← Zur Startseite

Datenschutzerklärung

Stand: 21. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist: Andreas Härtel, Rheinstrasse 2, 64319 Pfungstadt, E-Mail: support@lumex-tcg.de

2. Welche Daten wir verarbeiten

Konto & Sammlung: Bei der Registrierung verarbeiten wir deine E-Mail-Adresse und ein (gehasht gespeichertes) Passwort. Nach der Anmeldung verarbeiten wir die von dir erfassten Sammlungs-, Deck- und Wunschlistendaten, um dir den Dienst bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung). Außerdem speichern wir in deinem Konto die Sprache, in der du Lumex nutzt (Deutsch oder Englisch), um E-Mails, die du über Lumex auslöst (z. B. Bestätigungs-, Code- und Passwort-Mails), in dieser Sprache zu senden (Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung).

Login mit Google: Meldest du dich mit deinem Google-Konto an, erhalten wir von Google deine E-Mail-Adresse, deinen Namen und dein Profilbild, um dein Lumex-Konto zu erstellen bzw. dich anzumelden (Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung). Diese Daten werden nicht an Dritte weitergegeben und nicht zu anderen Zwecken genutzt.

Konto löschen & Bestätigungscode: Wenn du dein Konto löschst, bestätigst du die Löschung mit einer erneuten Anmeldung: Wir senden einen einmaligen Code an die E-Mail-Adresse deines Kontos, den du auf der Löschseite im Web eingibst. Dafür verarbeiten wir deine E-Mail-Adresse, den Code, den Zeitpunkt der Anfrage und die dabei anfallenden technischen Verbindungsdaten (u. a. IP-Adresse), und zwar nur, um die Löschung auszuführen und dein Konto davor zu schützen, dass jemand anderes es löscht (Art. 6 Abs. 1 lit. b DSGVO – Beendigung des Nutzungsverhältnisses auf deinen Wunsch; Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse am Schutz deines Kontos). Den Code erzeugt und prüft Supabase, versendet wird er über Resend (siehe Abschnitt 3); er gilt nur kurze Zeit. Was die Löschung bewirkt, steht in Abschnitt 5.

Server-Logs: Beim Aufruf der Seite werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, User-Agent) durch unseren Hosting-Dienstleister verarbeitet (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an Betrieb und Sicherheit).

3. Auftragsverarbeiter / Hosting

Vercel: Das Hosting der Web-App erfolgt über Vercel. Mit Vercel besteht ein Auftragsverarbeitungsvertrag.

Vercel Analytics & Speed Insights: Zusätzlich zum Hosting nutzen wir Vercel Analytics und Speed Insights zur anonymisierten, cookielosen Auswertung von Seitenaufrufen und Ladezeiten (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an Betrieb und Weiterentwicklung des Dienstes). Es werden keine Cookies gesetzt und keine personenbezogenen Profile gebildet.

Upstash: Für das Rate-Limiting bestimmter API-Routen (u. a. Archidekt-Import, MTGTop8-Import, Turnier-Rechner) nutzen wir Upstash Redis; dabei wird deine IP-Adresse kurzzeitig verarbeitet, um Missbrauch zu verhindern (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an Missbrauchsschutz). Mit Upstash besteht ein Auftragsverarbeitungsvertrag.

Supabase: Authentifizierung und Datenbank laufen über Supabase (Region EU, eu-west-1). Deine Sammlungs- und Kontodaten werden dort gespeichert. Der Zugriff ist durch Row-Level-Security auf dein eigenes Konto beschränkt. Löschst du dein Konto, entfernen wir deine Daten dort sofort aus der Datenbank (zu Sicherungskopien siehe Abschnitt 5).

Resend: Für den Versand von E-Mails, die du über Lumex auslöst (z. B. Registrierungs- und Passwort-Mails sowie der Bestätigungscode zum Löschen deines Kontos), nutzen wir Resend (Plus Five Five, Inc., USA). Dabei werden deine E-Mail-Adresse, der Inhalt der Nachricht (z. B. der Code) und Versandprotokolle verarbeitet (Art. 6 Abs. 1 lit. b DSGVO – Erbringung des Dienstes). Resend verarbeitet Daten auch in den USA; die Übermittlung stützt sich nach unserer aktuellen Einschätzung auf Resends Zertifizierung unter dem EU-US Data Privacy Framework, hilfsweise auf EU-Standardvertragsklauseln. Zur Aufbewahrung von Versandprotokollen siehe Abschnitt 5.

