Datenschutzerklärung

Informationen nach Art. 13 und 14 DSGVO — für die Android-App OtaQ und die Website otaq-manga.de in einer gemeinsamen Erklärung.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist Jacob Zschunke. Anschrift und weitere Angaben findest du im Impressum.

Kontakt für alle Datenschutz-Anliegen: info@otaq-manga.de

Ein Datenschutzbeauftragter ist nicht benannt; eine Benennungspflicht besteht nicht (Einzelbetrieb, keine umfangreiche Verarbeitung besonderer Datenkategorien als Kerntätigkeit).

2. Überblick und Grundsätze

OtaQ ist auf Datensparsamkeit ausgelegt:

• Ohne Konto nutzbar: Du kannst den Katalog durchstöbern, ohne dich zu registrieren. Ein Konto ist nur nötig, wenn du deine Sammlung geräteübergreifend speichern willst.
• Offline-first: Deine Sammlung liegt als lokale Kopie auf deinem Gerät und wird mit unserem Server abgeglichen.
• Statistik und Partnerlinks nur mit Einwilligung: Nutzungsstatistiken und Absturzberichte erhebt die App nur, wenn du zustimmst (Abschnitt 7). Kauf-Links zu Händlern sind Partnerlinks und öffnen sich ebenfalls erst nach deiner Zustimmung (Abschnitt 4.8). Es gibt keine Werbeanzeigen und keine Werbe-IDs. Die Website verwendet weder Cookies noch Analysedienste.

Die folgenden Abschnitte beschreiben je Zweck, welche Daten wir verarbeiten, auf welcher Rechtsgrundlage, wer sie erhält und wie lange sie gespeichert bleiben. Unser Server-Backend (Datenbank, Anmeldung, Speicherung) betreibt der Auftragsverarbeiter Supabase in einem Rechenzentrum in Frankfurt am Main; die technische Adresse lautet trduimasrxjjxybosfcc.supabase.co.

3. Datenverarbeitung auf der Website (otaq-manga.de)

3.1 Hosting und Auslieferung (bunny.net)

Die Website wird über das CDN von bunny.net (BunnyWay d.o.o., Slowenien) ausgeliefert. Beim Aufruf verarbeitet bunny.net technisch zwingend:

• Daten: IP-Adresse (in den Zugriffslogs gekürzt um das letzte Segment), Datum und Uhrzeit des Zugriffs, aufgerufene URL, User-Agent (Browser/Betriebssystem)
• Zweck: Auslieferung der Seite, Stabilität und Sicherheit (z. B. Abwehr von Angriffen)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einer sicheren, schnellen Bereitstellung der Website ohne eigenen Serverbetrieb
• Empfänger: bunny.net als Auftragsverarbeiter (EU-Unternehmen, kein Drittlandtransfer)
• Speicherdauer: kurzfristig; Zugriffslogs werden nach 3 Tagen gelöscht

3.2 Schriftarten (lokal eingebunden)

Die Schriftarten der Website (Space Grotesk, Space Mono) liefern wir von unserem eigenen Server aus. Beim Laden der Schriften wird keine Verbindung zu Google oder anderen Dritt-Servern aufgebaut; es fallen nur die Hosting-Zugriffsdaten aus Abschnitt 3.1 an.

3.3 Design-Einstellung (localStorage)

Wenn du auf der Website zwischen hellem und dunklem Design wechselst, speichert dein Browser deine Wahl lokal unter dem Schlüssel otaq-theme (localStorage). Dieser Wert bleibt auf deinem Gerät, wird nicht an uns übertragen und enthält keine personenbezogenen Daten. Der Zugriff ist für den von dir gewünschten Dienst technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung (Cookie-Banner) ist dafür nicht nötig. Darüber hinaus setzt die Website keine Cookies und keine vergleichbaren Speichertechniken ein.

3.4 Konto-Löschung und Datenexport (otaq-manga.de/konto-loeschen)

Unter otaq-manga.de/konto-loeschen kannst du dein OtaQ-Konto auch ohne die App löschen oder deine Daten exportieren. Die Seite kommuniziert dafür direkt mit unserem Backend (Supabase): Du gibst deine E-Mail-Adresse ein, erhältst einen Einmalcode und bestätigst damit die Löschung bzw. lädst den Export als Datei herunter. Es wird keine dauerhafte Sitzung im Browser gespeichert.

