Datenschutzerklärung
Version 1.0 · Letzte Aktualisierung: 28. August 2026
1. Verantwortliche Stelle und Kontakt
Verantwortlich für die Bearbeitung von Personendaten im Zusammenhang mit CardLedger ist:
Siegel Trading, Luzernerstrasse 17E, 5630 Muri AG, Schweiz · Kontakt für Datenschutzanliegen: shop@detsuki.ch
Es ist keine externe Datenschutzberaterin bzw. kein externer Datenschutzberater bestellt; Anfragen werden direkt durch Tobias Siegel bearbeitet.
2. Geltungsbereich
Diese Erklärung gilt für die öffentlichen Seiten von CardLedger (Startseite, Funktionen, Preise, Änderungsprotokoll, Impressum, Datenschutz) sowie für den passwortgeschützten Anwendungsbereich, in dem Shops Ankäufe, Verkäuferdaten, Inventar und Belege verwalten. Grundlage ist das Schweizer Datenschutzgesetz (DSG) und die Datenschutzverordnung (DSV).
CardLedger wird auch Interessentinnen und Interessenten im EU-/EWR-Raum angeboten. Für Personen in diesen Ländern kann zusätzlich die DSGVO anwendbar sein; die nachstehenden Angaben zu Zwecken, Empfängern, Auslandbekanntgabe, Aufbewahrung und Rechten gelten entsprechend. Die genaue Reichweite der DSGVO-Anwendbarkeit ist rechtlich abschliessend zu prüfen.
Nutzt ein Shop CardLedger, um Daten seiner eigenen Ankaufskundschaft zu erfassen, so bestimmt dieser Shop Zweck und Mittel dieser Bearbeitung selbst. Siegel Trading bearbeitet diese Daten in diesem Fall im Auftrag des Shops.
3. Bearbeitete Personendaten und Herkunft
- Technische Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, angefragte Adresse, Statuscode, Browser- und Geräteangaben (aus dem Seitenaufruf).
- Kontodaten: E-Mail-Adresse, Passwort (nur als Hash), Anzeigename, Sprachpräferenz, Rolle und Shopzugehörigkeit, Zeitpunkte von Anmeldungen (bei Registrierung bzw. Einladung).
- Shop- und Geschäftsdaten: Shopname, Währung, Ankaufsfaktoren, Ankaufsbelege, Artikel, Preise, Wechselkurse, Protokolle von Änderungen.
- Daten von Ankaufsverkäuferinnen und -verkäufern: die vom Shop erfassten Angaben (z. B. Name und Kontaktangaben) zur Dokumentation des Ankaufs.
- Inhalte, die Sie aktiv übermitteln: Kartenfotos zur Erkennung, E-Mail-Adressen für den Belegversand, Support-Anfragen.
Die Daten stammen von Ihnen selbst, aus dem technischen Seitenaufruf oder – bei Einladungen – von der einladenden Person Ihres Shops.
4. Zwecke der Bearbeitung
- Bereitstellung, Stabilität und Sicherheit der Anwendung
- Benutzerkonten, Anmeldung, Rechte- und Mandantentrennung
- Erfassung und Dokumentation von Ankäufen, Inventar und Verkäufen
- Erstellung von Belegen, Etiketten und Auswertungen
- Beantwortung von Anfragen und Support
- Erfüllung gesetzlicher Pflichten, insbesondere Aufbewahrungspflichten
Wir bearbeiten Personendaten, soweit dies zur Nutzung und Erfüllung der vereinbarten Leistung, zur Wahrung berechtigter Interessen am sicheren Betrieb oder zur Einhaltung gesetzlicher Vorgaben erforderlich ist. Wo eine Einwilligung nötig ist – etwa für das dauerhafte Speichern von Komforteinstellungen im Browser – holen wir diese vorab ein.
5. Betrieb der Website, Hosting und CDN
Die Anwendung wird auf der Infrastruktur von Lovable (Lovable Labs Incorporated) betrieben und über ein Content-Delivery-Network (Cloudflare) ausgeliefert. Dabei fallen technische Server-Logdaten an (IP-Adresse, Zeitpunkt, angefragte Adresse, Browserangaben). Diese sind für die Auslieferung, Fehlersuche und Abwehr von Angriffen erforderlich und werden nicht zur Erstellung von Nutzungsprofilen verwendet.
Die verwendete Schriftart Poppins wird von unserem eigenen Server ausgeliefert. Es findet beim Seitenaufruf kein Abruf bei Google Fonts statt.
