Datenschutzerklärung

Sven Becker
Henricistraße 44, 52072 Aachen, Deutschland
E-Mail: hello@biddo.lol
Datenschutzbeauftragter: kein Datenschutzbeauftragter bestellt. Der Betreiber beschäftigt keine Mitarbeitenden mit automatisierter Datenverarbeitung und verarbeitet weder besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) noch nimmt er eine umfangreiche, regelmäßige und systematische Überwachung von Personen vor; eine Bestellpflicht nach Art. 37 DSGVO bzw. § 38 BDSG besteht daher nicht.

Die Anwendung verarbeitet aktuell:

• Kontodaten : E-Mail-Adresse, Benutzername und Anzeigename, bei der Registrierung angegeben.
• Nutzungsdaten : Gebote, gehaltene Positionen, Guthabenstand und Transaktionsverlauf. Gebote und Positionen sind öffentlich sichtbar; das ist der Zweck des Dienstes.
• Zahlungsdaten : Kauf von Credits läuft über Dodo Payments. Kartendaten werden ausschließlich von Dodo Payments verarbeitet und erreichen diese Anwendung nie; gespeichert werden nur die Dodo-Zahlungs-ID, Betrag, Währung und Status. Dodo Payments tritt dabei als sogenannter Merchant of Record auf - Näheres dazu im Abschnitt „Auftragsverarbeiter“ unten.
• Nutzungsstatistik (eigene, erste Partei) : Seitenaufrufe und Produktereignisse (z. B. Registrierung, Login, Gebot abgegeben, Bezahlvorgang gestartet, Board angesehen oder erstellt) werden mit Zeitstempel, Pfad und einer zufälligen, anonymen Sitzungs-ID in einer eigenen Datenbanktabelle gespeichert. Ist die Person eingeloggt, wird das Ereignis zusätzlich ihrem Konto zugeordnet; im ausgeloggten Zustand bleibt es anonym. Es werden keine IP-Adressen gespeichert und keine Daten an Dritte zur Auswertung weitergegeben.
• Reichweitenmessung : Vercel Web Analytics erfasst aggregierte, anonymisierte Seitenaufrufstatistiken für den Betreiber. Der Dienst verwendet nach Angaben des Anbieters keine Cookies und keine Wiedererkennung einzelner Geräte über Sitzungen hinweg.
• Hosting-/Zugriffsdaten : Die Anwendung selbst speichert keine IP-Adressen in der eigenen Datenbank. Der Hosting-Anbieter Vercel verarbeitet jedoch im Rahmen des laufenden Betriebs technische Zugriffsdaten - u. a. IP-Adresse, davon abgeleitete Standortinformationen und Systemkonfiguration - gemäß der Datenschutzerklärung von Vercel.
• Administrative Protokolldaten : Bestimmte administrative Aktionen (z. B. Moderationsentscheidungen zu Boards) werden mit handelnder Person, Aktion, Zeitstempel und Bezug zum betroffenen Datensatz in einer eigenen, nur für Administratoren einsehbaren Tabelle protokolliert.

• Supabase : Datenbank, Authentifizierung und der Versand von Bestätigungs-/Anmelde-E-Mails. Das Projekt läuft in der AWS-Region eu-west-1 (Irland). Vertragspartner ist Supabase Pte. Ltd. (Singapur); der Auftragsverarbeitungsvertrag gilt nach Angaben von Supabase automatisch und ohne gesonderten Vertragsschluss mit Annahme der Supabase-Nutzungsbedingungen (siehe Supabase Data Processing Addendum); eine gesonderte Vertrags- oder Referenznummer existiert bei diesem Standard-Auftragsverarbeitungsvertrag nicht.
• Dodo Payments : Zahlungsabwicklung für den Kauf von Credits. Vertragspartner sind Dodo Payments Inc. (Delaware, USA) zusammen mit der verbundenen Dodo Payments Limited (Vereinigtes Königreich). Anders als beim früheren Zahlungsdienstleister Stripe - bei dem Biddo selbst Vertragspartner der Käuferin bzw. des Käufers war und Stripe lediglich als Auftragsverarbeiter tätig wurde - tritt Dodo Payments beim Kauf von Credits als sogenannter Merchant of Record auf: Dodo Payments schließt den Kaufvertrag über die Credits im eigenen Namen ab und übernimmt Zahlungsabwicklung, Betrugsprävention, Sanktionslistenprüfung und die damit verbundenen steuerlichen Pflichten. Für diesen Teil der Verarbeitung handelt Dodo Payments nach eigenen Angaben als eigenständig verantwortliche Stelle (Controller) und nicht als Auftragsverarbeiter von Biddo; nur soweit Dodo Payments ausschließlich auf dokumentierte Weisung von Biddo tätig wird, agiert es als Auftragsverarbeiter. Näheres regeln die Data Processing Agreement und die Privacy Policy von Dodo Payments; eine gesonderte Vertrags- oder Referenznummer existiert bei diesen Standarddokumenten nicht.
• Vercel Inc. : Hosting der Anwendung sowie Vercel Web Analytics. Vertragspartner ist Vercel Inc. (Delaware, USA); Vercel gibt in der eigenen Data Processing Addendum an, dass dieses automatisch mit Nutzung der Vercel-Dienste gilt und die primären Verarbeitungseinrichtungen in den USA liegen; eine gesonderte Referenznummer existiert auch hier nicht.