Sentry: Zur Fehlererkennung nutzen wir Sentry (Region EU); dabei werden Fehlerberichte inklusive IP-Adresse und Geräte-/Browserinformationen verarbeitet (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem funktionierenden, fehlerfreien Betrieb). Es findet keine Aufzeichnung von Nutzerinteraktionen (Session-Replay) statt. Mit Sentry besteht ein Auftragsverarbeitungsvertrag. Wir übermitteln Sentry keine Konto-Kennung (kein Nutzerkontext); zur Aufbewahrung siehe Abschnitt 5.

Firebase (Google): Für den Versand von Push-Benachrichtigungen nutzen wir Firebase Cloud Messaging (FCM) von Google. Mit Google besteht ein Auftragsverarbeitungsvertrag (Firebase-Datenverarbeitungsbedingungen); Details zur Verarbeitung und zur Übermittlung in die USA findest du in Abschnitt 9.

4. Cookies

Wir setzen ausschließlich technisch notwendige Cookies: zur Verwaltung deiner Anmelde-Sitzung (Session) und, wenn du in den Einstellungen die Sprache wechselst, um diese Sprache zu merken. Auf dieser Website findet kein Tracking und keine Fremdwerbung statt.

5. Speicherdauer

Deine Kontodaten und Sammlungsinhalte werden gespeichert, bis du dein Konto löschst; wie das geht und was danach noch bestehen bleibt, steht unten. Chat-Nachrichten (siehe Abschnitt 10) und Meldungen (siehe Abschnitt 12) werden zusätzlich 12 Monate nach ihrer Erstellung automatisch gelöscht. Zur Aufbewahrung im Discord-Server siehe Abschnitt 14.

Konto löschen: Du kannst dein Konto jederzeit selbst löschen: im Web (Weg: siehe Abschnitt 6). Die Löschung wirkt sofort und ist endgültig; ein gelöschtes Konto stellen wir nicht wieder her. Gelöscht werden dein Konto und die damit verknüpften Daten, darunter Sammlung, Decks, Wunschlisten, Ordner und Tags, Tauschangebote und Matches, Freundschaften, Chats, Bewertungen, Freigabe-Links und dein Geräte-Token für Push-Benachrichtigungen. Chats, Freundschaften, Tauschangebote und Bewertungen verschwinden dabei auch bei den anderen Beteiligten; Freigabe-Links werden sofort ungültig.

Händlerkonten (Lumex Pro): Bist du Inhaber:in eines Händlerkontos und dort allein (ohne weitere Teammitglieder und ohne laufendes Abo), wird das Händlerkonto samt den Händlerdaten und der gespeicherten eBay-Verbindung gelöscht; bereits bei eBay veröffentlichte Angebote bleiben bei eBay bestehen. Hast du Teammitglieder oder ein laufendes Abo, kannst du dein Konto erst löschen, wenn die Mitglieder entfernt sind bzw. das Abo beendet ist; bei Fragen schreibe an support@lumex-tcg.de. Bist du nur Mitglied im Team eines anderen Händlers, wird nur deine Mitgliedschaft entfernt; die Daten des Teams bleiben beim Team.

Nach der Löschung bleibt Folgendes noch für begrenzte Zeit oder bei Dritten bestehen:

Sicherungskopien: Kopien unserer Datenbank (verschlüsselt, nur zur Wiederherstellung nach einem Ausfall, nicht zur Wiederherstellung einzelner Konten) enthalten dein Konto noch bis zu 30 Tage und laufen dann automatisch ab (Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO – berechtigtes Interesse an der Ausfallsicherheit). Unsere eigenen nächtlichen Sicherungen enthalten seit dem 16.10.2026 weder die Tabellen mit den MTGTop8-Turnierdaten (Spielernamen) noch den Archidekt-Zwischenspeicher; ältere Sicherungen können diese Daten bis zum Ende ihrer Aufbewahrungsfrist noch enthalten. Das Sicherungsarchiv der nächtlichen Sicherung wird bis zu 30 Tage aufbewahrt. Zusätzlich bewahrt unser Datenbank-Anbieter (Supabase) eigene tägliche Sicherungen 7 Tage auf.

