Datenschutzerklärung

1. Verantwortlicher

Kezban Terra Tatar – Vintage Master
Kollwitzstraße 76
10435 Berlin
Deutschland
E-Mail: info@vintage-master.com

2. Hosting und Server-Logfiles

Diese Website wird bei Vercel Inc. (USA) gehostet. Beim Aufruf werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser) verarbeitet, um die Website auszuliefern und abzusichern (Art. 6 Abs. 1 lit. f DSGVO). Dabei kann eine Übermittlung in die USA stattfinden.

3. Datenbank und Kartenbilder

Katalogdaten und Kartenscans werden bei Supabase Inc. in einem Rechenzentrum in Frankfurt am Main (EU) gespeichert. Die Kartenbilder lädt Ihr Browser direkt von den Servern von Supabase; dabei wird Ihre IP-Adresse an Supabase übermittelt (Art. 6 Abs. 1 lit. f DSGVO).

4. Cookies und ähnliche Technologien

Ohne Ihre Einwilligung speichern wir nur, was eine Funktion braucht, die Sie selbst nutzen (§ 25 Abs. 2 Nr. 2 TDDDG); diese Angaben sind unten aufgeführt. Analyse mit Cookies setzen wir nur ein, wenn Sie im Cookie-Banner zustimmen (Abschnitt 4d). Ihre Wahl speichern wir im Cookie vm_consent (nur Ihre Auswahl und das Datum, ohne Kennung, 12 Monate); ändern oder widerrufen können Sie sie jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite.

Cookies

• vm_locale — Ihre Sprachwahl („de“ oder „en“, ohne Kennung), wenn Sie oben auf „EN“ oder „DE“ klicken oder sich in einem Kundenkonto mit gespeicherter Sprache anmelden; ein Jahr. Ihr Browser sendet ihn mit jedem Seitenaufruf, damit die Seite in Ihrer Sprache erscheint. Ohne Wahl richten wir uns nach der Spracheinstellung Ihres Browsers.
• vm_acct und vm_acct_r — halten Sie in Ihrem Kundenkonto angemeldet (für Skripte nicht lesbar). Sie enden mit der Browsersitzung oder – wenn Sie bei der Anmeldung mit Passwort „Angemeldet bleiben“ wählen – nach 30 Tagen und werden bei der Abmeldung gelöscht.
• vm_acct_code — während der Anmeldung mit Code, der Registrierung oder dem Zurücksetzen des Passworts: die E-Mail-Adresse und der Schritt, bis Sie den Code eingeben; höchstens eine Stunde.
• vm_acct_pkce — ein Sicherheitswert für „Mit Google anmelden“; höchstens zehn Minuten.
• vm_no_stats — wenn Sie Ihren Browser auf der Seite Besuchsstatistik ausnehmen (Inhalt nur „1“, 400 Tage, bei jedem Besuch verlängert), damit Ihre Aufrufe nicht gezählt werden (Abschnitt 6).

Speicher im Browser (localStorage, bleibt bis Sie ihn löschen)

• Ihr Warenkorb (Artikelnummern und Mengen), sobald Sie etwas hineinlegen;
• Ihre Favoriten (Artikelnummern), sobald Sie ohne Anmeldung auf das Herz klicken;
• Ihre Wahl zwischen heller und dunkler Darstellung, wenn Sie sie mit dem Schalter ändern.

Um Warenkorb und Favoriten mit aktuellen Preisen und Verfügbarkeiten anzuzeigen, sendet Ihr Browser die Artikelnummern beim Aufruf dieser Seiten an unseren Server; wir speichern sie dort nicht.

Speicher für die Dauer des Browser-Tabs (sessionStorage, endet mit dem Schließen des Tabs)

• wie viele Artikel Ihres Warenkorbs noch verfügbar sind (nur bei gefülltem Warenkorb, höchstens eine Minute wiederverwendet);
• ein zufälliger Bestellschlüssel, sobald Sie an der Kasse „Bestellung prüfen“ oder „Zahlungspflichtig bestellen“ wählen, damit eine Bestellung nicht doppelt angelegt wird;
• die Liste, die Sie in „Wishlist Match“ eingeben, damit sie ein Neuladen der Seite übersteht;
• die Scrollposition von Katalog- und Suchseiten (zusammen mit der Seitenadresse, einschließlich eines Suchbegriffs), sobald Sie dort etwas anklicken, damit Sie mit „Zurück“ an dieselbe Stelle kommen.