Bei diesen Anbietern findet eine Datenübermittlung in Länder außerhalb der EU/des EWR statt (Supabase: Sitz des Vertragspartners in Singapur, Verarbeitung selbst in Irland; Dodo Payments: Vertragspartner Dodo Payments Inc. mit Sitz in Delaware, USA, sowie die verbundene Dodo Payments Limited im Vereinigten Königreich; Vercel: nach eigenen Angaben primär USA). Als Übermittlungsgrundlage setzen die Anbieter nach ihren jeweils oben verlinkten Data-Processing-Vereinbarungen die von der Europäischen Kommission erlassenen Standardvertragsklauseln (SCC) ein; Dodo Payments stützt sich, soweit anwendbar, ergänzend auf das EU-U.S. Data Privacy Framework. Diese Mechanismen sind die in Art. 44 ff. DSGVO vorgesehenen Standardinstrumente für Datenübermittlungen in Drittländer.

Die Verarbeitung stützt sich je nach Zweck auf folgende Rechtsgrundlagen:

• Konto-, Nutzungs- und Zahlungsdaten (Registrierung, Gebote, Positionen, Guthaben, Credit-Käufe): Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung des Nutzungsvertrags bzw. zur Durchführung vorvertraglicher Maßnahmen bei der Registrierung.
• Nutzungsstatistik und administrative Protokolldaten (eigene, erste Partei): Art. 6 Abs. 1 lit. f DSGVO, gestütztes berechtigtes Interesse am sicheren, missbrauchsfreien und funktionsfähigen Betrieb sowie an der Weiterentwicklung des Dienstes.
• Hosting-/Zugriffsdaten bei Vercel und Reichweitenmessung: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem technisch stabilen und sicheren Betrieb der Anwendung.
• Aufbewahrung zahlungsbezogener Daten über das Vertragsende hinaus, soweit handels- oder steuerrechtlich vorgeschrieben: Art. 6 Abs. 1 lit. c DSGVO, rechtliche Verpflichtung.

Speicherdauer. Kontobezogene Daten (Benutzername, Anzeigename, Profilbild, Bio) werden gespeichert, solange das Konto besteht, und bei einer Kontolöschung durch die betroffene Person sofort anonymisiert (siehe unten). Zahlungsbezogene Belege (Beträge, Dodo-Zahlungs-IDs, Status) unterliegen den handels- und steuerrechtlichen Aufbewahrungspflichten nach § 257 HGB und § 147 AO und werden für die Dauer von bis zu zehn Jahren aufbewahrt, auch nach einer Kontolöschung. Gebote, gehaltene und abgegebene Positionen sowie administrative Protokolldaten bleiben aus Gründen der Nachvollziehbarkeit des öffentlichen Ranking-Wettbewerbs und zu Missbrauchspräventions- zwecken auch nach einer Kontolöschung in anonymisierter Form bestehen; eine feste automatische Löschfrist für die Nutzungsstatistik ist derzeit nicht definiert.

Kontolöschung. Eingeloggte Nutzer können ihr Konto selbst über die Profilseite („Gefahrenzone“) löschen. Dabei werden Benutzername, Anzeigename, Profilbild und Bio unwiderruflich anonymisiert und künftige Anmeldungen mit diesem Konto gesperrt. Guthabenstand, Transaktionsverlauf, Gebote und gehaltene Positionen werden aus den oben genannten rechtlichen und wettbewerbsbezogenen Gründen nicht gelöscht, aber nicht mehr der ursprünglichen Person zugeordnet angezeigt.

Ihre Rechte. Sie haben nach Maßgabe der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3), soweit eine Verarbeitung auf Einwilligung beruht. Für entsprechende Anfragen wenden Sie sich an hello@biddo.lol; abgesehen von der oben beschriebenen Kontolöschung erfolgt die Bearbeitung derzeit manuell.

Beschwerderecht bei einer Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), zuständig am Sitz des Betreibers in Aachen.

Die Anwendung verwendet folgende Cookies und Speichermechanismen im Browser:

• Anmeldesitzung (Supabase Auth) : technisch notwendige Cookies, um eingeloggt zu bleiben.
• Spracheinstellung : ein Cookie speichert, ob zuletzt Deutsch oder Englisch angezeigt wurde (Laufzeit 1 Jahr), damit die Wahl nicht bei jedem Besuch neu getroffen werden muss.
• Anonyme Sitzungs-ID und Empfehlungscode : im lokalen Speicher (localStorage) des Browsers, nicht als Cookie. Dient dazu, Ereignisse derselben Sitzung zuzuordnen bzw. einen Empfehlungslink (?ref=) bis zur Registrierung zu merken.

Alle genannten Mechanismen sind für den Betrieb bzw. die Kernfunktion des Dienstes technisch notwendig; es findet kein Tracking durch Werbe- oder Analyse-Cookies Dritter statt. Sollte das künftig ergänzt werden, ist vorab eine Einwilligungslösung (Cookie-Banner) erforderlich.