Löschprotokoll: Damit das Einspielen einer Sicherungskopie dein gelöschtes Konto nicht zurückbringt, halten wir jede Löschung in einem Protokoll fest: zufällige Konto-Kennung, Zeitpunkt und Weg der Löschung (App, Web oder Support), ohne Namen, E-Mail-Adresse und IP-Adresse. Der Eintrag wird nach 35 Tagen gelöscht (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 DSGVO – wir müssen deine Löschung auch nach dem Einspielen einer Sicherung durchsetzen).

Protokolle bei Dienstleistern: Fehlerberichte (Sentry), Server- und Zugriffsprotokolle (Vercel, Supabase) und Versandprotokolle (Resend) bleiben so lange gespeichert, wie es die Aufbewahrungsregeln des jeweiligen Anbieters vorsehen (siehe Abschnitt 3); die Löschung deines Kontos löst dort keine gesonderte Löschung aus.

Konten bei Dritten: Dein Google-Konto (auch wenn du dich damit bei Lumex angemeldet hast) und dein Discord-Konto liegen bei Google bzw. Discord und bleiben von der Löschung deines Lumex-Kontos unberührt (zu Discord siehe Abschnitt 14).

6. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie ein Beschwerderecht bei einer Aufsichtsbehörde. Wende dich dazu an support@lumex-tcg.de. Dein Konto kannst du auch selbst löschen (siehe unten).

Löschung selbst auslösen: Dein Recht auf Löschung (Art. 17 DSGVO) kannst du am schnellsten selbst ausüben, ohne Anfrage an uns: im Web unter lumex-tcg.de/konto-loeschen (englische Fassung: lumex-tcg.de/en/delete-account). Die Löschung erfolgt sofort; was sie umfasst und was danach noch bestehen bleibt, steht in Abschnitt 5.

Löschung über den Support: Kannst du dich nicht anmelden oder keinen Code mehr empfangen (zum Beispiel, weil du keinen Zugriff auf das Postfach deines Kontos hast), schreibe an support@lumex-tcg.de. Wir prüfen dann, ob die Anfrage von dir kommt (Art. 12 Abs. 6 DSGVO): am einfachsten, indem du uns von der E-Mail-Adresse antwortest, die in deinem Konto hinterlegt ist; sonst gleichen wir Angaben zu deinem Konto ab, die nur du kennen kannst, etwa den Zeitraum der Registrierung und den Anmeldeweg. Diese Angaben verwenden wir nur für die Prüfung. Wir bearbeiten deine Anfrage unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Können wir deine Identität nicht ausreichend bestätigen, löschen wir das Konto nicht, weil sonst jemand das Konto einer anderen Person löschen lassen könnte; wir teilen dir das mit, und dir bleibt das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen oder gerichtlich vorzugehen.

7. Externe Karten- und Deckinhalte

Kartenbilder werden von Drittanbietern (u. a. Scryfall-CDN, pokemontcg.io) geladen. In der Web-Version laden Suchtreffer aus Archidekt außerdem das Titelbild, das Archidekt für das Deck hinterlegt hat, direkt von dessen Bildservern (card-images.archidekt.com und storage.googleapis.com, einem Speicherdienst von Google). Dabei kann deine IP-Adresse an diese Anbieter übermittelt werden (Art. 6 Abs. 1 lit. f DSGVO).

Meta-Decks und Link-Import (mtgtop8.com): Wenn du in der App ein Turnierdeck aus den Meta-Decks öffnest oder einen mtgtop8-Link importierst, ruft die App die Deckliste direkt von mtgtop8.com ab. Dabei wird deine IP-Adresse an den Betreiber von mtgtop8.com übermittelt (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Bereitstellung dieser Funktion). Die App hält die abgerufene Kartenliste nur im Arbeitsspeicher. Dauerhaft gespeichert wird sie nur, wenn du das Deck übernimmst oder den Import bestätigst: Dann entsteht daraus ein eigenes Deck in deiner Sammlung, auf deinem Gerät und, wenn du mit einem Konto angemeldet bist, per Synchronisierung auch in deinem Konto bei Supabase (siehe Abschnitte 3 und 5). Beim Link-Import merkt sich die App am Deck außerdem den Link zur Quelle und, falls mtgtop8.com einen Ersteller nennt, dessen Namen. Beim Import in der Web-Version ruft stattdessen unser Server die Seite des Decks von mtgtop8.com ab; deine IP-Adresse wird dabei nicht an mtgtop8.com übermittelt, aber kurzzeitig für das Rate-Limiting verarbeitet (siehe Abschnitt 3, Upstash). Die abgerufene Seite wird bis zu sieben Tage im Zwischenspeicher unseres Hosting-Anbieters (Vercel) gehalten, um mtgtop8.com nicht unnötig zu belasten; ein eigenes Deck entsteht auch dort nur, wenn du den Import bestätigst.

