Datenschutzerklärung

1. Kurzfassung

Alles in dieser Erklärung ist gegen den Quelltext der Anwendung geprüft. Wenn du dazu eine Auskunft brauchst, wende dich über die Kontaktdaten in Ziffer 2 an uns.

BrickDb ist ein Angebot der ThreeB IT GmbH, ohne Werbeanzeigen. Diese Erklärung beschreibt, welche Daten tatsächlich verarbeitet werden — nicht, was üblicherweise in solchen Texten steht.

• Für die Reichweitenmessung mit Google Analytics wird deine Einwilligung eingeholt. Ohne sie findet sie nicht statt: es wird kein Skript geladen, keine Kennung gesetzt und nichts an Google gesendet. Näheres in Ziffer 10. Dasselbe gilt für die Nutzungsstatistik in den Apps, nach der die App selbst fragt (Ziffer 10.3).
• Für Sitzungsaufzeichnungen und Heatmaps mit Microsoft Clarity wird eine eigene, davon getrennte Einwilligung eingeholt. Ohne sie wird nichts von Microsoft Clarity geladen, und wer nur der Reichweitenmessung zugestimmt hat, wird nicht aufgezeichnet. Texte, Bilder und Eingaben werden in einer Aufzeichnung unkenntlich gemacht. Näheres in Ziffer 10.2.
• Ohne deine Einwilligung wird beim Aufruf einer Seite keine Verbindung zu einem Drittanbieter aufgebaut. Auch Schriftarten liegen auf dem eigenen Server. Die einzige Ausnahme ist die Schutzprüfung vor Spam auf den Seiten mit einem öffentlichen Formular (Ziffer 8.13).
• Fotos sind nur für dich und für die Mitglieder sichtbar, denen du in einer geteilten Sammlung die privaten Angaben eingeräumt hast; auf der öffentlichen Seite einer Sammlung erscheinen sie nicht. Näheres in Ziffer 8.2. Eingebettete Metadaten — darunter GPS-Koordinaten — werden bei der Verarbeitung entfernt. Für die automatische Prüfung nach Ziffer 8.12 wird eine verkleinerte Kopie an Microsoft als Auftragsverarbeiterin übertragen.
• Auf dem Endgerät wird nichts gespeichert, woran du wiedererkannt werden könntest, bevor du eine Einstellung aktiv ausgewählt, dich angemeldet oder eingewilligt hast. Was der Browser rein technisch für die Sicherheit der Formulare braucht und was deine Anmeldung trägt, steht vollständig in Ziffer 6.1; was die App auf dem Gerät ablegt, steht in Ziffer 6.5. Deine Entscheidungen über die Reichweitenmessung und über die Sitzungsaufzeichnungen kannst du hinter dem Cookie-Symbol unten rechts auf jeder Seite jederzeit ändern, jede für sich.

2. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

ThreeB IT GmbH
Bergstrang 105
49479 Ibbenbüren
Deutschland
Telefon: +49 (5451) 893922-0
E-Mail: hallo@brickdb.de

Vertreten durch die Geschäftsführer Thimo Buchheister und Thorsten Brügge.

Ein Datenschutzbeauftragter ist nicht bestellt.

3. Aufruf der Website

Beim Aufruf von www.brickdb.de oder einer der weiteren Adressen, unter denen BrickDb erreichbar ist (www.brickdb.at, www.brickdb.ch, www.brickdb.dk, www.brickdb.nl, www.brickdb.be, www.brickdb.fr, www.brickdb.it, www.brickdb.lu, www.brickdb.es, www.brickdb.co.uk, www.brickdb.us, www.brickdb.com.mx, www.brickdb.eu, www.brickdb.net), verarbeitet der Webserver die Daten, die ein Browser technisch übermitteln muss, damit eine Seite ausgeliefert werden kann: IP-Adresse, Datum und Uhrzeit der Anfrage, die angeforderte Adresse, übertragene Datenmenge und Statuscode, die Browser- und Betriebssystemkennung (User-Agent) sowie die vom Browser gesendete Sprachpräferenz (Accept-Language).

Diese Daten fallen bei jeder Verbindung im Internet notwendigerweise an. Sie werden verarbeitet, um die Seite auszuliefern, die technische Funktionsfähigkeit sicherzustellen und Angriffe abzuwehren.

Eine weitere, eng begrenzte Verwendung findet die Sprachpräferenz: Die darin enthaltene Regionsangabe (zum Beispiel DE aus de-DE) wird während der Beantwortung der Anfrage gelesen, um ein Land vorauszuwählen: auf der Eventliste und für die Preise auf den Seiten von Sets und Minifiguren, also welche Preise von Shops gezeigt werden und in welcher Währung Preise angezeigt werden. Bist du angemeldet und hast in deinem Profil ein Land hinterlegt (Ziffer 7.2), wird stattdessen dieses Land verwendet. Ein Land, das du auf der Seite selbst ausgewählt und gespeichert hast (Ziffer 6.1, bd-country), geht beidem vor. Die Regionsangabe wird nicht gespeichert, nicht mit anderen Daten zusammengeführt und nicht weitergegeben; das gewählte Land steht sichtbar auf der Seite — auf der Eventliste auch in der Adresszeile — und lässt sich dort mit einem Klick aufheben.

Auf den Adressen, die einem Land zugeordnet sind (zum Beispiel www.brickdb.de oder www.brickdb.fr), ergibt sich das Land aus der Adresse selbst. Auf www.brickdb.net und www.brickdb.eu, die keinem einzelnen Land zugeordnet sind, kommt eine weitere Angabe hinzu: Das vorgeschaltete Verteilnetz (Azure Front Door, ein Dienst des in Ziffer 4 genannten Auftragsverarbeiters Microsoft) leitet dort am Netzrand aus der IP-Adresse der Anfrage ein Länderkürzel aus zwei Buchstaben ab (zum Beispiel SE) und gibt es der Anwendung mit. Es dient demselben Zweck wie die Regionsangabe: ein Land für Preise und Events vorauszuwählen. Die Anwendung erhält dabei nichts außer diesem Kürzel, insbesondere keinen genaueren Standort; das Kürzel wird weder gespeichert noch protokolliert noch mit anderen Daten zusammengeführt. Ein Geolokalisierungsdienst eines Dritten wird nicht eingesetzt; die IP-Adresse wird zu diesem Zweck niemandem offengelegt, der sie nicht ohnehin verarbeitet, um die Seite auszuliefern. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht darin, dir Preise und Events für dein eigenes Land zu zeigen, ohne dich vorher danach zu fragen. Du kannst das jederzeit übersteuern, indem du auf der Seite selbst ein Land auswählst (Ziffer 6.1, bd-country).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht im technisch fehlerfreien und sicheren Betrieb des Angebots.

Speicherdauer: Die Anwendung selbst führt kein Zugriffsprotokoll. Auf Ebene der Infrastruktur anfallende Protokolle werden nur so lange aufbewahrt, wie es für die Betriebssicherheit erforderlich ist, längstens 30 Tage, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden.

4. Hosting

Das Angebot wird auf Microsoft Azure betrieben, Anbieterin ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Als Verarbeitungsort ist die Azure-Region Germany West Central (Frankfurt am Main) gewählt; Datenbank und Dateiablage liegen damit in Deutschland.

Microsoft ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Microsoft Products and Services Data Protection Addendum.

Anfragen an BrickDb laufen über das Verteilnetz Azure Front Door von Microsoft. Es nimmt die Verbindung an einem Standort in deiner Nähe entgegen — der außerhalb Deutschlands und außerhalb der EU und des EWR liegen kann — und leitet sie weiter; die Anwendung und alle gespeicherten Daten bleiben in Germany West Central (Frankfurt am Main). Auch das geschieht im Rahmen der Auftragsverarbeitung auf Grundlage des Microsoft Products and Services Data Protection Addendum; soweit damit eine Übermittlung in ein Drittland verbunden ist, gilt dafür, was der folgende Absatz unter „Drittlandsübermittlung“ zu Microsoft sagt.

Drittlandsübermittlung: Ein Zugriff aus Drittländern lässt sich im Rahmen von Support- und Wartungsvorgängen nicht vollständig ausschließen. Microsoft stützt solche Übermittlungen auf die Standardvertragsklauseln der EU-Kommission und ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert.

5. Schriftarten und externe Inhalte

Die verwendeten Schriftarten werden vom eigenen Server ausgeliefert. Es werden keine Schriftarten von Servern Dritter — insbesondere nicht von Google Fonts — nachgeladen. Es sind keine Karten, Videos, Social-Media-Plug-ins oder sonstigen eingebetteten Inhalte Dritter vorhanden.

Ohne deine Einwilligung wird beim Aufruf einer Seite keine Verbindung zu einem Drittanbieter aufgebaut und keine IP-Adresse an einen Dritten übermittelt — mit Ausnahme der Schutzprüfung vor Spam auf den Seiten mit einem öffentlichen Formular (Ziffer 8.13).

Die einzigen weiteren Ausnahmen sind die Reichweitenmessung nach Ziffer 10 und die Sitzungsaufzeichnung nach Ziffer 10.2, und sie sind keine Einschränkung dieses Satzes, sondern seine Bedingung: das Skript von Google wird erst geladen, nachdem du im Einwilligungsbanner der Reichweitenmessung zugestimmt hast, das Skript von Microsoft Clarity erst, nachdem du dort den Sitzungsaufzeichnungen zugestimmt hast. Solange du nicht zugestimmt oder abgelehnt hast, wird nichts von Google und nichts von Microsoft Clarity geladen — auch keine als „cookielos" bezeichnete Vorabmeldung.

6. Speicherung auf dem Endgerät

BrickDb setzt keine Cookies zu Marketing- oder Werbezwecken. Gespeichert wird ausschließlich, was eine bewusst getroffene Einstellung festhält, was die Sicherheit der Formulare verlangt, was deine Anmeldung trägt, wenn du dich anmeldest — und, wenn du der Reichweitenmessung nach Ziffer 10 zugestimmt hast, die dort beschriebenen Analyse-Cookies, sowie, wenn du den Sitzungsaufzeichnungen nach Ziffer 10.2 zugestimmt hast, die dort beschriebenen Einträge von Microsoft Clarity. Vor deiner jeweiligen Zustimmung wird keiner dieser Einträge gesetzt. Was die App darüber hinaus auf dem Gerät ablegt, damit sie auch ohne Verbindung funktioniert, beschreibt Ziffer 6.5.

6.1 Was gespeichert wird

Die Einträge für Darstellung, Sprache, Land, Währung und den geschlossenen Länderhinweis enthalten ausschließlich den zuletzt ausgewählten Wert. Sie enthalten keine Kennnummer und nichts, woraus sich eine Person oder ein Gerät wiedererkennen ließe. Sie sind Erstanbieter-Speicher; kein Dritter hat Zugriff darauf. Jeder von ihnen gilt nur für die Adresse, auf der er gesetzt wurde: Eine Auswahl auf www.brickdb.de wird auf www.brickdb.fr nicht gelesen. bd-country entsteht, wenn du ein Land auswählst und speicherst, bd-market-hint, wenn du den Hinweis schließt, dass es für dein Land eine eigene Adresse gibt — er sorgt allein dafür, dass dir dieser Hinweis nicht bei jedem Seitenaufruf erneut gezeigt wird. bd-analytics-consent ist zusätzlich als HttpOnly gesetzt, weil kein Skript im Browser ihn lesen muss: ob die Reichweitenmessung oder die Sitzungsaufzeichnung läuft, entscheidet der Server, bevor die Seite entsteht. Er hält für jeden der beiden Zwecke getrennt fest, ob du ihn erlaubt hast. Eine Zustimmung, die du vor dem 10. Oktober 2026 gegeben hast, als es nur die Reichweitenmessung gab (granted), gilt weiterhin nur für diese; nach den Sitzungsaufzeichnungen wirst du einmal eigens gefragt (Ziffer 6.6). Außerdem hält das Cookie fest, zu welcher Fassung dieses Hinweises du geantwortet hast, wann das war, und eine zufällige Nummer, unter der dein Einwilligungsnachweis nach Ziffer 6.6 geführt wird; über dich sagt diese Nummer nichts aus.

Das Antiforgery-Cookie wird vom eingesetzten Webframework auf jeder Seite gesetzt, die ein Formular enthält — also auch auf der Seite, auf der das Einwilligungsbanner steht. Es schützt diese Formulare davor, von einer fremden Seite aus abgeschickt zu werden (Cross-Site Request Forgery), enthält keine Angabe über dich, ist HttpOnly und SameSite=Strict und endet mit der Sitzung. Beim Einwilligungsbanner ist es der Grund, aus dem niemand von außen eine Zustimmung in deinem Namen auslösen kann.

Die Anmelde-Cookies entstehen erst, wenn du dich anmeldest. bd.auth hält deine Anmeldesitzung; sein Inhalt ist verschlüsselt, er ist HttpOnly und Secure und wird nur an diese Seite gesendet (SameSite=Lax). Er verlängert sich nicht von selbst: Die Sitzung endet mit der Gültigkeit der Anmeldung und nicht erst, wenn du aufhörst zu klicken. Beim Abmelden wird er entfernt. Die beiden Handshake-Cookies setzt das Framework nur für die Dauer eines einzelnen Anmeldevorgangs; sie binden die Rückkehr von der Anmeldeseite an genau den Vorgang, den du begonnen hast, und werden danach wieder entfernt.

bd-ref, _ga und _ga_… sind die Cookies der Reichweitenmessung aus Ziffer 10. Sie werden ausschließlich nach deiner Einwilligung gesetzt. bd-ref setzt BrickDb selbst, und nur in dem Augenblick, in dem du zustimmst: Er hält für längstens eine Minute die Adresse der Seite fest, von der du zu BrickDb gekommen bist — ohne deren Abfrageteil (alles ab dem „?") und nur, wenn es keine Seite von BrickDb ist —, ist HttpOnly und wird mit der nächsten Seite wieder gelöscht; wozu er dient, steht in Ziffer 10. Die Cookies von Google Analytics enthalten eine zufällige Kennung, mit der wiederkehrende Aufrufe desselben Browsers erkannt werden.

Die Einträge _clck, _clsk und _cltk setzt Microsoft Clarity nach Ziffer 10.2 — ausschließlich nach deiner gesonderten Einwilligung in die Sitzungsaufzeichnungen. _clck enthält eine zufällige Kennung, mit der wiederkehrende Besuche desselben Browsers auf dieser Website erkannt werden, _clsk fasst die Seitenaufrufe eines Besuchs zu einer Aufzeichnung zusammen, und _cltk unterscheidet mehrere geöffnete Tabs. Die beiden Cookies können für die übergeordnete Adresse gesetzt sein (zum Beispiel brickdb.de statt www.brickdb.de); zwischen den Länderadressen werden sie nicht geteilt. Cookies auf Microsofts eigenen Adressen, mit denen Microsoft Browser über verschiedene Websites hinweg wiedererkennt (MUID und ähnliche), werden nicht gesetzt: der dafür nötige Abgleich ist abgeschaltet, wie Ziffer 10.2 beschreibt.

bd-currency entsteht, wenn du eine Währung auswählst. Darstellung und Währung liegen zusätzlich im Local Storage, damit die Seite sie anwenden kann, ohne den Server zu fragen. acaAffinity setzt nicht BrickDb selbst, sondern die Hosting-Plattform nach Ziffer 4: Es sorgt dafür, dass aufeinanderfolgende Anfragen deines Browsers denselben Server erreichen, was die Live-Verbindung der Seite voraussetzt. Es bezeichnet einen Server und enthält keine Angabe über dich, ist HttpOnly und endet mit dem Schließen des Browsers. Die Tabelle wird aus derselben Liste erzeugt wie die Seite Cookies, auf der jeder Eintrag nach Zweck geordnet steht.

6.2 Warum für alle Einträge außer denen der Reichweitenmessung und der Sitzungsaufzeichnung keine Einwilligung erforderlich ist

Maßgeblich ist § 25 TDDDG. Dieser erfasst jede Speicherung von Informationen auf dem Endgerät und jeden Zugriff darauf — also nicht nur Cookies, sondern ausdrücklich auch Local Storage. Nach § 25 Abs. 2 Nr. 2 TDDDG ist eine Einwilligung entbehrlich, wenn die Speicherung unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann.

Das ist hier der Fall, und zwar aus Gründen, die sich am Verhalten der Anwendung überprüfen lassen:

• Vor einer aktiven Auswahl wird nichts gespeichert. Das bloße Aufrufen der Seite schreibt keinen Eintrag. Ein Eintrag entsteht ausschließlich dann, wenn die Umschalter für Darstellung oder Sprache bedient werden, wenn du ein Land auswählst und speicherst oder wenn du den Hinweis auf eine andere Länderadresse schließt.
• Die Rückkehr zur Voreinstellung löscht den Eintrag wieder. Wird „System" gewählt, wird der zugehörige Eintrag entfernt statt überschrieben.
• Gespeichert wird genau die Einstellung, die ausdrücklich gewünscht wurde, und sonst nichts.
• Für bd-analytics-consent gilt dasselbe aus einem eigenen Grund: er hält die Entscheidung fest, die du gerade getroffen hast. Ohne ihn müsste die Frage auf jeder Seite erneut gestellt werden — auch demjenigen, der eben erst abgelehnt hat.
• Das Antiforgery-Cookie ist der klarste Fall der drei: ohne es lässt sich ein Formular auf dieser Seite nicht mehr gegen Missbrauch von außen absichern, und das betrifft auch die Schaltfläche, mit der du der Reichweitenmessung zustimmst oder sie ablehnst. Es wird nicht gespeichert, weil etwas gemessen werden soll, sondern damit deine eigene Eingabe die ist, die zählt.
• Für die drei Anmelde-Cookies gilt es am deutlichsten: Ohne sie lässt sich eine Anmeldung weder durchführen noch aufrechterhalten. Wer sich anmeldet, verlangt genau den Dienst, den sie erbringen, und sie entstehen erst in dem Moment, in dem er verlangt wird — wer sich nicht anmeldet, bekommt keines davon.

Eine Einstellung, die auf ausdrückliche Anforderung hin gemerkt wird, ist damit für die Erbringung des angeforderten Dienstes unbedingt erforderlich; für die Sicherheit der Formulare und für die Anmeldung gilt das ohnehin. Für diese Einträge wird deshalb keine Einwilligung eingeholt.

Widerspruch und Löschung: Die Einträge für Darstellung und Sprache lassen sich jederzeit entfernen, indem im Umschalter wieder „System" gewählt oder die Browserdaten gelöscht werden. Die Seite funktioniert ohne sie unverändert; sie erscheint dann in der Darstellung und Sprache, die Betriebssystem beziehungsweise Browser vorgeben. Die Einträge für das Land und für den geschlossenen Hinweis entfernst du, indem du die Browserdaten löschst; ohne sie wird das Land wieder so vorausgewählt, wie Ziffer 3 es beschreibt.

6.3 Reichweitenmessung und Sitzungsaufzeichnung — nur nach Einwilligung

Für die Cookies der Reichweitenmessung und für die Einträge der Sitzungsaufzeichnung gilt § 25 Abs. 2 Nr. 2 TDDDG nicht: weder eine Reichweitenmessung noch eine Sitzungsaufzeichnung ist für den von dir angeforderten Dienst erforderlich, die Seite funktioniert ohne sie vollständig. Sie fallen damit unter § 25 Abs. 1 TDDDG und werden erst gesetzt, nachdem du im Einwilligungsbanner dem jeweiligen Zweck zugestimmt hast. Das Banner erscheint auf der ersten Seite, die du aufrufst. Es nennt beide Zwecke einzeln, keiner ist vorausgewählt, und es bietet „Alle erlauben", „Alle ablehnen" und „Auswahl speichern" als gleich große Schaltflächen nebeneinander an — alles zu erlauben und alles abzulehnen ist jeweils ein einziger Klick.

6.4 Technisch notwendige Verbindungsdaten

Die Bedienoberfläche wird serverseitig gerendert und hält während der Nutzung eine WebSocket-Verbindung zum Server. Der zugehörige Sitzungszustand liegt ausschließlich im Arbeitsspeicher des Servers, wird nicht auf dem Endgerät gespeichert und endet mit dem Schließen der Seite.

6.5 In der App

Die BrickDb-App für Mobilgeräte und Computer zeigt dieselben Seiten an, legt aber nichts in einem Browserspeicher ab. Die Einstellungen für Darstellung und Sprache liegen dort im Einstellungsspeicher des Betriebssystems und enthalten wie in Ziffer 6.1 nur den zuletzt gewählten Wert.

