Diese Datenschutzerklärung erläutert, wie die CollectHolo GmbH personenbezogene Daten verarbeitet, wenn Sie CollectHolo oder unsere Website nutzen.
Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung ist die CollectHolo GmbH, Luisantring 1 A, 63477 Maintal, Deutschland. Sie erreichen uns unter [email protected] oder über unser Kontaktformular. Weitere Unternehmensangaben finden Sie im Impressum.
Wir haben keinen Datenschutzbeauftragten bestellt. Für Datenschutzanfragen nutzen Sie bitte die vorstehenden Kontaktangaben.
Für die Kontoerstellung benötigen wir eine E-Mail-Adresse sowie die für die Authentifizierung erforderlichen Zugangsdaten oder Social-Login-Informationen. Ohne diese Angaben können wir kein angemeldetes CollectHolo-Konto bereitstellen. Zahlungs- und Rechnungsdaten, die Stripe, Apple oder Google beim Kauf von PRO verlangt, sind für den jeweiligen Kauf erforderlich; ohne sie kann der Anbieter den Kauf nicht abschließen.
Anzeigename, Avatar, Sammlungsinhalte, öffentliche Freigaben, Discord-Verknüpfung, Newsletter-Einwilligung, Push-Einwilligung und Card-Scan-Uploads sind freiwillig. Ohne sie ist die jeweilige optionale Funktion nicht oder nur eingeschränkt verfügbar; der übrige Dienst bleibt, soweit technisch möglich, nutzbar.
Bei einem Website-PRO-Abonnement verarbeitet Stripe die Zahlungsmethode unmittelbar. Wir erhalten und speichern die Kunden-, Abonnement-, Rechnungs-, Zahlungsstatus-, Steuer-, Währungs- und Abrechnungsdaten, die benötigt werden, um das Abonnement zu aktivieren, zu unterstützen, zu dokumentieren und abzurechnen. Kartendaten werden nicht auf unseren Servern verarbeitet.
Wir speichern einen versionierten Datensatz zur PRO-Vertragsbestätigung, einschließlich Empfänger-E-Mail, Abrechnungsdaten, Version und Hash der Rechtsdokumente sowie Versandstatus. So können wir die Vertragsbestätigung nachweisen, ohne Rechtsinhalte für einen früheren Kauf nachträglich zu verändern.
Wenn Sie unsere Kündigungsseite oder Widerrufsseite nutzen, verarbeiten wir Ihre Erklärung und Zuordnungsangaben, um die Anfrage zu bearbeiten, gegebenenfalls eine Empfangsbestätigung zu senden, rechtliche Pflichten zu erfüllen sowie Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen. Die geltenden Vertragsregeln finden Sie in unseren AGB. App-Store- und Google-Play-Käufe werden über den jeweiligen Store verwaltet und nicht über die Website-Formulare von CollectHolo gekündigt oder widerrufen.
Collections und Wishlists sind standardmäßig privat. Wenn Sie eine davon öffentlich freigeben, ist sie über ihren direkten öffentlichen Link erreichbar. Die öffentliche Ansicht kann den Namen der Collection oder Wishlist, enthaltene Einträge und Mengen sowie die damit verbundenen öffentlichen Profilinformationen wie Benutzername und Avatar anzeigen. Geben Sie keine Collection öffentlich frei, wenn sie Informationen enthält, die Sie nicht offenlegen möchten.
Sie können die öffentliche Freigabe in den Einstellungen der jeweiligen Collection oder Wishlist deaktivieren. Dadurch wird ein künftiger Zugriff über die öffentliche Ansicht verhindert, vorbehaltlich von Kopien oder Cache-Inhalten außerhalb unseres Einflussbereichs.
Wir versenden Dienst- und Vertrags-E-Mails, einschließlich Konto-, Sicherheits-, Abrechnungs-, Kündigungs-, Widerrufs- und PRO-Vertragsbestätigungs-E-Mails, soweit dies zur Bereitstellung des Dienstes oder zur Erfüllung unserer Pflichten erforderlich ist. Dabei handelt es sich nicht um Werbe-E-Mails.
Den wöchentlichen Portfolio-Digest und gelegentliche Produktneuigkeiten versenden wir nur nach Ihrer Einwilligung. Wir speichern einen Audit-Nachweis mit Einwilligungstext, Version, Quelle, Zeitpunkt und zugehörigen Kontoinformationen. Sie können die Newsletter-Einwilligung über den Abmeldelink in der jeweiligen E-Mail oder in verfügbaren Kontoeinstellungen widerrufen.