Sie können diese Angaben jederzeit in den Einstellungen Ihres Browsers löschen; die jeweilige Funktion (z. B. der Warenkorb) beginnt dann von vorn.

4a. Anmeldung mit Google

Nur wenn Sie im Kundenkonto „Mit Google anmelden“ wählen: Wir leiten Sie dann zu Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) weiter. Nach Ihrer Zustimmung dort übermittelt Google an unseren Anmeldedienst Supabase Ihre E-Mail-Adresse, ob sie bestätigt ist, und Ihr Basisprofil (Name, Profilbild). Für Ihr Kundenkonto verwenden wir nur die E-Mail-Adresse; Name und Profilbild speichert Supabase mit der Anmeldung, wir zeigen oder nutzen sie nicht. Sie werden mit Ihrem Kundenkonto gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Ihr Kundenkonto). Dabei kann eine Übermittlung in die USA stattfinden. Für die Verarbeitung bei Google gilt die Datenschutzerklärung von Google. Sie können sich jederzeit stattdessen mit E-Mail-Adresse und Passwort oder Code anmelden.

4b. Adressvorschläge im Kundenkonto und an der Kasse

Wenn Sie im Kundenkonto oder an der Kasse eine Adresse eintippen, schlagen wir passende Adressen vor. Dazu sendet unser Server den eingetippten Text — und nur diesen, ohne Ihre IP-Adresse, Ihr Konto oder Cookies — an den Dienst „Photon“ der komoot GmbH (Potsdam, Deutschland), der auf Kartendaten von OpenStreetMap beruht. Wir speichern die Anfragen nicht; zum Schutz vor Missbrauch begrenzen wir lediglich ihre Anzahl je Netzwerk (wie in Abschnitt 10). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Ihr Adressbuch bzw. die Lieferung Ihrer Bestellung) und lit. f (fehlerfreie Adressen). Sie können die Adresse auch ohne Vorschlag eingeben.

4c. Kundenkonto

Ein Kundenkonto ist freiwillig; Sie können auch als Gast bestellen. Für Ihr Konto verarbeiten wir Ihre E-Mail-Adresse, Ihr Passwort (nur als nicht umkehrbarer Hashwert), die Zeitpunkte Ihrer Anmeldungen, Ihre Spracheinstellung, gespeicherte Adressen (höchstens zehn), Favoriten und gespeicherte Listen sowie Ihre Angabe, mindestens 16 Jahre alt zu sein. Bestellungen, die mit derselben bestätigten E-Mail-Adresse aufgegeben wurden, zeigen wir in Ihrem Konto an. Wichtige Kontoereignisse (z. B. Konto angelegt, E-Mail-Adresse oder Passwort geändert, Konto gelöscht) protokollieren wir ohne E-Mail-Adresse und ohne IP-Adresse. Zum Schutz vor Missbrauch speichern wir höchstens einen Tag lang mit geheimem Schlüssel gebildete Hashwerte von IP- und E-Mail-Adresse. Anmeldung und Konto werden von Supabase (Frankfurt am Main) betrieben; Bestätigungs- und Anmelde-E-Mails versenden wir über den E-Mail-Dienst Resend.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Ihr Konto), für das Ereignisprotokoll und den Missbrauchsschutz Art. 6 Abs. 1 lit. c und f DSGVO. Sie können Ihr Konto jederzeit unter „Konto löschen“ selbst löschen. Dann werden Anmeldung, Adressen, Spracheinstellung, Favoriten und Listen sofort gelöscht; Bestellungen, Rechnungen und Widerrufserklärungen bewahren wir auf, solange gesetzliche Aufbewahrungspflichten bestehen, und sie bleiben über den Link in Ihrer Bestellbestätigung erreichbar.

4d. Analyse und Werbung mit Ihrer Einwilligung

Statistik (eigene Analyse). Nur wenn Sie „Statistik“ zulassen, speichern wir eine zufällige Besucherkennung (Cookie vm_vid, 12 Monate) und eine Sitzungskennung (Speicher des Browser-Tabs; nach einer Bestellung zusätzlich einen Vermerk, dass sie bereits erfasst wurde) und erfassen in unserer eigenen Datenbank bei Supabase (Frankfurt am Main): aufgerufene Seiten und Zeitpunkt, die Herkunft des Besuchs (verweisende Website, Kampagnenparameter wie utm_source und eine Anzeigen-Klick-ID wie gclid), Gerätetyp und Sprache, in den Warenkorb gelegte Artikel, den Beginn der Kasse und Bestellungen (Bestellnummer, Betrag). Über die Bestellnummer verknüpfen wir diese Daten mit der Bestellung. Wir speichern dabei keine IP-Adresse, keinen Namen und keine E-Mail-Adresse. Zweck: zu verstehen, woher Besucher kommen und was zu Bestellungen führt, um Angebot, Website und Werbung zu verbessern. Die Daten werden nach 14 Monaten gelöscht; wenn Sie die Einwilligung widerrufen, sofort.

Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ widerrufen.

5. Schriftarten, keine Dienste Dritter im Browser

Die Schriftarten werden von unserem eigenen Server ausgeliefert; es wird keine Verbindung zu Google oder anderen Schriftanbietern aufgebaut. Außer den Kartenbildern von Supabase (Abschnitt 3) lädt die Website ohne Ihre Einwilligung (Abschnitte 4d und 11b) keine Inhalte, Skripte oder Pixel von Drittanbietern.

6. Anonyme Besuchs- und Produktstatistik

Um zu verstehen, wie unser Shop genutzt wird, zählen wir auf unserem Server die Seitenaufrufe. Gespeichert werden je Aufruf nur: die aufgerufene Seite (ohne Suchparameter und ohne Kennungen in der Adresse), der Zeitpunkt, ob Sie von einer anderen Seite unseres Shops kamen und — wenn Sie von einer anderen Website kamen — nur deren Domain (z. B. „google.com“), wie Ihr Browser sie übermittelt, sowie die Kampagnenparameter der Einstiegsseite (utm_source, utm_medium, utm_campaign) und ob der Besuch über eine Anzeige von Google, Microsoft oder Meta kam (ohne Klick-ID). Außerdem zählen wir, wie oft ein Artikel oder ein Set aufgerufen, wonach gesucht, was in den Warenkorb gelegt und was gekauft wird (Artikelnummer, Preis, Zeitpunkt).

Für die Seitenaufrufe wird kein Skript ausgeführt. Dass ein Artikel in den Warenkorb gelegt oder die Kasse geöffnet wurde, meldet die Seite unserem Server mit einer kurzen Nachricht ohne Kennung. Für die Statistik wird kein Cookie gesetzt und nichts auf Ihrem Gerät gespeichert; gelesen wird nur ein vorhandenes Widerspruchs-Cookie (Abschnitt 4). Wir speichern keine IP-Adresse, keine Browser- oder Gerätekennung, keinen Fingerabdruck und keine Kennung, die Aufrufe einer Person zusammenführt; die Statistik enthält keine Namen, E-Mail- oder Lieferadressen und wird nicht mit Kundenkonten oder Wunschlisten verknüpft. Ihre IP-Adresse wird nur im Moment des Aufrufs verwendet, um massenhafte automatische Aufrufe zu begrenzen (ein mit geheimem Schlüssel gebildeter Hashwert, höchstens einen Tag gespeichert, wie in Abschnitt 10). Nicht gezählt werden Kasse, Kundenkonto und Anmeldung, Bestell- und Zahlungsseiten sowie Bestätigungslinks.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Angebot und Website zu verbessern), soweit dabei überhaupt personenbezogene Daten verarbeitet werden. Seitenaufrufe werden nach 13 Monaten gelöscht, die übrige Statistik nach 24 Monaten. Sie können der Zählung jederzeit widersprechen, indem Sie auf der Seite Besuchsstatistik Ihren Browser ausnehmen (Cookie siehe Abschnitt 4).

6a. Auswertung von Bestellungen und Kundenkonten

Wir werten unsere Bestell- und Kundenkontodaten sowie, wenn Sie daran teilnehmen, Daten aus Treue- und Empfehlungsprogrammen aus, um Umsatz, Wiederkäufe und die Wirkung unserer Angebote zu verstehen und zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Die Ergebnisse nutzen wir nur intern; automatisierte Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten, treffen wir nicht. Sie können dieser Auswertung jederzeit widersprechen (Art. 21 DSGVO), z. B. per E-Mail an info@vintage-master.com.

7. Kontakt per E-Mail

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag, sonst lit. f).

8. Fotoanfragen

Wenn Sie über die Schaltfläche auf einer Kartenseite Fotos einer Karte ohne Schutzhülle anfragen, speichern wir die Artikelnummer der Karte, Ihre E-Mail-Adresse und Ihre Nachricht, soweit Sie sie angeben, den Zeitpunkt sowie die Browserkennung (keine IP-Adresse). Das dient dazu, Ihre Anfrage zu beantworten und nachzuvollziehen, welche Karten häufig angefragt werden (Art. 6 Abs. 1 lit. b und f DSGVO). Die Daten werden bei Supabase (Frankfurt am Main) gespeichert; über neue Anfragen benachrichtigt uns eine E-Mail, die über den E-Mail-Dienst Resend versandt wird.

9. Widerrufsfunktion

Wenn Sie über „Vertrag widerrufen“ einen Widerruf erklären, speichern wir Name, E-Mail-Adresse, Bestellnummer, Ihre weiteren Angaben im Formular, den Zeitpunkt sowie IP-Adresse und Browserkennung als Nachweis des Eingangs (Art. 6 Abs. 1 lit. c DSGVO). Die Daten werden bei Supabase (Frankfurt am Main) gespeichert.

10. Wunschlisten-Suche

Wenn Sie unter „Wishlist Match“ (Wunschliste abgleichen) eine Kartenliste eintippen, als CSV-/Excel-Datei hochladen oder ein Foto bzw. einen Screenshot einer Liste hochladen, wird die Liste auf unserem Server mit unserem Bestand abgeglichen. CSV- und Excel-Dateien werden bereits in Ihrem Browser gelesen; an uns gehen nur die Zeilen. Bilder werden auf unserem Server (Vercel) mit einer Texterkennung ausgelesen, die wir selbst betreiben; sie werden an keinen weiteren Dienst übermittelt und nach der Verarbeitung nicht gespeichert. Ihre Liste wird nicht gespeichert.

Wir zählen anonym, welche Karten gesucht und ob sie gefunden wurden (Abschnitt 6), ohne Bezug zu Ihnen. Zum Schutz vor Missbrauch begrenzen wir die Anzahl der Anfragen je Netzwerk; dazu speichern wir bei Supabase (Frankfurt am Main) höchstens einen Tag lang einen mit einem geheimen Schlüssel gebildeten Hashwert Ihrer IP-Adresse und einen Zähler (Art. 6 Abs. 1 lit. f DSGVO).

11. Bestellungen und Zahlung

Wenn Sie bestellen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Liefer- und gegebenenfalls Rechnungsadresse, die bestellten Artikel und Preise, die gewählte Zahlungsart, Ihre Altersangabe, die Fassungen der AGB und Belehrungen, die bei der Bestellung galten, sowie den Zahlungs- und Versandstatus. Das dient der Abwicklung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und der Erfüllung gesetzlicher Pflichten, etwa zur Rechnungsstellung und Aufbewahrung (Art. 6 Abs. 1 lit. c DSGVO). Die Daten werden bei Supabase (Frankfurt am Main) gespeichert.