Meldest du dich in der App an, wird deine Sitzung im geschützten Speicher des Geräts abgelegt — im Schlüsselbund unter iOS und macOS, im Keystore-gesicherten Speicher unter Android. Abgelegt werden vier Dinge: das Zugriffstoken, das Erneuerungstoken, der Ablaufzeitpunkt und die Angabe, über welchen Weg du dich angemeldet hast.

Hinzu kommt das Identitätstoken, und das ist das einzige dieser Elemente, das Angaben zu deiner Person enthält. Es wird bei der Anmeldung von Auth0 ausgestellt und dort abgelegt, weil die App aus ihm liest, wen sie vor sich hat. Es enthält die Kennung deines Kontos beim Identitätsdienstleister, deinen Namen und deine E-Mail-Adresse, die Angabe, ob die Adresse bestätigt ist, sowie einen technischen Einmalwert aus dem Anmeldevorgang. Diese Angaben liegen damit auf dem Gerät, auch wenn sie nach Ziffer 7.1 nicht in unsere Datenbank übernommen werden. Ein Passwort ist nicht darunter, weil die App keines entgegennimmt (Ziffer 7.1).

Alle fünf Elemente werden bei der Abmeldung entfernt. Damit du die App auch ohne Verbindung nutzen kannst, legt sie außerdem drei Speicher auf dem Gerät an:

• Eine Kopie deiner Sammlung. Bist du angemeldet, hält die App eine Kopie dessen vor, was du nach Ziffer 8.1 in deine Sammlung eingetragen hast: deine Sets mit den Angaben zu jedem Exemplar, darunter Notizen, gezahlter Preis und Hinweise zum Verkäufer, deine Merkliste, deine Minifiguren, losen Teile, Bücher, Magazinausgaben und Videospiele, die Lagerorte der Sammlungen, die du sehen kannst, und den zuletzt ermittelten Wert deiner Sammlung mit seinem Datum. Die Kopie wird jedes Mal auf den neuesten Stand gebracht, wenn die App sich mit BrickDb abgleicht — beim Start, bei der Rückkehr in den Vordergrund, wenn wieder eine Verbindung besteht, und wenn du „Jetzt senden“ wählst —, und angezeigt wird sie nur, wenn BrickDb nicht erreichbar ist. Die Fotos deiner Exemplare sind nicht darin. In derselben Datei hält die App, auch wenn du nicht angemeldet bist, die freigegebenen Läden des einen Landes vor, das du zuletzt in der Ladensuche angesehen hast, und die Serien der Sammelfiguren und Sammelsets, die du geöffnet hast — ohne Werte und ohne Angaben dazu, was du besitzt.
• Änderungen, die du ohne Verbindung machst. Trägst du etwas in deine Sammlung ein, änderst oder entfernst es, während BrickDb nicht erreichbar ist, speichert die App die Änderung auf dem Gerät — auch ein Foto, das du dabei einem Exemplar hinzufügst, mit bis zu 25 MB — und sendet sie an den Server von BrickDb, sobald wieder eine Verbindung besteht. Erst dort werden einem Foto seine Metadaten entnommen (Ziffer 8.2); bis dahin liegt es so auf dem Gerät, wie es aufgenommen wurde. Eine gesendete Änderung wird vom Gerät gelöscht; eine, die sich nicht senden lässt, zeigt dir die App an, und du kannst sie verwerfen.
• Zuletzt angesehene Seiten. Die App bewahrt die Seiten des Katalogs, des Blogs, der FAQ, der Reviews, der Anleitungen und des Glossars, die du dir angesehen hast, mit ihren Bildern auf, damit sie sich auch ohne Verbindung öffnen lassen — auch wenn du nicht angemeldet bist. Wie viel Platz sie dafür nutzt, wählst du in den Einstellungen der App unter „Offline-Speicher“: 100 MB, 200 MB, 500 MB oder 1 GB, voreingestellt sind 200 MB. Ist der gewählte Platz ausgeschöpft, wird zuerst entfernt, was du am längsten nicht angesehen hast, und mit „Leeren“ löschst du alles sofort. Preise und Angebote, Suchergebnisse, alles, was nur dich betrifft — etwa deine Sammlung, deine Merkliste oder dein Konto —, und Bilder eigener Kreationen (MOCs) werden darin nie aufbewahrt. Dieser Speicher liegt im Zwischenspeicher des Geräts, den das Betriebssystem bei Platzmangel selbst leeren kann.

Alle drei Speicher liegen nur auf deinem Gerät, in Dateien im Datenbereich der App und nicht im geschützten Speicher, in dem deine Sitzung liegt. Sie werden nicht an Dritte weitergegeben; übertragen werden allein die zurückgehaltenen Änderungen, und zwar an den Server von BrickDb (Ziffer 4). Bei der Abmeldung werden alle drei gelöscht; gibt es noch nicht gesendete Änderungen, fragt dich die App vorher, ob du dich trotzdem abmelden willst. Die Kopie deiner Sammlung und die zurückgehaltenen Änderungen können, je nach den Einstellungen deines Geräts, in eine Sicherung aufgenommen werden, die du beim Anbieter deines Betriebssystems eingerichtet hast; die zuletzt angesehenen Seiten nicht.

Rechtsgrundlage für diese drei Speicher ist Art. 6 Abs. 1 lit. b DSGVO — wie für deine Sammlungsdaten selbst (Ziffer 8.1) ist die Verarbeitung erforderlich, um dir den angeforderten Dienst auch ohne Verbindung zu erbringen. Einer Einwilligung nach § 25 TDDDG bedarf es nicht, weil die Speicherung auf dem Gerät dafür unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG, Ziffer 6.2).

Für die Nutzungsstatistik der App (Ziffer 10.3) liegen im selben Einstellungsspeicher zwei weitere Werte: deine Entscheidung darüber — erlaubt oder abgelehnt, mit dem Zeitpunkt — und, nur nach deiner Einwilligung, eine zufällige Kennung der Installation. Die Entscheidung bleibt bei der Abmeldung erhalten; die Kennung wird dabei gelöscht und, solange deine Einwilligung besteht, durch eine neue ersetzt.

Für Push-Mitteilungen (Ziffer 10.4) legt das SDK von OneSignal, sobald du sie in der App einschaltest, im Einstellungsspeicher des Betriebssystems eigene Werte ab: eine Kennung von OneSignal, den Status deines Abonnements, das Geräte-Token und deine Push-Kennung. Vorher legt die App dafür nichts ab. Bei der Abmeldung wird das Gerät von deiner Push-Kennung getrennt.

6.6 Cookie-Einstellungen, Einwilligungsnachweis und Global Privacy Control

Cookie-Einstellungen. Auf der Seite Cookies findest du jeden Eintrag aus Ziffer 6.1 nach Zweck geordnet und je ein Kästchen für die Reichweitenmessung und für die Sitzungsaufzeichnungen. Sie ist vom Einwilligungsbanner, über das Cookie-Symbol unten rechts auf jeder Seite und aus der Fußzeile erreichbar und funktioniert ohne Skript. Deine Auswahl gilt nur für die Länderadresse, auf der du sie triffst.

Einwilligungsnachweis. Wir müssen nachweisen können, dass eine Einwilligung erteilt wurde (Art. 7 Abs. 1 DSGVO). Deshalb speichern wir zu jeder Entscheidung — Zustimmung, Ablehnung, Änderung, Widerruf — einen Eintrag auf unserem Server: eine zufällige Nummer, die auch im Cookie bd-analytics-consent steht, welche Zwecke danach erlaubt sind, die Fassung dieses Hinweises, die Länderadresse und den Zeitpunkt. Nicht gespeichert werden dein Konto, deine IP-Adresse und Angaben zu deinem Browser oder Gerät. Die Nummer steht sonst nur in deinem Cookie; wir können den Eintrag deshalb keiner Person zuordnen, solange du uns die Nummer nicht selbst nennst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO. Jeder Eintrag wird 36 Monate nach der Entscheidung gelöscht, die er festhält; so lange können Ansprüche wegen einer darauf gestützten Verarbeitung regelmäßig geltend gemacht werden. Weil der Eintrag keinem Konto zugeordnet ist, ist er weder in der Auskunft über die Daten deines Kontos enthalten noch wird er mit deinem Konto gelöscht. Du kannst ihn jederzeit selbst auf der Seite Cookies löschen; dein Browser gilt danach als noch nicht gefragt.

Fassungen dieses Hinweises. Der Hinweis, zu dem du deine Entscheidung triffst, trägt ein Datum als Fassung; derzeit gilt die Fassung vom 10. Oktober 2026. Ändert er sich wesentlich — kommt ein Zweck, ein Empfänger oder eine Art von Daten hinzu —, fragen wir dich erneut, und zwar nur zu dem Zweck, den die Änderung betrifft. Bis du antwortest, ist dieser Zweck aus; alles andere bleibt, wie du es gewählt hast. Eine nur sprachliche Änderung löst keine erneute Frage aus.

Global Privacy Control. Sendet dein Browser das Signal „Global Privacy Control" (Sec-GPC: 1) und hast du auf dieser Adresse noch keine Auswahl getroffen, behandeln wir das als Ablehnung beider Zwecke: Es wird nichts geladen, und das Banner fragt dich nicht. Hinter dem Cookie-Symbol unten rechts auf jeder Seite und auf der Seite Cookies steht, dass das Signal beachtet wurde; dort kannst du dich anders entscheiden. Triffst du selbst eine Auswahl, geht sie dem Signal vor, weil sie sich ausdrücklich auf diese Website und den einzelnen Zweck bezieht; du kannst sie jederzeit widerrufen. Für das Signal allein wird nichts gespeichert, auch kein Einwilligungsnachweis. Das ältere Signal „Do Not Track" werten wir nicht aus.

7. Nutzerkonto

7.1 Anmeldung

BrickDb lässt sich ohne Konto nutzen: Katalog, Suche und Scanner stehen ohne Anmeldung offen. Ein Konto brauchst du erst, um eine eigene Sammlung zu führen.

Die Anmeldung erfolgt über den Identitätsdienstleister Auth0 (Okta, Inc.), über einen Mandanten in der Europäischen Union. Angeboten werden vier Wege: ein Konto mit E-Mail-Adresse und Passwort, die Anmeldung mit einem bestehenden Google-Konto, die Anmeldung mit deinem Apple Account („Mit Apple anmelden“) oder die Anmeldung mit einem privaten Microsoft-Konto (etwa Outlook.com, Hotmail oder Xbox); Geschäfts- und Schulkonten von Microsoft werden nicht angenommen. Welchen du wählst, entscheidest du. Das gilt für die Website und für die App gleichermaßen.

Das Anmeldeformular ist eine Seite von Auth0, nicht von BrickDb. Ein Passwort wird auf keiner Seite von BrickDb eingegeben, entgegengenommen oder weitergereicht; auch eine Passwortänderung findet bei Auth0 statt. Wer sich über Google, Apple oder Microsoft anmeldet, hat bei Auth0 gar kein Passwort — die Zugangsdaten liegen dann bei Google, Apple bzw. Microsoft, und BrickDb sieht sie ebenso wenig. Bei „Mit Apple anmelden“ kannst du außerdem wählen, deine E-Mail-Adresse zu verbergen: BrickDb erhält dann eine Adresse des Weiterleitungsdienstes von Apple (endend auf @privaterelay.appleid.com), über die Apple unsere E-Mails an dich weiterleitet.

Mehrere Anmeldewege für ein Konto. Auf der Kontoseite kannst du weitere Anmeldewege mit deinem Konto verbinden, etwa Google mit einem Konto, das du mit E-Mail-Adresse und Passwort angelegt hast. Dazu meldest du dich einmal mit dem neuen Weg an; erst diese Anmeldung zeigt, dass er dir gehört. Wir verbinden Konten nie deshalb, weil ihre E-Mail-Adressen übereinstimmen. Bei Auth0 werden die beiden Anmeldungen zu einem Nutzer zusammengeführt; Profilangaben, die in deinem Konto leer sind, werden dabei aus dem anderen übernommen. Hatte der verbundene Weg schon ein eigenes BrickDb-Konto, übernehmen wir dessen Inhalte (Sammlung, Wunschliste, Fotos, Lagerorte, MOCs, Beiträge und Supportanfragen) in dein Konto und löschen das andere Konto; was es pro Person nur einmal geben kann, etwa derselbe Wunsch zweimal, wird dabei zu einem Eintrag. Einen hinzugefügten Anmeldeweg kannst du jederzeit wieder trennen; deine Daten bleiben bei diesem Konto. Der Datenexport (Ziffer 14) nennt die verbundenen Anmeldewege. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Google, Apple und Microsoft sind für ihren Teil der Anmeldung selbst verantwortlich. Wählst du einen dieser Wege, meldest du dich auf einer Seite des jeweiligen Anbieters an. Der Anbieter verarbeitet deine Zugangsdaten und die Daten dieses Anmeldevorgangs als eigener Verantwortlicher nach Art. 4 Nr. 7 DSGVO, nicht im Auftrag von BrickDb, und nach seinen eigenen Bestimmungen: für Nutzer im Europäischen Wirtschaftsraum die Google Ireland Limited (Datenschutzerklärung von Google), die Apple Distribution International Limited (Datenschutzrichtlinie von Apple) beziehungsweise die Microsoft Ireland Operations Limited gemeinsam mit der Microsoft Corporation (Datenschutzerklärung von Microsoft). An BrickDb gibt der Anbieter über Auth0 nur die Angaben weiter, die der folgende Absatz nennt.

Was BrickDb dabei erhält. Nach einer erfolgreichen Anmeldung übergibt Auth0 die Angaben, die angefordert wurden: eine pseudonyme Kennung deines Kontos, die bei der Anmeldung hinterlegten Profilangaben und deine E-Mail-Adresse. Gespeichert wird davon nichts außer der pseudonymen Kennung und dem Zeitpunkt, zu dem der Datensatz angelegt wurde — das ist der vollständige Inhalt unseres eigenen Kontodatensatzes. Name, Profil und E-Mail-Adresse bleiben bei Auth0 und werden dort gelesen, wenn sie gebraucht werden (Ziffer 7.2); in unsere Datenbank werden sie nicht übernommen.

Zwei-Faktor-Authentifizierung wird angeboten und nie verlangt. Wer möchte, kann eine Authenticator-App (TOTP), einen Geräteschlüssel wie Face ID, Touch ID oder Windows Hello, einen Hardware-Sicherheitsschlüssel und Wiederherstellungscodes hinterlegen. Ohne eine solche Einrichtung wird niemand danach gefragt. Codes per SMS oder per E-Mail werden bewusst nicht angeboten.

Was Auth0 dabei verarbeitet. Auth0 verarbeitet die Anmeldedaten selbst sowie die technischen Daten jedes Anmeldevorgangs — Zeitpunkt, IP-Adresse sowie Browser- und Gerätekennung — um die Anmeldung durchzuführen und missbräuchliche Anmeldeversuche zu erkennen. Bei der Neuanlage eines Kontos und bei jeder Passwortänderung prüft Auth0 zusätzlich, ob das gewählte Passwort in einer bekannt gewordenen Datenpanne aufgetaucht ist, und lehnt es in diesem Fall ab. Bei einer gewöhnlichen Anmeldung findet diese Prüfung nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — ohne Konto lassen sich die Sammlungsfunktionen nicht erbringen. Für die Erkennung missbräuchlicher Anmeldeversuche und die Prüfung auf bekannt gewordene Passwörter Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht in der Sicherheit der Konten. Auth0 ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO.

Drittlandsübermittlung: Der Mandant liegt in der Europäischen Union, und dort findet die Anmeldung statt. Vertragspartnerin ist jedoch die Okta, Inc. (Auth0) mit Sitz in den Vereinigten Staaten, sodass sich ein Zugriff von dort — etwa im Rahmen von Support und Wartung — nicht ausschließen lässt. Okta stützt solche Übermittlungen auf die Standardvertragsklauseln der EU-Kommission, die dem Auftragsverarbeitungsvertrag vom 15. Dezember 2023 als eigene Dokumente beigefügt sind.

Speicherdauer: Der Kontodatensatz besteht, bis du dein Konto löschst. Die Löschung auf der Kontoseite löscht auch das Konto bei Auth0 und damit die dort hinterlegten Angaben (Ziffer 14).

7.2 Profil: Name, Über-mich-Text, Land und optionale Anschrift

Du kannst einen Vornamen, einen Nachnamen, einen kurzen Text über dich, dein Land, eine unserer Avatar-Zeichnungen und — optional — eine vollständige Postanschrift hinterlegen.

Nichts davon wird bei BrickDb gespeichert. Diese Angaben liegen beim Identitätsdienstleister Auth0 bei deinem Anmeldekonto; BrickDb liest und schreibt sie dort, statt eine Kopie zu halten: unser eigener Kontodatensatz enthält nichts außer einer pseudonymen Kennung und dem Zeitpunkt seiner Anlage. Die einzige Ausnahme: Veröffentlichst du eine MOC oder stellst du sie nicht gelistet, speichern wir den Namen, der neben ihr gezeigt wird, als Kopie bei dieser MOC (Ziffer 8.11). Wenn du dein Konto nach Abschnitt 14 löschst, wird das Auth0-Konto gelöscht und mit ihm dieses Profil.

Jede Angabe ist freiwillig. Nichts davon ist erforderlich, nichts ist Voraussetzung für die Nutzung von BrickDb, und es wird dir keine Funktion vorenthalten, wenn du ein Feld leer lässt. Du kannst jede Angabe jederzeit ändern oder löschen.

Warum insbesondere nach der Anschrift gefragt wird. Zwei Zwecke, beide hier genannt, bevor das Feld angeboten wird, und nicht erst danach:

• Versicherungsbewertung. BrickDb wird eine Bewertung einer Sammlung zu Versicherungszwecken anbieten. Eine solche Bewertung ist an den Ort gebunden, an dem die Sammlung aufbewahrt wird; ein Versicherer akzeptiert sie ohne diese Angabe nicht.
• Ein geplanter Marktplatz mit BrickDb als Treuhänder. BrickDb beabsichtigt, einen Marktplatz anzubieten, auf dem BrickDb als Treuhänder zwischen Käufer und Verkäufer auftritt. Die Postanschrift einer Partei ist das, was ein solches Geschäft zurechenbar und einen Streitfall klärbar macht.

Beide Angebote bestehen noch nicht. Die Anschrift wird für nichts anderes verwendet: nicht für Werbung, nicht für Profilbildung, nicht für irgendeine Form von Scoring, und sie wird nicht an Dritte weitergegeben.

Dein Land wird außerdem verwendet, um ein Land vorauszuwählen — auf der Eventliste und für die Preise auf den Seiten von Sets und Minifiguren, vor der in Ziffer 3 beschriebenen Sprachpräferenz des Browsers. Es wird dafür beim Aufruf einer solchen Seite bei Auth0 gelesen, von BrickDb dafür nicht gespeichert und nicht weitergegeben, und die Auswahl lässt sich auf der Seite mit einem Klick aufheben.

Land und Sprache, die du auf der Seite auswählst. Wenn du angemeldet ein Land und eine Sprache für die Seite auswählst und speicherst, wird beides zusätzlich zu den Einträgen im Browser (Ziffer 6.1) bei deinem Anmeldekonto bei Auth0 abgelegt, damit die Auswahl auch auf einem anderen Gerät und unter einer anderen Adresse von BrickDb gilt. BrickDb hält auch davon keine eigene Kopie. Bist du nicht angemeldet, bleibt die Auswahl allein im Browser.

Die zuletzt gewählte Ansicht der Serienlisten. Öffnest du angemeldet die Sammelfiguren oder die Sammelsets, werden die zuletzt gewählte Serie und der Filter nach vorhanden oder fehlend ebenfalls bei deinem Anmeldekonto bei Auth0 abgelegt, damit die Liste beim nächsten Aufruf dort wieder beginnt. BrickDb hält davon keine eigene Kopie; die Ansicht ist wie das Profil in der Kopie deiner Daten enthalten und wird mit deinem Konto gelöscht. In der App liegt sie stattdessen im Einstellungsspeicher des Geräts (Ziffer 6.5) und wird beim Abmelden gelöscht.

Rechtsgrundlage: für Vorname, Nachname, Über-mich-Text, Land, die gewählte Sprache und die Ansicht der Serienlisten Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung gehört zur angeforderten Leistung. Für die Anschrift Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, erteilt durch das Ausfüllen des Feldes und jederzeit widerrufbar durch dessen Löschen. Der Widerruf berührt dein Konto im Übrigen nicht und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt.

Das Profil ist in der Kopie deiner Daten nach Abschnitt 14 enthalten und wird nach demselben Abschnitt mit deinem Konto gelöscht.