Web Push und Apple Push Notification service (APNs) sind optional. Wir verarbeiten den Browser-Push-Endpunkt beziehungsweise das von Apple bereitgestellte Geräte-Token sowie den Benachrichtigungsinhalt, bis Sie sich abmelden, Benachrichtigungen deaktivieren oder das Abonnement ungültig wird.
Wenn Sie die optionale Card-Scan-Funktion nutzen, wird das von Ihnen aufgenommene oder ausgewählte Kartenbild über eine verschlüsselte Verbindung an den Card-Scan-Endpunkt von CollectHolo gesendet. Der Endpunkt verarbeitet das Bild im Arbeitsspeicher und leitet es zusammen mit begrenztem technischem Request-Kontext zur Kartenidentifizierung an die Google Gemini API weiter. CollectHolo speichert das ursprüngliche Card-Scan-Bild nach Abschluss der Erkennungsanfrage weder in seiner Datenbank noch im Objektspeicher.
Wir speichern nur die zum Betrieb und Schutz der Funktion erforderlichen Quoten-, Sicherheits- und Diagnosemetadaten. Nutzen Sie Card Scan nicht für Fotos mit personenbezogenen, sensiblen oder sachfremden Informationen.
Wir setzen Dienstleister ein, um CollectHolo zu betreiben. Soweit sie als Auftragsverarbeiter tätig sind, verarbeiten sie Daten auf unsere Weisung; einige Anbieter verarbeiten Daten für Zahlungs-, Plattform-, Authentifizierungs- oder Kommunikationsdienste auch nach ihren eigenen Bedingungen. Soweit erforderlich, schließen wir Verträge zur Auftragsverarbeitung.
| Anbieter oder Dienst | Zweck und betroffene Daten | Einsatz |
|---|---|---|
| Supabase und Datenbank-Infrastruktur | Authentifizierung, Konto-, Profil-, Collection-, Wishlist-, Transaktions-, Einstellungs- und Dienstmetadaten. | Betrieb des Kontos und Dienstes. |
| Amazon Web Services / Amazon SES | Empfänger-E-Mail-Adressen und Inhalte transaktionaler Nachrichten. | Konto-, Support-, Sicherheits-, Abrechnungs- und Vertrags-E-Mails. |
| Vercel | IP-Adresse, Request- und Auslieferungs-Logs. | Hosting und Auslieferung von Website und APIs. |
| Cloudflare, Turnstile und R2 | IP-Adresse, User Agent, Sicherheits-Challenge-Daten, Request-Daten und gegebenenfalls gespeicherte Objektdaten wie Avatare. | CDN, DDoS- und Bot-Schutz sowie Objektspeicher. |
| Stripe | Kunden-, Abonnement-, Rechnungs-, Steuer-, Zahlungsstatus- und durch Stripe verarbeitete Zahlungsmethodendaten. | Website-PRO-Abonnements. |
| Apple App Store, Google Play und RevenueCat | Store-Kaufkennungen, Store-Zuordnung, Entitlement- und Abonnementstatus. | iOS- und Android-PRO-Käufe und Wiederherstellungen. |
| Sentry (Functional Software, Inc.) | Pseudonyme Kontokennung, Runtime-/Plattform-Tag, Fehlertyp und -meldung, Stacktrace sowie begrenzter diagnostischer Request-Kontext nach lokaler Bereinigung. E-Mail-Adressen, Nutzernamen, Request-Bodies, Cookies, Authentifizierungs-Header oder IP-Adressen werden von uns nicht gezielt übermittelt. | Sicherheit, Zuverlässigkeit, Fehleranalyse und begrenztes Performance-Tracing. Die Daten werden in der EU-Region von Sentry gespeichert. |
| Google Analytics 4, Firebase Analytics (iOS und Android) und Google Tag Manager | Pseudonyme Online-Kennungen, Seitenaufrufe, Interaktions- und Conversion-Events. | Nur für die Kategorie Analyse nach Einwilligung, vorbehaltlich der unten beschriebenen GTM-Konfiguration. |
| Meta Pixel | Werbekennungen und Conversion-Events. | Nur für die Kategorie Werbung nach Einwilligung. |
| Reddit Pixel und Conversions API | Website-Seitenbesuche, Registrierungen, Klicks auf App-Store-Links und die erste bezahlte Web-PRO-Rechnung; Reddit-Klick-/Browserkennungen, IP-Adresse und Browserinformationen. Bei angemeldeten Konten SHA-256-Hashes von E-Mail-Adresse und Konto-ID mit Reddit-spezifischer Normalisierung. | Werbemessung und Kampagnenzuordnung nach Werbeeinwilligung, auch ohne Reddit-Klickkennung. Hashes bleiben pseudonyme personenbezogene Daten. Telefonnummern und Eingaben in Registrierungsformulare werden nicht zum Matching erhoben. |