• Daten: E-Mail-Adresse, Einmalcode (OTP), Lösch- bzw. Export-Anfrage
• Zweck: Identitätsprüfung und Ausführung der Konto-Löschung bzw. des Datenexports
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 17 bzw. Art. 15 und 20 DSGVO (Erfüllung deines Lösch- oder Auskunftsverlangens)
• Empfänger: Supabase (Auth) sowie Scaleway als Versanddienst für die Einmalcode-Mail (Abschnitt 5)
• Speicherdauer: der Einmalcode verfällt nach wenigen Minuten; die Löschung entfernt das Konto samt aller zugehörigen Daten (Abschnitt 8)

3.5 Kontaktaufnahme per E-Mail

Kontakt zu uns ist ausschließlich per E-Mail an info@otaq-manga.de möglich; die Website enthält keine Kontaktformulare.

• Daten: deine E-Mail-Adresse, Inhalt der Nachricht, bei Betroffenenanfragen ggf. Nachweise zur Identitätsprüfung
• Zweck: Bearbeitung deiner Anfrage (Support) und Erfüllung von Betroffenenrechten (Art. 15–21 DSGVO)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO für die Bearbeitung von Betroffenenanfragen; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen)
• Empfänger: united-domains GmbH (Starnberg, Deutschland) als Betreiber des Postfachs, in dem deine Nachricht eingeht (Abschnitt 5)
• Speicherdauer: bis die Anfrage abgeschlossen ist, zuzüglich eines angemessenen Nachweiszeitraums; danach wird die Korrespondenz gelöscht

4. Datenverarbeitung in der App

4.1 Anonyme Nutzung (ohne Konto)

Du kannst OtaQ ohne Registrierung nutzen. Damit das funktioniert, legt die App beim ersten Start eine anonyme Sitzung bei unserem Backend an — dabei entsteht eine pseudonyme Nutzer-ID, ohne dass du Name oder E-Mail-Adresse angibst.

• Daten: anonyme Sitzungs-Token (JWT), gerätegenerierte pseudonyme Nutzer-ID, IP-Adresse (transient bei jeder Server-Anfrage)
• Zweck: Katalog-Nutzung und lokale Sammlung ohne Kontozwang (anonymous-first)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, die Kernfunktionen ohne erzwungene Registrierung anzubieten
• Empfänger: Supabase
• Speicherdauer: bis die anonyme Sitzung abläuft oder du sie durch Registrierung in ein Konto überführst

4.2 Konto und Anmeldung per E-Mail und Passwort

Wenn du ein Konto anlegst, gibst du deine E-Mail-Adresse, ein Passwort und optional einen Benutzernamen an. Deine E-Mail-Adresse bestätigst du mit einem Einmalcode (OTP), den wir dir per Mail schicken. Deine bisher anonym angelegte Sammlung wird dabei in das Konto übernommen. Das Passwort speichern wir nur als kryptografischen Hash, nie im Klartext. Bei der Registrierung prüft Supabase, ob das Passwort in bekannten Datenlecks vorkommt. Dazu werden nur die ersten Zeichen seines Hashes an den Dienst „Have I Been Pwned“ übermittelt, nie das Passwort selbst.

Gibst du keinen Benutzernamen an, bilden wir ihn aus dem Teil deiner E-Mail-Adresse vor dem „@“ bzw. aus deinem Google-Namen. Der Benutzername ist nicht öffentlich; wir sehen ihn nur bei deinen Meldungen (Abschnitt 4.11).