7.3 E-Mail-Versand

BrickDb versendet E-Mails nur, wenn es dafür einen konkreten Anlass gibt: die Bestätigung deiner E-Mail-Adresse und das Zurücksetzen deines Passworts, eine Einladung zu einer Sammlung, wenn dich jemand dazu einlädt (Ziffer 8.1a), eine Einladung, dein Passwort zu wählen, wenn die Administration ein Konto für dich anlegt (Ziffer 8.9), unsere Antwort auf eine Supportanfrage sowie eine Meldung an unser eigenes Postfach, wenn jemand eine solche einreicht — diese letzte richtet sich an uns und nicht an dich, enthält aber das, was die anfragende Person geschrieben hat (Ziffer 8.7 behandelt beide) —, eine Meldung an unser eigenes Postfach, wenn jemand einen Inhalt meldet, und die Begründung an dich, wenn einer Meldung über einen Inhalt stattgegeben wird, den du veröffentlicht hast, sowie die Eingangsbestätigung und die Entscheidung an dich, wenn du bei einer Meldung eine Adresse angegeben hast (alles Ziffer 8.8). Es gibt keinen Newsletter, und Werbe-E-Mails bekommst du nur, wenn du sie selbst ausdrücklich eingeschaltet und über den Link einer Bestätigungs-E-Mail bestätigt hast (Ziffer 10.4). Dazu kommt die Nachricht über einen Preisalarm, wenn du bei einem Set deiner Merkliste einen eingeschaltet hast (Ziffer 10.4); sie ist keine Werbe-E-Mail. Hast du angemeldet eine Bauanleitung als PDF angefordert, kommt außerdem die Nachricht, dass sie fertig ist (Ziffer 8.14); auch sie ist keine Werbe-E-Mail. Bist du in einer geteilten Sammlung oder hast du angemeldet eine Veranstaltung eingereicht, kommen die Nachrichten nach Ziffer 10.4 dazu, dass sich dort etwas für dich geändert hat oder wie die Moderation entschieden hat; auch sie sind keine Werbe-E-Mails, und du kannst sie im Konto unter „Benachrichtigungen“ ausschalten.

Versanddienstleister ist die Twilio Inc. („SendGrid“), 101 Spear Street, 5th Floor, San Francisco, CA 94105, USA. SendGrid erhält dafür die Empfängeradresse, einen Anzeigenamen, soweit einer vorhanden ist, den Betreff und den vollständigen Inhalt der Nachricht sowie die technischen Zustelldaten (Zeitpunkt, Zustellstatus, Antwort des empfangenden Mailservers). Deine E-Mail-Adresse wird damit an einen Dritten weitergegeben, und zwar als Erstes — noch bevor irgendetwas anderes mit ihr geschieht. Deshalb steht das hier und nicht erst unter Ziffer 12.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Bestätigung einer Adresse, das Zurücksetzen eines Passworts und die Zustellung einer Einladung gehören zur angeforderten Leistung. SendGrid ist insoweit Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Twilio Data Protection Addendum.

Drittlandsübermittlung: Der Versand läuft über die globale Infrastruktur von SendGrid; die Verarbeitung findet damit in den Vereinigten Staaten statt und nicht, wie das Hosting nach Ziffer 4, in Deutschland. Twilio stützt solche Übermittlungen auf die Standardvertragsklauseln der EU-Kommission und ist zusätzlich unter dem EU-US Data Privacy Framework zertifiziert.

Öffnungs- und Klickmessung: bei Konto-E-Mails ja, bei unseren eigenen nein. E-Mails zu deinem Konto — Bestätigung der Adresse, Passwort zurücksetzen — werden von SendGrid vor dem Versand um ein unsichtbares Bild ergänzt, und ihre Links werden über SendGrid umgeleitet. Zeigt dein E-Mail-Programm eine solche Nachricht an, lädt es dieses Bild und übermittelt dabei Zeitpunkt und IP-Adresse an SendGrid; dasselbe geschieht beim Anklicken eines Links. Bei SendGrid entsteht daraus die Information, ob und wann eine solche Nachricht geöffnet wurde. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, dass Konto-E-Mails ankommen und nicht im Spam-Ordner landen. Du kannst dem nach Art. 21 DSGVO über die Kontaktdaten in Ziffer 2 widersprechen, und du kannst das Nachladen von Bildern in deinem E-Mail-Programm abschalten — dann findet die Öffnungsmessung nicht statt.

E-Mails, die BrickDb selbst versendet, enthalten weder ein solches Bild noch umgeleitete Links — heute sind das die Einladungen zu einer Sammlung, die beiden Supportmails nach Ziffer 8.7, unsere Antwort auf eine Anfrage und die Meldung, die sie uns schickt, die Mails zu Meldungen nach Ziffer 8.8, die Nachricht über eine fertige Bauanleitung nach Ziffer 8.14 sowie die Nachrichten zu geteilten Sammlungen und eingereichten Veranstaltungen nach Ziffer 10.4. Keine von ihnen fordert beim Öffnen von einem Server irgendetwas an; jeder Versand schaltet beide Messungen bei SendGrid ausdrücklich ab.

Speicherdauer: BrickDb legt keine Kopie einer versendeten Nachricht an. Beim Versanddienstleister bleiben die Zustelldaten für einen kurzen, von dessen Tarif abhängigen Zeitraum in dessen Aktivitätsprotokoll abrufbar.

Stand dieser Fassung: Diese Ziffer beschreibt den Versandweg, wie er derzeit besteht. Bis die oben genannte Meldung zu einer Supportanfrage hinzukam, hieß es hier „wie er seit dem 10. September 2026 besteht“.

8. Sammlungsdaten und Fotos

Die folgenden Angaben beschreiben die Verarbeitung, die mit einem Konto nach Ziffer 7 stattfindet.

8.1 Sammlungsdaten

Gespeichert wird, was selbst eingetragen wird: Setnummer, Bezeichnung, Zustandsangaben, Notizen, Anschaffungsdatum, gezahlter Preis, Hinweise zum Verkäufer sowie die Zeitpunkte der Erstellung und der letzten Änderung. Diese Angaben sind mit einer pseudonymen Kennnummer verknüpft.

Auf dieselbe Weise gespeichert wird, was du zu den übrigen Bereichen einträgst: einzelne Minifiguren und lose Teile mit denselben Angaben, Exemplare von Magazinausgaben und Büchern mit ihrer Zustandsnote, dem Zustand einer beiliegenden Polybag, deinen Anmerkungen zum Zustand, wie und wann du sie erworben hast, dem gezahlten Preis, dem Hinweis zum Verkäufer und deinen Notizen, Sammlungen mit ihrem Namen, ihrer Beschreibung, ihrer Sichtbarkeit nach Ziffer 8.1a und ihren Mitgliedern samt deren Rolle, Einladungen, die du ausgesprochen hast, samt der dafür angegebenen E-Mail-Adresse, Signaturen, die du zu einem Exemplar erfasst, deine Merkliste, deine Beiträge zur Auflösung von Tütencodes und Verpackungsbarcodes, und die Stapelverarbeitungen von Verpackungsfotos, die du anstößt.

Exemplare von Magazinausgaben und Büchern liegen in keiner Sammlung; nur du siehst sie.

Lagerorte. Du kannst festhalten, wo deine Sachen aufbewahrt werden: Räume, Orte in einem Raum und Fächer an einem Ort, jeweils mit dem Namen, den du vergibst, ihrer Ebene und ihrer Position in deiner Liste, und zu jedem Exemplar — Sets, Minifiguren, lose Teile, Magazinausgaben und Bücher —, an welchem Ort es liegt. Jede Sammlung hat ihre eigenen Lagerorte; deine eigenen sind die deiner persönlichen Sammlung, und teilst du sie, teilst du ihre Lagerorte mit. Die Lagerorte einer Sammlung und wo ihre Exemplare liegen, sehen alle ihre Mitglieder, auch mit der Rolle Lesend oder Versicherung; anlegen, ändern und zuweisen können sie Mitglieder mit der Rolle Eigentümer oder Bearbeiter. Eine veröffentlichte Sammlung zeigt sie nie (Ziffer 8.1a). Löschst du dein Konto (Ziffer 14), bleiben die Lagerorte einer Sammlung, die noch andere Mitglieder hat, bei der Sammlung; die übrigen werden mit der Sammlung gelöscht.

Freitextfelder werden nicht ausgewertet. Es wird gebeten, dort keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO einzutragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung ist zur Erbringung des angeforderten Dienstes erforderlich.

8.1a Wer eine Sammlung sehen kann

Jedes Exemplar, das dir gehört, liegt in einer Sammlung, und eine Sammlung hat eine von drei Einstellungen, die du wählst und jederzeit ändern kannst: privat (nur ihre Mitglieder sehen sie — die Vorgabe für eine neue Sammlung), alle mit dem Link oder alle, auch Suchmaschinen.

Eine öffentlich gestellte Sammlung zeigt ihren Namen und ihre Beschreibung, die Setnummern, die Setnamen, wie viele Exemplare du von jedem hast und in welchem Zustand sie sind — und sonst nichts. Keine Fotos, keine Notizen, keine Schlagworte, keine selbst vergebenen Namen, keine Aufbewahrungsorte, keine gezahlten Preise, keine Wertschätzungen, keine Erwerbsdaten und nichts über die Verkäuferseite. Sie nennt weder dich noch ein anderes Mitglied und sagt auch nicht, wie viele Personen dabei sind. Diese Felder werden auf jener Seite nicht etwa ausgeblendet — sie werden gar nicht erst dorthin übertragen.

Ein Link ist kein Passwort. Eine Sammlung mit der Einstellung „alle mit dem Link“ wird an jede Person ausgeliefert, die diese Adresse aufruft — ob du sie ihr gegeben hast oder nicht. Diese Einstellung bittet Suchmaschinen zusätzlich, die Seite nicht aufzunehmen; daran halten sie sich in der Regel und sind dazu nicht verpflichtet. Eine Sammlung wieder auf privat zu stellen beendet die Auslieferung sofort, holt aber keine Kopie zurück, die jemand — oder eine Suchmaschine — bereits genommen hat.

Eine mit namentlichen Mitgliedern geteilte Sammlung ist etwas anderes als eine öffentliche: Was ein Mitglied sieht, hängt von der Rolle ab, die du vergeben hast. Lesend sieht genau das, was auch die öffentliche Seite zeigt. Bearbeiter sehen alles, einschließlich der oben aufgezählten Felder. Versicherung sieht die Sets, ihren Zustand und Bewertungszahlen, sonst nichts.

Die Namen der Mitglieder. In der Mitgliederliste einer geteilten Sammlung steht neben der Rolle der Name, den dein Konto bei unserem Anmeldedienst Auth0 trägt — der Profilname, ersatzweise der Spitzname — und sonst nichts. Eine E-Mail-Adresse zeigen wir dort nie, auch nicht, wenn dein Name bei Auth0 selbst eine E-Mail-Adresse ist; an ihrer Stelle steht dann das Wort „Mitglied“. Wer als Eigentümer die Mitglieder verwaltet, sieht die Namen aller Mitglieder, jedes andere Mitglied nur seinen eigenen. Wir speichern die Namen nicht: Beim Aufruf der Liste fragt unser API-Server sie in einer einzigen Anfrage bei Auth0 ab und hält sie höchstens eine Minute im Arbeitsspeicher; löschst du dein Konto, wird der Eintrag sofort verworfen. Ist Auth0 nicht erreichbar, steht bei jedem Mitglied „Mitglied“. Möchtest du nicht, dass die Mitglieder einer Sammlung deinen Namen sehen, verlasse die Sammlung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Mitgliederliste einer geteilten Sammlung ist die von dir angeforderte Leistung.

Eine öffentliche Sammlung kann gemeldet werden. Ihre Seite trägt das Meldeformular aus Ziffer 8.8, das jede Person benutzen kann, die die Seite sehen kann. Gibt die Administration einer Meldung dazu statt, wird die Sammlung wieder auf privat gestellt; gelöscht wird nichts, und du kannst sie wieder veröffentlichen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — du willigst ein, indem du die Einstellung wählst, und widerrufst, indem du sie zurücksetzt.

8.2 Fotos

Hochgeladene Fotos werden dir und den Mitgliedern der Sammlung angezeigt, deren Rolle die privaten Angaben umfasst — das sind Eigentümer und Bearbeiter nach Ziffer 8.1a. Liegt das Exemplar in einer Sammlung, in der sonst niemand ist, sieht das Foto nur, wer es hochgeladen hat. Auf der öffentlichen Seite einer Sammlung erscheinen Fotos nicht, und ebenso wenig sehen sie Mitglieder mit der Rolle Leser oder Versicherung. Fotos werden nicht veröffentlicht und nicht an Dritte weitergegeben, und zum Trainieren von Modellen nur mit deiner Einwilligung nach Ziffer 8.15 verwendet; die Bilder einer eigenen Kreation (MOC), die du selbst veröffentlichst oder nicht gelistet stellst, beschreibt Ziffer 8.11. Zur automatischen Prüfung nach Ziffer 8.12 wird eine verkleinerte Kopie jedes Fotos an Microsoft als Auftragsverarbeiterin übertragen; ein Foto, das dabei abgelehnt wird, wird nicht gespeichert.

Metadaten werden entfernt. Beim Hochladen wird jedes Bild neu kodiert: die im Bild vermerkte Ausrichtung wird fest in die Bilddaten übernommen und anschließend das gesamte Metadatenprofil entfernt — EXIF, IPTC und XMP, und damit insbesondere GPS-Koordinaten, Aufnahmezeitpunkt und Gerätekennungen. Gespeichert wird nur das bereinigte Bild; die ursprünglich übertragene Datei wird nicht aufbewahrt.

Der ursprüngliche Dateiname wird nicht übernommen. Jede Datei erhält eine zufällig erzeugte Kennung; aus dem Speicherpfad lässt sich nichts über die hochladende Person oder die Herkunft der Datei ableiten.

Verkleinerte Fassungen. Für die Darstellung werden bei Bedarf verkleinerte Fassungen eines Fotos erzeugt und zwischengespeichert. Sie enthalten dieselben — bereits von Metadaten bereinigten — Bilddaten, unterliegen denselben Zugriffsbeschränkungen und werden gemeinsam mit dem Foto gelöscht.

Bilder in einem Format, das sich nicht neu kodieren lässt — dazu zählt HEIC/HEIF, das Standardformat neuerer iPhones — werden abgelehnt statt gespeichert. Die Fehlermeldung nennt die akzeptierten Formate (JPEG, PNG, WebP, GIF). Es wird also nichts abgelegt, das nicht zuvor bereinigt wurde.

Zu jedem Foto werden gespeichert: die zufällige Dateikennung, eine selbst vergebene Bildunterschrift, die Sortierung und der Zeitpunkt des Hochladens.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8.3 Avatarbild

Du kannst ein eigenes Bild als Avatar hochladen oder eine der von BrickDb bereitgestellten Zeichnungen verwenden. Die bereitgestellten Zeichnungen sind unsere eigenen Grafiken und keine personenbezogenen Daten; ein hochgeladenes Bild ist es.

Ein hochgeladener Avatar durchläuft dieselbe Bereinigung wie jedes andere Foto: Die Ausrichtung wird in die Bilddaten übernommen und das gesamte Metadatenprofil — EXIF, IPTC und XMP und damit insbesondere GPS-Koordinaten, Aufnahmezeitpunkt und Gerätekennungen — wird entfernt. Anschließend wird das Bild auf sein mittleres Quadrat zugeschnitten, auf 256 × 256 Pixel verkleinert und als WebP neu kodiert. Gespeichert wird nur dieses Bild; die übertragene Datei wird nicht aufbewahrt, und ein Bild, das sich nicht neu kodieren lässt, wird abgelehnt statt gespeichert. Vor dem Speichern wird es nach Ziffer 8.12 automatisch geprüft; ein dabei abgelehntes Bild wird nicht gespeichert, und dein bisheriger Avatar bleibt.

Wer ihn sehen kann. Ein Avatar wird gespeichert, damit er neben deinem Namen angezeigt werden kann. Heute siehst nur du deinen eigenen. Neben einer MOC, die du veröffentlichst oder nicht gelistet stellst, erscheint dein Anzeigename (Ziffer 8.11), nicht dein Avatar. Sobald sich das ändert, wird dieser Abschnitt das ausdrücklich sagen: Ein Avatar ist dafür gedacht, für andere sichtbar zu sein, und genau deshalb steht er hier getrennt von 8.2.

Pro Konto wird genau ein Avatar gespeichert; ein weiterer Upload ersetzt ihn. Er ist in der Kopie deiner Daten nach Abschnitt 14 enthalten und wird gelöscht, wenn du dein Konto nach Abschnitt 14 löschst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8.4 Veranstaltungsvorschläge

Bei der Einreichung einer Veranstaltung speichern wir Titel, optionale Beschreibung, Veranstaltungsort, Land und Zeitplan. Bei einer ganztägigen Veranstaltung sind dies das Startdatum sowie das nicht eingeschlossene Enddatum. Bei einer Veranstaltung mit Uhrzeit sind dies Beginn- und Endzeitpunkte sowie die Zeitzone des Veranstaltungsorts. Hinzu kommen der optionale Anmeldebeginn, Quell-URL, die Verknüpfung zum Konto und der Einreichungszeitpunkt. Wir speichern außerdem den Moderationsstatus, den Zeitpunkt einer Moderationsentscheidung und einen internen Benachrichtigungsauftrag für die Prüfwarteschlange. Dieser Auftrag versendet keine E-Mail.

Die Administration prüft Vorschläge manuell. Ausstehende und abgelehnte Vorschläge sind nicht öffentlich. Nach der Genehmigung sind die Veranstaltungsangaben und die Quell-URL öffentlich sichtbar; die Kontoidentität wird nicht veröffentlicht. Bitte reiche nur Veranstaltungsangaben ein, die du veröffentlichen darfst, ohne persönliche Kontaktdaten oder private Informationen über dich oder andere. Damit eine Veranstaltung auf Englisch, Deutsch und in den Sprachen ihres Landes beschrieben ist, lässt BrickDb die Sprachen, die dein Vorschlag nicht mitbringt, von Azure OpenAI (Ziffer 8.6) allein aus Titel, Daten, Veranstaltungsort und Land formulieren; deine Beschreibung, der angegebene Veranstalter und die Verknüpfung zu deinem Konto werden dabei nicht übermittelt, und jeder so geschriebene Text wird vor der Veröffentlichung von der Administration geprüft und als mit KI-Unterstützung verfasst gekennzeichnet.

Einreichung und Moderation erbringen den angeforderten Dienst (Art. 6 Abs. 1 lit. b DSGVO). Der Erhalt des genehmigten öffentlichen Kalenders dient unserem und dem berechtigten Interesse anderer Besucher an verlässlichen Veranstaltungsinformationen (Art. 6 Abs. 1 lit. f DSGVO). Gegen eine Verarbeitung auf Grundlage berechtigter Interessen kannst du über die Kontaktdaten in Ziffer 2 Widerspruch einlegen. Der Datenexport nach Art. 15 DSGVO auf der Kontoseite enthält die eigenen Veranstaltungsvorschläge in jedem Moderationsstatus.

Bei der Kontolöschung werden ausstehende und abgelehnte Vorschläge samt ihren Benachrichtigungsaufträgen gelöscht. Genehmigte Veranstaltungen bleiben öffentlich erhalten; die Verknüpfung zur einreichenden Person wird anonymisiert: Ein neuer Zufallswert ersetzt sie, ohne Konto oder Zuordnung zurück zur Person. Die genehmigten Angaben bleiben für andere Besucher im Kalender; für diesen anonymisierten Datensatz besteht keine feste Ablauffrist. Für Sicherungskopien gilt Ziffer 13. Die weiteren Rechte aus Ziffer 14 bleiben bestehen.