| TikTok Pixel und Events API | Website-Inhaltsansichten, Produktsuchen, Registrierungen, Klicks auf App-Store-Links und die erste bezahlte Web-PRO-Rechnung; Werbeklick-/Browserkennungen, IP-Adresse und Browserinformationen. Bei angemeldeten Nutzern SHA-256-Hashes von E-Mail-Adresse und Konto-ID. | Werbemessung und Kampagnenzuordnung nur nach Werbeeinwilligung. Die Hashes sind pseudonyme Kennungen und keine anonymen Daten. |
| Google Gemini API | Das für Card Scan übermittelte Kartenbild und begrenzter Request-Kontext. | Nur bei Nutzung von Card Scan. |
| Google-, Apple- und Discord-Login | Anbieterkennung und die vom Anbieter freigegebenen Profilangaben wie E-Mail-Adresse oder Name. | Nur bei Wahl dieser Anmeldemethode. |
| Discord-PRO-Integration | Discord-Nutzer-ID und OAuth-Token zur Verknüpfung oder Pflege der optionalen PRO-Rolle. | Nur wenn Sie Discord verbinden. |
| APNs und Browser-Push-Anbieter | Geräte-Token oder Push-Endpunkt sowie Benachrichtigungsinhalt. | Nur wenn Sie Push-Benachrichtigungen aktivieren. |
| Verbundene MCP-/KI-Clients | Die Portfolio-Daten, die durch die von Ihnen für den verbundenen Client freigegebenen Scopes erlaubt sind. | Nur wenn Sie aktiv eine Verbindung autorisieren, etwa mit ChatGPT, Claude, Codex, Gemini oder einem anderen kompatiblen Client. |
Wir verwenden Cookies und ähnliche lokale Speicherungen, um den Dienst zu betreiben und Ihre Auswahl zu merken. Sie können Cookie Settings jederzeit über den Website-Footer oder in der iOS- beziehungsweise Android-App über Mehr → Cookie Settings öffnen. Ein Widerruf berührt nicht die Rechtmäßigkeit der Verarbeitung vor dem Widerruf.
| Kategorie | Speicher oder Anbieter | Zweck | Dauer und Auswahl |
|---|---|---|---|
| Erforderlich | Authentifizierungs- und Session-Speicher; CookieConsent; Kampagnenangebot-Speicher für den aktuellen Tab | Sichere Anmeldung, Session-Verwaltung, Speicherung Ihrer Einwilligungsauswahl und Verfügbarkeit eines über eine Kampagnen-Landingpage angeforderten Angebots im aktuellen Tab. | CookieConsent wird 365 Tage gespeichert. Die Authentifizierungs-/Session-Dauer richtet sich nach der konfigurierten Authentifizierungs-Session. Der Kampagnenangebot-Marker endet mit dem Browser-Tab. Erforderlicher Speicher kann bei Nutzung des Dienstes nicht abgeschaltet werden. |
| Präferenzen | Browser Local Storage, optionale Präferenzspeicher und das Cookie ch_campaign_offer | Theme-, Währungs- und Anzeigeauswahl; optionale gespeicherte Explore-Filter und Suchen; Speicherung eines berechtigten Kampagnenangebots über mehrere Browser-Sessions. | Das Kampagnenangebot-Cookie wird höchstens 14 Tage gespeichert. Präferenzspeicher wird nur bei aktivierter Kategorie Präferenzen verwendet und, soweit anwendbar, beim Widerruf dieser Auswahl in Cookie Settings entfernt. |
| Analyse | Google Tag Manager, Google Analytics 4 sowie die Attributions-Cookies ch_first_touch und ch_last_touch | Messung der CollectHolo-Nutzung, Verständnis von Zugriffsquellen und Verbesserung des Dienstes. | Attributions-Cookies werden 90 Tage gespeichert. Website-GA4 ist auf 14 Monate eingestellt. Firebase Analytics für iOS und Android bewahrt Ereignisdaten 2 Monate und Nutzerdaten 14 Monate auf; neue Aktivität setzt die Aufbewahrungsfrist der Nutzerdaten zurück. Nur bei aktivierter Kategorie Analyse. |