6. Registrierung, Benutzerkonto und Authentifizierung
Für die Nutzung des Anwendungsbereichs ist ein Konto erforderlich. Registrierung, Anmeldung, Passwort-Zurücksetzen und Sitzungsverwaltung erfolgen über Supabase, das wir über Lovable Cloud in einer EU-Region beziehen. Passwörter werden ausschliesslich als Hash gespeichert. Das Sitzungstoken wird in Ihrem Browser (Local Storage) gehalten; ohne dieses ist keine Anmeldung möglich. Neue Shops können einer Freigabe durch den Plattformbetrieb unterliegen.
7. Erfassung von Ankäufen, Inventar und Belegen
Im Anwendungsbereich erfassen Shops Ankäufe mit Artikeln, Marktwerten, berechneten Ankaufspreisen, Zahlungsart und – falls vom Shop erfasst – Angaben zur verkaufenden Person. Belege werden als PDF erzeugt und in der Dateiablage des Backends gespeichert, zugänglich nur für berechtigte Mitglieder des jeweiligen Shops. Alle Daten sind pro Shop getrennt und durch serverseitige Zugriffsregeln geschützt.
Zur Kartenerkennung aus einem Foto wird das hochgeladene Bild über das Lovable AI Gateway an ein KI-Modell von Google übermittelt. Diese Funktion wird nur ausgelöst, wenn Sie bewusst ein Foto hochladen. Laden Sie dort keine Bilder mit Personendaten hoch.
8. Kontakt- und Supportanfragen
Wenn Sie uns per E-Mail kontaktieren, bearbeiten wir Ihre Angaben zur Beantwortung der Anfrage. Ein Kontaktformular mit eigener Datenerfassung ist derzeit nicht im Einsatz. Es gibt keinen Newsletter und keine Marketing-E-Mails.
9. E-Mail-Versand von Belegen und Kontomeldungen
Auf ausdrückliche Auslösung hin versenden wir einen Ankaufsbeleg als PDF an eine von Ihnen eingegebene E-Mail-Adresse. Zusätzlich versenden wir betriebsnotwendige E-Mails (Kontobestätigung, Passwort-Zurücksetzen, Shop-Einladungen). Der Versand erfolgt über die E-Mail-Infrastruktur von Lovable Cloud/Supabase; Versandvorgänge werden zur Nachvollziehbarkeit in unserer Datenbank protokolliert.
10. Eingebundene Dienste Dritter und Empfänger
Wir setzen ausschliesslich die folgenden Dienste ein. Analyse-, Statistik-, Werbe- oder Social-Media-Dienste, Tag-Manager, Werbepixel, Chat- oder Captcha-Dienste sowie eingebettete Videos oder Karten sind nicht eingebunden. Zahlungs- oder Versanddienstleister sind in dieser Anwendung nicht angebunden.
| Dienst | Anbieter | Daten | Zweck | Standort | Aktivierung |
|---|---|---|---|---|---|
| Hosting, Auslieferung und CDN der Anwendung | Lovable (Lovable Labs Incorporated) mit Cloudflare-Infrastruktur | IP-Adresse, Zeitpunkt, angefragte URL, Browser-/Geräteangaben (Server-Logs) | Technische Bereitstellung, Stabilität, Angriffsabwehr | Weltweites CDN, u. a. USA | Bei jedem Seitenaufruf |
| Datenbank, Authentifizierung, Dateiablage (Belege) | Supabase (über Lovable Cloud bezogen) | E-Mail-Adresse, Passwort-Hash, Sitzungstoken, Shop- und Ankaufsdaten, Belege (PDF) | Benutzerkonten, Rechteprüfung, Speicherung der Ankäufe und Inventardaten | EU-Region | Nach Registrierung / Anmeldung |
| Kartendaten und Kartenbilder (Pokémon) | pokemontcg.io, TCGdex, PikaQian | Suchbegriffe der Nutzerin/des Nutzers, technische Verbindungsdaten | Korrekte Kartenbezeichnungen, Set-Daten, Bilder und Referenzpreise | USA / EU / weltweit (je Anbieter) | Bei Kartensuche und Katalogpflege in der angemeldeten Anwendung |
| Kartendaten und Kartenbilder (Magic) | Scryfall | Suchbegriffe, technische Verbindungsdaten | Kartenbezeichnungen, Bilder, Referenzpreise | USA | Bei Kartensuche in der angemeldeten Anwendung |
| Bilderkennung von Kartenfotos (KI) | Lovable AI Gateway (Google-Modell Gemini) | Das hochgeladene Kartenfoto | Automatisches Erkennen mehrerer Karten für die Erfassung | Ausserhalb der Schweiz, u. a. USA | Nur wenn ein Foto aktiv zur Erkennung hochgeladen wird |
