A — Verantwortlicher
Phulu e.U.
Inhaber: Phillipp Klambauer
Mitterweg 29, 4563 Micheldorf, Österreich
FN 684997z, Landesgericht Steyr
Datenschutz-Anfragen: kontakt@phulu.at
Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt (keine Verpflichtung nach Art. 37 DSGVO); Datenschutz-Anliegen richten Sie bitte an die oben genannte Adresse.
B — Welche Daten werden erhoben?
| Datentyp | Zweck | Rechtsgrundlage | Speicherdauer |
|---|---|---|---|
| E-Mail, Passwort (als Hash) | Account-Verwaltung, Login | Art. 6 Abs. 1 lit. b DSGVO | Bis Account-Löschung |
| Name, Adresse | Versandabwicklung, Rechnungsstellung | Art. 6 Abs. 1 lit. b DSGVO | 7 Jahre (BAO, steuerrechtlich) |
| Anmelde-Ereignisse (IP-Adresse, Gerät/Browser) | Sicherheit, Missbrauchsprävention, Anmelde-Benachrichtigung | Art. 6 Abs. 1 lit. f DSGVO | 90 Tage |
| Zahlungsdaten (Kartendaten) | Zahlungsabwicklung über Stripe | Art. 6 Abs. 1 lit. b DSGVO | Nicht bei Phulu gespeichert (nur beim Zahlungsdienstleister) |
| Karten-Fotos | Listings, KI-gestützte Analyse | Art. 6 Abs. 1 lit. b DSGVO | Bis Listing-Löschung |
| Chat-Nachrichten | Kommunikation Käufer/Verkäufer | Art. 6 Abs. 1 lit. b DSGVO | Bis Account-Löschung |
| Transaktionshistorie | Käuferschutz, steuerliche Aufbewahrung (§ 132 BAO) | Art. 6 Abs. 1 lit. c DSGVO | 7 Jahre |
| Steuer-ID, Bankverbindung, Geburtsdatum (Verkäufer) | Freiwillig bis 2.000 € Jahresumsatz bzw. 30 Verkäufen, danach vertraglich verpflichtend (AGB Ziffer 15). Keine Meldepflicht — siehe unten | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung); ab der Schwelle lit. b (Vertragserfüllung) | Bis Widerruf/Konto-Löschung |
C — Auftragsverarbeiter & Weitergabe an Dritte
Wir setzen die folgenden Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein. Der Übermittlungsmechanismus richtet sich nach dem jeweiligen Empfänger: Bei in den USA DPF-zertifizierten Unternehmen stützt sich die Übermittlung auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework; bei den übrigen auf die EU-Standardvertragsklauseln (SCC) nebst technischen/ organisatorischen Zusatzmaßnahmen. Wo ein Dienstleister ausschließlich in der EU verarbeitet, liegt insoweit keine Drittlandübermittlung vor. Die genauen SCC-Module und die jeweilige Unterauftragsverarbeiter-Liste finden sich im Auftragsverarbeitungsvertrag (DPA) des jeweiligen Anbieters. Zahlungsdaten (Kartennummern) verarbeitet ausschließlich Stripe — sie werden nicht an Phulu weitergegeben.
| Empfänger | Zweck & übermittelte Daten | Standort | Übermittlungsgarantie |
|---|---|---|---|
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung, Auszahlungen, Betrugsprävention; Kontakt-, Zahlungs- & Transaktionsdaten (Kartendaten nur bei Stripe) | Irland / USA | EU-US DPF (Stripe Inc. zertifiziert) + SCC |
| Vercel Inc. | Hosting der Anwendung & Foto-Speicherung (Vercel Blob); alle über die App laufenden Daten + Server-Logs | USA (Funktionen Region Frankfurt) | EU-US DPF (zertifiziert) |
| Neon Inc. | Datenbank (alle App-Daten) | EU (Frankfurt) | Verarbeitung in der EU; SCC für etwaigen Support-Zugriff aus den USA |
| Anthropic PBC (Claude API) | KI-Funktionen; jeweilige Eingaben (Foto/Text) der genutzten Funktion | USA | EU-US DPF (zertifiziert) |
| Resend (Plusdocs Inc.) | Versand von System- & Transaktions-E-Mails; E-Mail-Adresse + Nachrichteninhalt | USA / EU | EU-SCC |
| Upstash Inc. | Rate-Limiting / Missbrauchsschutz; IP-Adresse/Kennung (EU-Region) | EU (Region), USA (Unternehmen) | Verarbeitung in der EU-Region; SCC für US-Zugriff |
| Google Ireland Ltd. / Google LLC | „Login mit Google" — nur bei Nutzung; Name + E-Mail bei der Anmeldung | Irland / USA | EU-US DPF (Google LLC zertifiziert) |
| Discord Inc. | „Login mit Discord" — nur bei Nutzung; Name + E-Mail bei der Anmeldung | USA | EU-SCC |
| Functional Software, Inc. (Sentry) | Fehler-/Stabilitäts-Monitoring — sofern aktiviert; technische Fehler-/Diagnosedaten | USA | EU-US DPF (zertifiziert) |
| Parcels App (parcelsapp.com) | Sendungsverfolgung — sofern aktiviert; nur die Sendungsnummer + das Zielland (keine Namen, keine Adressen) | EU-Vertreter (Art. 27 DSGVO): BizLegal Ltd, Cork, Irland | Übermittlung beschränkt auf Sendungsnummer + Zielland |
Hinweis: PayPal ist als zusätzliche Zahlungsart geplant und wird bei Aktivierung hier ergänzt. Ein eigener Versand-/Etiketten-Dienstleister wird nicht eingebunden — Verkäufer versenden selbst und tragen die Sendungsnummer ein. Die DPF-Zertifizierung der genannten US-Empfänger ist unter dataprivacyframework.gov einsehbar.