| Werbung | Meta Pixel über Google Tag Manager | Messung von Werbe-Conversions und Kampagnenleistung. | Nur bei aktivierter Kategorie Werbung; die Auswahl kann in Cookie Settings widerrufen werden. |
| Werbung | Reddit Pixel, Conversions API, Reddit-Cookies und ch_rdt_click / ch_rdt_context | Zuordnung erlaubter Website-Ereignisse und Zusammenführung von Pixel-/API-Meldungen. Store-Klicks belegen keine Installation. | Unsere Klickkennung und der Werbekontext verfallen spätestens nach 28 Tagen; Nutzdaten nach 24 Stunden, erfolgreich zugestellte Nutzdaten sofort, Zustellmetadaten nach sieben Tagen. Ein Widerruf in Cookie Settings stoppt neue und ausstehende Zustellungen und löscht Matching-Kennungen. Eine Rechnungsmarkierung verhindert für die Lebensdauer des Abonnements doppelte Erstkaufmeldungen. |
| Werbung | TikTok Pixel, Events API, Cookies _ttp / ttcsid und ch_tt_context | Zuordnung erlaubter Website-Ereignisse zu Werbeinteraktionen; Zusammenführung von Browser- und Servermeldungen. | Unser Werbekontext wird höchstens 28 Tage gespeichert. Ausstehende Nutzdaten verfallen binnen 24 Stunden; erfolgreich zugestellte Nutzdaten werden entfernt und Zustellmetadaten nach sieben Tagen gelöscht. Ein Widerruf stoppt weitere Zustellungen und löscht unseren Matching-Kontext. Eine Rechnungsmarkierung ohne Werbekennungen verhindert für die Lebensdauer des Abonnements doppelte Erstkaufmeldungen. |
Auf der Website wird der Google-Tag-Manager-Container mit Google Consent Mode geladen, wobei Analyse- und Werbespeicher standardmäßig verweigert sind. Analyse- und Werbe-Tags müssen die in Cookie Settings getroffene Kategorienauswahl beachten. In der iOS- und Android-App startet optionale Analyse erst, nachdem Sie Analyse erlaubt haben; in beiden mobilen Apps ist derzeit kein Werbe-Tag aktiv. Unterstützte iOS- und Android-Versionen verwenden nach dieser Auswahl zusätzlich das Firebase-Analytics-SDK zur Messung der App-Nutzung; Android misst außerdem unterstützte Ereignisse zum Empfang und Öffnen von Benachrichtigungen. Dazu gehören eine pseudonyme App-Instanzkennung, App-/Geräteinformationen, Nutzungsereignisse und ungefähre Länder-/Regionsinformationen. Unterstützte In-App-Kaufereignisse können Produkt, Wert und Währung enthalten; Zahlungsdaten werden nicht an Analytics gesendet. Die Erfassung der Werbe-ID, der iOS-Anbieterkennung und Werbepersonalisierung sind deaktiviert. Wir übermitteln weder Ihre E-Mail-Adresse noch Konto-ID, Kartensammlung oder Benachrichtigungsinhalte an das native Analytics-SDK. Ein Widerruf der Analyse-Einwilligung deaktiviert die native Erfassung und löscht lokal gespeicherte Analysedaten; Push-Benachrichtigungen werden weiterhin unabhängig gesteuert. Nach Werbeeinwilligung erhält TikTok die festgelegten Website-Ereignisse auch ohne TikTok-Klickkennung; TikTok prüft selbst die Zuordnung zu einer Anzeige. Telefonnummern, Authentifizierungstokens und offensichtliche Kontaktinformationen aus der Suche werden nicht übermittelt. Store-Klicks messen die Aktivierung eines Links und belegen keine Installation. Sie können Ihre Einwilligung jederzeit in Cookie Settings widerrufen; der Widerruf gilt auch für noch ausstehende Serverzustellungen.
Einige der vorstehend genannten Anbieter sind weltweit tätig oder können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, unter anderem in den USA. Vor einer Übermittlung, für die die DSGVO eine Garantie verlangt, verwenden wir den jeweils einschlägigen rechtmäßigen Übermittlungsmechanismus, etwa einen Angemessenheitsbeschluss, wenn der Empfänger dafür berechtigt ist, oder die Standardvertragsklauseln der Europäischen Kommission mit erforderlichen zusätzlichen Maßnahmen.