| Wechselkurse CHF/EUR | frankfurter.dev (Referenzkurse der EZB), Fallback er-api.com | Nur technische Serveranfrage ohne Personendaten | Tagesaktuelle Umrechnung von Marktwerten | EU / weltweit | Serverseitig, täglich bzw. bei Bedarf |
| Zusatzschriften für PDF-Belege (japanisch/chinesisch) | jsDelivr (CDN) | IP-Adresse, technische Verbindungsdaten | Korrekte Darstellung japanischer/chinesischer Kartennamen im PDF | Weltweites CDN | Nur beim Erzeugen eines PDF mit japanischen/chinesischen Zeichen |
| E-Mail-Versand (Belege, Kontoverwaltung, Einladungen) | E-Mail-Infrastruktur von Lovable Cloud / Supabase | Empfänger-E-Mail-Adresse, Betreff, Belegdaten | Zustellung von Belegen auf Wunsch, Passwort-Zurücksetzen, Einladungen | EU / USA je Zustellweg | Nur bei aktiv ausgelöstem Versand |
| Schriftart Poppins | Selbst gehostet (keine Google-Fonts-Verbindung) | Keine Übermittlung an Dritte | Markentypografie | Eigene Auslieferung | Bei jedem Seitenaufruf |
11. Bekanntgabe ins Ausland und Garantien
Datenbank, Authentifizierung und Dateiablage werden in einer EU-Region betrieben. Bei Hosting/CDN, Kartendaten-Anbietern (pokemontcg.io, Scryfall, TCGdex, PikaQian), der KI-Bilderkennung sowie beim Schriften-CDN jsDelivr können Daten in Länder ausserhalb der Schweiz und der EU, insbesondere in die USA, gelangen. Die Übermittlung erfolgt gestützt auf die Auftragsbearbeitungs- und Standardvertragsbestimmungen der jeweiligen Anbieter sowie, soweit vorhanden, auf einen Angemessenheitsbeschluss bzw. eine Zertifizierung des Empfängers. Bei Anbietern in Ländern ohne angemessenen Schutz kann ein Restrisiko des Behördenzugriffs bestehen.
12. Aufbewahrungsdauer
- Konto- und Shopdaten: solange das Konto bzw. der Shop besteht.
- Ankaufsbelege, Artikel- und Zahlungsangaben: entsprechend den handels- und steuerrechtlichen Aufbewahrungspflichten (in der Schweiz in der Regel zehn Jahre).
- Änderungsprotokolle (Audit-Log): solange der zugehörige Shop besteht.
- Server-Logs: kurzfristig durch die Infrastrukturanbieter.
- Browser-Speicher: gemäss Tabelle im Abschnitt Cookies.
Danach löschen oder anonymisieren wir die Daten, sofern keine gesetzliche Pflicht oder ein Rechtsanspruch eine längere Aufbewahrung erfordert.
13. Datensicherheit
- Verschlüsselte Übertragung ausschliesslich über HTTPS/TLS.
- Serverseitige Zugriffsregeln (Row Level Security) je Shop, damit Daten nur berechtigten Mitgliedern zugänglich sind.
- Rollen- und Rechtekonzept, Passwortstärkeprüfung, Passwörter nur als Hash.
- Sicherheits-Header (u. a. Schutz gegen Einbetten in fremde Seiten und MIME-Sniffing).
- Protokollierung sicherheitsrelevanter Änderungen im Audit-Log.
14. Automatisierte Entscheidungen und Profiling
Es findet kein Profiling und keine automatisierte Einzelentscheidung mit rechtlicher Wirkung statt. Ankaufspreise werden anhand der vom Shop hinterlegten Faktoren rechnerisch ermittelt; die Kartenerkennung aus Fotos macht lediglich Vorschläge, die vor der Übernahme manuell bestätigt oder korrigiert werden.
15. Cookies und ähnliche Technologien
Cookies sind kleine Textdateien, die eine Website im Browser ablegt. Vergleichbar wirken Local Storage und Session Storage: Sie speichern Werte im Browser, ohne sie bei jedem Aufruf an den Server zu senden. Wir verwenden diese Techniken, um Sie angemeldet zu halten, den gewählten Shop zuzuordnen, Formulareingaben nicht zu verlieren und – nach Ihrer Zustimmung – Ihre Komforteinstellungen zu merken.
- Technisch notwendig: ohne diese Einträge sind Anmeldung und Betrieb nicht möglich; sie sind nicht abwählbar.
- Präferenzen (Komfort): optional und standardmässig deaktiviert; sie merken Sprache, Kartenspiel, Suchsprache, Preisquelle und Seitenleistenzustand über den Besuch hinaus.