Eingebundene Inhalte von Drittanbietern
Einige Inhalte lädt dein Browser direkt von fremden Servern. Dabei wird technisch bedingt deine IP-Adresse an den jeweiligen Anbieter übertragen — auch dann, wenn kein Cookie gesetzt wird. Wir binden diese Inhalte ein, damit Kartenbilder und die Umkreiskarte überhaupt angezeigt werden können (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer funktionsfähigen und schnellen Darstellung). Konto-, Bestell- oder Zahlungsdaten werden dabei nicht übermittelt, und wir unterbinden die Weitergabe der aufrufenden Seite (Referrer).
| Anbieter | Wofür & wann | Was dabei übertragen wird |
|---|---|---|
| Kartenbild-Kataloge (images.pokemontcg.io, assets.tcgdex.net, tcgplayer-cdn.tcgplayer.com) | Vorschaubilder von Karten in Suche, Angeboten, Sammlung und Verkaufsassistent | IP-Adresse, technische Browserangaben |
| CARTO (basemaps.cartocdn.com) | Hintergrundkarte auf „Local Trades" — nur beim Aufruf dieser Seite | IP-Adresse, technische Browserangaben |
| OpenStreetMap Foundation (Nominatim) | Umrechnung von Ort und Postleitzahl in Koordinaten, wenn du „Für lokalen Handel sichtbar" aktivierst. Der Abruf erfolgt durch unseren Server, nicht durch deinen Browser — deine IP-Adresse wird dabei nicht übertragen. | Ort + Postleitzahl (kein Name, keine Straße) |
Weitergabe an die andere Vertragspartei
Phulu vermittelt Kaufverträge zwischen Nutzern. Damit eine Bestellung abgewickelt werden kann, erhält der Verkäufer den Namen und die Lieferanschrift des Käufers(ohne diese Angaben ist kein Versand möglich); der Käufer erkennt umgekehrt über die Absenderangaben der Sendung den Verkäufer. Übermittelt werden ausschließlich die für die Abwicklung erforderlichen Daten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Übermittlung an Behörden
Wir übermitteln personenbezogene Daten an Gerichte, Staatsanwaltschaften, Strafverfolgungs-, Finanz- und Aufsichtsbehörden, soweit wir dazu gesetzlich verpflichtet sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung), bei Meldepflichten als Plattformbetreiber ergänzend das Digitale-Plattformen-Meldepflichtgesetz (DPMG/DAC7).
- Nur auf Grundlage einer Anordnung. Wir prüfen jedes Ersuchen im Einzelfall auf Zuständigkeit, Form und Rechtsgrundlage. Formlose Anfragen ohne entsprechende Anordnung beantworten wir nicht mit der Herausgabe von Nutzerdaten.
- Nur der angeforderte Umfang. Übermittelt werden ausschließlich die konkret verlangten Daten, nicht das gesamte Nutzerkonto.
- Besonderer Schutz von Zugriffsdaten. IP-Adressen aus Anmeldeprotokollen geben wir nur heraus, wenn die Anordnung ausdrücklich darauf gerichtet ist. Sie werden ohnehin nach 90 Tagen automatisch gelöscht.
- Information der Betroffenen. Wir informieren dich über eine Übermittlung, soweit uns das rechtlich erlaubt ist — bei laufenden Ermittlungen kann die ersuchende Stelle die Information untersagen.
