Vabana
← Rechtliches

Datenschutzerklärung für Vabana

Stand: 5. September 2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Lars Thun
handelnd unter Vabana
Hinüber 6
42477 Radevormwald
Deutschland

E-Mail: contact@vabana.app
Telefon: +49 176 57615280

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Sollte künftig ein Datenschutzbeauftragter bestellt werden, werden dessen Kontaktdaten an dieser Stelle veröffentlicht.

2. Geltungsbereich

Diese Datenschutzerklärung beschreibt die Verarbeitung personenbezogener Daten bei Nutzung der Vabana-App, der Vabana-Website und der unmittelbar damit verbundenen Plattformfunktionen.

Externe Dienste, die Nutzer eigenständig öffnen oder nutzen, können Daten zusätzlich in eigener Verantwortung verarbeiten.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit hierfür eine Rechtsgrundlage besteht. Je nach Vorgang stützen wir die Verarbeitung insbesondere auf:

Soweit Informationen auf einem Endgerät gespeichert oder ausgelesen werden, beachten wir zusätzlich § 25 TDDDG. Nicht unbedingt erforderliche Endgerätezugriffe erfolgen nur, wenn die gesetzlichen Voraussetzungen hierfür erfüllt sind.

4. Website-Aufruf

Beim Aufruf unserer Website können technisch erforderliche Verbindungsdaten verarbeitet werden, insbesondere IP-Adresse, Zeitpunkt des Abrufs, angeforderte Ressource, Browser-/Geräteinformationen sowie technische Server- und Sicherheitsinformationen, soweit diese durch unseren Hostingbetrieb anfallen.

Zwecke sind die sichere Bereitstellung der Website, Fehleranalyse und Abwehr missbräuchlicher Zugriffe.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und zuverlässigen Bereitstellung unseres Online-Angebots.

Nicht erforderliche Analyse- oder Marketingtechnologien dürfen auf der Website nur eingesetzt werden, wenn sie datenschutzrechtlich geprüft und – soweit erforderlich – zuvor wirksam eingewilligt wurden. Nach dem derzeit zugrunde gelegten Vabana-Setup ist kein eigenes Werbe- oder Cross-Site-Tracking vorgesehen.

5. Konto, Authentifizierung und Einstellungen

Wir verarbeiten insbesondere:

Zwecke sind insbesondere Kontoerstellung und -verwaltung, Anmeldung, Kontosicherheit, Darstellung des Profils, Speicherung von Einstellungen und Nachweis relevanter Vertragserklärungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Sicherheitsmaßnahmen zusätzlich Art. 6 Abs. 1 lit. f DSGVO.

6. Öffentliche Profile und nutzergenerierte Inhalte

Je nach Nutzung können insbesondere Benutzername, Avatar, Profiltext, Bewertungen und öffentliche Verkaufsangebote für andere Nutzer sichtbar sein.

Bitte veröffentliche keine unnötigen personenbezogenen Daten über dich oder Dritte in Profilen, Listings, Bewertungen oder sonstigen Freitextfeldern.

Rechtsgrundlage ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO. Soweit Inhalte für die Integrität des Marktplatzes, Bewertungssysteme und Missbrauchsprävention verarbeitet werden, kann ergänzend Art. 6 Abs. 1 lit. f DSGVO einschlägig sein.

7. Adressen und Bestellabwicklung

Für Versand, Rücksendung und Bestellabwicklung können insbesondere verarbeitet werden:

Bei einer Bestellung erhält der jeweilige Verkäufer die für Versand und Abwicklung erforderlichen Käuferdaten. Der Verkäufer verarbeitet diese Daten zur Erfüllung des Kaufvertrags und seiner eigenen gesetzlichen Pflichten.

Rechtsgrundlage bei Vabana ist Art. 6 Abs. 1 lit. b DSGVO; für gesetzlich erforderliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.

