Datenschutzerklärung – Scan2Deck
Stand: 23. Oktober 2026 · English version
1. Verantwortlicher
Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Enrico Willenbücher
Fritz-Thurm-Weg 43
10318 Berlin
Private, nicht gewerbliche Softwareentwicklung.
E-Mail: [email protected]
Support: [email protected]
Weitere Anbieterangaben enthält das Impressum / Kontakt & Anbieter.
2. Kontakt für Datenschutzanfragen
Datenschutzanfragen: [email protected]
3. Das Wichtigste in Kürze
- Scan2Deck lässt sich ohne Konto nutzen. Ohne Konto bleiben Sammlung, Decks und Hefte auf Ihrem Gerät.
- Die Texterkennung beim Scannen läuft auf Ihrem Gerät. An unseren Server geht nur der erkannte Text, nie das Foto (Abschnitt 6).
- Mit Konto werden Ihre Sammlungsdaten auf unserem Server gespeichert und zwischen Ihren Geräten synchronisiert.
- Kartenbilder werden – soweit angezeigt – direkt von Ihrem Gerät bei den Bilddiensten TCGdex und pokemontcg.io geladen; diese erhalten dabei Ihre IP-Adresse (Abschnitt 9).
- Die App enthält keine Werbung und keine Analyse-, Tracking- oder Werbe-SDKs. Daten werden nicht verkauft.
- Ihr Konto können Sie jederzeit in der App löschen (Abschnitt 13).
4. Nutzung ohne Konto (Gastmodus)
Ohne Anmeldung speichert die App Ihre Sammlung, Wunschliste, Favoriten, Hefte, Decks und Einstellungen ausschließlich lokal auf Ihrem Gerät. Davon wird nichts an unseren Server übertragen – mit Ausnahme des beim Scannen erkannten Kartentexts (Abschnitt 6) und der Abfrage öffentlicher Katalog- und Preisdaten, die keinen Bezug zu Ihrer Person enthält.
5. Konto und Anmeldung
Ein Konto ist freiwillig. Es dient dazu, Ihre Sammlung zu sichern, sie zwischen mehreren Geräten zu synchronisieren und die Funktionen „Freunde“ und „Tauschen“ zu nutzen. Sie können sich anmelden mit:
- E-Mail und Passwort. Gespeichert werden die E-Mail-Adresse und ein Hash des Passworts (Argon2id). Das Passwort selbst wird nie gespeichert.
- „Mit Apple anmelden“. Apple übermittelt uns eine dauerhafte, anonyme Apple-Kennung und – beim ersten Mal und nur wenn Sie zustimmen – Ihren Namen und Ihre E-Mail-Adresse, die auch eine anonymisierte Apple-Weiterleitungsadresse sein kann.
- „Mit Google anmelden“. Google übermittelt uns eine dauerhafte Google-Kennung, Ihre E-Mail-Adresse und ggf. Ihren Namen.
Die Anmeldung bei Apple oder Google erfolgt bei dem jeweiligen Anbieter in dessen Verantwortung (Apple, Google). Wir erhalten kein Passwort dieser Konten.
Sitzungen. Angemeldet bleiben Sie über ein kurzlebiges Zugriffstoken (30 Minuten) und ein Erneuerungstoken (30 Tage). Das Erneuerungstoken wird auf dem Server nur als Hash gespeichert, zusammen mit einer groben Gerätebezeichnung („iPhone“ bzw. „Android“), der Kennung der App-Software (User-Agent) und Zeitpunkten. Auf dem Gerät liegt es im Schlüsselbund bzw. sicheren Speicher des Betriebssystems.
Übernahme der Gast-Sammlung. Wenn Sie sich auf einem Gerät anmelden, auf dem Sie bisher ohne Konto gesammelt haben, wird diese lokale Sammlung in Ihr Konto übernommen und damit auf den Server übertragen.
6. Karten scannen
Zum Scannen benötigt die App die Kamera oder ein von Ihnen ausgewähltes Foto aus der Mediathek. Die Texterkennung (OCR) läuft auf Ihrem Gerät mit Google ML Kit. An unseren Server wird nur der erkannte Text übertragen – mit der Position der Zeilen auf der Karte und der gewählten Kartensprache –, damit er die Karte im Katalog zuordnen kann. Das Foto, ein Ausschnitt davon oder sonstige Bilddaten verlassen Ihr Gerät beim Scannen nicht. Wird auf einem Foto kein Text erkannt, sendet die App gar nichts.
- Ohne Konto wird der Text nur zur Zuordnung verarbeitet und nicht gespeichert; es wird kein Scan-Eintrag angelegt.
- Mit Konto werden der erkannte Text, das Ergebnis und der Zeitpunkt als Scan-Verlauf gespeichert, bis Sie Ihr Konto löschen. Ein Bild wird nicht gespeichert.
