Datenschutzerklärung

1. Verantwortlicher

Haki TCG („Haki“, „wir“, „uns“) wird betrieben von Julian Beck, Theoderichweg 5, 70469 Stuttgart, Deutschland, der für die in dieser Erklärung beschriebene Verarbeitung verantwortlich ist. Kontakt: hakitcg@julianbeck.com. Weitere rechtliche Angaben findest du im Impressum. Diese Erklärung gilt für die Haki Apps für iOS und Android und für die Website hakitcg.com.

2. Daten auf deinem Gerät

Haki nutzt die Kamera, um One Piece Karten zu erkennen. Live-Kamerabilder werden auf deinem Gerät mit maschinellem Lernen verarbeitet und nach der Erkennung verworfen; sie werden nicht hochgeladen. Fotos, die du aus deiner Mediathek auswählst, werden ebenfalls zuerst auf deinem Gerät gelesen; nur in dem in Abschnitt 3 beschriebenen Fall wird ein Foto online gesendet. Deine Sammlungen, Decks, dein Scanverlauf, deine Einstellungen und Präferenzen werden lokal auf deinem Gerät gespeichert (auf iOS zusätzlich im gemeinsamen App-Container, den die Widgets auf dem Home-Bildschirm nutzen) und nicht auf unsere Server hochgeladen.

Du kannst deine Daten aus der App exportieren. Wenn du die App löschst, werden ihre lokalen Daten entfernt, vorbehaltlich der Backups, die dein Gerät sowie Apple oder Google verwalten. Dateien, die du bewusst exportierst oder teilst, werden vom gewählten Ziel verarbeitet. Wenn du Benachrichtigungen erlaubst, plant Haki Erinnerungen auf deinem Gerät, zum Beispiel wenn deine Gratis-Scans wieder verfügbar sind.

3. Online-Fotoerkennung

Wenn du ein Foto aus deiner Mediathek auswählst und die App die Karte auf deinem Gerät nicht erkennen kann, sendet die App das Bild der Karte aus diesem Foto an den Server von Haki (api.hakitcg.com, gehostet von Cloudflare), zusammen mit den Angaben, die für den Abgleich nötig sind, etwa der gewählten Kartensprache. Der Server von Haki leitet das Bild an OpenAI weiter, dessen Bildmodell meldet, was auf der Karte gedruckt ist; die App gleicht das Ergebnis anschließend mit ihrem eigenen Kartenkatalog ab. Live-Scans mit der Kamera werden nie online gesendet.

Haki speichert und protokolliert die Bilder nicht. Haki bittet OpenAI, die Anfrage nicht zu speichern; OpenAI kann Anfragen nach seinen Datenrichtlinien für die API für begrenzte Zeit zur Missbrauchserkennung aufbewahren. Um tägliche Limits pro Installation und für Pro-Abonnenten durchzusetzen, enthält die Anfrage die zufällige Installationskennung der App und, zur Bestätigung von Pro, die pseudonyme App-Nutzer-ID von RevenueCat. Die Limit-Zähler enthalten nur mit einem geheimen Schlüssel gebildete Hashwerte der Installationskennung und der Netzwerkadresse und werden automatisch gelöscht, sobald der Limit-Zeitraum vorbei ist. Haki kann technische Messwerte (etwa Bildgröße, Antwortzeit und ob die Karte erkannt werden konnte) ohne das Bild erfassen.

Die Online-Erkennung läuft nur für Fotos, die du zum Scannen auswählst. Wenn kein Foto dein Gerät verlassen soll, scanne Karten mit der Live-Kamera oder füge sie über die Suche hinzu.

4. Pseudonyme Produktanalyse

Haki nutzt den EU-Dienst von PostHog, um zu verstehen, welche Funktionen gut funktionieren und wo Probleme auftreten. Ereignisse können eine zufällige Installationskennung, den Ereignistyp, App-Version/Build, Plattform, Gerätemodell, Betriebssystemversion, Sprache und Region, Funktionsauswahl und öffentliche Katalogkennungen wie eine Karten- oder Set-ID enthalten. Die meisten Ereignisse werden aus einer stabilen Stichprobe von 10 % der Installationen erfasst; wesentliche Installations-, Scanner-, Paywall- und Kaufereignisse können für alle Installationen gezählt werden.