• Daten: E-Mail-Adresse, Passwort-Hash, Benutzername, Konto-ID, Sitzungs-Token, Registrierungs- und letzter Anmeldezeitpunkt, Version und Zeitpunkt deiner Zustimmung zu den Nutzungsbedingungen (auch bei Anmeldung mit Google); bei der Registrierung zusätzlich der Einmalcode
• Zweck: Einrichtung und Betrieb deines Kontos, sichere Anmeldung, Nachweis, welcher Fassung der Nutzungsbedingungen du zugestimmt hast
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags über dein Konto)
• Empfänger: Supabase (Auth) sowie Scaleway (Scaleway SAS, Paris, Frankreich) als Versanddienst für die Einmalcode-Mail; der Versand erfolgt aus dem Rechenzentrum Paris
• Speicherdauer: Kontodaten bis zur Konto-Löschung; Einmalcodes verfallen nach wenigen Minuten; den Inhalt der Mail und damit den Einmalcode löscht Scaleway nach dem Versand. Die Versandprotokolle (deine E-Mail-Adresse, Betreff, Zeitpunkt, Zustellstatus) bewahrt Scaleway auf, solange wir den Versanddienst nutzen; eine kürzere Frist hat der Anbieter derzeit nicht festgelegt

4.3 Anmeldung mit Google (Sign in with Google)

Alternativ kannst du dich mit deinem Google-Konto anmelden (nativ über den Android Credential Manager). Wählst du diesen Weg, übermittelt Google uns ein ID-Token mit Basisdaten deines Google-Kontos. Diese Daten erheben wir also nicht direkt bei dir, sondern erhalten sie von Google (Hinweis nach Art. 14 DSGVO — Quelle: dein Google-Konto).

• Daten: Google-Konto-ID, E-Mail-Adresse, Basisprofil (z. B. Name), soweit von Google übermittelt
• Zweck: Anmeldung und Verknüpfung deines OtaQ-Kontos mit deinem Google-Konto
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewählter Anmeldeweg)
• Empfänger: Google LLC (USA) als Identitätsanbieter; Drittlandtransfer auf Grundlage des EU-US Data Privacy Framework (Abschnitt 5). Nur relevant, wenn du dich für den Google-Weg entscheidest.
• Speicherdauer: die Verknüpfung besteht bis zur Konto-Löschung

Entscheidest du dich gegen diesen Weg, findet keine Verbindung zu Google statt: Der Anmeldebildschirm lädt keine Inhalte von externen Servern.

4.4 Sammlung, Wunschliste, Bewertungen und Lesestatus

Das ist die Kernfunktion von OtaQ: Du erfasst, welche Bände du besitzt, welche du dir wünschst, wie du Serien bewertest und was du gelesen hast.

• Daten: Einträge zu besessenen Bänden und Ausgaben, Wunschlisten-Einträge, Serien-Bewertungen, Lese- und Verifiziert-Markierungen, jeweils mit Zeitstempeln, verknüpft mit deiner Konto- bzw. pseudonymen Nutzer-ID
• Zweck: Speicherung und geräteübergreifende Synchronisierung deiner Sammlung — der Dienst, den du nutzt
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO
• Empfänger: Supabase
• Speicherdauer: bis du den jeweiligen Eintrag entfernst oder dein Konto löschst

Importierst du eine bestehende Sammlung aus einer Datei, liest die App die Datei nur auf deinem Gerät. An unseren Server gehen ausschließlich die darin gefundenen ISBNs, um die Bände deiner Sammlung hinzuzufügen.

4.5 Lokale Daten auf deinem Gerät

Die App hält eine lokale Kopie deiner Sammlung in einer Datenbank auf deinem Gerät (Offline-Nutzung) und gleicht sie mit dem Server ab. Reine UI-Einstellungen (z. B. Filter, Darstellungsoptionen) werden ausschließlich lokal gespeichert und nicht übertragen. Beides ist für den von dir gewünschten Dienst technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die lokalen Daten werden mit der Deinstallation der App entfernt.

Zusätzlich führt die App ein technisches Diagnoseprotokoll, das nur auf deinem Gerät liegt. Es wird nie automatisch übertragen. Du kannst es selbst über die Teilen-Funktion exportieren, etwa um es uns bei einem Fehler zu schicken. Dann gilt Abschnitt 3.5.

4.6 Cover-Bilder (Katalog-Bilddaten)

Cover-Bilder lädt die App direkt von externen Bild-Servern auf dein Gerät. Dabei erhält der jeweilige Server deine IP-Adresse und den User-Agent der App.