8. Listings, Kartenfotos und automatische Kartenerkennung

Beim Einstellen einer Karte können wir insbesondere verarbeiten:

Für die automatische Kartenerkennung wird die vom Nutzer aufgenommene Aufnahme vor jeder Übermittlung auf dem Endgerät des Nutzers auf die Sammelkarte zugeschnitten, verkleinert und neu komprimiert. Die dabei verwendete Bildverarbeitungsfunktion kodiert ausschließlich die Bildpunktdaten neu; Kamerahersteller, Gerätemodell, Aufnahmezeitpunkt und GPS-Standortdaten aus der Originalaufnahme werden dadurch nicht mit übertragen. Eine Hintergrundentfernung findet nicht statt. Erst dieses bereits auf dem Gerät zugeschnittene und von personenidentifizierenden Metadaten befreite Bild wird an die von Vabana eingesetzte Serverinfrastruktur übermittelt.

An externe Erkennungs- oder Katalogdienste werden für diesen Vorgang keine Vabana-Nutzerkennung, Verkäufer-ID, E-Mail-Adresse, Anschrift oder sonstigen Kontodaten übermittelt. Die Endnutzer-IP-Adresse wird nicht an diese Dienste weitergereicht. Übermittelt werden nur die für die Kartenidentifikation bzw. Kataloganreicherung erforderlichen, auf die Sammelkarte bezogenen Bild- oder Kartendaten.

Die Originalaufnahme in voller Auflösung verlässt das Endgerät zu keinem Zeitpunkt und wird nicht an die Vabana-/Supabase-Infrastruktur übermittelt. Übertragen wird ausschließlich das bereits auf dem Gerät zugeschnittene und komprimierte Bild. Die Aufnahme sollte dennoch möglichst nur die Sammelkarte zeigen und keine unnötigen personenbezogenen Informationen enthalten.

Rechtsgrundlage für die vom Nutzer angeforderte Verarbeitung zur Erstellung des Listings und zur Kartenerkennung ist Art. 6 Abs. 1 lit. b DSGVO.

9. Verkäuferstatus und Verkäuferkonto

Verkäufer erklären vor dem Verkauf, ob sie privat oder gewerblich handeln.

Wir verarbeiten außerdem den Status der Stripe-Anbindung und technische Kennungen des verbundenen Stripe-Kontos.

Zwecke sind insbesondere Verbrauchertransparenz, Zahlungsabwicklung, Compliance und Risikosteuerung.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO; soweit erforderlich ergänzend Art. 6 Abs. 1 lit. f DSGVO.

Die Selbsterklärung „privat/gewerblich" ist keine steuerliche oder behördliche Entscheidung. Vabana kann bei konkreten Widersprüchen zusätzliche Informationen verlangen.

10. Zahlungen über Stripe

Vabana nutzt Stripe für die Zahlungsabwicklung und die technische Anbindung von Verkäufern.

Je nach Zahlungsweg können insbesondere verarbeitet bzw. zwischen Vabana und Stripe ausgetauscht werden:

Vollständige Karten- oder Bankdaten werden nach dem vorgesehenen technischen Modell nicht von Vabana selbst gespeichert. Die Verarbeitung sensibler Zahlungsdaten sowie erforderliche Identitäts- und KYC-Prüfungen erfolgen über Stripe bzw. dessen gehostete Systeme.

Für in Deutschland geführte Stripe-Konten ist nach den aktuellen Stripe-Vertragsunterlagen insbesondere Stripe Payments Europe, Limited, Irland Vertragspartner. Für bestimmte regulierte Zahlungsleistungen können weitere Stripe-Gesellschaften eingebunden sein.

Stripe kann abhängig von der konkreten Verarbeitung sowohl als Auftragsverarbeiter als auch als eigener Verantwortlicher tätig werden, insbesondere für gesetzliche KYC-/AML-, Betrugs-, Sicherheits- und Zahlungsnetzwerkpflichten.