- Protokollierung. Jeder interne Zugriff auf solche Daten wird revisionssicher protokolliert.
Keine Meldung nach DAC7/DPMG. Meldepflichtiger Plattformbetreiber ist nach § 4 Abs. 2 DPMG ausschließlich ein „Rechtsträger" (juristische Personen und Personengesellschaften). Phulu wird als eingetragenes Einzelunternehmen (e.U.) von einer natürlichen Person betrieben und ist damit nicht meldepflichtig — schriftlich bestätigt durch das zuständige Finanzamt (Stand September 2026). Es werden keine Verkäuferdaten an die Finanzbehörden übermittelt. Ändert sich die Rechtsform oder die Rechtslage, informieren wir vorab.
Erhebung ab 2.000 € Jahresumsatz. Bis zu einem Verkaufserlös von 2.000 € bzw. 30 Verkäufen im Kalenderjahr ist die Angabe von Steuer-Identifikationsnummer, Bankverbindung und Geburtsdatum freiwillig und jederzeit widerrufbar. Ab dieser Schwelle ist sievertraglich verpflichtend (Art. 6 Abs. 1 lit. b DSGVO, AGB Ziffer 15): ohne die Angaben können keine neuen Angebote eingestellt und keine Auszahlungen ausgelöst werden. Die Daten werden ausschließlich bei uns gespeichert und nicht an Behörden übermittelt.
D — Deine Rechte (Art. 15–22 DSGVO)
- Auskunft & Datenübertragbarkeit — Unter Einstellungen → Sicherheit kannst du jederzeit einen vollständigen Export all deiner Daten als JSON-Datei herunterladen.
- Berichtigung — Falsche Daten änderst du direkt in den Einstellungen.
- Löschung — Konto-Löschung unter Einstellungen → Sicherheit. Ohne offene Transaktionen wird dein Konto vollständig gelöscht; bestehen bereits Bestellungen, werden deine personenbezogenen Daten anonymisiert, während die Transaktionsdaten aus steuerlichen Aufbewahrungspflichten (7 Jahre) erhalten bleiben.
- Einschränkung & Widerspruch — Per E-Mail an kontakt@phulu.at. Benachrichtigungen kannst du in den Einstellungen abschalten.
E — Cookies & lokale Speicherung (§ 165 TKG 2021)
Wir verwenden ausschließlich technisch notwendige Cookies und lokale Speicherung — keine Werbe- oder Analyse-Cookies von Dritten (kein Google Analytics o. Ä.). Für notwendige Cookies ist keine Einwilligung erforderlich; für alles Übrige holen wir sie über den Cookie-Hinweis ein.
| Cookie / Speicher | Zweck | Dauer |
|---|---|---|
| Sitzungs-Cookie (Anmeldung) | Login-Status / Authentifizierung (notwendig) | Sitzung bzw. bis Abmeldung |
| Cookie-Hinweis-Einstellung | Merkt deine Auswahl beim Cookie-Hinweis | bis zu 12 Monate |
| Sprache, Währung & Design (localStorage) | Speichert gewählte Sprache, Währung & Hell-/Dunkel-Modus | bis zum Löschen im Browser |
| Weitere Bedien-Einstellungen (local-/sessionStorage) | Kleine Komfort-Merker: gewählte Kamera im Karten-Scanner, zuletzt gewähltes Spiel im Vendor-Modus, weggeklickte Hinweise, bereits gezählte Angebotsaufrufe | bis zum Löschen im Browser, teils nur bis zum Schließen des Tabs |
F — Automatisierte Verarbeitung (Art. 22 DSGVO)
Wir setzen zur Verbesserung des Dienstes automatisierte Verfahren ein: personalisierte Angebots-Empfehlungen auf Basis angesehener Listings, KI-gestützte Foto-/Preis-/ Zustandsvorschläge im Verkaufsprozess sowie eine automatisierte Betrugs-/Missbrauchserkennung. Diese Verfahren entfalten keine rechtliche Wirkung, die dich erheblich beeinträchtigt — Entscheidungen mit spürbaren Folgen (z. B. Konto-Sperre, Streitfall-Ausgang) werden stets durch einen Menschen getroffen.
G — Beschwerderecht
Du hast das Recht, dich bei der zuständigen Datenschutzbehörde zu beschweren:
- Österreich: Datenschutzbehörde (DSB), Wickenburggasse 8, 1080 Wien — www.dsb.gv.at
- Deutschland: Zuständige Landesbehörde je nach Bundesland