Wir führen ein aktuelles Dienstleister- und Transferverzeichnis für die von uns eingesetzten Dienste. Informationen zu den für einen bestimmten Empfänger geltenden Garantien erhalten Sie auf Anfrage unter [email protected].
| Daten | Speicherdauer oder Kriterium |
|---|---|
| Konto-, Profil-, Collection-, Wishlist-, Transaktions- und Einstellungsdaten | Für die Dauer des Kontos. Nach abgeschlossener Kontolöschung werden Daten aus aktiven Systemen entfernt; verschlüsselte Backups werden innerhalb von 30 Tagen bereinigt, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. |
| Server-, Sicherheits- und E-Mail-Auslieferungslogs | Bis zu 14 Tage, sofern eine längere Speicherung nicht zur Untersuchung eines konkreten Sicherheitsvorfalls oder zur Durchsetzung rechtlicher Ansprüche erforderlich ist. |
| Rechnungs-, Steuer- und Buchhaltungsunterlagen | Für die einschlägige gesetzliche handels- und steuerrechtliche Aufbewahrungsfrist, derzeit nach deutschem Recht bis zu 10 Jahre. |
| PRO-Vertragsbestätigungsdaten | Für die Vertragslaufzeit und anschließend für die geltenden gesetzlichen Aufbewahrungs- und Verjährungsfristen; Datensätze mit Buchhaltungsinformationen folgen der längeren Buchhaltungsfrist. |
| Kündigungs- und Widerrufserklärungen | Für die Bearbeitung der Anfrage und anschließend für die geltenden gesetzlichen Aufbewahrungs- und Verjährungsfristen, im Regelfall drei Kalenderjahre ab Ende des Jahres, in dem der Vorgang abgeschlossen wurde, sofern keine längere Rechtspflicht besteht. |
| Newsletter-Einwilligungsnachweise | Für die Dauer der Einwilligung und im Regelfall drei Kalenderjahre nach Widerruf oder Ende des jeweiligen Einwilligungsnachweises, sofern keine längere Rechtspflicht besteht. |
| Push-Abonnements | Bis zur Abmeldung, Deaktivierung der Benachrichtigungen, Ungültigkeit des Endpunkts/Tokens oder bis wir sie nicht mehr zur Benachrichtigungsbereitstellung benötigen. |
| Card-Scan-Bilder | Verarbeitung für die Erkennungsanfrage; nach Abschluss keine dauerhafte Speicherung durch CollectHolo. Zugehörige Quoten- und Sicherheitsmetadaten folgen der jeweiligen Log-Aufbewahrung. |
| Sentry-Fehler- und Performance-Events | Bis zu 90 Tage im aktiven Sentry-Tarif; kürzer, wenn der Tarif oder unsere Konfiguration eine kürzere Dauer vorsieht. Test-Events werden nach der Verifizierung als gelöst markiert, können aber bis zum Ablauf der Speicherdauer bestehen bleiben. |
| Google-Analytics-4-/Firebase-Analytics-Daten | Website-GA4: 14 Monate. Firebase Analytics für iOS und Android: Ereignisdaten 2 Monate, Nutzerdaten 14 Monate mit Zurücksetzen bei neuer Nutzeraktivität. Diese Fristen gelten nicht für aggregierte Berichte. |
Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen. Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung eines Rechts kontaktieren Sie uns unter [email protected].
Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für die CollectHolo GmbH ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig. Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.
CollectHolo richtet sich nicht an Personen unter 16 Jahren. Wir erheben nicht wissentlich personenbezogene Daten von Personen unter 16 Jahren. Wenn Sie vermuten, dass dies geschehen ist, kontaktieren Sie uns bitte, damit wir die Daten prüfen und gegebenenfalls löschen können.
Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Card Scan sowie Produkt- und Portfolioberechnungen sind Unterstützungsfunktionen und treffen keine solchen Entscheidungen.
Wir setzen angemessene technische und organisatorische Maßnahmen ein, darunter Verschlüsselung bei der Übertragung, Zugriffskontrollen, Authentifizierungsschutz und beschränkten administrativen Zugriff. Kein System kann vollständig sicher sein; halten Sie Ihre Zugangsdaten bitte vertraulich und verwenden Sie ein starkes Passwort.
Wir können diese Erklärung aktualisieren, wenn sich unsere Verarbeitung oder rechtliche Anforderungen ändern. Die aktualisierte Fassung veröffentlichen wir auf dieser Seite und passen das Inkrafttretensdatum an. Soweit gesetzlich erforderlich, informieren wir zusätzlich.
Stand:
