Rechtliches

Datenschutzerklärung

Welche Daten wir verarbeiten, wofür, an wen sie gehen und welche Rechte du hast. Stand: Oktober 2026.

Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:

Rene Murrell
Torstr. 118
10119 Berlin, Deutschland
E-Mail: datenschutz@lunara.stream

Einen Datenschutzbeauftragten haben wir nicht benannt. Anfragen zum Datenschutz beantwortet der Verantwortliche selbst unter der Adresse oben.

Besuch der Website und Hosting

Lunara läuft auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) in einem Rechenzentrum in Helsinki, Finnland. Hetzner verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO).

Bei jedem Aufruf speichert der Server kurzzeitig ein Protokoll: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser-Kennung und die zuvor besuchte Seite. Wir brauchen es, um Angriffe abzuwehren und Fehler zu finden (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen gelöscht.

Kartenbilder speichern wir bei Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) im Speicherdienst R2 mit Speicherort in der EU. Dein Browser lädt sie über unsere Adresse cards.lunara.stream direkt von Cloudflare, damit sie aus einem Rechenzentrum in deiner Nähe kommen. Dabei erhält Cloudflare deine IP-Adresse und die Browser-Kennung. Cloudflare verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO); Rechtsgrundlage ist unser berechtigtes Interesse an schnell ladenden Seiten (Art. 6 Abs. 1 lit. f DSGVO). Eine Übermittlung in die USA ist nicht ausgeschlossen. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Schriften und alle übrigen Inhalte liefern wir von unseren eigenen Servern aus. Solange du dich nicht anmeldest, stellt dein Browser beim Besuch von Lunara außer zu Cloudflare keine Verbindung zu Dritten her.

Konto und Anmeldung

Wenn du ein Konto anlegst, verarbeiten wir (Art. 6 Abs. 1 lit. b DSGVO):

E-Mail-Adresse und Benutzername
dein Passwort, ausschließlich als bcrypt-Hash, nie im Klartext
freiwillig: Profilbild und Beschreibung

Dein Passwort prüfen wir selbst. Die Anmeldung mit Google läuft über Firebase Authentication der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Firebase erhält dabei deine E-Mail-Adresse, IP-Adresse und Browser-Kennung, Google übermittelt uns Name, E-Mail-Adresse und Profilbild deines Google-Kontos. Früher hat das Web auch Konten mit E-Mail und Passwort bei Firebase angelegt. Bei ihrer ersten Anmeldung seitdem prüfen wir das Passwort einmal dort und speichern es danach nur noch bei uns. Eine Übermittlung an die Google LLC in den USA ist möglich; sie stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO). Firebase wird erst geladen, wenn du dich mit Google anmeldest oder abmeldest.

Die Mail zur Bestätigung deiner E-Mail-Adresse verschicken wir über Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich) als Auftragsverarbeiter, ebenso die Mail zum Zurücksetzen des Passworts.

Sammlung, Profil und Community

Sammlung, Wantlist und Tradelist: welche Karten du erfasst, mit Zustand, Anzahl und deinen Notizen
Sichtbarkeit: du legst fest, ob deine Sammlung privat, nur für Freunde oder öffentlich ist. Eine öffentliche Sammlung ist unter lunara.stream/u/dein-name für alle abrufbar und kann von Suchmaschinen gefunden werden
Direktnachrichten: werden nach 90 Tagen automatisch gelöscht
Beiträge im Community Board: sind für alle sichtbar

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Kartenerkennung mit KI

Wenn du eine Karte mit der Kamera scannst, schicken wir das Foto an OpenAI (OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland). Ein KI-Modell liest Name, Nummer und Set der Karte aus, damit wir sie in unserem Katalog finden. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), denn den Scan startest du selbst.

An OpenAI geht nur das Foto, nicht dein Name, deine E-Mail-Adresse oder deine Konto-Kennung
Fotografiere nur die Karte. Was sonst noch auf dem Bild ist, geht mit an OpenAI
Wir speichern das Foto nicht. Wir speichern, welche Karte erkannt wurde, ob du sie übernommen hast, Zeitpunkt und Kosten des Scans, für Guthaben, Abrechnung und Missbrauchsschutz
OpenAI nutzt die Fotos nicht zum Training. Nach eigenen Angaben bewahrt OpenAI sie höchstens 30 Tage zur Erkennung von Missbrauch auf, außer ein Gesetz verlangt eine längere Aufbewahrung

OpenAI verarbeitet die Fotos in unserem Auftrag (Art. 28 DSGVO). Die Verarbeitung kann in den USA stattfinden. Dafür gelten die EU-Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag mit OpenAI (Art. 46 Abs. 2 lit. c DSGVO).

Meldungen und Moderation

Wenn du einen Inhalt, ein Produkt oder ein Konto meldest, speichern wir, wer was gemeldet hat, den Grund und deinen Text. Unser Moderationsteam prüft die Meldung und entscheidet. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren Plattform und unsere Pflicht, Meldungen zu bearbeiten (Art. 6 Abs. 1 lit. c und f DSGVO, Art. 16 DSA).

Ist die KI-Vorsortierung eingeschaltet, schlägt ein Modell von OpenAI eine Kategorie, eine Dringlichkeit und eine kurze Zusammenfassung vor, damit dringende Fälle zuerst gelesen werden.

An OpenAI gehen nur der gewählte Grund, die Art des gemeldeten Inhalts und dein Text. Keine Namen, keine Konto-Kennungen, keine E-Mail-Adressen aus deinem Konto
Aus deinem Text entfernen wir vorher E-Mail-Adressen, Telefonnummern, IBANs, Links und @Namen
Der Vorschlag entscheidet nichts: über jede Meldung und jede Maßnahme entscheidet ein Mensch (Art. 22 DSGVO)
Der Vorschlag wird mit der Meldung gelöscht. OpenAI nutzt die Texte nicht zum Training und bewahrt sie nach eigenen Angaben höchstens 30 Tage zur Erkennung von Missbrauch auf

OpenAI verarbeitet die Texte in unserem Auftrag (Art. 28 DSGVO), wie bei der Kartenerkennung, auch hier mit den EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Widerruf über „Vertrag widerrufen“

Widerrufst du einen Vertrag über unsere Widerrufsfunktion, speichern wir deinen Namen, deine E-Mail-Adresse, den Vertrag, das Datum des Vertragsschlusses, deine freiwillige Nachricht, den Zeitpunkt des Eingangs, deine IP-Adresse und die Browser-Kennung, bei Anmeldung auch deine Konto-Kennung. Die Eingangsbestätigung schicken wir dir über Brevo. Der Widerruf landet in unserem Support-Postfach, damit wir die Erstattung bearbeiten.

Rechtsgrundlage ist unsere gesetzliche Pflicht, die Widerrufsfunktion bereitzustellen und den Eingang zu bestätigen (Art. 6 Abs. 1 lit. c DSGVO, § 356a BGB). IP-Adresse und Browser-Kennung speichern wir zum Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Wir bewahren den Widerruf drei Jahre ab Ende des Jahres auf, in dem er eingegangen ist, damit wir ihn bei Streit über den Vertrag nachweisen können (§ 195 BGB), und löschen ihn danach automatisch.

Ausweisprüfung zum Tauschen

Tauschen können nur Mitglieder, deren Identität wir bestätigt haben. Das schützt alle Beteiligten vor Betrug, weil beim Tausch Karten per Post an Fremde gehen.

Daten: Vorder- und Rückseite deines Personalausweises und ein Selfie, auf dem du ihn hältst. Zugangsnummer (CAN) und Seriennummer darfst du schwärzen
Zugriff: nur unsere Admins, zur Prüfung. Die Dateien liegen in einem nicht öffentlichen Speicher bei Cloudflare R2
Speicherdauer: die Bilder löschen wir 30 Tage nach der Freigabe und 7 Tage nach einer Ablehnung automatisch. Lädst du Bilder hoch, reichst sie aber nicht ein, oder fordern wir Unterlagen nach und du reichst nichts nach, löschen wir sie 30 Tage nach dem Hochladen. Solange eine Einreichung auf unsere Prüfung wartet, bewahren wir sie auf. Danach bleiben nur Angaben zur Prüfung: Ergebnis, Zeitpunkte, Dokumentart und eine Prüfsumme der Datei, nicht das Bild
Löschst du dein Konto, löschen wir die Bilder sofort

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), soweit du die Tausch-Funktion nutzt.

Fehlerprotokollierung

Damit wir Ausfälle bemerken, bevor du sie uns meldest, senden Browser und Server im Fehlerfall einen technischen Bericht an Sentry(Functional Software Inc., verarbeitet in unserem Auftrag in der EU-Region). Rechtsgrundlage ist unser berechtigtes Interesse am störungsfreien Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Enthalten: Fehlermeldung, technischer Aufrufpfad, aufgerufene Seite, Browser- und Betriebssystem-Version
Enthalten bei angemeldeten Personen: die interne Konto-Kennung, damit wir erkennen, ob ein Fehler eine Person oder alle betrifft
Nicht enthalten: IP-Adresse, Cookies, Formularinhalte, Chat- und Nachrichtentexte
Keine Bildschirmaufzeichnung: Session Replay ist abgeschaltet
Speicherdauer: 90 Tage, danach automatische Löschung

Statistik mit PostHog (nur mit Einwilligung)

Wenn du im Cookie-Banner „Statistik“ erlaubst, messen wir mit PostHog (PostHog Inc., USA, Speicherung in der EU-Region in Frankfurt), wie Lunara genutzt wird: welche Seiten aufgerufen werden, wo Besucher abspringen und welche Funktionen niemand findet. Ohne deine Einwilligung wird PostHog gar nicht erst geladen. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Enthalten: aufgerufene Seiten und die zuvor besuchte Seite, Klicks auf Schaltflächen und Links, Ladezeiten der Seite, Browser, Betriebssystem, Gerätetyp und Bildschirmgröße
Eine zufällige Kennung im lokalen Speicher und in einem Cookie (ph_…_posthog, bis zu 12 Monate), damit mehrere Seitenaufrufe als ein Besuch zählen
Bei angemeldeten Personen: die interne Konto-Kennung, nicht Name, Nutzername oder E-Mail-Adresse
Nicht enthalten: deine IP-Adresse (die Daten laufen über unseren eigenen Server, PostHog sieht nur dessen Adresse und speichert auch die nicht), Formularinhalte, Chat- und Nachrichtentexte, geheime Links aus unseren E-Mails
Keine Bildschirmaufzeichnung: Session Replay ist abgeschaltet
Speicherdauer: 12 Monate, danach automatische Löschung

PostHog verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Für einen möglichen Zugriff aus den USA gelten die EU-Standardvertragsklauseln. Widerrufst du die Einwilligung über „Cookie-Einstellungen“ im Seitenfuß, endet die Messung sofort und Kennung und Cookie werden aus deinem Browser gelöscht.

Speicherung im Browser

Werbe- oder Marketingdienste binden wir nicht ein. Statistik mit PostHog läuft nur mit deiner Einwilligung (siehe oben). Das Cookie-Banner fragt dich auch nach Marketing, damit solche Dienste künftig nie ohne deine Entscheidung geladen werden.

Im lokalen Speicher deines Browsers (LocalStorage) liegen dein Anmelde-Token und die Grunddaten deines Kontos, damit du angemeldet bleibst, dazu Einstellungen der Oberfläche. Nach einer Anmeldung mit Google legt Firebase dort seine eigene Sitzung ab. Das ist für den Dienst technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Beim Abmelden werden Token und Kontodaten entfernt.

Deine Auswahl im Cookie-Banner speichern wir im lokalen Speicher deines Browsers (Schlüssel „lunara-consent“): was du erlaubt hast, wann und in welcher Version der Abfrage. Das dient dem Nachweis deiner Einwilligung (Art. 7 Abs. 1 DSGVO) und ist für den Dienst technisch erforderlich. Eine Einwilligung gilt nur für die Zukunft und lässt sich jederzeit über „Cookie-Einstellungen“ im Seitenfuß widerrufen. Rechtsgrundlage für optionale Dienste ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Empfänger

Deine Daten gehen nur an diese Stellen, und nie zu Werbezwecken:

Hetzner Online GmbH: Hosting (Auftragsverarbeitung)
Cloudflare, Inc.: Speicherung und Auslieferung der Kartenbilder, Speicherung der Ausweisbilder zur Prüfung (Auftragsverarbeitung)
Google Ireland Limited: Anmeldung mit Google über Firebase Authentication
Sendinblue SAS (Brevo): Versand der Bestätigungs- und Passwort-Mails und der Eingangsbestätigungen für Widerrufe (Auftragsverarbeitung)
OpenAI Ireland Limited: Erkennung gescannter Karten und, wenn eingeschaltet, Vorsortierung von Meldungen (Auftragsverarbeitung)
Functional Software Inc. (Sentry): Fehlerberichte (Auftragsverarbeitung, EU-Region)
PostHog Inc.: Nutzungsstatistik, nur mit deiner Einwilligung (Auftragsverarbeitung, EU-Region)
Behörden, soweit wir gesetzlich dazu verpflichtet sind

Speicherdauer

Kontodaten und Sammlung speichern wir, solange dein Konto besteht. Löschst du es, entfernen wir die Daten sofort aus dem laufenden System. In unseren nächtlichen Sicherungen bleiben sie noch bis zu 14 Tage erhalten und verschwinden dann mit der Sicherung. Ausweisbilder löschen wir früher, siehe „Ausweisprüfung zum Tauschen“.

Deine Rechte

Du hast nach der DSGVO folgende Rechte gegenüber uns:

Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
Berichtigung falscher Daten (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO): dein Konto löschst du jederzeit selbst in den Einstellungen
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO): den Export deiner Daten findest du in den Einstellungen
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), für die Statistik jederzeit über „Cookie-Einstellungen“ im Seitenfuß

Wende dich dafür an datenschutz@lunara.stream. Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren, für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Fragen zum Datenschutz?

Schreib uns, wir antworten spätestens innerhalb eines Monats.

Kontakt aufnehmen