Datenschutzerklärung
Spellbinder — ein privates Sammelalbum für Magic-Karten.
1. Verantwortlicher
Torben Ulber
E-Mail: torben.tester80@gmail.com
Anschrift: siehe Impressum
Spellbinder wird privat und ohne Gewinnerzielungsabsicht betrieben. Es gibt keine Werbung, keine Zahlungen, keine Affiliate-Links und keine öffentliche Registrierung: ein Konto entsteht nur über eine persönlich übergebene Einladung.
2. Welche Daten verarbeitet werden
Konto
Gespeichert werden die E-Mail-Adresse und das Passwort — letzteres ausschließlich als scrypt-Hash, das eingegebene Passwort selbst wird nie gespeichert. Dazu kommen der Zeitpunkt der Kontoerstellung und der der letzten Anmeldung.
Sitzung
Nach der Anmeldung wird ein Cookie sb_session gesetzt (HttpOnly,
SameSite=Lax, über HTTPS zusätzlich Secure), das 30 Tage gilt und
sich bei fortgesetzter Nutzung verlängert. In der Datenbank liegt nur der SHA-256-Wert des
Tokens, zusammen mit dem Zeitpunkt des letzten Zugriffs und den ersten 200 Zeichen der
Browserkennung (User-Agent) — damit in der Geräteliste erkennbar ist, welche Sitzung welche
ist. Abmelden löscht die Sitzung, ein Passwortwechsel löscht alle anderen mit.
Inhalte des Albums
Alles, was ins Album gelegt wird: Kartennamen und die von Scryfall dazu geholten Metadaten, eigene Tags, Notizen, Zustand, Sprache, Stückzahl, Preise sowie selbst hochgeladene Kartenbilder. Bilder liegen als Dateien auf dem Server und werden nur nach einer Eigentümerprüfung ausgeliefert, nicht als frei abrufbare statische Dateien.
Einladungen und Passwort-Zurücksetzungen
Von Einladungs- und Reset-Codes wird ebenfalls nur der Hash gespeichert, dazu eine kurze Notiz, für wen der Code gedacht war, und ob und wann er eingelöst wurde. Reset-Links sind einmalig verwendbar und laufen standardmäßig nach einer Stunde ab.
Anmeldeversuche
Fehlgeschlagene Anmeldeversuche werden kurzzeitig im Arbeitsspeicher gezählt, verknüpft mit E-Mail-Adresse und IP-Adresse, um Passwortraten auszubremsen. Diese Zähler werden nicht in die Datenbank geschrieben und verfallen nach wenigen Minuten, spätestens mit einem Neustart.
Server-Protokolle
Die Anwendung führt ein Betriebsprotokoll, um Fehler erkennen und beheben zu können. Es enthält den Zeitpunkt und eine Beschreibung des Ereignisses, etwa eine Fehlermeldung oder einen fehlgeschlagenen Abruf bei Scryfall; bei Kontoereignissen (jeder Registrierung, jeder erfolgreichen Anmeldung und der Übernahme eines Albums bei der Registrierung) auch die E-Mail-Adresse des Kontos. IP-Adressen und aufgerufene Seiten werden darin nicht erfasst. Die Protokolldateien werden nach 14 Tagen automatisch gelöscht.
Ein Zugriffsprotokoll wird nicht geführt. Vor der Anwendung läuft der Webserver Caddy, der die verschlüsselte Verbindung (HTTPS) herstellt und Anfragen an die Anwendung weiterreicht; er ist so eingerichtet, dass er keine Zugriffe protokolliert. Ihre IP-Adresse wird nur für die Dauer einer Anfrage und für den Schutz vor zu vielen fehlgeschlagenen Anmeldeversuchen im Arbeitsspeicher verwendet und nicht dauerhaft gespeichert.
Das Zertifikat für die verschlüsselte Verbindung stammt von Let’s Encrypt (Internet Security Research Group, USA). Dabei werden keine Daten der Besucherinnen und Besucher übermittelt.