Rechtsgrundlagen bei Vabana sind Art. 6 Abs. 1 lit. b DSGVO für Zahlungsabwicklung und Vertragserfüllung, Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Nachweise und Art. 6 Abs. 1 lit. f DSGVO für Betrugs-, Sicherheits- und Konfliktprävention.

Stripe kann personenbezogene Daten weltweit innerhalb seiner Unternehmens- und Dienstleisterstruktur verarbeiten. Soweit hierfür eine Übermittlung in ein Drittland erforderlich ist, gelten die jeweils anwendbaren Transfermechanismen nach Art. 44 ff. DSGVO.

11. Bestellungen, Stornos, Erstattungen und Konflikte

Wir verarbeiten insbesondere:

Zwecke sind technische Vermittlung, Anzeige und Abwicklung der Transaktion, Rückerstattungen, Streitfallbearbeitung, Missbrauchsprävention sowie Geltendmachung oder Abwehr von Rechtsansprüchen.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO.

12. Personalisierung und Ranking

Vabana personalisiert die Reihenfolge von Angeboten. Hierfür können insbesondere verarbeitet werden:

Zweck ist, relevantere Angebote anzuzeigen, das Ranking zu verbessern und die Funktionsfähigkeit des Feeds zu analysieren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem relevanten und funktionsfähigen Marktplatz.

Diese Personalisierung ist nach dem derzeitigen Zweck keine ausschließlich automatisierte Entscheidung, die rechtliche Wirkung entfaltet oder Nutzer in ähnlich erheblicher Weise beeinträchtigt.

Nutzer können einer auf Art. 6 Abs. 1 lit. f DSGVO beruhenden Verarbeitung aus Gründen ihrer besonderen Situation nach Art. 21 DSGVO widersprechen. Soweit einem Widerspruch stattzugeben ist, werden betroffene personenbezogene Präferenzdaten entsprechend behandelt.

13. Marketing-Attribution

Das Datenmodell kann Felder zur Marketing-Attribution enthalten. Nach dem derzeit zugrunde gelegten technischen Stand ist kein eigenes Analytics-/Advertising-SDK für Nutzertracking eingebunden.

Werden künftig nicht unbedingt erforderliche Tracking-, Attribution- oder Marketingtechnologien eingesetzt, werden diese vor Einsatz rechtlich geprüft, erforderliche Einwilligungen eingeholt und diese Datenschutzerklärung aktualisiert.

14. Push-Mitteilungen

Wenn Nutzer Push-Mitteilungen aktivieren, verarbeiten wir einen gerätebezogenen Push-Token und die Benachrichtigungseinstellungen. Benachrichtigungen können Transaktionsinformationen und gegebenenfalls den Namen einer gehandelten Karte enthalten.

Zur technischen Zustellung nutzen wir den Expo Push Service. Expo verarbeitet Push-Token und Nachrichteninhalt zur Zustellung und setzt hierfür unter anderem Apple Push Notification Service bzw. Google Firebase Cloud Messaging ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Push-Mitteilungen können jederzeit in der App bzw. den Betriebssystemeinstellungen deaktiviert werden. Ungültige Tokens werden gelöscht.

15. Bewertungen, Meldungen und Sperren

Wir können insbesondere verarbeiten:

Zwecke sind Vertrauens- und Bewertungssystem, Durchsetzung der Plattformregeln, Bearbeitung mutmaßlich rechtswidriger Inhalte, Produktsicherheit, Schutz von Nutzern und Erfüllung gesetzlicher Plattformpflichten.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, lit. c und lit. f DSGVO.

16. PStTG / DAC7

Soweit die gesetzlichen Voraussetzungen des Plattformen-Steuertransparenzgesetzes erfüllt sind, muss Vabana bestimmte Verkäuferdaten erheben, prüfen, aufbewahren und an das Bundeszentralamt für Steuern übermitteln.

Hierzu können insbesondere gehören:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit dem PStTG.

