S&H Werner UG (haftungsbeschränkt)
Heideweg 1
01993 Schipkau
Deutschland
E-Mail: danny@sh-werner.de

Bestands-/Kontodaten (Name, E-Mail, Passwort-Hash, Sprache, Land) zur Registrierung, Authentifizierung und Kontoführung.
Sammlungsdaten (Modelle, Fotos/OVP-Aufnahmen, Kaufpreise, Zustände, Standorte, Verleih, Wunschliste, Dokumente) zur Bereitstellung der Kernfunktion.
Zahlungs-/Abrechnungsdaten (Tarif, Rechnungen, Rechnungsadresse, Stripe-Kundenkennung) zur Abwicklung kostenpflichtiger Abonnements.
Nutzungs-/Zugriffsdaten (z. B. IP-Adresse, Zeitpunkt, User-Agent) zur Bereitstellung, Sicherheit und Missbrauchsabwehr.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Konto und Sammlungsfunktionen; rechtliche Verpflichtung (lit. c) u. a. für Rechnungsaufbewahrung; berechtigte Interessen (lit. f) für Sicherheit, Missbrauchsabwehr und Betrieb; Einwilligung (lit. a) für Analytik-/ Marketing-Cookies und Marketing-E-Mails (jederzeit widerrufbar).

Die Anwendung wird auf eigener Infrastruktur des Betreibers in Deutschland selbst gehostet (Deployment über Coolify auf einem eigenen Server). Datenbank (PostgreSQL) und Datei-/Foto-Speicher laufen auf dieser eigenen Infrastruktur — es wird kein externer Hosting- oder Speicheranbieter eingesetzt; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit einem Hoster ist daher nicht erforderlich.

Kostenpflichtige Abonnements werden über Stripe (Stripe Payments Europe, Ltd.) abgewickelt. Bei einer Buchung verarbeitet Stripe die Zahlungs- und Abrechnungsdaten in eigener Verantwortung als Zahlungsdienstleister. Kartendaten werden ausschließlich von Stripe verarbeitet; TrainCollect speichert keine Kartendaten. Verwaltung, Kündigung und Zahlungsmethode erfolgen direkt in deinem TrainCollect-Konto; die Zahlung wird sicher über Stripe (Stripe Elements) abgewickelt, Kartendaten verarbeitet ausschließlich Stripe. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Details: stripe.com/de/privacy.

Transaktions- und Benachrichtigungs-E-Mails (z. B. Registrierung, Passwort, Rechnungen, Support-Antworten, aktivierte Benachrichtigungen) versenden wir über Resend als Auftragsverarbeiter. Dabei werden die E-Mail-Adresse und der Nachrichteninhalt verarbeitet. Marketing-E-Mails erhalten Sie nur nach ausdrücklicher Einwilligung (Double-Opt-in), Systemmails sind für den Vertrag erforderlich.

Zur Erkennung von Modellen aus Foto- oder Texteingaben übermitteln wir die jeweilige Eingabe an einen KI-Anbieter. Übermittelt werden nur die für die Erkennung nötigen Inhalte (Bild/Text), keine Kontostammdaten. Rechtsgrundlage: Vertragserfüllung bzw. berechtigtes Interesse an der Kernfunktion. Welche Anbieter wir aktuell einsetzen, wohin die Daten dabei gehen und auf welcher Grundlage, steht im Abschnitt „Aktuell eingesetzte KI-Anbieter und Übermittlung in Drittländer“.

Zur Anreicherung der Erkennung (z. B. Artikelnummer, EAN, Marktdaten) können Web-Recherche-Dienste — Firecrawl und/oder Tavily — genutzt werden. An diese werden Suchbegriffe (z. B. Hersteller/Artikelnummer) übermittelt, keine personenbezogenen Kontodaten. Der aktive Dienst ist serverseitig konfigurierbar.

Zur Ermittlung von Richtwerten für den Sammlungswert gleichen wir Artikelnummern/Modellbezeichnungen mit öffentlich verfügbaren eBay-Angeboten ab (eBay Developer/Browse-API). Übermittelt werden nur Suchbegriffe (Hersteller/Artikelnummer), keine personenbezogenen Kontodaten. Die ermittelten Werte basieren auf aktuellen Angeboten und sind unverbindliche Richtwerte, keine Verkaufspreise.