Flyer. Wird eine Veranstaltung mit einem Foto ihres Flyers eingereicht, speichern wir das für die Anzeige aufbereitete Flyerbild, seine Größe und den Zeitpunkt des Hochladens sowie, als Hinweis für die Prüfung, ob die automatische Auswertung darauf Gesichter, Telefonnummern oder E-Mail-Adressen erkannt hat, und die Bestätigung der einreichenden Person, dass der Flyer zur Bewerbung der Veranstaltung öffentlich verteilt wurde und geteilt werden darf. Ein Mensch prüft den Flyer mit der Veranstaltung und veröffentlicht ihn mit der genehmigten Veranstaltung nur, wenn er bestätigt, dass der Flyer außer den veröffentlichten Kontaktdaten des Veranstalters keine Privatperson erkennbar zeigt; sonst wird die Veranstaltung ohne den Flyer genehmigt. Ein nicht veröffentlichter Flyer wird 30 Tage nach dieser Entscheidung gelöscht. Ein veröffentlichter Flyer wird gelöscht, wenn die Administration ihn entfernt oder einer Meldung zu ihm wegen Urheberrechts oder personenbezogener Daten stattgibt (Ziffer 8.8); die Veranstaltung bleibt gelistet. Speicherung und Prüfung des Flyers erbringen den angeforderten Dienst (Art. 6 Abs. 1 lit. b DSGVO); seine Veröffentlichung mit der Veranstaltung dient dem berechtigten Interesse an vollständigen Veranstaltungsinformationen (Art. 6 Abs. 1 lit. f DSGVO). Wer auf einem Flyer zu sehen ist, kann über die Kontaktdaten in Ziffer 2 widersprechen oder den Flyer auf der Veranstaltungsseite mit „Flyer melden“ melden.

Einen Flyer fotografieren. Mit „Flyer fotografieren“ auf der Seite /events kannst du eine Veranstaltung aus einem Foto ihres Flyers vorschlagen, auch ohne Konto. Dein Foto wird an die Server von BrickDb übertragen (höchstens 25 MB) und dort bereinigt: Seine Metadaten, darunter GPS-Koordinaten, werden entfernt, der Flyer wird freigestellt und gerade gerichtet, wenn seine Ränder zu finden sind, und neu kodiert. Dein ursprüngliches Foto wird nicht gespeichert. Um die Angaben zur Veranstaltung vorzuschlagen, sendet BrickDb das bereinigte Flyerbild von seinem eigenen Server an den Dienst Azure OpenAI der Microsoft Ireland Operations Limited als Auftragsverarbeiterin (Ziffer 8.6); die Verarbeitung findet in der EU-Datenzone von Azure statt, die Anfrage wird so gestellt, dass der Dienst sie nicht zum späteren Abruf speichert, und im Übrigen gilt das in Ziffer 8.6 zu Azure OpenAI Beschriebene, einschließlich der Standard-Missbrauchsüberwachung. Das bereinigte Flyerbild wird als Entwurf gespeichert, damit du die vorgeschlagenen Angaben prüfen und die Veranstaltung einreichen kannst; reichst du sie nicht ein, wird der Entwurf nach einem Tag gelöscht, und reichst du die Veranstaltung ein, ohne zu bestätigen, dass der Flyer geteilt werden darf, wird sie ohne ihn eingereicht und der Entwurf gelöscht. Beim Einreichen wird der Flyer nach Ziffer 8.12 automatisch geprüft. Ohne Konto bestätigst du bei jedem Schritt mit der Schutzprüfung nach Ziffer 8.13, dass du ein Mensch bist; eine solche Einreichung ist mit keinem Konto verknüpft und nennt niemanden, deshalb gibt es von ihr weder eine Kopie nach Ziffer 14 noch eine Löschung mit einem Konto. Rechtsgrundlage für das Bereinigen und Auslesen des Flyers ist Art. 6 Abs. 1 lit. b DSGVO: Es erbringt den Dienst, den du angefordert hast.

8.5 Setnummer aus einem Foto lesen

Wenn du ausdrücklich ein Foto einer Verkaufsverpackung zum Lesen der Setnummer einreichst, überträgt BrickDb höchstens 8 MB vom Browser an die eigenen Web- und API-Server. Der API-Server reicht das Foto unverändert an einen dritten eigenen Server weiter, den Lesedienst (die Container-App „brickdb-ocr“). Er läuft in derselben Azure-Umgebung und derselben Region (Germany West Central, Frankfurt am Main) wie die übrigen Server nach Ziffer 4, ist nur aus dieser Umgebung heraus erreichbar und hat keinen Zugriff auf Datenbank oder Dateiablage. Wie Web- und API-Server hält auch der Lesedienst das Bild ausschließlich im Arbeitsspeicher; er gibt dem API-Server nur die darauf gelesenen möglichen Setnummern zurück, und sein Protokolleintrag hält nur fest, wie die Anfrage ausging (etwa gelesen oder abgewiesen) und wie lange sie dauerte, nichts über das Foto. Auf keinem der drei Server wird das Bild gespeichert, protokolliert oder zum Trainieren von Modellen verwendet; es wird nicht an Dritte übermittelt und nach Ende der Anfrage verworfen. Alle drei Server betreiben wir selbst auf Microsoft Azure; Microsoft ist dabei Auftragsverarbeiter nach Ziffer 4. Abweichend davon wird, wenn du angemeldet bist, zusätzlich eine verkleinerte Kopie des Fotos für einen Vorschlag nach Ziffer 8.6 an Azure OpenAI übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung erbringt die von dir angeforderte Leseleistung.

Damit diese rechenintensive Funktion verfügbar bleibt, erlaubt jeder Serverprozess sechs Anfragen pro ursprünglicher IP-Adresse innerhalb einer gleitenden Minute. Diese Grenze prüfen sowohl der Webserver als auch der API-Server, weil der API-Server auch direkt erreichbar ist. Jeder Serverprozess zählt für sich, und von jedem Server können mehrere Prozesse gleichzeitig laufen; die Grenze gilt deshalb je Prozess und nicht als eine Gesamtzahl für ganz BrickDb. Damit der API-Server bei einer Anfrage über den Webserver deine Adresse zählt und nicht die des Webservers, übergibt der Webserver ihm deine Adresse zusammen mit der Anfrage; der Lesedienst erhält sie nicht. Auf beiden Servern wird die Adresse — bei IPv6 nur ihr Netzanteil — nur als Schlüssel im Arbeitsspeicher des jeweiligen Serverprozesses gehalten; sie wird weder protokolliert, dauerhaft gespeichert noch an Dritte weitergegeben. Nach einer Minute beeinflusst sie keine Entscheidung mehr und wird entfernt, wenn diese Adresse erneut anfragt oder die anfragegesteuerte Bereinigung Platz benötigt. Jeder Serverprozess hält höchstens 1.024 Adressschlüssel; solange alle Plätze noch aktiv sind, wird eine neue Adresse abgewiesen, statt eine davon zu verdrängen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die technisch sichere, verlässliche und faire Verfügbarkeit des Dienstes.

8.6 Vorschläge aus einem Foto eines Sets oder einer Minifigur

Bist du angemeldet und reichst ein Foto eines Sets zum Lesen ein — im Fotomodus des Set-Scanners (Ziffer 8.5) oder mit „Foto auslesen“ und beim Prüfen eines Fotos im Import von Kartonfotos —, schlägt BrickDb anhand des Fotos vor, welches Set es zeigt und in welchem Zustand es ist: versiegelt oder geöffnet, gebaut oder nicht, der Zustand des sichtbaren Kartons, der Anleitung und der Sticker und was das Foto über die Vollständigkeit zeigt. Dafür überträgt BrickDb eine Kopie des Fotos von seinem eigenen API-Server an den Dienst Azure OpenAI der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, als Auftragsverarbeiterin nach Art. 28 DSGVO. Vorher wird die Kopie neu kodiert, von allen Metadaten befreit, auch von GPS-Koordinaten, und auf höchstens 1.024 Pixel Kantenlänge verkleinert; übertragen wird nur das Bild — kein Dateiname, keine Kontokennung und nichts aus deiner Sammlung. Die Verbindung wird vom Server aufgebaut, nicht von deinem Browser; der Aufruf einer Seite löst sie nie aus. Ohne Anmeldung wird kein Foto an Azure OpenAI übertragen.

Ebenso, wenn du angemeldet bist und auf der Seite „Minifigur erkennen“ ein Foto einer Minifigur einreichst: BrickDb vergleicht dieselbe verkleinerte, von allen Metadaten befreite Kopie zuerst auf einem eigenen Server, dem Abgleichdienst für Minifiguren (die Container-App „brickdb-minifig-match“), mit unserem Verzeichnis der Abbildungen von Minifiguren-Oberkörpern aus unserem Katalog. Er läuft in derselben Azure-Umgebung und derselben Region (Germany West Central, Frankfurt am Main) wie die übrigen Server nach Ziffer 4, also in der EU, ist nur aus dieser Umgebung heraus erreichbar, hält das Bild ausschließlich im Arbeitsspeicher und gibt dem API-Server nur die ähnlichsten Oberkörper aus dem Katalog zurück; das Bild wird dort nicht gespeichert, nicht protokolliert, nicht zum Trainieren von Modellen verwendet und nicht an Dritte übermittelt. Nur wenn dieser Abgleich keine sichere Übereinstimmung ergibt, überträgt BrickDb die Kopie an Azure OpenAI, um zu erkennen, welche Minifigur das Foto zeigt. Um jedes Teil mit der erkannten Minifigur zu vergleichen, fehlendes Zubehör zu finden und den Zustand einzuschätzen, überträgt BrickDb die Kopie – zusammen mit der Teileliste dieser Minifigur aus unserem Katalog – in jedem Fall an Azure OpenAI. Dafür werden je Foto höchstens zwei Anfragen gestellt, und jede zählt als ein gelesenes Foto auf die unten genannten Höchstzahlen am Tag. Übertragen werden nur das Bild und die Teileliste aus dem Katalog — nichts über dich. Für das Ergebnis gilt das unten Gesagte entsprechend: Es ist ein Vorschlag, eine erkannte Minifigur wird nur angezeigt, wenn sie in unserem Katalog steht, und nichts davon wird gespeichert. Startest du dort stattdessen die Live-Kamera, sucht ein Erkennungsmodell auf deinem eigenen Gerät im Kamerabild nach der Figur. Sobald du die Figur etwa eine Sekunde lang stillgehalten hast, wird automatisch, ohne dass du ein Foto auswählst, ein Ausschnitt des Kamerabilds um die Figur eingereicht – höchstens einmal je Figur, bis sie aus dem Bild genommen oder durch eine andere ersetzt wird; vorher verlässt kein Bild dein Gerät. Im Übrigen wird dieser Ausschnitt genauso verarbeitet wie ein eingereichtes Foto.

Die Verarbeitung findet in der EU-Datenzone von Azure statt, also innerhalb der EU; die Bereitstellung ist in der Region Germany West Central angelegt, die Verarbeitung kann in jedem EU-Mitgliedstaat erfolgen. Nach Angaben von Microsoft werden Eingaben und Ausgaben nicht zum Trainieren der Modelle verwendet und nicht an die Anbieter der Modelle weitergegeben. Standard-Missbrauchsüberwachung: Microsoft prüft Eingaben automatisiert auf missbräuchliche Nutzung. Eine Eingabe, die dabei beanstandet wird, kann Microsoft als Stichprobe aufbewahren und durch autorisierte Mitarbeitende von Microsoft im EWR prüfen lassen; Microsoft nennt dafür keine feste Höchstdauer. Darüber hinaus behält der Dienst das Foto nicht.

Die übertragene Kopie und das Ergebnis werden bei BrickDb nicht gespeichert, nicht protokolliert und nicht zum Trainieren von Modellen verwendet; die Anfrage wird so gestellt, dass Azure OpenAI sie nicht zum späteren Abruf speichert. Das Ergebnis ist ein Vorschlag: zu jeder Angabe steht, wie sicher sich das Modell nach eigener Aussage ist — eine gemessene Trefferquote gibt es nicht. Eine vorgeschlagene Setnummer wird nur angezeigt, wenn sie in unserem Katalog steht, und eine Setnummer, die unser Lesedienst (Ziffer 8.5) gelesen hat, geht immer vor. Der Vorschlag füllt nur das Formular aus; gespeichert wird erst, was du geprüft und mit dem Hinzufügen-Knopf des Formulars bestätigt hast, genau wie eine Eingabe von Hand. Bitte fotografiere nur das Set und seine Verpackung: keine Personen, Anschriften oder anderen personenbezogenen Angaben, und nur Bilder, die du einreichen darfst.

Damit die Kosten begrenzt bleiben, liest BrickDb je Konto höchstens 50 und insgesamt höchstens 1.000 Fotos am Tag (UTC); dafür speichern wir zu deinem Konto nur die Zahl der an diesem Tag gelesenen Fotos und den Tag. Sie wird am nächsten Tag überschrieben und mit deinem Konto gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — der Vorschlag ist Teil des Lesens, das du anforderst; für die Zählung Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an begrenzten Kosten des Dienstes.

8.7 Supportanfragen

Auf der Supportseite gibt es ein Formular für Supportanfragen, und du kannst es ohne Konto und ohne Anmeldung benutzen. Es fragt nach einer E-Mail-Adresse für die Antwort, einem Betreff und deiner Nachricht; ein Name ist freiwillig. Nach der Sprache fragt es nicht — sie ergibt sich aus der Sprache, in der die Seite angezeigt wurde, damit die Antwort in der Sprache erfolgt, in der du gefragt hast. Wenn du uns stattdessen an die Adresse in Ziffer 2 schreibst, erreichst du uns genauso gut, es entsteht daraus aber kein Vorgang; diese Nachricht ist dann schlicht eine E-Mail in unserem Postfach.

Was du absendest, speichern wir als Vorgang mit einer Vorgangsnummer: die E-Mail-Adresse für die Antwort, den freiwilligen Namen, die Sprache, in der du geschrieben hast, den Betreff, den Text deiner Anfrage, den Bearbeitungsstand, den Eingangsweg sowie die Zeitpunkte von Eingang und Abschluss. Widersprichst du über die Kontoseite einer automatischen Prüfung (Ziffer 8.12), speichern wir zusätzlich, welcher Prüfung du widersprichst: eine Kennung der Entscheidung, die Art des Inhalts, das Ergebnis und die Kategorie, eine Prüfsumme des geprüften Inhalts sowie später unsere Entscheidung über den Widerspruch. Über diese Kennung lässt sich der geprüfte Inhalt finden, solange er gespeichert ist. Diese Angaben speichern wir nur, wenn du angemeldet bist und der geprüfte Inhalt dir gehört; jede andere Anfrage speichern wir ohne sie, als gewöhnliche Anfrage.

Kein Vorgang ist in dieser Version mit einem Nutzerkonto verknüpft — auch keiner, den du angemeldet abschickst. Die Route, die das Formular entgegennimmt, steht allen offen und stellt überhaupt keine Anmeldung fest, sodass das dafür vorgesehene Feld leer bleibt. Was daraus für deine Rechte folgt, steht unten im Absatz zur Löschung. Zu einem Vorgang gehört außerdem ein Feld für einen Zugriffsschlüssel zu einer Statusseite, und auch ein solcher Schlüssel wird in dieser Version nicht ausgegeben, sodass auch dieses Feld leer bleibt. Würde einer ausgegeben, würde davon nur die Prüfsumme gespeichert, nie der Schlüssel selbst.

Jemand erfährt sofort davon. Ein Vorgang, den du einreichst, wird uns per E-Mail an unser eigenes Postfach gemeldet, damit er nicht unbemerkt liegen bleibt. Diese Meldung enthält die Vorgangsnummer, die von dir angegebene Adresse und den Namen, deinen Betreff und den vollständigen Text deiner Nachricht. Versendet wird sie über den in Ziffer 7.3 genannten Maildienstleister, sodass diese Angaben in den Vereinigten Staaten auf der dort beschriebenen Grundlage verarbeitet werden. Anders als die Konto-E-Mails in jener Ziffer enthält sie kein unsichtbares Bild und keine umgeleiteten Links. Was du selbst zu sehen bekommst, ist die Vorgangsnummer auf der Seite, sobald das Formular abgeschickt ist; unsere Antwort an dich ist eine eigene E-Mail, unten unter „Wie wir antworten“.

Schutz vor Masseneinsendungen. Damit das Formular nicht dazu benutzt werden kann, uns zu überschwemmen, erlaubt BrickDb fünf Einsendungen je Internetanschluss in einer gleitenden Viertelstunde. Dafür hält es eine verkürzte Form deiner IP-Adresse als Schlüssel im Arbeitsspeicher eines Webprozesses — bei IPv6 nur den Netzanteil, bei IPv4 die Adresse. Sie wird nicht protokolliert, nicht in den Vorgang geschrieben, nicht in der Datenbank gespeichert und nicht weitergegeben, und nach Ablauf der Viertelstunde beeinflusst sie keine Entscheidung mehr. Es werden höchstens 1.024 solcher Schlüssel gehalten; sind alle Plätze belegt, wird ein neuer abgewiesen, statt einen bestehenden zu verdrängen. Ein Captcha gibt es nicht, und es wird dafür nichts von Dritten nachgeladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die technisch einwandfreie, sichere und faire Verfügbarkeit des Angebots.

Rechtsgrundlage: Bearbeitung und Beantwortung deiner Anfrage (Art. 6 Abs. 1 lit. b DSGVO, soweit sie dein Nutzungsverhältnis betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, Anfragen zu diesem Angebot beantworten zu können). Gegen eine Verarbeitung auf Grundlage berechtigter Interessen kannst du über die Kontaktdaten in Ziffer 2 Widerspruch einlegen.

Speicherdauer: Ein abgeschlossener Vorgang wird 24 Monate nach seinem Abschluss gelöscht. Die Frist läuft ab dem Abschluss, nicht ab dem Eingang — ein Vorgang, auf den du noch wartest, wird nicht gelöscht, wie alt er auch ist. Die Löschung erfolgt im Rahmen einer turnusmäßigen Bereinigung und damit gegebenenfalls einige Tage nach Fristablauf, nie davor. Für Sicherungskopien gilt Ziffer 13.

Bei der Kontolöschung nach Art. 17 DSGVO werden durch das Löschen deines Kontos auf der Kontoseite alle Vorgänge anonymisiert, die mit deinem Konto verknüpft sind: E-Mail-Adresse, Name und diese Verknüpfung werden entfernt und der Zugriffsschlüssel wird ungültig, während der Vorgang selbst anonymisiert statt gelöscht wird, weil Betreff, Text und unsere Antworten unser eigener Nachweis eines Gesprächs sind, an dem auch wir beteiligt waren. Da in dieser Version kein Vorgang eine solche Verknüpfung trägt, greift dieser Schritt praktisch ins Leere: Eine Supportanfrage ist weder im Datenexport nach Art. 15 DSGVO noch in der Kontolöschung auf der Kontoseite enthalten — unabhängig davon, ob du beim Absenden angemeldet warst. Die Aufstellung dessen, was der Export nicht enthält, nennt Supportanfragen aus genau diesem Grund.

Deine Rechte aus Ziffer 14 bestehen unverändert, und so nimmst du sie für einen Vorgang wahr: Wende dich über die Kontaktdaten in Ziffer 2 an uns und nenne die Vorgangsnummer oder die verwendete Adresse. Eines solltest du dabei wissen — das Entfernen von Feldern anonymisiert keinen Freitext. Wenn du in der Anfrage selbst deinen Namen, eine Bestellnummer oder andere Angaben über dich geschrieben hast, stehen diese weiterhin im Text. Sag uns Bescheid, wenn das so ist; wir schwärzen oder löschen den betreffenden Vorgang dann von Hand.

Interne Notizen: Während ein Vorgang bearbeitet wird, schreiben wir uns außerdem Notizen dazu — was versucht wurde, was wir gefunden haben, auf welchen Bearbeitungsstand wir den Vorgang gesetzt haben und wer das war. Diese Notizen sind unsere und nicht deine: Sie hängen an der Person, die sie geschrieben hat, sie werden nie Teil einer Antwort an dich, und sie sind deshalb weder in deinem Datenexport nach Art. 15 DSGVO noch werden sie bei deiner Kontolöschung anonymisiert. Gelöscht werden sie zusammen mit dem Vorgang, zur selben Frist. Wenn du wissen möchtest, ob eine Notiz dich namentlich nennt, schreib uns über die Kontaktdaten in Ziffer 2 und nenne die Vorgangsnummer.

Wie wir antworten: Wir antworten per E-Mail an die Adresse, die du angegeben hast, und in der Sprache, in der du geschrieben hast. Diese Antwort zitiert deinen Betreff und deine Nachricht noch einmal, damit du den Vorgang wiederfindest — beim Absenden bekommst du keine Kopie davon. Unsere Antwort enthält keinen Link und kein Tracking: Es wird nichts nachgeladen, und ob du sie öffnest, erfahren wir nicht. Wenn danach noch etwas offen ist, antworte einfach auf diese E-Mail und lass die Vorgangsnummer im Betreff stehen.