• Daten: IP-Adresse (in den Zugriffslogs gekürzt um das letzte Segment), User-Agent, angefragte Bild-URL
• Zweck: schnelle Auslieferung der Cover-Bilder; die Bilder selbst sind Katalogdaten, keine personenbezogenen Daten
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einer performanten Bild-Auslieferung ohne eigenen Bild-Server
• Empfänger: bunny.net (BunnyWay d.o.o., Slowenien; Speicherung in Frankfurt) als unser Cover-CDN — die einzige Quelle für Cover-Bilder.
• Speicherdauer: wir speichern dabei nichts; CDN-Zugriffslogs werden nach 3 Tagen gelöscht

4.7 Barcode-Scanner (Kamera-Berechtigung)

Mit dem Scanner kannst du Bände über den Barcode (EAN/ISBN) erfassen. Dafür gilt:

• Die Kamera wird nur genutzt, wenn du den Scan aktiv startest; die CAMERA-Berechtigung fragt die App erst dann an.
• Die Barcode-Erkennung läuft vollständig auf deinem Gerät (gebündeltes Erkennungsmodell, keine Cloud-Verarbeitung). Es werden keine Kamerabilder gespeichert oder hochgeladen — nur die erkannte EAN/ISBN wird weiterverwendet, um den Band in deiner Sammlung zu erfassen.
• Der Kamera-Zugriff ist für den von dir ausdrücklich gestarteten Scan erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage für die Erfassung des gescannten Bandes ist Art. 6 Abs. 1 lit. b DSGVO (Abschnitt 4.4).

4.8 Partner-Links (Thalia über Awin, nur mit Einwilligung)

Die App zeigt in der Einkaufsliste, bei Serien, Bänden und Neuerscheinungen Kauf-Links zu Thalia (thalia.de). Diese Links laufen über das Partnernetzwerk Awin: Ein Link öffnet deinen Browser, der zuerst eine Weiterleitungsseite von Awin (awin1.com) aufruft und dich dann zur Suche nach dem Band bei Thalia weiterleitet. Dabei setzt Awin in deinem Browser ein Cookie, mit dem Awin einen späteren Kauf unserer Partner-Kennung zuordnet. Der Link selbst enthält nur unsere Partner-Kennung, die Kennung des Händlers und die ISBN des Bandes (fehlt sie, Serientitel und Bandnummer), keine Nutzer- oder Geräte-ID.

Einwilligung: Tippst du zum ersten Mal einen Kauf-Link an, fragt dich die App, ob du Partnerlinks nutzen möchtest. Nur wenn du zustimmst, öffnet sich der Link. Lehnst du ab, öffnet sich nichts und die App blendet die Kauf-Links aus; alle anderen Funktionen bleiben unverändert nutzbar. Schließt du die Frage ohne Antwort, öffnet sich ebenfalls nichts, und die App fragt beim nächsten Link erneut. Bis du zustimmst und einen Link öffnest, fließen keinerlei Daten an Awin oder Thalia.

• Daten: bei Awin die üblichen Daten eines Seitenaufrufs (IP-Adresse, Browser- und Geräteangaben, Zeitpunkt), unsere Partner-Kennung, die Kennung des Cookies und die aufgerufene Weiterleitung; kaufst du danach bei Thalia, außerdem Bestellwert und Bestellreferenz. In der App speichern wir nur deine Entscheidung, deren Zeitpunkt und die Fassung des Einwilligungstextes, ausschließlich auf deinem Gerät.
• Zweck: Zuordnung von Käufen zu OtaQ, damit wir eine Provision erhalten. Die Provision finanziert Betrieb und Weiterentwicklung der App; dein Preis ändert sich nicht. Die gespeicherte Entscheidung dient dazu, deine Wahl zu beachten und die Einwilligung nachweisen zu können.
• Rechtsgrundlage: für das Cookie und die Zuordnung deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO); für das Speichern deiner Entscheidung auf dem Gerät § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO (Nachweis der Einwilligung)
• Empfänger: AWIN AG (gemeinsam mit uns verantwortlich, siehe unten) und Thalia (eigenständig verantwortlich für den Shop und deine Bestellung)
• Speicherdauer: deine Entscheidung, bis du sie änderst oder die App deinstallierst; die Laufzeit des Awin-Cookies legt Awin fest (siehe Datenschutzerklärung von Awin)