3. Cookies
Es wird genau ein Cookie gesetzt, das oben beschriebene Sitzungs-Cookie. Es ist für den Betrieb unbedingt erforderlich — ohne es ist keine Anmeldung möglich — und daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Ein Cookie-Banner gibt es deshalb nicht. Es findet keine Reichweitenmessung, kein Tracking und kein Profiling statt.
4. Empfänger und Drittländer
Die Daten werden nicht an Dritte weitergegeben, nicht verkauft und nicht für Werbung genutzt. Kartendaten und Kartenbilder holt der Server von Scryfall; der Browser der Nutzenden nimmt dabei keine Verbindung dorthin auf. Scryfall erfährt also, nach welchen Kartennamen dieser Server fragt, aber weder, wer gefragt hat, noch dessen IP-Adresse. Bilder werden lokal gespeichert und von hier ausgeliefert. Es werden keine externen Schriftarten, keine CDN-Ressourcen und keine Analysedienste eingebunden.
Gehostet wird die Anwendung bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, auf einem Server in Deutschland. Der Hoster verarbeitet die Daten ausschließlich weisungsgebunden als Auftragsverarbeiter; mit ihm besteht ein Vertrag nach Art. 28 DSGVO. Eine Übermittlung in Drittländer findet nicht statt.
5. Rechtsgrundlagen
Konto, Sitzung und Albuminhalte werden auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO verarbeitet: sie sind Gegenstand des Nutzungsverhältnisses und ohne sie ist die Nutzung des Albums nicht möglich. Anmeldedrosselung und etwaige Server-Protokolle beruhen auf Art. 6 Abs. 1 lit. f DSGVO — dem berechtigten Interesse am sicheren Betrieb.
6. Speicherdauer
Kontodaten und Albuminhalte bleiben gespeichert, solange das Konto besteht. Wird ein Konto gelöscht, werden Album, Bilder, Tags und Sitzungen mit gelöscht. Eine Löschung kann formlos unter der oben genannten E-Mail-Adresse verlangt werden. Abgelaufene Sitzungen, Einladungen und Reset-Token werden nicht weiter vorgehalten. Einträge im Betriebsprotokoll werden nach 14 Tagen gelöscht.
Zum Schutz vor Datenverlust wird jede Nacht eine Sicherungskopie der Datenbank und der Bilder angelegt. Sie liegt auf einem gesonderten Speichervolumen desselben Hosters in Deutschland und ist nur für den Betreiber zugänglich. Sicherungen werden 14 Tage aufbewahrt und danach automatisch gelöscht; gelöschte Konten und Inhalte sind daher spätestens 14 Tage nach der Löschung auch aus den Sicherungen entfernt.
7. Rechte der betroffenen Personen
Es bestehen das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Für die Ausübung genügt eine formlose Nachricht an die oben genannte E-Mail-Adresse.
Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde, insbesondere der des gewöhnlichen Aufenthaltsorts. Für den Verantwortlichen zuständig ist
Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD)
Holstenstraße 98, 24103 Kiel
datenschutzzentrum.de
8. Automatisierte Entscheidungsfindung
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt.
Stand: 26. September 2026. Diese Erklärung ist anzupassen, sobald sich ändert, was die Anwendung tut.
Kartendaten, Kartenbilder und Fan Content
Kartendaten und Kartenbilder stammen von Scryfall und werden unverändert dargestellt. Magic: The Gathering, die Kartenbilder und die Mana-Symbole sind urheberrechtlich geschützt durch Wizards of the Coast, LLC.
Spellbinder ist inoffizieller Fan Content im Sinne der Wizards of the Coast Fan Content Policy und wird weder von Wizards of the Coast noch von Scryfall herausgegeben, unterstützt oder anderweitig befürwortet.
Die angezeigten Preise sind tägliche Schätz- bzw. Marktwerte, die Scryfall von seinen Partnern bezieht — für den Euro-Betrag ist das Cardmarket. Sie werden höchstens einmal täglich aktualisiert, sind ausdrücklich ohne Gewähr und taugen nicht als Grundlage für Kauf oder Verkauf. Maßgeblich ist immer der Preis beim Händler.