Übersetzung: Damit wir deine Anfrage verstehen und dir in deiner Sprache antworten können, auch wenn wir sie nicht sprechen, sendet BrickDb den Betreff und den Text deiner Anfrage, die Mails, die du uns danach dazu schickst, und den Text unserer Antworten von seinem API-Server an den Dienst Azure OpenAI der Microsoft Ireland Operations Limited als Auftragsverarbeiterin (Ziffer 8.6). Der Dienst erkennt, in welcher Sprache du geschrieben hast, und übersetzt den Text in die Sprache der Person, die den Vorgang bearbeitet; unsere Antwort erhältst du dann in deiner Sprache und, wenn das nicht Englisch ist, darunter deutlich gekennzeichnet auch auf Englisch. Bevor etwas übertragen wird, schneiden wir zitierte frühere Nachrichten ab und entfernen E-Mail-Adressen, Vorgangsnummern und den Namen, den du angegeben hast, aus dem Text; in unseren Antworten werden sie durch Platzhalter ersetzt und erst nach der Übersetzung wieder eingesetzt. Andere Angaben über dich, die du selbst in den Text schreibst, werden mit übertragen. Die Verarbeitung findet in der EU-Datenzone von Azure statt, die Anfragen werden so gestellt, dass der Dienst Eingabe und Antwort nicht zum späteren Abruf speichert, und im Übrigen gilt das in Ziffer 8.6 zu Azure OpenAI Beschriebene. Die erkannte Sprache, die Übersetzungen und die übersetzte Vorschau einer Antwort speichern wir beim Vorgang, neben deinem Originaltext und nie an seiner Stelle; sie werden mit dem Vorgang zur selben Frist gelöscht, und eine Kontolöschung behandelt sie wie den Text, aus dem sie entstanden sind. Rechtsgrundlage ist dieselbe wie für die Bearbeitung der Anfrage oben.

Mails an die Support-Adresse: Mails an support@brickdb.net — auch eine Antwort auf eine unserer Antworten, die dorthin gehen soll — werden zu einem Vorgang. Unser Mail-Dienstleister (Ziffer 7.3) nimmt sie für die Subdomain support.brickdb.net in unserem Auftrag entgegen und übergibt sie an BrickDb; sie werden daher auf der dort beschriebenen Grundlage in den USA verarbeitet. Trägt der Betreff die Nummer eines offenen Vorgangs, kommt die Mail von dessen eigener Adresse und hat die Domain des Absenders sie signiert oder zugelassen (DKIM oder SPF, beim Empfang geprüft), wird sie diesem Vorgang hinzugefügt; jede andere Mail eröffnet einen neuen, und der Vorgang vermerkt, ob sich der Absender so bestätigen ließ. Gespeichert werden Adresse und Name des Absenders, der Betreff, die Sprache, die die Mail angibt, und ihr Text — nie ihre Anhänge: Ein Anhang wird nirgends gespeichert, der Vorgang vermerkt nur, wie viele es waren. Eine Mail, die unsere Spamprüfung als Spam einstuft, die von einer unserer eigenen Adressen kommt oder die eintrifft, nachdem in der letzten Stunde schon fünf Mails vom selben Absender (oder sechzig insgesamt) angenommen wurden, wird kein Vorgang; damit eine echte Anfrage, die so hängen bleibt, trotzdem gefunden und beantwortet werden kann, halten wir kurz fest, wann sie kam, warum sie abgelehnt wurde, die Adresse des Absenders und den Betreff — nie den Text —, und zwar für 30 Tage. Rechtsgrundlage, Speicherdauer und deine Rechte sind im Übrigen die des Formulars oben.

Stand dieser Fassung: Das Formular für Supportanfragen auf /support ist in Betrieb, und die oben beschriebene Antwort per E-Mail ebenfalls. Du erreichst uns weiterhin auch über die Kontaktdaten in Ziffer 2 und im Impressum — das ist der Weg, wenn das Formular deine Anfrage aus irgendeinem Grund nicht annimmt.

8.8 Meldungen zu Inhalten

Zu jeder Veranstaltung auf der Veranstaltungsseite gehört ein Meldeformular, ebenso zur Seite jeder veröffentlichten Sammlung (Ziffer 8.1a) und jeder veröffentlichten oder nicht gelisteten MOC (Ziffer 8.11) sowie zu jedem per Link geteilten Fotomosaik (Ziffer 8.14), zu jedem per Link geteilten QR-Code aus Steinen (Ziffer 8.17), zu jedem per Link geteilten Steintext-Schild (Ziffer 8.24) und zu jedem freigegebenen Foto eines Ladens (Ziffer 8.19), und du kannst es ohne Konto und ohne Anmeldung benutzen — worum es bei einer Meldung geht, kann auch sehen, wer nicht angemeldet ist, sodass eine Hürde davor genau die Person aussperren würde, für die es das Formular gibt. Gefragt wird nach einem Grund aus einer festen Liste, einer freiwilligen Beschreibung dessen, was nicht stimmt, deinem freiwilligen Namen, einer freiwilligen E-Mail-Adresse und einer freiwilligen Erklärung, dass du die Angaben in gutem Glauben für richtig und vollständig hältst. Nur bei einem einzigen Grund — „Etwas anderes“ — ist die Beschreibung Pflicht, weil eine Meldung, deren ganzer Inhalt dieses Wort ist, erst gelesen werden müsste, bevor sie einsortiert werden kann. Nach der Sprache fragt es nicht — sie ergibt sich aus der Sprache, in der die Seite angezeigt wurde.

Was du absendest, speichern wir als Meldung mit einer eigenen Referenz, die aussieht wie BDR-000042: um welche Art von Inhalt es geht und dessen eigenen Schlüssel, den von dir gewählten Grund, deine Beschreibung, falls du eine geschrieben hast, die E-Mail-Adresse, falls du eine angegeben hast, deinen Namen, falls du ihn angegeben hast, ob du die Erklärung in gutem Glauben abgegeben hast, die Sprache, in der du geschrieben hast, den Bearbeitungsstand sowie die Zeitpunkte von Eingang und Entscheidung. Eine Beschreibung darf höchstens 2.000 Zeichen lang sein, eine Adresse höchstens 254, ein Name höchstens 100; alles Längere wird unter Nennung des Feldes abgewiesen, statt gekürzt gespeichert zu werden.

Keine Meldung ist mit einem Nutzerkonto verknüpft — auch keine, die du angemeldet abschickst. Die Route, die das Formular entgegennimmt, steht allen offen und stellt überhaupt keine Anmeldung fest, und ein Feld für eine solche Verknüpfung gibt es nicht: BrickDb weiß bewusst nicht, welche Meldung von dir war. Was daraus für deine Rechte folgt, steht unten im Absatz zu Export und Löschung. Es gibt außerdem keine Statusseite zu einer Meldung und keinen Zugriffsschlüssel dafür, also wird auch nichts dergleichen gespeichert.

Jemand erfährt sofort davon. Eine Meldung, die du abschickst, wird uns per E-Mail an unser eigenes Postfach gemeldet, damit sie nicht unbemerkt liegen bleibt. Diese Meldung enthält die Referenz, die Art des Inhalts, den Grund, den Schlüssel des gemeldeten Inhalts und den vollständigen Text deiner Beschreibung. Sie enthält keine Adresse von dir: Die Nachricht geht an uns, und deine Adresse bleibt in der Warteschlange, wo nur eine Administratorin sie sehen kann. Versendet wird sie über den in Ziffer 7.3 genannten Maildienstleister, sodass diese Angaben in den Vereinigten Staaten auf der dort beschriebenen Grundlage verarbeitet werden; wie die Supportmeldung enthält sie kein unsichtbares Bild und keine umgeleiteten Links. Was du selbst zu sehen bekommst, ist die Referenz auf der Seite, sobald das Formular abgeschickt ist.

Schutz vor Masseneinsendungen. Damit das Formular nicht dazu benutzt werden kann, uns zu überschwemmen, erlaubt BrickDb vier Meldungen je Internetanschluss in gleitenden zehn Minuten. Dafür hält es eine verkürzte Form deiner IP-Adresse als Schlüssel im Arbeitsspeicher eines Webprozesses — bei IPv6 nur den Netzanteil, bei IPv4 die Adresse. Sie wird nicht protokolliert, nicht in die Meldung geschrieben, nicht in der Datenbank gespeichert und nicht weitergegeben, und nach Ablauf der zehn Minuten beeinflusst sie keine Entscheidung mehr. Es werden höchstens 1.024 solcher Schlüssel gehalten; sind alle Plätze belegt, wird ein neuer abgewiesen, statt einen bestehenden zu verdrängen. Ein Captcha gibt es nicht, und es wird dafür nichts von Dritten nachgeladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die technisch einwandfreie, sichere und faire Verfügbarkeit des Angebots.

Wer eine Meldung liest, und was die Entscheidung bewirkt. Eine Meldung landet in einer Warteschlange unter /admin/reports, die nur eine Administratorin öffnen kann; eine Seite, auf der sie sonst jemand nachschlagen könnte, gibt es nicht — auch nicht über die Referenz. Entweder wird die Meldung zurückgewiesen oder ihr wird stattgegeben, und wird ihr stattgegeben, wird der gemeldete Inhalt entfernt: Eine Veranstaltung, gegen die eine Meldung durchdringt, verschwindet aus dem öffentlichen Kalender. Eine veröffentlichte Sammlung, gegen die eine Meldung durchdringt, wird wieder auf privat gestellt: Von da an sehen sie nur noch ihre Mitglieder, gelöscht wird nichts davon, und wer sie besitzt, kann sie wieder veröffentlichen — eine wieder veröffentlichte Sammlung kann erneut gemeldet werden. Wir handeln gegen den Inhalt, nicht gegen die Person, die ihn eingestellt hat.

Eine Entscheidung über etwas, das eine Person veröffentlicht hat, wird auch bei ihr festgehalten. Gibt die Administration einer Meldung zu einer Sammlung oder zu einer von einem Mitglied eingereichten Veranstaltung statt oder weist sie sie zurück, wird die Entscheidung im Audit-Protokoll aus Ziffer 8.9 festgehalten, und zwar beim Konto der Person, die den Inhalt veröffentlicht hat: um welche Meldung es ging, welche Art von Inhalt und dessen Schlüssel, und wie sich der Stand der Meldung bewegt hat. Die meldende Person wird in diesem Eintrag nicht genannt, und die Notizen der Moderation gehören nicht dazu.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist es, die von BrickDb veröffentlichten Inhalte von rechtswidrigem und anstößigem Material freizuhalten, einen Einwand überhaupt entgegennehmen zu können — auch von jemandem ohne Konto — und hinterher belegen zu können, wie eine Beschwerde bearbeitet wurde. Betrifft eine Meldung Inhalte, gegen die wir einschreiten müssen, dient ihre Bearbeitung zugleich der Erfüllung einer rechtlichen Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO). Gegen eine Verarbeitung auf Grundlage berechtigter Interessen kannst du über die Kontaktdaten in Ziffer 2 Widerspruch einlegen.

Wird einer Meldung stattgegeben, bekommt die Person, die den Inhalt veröffentlicht hat, von uns eine Begründung per E-Mail. Das gilt für eine veröffentlichte Sammlung und für eine von einem Mitglied eingereichte Veranstaltung; bei einer Veranstaltung, die wir aus einem fremden Kalender übernommen haben, gibt es niemanden, dem wir schreiben könnten. Die Nachricht nennt die Referenz der Meldung, um welchen Inhalt es geht (seine Art und seinen Titel oder Namen), was wir getan haben und wie lange das gilt, den Grund, unter dem die Meldung eingereicht wurde, die Ziffer unserer Nutzungsbedingungen, nach der wir entschieden haben, den Hinweis, ob dabei automatisierte Mittel eingesetzt wurden, und wie du widersprechen kannst — per Antwort auf die E-Mail oder über das Supportformular unter Angabe der Referenz. Wer die Meldung abgeschickt hat, steht nicht darin, ebenso wenig deren Beschreibung oder die Notizen der Moderation.

Für den Versand fragen wir im Moment der Entscheidung deine E-Mail-Adresse und die Sprache, die bei deinem Konto hinterlegt ist, bei Auth0 ab (Ziffer 7.1). Die Adresse wird dafür nur verwendet und bei uns nicht gespeichert; an der Meldung halten wir lediglich fest, ob die Begründung verschickt werden konnte und wann — oder warum nicht, etwa weil keine Adresse hinterlegt ist. Versendet wird sie über den in Ziffer 7.3 genannten Maildienstleister, sodass diese Angaben in den Vereinigten Staaten auf der dort beschriebenen Grundlage verarbeitet werden; sie enthält kein unsichtbares Bild und keine umgeleiteten Links. Wird eine Sammlung auf privat gestellt, ist die geänderte Einstellung außerdem auf der Sammlungsseite zu sehen. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 17 der Verordnung (EU) 2022/2065 (Gesetz über digitale Dienste), soweit wir zu einer solchen Begründung verpflichtet sind, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse ist, dir zu sagen, was mit deinem Inhalt geschehen ist und warum, und dir einen Weg zu geben, der Entscheidung zu widersprechen.

Speicherdauer: Eine entschiedene Meldung wird 24 Monate nach der Entscheidung gelöscht. Die Frist läuft ab der Entscheidung, nicht ab dem Eingang — eine Meldung, über die noch niemand entschieden hat, wird nicht gelöscht, wie alt sie auch ist, denn sie ist ein Einwand, auf den noch eine Antwort aussteht. Die Löschung erfolgt im Rahmen einer turnusmäßigen Bereinigung und damit gegebenenfalls einige Tage nach Fristablauf, nie davor. Für Sicherungskopien gilt Ziffer 13.

Weder der Datenexport nach Art. 15 DSGVO noch die Kontolöschung erreicht eine Meldung, und das ist eine Grenze und keine Entscheidung gegen dich. Weil keine Meldung einem Konto zugeordnet ist, lässt sich gar nicht fragen, welche Meldungen von einer bestimmten Person stammen — eine Meldung ist deshalb weder im Datenexport nach Art. 15 DSGVO noch in der Kontolöschung auf der Kontoseite enthalten, unabhängig davon, ob du beim Absenden angemeldet warst, und das Löschen deines Kontos löscht sie nicht mit. Dasselbe gilt, wenn jemand etwas gemeldet hat, das du eingestellt hast: Diese Meldung benennt den Inhalt, nie dein Konto, und ist damit auch nicht in deinem Export — die Entscheidung darüber schon, sobald die Administration ihr stattgegeben oder sie zurückgewiesen hat, als Eintrag im Audit-Protokoll nach Ziffer 8.9. Die Aufstellung dessen, was der Export nicht enthält, nennt beide Fälle aus genau diesem Grund. Was du tatsächlich tun kannst: Wende dich über die Kontaktdaten in Ziffer 2 an uns und nenne die Referenz. Damit finden wir die Meldung von Hand, können dir sagen, was sie enthält, sie berichtigen oder die Adresse und den Text, den du geschrieben hast, entfernen.

Das Entfernen von Feldern anonymisiert keinen Freitext. Wenn du in der Beschreibung deinen Namen, eine Anschrift oder andere Angaben über dich geschrieben hast, stehen diese weiterhin im Text. Sag uns Bescheid, wenn das so ist; wir schwärzen oder löschen die betreffende Meldung dann von Hand.

Interne Notizen: Während eine Meldung bearbeitet wird, schreiben wir uns außerdem Notizen dazu — was wir gefunden haben, auf welchen Bearbeitungsstand wir die Meldung gesetzt haben und wer das war. Diese Notizen sind unsere und nicht deine: Sie hängen an der Person, die sie geschrieben hat, sie gehen weder an dich noch an die Person, deren Inhalt gemeldet wurde, und sie sind deshalb weder in deinem Datenexport nach Art. 15 DSGVO noch über eine Kontolöschung erreichbar. Gelöscht werden sie zusammen mit der Meldung, zur selben Frist. Wenn du wissen möchtest, ob eine Notiz dich namentlich nennt, schreib uns über die Kontaktdaten in Ziffer 2.

Wir bestätigen den Eingang und teilen dir die Entscheidung mit. Hast du eine E-Mail-Adresse angegeben, schicken wir dir an sie eine Eingangsbestätigung mit der Referenz und, sobald entschieden ist, die Entscheidung und den Weg, ihr zu widersprechen — jeweils in der Sprache, in der du die Meldung abgeschickt hast, wie es Art. 16 Abs. 4 und 5 der Verordnung (EU) 2022/2065 verlangt. Beide Nachrichten nennen die Referenz, die Art des Inhalts und den gewählten Grund, aber weder seinen Titel noch deine Beschreibung; sie werden über den in Ziffer 7.3 genannten Maildienstleister versandt und enthalten kein unsichtbares Bild und keine umgeleiteten Links. Darüber hinaus entsteht aus einer Meldung kein Schriftwechsel; über die Adresse kann sich außerdem jemand bei dir melden, falls die Meldung ohne eine Rückfrage nicht bearbeitet werden kann, und sie wird für nichts anderes verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 16 Abs. 4 und 5 der Verordnung (EU) 2022/2065. Was du in jedem Fall bekommst, ist sofort die Referenz auf der Seite.

Stand dieser Fassung: Das Meldeformular auf /events und auf der Seite jeder veröffentlichten Sammlung ist in Betrieb, die Warteschlange dahinter ebenfalls. Wenn es deine Meldung aus irgendeinem Grund nicht annimmt, erreichst du uns genauso gut über die Kontaktdaten in Ziffer 2 und im Impressum — eine so gesendete Nachricht ist dann schlicht eine E-Mail in unserem Postfach und erzeugt keine Meldung.

8.9 Verwaltung von Nutzerkonten

Administratorinnen und Administratoren von BrickDb können Nutzerkonten in einem Bereich unter /admin/users betreuen, den nur sie öffnen können: die Liste der Konten sehen, ein Konto ansehen, seinen Namen, seine E-Mail-Adresse, sein Profil oder seine Rollen ändern, einen Passwort-Reset schicken, die Bestätigungsmail erneut schicken, eine E-Mail-Adresse als bestätigt markieren, es sperren oder entsperren oder es über dieselbe Löschung entfernen, die in Ziffer 14 beschrieben ist. Die Kontodaten dort werden live bei Auth0 gelesen (Ziffer 7.1 und 7.2) und nicht in die Datenbank von BrickDb kopiert. Dasselbe gilt für den Anmeldeverlauf eines Kontos: Er wird bei Auth0 gelesen, wenn eine Administratorin oder ein Administrator ihn öffnet, und nur so lange aufbewahrt, wie Auth0 selbst ihn aufbewahrt.

Was die Administration über ein Konto sieht. Die Seite eines Kontos zeigt, was Auth0 dazu speichert – seine Kennung, die E-Mail-Adresse und ob sie bestätigt ist, die damit verknüpften Anmeldemethoden, wann es angelegt, zuletzt geändert und zuletzt angemeldet wurde, wie oft es sich angemeldet hat, ob es gesperrt ist, welche Arten der Mehr-Faktor-Authentifizierung eingerichtet sind (nur die Art, nie ein Geheimnis oder eine Telefonnummer) und seine Rollen – sowie das Profil, das du ausgefüllt hast (Namen, Land, den Text über dich, den gewählten Avatar und die Sprache deiner E-Mails, aber nicht deine Postanschrift). Aus der eigenen Datenbank von BrickDb zeigt sie nur Anzahlen: wie viele Sammlungen du besitzt und wie vielen du beigetreten bist, wie viele Exemplare du hinzugefügt hast, wie viele Tütencodes, Set-Barcodes und Events du beigetragen hast, wie viele deiner Supportanfragen offen sind und wie viele Inhaltsmeldungen mit deiner E-Mail-Adresse eingereicht wurden – nie deren Inhalt.

Der Anmeldeverlauf zeigt zu jedem Ereignis, das Auth0 für das Konto festgehalten hat, wann es war, was es war (eine Anmeldung oder eine fehlgeschlagene, eine Registrierung, eine Abmeldung, eine Änderung von Passwort oder E-Mail-Adresse, eine E-Mail-Bestätigung, ein Schritt der Mehr-Faktor-Authentifizierung, ein von Auth0 blockierter Versuch oder ein Passwort aus einem Datenleck), über welche Anmeldemethode und welche Anwendung von BrickDb es lief, das Land und die Stadt, die Auth0 aus der IP-Adresse abgeleitet hat, sowie Browser und Betriebssystem mit ihrer Hauptversion. Die IP-Adresse selbst wird nicht angezeigt, ebenso wenig der Freitext, den Auth0 einem Ereignis beifügt. Die Administration sieht ihn sich an, um Konten sicher zu halten – um Anmeldungen zu erkennen, die nicht von dir waren, oder einen Angriff auf dein Passwort – und um dir zu helfen, wenn du uns zu deinem Konto fragst.