Gemeinsame Verantwortlichkeit mit Awin (Art. 26 DSGVO): Für das Setzen des Awin-Cookies beim Aufruf eines Kauf-Links und die Zuordnung des Klicks zu unserer Partner-Kennung sind wir gemeinsam mit der AWIN AG, Otto-Ostrowski-Straße 1A, 10249 Berlin, verantwortlich. Wir haben dazu Folgendes vereinbart: Wir holen deine Einwilligung ein und informieren dich in dieser Erklärung. Awin informiert über die eigene Verarbeitung in der Datenschutzerklärung von Awin. Jede Seite schützt die Daten in ihrem Bereich mit geeigneten technischen und organisatorischen Maßnahmen, und wir informieren uns gegenseitig über Datenschutzverletzungen. Deine Rechte (Abschnitt 9) kannst du bei uns (info@otaq-manga.de) oder bei Awin (global-privacy@awin.com) geltend machen; wer deine Anfrage zuerst erhält, beantwortet sie, und die andere Seite unterstützt dabei.

Für die weitere Verarbeitung nach dem Klick, etwa die Abrechnung der Provision gegenüber Thalia, ist Awin allein verantwortlich und stützt sich nach eigenen Angaben auf ein berechtigtes Interesse; einen Widerspruch dagegen richtest du an Awin. Wir erfahren von Awin nur, dass und in welcher Höhe eine Provision angefallen ist, nicht wer gekauft hat.

Bist du jünger als 16 Jahre, darfst du diese Einwilligung nur mit Zustimmung deiner Eltern bzw. Erziehungsberechtigten erteilen (Art. 8 DSGVO).

Widerruf: Du kannst deine Einwilligung jederzeit in der App unter Einstellungen › Kauf-Links › „Kauf-Links anzeigen“ widerrufen. Ab dann blendet die App die Kauf-Links aus und öffnet keine mehr. Ein bereits gesetztes Awin-Cookie liegt in deinem Browser, nicht in der App; du kannst es in den Browser-Einstellungen löschen.

4.9 Android-Backup (Google-Konto)

Die App erlaubt das Android-Systembackup. Hast du in den Android-Einstellungen das Geräte-Backup aktiviert, kann Android lokale App-Daten in das Backup deines Google-Kontos aufnehmen. Das steuerst du selbst über die Backup-Einstellungen deines Geräts; Google handelt dabei in deinem Auftrag, wir haben auf diese Backups keinen Zugriff.

4.10 Server-Logs und Missbrauchsabwehr

Bei jeder Kommunikation der App mit unserem Backend fallen serverseitig technische Protokolldaten an.

• Daten: IP-Adresse, Anfrage-Metadaten (Endpunkt, Statuscode, User-Agent), Zeitstempel
• Zweck: Sicherheit, Fehlersuche, Missbrauchsabwehr (z. B. Rate-Limiting)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem sicheren, stabilen Betrieb des Dienstes
• Empfänger: Supabase
• Speicherdauer: 7 Tage, danach löscht Supabase die Logs automatisch

4.11 Meldungen von Katalogfehlern

Mit Konto kannst du Fehler im Katalog melden oder fehlende Serien vorschlagen. Meldungen sind nicht öffentlich. Sie bearbeitet unser Kurator (Einzelheiten in den Nutzungsbedingungen, Abschnitt 9).

• Daten: die betroffene Serie bzw. der Band, Art des Problems, dein optionaler Freitext (bis 1.000 Zeichen), deine Konto-ID und dein Benutzername, App-Version, Plattform und Bildschirm, von dem aus du gemeldet hast, Zeitpunkt; außerdem der Bearbeitungsverlauf mit Begründungen
• Zweck: Prüfung und Korrektur des Katalogs, Rückmeldung an dich zum Stand deiner Meldung, Missbrauchsabwehr (höchstens 20 Meldungen pro Tag)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (die Meldefunktion ist Teil des Dienstes)
• Empfänger: Supabase
• Speicherdauer: bis zur Löschung deines Kontos, damit du den Verlauf deiner Meldungen unter „Meine Meldungen“ behältst und die Annahmequote aussagekräftig bleibt. Löschst du dein Konto, werden deine Meldungen gelöscht; im Bearbeitungsverlauf bleibt nur ein Eintrag ohne Bezug zu dir.