Ältere App-Versionen haben zusätzlich ein Foto der Karte mitgeschickt. Unser Server nimmt ein solches Foto seit dem 23. Oktober 2026 nicht mehr zur Kenntnis: Es wird weder gelesen noch geprüft noch gespeichert und mit dem Ende der Anfrage verworfen. Die bis dahin für angemeldete Nutzer gespeicherten Scan-Fotos wurden am 23. Oktober 2026 vollständig gelöscht; Kopien in unseren Sicherungen werden mit deren regulärem Ablauf bis spätestens 8. November 2026 automatisch entfernt.
Auf Ihrem Gerät behält die App die letzten zwölf Aufnahmen in ihrem temporären Speicher. Wenn Sie unter Mehr → Erweitert → Scanner-Diagnose das Aufbewahren fehlgeschlagener Scans einschalten (standardmäßig aus), werden zusätzlich bis zu 20 solcher Bilder lokal gespeichert. Diese Bilder verlassen das Gerät nicht.
7. Sammlung, Hefte und Decks
Mit Konto speichern wir, was Sie in der App anlegen: Ihre Karten mit Anzahl, Sprache, Zustand und Variante, Wunschliste, Favoriten, Markierungen und Notizen, Ihre Hefte (Binder) mit der Belegung der Fächer sowie Ihre Decks. Diese Daten werden zwischen Ihren Geräten synchronisiert.
8. Freunde und Tauschen
- Mit Konto erhalten Sie einen Sammlercode (z. B. „S2D-XXXX-XXXX“). Wer Ihren Code kennt, sieht Ihren Anzeigenamen, Ihre Initialen und Ihre optionale Kurzbeschreibung. Eine Suche nach Namen oder E-Mail-Adressen gibt es nicht; Ihre E-Mail-Adresse wird anderen nie angezeigt.
- Ihre Sammlung ist standardmäßig privat. Wenn Sie es einstellen, können Ihre Freunde sie sehen.
- Gespeichert werden Freundschaftsanfragen und Freundschaften sowie Tauschangebote mit den angebotenen Karten und einer optionalen Nachricht (bis 280 Zeichen). Beide Seiten eines Tauschs sehen diese Angaben.
- Zur Nachvollziehbarkeit und Sicherheit protokollieren wir Freundschafts- und Tauschvorgänge (was wann geschah, mit internen Kennungen). Das Protokoll enthält keine E-Mail-Adressen, Passwörter oder Tokens.
9. Kartenbilder, Kartendaten und Preise
Kartenbilder und Set-Logos lädt die App – soweit sie angezeigt werden – direkt von Ihrem Gerät aus von:
- dem Bilddienst von TCGdex (
assets.tcgdex.net) und - für einige Karten ohne Bild bei TCGdex von pokemontcg.io (
images.pokemontcg.io).
Wie bei jedem Bildabruf im Internet erhalten diese Dienste dabei technisch bedingt Ihre IP-Adresse, die Adresse des angefragten Bildes und Angaben zur App-Software. Kontodaten oder Kennungen übermitteln wir an sie nicht. Für diese Abrufe gelten die Angaben der jeweiligen Anbieter. Ob Bilder angezeigt werden, kann von unserem Server zentral abgeschaltet werden; dann lädt die App keine Bilder von diesen Diensten.
Kartendaten (Namen, Sets, Nummern) und Marktpreise ruft unser Server bei TCGdex ab; Wechselkurse ruft er bei der Europäischen Zentralbank ab. Diese Abfragen enthalten keine Daten über Sie. Ihr Gerät erhält Katalog und Preise ausschließlich von unserem Server.
10. Texterkennung mit Google ML Kit
Die Texterkennung beim Scannen nutzt Google ML Kit und läuft auf Ihrem Gerät; das Kartenfoto wird nicht an Google übertragen. ML Kit kann jedoch technische Nutzungs- und Leistungsdaten an Google senden (z. B. Gerätemodell, Betriebssystem- und App-Version, Kennzahlen zur Nutzung und Leistung der Erkennungsfunktion). Nach Angaben von Google dienen diese Daten dem Betrieb und der Verbesserung von ML Kit. Wir erhalten diese Daten nicht.
Das Lesen von Sammlercodes als QR-Code erfolgt auf iOS mit Apples eigener Bilderkennung auf dem Gerät.
11. Hosting, Cloudflare und Serverprotokolle
Unser Server wird bei einem Hosting-Anbieter in der Europäischen Union betrieben. Datenbank und Zwischenspeicher sind nicht öffentlich erreichbar. Der Datenverkehr zur App-Schnittstelle (api-scan2deck.willenbuecher.com) läuft über das Netz von Cloudflare, das dabei technisch bedingt Ihre IP-Adresse und Verbindungsdaten verarbeitet (Datenschutzerklärung von Cloudflare).
Zugriffsprotokolle. Unser vorgeschalteter Webserver protokolliert Anfragen an die App-Schnittstelle mit Zeitpunkt, angeforderter Adresse, Status, Kennung der App-Software sowie der IP-Adresse Ihres Geräts und dem von Cloudflare ermittelten Land. Die Protokolle sind größenbegrenzt (höchstens drei Dateien zu je 10 MB, gemeinsam für alle auf dem Server betriebenen Angebote) und werden fortlaufend überschrieben. Eine feste Aufbewahrungsdauer gibt es daher nicht; die Frist ergibt sich aus dem Umfang.