Niemand in der Administration sieht, wählt oder tippt jemals ein Passwort. Ein Konto, das dort angelegt wird, bekommt ein zufälliges Passwort, das niemand sieht, und du erhältst von BrickDb eine Einladungsmail (versandt wie in Ziffer 7.3 beschrieben) mit einem Link, der sieben Tage gilt und sich einmal verwenden lässt, um dein eigenes Passwort zu wählen. Ein Passwort-Reset ist die eigene Mail von Auth0 mit derselben Art Link. Weder das Passwort noch der Link werden von BrickDb gespeichert oder protokolliert.

Jede Aktion der Administration wird in einem Audit-Protokoll festgehalten, und zwar bevor sie läuft, damit auch eine fehlgeschlagene festgehalten ist: wann sie stattfand, wer sie ausgeführt hat, was sie war, welches Konto sie betraf (seine Auth0-Kennung sowie die E-Mail-Adresse und der Name, die es in dem Moment hatte), welchen Grund die Person angegeben hat, welche Felder sich mit welchen Werten vorher und nachher geändert haben und ob sie geklappt hat. Ein Passwort, ein Reset-Link oder ein Token wird nie festgehalten. Nur die Administration kann das Protokoll unter /admin/audit lesen, und es hat keine Funktion, die einen Eintrag ändert oder löscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Konten und den Dienst sicher zu halten, dir zu helfen, wenn dein Konto Hilfe braucht, und hinterher zeigen zu können, was mit einem Konto geschehen ist, durch wen und warum – die Rechenschaft, die Art. 5 Abs. 2 DSGVO von uns verlangt. Das gilt für die Daten der Administration im Protokoll genauso wie für deine. Du kannst über die Kontaktdaten in Ziffer 2 widersprechen.

Speicherdauer: Ein Eintrag im Audit-Protokoll wird 24 Monate nach der Aktion gelöscht, im Rahmen der regelmäßigen Bereinigung, also möglicherweise ein paar Tage später und nie früher. Für Sicherungskopien gilt Ziffer 13.

Wenn du dein Konto löschst, bleiben die Einträge dazu erhalten, nennen dich aber nicht mehr. Die Kontokennung wird durch ein zufälliges Pseudonym ersetzt, und die E-Mail-Adresse, der Name und alle geänderten Werte werden entfernt; wer gehandelt hat, was getan wurde und wann, bleibt, denn genau dafür ist der Eintrag da. Den Grund, den die Administration notiert hat, behalten wir ebenfalls; er kann dich im Text erwähnen – sag uns Bescheid, dann schwärzen wir ihn. Wenn du selbst zur Administration gehörst und dein Konto löschst, bleiben die Einträge über deine Aktionen unverändert.

Die Administration löscht ein Konto nur über dieselbe Löschung (Ziffer 14), Schritt für Schritt, und erst nachdem sie die E-Mail-Adresse des Kontos eingetippt und einen Grund angegeben hat, den das Audit-Log behält. Das tun wir zum Beispiel, wenn du uns bittest, ein Konto zu löschen, in das du dich nicht mehr anmelden kannst. Wenn du vorher eine Kopie deiner Daten haben möchtest, lade deinen Export nach Art. 15 DSGVO auf der Kontoseite herunter, bevor du uns schreibst – danach gibt es nichts mehr zu exportieren. Das eigene Konto kann die Administration auf diesem Weg nicht löschen; dafür gibt es wie für alle die Kontoseite.

Die Administration kann deinen Export nach Art. 15 DSGVO auch für dich herunterladen – zum Beispiel, wenn du uns bittest, ihn dir zu schicken, weil du dich nicht anmelden kannst. Es ist dasselbe Archiv, das dir die Kontoseite gibt, auf dieselbe Weise erstellt, und die Administration kann es nur herunterladen, nachdem sie einen Grund angegeben hat. Jeder Download wird im Audit-Log festgehalten wie jede andere Aktion der Administration: wer ihn heruntergeladen hat, wann und warum. Das Archiv geht direkt an den Browser der Administration; BrickDb behält keine Kopie davon und schreibt es in kein Log.

Dein Export nach Art. 15 DSGVO auf der Kontoseite enthält die Einträge zu deinem Konto (unter „adminAuditEntries“) – wann, was, der Grund und was sich geändert hat –, aber nicht, wer aus der Administration es war, denn das sind die Daten dieser Person und nicht deine. Schreib uns über die Kontaktdaten in Ziffer 2, wenn du es wissen möchtest.

Stand dieser Fassung: Die Nutzerliste mit ihrer Suche, die Seite eines einzelnen Kontos, sein Anmeldeverlauf, jede oben genannte Aktion und das Audit-Protokoll sind in Betrieb.

8.10 Übernahme einer Sammlung von Rebrickable

Auf deinen ausdrücklichen Wunsch kann BrickDb die Liste der Sets, die du bei Rebrickable als deine Sammlung führst, einmalig in deine BrickDb-Sammlung übernehmen. Dazu gibst du den Benutzernamen oder die E-Mail-Adresse und das Passwort deines Rebrickable-Kontos ein. BrickDb übermittelt beide Angaben ein einziges Mal über eine verschlüsselte Verbindung von seinem Server an Rebrickable und erhält dafür einen Zugangsschlüssel („Token“), mit dem es unmittelbar anschließend die Liste deiner Sets abruft.

BrickDb speichert weder das Passwort noch den Benutzernamen noch den Token. Alle drei bestehen nur für die Dauer dieses einen Vorgangs im Arbeitsspeicher und werden danach verworfen — bei Erfolg ebenso wie bei einem Fehler oder Abbruch. Sie erscheinen in keinem Protokoll und in keinem Fehlerbericht. Gespeichert werden allein die übernommenen Sets als gewöhnliche Sammlungseinträge nach Ziffer 8.1; sie tragen den Vermerk, dass sie aus Rebrickable übernommen wurden. Zur Abwehr von Missbrauch wird gezählt, wie oft je Konto und je IP-Adresse eine Übernahme versucht wurde; diese Zählung liegt nur im Arbeitsspeicher und verfällt nach einer Stunde.

Empfänger: Rebrickable (rebrickable.com) erhält dabei die Zugangsdaten deines dortigen Kontos — Daten, die Rebrickable bereits von dir hat — von BrickDbs Server. Deine IP-Adresse und deine BrickDb-Kennnummer erhält Rebrickable nicht. Rebrickable verarbeitet die Anmeldung in eigener Verantwortung nach seinen eigenen Bedingungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Übernahme ist eine Leistung, die du ausdrücklich anforderst.

Drittlandsübermittlung: Rebrickable wird nach unserem Kenntnisstand von Australien aus betrieben, einem Staat ohne Angemessenheitsbeschluss der EU-Kommission. Die Übermittlung erfolgt nur, wenn du vor dem Import ausdrücklich in sie eingewilligt hast, nachdem wir dich auf die möglichen Risiken hingewiesen haben (Art. 49 Abs. 1 lit. a DSGVO), und weil du sie selbst veranlasst und sie für die von dir gewünschte Übernahme erforderlich ist (Art. 49 Abs. 1 lit. b DSGVO). Ohne die Einwilligung sendet der Server nichts an Rebrickable. Das Risiko: Für Australien hat die EU nicht festgestellt, dass dort ein der DSGVO gleichwertiger Schutz besteht, und mit Rebrickable besteht kein Vertrag, der ihn ergänzt; es ist daher nicht sichergestellt, dass du dort deine Rechte durchsetzen kannst oder dass Behörden nicht auf die Daten zugreifen. Die Einwilligung gilt für den einzelnen Import und wird bei jedem Import erneut abgefragt.

Rebrickable hat diese Nutzung seiner Schnittstelle gegenüber BrickDb nicht ausdrücklich bestätigt; es handelt sich nicht um eine offizielle Rebrickable-Integration. Wer sein Passwort nicht eingeben möchte, kann Sets weiterhin einzeln über die Suche oder per Scan hinzufügen.

8.11 Eigene Kreationen (MOCs)

Was gespeichert wird. Zu jeder MOC speichern wir, was du angibst – Name, Beschreibung, die Sprache des Textes, Schlagwörter, Maße, Teileliste und Bilder –, dazu die gewählte Sichtbarkeit, die Zeitpunkte der ersten und der letzten Veröffentlichung, den Prüfstatus und die Verknüpfung mit deinem Konto. Bei der ersten Veröffentlichung einer MOC halten wir fest, welche Fassung der Nutzungsbedingungen du angenommen hast, wann, und wann du dein Alter nach Ziffer 4.6.5 der Nutzungsbedingungen bestätigt hast. Den Anzeigenamen, den du bestätigt hast, speichern wir als Kopie deines Profilnamens bei der MOC, damit er neben ihr gezeigt werden kann; er wird mit der MOC gelöscht. Eine nicht gelistet gestellte MOC erhält außerdem ein zufälliges, nicht erratbares Kennzeichen, das Teil ihres Links ist; wir speichern es bei der MOC, solange sie nicht gelistet ist, und verwerfen es, sobald du sie zurücknimmst oder veröffentlichst.

Bilder. Bilder durchlaufen dieselbe Bereinigung wie jedes Foto nach Ziffer 8.2; insbesondere werden GPS-Koordinaten, Aufnahmezeitpunkt und Gerätekennungen entfernt. Bilder nehmen wir nur als Datei von deinem Gerät entgegen, nicht über eine Internetadresse.

Wer sie sieht. Eine private MOC siehst nur du. Eine nicht gelistete MOC sieht, wer ihren Link hat; sie steht in keiner Übersicht, Suchmaschinen wird sie nicht zur Aufnahme angeboten, und ihre Adresse wird nicht an Analysedienste übermittelt. Eine veröffentlichte MOC sieht jede Person, auch ohne Konto; sie kann von Suchmaschinen erfasst und in deren Ergebnissen angezeigt werden. Bei beiden zeigen wir den Anzeigenamen aus deinem Profil (Ziffer 7.2: dein Vor- und Nachname, soweit du sie dort eingetragen hast), sonst nichts über dich – keine E-Mail-Adresse und keinen Avatar. Wird ein Link auf eine veröffentlichte MOC in einem sozialen Netzwerk oder Messenger geteilt, ruft dieser Dienst Titel und Vorschaubild von uns ab; das ist ein Abruf durch diesen Dienst, nicht eine Weitergabe durch uns.

„Gefällt mir“, Merken, „Das habe ich gebaut“ und deine Baumeister-Seite. Bist du angemeldet, kannst du eine veröffentlichte MOC mit „Gefällt mir“ markieren und sie dir für später merken, und du kannst eine veröffentlichte oder deine eigene MOC mit „Das habe ich gebaut“ kennzeichnen. Dazu speichern wir, welches Konto welche MOC markiert hat, bei „Das habe ich gebaut“ auch, wann. Von den „Gefällt mir“-Angaben zeigen wir allen nur die Anzahl bei der MOC, nie, wer sie abgegeben hat; deine gemerkten und deine gebauten MOCs siehst nur du. Die Teile einer MOC, die du als gebaut gekennzeichnet hast, zählen in deiner Sammlung zu deinen Teilen – bei der MOC einer anderen Person nur, solange sie veröffentlicht ist. Die Baumeister-Seite ist freiwillig und aus, bis du sie einschaltest; ihre Adresse /mocs/by/… enthält ein zufälliges Kennzeichen, das weder aus deinem Namen noch aus deiner Kontokennung gebildet ist. Sie zeigt den Anzeigenamen, den du bei deiner letzten Veröffentlichung bestätigt hast, und deine veröffentlichten MOCs, sonst nichts über dich, und Suchmaschinen werden gebeten, sie nicht aufzunehmen. Rechtsgrundlage ist auch hier Art. 6 Abs. 1 lit. b DSGVO. Eine Markierung entfällt, wenn du sie zurücknimmst oder die MOC gelöscht wird; all das ist in der Kopie deiner Daten nach Ziffer 14 enthalten und wird mit deinem Konto gelöscht.

Bauanleitungen. Zu einer MOC kannst du Bauanleitungen hinzufügen: eine PDF-Datei, Schrittbilder, eine 3D-Modelldatei (LDraw oder Studio) und Links auf Anleitungen an anderer Stelle. Schrittbilder sind Bilder und durchlaufen dieselbe Bereinigung wie die Bilder oben (Ziffer 8.2). PDF- und 3D-Dateien speichern wir in einem eigenen Speicher, getrennt von den Fotos, unter einem zufälligen Namen; den Dateinamen, den dein Gerät vergibt, speichern wir nicht, nur den Titel, den du selbst eingibst. Eine PDF-Datei prüfen wir zuerst auf aktive Inhalte (Skripte, eingebettete Dateien, Passwortschutz) und weisen sie in diesem Fall ab. Danach öffnet sie die PDF-Prüfung (Ziffer 11), entfernt die Metadaten wie Autor, Ersteller und Datumsangaben und speichert die Datei neu ab; gespeichert wird die neu abgespeicherte Fassung. Was in den Bildern steckt, die in einer PDF-Datei eingebettet sind, prüfen wir nicht. 3D-Dateien schreiben wir nicht um: Ein Name, der in der Datei steht (etwa eine Autor-Zeile in LDraw oder der Entwurfsname in einer Studio-Datei), bleibt, wie du ihn gespeichert hast, und ist für jede Person sichtbar, die die Datei herunterladen kann. Einen Link speichern wir nur als Adresse; wir rufen ihn nicht ab. Bauanleitungen folgen der MOC: Bei einer privaten MOC sieht sie nur du, bei einer nicht gelisteten, wer den Link hat, und bei einer veröffentlichten jede Person, auch ohne Konto. Die Dateien sind in der Kopie deiner Daten nach Ziffer 14 enthalten und werden mit der MOC oder mit deinem Konto gelöscht.

Prüfung und Meldungen. Die erste MOC eines Kontos prüft vor der Freischaltung ein Mensch; bis dahin sieht nur du sie. Eine MOC, eines ihrer Bilder oder eine ihrer Bauanleitungen kannst du, auch ohne Konto, über das Meldeformular auf ihrer Seite melden (Ziffer 8.8). Ein Bild oder eine Datei, die wegen einer stattgegebenen Meldung entfernt wurde, bewahren wir sechs Monate auf, damit sie nach einem erfolgreichen Einwand wiederhergestellt werden kann, und löschen sie danach. Bei einer stattgegebenen Meldung zu einer MOC halten wir fest, gegen welches Konto sie zählt; daraus ergibt sich die Einschränkung nach Ziffer 7 der Nutzungsbedingungen, und der Eintrag wird mit der Meldung gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Speichern und Zeigen ist der Dienst, den du mit dem Hinterlegen und der Wahl der Sichtbarkeit anforderst.

Speicherdauer. Bis du die MOC oder dein Konto löschst; für Sicherungskopien gilt Ziffer 13. Deine MOCs sind in der Kopie deiner Daten nach Ziffer 14 enthalten, auch private.

8.12 Automatische Prüfung von Inhalten

Damit auf BrickDb keine rechtswidrigen oder schädlichen Inhalte gespeichert und gezeigt werden, prüft BrickDb Texte und Bilder, die du hinterlegst, automatisch mit dem Dienst Azure AI Content Safety der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, als Auftragsverarbeiterin nach Art. 28 DSGVO auf Grundlage des Microsoft Products and Services Data Protection Addendum. Der Dienst bewertet, wie stark ein Text oder ein Bild sexuelle, hasserfüllte, gewalttätige oder selbstverletzende Inhalte zeigt; Texte werden zusätzlich mit einer Liste gesperrter Begriffe abgeglichen, die wir selbst pflegen. Die Verbindung baut der Server von BrickDb auf, nicht dein Browser. Geprüft werden:

• Name, Schlagwörter und Beschreibung einer MOC, dein Anzeigename bei ihr sowie die Titel und Links ihrer Bauanleitungen, wenn du sie veröffentlichst oder nicht gelistet stellst und bei jeder Änderung, solange sie nicht privat ist (Ziffer 8.11);
• die Bilder und Schrittbilder einer MOC beim Hochladen;
• Name und Beschreibung einer Sammlung, wenn du sie veröffentlichst, und bei jeder Änderung, solange sie veröffentlicht ist (Ziffer 8.1a);
• Titel, Beschreibung, Veranstaltungsort und Link eines Veranstaltungsvorschlags und das Bild seines Flyers beim Einreichen (Ziffer 8.4);
• dein Anzeigename, wenn du ihn in deinem Profil änderst, weil er neben deinen MOCs erscheint (Ziffer 7.2);
• das aus einem Fotomosaik gezeichnete Bild, wenn du das Mosaik per Link teilst (Ziffer 8.14) — nie das Foto, aus dem es entstand;
• der Text, den ein QR-Code aus Steinen enthält, wenn du ihn per Link teilst (Ziffer 8.17) — so, wie eine Kamera ihn aus den gespeicherten Noppen liest; ein QR-Code, den du nicht teilst, wird nicht geprüft;
• der Text eines Steintext-Schilds, wenn du es per Link teilst (Ziffer 8.24); ein Schild, das du nicht teilst, wird nicht geprüft;
• Vorname, Anfangsbuchstabe und Ort einer Gewinnerin oder eines Gewinners des Adventskalenders, wenn sie der Nennung zustimmen (Ziffer 8.23);
• Name, Hersteller, Farbe und Größe eines Merchandise-Beitrags beim Einreichen und das Foto, das du dazu anhängst (Ziffer 8.16);
• Name, Adresse, Kontaktangaben, Website und Beschreibung eines Ladens, wenn du ihn der Ladensuche hinzufügst oder eine Änderung an ihm vorschlägst (Ziffer 8.19);
• ein Foto eines Ladens, das du hinzufügst (Ziffer 8.19);
• Fotos deiner Exemplare, Fotos aus dem Import von Verpackungsfotos und dein Avatarbild beim Hochladen (Ziffer 8.2 und 8.3) – also auch Bilder, die außer dir niemand oder nur Mitglieder deiner Sammlungen sehen.

Was übertragen wird. Von einem Text der Text selbst. Von einem Bild nicht die hochgeladene Datei, sondern eine verkleinerte Kopie des bereits bereinigten Bildes (ohne GPS-Koordinaten und andere Metadaten, Ziffer 8.2) mit höchstens 960 Pixeln Kantenlänge, von einem Avatar das gespeicherte Bild mit 256 × 256 Pixeln; die Kopie wird bei BrickDb nicht gespeichert. Nicht übertragen werden deine Kontokennung, deine E-Mail-Adresse und deine IP-Adresse; dein Name nur, soweit er als Anzeigename selbst Teil des geprüften Textes ist. Nicht geprüft werden Meldungen (Ziffer 8.8), Supportanfragen (Ziffer 8.7), Notizen und andere private Angaben zu deiner Sammlung, PDF- und 3D-Dateien von Bauanleitungen sowie Fotos, die nicht gespeichert werden (Ziffer 8.5 und 8.6).

Wo geprüft wird. Abweichend von Ziffer 4 findet diese Prüfung in der Azure-Region France Central (Paris, Frankreich) statt, weil Microsoft den Dienst in Germany West Central nicht anbietet; die Daten bleiben damit in der EU. Nach Angaben von Microsoft werden Texte und Bilder dabei nicht gespeichert, nicht zum Trainieren der Modelle verwendet, nicht von Mitarbeitenden von Microsoft eingesehen und nicht in andere Regionen übertragen; die Liste gesperrter Begriffe speichert Microsoft in derselben Region. Für einen Zugriff aus Drittländern gilt, was Ziffer 4 unter „Drittlandsübermittlung“ sagt.

Was das Ergebnis bewirkt. Erreicht ein Bild oder ein Text eine Schwere, die wir als gravierend festgelegt haben, wird er beim Hochladen oder Speichern abgelehnt und nicht gespeichert, und du erfährst das sofort. Beanstandet die Prüfung einen Inhalt unterhalb dieser Schwelle oder kann sie ihn nicht prüfen, weil der Dienst nicht erreichbar oder das monatliche Prüfkontingent ausgeschöpft ist, wird er gespeichert, aber außer dir und der Administration niemandem gezeigt, bis eine erneute Prüfung oder ein Mensch ihn freigibt (Ziffer 4.7 der Nutzungsbedingungen). Eine Ablehnung ist eine automatisierte Entscheidung: Sie trifft allein der Dienst nach den Schwellen, die wir festgelegt haben. Wir halten sie nicht für eine Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO, weil sie nur verhindert, dass ein einzelner Inhalt gespeichert wird; du kannst trotzdem jederzeit über das Supportformular verlangen, dass ein Mensch sie überprüft, deinen Standpunkt darlegen und sie anfechten.