Zahlung: Nach Klick auf „Zahlungspflichtig bestellen“ leiten wir Sie auf die Zahlungsseite des gewählten Anbieters weiter: Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Dublin 2, Irland) für Karte, Apple Pay und Google Pay, oder PayPal (Europe) S.à r.l. et Cie, S.C.A. (22–24 Boulevard Royal, L-2449 Luxemburg). Wir übermitteln dafür Bestellnummer, Betrag und Artikel sowie Ihre E-Mail-Adresse (Stripe) bzw. Name und Lieferadresse (PayPal). Ihre Zahlungsdaten geben Sie direkt beim Anbieter ein; wir erhalten sie nicht. Die Anbieter verarbeiten diese Daten, auch zur Betrugsprävention, in eigener Verantwortung und setzen dafür auf ihren eigenen Seiten eigene Cookies; es gelten deren Datenschutzhinweise. Auf unseren Seiten wird kein Skript der Zahlungsanbieter geladen. Zahlungsmittel werden bei uns nicht gespeichert.

E-Mails: Bestellbestätigung, Rechnung, Versandnachricht und Eingangsbestätigungen versenden wir über den E-Mail-Dienst Resend (Resend, Inc., USA; Versand aus der EU-Region Irland) als Auftragsverarbeiter.

Versand: Für die Zustellung geben wir Name und Lieferadresse an das Versandunternehmen weiter (Deutsche Post / DHL).

Speicherdauer: Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 147 AO), Handels- und Geschäftsbriefe sechs Jahre (§ 257 HGB); die übrigen Bestelldaten, bis der Vertrag vollständig abgewickelt ist und Ansprüche aus ihm verjährt sind.

Übermittlung in Drittländer: Vercel, Supabase und Resend sind Unternehmen mit Sitz bzw. Muttergesellschaft in den USA. Soweit dabei Daten in die USA gelangen, erfolgt dies auf Grundlage des EU-US Data Privacy Framework oder von EU-Standardvertragsklauseln.

11a. Anfragen für weitere Lieferländer

Wenn Sie uns über das Formular „Lieferung in Ihr Land“ mitteilen, wohin wir liefern sollen, speichern wir bei Supabase (Frankfurt am Main) das gewählte Land, das Datum, die Artikel in Ihrem Warenkorb (Artikelnummer, Menge, Listenpreis) und einen nicht umkehrbaren, mit einem geheimen Schlüssel gebildeten Fingerabdruck Ihrer E-Mail-Adresse, damit jede Person nur einmal gezählt wird (Art. 6 Abs. 1 lit. f DSGVO: Planung neuer Lieferländer). Ihre E-Mail-Adresse selbst speichern wir nur, wenn Sie ausdrücklich einwilligen, einmalig benachrichtigt zu werden, sobald wir in dieses Land liefern (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung können Sie jederzeit per E-Mail an info@vintage-master.com widerrufen; die Adresse wird dann gelöscht. Anfragen ohne Einwilligung löschen wir nach 24 Monaten. Es werden dabei keine IP-Adressen und kein Surfverhalten gespeichert.

11b. Bewertungen über Google Kundenrezensionen

Nach einer Bestellung bieten wir Ihnen auf der Bestellseite an, dass Google Sie nach der Lieferung einmal per E-Mail um eine Bewertung Ihres Einkaufs bittet (Google Kundenrezensionen). Nur wenn Sie dort auf „Ja“ klicken, wird ein Skript von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) geladen und erhält Google Ihre Bestellnummer, Ihre E-Mail-Adresse, das Lieferland und das voraussichtliche Lieferdatum; im anschließenden Dialog von Google bestätigen Sie die Teilnahme. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit über den Abmeldelink in der E-Mail von Google oder per E-Mail an info@vintage-master.comwiderrufen können. Google verarbeitet die Daten nach seiner eigenen Datenschutzerklärung (policies.google.com/privacy); dabei können Daten in die USA übermittelt werden (EU-US Data Privacy Framework). Klicken Sie nicht auf „Ja“, wird nichts an Google übermittelt.

12. Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde, z. B. der Berliner Beauftragten für Datenschutz und Informationsfreiheit.

Stand: 20. Oktober 2026