und den Mailinhalt. Brevo bewahrt Versandprotokolle einen Monat auf und speichert keine Kopien der Mails. Brevo fügt jeder Mail ein unsichtbares Bild (Zählpixel) hinzu, das sich nicht abschalten lässt: Lädt dein Mailprogramm Bilder, erfährt Brevo dabei deine IP-Adresse und dass die Mail geöffnet wurde. Wir haben Brevo so eingestellt, dass Öffnungen nur anonym gezählt und nicht dir zugeordnet werden; wir selbst werten sie nicht aus. Lädt dein Mailprogramm keine Bilder automatisch, findet das nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für Sicherheitshinweise lit. f.

8. Push-Benachrichtigungen

Preisalarme als Push-Nachricht gibt es nur, wenn du sie ausdrücklich erlaubst (Art. 6 Abs. 1 lit. a DSGVO). Dein Browser bzw. Gerät erzeugt dafür eine Push-Adresse beim Push-Dienst seines Herstellers (z. B. Google, Mozilla, Apple, Microsoft); die Nachricht wird verschlüsselt über diesen Dienst zugestellt und enthält nur einen allgemeinen Hinweis wie „Neuer Preisalarm" – keine Kartennamen, keine Preise. Für die Zustellung erhält der Push-Dienst die IP-Adresse deines Geräts. Die Hersteller betreiben diese Dienste in eigener Verantwortung und können Daten auch außerhalb der EU, insbesondere in den USA, verarbeiten; Grundlage ist das EU-US Data Privacy Framework, soweit der Anbieter dort zertifiziert ist. Du kannst die Erlaubnis jederzeit widerrufen: in der App wird die Push-Adresse sofort gelöscht, beim Widerruf nur im Browser beim nächsten Zustellversuch.

9. Fehlerberichte und Feedback

Wenn du „Fehler melden" oder „Feedback senden" nutzt, speichern wir deinen Text, die Seite, auf der du warst, App-Version und Plattform – und, nur wenn du es eingeschaltet lässt, einen Screenshot des Bildschirms. Ein Screenshot kann zeigen, was gerade zu sehen war (z. B. deine Sammlung oder E-Mail-Adresse); du siehst ihn vor dem Senden und kannst ihn abschalten. Der Bericht wird als Ticket in ein nicht öffentliches Fehlerverzeichnis auf einem eigenen Server des Betreibers in Deutschland übertragen – mit deiner Konto-Kennung, nicht deiner E-Mail-Adresse. Der Betreiber erhält eine Hinweis-Mail ohne Inhalt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Fehler beheben, App verbessern); das Senden ist freiwillig. Speicherdauer: Berichte und Tickets werden nach 180 Tagen gelöscht, bei Löschung des Kontos zusammen mit dem Konto (innerhalb von 24 Stunden; ist der Fehler-Server gerade nicht erreichbar, sobald er wieder erreichbar ist); ein Screenshot liegt auf dem App-Server nur bis zur Übertragung, höchstens 30 Tage.

10. Fehlerdiagnose (Sentry)

Stürzt die App oder der Server ab, senden wir einen technischen Fehlerbericht an Sentry (Functional Software, Inc., San Francisco, USA) mit Datenspeicherung in der EU (Frankfurt). Der Bericht enthält Fehlermeldung, Programmstelle, Browser- bzw. Gerätetyp und Betriebssystem sowie höchstens deine pseudonyme Konto-Kennung; E-Mail- Adressen, Zugangsdaten, Eingaben und Screenshots werden vor dem Senden entfernt. Damit Fehler in der Web-App erfasst werden, lädt sie beim Start die Fehlerbericht-Bibliothek von Sentrys Server (browser.sentry-cdn.com), auch wenn kein Fehler auftritt. Beim Laden und beim Senden wird technisch bedingt deine IP-Adresse übertragen. Fehlerberichte speichert Sentry ohne IP-Adresse und ohne daraus abgeleiteten Ort (in unserem Sentry-Konto abgeschaltet seit 7. Oktober 2026). Grundlage für mögliche Zugriffe aus den USA: EU-US Data Privacy Framework und Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (stabile, fehlerfreie App). Speicherdauer: höchstens 90 Tage.

11. Karten- und Preisdaten

Kartenkatalog, Kartenbilder und Tagespreise holt unser Server selbst ab (Cardmarket, offizielle Kartendatenbank). Dabei werden keine Daten über dich übermittelt.

12. Datensicherung

Die Datenbank wird nachts verschlüsselt gesichert und 30 Tage aufbewahrt – auf dem Server und als verschlüsselte Kopie auf einem eigenen Speichergerät des Betreibers in Deutschland. Zusätzlich erstellt Hetzner tägliche Sicherungen des Servers (7 Tage). Nach einem Löschantrag verschwinden deine Daten daher spätestens 31 Tage später auch aus den Sicherungen (bis zu 24 Stunden bis zur Löschung, danach 30 Tage Aufbewahrung der Sicherungen).

13. Deine Rechte

Schreib dafür an kenearos@mastersofdungeons.de. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestr. 2–4, 40213 Düsseldorf.

Für die Nutzung der App bist du nicht verpflichtet, Daten anzugeben; ohne E-Mail-Adresse bzw. Google-Konto kannst du aber kein Konto anlegen. Es gibt keine automatisierten Entscheidungen oder Profilbildung.

14. Änderungen

Ändert sich die App oder die Rechtslage, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.