Wenn ein privates Foto zurückgehalten wird. Beanstandet die Prüfung ein Foto eines deiner Exemplare – auch eines aus dem Import von Verpackungsfotos – und hält es deshalb zurück, kann eine Person aus der Administration es sich ansehen, um zu entscheiden, ob sie es freigibt. Ein Foto, das nur zurückgehalten wird, weil die Prüfung nicht laufen konnte, sieht sich niemand an; es wartet auf die nächste automatische Prüfung. Das Foto wird erst geladen, wenn diese Person es ausdrücklich öffnet, und nicht zwischengespeichert. Jedes Ansehen wird im Audit-Protokoll nach Ziffer 8.9 festgehalten: wer es angesehen hat, wann, welches Foto es war und zu welchem Konto es gehört. Wird es freigegeben, wird es wieder so gezeigt wie vorher. Verstößt es gegen Ziffer 4.3 oder 5 der Nutzungsbedingungen, kann diese Person es löschen; du erhältst dann per E-Mail eine Begründung und kannst Einwand erheben, wie sie es beschreibt.

Benachrichtigung der Administration per E-Mail. Wartet etwas auf eine Entscheidung der Administration – eine Supportanfrage oder ein Einwand gegen eine automatische Prüfung (Ziffer 8.7), eine Meldung (Ziffer 8.8), ein Veranstaltungsvorschlag (Ziffer 8.4), ein nach dieser Ziffer zurückgehaltener Inhalt oder ein Vorschlag für den Katalog –, erhält jedes Konto mit der Rolle Administrator darüber eine E-Mail; was innerhalb von etwa zehn Minuten eintrifft, kommt in eine gemeinsame E-Mail. Sie enthält, was für die Entscheidung nötig ist – etwa Name und E-Mail-Adresse der Person, die eine Anfrage gestellt hat, ihre Nachricht und das Ergebnis der automatischen Prüfung – und von Bildern, um die es geht, eine verkleinerte Kopie als Anhang der E-Mail, auch von privaten Fotos deiner Exemplare und aus dem Import von Verpackungsfotos. Versandt wird sie über den E-Mail-Dienstleister nach Ziffer 7.3; danach liegt sie im Postfach der jeweiligen Person aus der Administration, die sie nur zur Bearbeitung nutzt und löscht, sobald sie nicht mehr gebraucht wird. Entschieden wird erst nach Anmeldung in BrickDb. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist es, Anfragen, Meldungen und zurückgehaltene Inhalte zügig zu bearbeiten.

Was wir speichern. Zu jeder Prüfung speichern wir, welcher Inhalt geprüft wurde (seine Art und sein Schlüssel) und zu welchem Konto er gehört, das Ergebnis und gegebenenfalls den Grund, aus dem nicht geprüft werden konnte, die Bewertung je Kategorie, die Nummern getroffener Einträge der Sperrliste (nicht die Begriffe), die Fassung des Dienstes und unserer Schwellen, einen Prüfwert (Hash) des Inhalts, damit ein unveränderter Inhalt nicht erneut gesendet wird, die abgerechneten Einheiten und den Zeitpunkt – den Text oder das Bild selbst nicht. Außerdem zählen wir je Konto, wie viele Bilder und Texteinheiten im laufenden Monat geprüft wurden; der Zähler beginnt jeden Monat neu. Ein Prüfergebnis wird gelöscht, wenn der geprüfte Inhalt gelöscht wird, spätestens mit deinem Konto; bleibt ein Inhalt nach der Löschung deines Kontos bestehen – eine Sammlung, die ein anderes Mitglied weiterführt, oder eine genehmigte Veranstaltung (Ziffer 8.4) –, bleibt sein Prüfergebnis ohne Verknüpfung zu dir erhalten. Prüfergebnisse und der Zähler sind in der Kopie deiner Daten nach Ziffer 14 enthalten; für Sicherungskopien gilt Ziffer 13.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist es, die Inhalte, die BrickDb speichert und anderen zeigt, von rechtswidrigem und schädlichem Material freizuhalten – zum Schutz der Besucherinnen und Besucher, darunter Kinder, und im Rahmen der Sorgfalt, die ein Anbieter von Hostingdiensten nach der Verordnung (EU) 2022/2065 (Gesetz über digitale Dienste) aufbringt –, bei privaten Fotos auch, solche Inhalte weder auf unseren Systemen zu speichern noch an die Mitglieder einer geteilten Sammlung auszuliefern. Gegen eine Verarbeitung auf Grundlage berechtigter Interessen kannst du über die Kontaktdaten in Ziffer 2 Widerspruch einlegen.

Stand dieser Fassung: Die Prüfung lässt sich zentral ein- und ausschalten. Solange sie ausgeschaltet ist, wird nichts an Microsoft übertragen und Inhalte werden ohne sie angezeigt; wir vermerken dann nur, dass ein Inhalt nicht geprüft wurde, und holen die Prüfung nach dem Einschalten nach.

8.13 Schutz der Formulare vor Spam (Cloudflare Turnstile)

Das Supportformular unter /support, das Formular, mit dem du Inhalte auf der Seite meldest, die sie zeigt — eine Veranstaltung oder ihren Flyer auf der Seite /events, eine veröffentlichte Sammlung, ein MOC, ein geteiltes Mosaik, einen geteilten QR-Code, ein geteiltes Steintext-Schild oder ein Foto eines Geschäfts —, und „Flyer fotografieren“ auf /events (Ziffer 8.4) kann jeder ohne Konto nutzen. Damit sie nicht automatisiert und massenhaft missbraucht werden, prüft BrickDb vor dem Absenden mit dem Dienst Turnstile der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, ob das Formular von einem Menschen ausgefüllt wird. Dein Browser lädt dafür ein Skript von Cloudflare und zeigt ein kleines Prüffeld an — nur auf den Seiten mit einem dieser Formulare, und dort erst, wenn du ein Meldeformular oder „Flyer fotografieren“ öffnest (auf /support beim Öffnen der Seite), und auf keiner anderen Seite. Meist läuft die Prüfung ohne dein Zutun; selten bittet sie dich, ein Kästchen anzuklicken. Ihr Ergebnis ist ein nur einmal verwendbares Kennzeichen, das mit dem Formular gesendet wird; der Server von BrickDb fragt Cloudflare, ob es gültig ist, und speichert oder versendet das Formular nur dann. Bei „Flyer fotografieren“ wird die Prüfung einmal vor dem Auslesen des Flyers und einmal vor dem Einreichen verlangt, und nur, wenn du nicht angemeldet bist. In der BrickDb-App gibt es das Meldeformular nur, wenn du angemeldet bist, und dort findet keine Prüfung durch Cloudflare statt: An ihre Stelle tritt dein Konto, und die Meldung wird ohne Verbindung zu deinem Konto gespeichert.

Was verarbeitet wird. Beim Laden der Prüfung erhält Cloudflare von deinem Browser deine IP-Adresse, die Kennung deines Browsers (User-Agent), Merkmale der verschlüsselten Verbindung (TLS-Fingerabdruck), den Websiteschlüssel und die Adresse der Seite sowie Merkmale deines Browsers und Geräts und deiner Interaktion mit dem Prüffeld, die das Skript in deinem Browser ausliest. Auf einer Seite, die du über einen geteilten Link geöffnet hast — ein geteiltes MOC, ein geteiltes Mosaik, ein geteilter QR-Code oder ein geteiltes Steintext-Schild —, enthält die Adresse der Seite diesen Link; öffnest du dort das Meldeformular, erhält Cloudflare also auch den Link. Der Server von BrickDb sendet Cloudflare nur das Kennzeichen — nicht deine IP-Adresse und nichts von dem, was du in das Formular geschrieben hast; der Inhalt des Formulars erreicht Cloudflare nie. BrickDb speichert weder das Kennzeichen noch das Ergebnis der Prüfung und legt dafür nichts auf deinem Endgerät ab; was die Prüfung selbst in ihrem Rahmen von Cloudflare ablegt, bestimmt Cloudflare.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist es, die Formulare, die ohne Konto erreichbar sind, und die Menschen, die sie lesen und beantworten, vor automatisiertem Spam und Missbrauch zu schützen. Der Zugriff auf Informationen in deinem Endgerät, den die Prüfung voraussetzt, ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, weil er unbedingt erforderlich ist, damit wir den Dienst erbringen können, den du ausdrücklich angefordert hast: das Absenden des Formulars. Gegen die Verarbeitung kannst du über die Kontaktdaten in Ziffer 2 Widerspruch einlegen; ohne die Prüfung lässt sich das Formular nicht absenden, per E-Mail erreichst du uns aber jederzeit.

Empfänger und Drittlandsübermittlung: Empfänger ist die Cloudflare, Inc.; die Daten können dabei in die Vereinigten Staaten übermittelt werden. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO besteht. Nach den Angaben von Cloudflare zu Turnstile werden die Daten nur verwendet, um Bots zu erkennen und abzuwehren und diese Erkennung zu verbessern.

Rolle von Cloudflare und Speicherdauer: Nach dem Datenschutzhinweis von Cloudflare zu Turnstile (Stand 18. Juni 2025) ist Cloudflare Auftragsverarbeiter für die Daten, die es verarbeitet, um uns die Prüfung bereitzustellen („a data processor of Signals that we process to provide the Turnstile service to our customers“), und selbst Verantwortlicher, soweit es dieselben Daten nutzt, um seine Bot-Erkennung zu verbessern („a data controller of Signals that we process to improve Turnstile’s bot detection capabilities“). Eine Speicherdauer nennt Cloudflare in diesem Hinweis nicht; für die Verarbeitung als Verantwortlicher gilt die Datenschutzerklärung von Cloudflare. Bei BrickDb wird zur Prüfung nichts gespeichert.

8.14 Fotomosaik

Wenn du im Fotomosaik unter /mosaic ein Foto auswählst, wird es nicht hochgeladen und nicht gespeichert. Dein Gerät öffnet das Foto selbst und verkleinert den gewählten Ausschnitt auf einen Bildpunkt je Noppe, höchstens 96 × 96 Bildpunkte. Nur diese verkleinerte Fassung verlässt auf der Website deinen Browser: Sie geht über die bestehende Verbindung an unseren Webserver nach Ziffer 4, der daraus die Steinfarben wählt und die Vorschau zeichnet. Der Webserver hält sie ausschließlich im Arbeitsspeicher, solange die Seite geöffnet ist, und verwirft sie danach; sie wird nicht gespeichert, nicht protokolliert, nicht an Dritte übermittelt und nicht zum Trainieren von Modellen verwendet. In der App geschieht auch die Farbwahl auf deinem Gerät; dort verlässt nichts von dem Foto das Gerät. Für das Fotomosaik brauchst du kein Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung erbringt die von dir angeforderte Mosaikvorschau.

Speichern und per Link teilen. Bist du angemeldet, kannst du ein Mosaik in deinem Konto speichern. Gespeichert werden der Name, den du ihm gibst, die gewählten Platten und das Element, die verwendeten Farben, die Farbe jeder Noppe und die Zeitpunkte des Speicherns und Teilens — nie das Foto. Ein gespeichertes Mosaik siehst nur du, bis du es teilst. Teilst du es, erzeugen wir einen zufälligen Link, der sich nicht erraten lässt; wer ihn hat, sieht das Mosaik mit Teileliste und Bauanleitung, aber weder deinen Namen noch den Namen, den du dem Mosaik gegeben hast. Bevor der Link etwas zeigt, wird das aus dem Mosaik gezeichnete Bild nach Ziffer 8.12 automatisch geprüft: Hält die Prüfung es zurück, zeigt der Link nichts, bis eine Person es angesehen hat; lehnt sie es ab, wird nichts geteilt. Jede Person mit dem Link kann das Mosaik nach Ziffer 8.8 melden; wird die Meldung bestätigt, nehmen wir den Link zurück. Ein geteilter Link wird von Suchmaschinen nicht aufgenommen, nicht an Dienste zur Reichweitenmessung übermittelt und beim Verlassen der Seite nicht als Herkunftsadresse weitergegeben. Du kannst den Link jederzeit zurückziehen und ein Mosaik jederzeit löschen. Gespeicherte Mosaike bleiben gespeichert, bis du sie oder dein Konto löschst; sie sind Teil des Datenexports nach Ziffer 14 und werden mit deinem Konto gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Speichern und Teilen sind die von dir angeforderte Leistung; für die Prüfung des geteilten Bildes und für Meldungen gelten die Ziffern 8.12 und 8.8.

Kreativmosaik. Ein Kreativmosaik speicherst und teilst du auf dieselbe Weise. Gespeichert werden dann zusätzlich die Bereiche, die du im Bild markiert hast, die gewählten Teilefamilien und Farben, die Teile so, wie sie gelegt wurden, die Akzente sowie Name und Farbwert jeder verwendeten Farbe, wie sie beim Speichern waren — auch hier nie das Foto. Beim Teilen wird das fertige Bild mit allen Teilen geprüft, so wie der Link es zeigt.

Bauanleitung als PDF. Forderst du für ein Kreativmosaik die Bauanleitung als PDF an, schickt die Seite uns den Entwurf — die Platten, die Farbe jeder Noppe, die markierten Bereiche, Teilefamilien, Farben und Einstellungen der Füllung, die Akzente und die Texte der Anleitung in deiner Sprache —, nie das Foto. Das PDF wird im Hintergrund auf unseren Servern nach Ziffer 4 erstellt; du musst die Seite dafür nicht geöffnet lassen. Dafür speichern wir einen Auftrag mit dem Entwurf, der Sprache, dem Bearbeitungsstand und den Zeitpunkten — bist du angemeldet, auch mit deiner Konto-Kennung — und das fertige PDF in der Dateiablage nach Ziffer 4. Der Link zum PDF ist zufällig und lässt sich nicht erraten; wir speichern von ihm nur einen nicht umkehrbaren Hashwert. Er funktioniert 24 Stunden ab der Fertigstellung; danach werden PDF und Auftrag gelöscht, spätestens 48 Stunden nach der Fertigstellung, und ein Auftrag, aus dem kein PDF wurde, spätestens 48 Stunden nach der Anforderung. Forderst du die Anleitung danach noch einmal an, wird sie neu erstellt. Dass sie fertig ist, zeigt dir die Website oder die App mit einem Hinweis an, solange du sie geöffnet hast. Bist du angemeldet, schicken wir dir zusätzlich eine E-Mail über den Versanddienstleister nach Ziffer 7.3 und, wenn du in der App Push-Mitteilungen eingeschaltet hast, eine Push-Mitteilung über OneSignal nach Ziffer 10.4. Beide nennen nur die Seitenzahl und die 24 Stunden, nichts vom Entwurf, und führen zu „Deine Anleitungen“ in deinem Konto, nicht zum Link selbst. Beide sind eingeschaltet, bis du sie im Konto unter „Benachrichtigungen“ bei „Dateien, die du angefragt hast“ ausschaltest, E-Mail und Push getrennt. Ohne Anmeldung erfährst du es nur auf der Seite, und der Auftrag nennt niemanden. Ein Auftrag mit deiner Konto-Kennung ist, solange er besteht, Teil der Kopie deiner Daten nach Ziffer 14 und wird mit deinem Konto gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erstellen und Bereithalten der Anleitung und die Nachricht, dass sie fertig ist, sind die von dir angeforderte Leistung; für die Push-Mitteilung auf deinem Gerät gilt zusätzlich Ziffer 10.4.

Bauanleitung für einen Schriftzug aus Steinen. Forderst du für einen Schriftzug aus Steinen die Bauanleitung als PDF an, wird sie genauso im Hintergrund erstellt, bereitgehalten, angekündigt und gelöscht wie die eines Kreativmosaiks im Absatz davor. Die Seite schickt uns dafür den Entwurf — den Text, den du eingegeben hast, die Schrift, die Buchstabenhöhe, die Bauweise, die Farben, den Rahmen und die Stütze — und die Texte der Anleitung in deiner Sprache. Weil sich die Anleitung ohne deinen Text nicht zeichnen lässt, steht er im gespeicherten Auftrag und im PDF, beide nur so lange wie dort beschrieben: 24 Stunden ab der Fertigstellung, gelöscht spätestens 48 Stunden nach der Fertigstellung. Deinen Text schreiben wir in kein Protokoll und in keinen Fehlerbericht, und die E-Mail und die Push-Mitteilung nennen ihn nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Erstellen und Bereithalten der Anleitung sind die von dir angeforderte Leistung.

8.15 Training der Bilderkennung mit deinen Fotos (freiwillig)

Auf deiner Kontoseite unter /account kannst du erlauben, dass wir die Fotos deiner eigenen Exemplare nach Ziffer 8.2 und die daraus erzeugten verkleinerten Fassungen verwenden, um die Bilderkennung von BrickDb zu trainieren und zu prüfen — etwa damit sie einmal auf einem Foto erkennen kann, ob eine Minifigur vollständig ist. Diese Einwilligung ist freiwillig und zunächst ausgeschaltet. Sie ist eine eigene Erklärung, getrennt vom Nutzungsrecht an deinen Fotos nach Ziffer 4.2 der Nutzungsbedingungen, das kein Training umfasst, und keine Funktion von BrickDb hängt von ihr ab.

Was erfasst ist. Solange die Einwilligung besteht, alle Fotos deiner eigenen Exemplare — auch die, die du vor der Einwilligung hochgeladen hast, und die, die du später hinzufügst — samt ihren verkleinerten Fassungen. Nicht erfasst sind Fotos, die die automatische Prüfung nach Ziffer 8.12 zurückhält, die Bilder deiner eigenen Kreationen (MOCs), dein Avatarbild, Flyer zu Veranstaltungen und Fotos, die noch auf ihren Import warten. Die Fotos sind bereits von Metadaten bereinigt (Ziffer 8.2).

Kopie in unseren Speicher für Trainingsdaten. Solange die Einwilligung besteht, kopieren wir jedes erfasste Foto nachts in einen eigenen, nur für Trainingsdaten bestimmten Speicher von BrickDb auf der Hosting-Plattform nach Ziffer 4, bei Microsoft als Auftragsverarbeiterin. Er ist nicht öffentlich; Zugriff haben nur unser nächtlicher Importdienst und die Administration. Mit dem Foto legen wir dort nichts über dich ab — weder deinen Namen noch deine Konto-Kennung, deine Notizen oder Angaben zu deinem Exemplar —, sondern nur eine Kennung des Fotos, die allein unsere Datenbank deinem Konto zuordnen kann, und die Nummer des Sets aus dem Katalog, das das Foto zeigt. Je Nacht werden höchstens 500 Fotos kopiert, viele Fotos also über mehrere Nächte. Wir verwenden die Kopien ausschließlich, um die Bilderkennung von BrickDb zu trainieren und zu prüfen.

Wer, wo und wie lange. Trainieren und prüfen wird ausschließlich die Verantwortliche nach Ziffer 2 selbst, auf der Hosting-Plattform nach Ziffer 4; die Fotos und ihre Kopien werden dafür nicht an Dritte weitergegeben, und Empfängerin ist allein Microsoft als Auftragsverarbeiterin nach Ziffer 4. Derzeit wird kein Modell trainiert. Bevor ein Modell mit den Kopien trainiert wird, ergänzen wir diese Ziffer um Art, Ort und Dauer des Trainings und um die Speicherdauer eines trainierten Modells, und ändert sich dadurch etwas Wesentliches, fragen wir dich erneut. Speicherdauer: Eine Kopie bleibt, solange deine Einwilligung besteht und das Foto bei BrickDb gespeichert ist. Widerrufst du die Einwilligung, löschst du das Foto oder dein Konto, hält die automatische Prüfung nach Ziffer 8.12 das Foto zurück oder endet die Einwilligung bei einer Zusammenführung zweier Konten, löschen wir die Kopie in der folgenden Nacht, in aller Regel also innerhalb eines Tages, zusammen mit jedem Verzeichnis unserer Trainingsdaten, das sie nannte. Die Einwilligung verlängert nicht, wie lange deine Fotos gespeichert werden.

Widerruf. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, mit demselben Schalter, mit dem du sie gegeben hast, oder bei der erneuten Frage nach dem folgenden Absatz. Mit dem Widerruf sind sofort alle deine Fotos nicht mehr zum Training freigegeben, und ihre Kopien in unserem Speicher für Trainingsdaten werden in der folgenden Nacht gelöscht; dass sie zu entfernen sind, vermerken wir bei deinem Widerruf. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Einwilligungen vor dem 3. November 2026. Die Kopie in unseren Speicher für Trainingsdaten gibt es seit dem 3. November 2026, und dafür haben wir den Erklärungstext geändert. Hast du vorher eingewilligt, bleibt deine Einwilligung bestehen, aber wir kopieren kein Foto von dir, bis du dem neuen Text zugestimmt hast. Wir fragen dich danach nach deiner nächsten Anmeldung auf der Website oder in der App und auf deiner Kontoseite. Stimmst du zu, werden deine Fotos ab der folgenden Nacht kopiert. Wählst du „Jetzt nicht“ oder antwortest du nicht, bleibt alles, wie es war, es wird nichts kopiert, und wir fragen bei einer späteren Anmeldung erneut. Ein Widerruf einer solchen früheren Einwilligung vermerkt weiterhin, dass keine Trainingsdaten erstellt oder weitergegeben wurden.