Um Meldungen besser einschätzen zu können, zählen wir, wie viele deiner bisherigen Meldungen übernommen bzw. abgelehnt wurden. Diese Quote sehen nur der Kurator bei der Bearbeitung. Sie dient ausschließlich der Priorisierung und hat keine Folgen für dein Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse, zuverlässige Meldungen schneller zu bearbeiten.

Über abgeschlossene Meldungen informiert dich die App beim nächsten Start. Welche Hinweise du schon gesehen hast, speichert die App nur auf deinem Gerät.

4.12 Hintergrund-Abgleich der Einkaufsliste

Die App gleicht einmal täglich im Hintergrund deine Einkaufsliste mit unserem Server ab, damit neu erschienene Bände auch dann angezeigt werden, wenn du die App länger nicht geöffnet hast. Dabei fallen nur die Server-Logs aus Abschnitt 4.10 an. Hast du in den Einstellungen „Neue Bände“ eingeschaltet, zeigt die App dir daraufhin eine Benachrichtigung an. Diese Benachrichtigung entsteht auf deinem Gerät; wir nutzen keinen Push-Dienst. Die Benachrichtigungs-Berechtigung fragt die App erst an, wenn du die Funktion einschaltest. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten oder als Empfänger auftreten:

• Supabase (Supabase Pte. Ltd., 65 Chulia Street, OCBC Centre, Singapur) — Datenbank, Authentifizierung, Speicherung, Server-Logs (Abschnitte 3.4, 4.1–4.4, 4.10–4.12). Auftragsverarbeiter; gespeichert wird ausschließlich im Rechenzentrum Frankfurt am Main. Zugriffe zu Wartungs- und Supportzwecken von außerhalb der EU sind möglich (Abschnitt 6).
• bunny.net (BunnyWay d.o.o., Slowenien) — Hosting/CDN der Website und Auslieferung der Cover-Bilder (Abschnitte 3.1, 4.6); Auftragsverarbeiter, EU-Unternehmen.
• Google LLC (USA) — Identitätsanbieter bei „Sign in with Google" (4.3); außerdem Empfänger von Backup-Daten, wenn du das Android-Backup nutzt (4.9). Beides nur, wenn du es aktiv nutzt.
• Scaleway SAS (8 rue de la Ville l'Évêque, 75008 Paris, Frankreich) — Versand der Einmalcodes und Konto-Mails (3.4, 4.2). Auftragsverarbeiter; der Dienst wird ausschließlich im Rechenzentrum Paris betrieben.
• united-domains GmbH (Gautinger Straße 10, 82319 Starnberg, Deutschland) — Betrieb des Postfachs info@otaq-manga.de, über das uns deine Anfragen erreichen (3.5). Auftragsverarbeiter mit Sitz in Deutschland.
• PostHog (PostHog, Inc., 2261 Market St., #4008, San Francisco, CA 94114, USA) — Nutzungsstatistik und Absturzberichte (7), nur nach deiner Einwilligung. Auftragsverarbeiter; gespeichert wird in der EU-Cloud von PostHog in Frankfurt am Main.

Awin und Thalia sind keine Auftragsverarbeiter: Mit Awin sind wir für den Aufruf eines Kauf-Links gemeinsam verantwortlich, Thalia ist für den Shop eigenständig verantwortlich (Abschnitt 4.8).

6. Drittlandübermittlung

Gespeichert werden deine Daten ausschließlich in der EU: die Datenbank bei Supabase in Frankfurt am Main, Website und Cover-Bilder bei bunny.net, der Mailversand bei Scaleway in Paris und das Postfach bei united-domains in Deutschland.

In folgenden Fällen können Daten dennoch außerhalb der EU verarbeitet werden:

• Wartung und Support durch Supabase. Vertragspartner ist die Supabase Pte. Ltd. mit Sitz in Singapur, die ihre Systeme rund um die Uhr aus verschiedenen Zeitzonen betreut. Ein administrativer Zugriff auf die in Frankfurt gespeicherten Daten von außerhalb der EU lässt sich daher nicht ausschließen. Grundlage sind die von der EU-Kommission erlassenen Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil unseres Auftragsverarbeitungsvertrags mit Supabase sind.
• Anmeldung mit Google (4.3) — nur, wenn du diesen Anmeldeweg wählst. Mit der Anmeldung per E-Mail-Code entfällt er.
• Android-Backup (4.9) — nur, wenn du das Geräte-Backup in deinen Android-Einstellungen aktiviert hast.