- Analyse: nicht eingesetzt – es gibt keine Statistik- oder Reichweitenmessung.
- Marketing: nicht eingesetzt – keine Werbepixel, kein Retargeting, keine personalisierte Werbung.
Ihre Auswahl können Sie jederzeit ändern oder widerrufen – über den Link „Cookie- Einstellungen“ im Footer oder direkt hier: . Beim Widerruf entfernen wir die betroffenen Einträge, soweit sie von uns gesetzt wurden, und speichern sie nicht mehr dauerhaft. Zusätzlich können Sie Cookies und Browser-Speicher in Ihren Browsereinstellungen löschen oder blockieren; die Anwendung bleibt dann bedienbar, Ihre Voreinstellungen gelten aber nur noch für die laufende Ansicht.
| Name | Anbieter | Zweck | Kategorie | Speicherdauer | Typ | Empfänger |
|---|---|---|---|---|---|---|
| sb-<projekt-id>-auth-token | Siegel Trading / Supabase (Backend) | Hält die Anmeldung aufrecht (Zugangs- und Erneuerungstoken). | Notwendig | Bis zur Abmeldung bzw. bis der Token ungültig wird | Local Storage | Supabase-Infrastruktur (EU-Region), Verarbeitung im Auftrag |
| cl_active_org_id | CardLedger (First Party) | Merkt sich den aktiv gewählten Shop bei mehreren Mitgliedschaften. | Notwendig | Dauerhaft, bis Browserdaten gelöscht werden | Local Storage | Keine Weitergabe |
| cl_buy_order_form:<id> | CardLedger (First Party) | Zwischenspeicher für den aktuell erfassten Ankauf, damit Eingaben bei Navigation nicht verloren gehen. Wird bei Abmeldung gelöscht. | Notwendig | Bis zum Schliessen des Browser-Tabs bzw. bis zum Speichern | Session Storage | Keine Weitergabe |
| cl_consent | CardLedger (First Party) | Speichert Ihre Cookie-Auswahl inklusive Version und Zeitstempel. | Notwendig | 12 Monate | Local Storage | Keine Weitergabe |
| cardledger_locale | CardLedger (First Party) | Merkt sich die gewählte Anzeigesprache (DE/EN/FR). | Komfort/Präferenz | Dauerhaft, bis Browserdaten gelöscht werden | Local Storage | Keine Weitergabe |
| cl_tcg_provider, cl_poke_lang, cl_price_source | CardLedger (First Party) | Merkt sich Kartenspiel, Suchsprache und Preisquelle der Kartensuche. | Komfort/Präferenz | Dauerhaft, bis Browserdaten gelöscht werden | Local Storage | Keine Weitergabe |
| sidebar_state | CardLedger (First Party) | Merkt sich, ob die Seitenleiste ein- oder ausgeklappt ist. | Komfort/Präferenz | 7 Tage | Cookie (First Party) | Keine Weitergabe |
Hinweis: In der Vorschauumgebung der Entwicklungsplattform können zusätzliche technische Einträge der Plattform auftreten. Im veröffentlichten Betrieb gelten die oben genannten Einträge.
16. Rechte betroffener Personen
Im Rahmen des anwendbaren Datenschutzrechts können Sie Auskunft über die zu Ihrer Person bearbeiteten Daten verlangen sowie deren Berichtigung, Löschung oder die Einschränkung der Bearbeitung beantragen. Sie können einer Bearbeitung widersprechen, eine erteilte Einwilligung jederzeit widerrufen und unter den gesetzlichen Voraussetzungen die Herausgabe oder Übertragung Ihrer Daten verlangen.
Diese Rechte bestehen nicht unbeschränkt: Gesetzliche Aufbewahrungspflichten, überwiegende Interessen Dritter oder eigene Rechtsansprüche können einer Löschung oder Auskunft entgegenstehen. Zur Bearbeitung Ihres Anliegens müssen wir Ihre Identität in geeigneter Weise prüfen. Wenden Sie sich an shop@detsuki.ch. Betreffen Ihre Daten den Ankauf bei einem Shop, der CardLedger nutzt, richten Sie Ihr Anliegen an diesen Shop; wir unterstützen ihn dabei.
Sie haben zudem die Möglichkeit, sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) zu wenden.
17. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich die Anwendung, die eingesetzten Dienste oder die rechtlichen Vorgaben ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Wird die Konfiguration der zustimmungspflichtigen Technologien geändert, fragen wir Ihre Auswahl erneut ab.
Version 1.0 · Stand: 28. August 2026