Für Modelle auf Wunschlisten und mit aktivem Preisalarm suchen wir regelmäßig (etwa alle zwei Tage) nach aktuellen Angeboten. Dazu geht eine Suchanfrage an den KI-Anbieter Anthropic, der die Websuche ausführt. Sie enthält nur Hersteller, Artikelnummer, EAN und Modellbezeichnung sowie die Internetadressen von Händlern, bei denen gesucht werden soll — keine Namen, E-Mail-Adressen, Maximalpreise oder sonstigen Angaben zu einzelnen Personen. Gefundene Angebote (Preis, Zustand, Link, Händler) speichern wir am Modell und zeigen sie den Nutzern, die das Modell suchen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Die Angabe, wo ein Modell gekauft wurde, ist freiwillig und dient der eigenen Sammlungsverwaltung. Beim Eintragen schlagen wir die eigenen bisherigen Angaben und bekannte Händler vor — nie die Angaben anderer Nutzer. Außerdem nutzen wir die Angabe ausschließlich intern, um die Preisprüfung genauer zu machen: Für Modelle auf Ihrer Wunschliste oder mit Ihrem Preisalarm wird bevorzugt bei den Händlern gesucht, bei denen Sie selbst kaufen. Händler, die mindestens drei verschiedene Nutzer angeben, werden allgemein bevorzugt durchsucht; ausgewertet wird dabei nur diese Anzahl, nicht, wer dort kauft. Weitergegeben wird ausschließlich die Internetadresse eines bekannten Händlers, nie Ihr eingetragener Text. Kaufpreise werden hierfür nicht ausgewertet; die Angaben werden weder an Dritte verkauft noch für Werbung genutzt. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an genauen Suchergebnissen (Art. 6 Abs. 1 lit. f DSGVO). Sie können dieser Nutzung jederzeit widersprechen (Art. 21 DSGVO) — formlos per E-Mail oder indem Sie die Angabe leer lassen bzw. löschen.

Sie können Ihre Wunschliste über einen persönlichen Link teilen. Wer den Link kennt, sieht Ihren Vornamen, die gewünschten Modelle, Ihren Maximalpreis als Richtpreis und das günstigste gefundene Angebot. Der Link ist für Suchmaschinen gesperrt und lässt sich jederzeit erneuern oder beenden. Besucher können einen Wunsch als „besorgt“ markieren; dabei speichern wir nur den Zeitpunkt und einen nicht umkehrbaren Prüfwert (SHA-256) eines Zufallsschlüssels, der im Browser des Besuchers bleibt — keinen Namen und keine E-Mail-Adresse. Zum Schutz vor Missbrauch wird die IP-Adresse des Besuchers kurzzeitig (rund zehn Minuten) im Arbeitsspeicher für eine Mengenbegrenzung verwendet und nicht gespeichert. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. berechtigtes Interesse an der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO).

Wir setzen technisch notwendige Cookies (u. a. Login-Sitzung, Sicherheit, Speicherung Ihrer Cookie-Entscheidung). Analytik- und Marketing-Cookies bzw. entsprechende Skripte werden ausschließlich nach Ihrer Einwilligungüber unseren Cookie-Banner geladen (§ 25 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Vor einer Zustimmung wird nichts Nicht-Notwendiges gesetzt. Ihre Entscheidung wird versioniert protokolliert und kann jederzeit über den Footer-Link „Cookie-Einstellungen" widerrufen oder geändert werden. Eine etwaige Reichweiten-/Nutzungsanalyse erfolgt first-party und nur im Rahmen der erteilten Einwilligung.

Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind. Abrechnungsrelevante Unterlagen bewahren wir im Rahmen der gesetzlichen Aufbewahrungsfristen (handels- und steuerrechtlich i. d. R. 6–10 Jahre) auf.

Support-Anfragen: Abgeschlossene Support-Vorgänge löschen wir zwölf Monate nach ihrem Abschluss vollständig und automatisch. Die Frist beginnt mit dem Abschluss des Vorgangs, nicht mit seiner Erstellung. Gelöscht werden der Vorgang selbst, sämtliche Nachrichten dazu – einschließlich interner Bearbeitungsvermerke – sowie alle übermittelten Anhänge. Eine Wiederherstellung ist danach nicht mehr möglich.

Erhalten bleiben lediglich anonyme Kennzahlen zur Auslastung unseres Supports (Anzahl der Anfragen je Tag, Themengebiet, durchschnittliche Bearbeitungsdauer). Diese enthalten weder Ihren Namen, Ihre E-Mail-Adresse noch Betreff oder Inhalt Ihrer Anfrage und lassen keinen Rückschluss auf einzelne Personen zu. Zusätzlich protokollieren wir jeden Löschlauf mit Anzahl und Zeitraum – ohne Inhalte – um die Löschung nachweisen zu können.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Zudem besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde. Zur Ausübung genügt eine Nachricht an danny@sh-werner.de.

Sie können Ihr Konto und die zugehörigen Daten selbst im Konto-Bereich („Einstellungen → Konto löschen", Art. 17 DSGVO) löschen; ein etwaiges laufendes Abonnement wird dabei beendet. Alternativ genügt eine Anfrage per E-Mail.

• Google (Gemini API) — Empfänger: Google Cloud EMEA Limited (Dublin) als Vertragspartner; verarbeitet wird bei Google LLC. Land: USA und weitere Länder mit Google-Standorten. Grundlage: Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Google LLC zertifiziert ist; hilfsweise EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Anthropic (Claude) — Empfänger: Anthropic Ireland, Limited (Dublin) als Vertragspartner; verarbeitet wird bei Anthropic, PBC. Land: USA (Speicherung); die Verarbeitung kann auch in weiteren Ländern erfolgen. Grundlage: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) aus dem Auftragsverarbeitungsvertrag des Anbieters.
• Groq — Empfänger: Groq UK Limited (London) als Vertragspartner; verarbeitet wird auch bei Groq in den USA. Land: Vereinigtes Königreich und USA. Grundlage: für das Vereinigte Königreich der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO); für die USA EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) aus dem Auftragsverarbeitungsvertrag des Anbieters.

Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage per E-Mail an die im Impressum genannte Adresse.