Empfänger ist in den letzten beiden Fällen Google LLC (USA). Grundlage ist hier der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); Google LLC ist unter dem Framework zertifiziert.

• Nutzungsstatistik und Absturzberichte (7) — nur nach deiner Einwilligung. Gespeichert wird zwar in Frankfurt, Vertragspartner ist aber PostHog, Inc. (USA), und PostHog sowie einzelne seiner Unterauftragnehmer können aus den USA auf die Daten zugreifen. Grundlage ist das EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem PostHog, Inc. zertifiziert ist, sowie ergänzend die Standardvertragsklauseln der EU-Kommission in unserem Auftragsverarbeitungsvertrag (Art. 46 Abs. 2 lit. c DSGVO).

Weitere Drittlandübermittlungen finden nicht statt.

Eine Kopie der Standardvertragsklauseln, auf die wir den Supabase-Zugriff stützen, stellen wir dir auf Anfrage zur Verfügung — eine formlose E-Mail an info@otaq-manga.de genügt (Art. 13 Abs. 1 lit. f DSGVO). Den Zertifizierungseintrag von Google LLC unter dem EU-US Data Privacy Framework kannst du direkt in der öffentlichen Liste des US-Handelsministeriums einsehen.

7. Nutzungsstatistik und Absturzberichte (nur mit Einwilligung)

Beim ersten Start fragt dich die App, ob du Nutzungsstatistiken und Absturzberichte teilen möchtest. Nur wenn du zustimmst, sendet die App diese Daten an den Analysedienst PostHog. Lehnst du ab, wird nichts erhoben. Die Website setzt keine Analysedienste ein.

• Daten: eine zufällige, pseudonyme Installations-ID und eine Sitzungs-ID; Geräte- und App-Merkmale (Hersteller und Modell, Betriebssystem- und App-Version, Bildschirmgröße, Sprache, Zeitzone, Name des Mobilfunkanbieters, Art der Netzverbindung); aufgerufene Bildschirme und Interaktionen in der App, etwa welche Funktionen und Schaltflächen genutzt werden (z. B. das Öffnen von Händler-Links), jeweils mit der Kennung und dem Titel der betroffenen Serie bzw. des Bandes; App-Ereignisse wie Öffnen, Schließen, Installation und Update; bei Abstürzen und Fehlern der technische Fehlerbericht. Deine IP-Adresse nutzt PostHog nur kurz, um daraus den ungefähren Standort (Land, Region, Stadt) abzuleiten, und speichert sie nicht.
• Zweck: Fehler finden und beheben, die App verbessern und verstehen, welche Funktionen genutzt und welche Links geöffnet werden, etwa zu Händlern
• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG)
• Empfänger: PostHog als Auftragsverarbeiter (Abschnitte 5 und 6)
• Speicherdauer: ein Jahr, danach löscht PostHog die Daten automatisch; auf Anfrage löschen wir die Daten zu deiner Installations-ID vorher

Die Statistik ist nicht mit deinem Konto, deiner E-Mail-Adresse oder deinem Namen verknüpft. Wir erstellen daraus keine Profile zu einzelnen Personen, nutzen sie nicht für Werbung und geben sie nicht an Dritte weiter.

Bist du jünger als 16 Jahre, darfst du diese Einwilligung nur mit Zustimmung deiner Eltern bzw. Erziehungsberechtigten erteilen (Art. 8 DSGVO). Ein OtaQ-Konto kannst du ab 16 Jahren anlegen (Nutzungsbedingungen, Abschnitt 14).

Widerruf: Du kannst deine Einwilligung jederzeit in der App unter Einstellungen › Diagnose › „Diagnosedaten teilen“ widerrufen. Ab dann sendet die App keine Daten mehr.