Turnierdaten in den Meta-Decks (mtgtop8.com): In den Meta-Decks zeigen wir ausgewählte Turnierdecks von mtgtop8.com an. Dafür speichern wir in unserer Datenbank (Supabase, Region EU) den Decknamen, den Spielernamen, wie er auf mtgtop8.com veröffentlicht ist (das kann ein Klarname oder ein Pseudonym sein), das Turnier, das Datum, die Platzierung und den Link zur Quelle. Diese Angaben stammen von mtgtop8.com und sind dort öffentlich einsehbar. Deckname, Turnier, Datum, Platzierung und Link zur Quelle sind bei uns ohne Anmeldung lesbar und werden in den Meta-Decks angezeigt. Den Spielernamen zeigen wir in den Meta-Decks nur angemeldeten Nutzern der Web-Version; in der öffentlichen Demo, in den Meta-Decks der App und bei einem Abruf ohne Anmeldung über die Schnittstelle unserer Datenbank ist er nicht sichtbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem Angebot von Turnierdecks mit Quellenangabe). Wir speichern die Angaben, bis ein neuer Import sie ersetzt. Der Import läuft in der Regel einmal im Monat; bei jedem Lauf ersetzen wir die Einträge der dabei erfassten Turnierformate durch die neu ausgewählten, die älteren Einträge dieser Formate werden dabei gelöscht. Einträge, die kein neuer Import ersetzt hat, löschen wir spätestens nach zwölf Monaten. Wenn du als Spieler genannt wirst und nicht möchtest, dass dein Name angezeigt wird, schreibe an support@lumex-tcg.de; du kannst der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe auch Abschnitt 6). Wir löschen dann die Einträge, in denen du als Spieler genannt wirst.

Link-Import und Abruf von Archidekt-Decks (archidekt.com): Wenn du in der App einen Archidekt-Link importierst, ruft die App die Deckliste direkt von archidekt.com ab. Dabei wird deine IP-Adresse an den Betreiber von Archidekt übermittelt (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an der Bereitstellung dieser Funktion). Die App hält die abgerufene Kartenliste nur im Arbeitsspeicher. Dauerhaft gespeichert wird sie nur, wenn du den Import bestätigst: Dann entsteht daraus ein eigenes Deck in deiner Sammlung, auf deinem Gerät und, wenn du mit einem Konto angemeldet bist, per Synchronisierung auch in deinem Konto bei Supabase (siehe Abschnitte 3 und 5). Dabei speichert die App am Deck außerdem den Link zur Quelle und, falls Archidekt einen Ersteller nennt, dessen Benutzernamen. Öffnest du in den Meta-Decks der App ein Archidekt-Deck, fragt die App die Deckliste nicht bei Archidekt ab, sondern bei einer Funktion unseres Datenbank-Anbieters Supabase; deine IP-Adresse geht dabei an Supabase (siehe Abschnitt 3), nicht an Archidekt. Diese Funktion ruft die Deckliste bei Archidekt ab und legt die Antwort (Deckname, Format, Aufrufzahl, Beschreibung und Kartenliste des Decks sowie den Benutzernamen des Erstellers, wie auf Archidekt veröffentlicht) in einem Zwischenspeicher in unserer Datenbank (Supabase, Region EU) ab, damit wiederholte Abrufe Archidekt nicht erneut belasten. Der Zwischenspeicher gehört keinem Nutzer zu und ist nur für uns zugänglich. Die Antwort gilt etwa 60 Minuten als aktuell. Einträge, die älter als 7 Tage sind, löschen wir automatisch in einem wöchentlichen Lauf; ein Eintrag wird daher spätestens nach 14 Tagen gelöscht (zu Sicherungskopien siehe Abschnitt 5). In der Web-Version ruft stattdessen unser Server Archidekt ab, wenn du angemeldet bist und Archidekt-Decks suchst, öffnest oder importierst; deine IP-Adresse wird dabei nicht an Archidekt übermittelt, aber kurzzeitig für das Rate-Limiting verarbeitet (siehe Abschnitt 3, Upstash). Die Antwort gilt dort ebenfalls bis zu 60 Minuten als aktuell und liegt im Zwischenspeicher unseres Hosting-Anbieters (Vercel); ein eigenes Deck entsteht in der Web-Version nur, wenn du den Import bestätigst. Wenn du in Lumex einen Link zu einem Deck bei Archidekt anklickst, öffnet sich die Seite von Archidekt; ab dann gilt die Datenschutzerklärung von Archidekt.