PStTG-Aufzeichnungen werden grundsätzlich für die gesetzlich vorgesehene Dauer aufbewahrt; gesetzlich zu löschende personenbezogene Aufzeichnungen werden nach Ablauf der Aufbewahrungsfrist gelöscht.

17. Support und rechtliche Anfragen

Wenn Nutzer uns kontaktieren, verarbeiten wir Kontaktdaten, Inhalt und technische Metadaten der Anfrage, soweit dies zur Bearbeitung erforderlich ist.

Rechtsgrundlage ist je nach Anliegen Art. 6 Abs. 1 lit. b, lit. c oder lit. f DSGVO.

18. Backend und Hosting – Supabase

Vabana nutzt Supabase für Datenbank, Authentifizierung, Storage und Serverfunktionen.

Die produktive Datenbank läuft nach der aktuellen technischen Konfiguration in der AWS-Region eu-west-3 (Paris, Frankreich). Die primäre Datenbankregion befindet sich damit innerhalb der Europäischen Union.

Supabase kann Unterauftragnehmer einsetzen. Soweit dabei personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, erfolgt dies nur nach Maßgabe der Art. 44 ff. DSGVO und der für den konkreten Supabase-Vertrag geltenden Datenschutz- und Transferbedingungen.

Der konkrete Vertragspartner und der Nachweis der Einbeziehung der Supabase-Datenverarbeitungsvereinbarung werden intern anhand der Vertragsunterlagen im Supabase-Dashboard dokumentiert.

19. Interne Auswertung mit Metabase

Vabana nutzt die Open-Source-Software Metabase in einer selbst betriebenen Docker-Instanz. Nach dem aktuellen technischen Stand wird nicht Metabase Cloud verwendet. Durch diese interne Nutzung erfolgt daher keine eigenständige Übermittlung von Reportingdaten an Metabase als externen Cloud-Anbieter.

Die Instanz greift über den Supabase-Pooler auf die Produktionsdatenbank zu. Der Zugriff ist nach der aktuellen Konfiguration auf hierfür vorgesehene `reporting.*`-Views beschränkt und soll keinen direkten Zugriff auf Rohdatentabellen wie `profiles` oder `orders` ermöglichen.

Soweit einzelne Reporting-Views personenbezogene oder pseudonymisierte Kennungen oder Freitextfelder enthalten, werden diese weiterhin als personenbezogene Daten behandelt.

20. Canny

Vabana kann auf eine externe Canny-Seite für Feedback verlinken. Nach dem aktuellen technischen Konzept wird dabei von Vabana kein SSO-Token und keine Nutzeridentität aktiv an Canny übergeben. Beim Öffnen des externen Links stellt der Nutzer selbst eine Verbindung zum externen Anbieter her. Dort gelten dessen eigene Datenschutzinformationen.

21. Marketing-Newsletter (rapidmail)

Wer sich freiwillig für Neuigkeiten zu Vabana anmeldet (z. B. über ein auf Veranstaltungen ausgehängtes QR-Code-Formular oder einen Link auf der Website), kann optional eine E-Mail-Adresse sowie ein optionales Interesse ("Kaufen" / "Verkaufen" / "Beides") angeben und in den Erhalt von E-Mails zu Vabana-Beta-Start, öffentlichem Launch, neuen Funktionen sowie gelegentlichen Vabana-Updates und Angeboten einwilligen.

Das Anmeldeformular wird bei unserem Dienstleister rapidmail gehostet und von rapidmail selbst betrieben; wir betreiben kein eigenes Anmeldeformular für diesen Zweck. Nach der Anmeldung versendet rapidmail eine Bestätigungs-E-Mail (Double-Opt-in); erst nach Bestätigung wird die Adresse in unsere Empfängerliste bei rapidmail aufgenommen. Wer sich nicht aktiv angemeldet hat, erhält keine Marketing-E-Mails.