8. Speicherdauer und Konto-Löschung

Es gelten diese Grundsätze:

• Sammlung und Kontodaten bleiben gespeichert, solange dein Konto besteht — sie sind der Dienst selbst.
• Konto-Löschung: Du kannst dein Konto jederzeit direkt in der App oder über otaq-manga.de/konto-loeschen löschen. Die Löschung entfernt das Konto und alle damit verknüpften Daten (Sammlung, Wunschliste, Bewertungen, Lesestatus, Meldungen) unmittelbar aus der Datenbank.
• Technische Logs (Server- und CDN-Zugriffslogs) werden unabhängig davon kurzfristig gelöscht (Abschnitte 3.1, 4.6, 4.10) — sie bleiben aus Sicherheitsgründen kurz erhalten, auch wenn du dein Konto löschst.
• Einmalcodes verfallen nach wenigen Minuten.
• Anonyme Sitzungen enden mit Ablauf oder Umwandlung in ein Konto.

9. Deine Rechte

Dir stehen nach der DSGVO die folgenden Rechte zu. Zur Ausübung genügt eine formlose E-Mail an info@otaq-manga.de; wir antworten innerhalb eines Monats. Dein Konto samt Daten kannst du außerdem jederzeit selbst löschen — in der App oder über otaq-manga.de/konto-loeschen.

Recht auf Auskunft (Art. 15 DSGVO)

Du kannst Auskunft darüber verlangen, ob und welche Daten wir zu dir verarbeiten — einschließlich Zwecken, Datenkategorien, Empfängern, geplanter Speicherdauer, Herkunft der Daten und der Garantien bei Drittlandübermittlungen. Auf Wunsch erhältst du eine Kopie dieser Daten. In der App unter Einstellungen und auf otaq-manga.de/konto-loeschen findest du außerdem einen Datenexport, der dir deine Konto- und Sammlungsdaten sofort und ohne Anfrage ausgibt.

Recht auf Berichtigung (Art. 16 DSGVO)

Unrichtige Daten lassen wir berichtigen, unvollständige vervollständigen. Die meisten deiner Daten kannst du direkt in der App selbst korrigieren.

Recht auf Löschung (Art. 17 DSGVO)

Du kannst die Löschung deiner Daten verlangen. Am schnellsten geht das über die Konto-Löschung (Abschnitt 8), die sofort wirkt. Ausgenommen bleiben Daten, die wir noch zur Erfüllung einer rechtlichen Verpflichtung oder zur Geltendmachung von Rechtsansprüchen benötigen.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Statt einer Löschung kannst du verlangen, dass wir die Verarbeitung einschränken — etwa während wir die Richtigkeit bestrittener Daten prüfen oder solange über einen Widerspruch nach Art. 21 noch nicht entschieden ist.

Mitteilungspflicht gegenüber Empfängern (Art. 19 DSGVO)

Berichtigen, löschen oder beschränken wir Daten, teilen wir das allen Empfängern mit, denen die Daten offengelegt wurden (Abschnitt 5) — es sei denn, das ist unmöglich oder unverhältnismäßig aufwendig. Auf Wunsch nennen wir dir diese Empfänger.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Die Daten, die du uns bereitgestellt hast, erhältst du in einem strukturierten, gängigen und maschinenlesbaren Format — entweder über den Datenexport in den App-Einstellungen oder auf Anfrage per E-Mail.

Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)

Auf deine Einwilligung stützen wir nur die Nutzungsstatistik und die Absturzberichte (Abschnitt 7) sowie die Partnerlinks (Abschnitt 4.8). Du kannst jede der beiden Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen, so einfach, wie du sie erteilt hast: in der App unter Einstellungen › Diagnose › „Diagnosedaten teilen“ bzw. unter Einstellungen › Kauf-Links › „Kauf-Links anzeigen“. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.

10. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin (datenschutz-berlin.de).

11. Freiwilligkeit und automatisierte Entscheidungen

Du bist weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne E-Mail-Adresse (oder Google-Konto) kannst du kein OtaQ-Konto anlegen — der Katalog und die lokale Nutzung bleiben aber auch ohne Konto vollständig verfügbar.

Eine automatisierte Entscheidungsfindung einschließlich Profiling, die dir gegenüber rechtliche Wirkung entfaltet oder dich ähnlich erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt.

12. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die tatsächliche Datenverarbeitung ändert — etwa bei Einführung neuer Dienste (Abschnitt 7). Es gilt die jeweils hier veröffentlichte Fassung; das Stand-Datum unten zeigt die letzte Änderung.

Stand: 13. Oktober 2026