Meta-Decks von Archidekt (archidekt.com): In den Meta-Decks zeigen wir ausgewählte Decks von Archidekt an. Dafür speichern wir in unserer Datenbank (Supabase, Region EU) den Decknamen, den Benutzernamen des Erstellers, wie er auf Archidekt veröffentlicht ist (das kann ein Pseudonym oder ein Klarname sein), weitere Angaben zum Deck wie Format, Aufrufzahl und Datum sowie den Link zur Quelle. Weitere Angaben zum Ersteller, etwa ein Profilbild, übernehmen wir nicht. Diese Angaben stammen von Archidekt und sind dort öffentlich einsehbar. Bei uns sind sie ohne Anmeldung lesbar und werden in den Meta-Decks angezeigt, in der Web-Version (auch in der öffentlichen Demo) und in der App, jeweils mit dem Namen des Erstellers und einem Link zum Deck bei Archidekt. Angemeldeten Nutzern der Web-Version zeigen wir zusätzlich aktuelle Decks direkt aus der Archidekt-Suche und beim Import das jeweils gewählte Deck, ebenfalls mit dem Namen des Erstellers; für diese Anzeige speichern wir den Namen nicht in unserer Datenbank (zum Zwischenspeicher siehe den vorigen Absatz). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem Angebot beliebter Decks mit Nennung der Ersteller und Quellenangabe). Die in unserer Datenbank gespeicherten Angaben behalten wir, solange wir diese Auswahl in den Meta-Decks anbieten; stellen wir sie ein oder ersetzen wir sie durch einen anderen Datenbestand, löschen wir die nicht mehr benötigten Angaben. Wenn du als Ersteller genannt wirst und nicht möchtest, dass dein Benutzername angezeigt wird, schreibe an support@lumex-tcg.de; du kannst der Verarbeitung nach Art. 21 DSGVO widersprechen (siehe auch Abschnitt 6).

8. Externe Inhalte in der App (News-Feed)

Der News-Feed in der Lumex-App ruft RSS-Feeds primär über den Drittanbieter-Dienst rss2json.com als JSON-Proxy ab, um Cloudflare-/CORS-Einschränkungen beim direkten RSS-Abruf auf Mobilgeräten zu umgehen (erst bei dessen Fehlschlag folgt ein direkter Abruf des RSS-/Atom-Feeds). Dabei werden die abgerufene Feed-URL sowie deine IP-Adresse an rss2json.com übermittelt (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem zuverlässigen News-Feed).

9. Push-Benachrichtigungen

Wenn du Push-Benachrichtigungen erlaubst, verarbeiten wir ein von Firebase Cloud Messaging (FCM) erzeugtes Geräte-Token (Token, Plattform Android/iOS, Zeitstempel), das wir deinem Konto zuordnen, um dir zwei Arten von Benachrichtigungen zuzustellen (Art. 6 Abs. 1 lit. b DSGVO – Erbringung der von dir aktivierten Funktion):

Wunschlisten-Preisalarm: Die Benachrichtigung enthält den Kartennamen und den aktuellen Preis im Klartext (z. B. „Lightning Bolt ist jetzt für 2,50 € verfügbar“) — sichtbar nur für dich als Empfänger:in, aber technisch an Google übermittelt.

Neue Chat-Nachricht: Die Benachrichtigung nennt nur den Alias der Person, die dir schreibt (z. B. „Neue Nachricht von Lightning_Trader“); schreibst du selbst, sieht die Gegenseite entsprechend deinen Alias. Der Nachrichtentext selbst wird nicht an Google übermittelt.

Sperrbildschirm: Zeigt dein Gerät Benachrichtigungsinhalte auf dem Sperrbildschirm an, erscheinen dort auch der Kartenname und Preis eines Preisalarms bzw. der Alias deiner Chat-Gegenseite im Klartext — sichtbar für jede Person, die dein gesperrtes Gerät in der Hand hat, auch ohne es zu entsperren. Lumex legt diese Sichtbarkeit nicht selbst fest; ob und wie viel Benachrichtigungsinhalt dein Sperrbildschirm zeigt, stellst du in den Benachrichtigungseinstellungen deines Geräts ein (je nach Hersteller z. B. unter „Vertrauliche/sensible Benachrichtigungen“ oder „Inhalte auf dem Sperrbildschirm“).