Haki deaktiviert in den Apps die automatische Erfassung von Bildschirmaufrufen, die Element-Erfassung und Session Replay und sendet keine Namen, E-Mail-Adressen oder Werbe-IDs an PostHog. Um zu verstehen, wie die Nutzung der App mit Käufen zusammenhängt, verknüpft Haki Analyseereignisse mit der pseudonymen App-Nutzer-ID von RevenueCat (Abschnitt 5); diese ID ist weder ein Name noch eine E-Mail-Adresse oder Werbe-ID.

PostHog erhält mit jeder Anfrage die IP-Adresse deines Geräts und leitet daraus einen ungefähren Standort auf Länder- und Stadtebene ab, damit wir sehen können, in welchen Ländern und Regionen die App genutzt wird. Die IP-Adresse und der abgeleitete Standort können mit den Analyseereignissen gespeichert werden.

Da Ereignisse derselben Installation zusammengefasst werden können, sind diese Daten pseudonym und nicht anonym.

5. Käufe und Abonnements

Käufe und Abonnements werden vom Apple App Store oder von Google Play nach deren Bedingungen abgewickelt. Haki nutzt RevenueCat zur Verwaltung der Abonnements: RevenueCat erhält eine pseudonyme App-Nutzerkennung und Abonnementinformationen aus dem Store wie Produkt, Kauf, Testphase, Verlängerung, Kündigung, Erstattung, Berechtigungsstatus und Transaktionszeitpunkte, damit Haki Pro freischalten kann. Auf iOS speichert RevenueCat außerdem die in Abschnitt 6 beschriebene Attribution von Apple Search Ads. Haki erhält nicht deine Zahlungskartendaten. Ein Abonnement verwaltest oder kündigst du in den Einstellungen deiner Apple-ID bzw. deines Google Play-Kontos.

6. Attribution von Apple Search Ads (iOS)

Auf iOS nutzt Haki Apples Framework AdServices, um herauszufinden, ob eine Installation über eine Kampagne bei Apple Search Ads zustande kam. Die App fordert bei iOS ein Attributions-Token an und sendet es an Apple. Apple antwortet mit Kampagneninformationen wie Kampagne, Anzeigengruppe, Keyword, Land oder Region und Datum des Klicks oder Downloads, oder ohne Attribution, wenn die Installation nicht über eine Anzeige zustande kam. Haki speichert diese Informationen mit seinen Analyseereignissen (PostHog) und als Abonnentenattribute in RevenueCat, um zu messen, welche Kampagnen zu Installationen und Abonnements führen.

Haki nutzt außerdem Apples SKAdNetwork. Es meldet über Apple zusammengefasste Conversion-Werte (ob eine Installation eine Testphase gestartet hat oder zu einem zahlenden Abonnement wurde) an das Werbenetzwerk, ohne dich oder dein Gerät zu identifizieren.

Haki fragt die Werbe-ID von iOS (IDFA) nicht ab, zeigt keine Abfrage von Apples App Tracking Transparency an und enthält keine Werbe-SDKs wie die von Meta oder TikTok.

7. Empfehlungsprogramm („Freunde einladen“)

Mit „Freunde einladen“ kannst du einen persönlichen Einladungslink oder -code teilen und Bonus-Scans erhalten (siehe die Teilnahmebedingungen des Empfehlungsprogramms). Damit dein Code bereitsteht und eine Einladung sofort angenommen werden kann, legt die App im Hintergrund ein pseudonymes Empfehlungsprofil auf dem Server von Haki an. Für das Programm verarbeitet Haki:

• einen zufälligen Einladungscode und dein Empfehlungsprofil. Die App speichert den Schlüssel zu diesem Profil in einem geschützten Speicher auf deinem Gerät (iOS-Schlüsselbund bzw. Android Block Store), sodass das Profil wiederhergestellt werden kann, wenn du Haki mit demselben Apple- oder Google-Konto neu installierst;
• eine zufällige Installations-ID, die Plattform (iOS oder Android) und die App-Version;
• einen Nachweis, dass es sich um eine neue Installation der App handelt: auf iOS die signierten App-Store-Transaktionsinformationen von Apple, etwa das Datum, an dem du Haki ursprünglich heruntergeladen hast; auf Android den Zeitpunkt der ersten Installation der App und, wenn du über einen Einladungslink aus Google Play gekommen bist, den vom Google Play Install Referrer übergebenen Einladungscode. Auf Android kann die App außerdem ein Google Play Integrity-Token senden, das Google auswertet, um zu bestätigen, dass die Anfrage von einer echten Kopie von Haki auf einem echten Gerät stammt;
• welche Einladung du angenommen hast, wie sie in die App gelangt ist (Link, Google Play, eingefügter oder eingetippter Code) und wer dich eingeladen hat, gespeichert nur als pseudonyme Profil-IDs. Haki zeigt niemals Namen an; Einladende sehen nur Zahlen, etwa wie viele Freunde die Einladung angenommen oder die Bedingungen erfüllt haben;
• nachdem du eine Einladung angenommen hast, die Anzahl deiner Live-Scans und die Tage, an denen du gescannt hast (keine Kartendaten und keine Fotos);
• dein Bonus-Scan-Guthaben (erhaltene und genutzte Bonus-Scans);
• die pseudonyme App-Nutzer-ID von RevenueCat (Abschnitt 5); nachdem du eine Einladung angenommen hast, kann die App in RevenueCat zusätzlich eine Markierung speichern, dass du über eine Einladung dazugekommen bist;
• eine pseudonyme Analyse-ID (PostHog, Abschnitt 4), um zu messen, wie gut das Programm funktioniert. Ereignisse zum Empfehlungsprogramm enthalten niemals Einladungscodes oder Links.

Auf iOS kann Haki außerdem den DeviceCheck-Dienst von Apple nutzen. Er speichert auf den Servern von Apple, ohne deine Identität, eine einzelne Ja/Nein-Markierung für dein iPhone, die festhält, dass das Gerät bereits ein Freundesgeschenk in Haki oder einer unserer anderen Karten-Apps erhalten hat. Haki speichert das temporäre DeviceCheck-Token höchstens 14 Tage, nachdem du eine Einladung angenommen hast, und ignoriert Markierungen, die älter als 12 Monate sind. Um Missbrauch zu begrenzen, enthalten Anfragezähler pro Netzwerkadresse und pro Profil nur mit einem geheimen Schlüssel gebildete Hashwerte und werden durch eine tägliche Bereinigung automatisch gelöscht. Die Einladungsseite (invite.hakitcg.com) setzt keine Cookies und nutzt keine Analyse.

Haki verarbeitet diese Daten, um das Programm durchzuführen, Belohnungen zu vergeben und Missbrauch zu verhindern. Rechtsgrundlage ist die Erbringung des von dir angefragten Dienstes (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse daran, Missbrauch des Programms zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).

Die Empfehlungsdaten werden auf dem Server von Haki gespeichert, der von Cloudflare gehostet wird, und so lange aufbewahrt, wie dein Empfehlungsprofil besteht. Du kannst sie jederzeit in der App unter Einstellungen → Freunde einladen → Empfehlungsdaten löschen löschen. Dabei werden dein Empfehlungsprofil, dein Einladungscode, die von dir angenommene Einladung, deine Scan-Zählungen und deine restlichen Bonus-Scans gelöscht. Einladungen, die Freunde von dir angenommen haben, bleiben als anonyme Einträge ohne Verbindung zu dir erhalten, um Missbrauch zu verhindern.

8. Support und Feedback

Wenn du uns eine E-Mail schreibst, erhalten wir deine E-Mail-Adresse und den Inhalt deiner Nachricht und nutzen sie nur, um dir zu antworten. Wenn du in der App einen Funktionswunsch oder Fehlerbericht sendest, werden der Text und Screenshots, die du anhängst, eine E-Mail-Adresse, falls du eine angibst, eine zufällige Nutzerkennung sowie grundlegende App- und Geräteinformationen in unserem selbst betriebenen Feedback-Dienst gespeichert, der von Cloudflare gehostet wird.

9. Website (hakitcg.com)

Die Website hakitcg.com nutzt selbst gehostetes Plausible Analytics, ein datenschutzfreundliches Analyse-Tool ohne Cookies. Plausible setzt keine Cookies, verfolgt dich nicht über Websites hinweg und speichert keine IP-Adressen. Es erfasst zusammengefasste Besucherdaten (Seitenaufrufe, Verweisquellen, Land, Browser- und Gerätetyp sowie Klicks auf externe Links und App-Store-Links), um zu verstehen, welche Seiten nützlich sind. Details findest du unter plausible.io/privacy.