Missbrauchsschutz. Anmeldeversuche, Scans ohne Konto und weitere öffentliche Abfragen sind begrenzt. Dazu wird Ihre IP-Adresse in einem Zähler gehalten, der nach spätestens zehn Minuten verfällt.
Fehler- und Betriebsmeldungen der Anwendung enthalten keine Passwörter, Tokens oder Inhalte Ihrer Sammlung.
12. Speicherdauer und Sicherungen
| Daten | Speicherdauer |
|---|---|
| Gastdaten | nur auf Ihrem Gerät, bis Sie sie dort löschen oder die App entfernen |
| Konto, Sammlung, Hefte, Decks, Scan-Verlauf (Text und Ergebnis), Profil, Freundschaften | bis zur Löschung Ihres Kontos |
| Sitzungen | Erneuerungstoken 30 Tage gültig; bei Abmeldung widerrufen, bei Kontolöschung gelöscht |
| Abgeschlossene Tauschgeschäfte | bleiben für die andere Seite sichtbar; nach Löschung Ihres Kontos ohne Verbindung zu Ihnen |
| Protokoll von Freundschafts- und Tauschvorgängen | dauerhaft; nach Löschung Ihres Kontos ohne Ihre Kontokennung |
| Datenbank-Sicherungen | 14 Tage, danach automatische Löschung (täglicher Lauf); ältere Sicherungen mit Scan-Fotos laufen bis spätestens 8. November 2026 ab |
| Zugriffsprotokolle | größenbegrenzt, fortlaufend überschrieben (Abschnitt 11) |
| Zähler zum Missbrauchsschutz | höchstens 10 Minuten |
13. Konto löschen
Sie können Ihr Konto jederzeit in der App löschen: Mehr → Konto & Anmeldung → Konto löschen. Gelöscht werden sofort und endgültig: Ihr Konto, Ihre Sammlung, Hefte und Decks, Ihr Scan-Verlauf, Ihre Sitzungen, Ihr Sammlerprofil, Ihre Freundschaften und die Verknüpfungen zu Apple, Google bzw. Ihrer E-Mail-Anmeldung. Offene Tauschangebote werden abgebrochen. Kopien in Sicherungen werden innerhalb der in Abschnitt 12 genannten 14 Tage entfernt.
Das Löschen Ihres Scan2Deck-Kontos löscht nicht Ihr Apple- oder Google-Konto. Die Verbindung zu Scan2Deck können Sie dort selbst trennen: bei Apple in den iOS-Einstellungen unter Ihrem Apple-Account im Bereich „Mit Apple anmelden“, bei Google unter myaccount.google.com.
Sie können die Löschung auch per E-Mail an [email protected] verlangen.
14. Rechtsgrundlagen und Empfänger
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Konto, Anmeldung, Synchronisation, Sammlung, Hefte, Decks, Freunde, Tauschen | Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen genutzten Funktionen) |
| Kartenerkennung (erkannter Text) | Art. 6 Abs. 1 lit. b DSGVO |
| Zugriffsprotokolle, Missbrauchsschutz, Protokoll von Freundschafts- und Tauschvorgängen, Sicherungen | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Betrieb) |
| Abruf von Kartenbildern bei TCGdex und pokemontcg.io; Nutzungs- und Leistungsdaten von Google ML Kit | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung der Karten und einer funktionierenden Texterkennung) |
Empfänger sind der Hosting-Anbieter unseres Servers und Cloudflare als technische Dienstleister, Apple und Google bei der von Ihnen gewählten Anmeldung, Google bei der Texterkennung (Abschnitt 10) sowie die Bilddienste aus Abschnitt 9. Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt.
Übermittlung in Drittländer. Cloudflare, Apple und Google haben ihren Sitz bzw. Konzernsitz in den USA; dabei können Daten in die USA übermittelt werden. Diese Unternehmen sind nach eigenen Angaben unter dem EU-US Data Privacy Framework zertifiziert. Für TCGdex und pokemontcg.io gelten die Angaben dieser Anbieter zu ihrem Standort.
15. Ihre Rechte
Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Vieles davon können Sie direkt in der App ausüben: Ihre Sammlung ist einsehbar und änderbar, Ihr Konto ist löschbar. Für alles Weitere genügt eine Nachricht an [email protected].
Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), etwa an Ihrem gewöhnlichen Aufenthaltsort oder an unserem Sitz.
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt.
16. Diese Website (willenbuecher.com)
Für den Besuch dieser Website – nicht für die App – gelten die Angaben zur Statistik mit Plausible Analytics (selbst gehostet, ohne Cookies) und zu den Zugriffsprotokollen im Impressum / Kontakt & Anbieter. Die App selbst enthält keine Statistikfunktion.
17. Änderungen
Diese Datenschutzerklärung wird angepasst, wenn sich die Funktionen der App oder die Datenverarbeitung ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung; das Datum der letzten Änderung steht am Anfang.