Der Versand läuft über Firebase Cloud Messaging, betrieben von Google Ireland Limited; die Verarbeitung kann dabei auch durch die Google LLC (USA) als Unterauftragsverarbeiter erfolgen. Mit Google besteht ein Auftragsverarbeitungsvertrag (Firebase-Datenverarbeitungsbedingungen). Die Übermittlung in die USA stützt sich nach unserer aktuellen Einschätzung auf Googles Selbstzertifizierung unter dem EU-US Data Privacy Framework, hilfsweise auf EU-Standardvertragsklauseln. Du kannst Push jederzeit über die Geräteberechtigungen sowie je Unterhaltung über die Stummschaltung deaktivieren. Löschst du dein Konto, wird dein Geräte-Token bei uns gelöscht; danach senden wir dir keine Benachrichtigungen mehr.

10. Nachrichten zwischen Nutzern (Chat)

Wenn du mit einem bestätigten Freund oder einer bestätigten Freundin chattest, verarbeiten wir den Nachrichtentext, Zeitstempel (gesendet/zugestellt/gelesen), einen optionalen Bezug zu einer beantworteten Nachricht sowie ggf. einen automatisch angehängten Verweis auf den Tausch-Kontext (Angebot/Match/Karte), aus dem heraus ihr euch gefunden habt, um dir die Chat-Funktion bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO).

Der Chat steht erst ab 13 Jahren zur Verfügung.

Für den Chat gelten unsere Chat-Regeln. Chat-Regeln lesen

„Zugestellt“ bedeutet, dass die App oder die Web-Version der Gegenseite die Nachricht technisch abgerufen hat — nicht, dass sie angezeigt oder gelesen wurde. „Gelesen“ wird erst gesetzt, wenn die Gegenseite die Unterhaltung öffnet.

Eine Ende-zu-Ende-Verschlüsselung findet nicht statt; Nachrichten sind wie deine übrigen Kontodaten bei der Übertragung verschlüsselt, liegen aber im Klartext in unserer Datenbank bei Supabase (siehe Abschnitt 3).

Nur du und dein:e jeweilige:r Gesprächspartner:in könnt eine Unterhaltung einsehen; wir greifen nicht routinemäßig auf Inhalte zu, außer bei der Prüfung einer Meldung (Abschnitt 12) oder aufgrund einer gesetzlichen Pflicht.

Aufbewahrung: Jede Nachricht wird automatisch 12 Monate nach dem Versand gelöscht (wöchentlicher Bereinigungslauf). Zusätzlich verschwindet eine Nachricht, sobald ihr beide die Unterhaltung für euch gelöscht habt; eine Unterhaltung ohne verbleibende Nachrichten wird ebenfalls entfernt.

Endet die Freundschaft, bleibt der bisherige Verlauf lesbar, ihr könnt aber nicht mehr weiterschreiben.

Löschst du dein Konto, werden alle deine gesendeten und empfangenen Nachrichten vollständig entfernt — das betrifft auch den Verlauf deiner Gesprächspartner.

11. Freunde, Tauschangebote, Bewertungen und Freigabe-Links

Für die Tausch- und Community-Funktionen verarbeiten wir zusätzlich:

Freunde: Wir verarbeiten Freundschaftsanfragen und deren Status (ausstehend/bestätigt/abgelehnt/blockiert/entfernt) sowie, falls du aus einem Tauschangebot heraus eine Anfrage stellst, eine optionale Notiz an die andere Person (Art. 6 Abs. 1 lit. b DSGVO).

Tauschangebote & Matches: Wir verarbeiten, welche deiner Sammlungskarten du zum Tausch markierst, sowie einen automatischen Abgleich mit den Wunschlisten anderer Nutzer (Art. 6 Abs. 1 lit. b DSGVO). Das Ergebnis ist eine reine Vorschlagsliste ohne rechtliche oder ähnlich erhebliche Wirkung für dich — keine automatisierte Einzelfallentscheidung im Sinne von Art. 22 DSGVO.