Die Website wird von Cloudflare gehostet, das technische Anfragedaten wie deine IP-Adresse und Browserinformationen verarbeitet, um die Website auszuliefern und zu schützen. Links zum App Store und zu Google Play können eine Kampagnenbezeichnung für die Seite enthalten, von der du kommst, damit die Stores auswerten können, welche Seiten zu Downloads führen; diesen Links werden keine personenbezogenen Daten hinzugefügt.

10. Affiliate-Links

Externe Links zu TCGPlayer und Cardmarket auf Kartenseiten können Affiliate-Links sein, über die wir bei qualifizierten Käufen eine Provision erhalten. Der Preis, den du zahlst, ändert sich dadurch nicht. Wenn du einem solchen Link folgst, verarbeitet der Händler deinen Besuch nach seiner eigenen Datenschutzerklärung. Den vollständigen Hinweis findest du in unseren Nutzungsbedingungen.

11. Dienstleister, Zweck und Speicherdauer

Haki nutzt Apple (App Store, AdServices, SKAdNetwork, DeviceCheck), Google (Google Play, Play Install Referrer, Play Integrity), RevenueCat (Abonnements), PostHog (Produktanalyse, EU), Cloudflare (Hosting der Website, des Haki Servers unter api.hakitcg.com und invite.hakitcg.com sowie des Feedback-Dienstes) und OpenAI (nur für die Online-Fotoerkennung), um App-Funktionen, das Empfehlungsprogramm, Abonnements, Analyse, Sicherheit und Kampagnenmessung bereitzustellen. Die Website-Analyse läuft auf einer selbst gehosteten Plausible-Instanz. Daten können außerhalb deines Landes verarbeitet werden, unter Verwendung der Garantien, die der jeweilige Anbieter bietet.

Wir bewahren Daten bei Anbietern nur so lange auf, wie es für diese Zwecke, gesetzliche Pflichten, Betrugsprävention und die Klärung von Streitfällen vernünftigerweise erforderlich ist, vorbehaltlich der Aufbewahrungseinstellungen des jeweiligen Anbieters. Lokale App-Daten bleiben erhalten, bis du sie löschst oder die App deinstallierst. Wir verkaufen weder deine personenbezogenen Daten noch Kamerabilder oder Sammlungsinhalte.

12. Kinder

Haki ist ein Karten-Tool für ein allgemeines Publikum und richtet sich nicht an Kinder unter 13 Jahren. Haki fragt weder nach deinem Alter noch nach deinem Geburtsdatum und erhebt nicht wissentlich personenbezogene Daten von Kindern unter 13 Jahren. Wenn du glaubst, dass ein Kind personenbezogene Daten angegeben hat, kontaktiere uns, damit dies geprüft und die Daten nach Möglichkeit gelöscht werden können.

13. Deine Wahlmöglichkeiten und Rechte

• Du kannst Berechtigungen für Kamera, Fotomediathek und Benachrichtigungen in den Einstellungen deines Geräts verweigern oder widerrufen.
• Du kannst deine Empfehlungsdaten in der App löschen (Einstellungen → Freunde einladen → Empfehlungsdaten löschen).
• Du kannst deine Daten in der App exportieren und lokale Daten löschen, indem du die App entfernst.
• Du kannst Abonnements in den Einstellungen deiner Apple-ID bzw. deines Google Play-Kontos verwalten oder kündigen.
• Wenn du dich in der EU, im EWR oder im Vereinigten Königreich befindest, hast du das Recht auf Auskunft, Berichtigung und Löschung deiner personenbezogenen Daten, auf Einschränkung der Verarbeitung, auf Widerspruch gegen die Verarbeitung und auf Datenübertragbarkeit. Außerdem kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren.
• Wir verkaufen oder teilen keine personenbezogenen Daten für kontextübergreifende verhaltensbasierte Werbung. Einwohner Kaliforniens können Auskunft über ihre personenbezogenen Daten oder deren Löschung verlangen.

Anfragen kannst du an hakitcg@julianbeck.com senden; wir bemühen uns, innerhalb von 30 Tagen zu antworten. Da Haki kein Konto verlangt, benötigen wir möglicherweise Informationen von deinem Gerät, um Einträge zu finden, die zu dir gehören.

14. Änderungen

Diese Datenschutzerklärung kann aktualisiert werden, wenn sich die Funktionen, Anbieter oder rechtlichen Pflichten von Haki ändern. Die aktuelle Fassung und das Datum der Aktualisierung werden auf dieser Seite veröffentlicht.