Rechtsgrundlage ist die ausdrücklich erteilte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, etwa über den Abmeldelink in jeder E-Mail oder durch formlose Nachricht an contact@vabana.app. Die widerrufene Einwilligung berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

rapidmail verarbeitet die Daten in unserem Auftrag als Auftragsverarbeiter im Sinne von Art. 28 DSGVO auf Grundlage eines entsprechenden Auftragsverarbeitungsvertrags.

Die personalisierte Öffnungs- und Klick-Nachverfolgung ist für diese E-Mails in unserem rapidmail-Konto deaktiviert.

Adresse und Interessenangabe werden bei rapidmail bis zum Widerruf der Einwilligung gespeichert, danach für den Zeitraum, der zum Nachweis der erteilten und widerrufenen Einwilligung erforderlich ist.

Diese Marketing-Newsletter-Anmeldung ist von der Nutzung der Vabana-App und dem dortigen Nutzerkonto vollständig getrennt: eine Anmeldung begründet kein Vabana-Nutzerkonto, und der App-Account speichert keinen Status zu dieser Einwilligung.

22. Empfänger

Je nach Vorgang können personenbezogene Daten insbesondere erhalten:

Wir verkaufen personenbezogene Daten nicht als eigenständiges Datenprodukt.

23. Drittlandübermittlungen

Einige Anbieter oder Unterauftragnehmer können außerhalb des Europäischen Wirtschaftsraums sitzen, insbesondere in den USA.

Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa auf Grundlage:

24. Speicherdauer

Wir speichern personenbezogene Daten nicht unbegrenzt auf Vorrat.

Grundsätze:

Backups können für einen begrenzten Wiederherstellungszeitraum fortbestehen und werden nicht für neue operative Zwecke reaktiviert.

25. Kontolöschung

Nutzer können die Kontolöschung über die dafür vorgesehene Funktion in der App anstoßen.

Soweit keine gesetzlichen oder zwingenden Nachweisgründe bestehen, werden der Account und zugehörige personenbezogene Daten gelöscht. Bestehen gesetzliche Aufbewahrungs- oder Beweisgründe, werden nicht mehr benötigte Profildaten gelöscht und die verbleibenden Daten auf den notwendigen Zweck beschränkt bzw. gesperrt.

Eine stabile interne Nutzer-ID, die weiterhin mit anderen Daten zusammengeführt werden kann, gilt nicht als anonym. Solche Daten werden weiterhin als personenbezogene Daten behandelt.

Öffentliche Kartenfotos sollen nach Kontolöschung nicht allein wegen einer früheren Transaktion unbegrenzt öffentlich bleiben. Soweit eine Beweiskopie erforderlich ist, soll diese privat, zweckgebunden und nur für die erforderliche Dauer gespeichert werden.

26. Rechte der betroffenen Personen

Unter den gesetzlichen Voraussetzungen bestehen insbesondere folgende Rechte:

Kontakt: contact@vabana.app

Ein Self-Service-Datenexport ersetzt nicht zwingend die vollständige Auskunft nach Art. 15 DSGVO. Bei einer Auskunftsanfrage werden auch sonstige personenbezogene Daten berücksichtigt, soweit sie der Person zugeordnet werden können.

27. Beschwerderecht

Nutzer haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für den Sitz des Verantwortlichen in Nordrhein-Westfalen ist insbesondere zuständig:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
Deutschland

E-Mail: poststelle@ldi.nrw.de

Daneben kann eine andere nach der DSGVO zuständige Aufsichtsbehörde angerufen werden, insbesondere die Behörde am gewöhnlichen Aufenthaltsort oder Arbeitsplatz der betroffenen Person.

28. Änderungen

Wir aktualisieren diese Datenschutzerklärung, wenn sich Verarbeitungen, Dienstleister oder Rechtslage ändern. Bei wesentlichen Änderungen informieren wir in geeigneter Weise.