Handelsprofil: Du kannst einen frei wählbaren Alias statt deines echten Namens sowie optional eine Postleitzahl/einen Ort für die Umkreissuche hinterlegen (Art. 6 Abs. 1 lit. b DSGVO – freiwillige Angabe für diese Zusatzfunktion). Dein Ort wird nie an andere Nutzer weitergegeben; deine Postleitzahl wird anderen nur gekürzt auf die ersten drei Ziffern angezeigt (z. B. „641xx“).

Bewertungen: Nach einem abgeschlossenen Tausch könnt ihr euch gegenseitig bewerten (positiv/neutral/negativ, optionaler Kommentar; Art. 6 Abs. 1 lit. b DSGVO für die Abgabe). Aus Fairnessgründen wird eine Bewertung erst sichtbar, wenn beide Seiten bewertet haben, spätestens automatisch nach 30 Tagen. Sichtbar ist eine Bewertung für alle Nutzer mit eigenem Handelsprofil, nicht nur für Freunde (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem funktionierenden Vertrauenssystem für alle Handelsteilnehmer, vergleichbar mit Bewertungen auf Cardmarket/eBay).

Freigabe-Links: Für deine Tauschliste, Wunschliste oder ein einzelnes Deck kannst du einen Link erzeugen (Art. 6 Abs. 1 lit. b DSGVO). Wer den Link kennt, kann die freigegebenen Inhalte einsehen — bei der Tauschliste inklusive deines Alias, nach vorherigem Login; bei Wunschliste und Deck ganz ohne Login und ohne Namensangabe, nur die Karten-/Deckinhalte. Ein Link bleibt gültig, bis du ihn über „Neuen Link erzeugen“ widerrufst; danach ist der alte Link sofort ungültig.

Zur Aufbewahrung: Freundschaften, Tauschangebote, Matches und Bewertungen bleiben bestehen, bis du sie selbst entfernst, und werden spätestens mit der Löschung deines Kontos gelöscht.

12. Melden und Blockieren

Wenn du eine Unterhaltung meldest, verarbeiten wir deine Nutzer-ID, die ID der gemeldeten Person, den betroffenen Chat und deine Begründung (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren, missbrauchsfreien Umfeld). Meldungen sind ausschließlich für uns als Betreiber einsehbar — nicht für die gemeldete Person und auch nicht rückwirkend für dich selbst. Wir nutzen Meldungen zur manuellen Prüfung von Missbrauchsfällen; eine automatisierte Sperrung erfolgt nicht. Meldungen werden 12 Monate nach ihrer Erstellung automatisch gelöscht. Löscht die meldende oder die gemeldete Person ihr Konto, wird die Meldung ebenfalls gelöscht.

Zusätzlich kannst du andere Nutzer blockieren: Eine blockierte Person kann dir danach keine Freundschaftsanfrage und keine Nachricht mehr schicken; nur du selbst kannst die Blockierung wieder aufheben (Art. 6 Abs. 1 lit. b/f DSGVO).

13. Beta-Tests

Wenn du über /beta einen Testplan einreichst, verarbeiten wir den von dir angegebenen Namen oder Alias, die Version und Art des Testplans (vollständig/Delta) sowie deine Angaben je Testfall — abgehakt oder nicht, mit optionalem Kommentar. Das läuft ohne Konto und ohne Zuordnung zu einem bestehenden Lumex-Konto (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an strukturiertem Beta-Feedback vor einem Release).

Die öffentliche Ergebnisseite zu einer Testplan-Version zeigt ausschließlich, wie oft jeder Testfall insgesamt abgehakt wurde (z. B. „7/9“). Dein Name bzw. Alias und deine Kommentare erscheinen dort nie — sie bleiben ausschließlich für das Lumex-Team einsehbar.

Aufbewahrung: Jede Einreichung wird 12 Monate nach der Abgabe vollständig gelöscht (wöchentlicher Bereinigungslauf) — nicht nur der Name, sondern der gesamte Datensatz einschließlich aller Testfall-Ergebnisse. Auf der Ergebnisseite verschwinden die zugehörigen Zählungen entsprechend.

14. Discord-Community

Im Footer verlinken wir auf unsere Discord-Community. Es handelt sich um einen reinen Link, kein eingebettetes Discord-Widget — beim bloßen Aufruf unserer Seite werden dadurch keine Daten an Discord übermittelt. Zweck ist der Austausch mit anderen Lumex-Nutzern sowie ein zusätzlicher, freiwilliger Support-Kanal (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an Community-Aufbau und niedrigschwelligem Support). Ob du den Link anklickst, der Einladung folgst und ein Discord-Konto nutzt, entscheidest du allein; erst damit beginnt die Datenverarbeitung durch Discord.

Wenn du unserem Discord-Server beitrittst, verarbeiten wir als Betreiber des Servers zusätzlich zur Verarbeitung durch Discord selbst (siehe unten) Folgendes:

Nutzername und Beiträge: Dein Discord-Nutzername (ggf. mit Anzeigename und Profilbild) und deine Beiträge (Texte, Bilder, Anhänge, Reaktionen) sind für uns und – je nach Kanal – für andere Mitglieder sichtbar. Wir nutzen sie, um die Community zu betreiben, Fragen zu beantworten und Support zu leisten. Bitte veröffentliche keine Zugangsdaten und keine Angaben, die du nicht öffentlich teilen möchtest: Beiträge in einem Kanal können von allen Mitgliedern dieses Kanals gelesen, kopiert und weiterverbreitet werden, worauf wir keinen Einfluss haben.

Moderation: Zur Durchsetzung der Server-Regeln und zum Schutz der Community entfernen wir Beiträge und können Mitglieder verwarnen, stummschalten oder vom Server ausschließen. Dabei verarbeiten wir die Daten der betroffenen Mitglieder und Beiträge (Nutzername, Beitragsinhalt), soweit das für die jeweilige Maßnahme erforderlich ist.

Rechtsgrundlage und Freiwilligkeit: Unsere Verarbeitung beruht auf Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einer funktionierenden, sicheren und regelkonformen Community und an niedrigschwelligem Support. Die Teilnahme am Discord-Server ist freiwillig und für die Nutzung von Lumex nicht erforderlich; Support erhältst du weiterhin per E-Mail an support@lumex-tcg.de.

Aufbewahrung: Wir speichern die von uns verarbeiteten Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Deine Beiträge bleiben auf dem Server, bis du sie selbst löschst oder wir sie im Rahmen der Moderation entfernen; auf Anfrage an support@lumex-tcg.de entfernen wir Beiträge von dir, soweit uns das technisch möglich ist. Verlässt du den Server oder löschst du dein Discord-Konto, richtet sich die weitere Speicherung deiner Daten bei Discord nach Discords eigenen Regeln; bereits veröffentlichte Beiträge können auf dem Server sichtbar bleiben, bis sie gelöscht werden.

Für Nutzer im EWR ist Discord Netherlands B.V. (Amsterdam) datenschutzrechtlich verantwortlich; die Verarbeitung erfolgt jedoch auch durch die Discord Inc. (USA) und damit außerhalb der EU. Nach eigenen Angaben von Discord stützt sich diese Übermittlung auf EU-Standardvertragsklauseln sowie auf eine Selbstzertifizierung unter dem EU-US Data Privacy Framework. Nach Discords Datenschutzerklärung verarbeitet Discord deine Daten als eigener Verantwortlicher: Wir haben mit Discord weder einen Auftragsverarbeitungsvertrag noch eine Vereinbarung über gemeinsame Verantwortlichkeit geschlossen und haben keinen Einfluss auf Art, Umfang und Zweck der Verarbeitung durch Discord. Maßgeblich für die Nutzung von Discord ist Discords eigene Datenschutzerklärung.

Discords Datenschutzerklärung findest du unter https://discord.com/privacy. Dort erfährst du auch, wie du deine Rechte gegenüber Discord ausübst.

Mindestalter: Für die Nutzung von Discord gelten Discords Nutzungsbedingungen, die ein Mindestalter von 13 Jahren bzw. das in deinem Land geltende höhere Mindestalter verlangen; erfüllst du diese Voraussetzung nicht, darfst du Discord nach diesen Bedingungen nicht nutzen. Wir prüfen das Alter unserer Mitglieder nicht; erfahren wir, dass jemand das Mindestalter nicht erfüllt, entfernen wir das Mitglied vom Server. Erziehungsberechtigte erreichen uns jederzeit unter support@lumex-tcg.de.

Die Rechte aus Abschnitt 6 (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) kannst du uns gegenüber für die von uns verarbeiteten Daten geltend machen: support@lumex-tcg.de. Da unsere Verarbeitung auf einem berechtigten Interesse beruht, kannst du ihr aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Für die Verarbeitung durch Discord wende dich an Discord (siehe dessen Datenschutzerklärung).