Nachweis. Jede Einwilligung und jeden Widerruf speichern wir mit dem Zeitpunkt und der Fassung des Erklärungstextes, damit wir nachweisen können, dass und wozu du eingewilligt hast (Art. 7 Abs. 1 DSGVO). Diese Einträge sind Teil der Kopie deiner Daten nach Ziffer 14 und werden mit deinem Konto gelöscht. Führst du zwei Konten zusammen und hatte nur eines eingewilligt, während das andere Fotos hat, wird die Einwilligung dabei widerrufen, damit sie sich nicht auf Fotos erstreckt, für die sie nicht gegeben wurde.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung; für den Nachweis Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

8.16 Merchandise, das du dem Katalog hinzufügst (mit Foto)

Angemeldet kannst du auf der Seite /merchandise/contribute LEGO-Merchandise hinzufügen, das im Katalog fehlt: einen Artikel oder eine weitere Farbe eines gelisteten Artikels, in der einen Größe, die du besitzt. Dein Exemplar kommt sofort in deine Sammlung, als „wartet auf Prüfung“ markiert; niemand sonst sieht den Beitrag, bis eine Person aus der Administration ihn freigibt. Zum Beitrag kannst du ein Foto deines Artikels anhängen — freiwillig. Der Zweck ist, dass die Administration prüfen kann, ob der Artikel so existiert, wie du ihn beschreibst, und Doppelungen erkennt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — der von dir angeforderte Beitrag samt Exemplar in deiner Sammlung; für die Prüfung und das Ansehen durch die Administration Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: nur geprüfte Angaben in den Katalog zu übernehmen und ihn von rechtswidrigem Material freizuhalten).

Was wir speichern. Zum Beitrag speichern wir, welches Konto ihn eingereicht hat (die einzige Stelle im Katalog, die dich nennt), den Namen des Artikels, Hersteller, Jahr, Farbe, Set-Nummer und Größe, den Zeitpunkt, die Entscheidung der Administration mit ihrem Zeitpunkt und bei einer Ablehnung die Begründung, die dir gezeigt wird. Das Foto wird wie jedes Foto auf BrickDb bereinigt — das Format wird an den Bytes erkannt, das Bild neu kodiert und alle Metadaten einschließlich GPS-Koordinaten entfernt (Ziffer 8.2) — und als eigene Kopie in unserem Speicher nach Ziffer 4 abgelegt, nie als Verweis auf ein fremdes Bild. Es gibt ein Foto je Beitrag, und es lässt sich nur anhängen, solange der Beitrag auf Prüfung wartet.

Automatische Prüfung. Der Text des Beitrags und das Foto werden beim Einreichen nach Ziffer 8.12 automatisch geprüft; für das Foto wird die dort beschriebene verkleinerte Kopie an Microsoft als Auftragsverarbeiterin übermittelt. Ein abgelehntes Foto wird gelöscht und nicht gespeichert. Beanstandet die Prüfung es oder kann sie nicht laufen, wird es gespeichert, aber zurückgehalten: Auch wenn der Beitrag freigegeben wird, sehen es nur du und die Administration, bis eine erneute automatische Prüfung oder eine Person es freigibt (Ziffer 4.7 der Nutzungsbedingungen).

Wer das Foto sieht. Eine Person aus der Administration sieht sich das Foto an, um über den Beitrag zu entscheiden — auch wenn die automatische Prüfung nichts beanstandet hat; das unterscheidet es von den privaten Fotos nach Ziffer 8.12, die sich die Administration nur ansieht, wenn die Prüfung sie beanstandet hat. Das Foto wird erst geladen, wenn sie es ausdrücklich öffnet, und nicht zwischengespeichert. Jedes Ansehen wird im Audit-Protokoll nach Ziffer 8.9 festgehalten: wer es angesehen hat, wann und zu welchem Beitrag. Hält die automatische Prüfung das Foto zurück, hebt die Freigabe des Beitrags diese Zurückhaltung nur auf, wenn dieselbe Person das Foto vorher angesehen hat; sonst bleibt es zurückgehalten. Öffentlich wird das Foto heute nicht gezeigt: keine Seite von BrickDb zeigt es jemand anderem als dir und der Administration, auch nach der Freigabe nicht. Wollen wir es künftig auf einer öffentlichen Seite zeigen, ergänzen wir vorher diese Ziffer. Wird ein Beitrag mit einem bereits gelisteten Artikel zusammengeführt, weil er eine Doppelung war, bleibt sein Foto zwischen dir und der Administration.

Wie lange. Solange der Beitrag wartet, kannst du das Foto jederzeit entfernen; es wird dann samt seinen Prüfergebnissen gelöscht. Lehnt die Administration den Beitrag ab, wird das Foto gelöscht; du siehst die Begründung. Wird der Beitrag freigegeben oder zusammengeführt, bleibt das Foto gespeichert — weiter nicht öffentlich — bis du dein Konto löschst, und lässt sich nicht mehr einzeln entfernen. Der freigegebene Artikel selbst bleibt im Katalog und nennt dich nicht.

Datenkopie, Löschung, Zusammenführung. Dein Beitrag und sein Foto sind Teil der Kopie deiner Daten nach Ziffer 14; das Foto liegt dort als Datei im Archiv. Löschst du dein Konto, werden der Beitrag, sein Foto und die Prüfergebnisse des Fotos gelöscht, auch bei einem freigegebenen Beitrag; der Artikel im Katalog bleibt, ohne auf dich zu verweisen. Führst du zwei Konten zusammen, geht der Beitrag mit seinem Foto auf das verbleibende Konto über. Das Foto ist kein Foto eines deiner Exemplare nach Ziffer 8.2 und fällt deshalb nie unter die Einwilligung nach Ziffer 8.15.

8.17 QR-Code aus Steinen

Was du im QR-Code aus Steinen unter /qr-code eingibst — etwa eine Webadresse, eine Kontaktkarte oder den Namen und das Passwort eines WLANs —, wird dort zum Code, wo die Seite läuft: auf der Website über die bestehende Verbindung auf unserem Webserver nach Ziffer 4, in der App auf deinem Gerät. Der Webserver hält es ausschließlich im Arbeitsspeicher, solange die Seite geöffnet ist, und verwirft es danach; es wird nicht gespeichert, nicht protokolliert, nicht an Dritte übermittelt und nicht zum Trainieren von Modellen verwendet. Forderst du die druckbare Bauanleitung an, wird sie wie die eines Kreativmosaiks nach Ziffer 8.14 Schritt für Schritt im Hintergrund erstellt: Die Seite schickt unseren Servern nach Ziffer 4 die Farbe jeder Noppe, die gewählten Platten und das Element, ob der Code aus größeren Platten gebaut ist, die Texte der Anleitung in deiner Sprache und die in der Fußzeile gedruckte Domain (in der App aus deinem Land abgeleitet), und wir speichern den Auftrag mit diesen Angaben und das fertige PDF 24 Stunden lang, wie es Ziffer 8.14 beschreibt; weil sich der gebaute Code lesen lässt, steckt dein Inhalt allerdings auch in diesem Raster und damit in Auftrag und PDF. Deshalb erstellen wir diese Anleitung nie für einen Code, der in ein WLAN führt. Für einen solchen Code und überall dort, wo die Anleitung in Schritten nicht angeboten wird, ist die druckbare Anleitung der Abschnittsplan: Für ihn werden nur die Farbe jeder Noppe, die Beschriftungen und Angaben der Seite (Titel, Größe, Sprache) und die in der Fußzeile gedruckte Domain an unsere Server nach Ziffer 4 gesendet, die daraus die PDF-Datei zeichnen und nichts davon speichern oder protokollieren. Wer den gebauten Code scannt, kann lesen, was er enthält — bei einem WLAN also das Passwort. Für den QR-Code aus Steinen brauchst du kein Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung erbringt den von dir angeforderten Code samt Teileliste und Bauanleitung.

Im Konto speichern. Bist du angemeldet, kannst du einen QR-Code in deinem Konto speichern. Gespeichert werden der Name, den du ihm gibst, die gewählten Platten und das Element, die verwendeten Farben, die Farbe jeder Noppe, ob er aus größeren Platten gebaut ist, und der Zeitpunkt des Speicherns — nicht der Text, den du eingegeben hast. Weil sich der gebaute Code lesen lässt, steckt dein Inhalt allerdings in diesem Raster, und wer das Raster liest, liest auch den Inhalt. Deshalb wird ein Code, der in ein WLAN führt, nie gespeichert: Unser Server liest jedes Raster vor dem Speichern so, wie eine Kamera es lesen würde, und weist es zurück, wenn es ein WLAN enthält. Einen gespeicherten QR-Code siehst nur du, bis du ihn teilst. Du kannst ihn jederzeit löschen; er bleibt gespeichert, bis du ihn oder dein Konto löschst, ist Teil des Datenexports nach Ziffer 14 und wird mit deinem Konto gelöscht. Gespeicherte QR-Codes und die Mosaike nach Ziffer 8.14 zählen gemeinsam zur Höchstzahl, die ein Konto behält. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — das Speichern ist die von dir angeforderte Leistung.

Per Link teilen. Einen gespeicherten QR-Code kannst du per Link teilen. Wir erzeugen dafür einen zufälligen Link, der sich nicht erraten lässt; wer ihn hat, sieht den Code mit Teileliste und Bauanleitung und kann ihn scannen, aber weder deinen Namen noch den Namen, den du ihm gegeben hast. Erst wenn du teilst, liest unser Server die gespeicherten Noppen so, wie eine Kamera sie lesen würde, und prüft den Text, den sie enthalten, nach Ziffer 8.12 automatisch; einen QR-Code, den du nicht teilst, prüfen wir nicht. Hält die Prüfung den Text zurück, zeigt der Link nichts, bis eine Person ihn angesehen hat; lehnt sie ihn ab, wird nichts geteilt. Den gelesenen Text speichern wir nicht; wer in der Administration den Code prüft, liest ihn erneut aus den Noppen. Jede Person mit dem Link kann den Code nach Ziffer 8.8 melden; wird die Meldung bestätigt, nehmen wir den Link zurück. Ein geteilter Link wird von Suchmaschinen nicht aufgenommen, nicht an Dienste zur Reichweitenmessung übermittelt und beim Verlassen der Seite nicht als Herkunftsadresse weitergegeben. Du kannst den Link jederzeit zurückziehen. Ein Code, der in ein WLAN führt, lässt sich nicht teilen, weil er nie gespeichert wird. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — das Teilen ist die von dir angeforderte Leistung; für die Prüfung des geteilten Textes und für Meldungen gelten die Ziffern 8.12 und 8.8.

8.18 Läden und Veranstaltungen in der Nähe eines Ortes oder in deiner Nähe

Suche nach einem Ort. Gibst du in der Ladensuche unter /stores oder in den Veranstaltungen unter /events einen Ort, eine Adresse oder eine Postleitzahl ein, sendet unser Server diesen Text an den Dienst Azure Maps der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, als Auftragsverarbeiterin nach Art. 28 DSGVO auf Grundlage des Microsoft Products and Services Data Protection Addendum, um ihn in Koordinaten umzurechnen. Die Verbindung baut der Server von BrickDb auf, nicht dein Browser: Microsoft erhält den eingegebenen Text und sonst nichts über dich, auch nicht deine IP-Adresse; Azure Maps verarbeitet und speichert die Anfrage in seiner europäischen Region. Damit dieselbe Suche nicht zweimal bezahlt wird, hält unser API-Server die Antwort — den Namen und die Koordinaten des Ortes, nicht wer gesucht hat — bis zu 24 Stunden im Arbeitsspeicher. Der eingegebene Ort steht in der Adresse der Ergebnisseite, damit du sie teilen kannst; Suchmaschinen nehmen diese Seite nicht auf. Um Missbrauch zu begrenzen, zählt unser API-Server die Suchen der letzten Minute je IP-Adresse (bei IPv6 je /64-Netz) im Arbeitsspeicher und lässt höchstens zehn je Minute zu.

In meiner Nähe. Tippst du auf „In meiner Nähe“, fragt dein Browser dich, ob er deinen Standort teilen darf; ohne dein Tippen und ohne deine Erlaubnis im Browser wird er nie abgefragt. Erlaubst du es, rundet die Seite den Standort auf etwa 100 Meter und sendet ihn einmal über die bestehende Verbindung an unseren Webserver nach Ziffer 4, der ihn an unseren API-Server weitergibt, um die Läden oder Veranstaltungen im gewählten Umkreis herauszusuchen. Der Standort wird nicht gespeichert, nicht protokolliert, nicht in die Adresse der Seite geschrieben und nicht an Dritte übermittelt — auch nicht an Azure Maps. In unseren Apps fragt statt des Browsers das Betriebssystem deines Geräts beim ersten Tippen um Erlaubnis, und die App erbittet dabei nur deinen ungefähren Standort; sie rundet ihn ebenso, sendet ihn einmal direkt an unseren API-Server und behandelt ihn genauso. Eine Suche in der Nähe eines Ortes oder in deiner Nähe umfasst alle Länder. Für beides brauchst du kein Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung erbringt die von dir angeforderte Suche; für deinen Standort zusätzlich deine Erlaubnis im Browser oder in den Einstellungen deines Geräts, die du dort jederzeit zurücknehmen kannst; die Begrenzung je IP-Adresse beruht auf Art. 6 Abs. 1 lit. f DSGVO, unserem berechtigten Interesse, den Dienst und seine Kosten vor Missbrauch zu schützen.

Orte der Veranstaltungen. Wird eine Veranstaltung freigegeben — oder sucht eine Administratorin bzw. ein Administrator später die Orte bereits freigegebener Veranstaltungen —, sendet unser Server den Namen des Veranstaltungsorts und das Land an Azure Maps, um den Ort für die Umkreissuche zu bestimmen; Angaben über die Person, die die Veranstaltung eingereicht hat, werden dabei nicht übermittelt. Gespeichert werden die gefundenen Koordinaten und die Bezeichnung des Ortes bei der Veranstaltung; ein nur ungefähr gefundener Ort wird erst nach Bestätigung durch eine Administratorin bzw. einen Administrator verwendet. Diese Angaben beschreiben den Veranstaltungsort, nicht die einreichende Person, und sind deshalb nicht Teil des Datenexports nach Ziffer 14. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, Veranstaltungen in der Nähe auffindbar zu machen.

8.19 Läden, die du der Ladensuche hinzufügst oder korrigierst

Angemeldet kannst du auf der Seite /stores/add einen Laden, der LEGO verkauft, zur Ladensuche hinzufügen und auf der Seite eines veröffentlichten Ladens eine Änderung vorschlagen, etwa andere Öffnungszeiten. Niemand sonst sieht deinen Beitrag; er erscheint erst in der Ladensuche, wenn eine Person aus der Administration ihn geprüft und freigegeben hat. Gib bitte nur Angaben zum Geschäft ein, die der Laden selbst öffentlich macht, und keine privaten Kontaktdaten von Personen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — der von dir angeforderte Beitrag; für die Prüfung und Veröffentlichung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: nur geprüfte Läden in die Ladensuche zu übernehmen und anderen Besuchern verlässliche Angaben zu zeigen).

Was wir speichern. Zu jedem Beitrag speichern wir, welches Konto ihn eingereicht hat, ob es ein neuer Laden oder eine vorgeschlagene Änderung ist, den Laden, den er betrifft, bei einer Änderung die vorgeschlagenen Angaben so, wie du sie gesendet hast, den Zeitpunkt, die Entscheidung der Administration mit ihrem Zeitpunkt und bei einer Ablehnung die Begründung, die dir gezeigt wird. Du kannst höchstens fünf Läden am Tag hinzufügen oder korrigieren. Die Angaben des Ladens selbst — Name, Adresse, Koordinaten, Kategorien, Ausstattung, Telefon, E-Mail, Website, Öffnungszeiten und Beschreibung — sind nach der Freigabe öffentlich; die Ladensuche nennt dabei weder dich noch dein Konto.

Automatische Prüfung. Die Texte deines Beitrags werden beim Einreichen nach Ziffer 8.12 automatisch geprüft und dafür an Microsoft als Auftragsverarbeiterin übermittelt. Lehnt die Prüfung sie ab, wird der Beitrag nicht gespeichert. Das Ergebnis der Prüfung wird gespeichert und der Administration bei ihrer Entscheidung als Hinweis gezeigt; die Entscheidung selbst wird im Audit-Protokoll nach Ziffer 8.9 festgehalten.

Fotos von Läden. Angemeldet kannst du auf der Seite eines veröffentlichten Ladens ein Foto hinzufügen, das du innen oder außen aufgenommen hast. Wir speichern eine eigene Kopie in unserem Speicher nach Ziffer 4 — das Format wird an den Bytes erkannt, das Bild neu kodiert und alle Metadaten einschließlich GPS-Koordinaten entfernt (Ziffer 8.2) — und dazu, welches Konto es hinzugefügt hat, ob innen oder außen, den Zeitpunkt und die Entscheidung der Administration mit Zeitpunkt und gegebenenfalls Begründung. Das Foto wird nach Ziffer 8.12 automatisch geprüft; dafür geht die dort beschriebene verkleinerte Kopie an Microsoft als Auftragsverarbeiterin, und ein abgelehntes Foto wird gelöscht. Eine Person aus der Administration sieht sich jedes Foto an, bevor sie es freigibt; jedes Ansehen wird im Audit-Protokoll nach Ziffer 8.9 festgehalten. Erst nach der Freigabe zeigt die Seite des Ladens das Foto allen Besuchern, ohne dich zu nennen (Ziffer 4.8 der Nutzungsbedingungen). Fotografiere keine erkennbaren Personen ohne ihre Zustimmung. Wer auf einem freigegebenen Foto zu sehen ist oder es aus einem anderen Grund für unzulässig hält, kann es unter dem Foto nach Ziffer 8.8 melden; wird die Meldung bestätigt, nehmen wir das Foto herunter und löschen die Datei, und du erfährst den Grund. Du kannst jedes deiner Fotos jederzeit entfernen, auch ein freigegebenes; lehnt die Administration ein Foto ab oder nimmt es herunter, wird die Datei gelöscht und du siehst die Begründung. Deine Fotos sind Teil der Kopie deiner Daten nach Ziffer 14 — als Dateien im Archiv —, werden mit deinem Konto gelöscht, auch freigegebene, und gehen bei einer Zusammenführung auf das verbleibende Konto über. Ein solches Foto fällt nie unter die Einwilligung nach Ziffer 8.15. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für das Hinzufügen; für Prüfung und Veröffentlichung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: anderen Besuchern zu zeigen, wie ein Laden aussieht).

Wie lange; Datenkopie, Löschung, Zusammenführung. Deine Beiträge bleiben gespeichert, bis du dein Konto löschst; auf der Seite zum Hinzufügen eines Ladens siehst du deine letzten fünfzig mit ihrer Entscheidung. Sie sind Teil der Kopie deiner Daten nach Ziffer 14. Löschst du dein Konto, werden deine Beiträge und ihre Prüfergebnisse gelöscht, ebenso jeder von dir vorgeschlagene Laden, der nicht freigegeben wurde; ein freigegebener Laden und eine übernommene Änderung bleiben in der Ladensuche, ohne auf dich zu verweisen. Führst du zwei Konten zusammen, gehen deine Beiträge auf das verbleibende Konto über.

8.20 Inhaberschaft eines Ladens in der Ladensuche

Gehört dir ein Laden in der Ladensuche unter /stores, leitest du ihn oder arbeitest du dort, kannst du ihn mit deinem Konto beanspruchen. Dafür speichern wir, welchen Laden du beanspruchst, deine Rolle, den Namen, mit dem wir dich ansprechen dürfen, freiwillig eine geschäftliche Telefonnummer und eine Nachricht, den Stand des Antrags und die Entscheidung mit ihrer Begründung. Bestätigungscode: Hat der Laden eine veröffentlichte E-Mail-Adresse, schicken wir dorthin über SendGrid (Ziffer 7.3) einen sechsstelligen Code, der 30 Minuten gilt; die E-Mail nennt nicht, wer gefragt hat, und vom Code speichern wir nur einen Hashwert. Nachweise: Du kannst bis zu drei Nachweise hochladen — einen Handelsregisterauszug, eine Gewerbeanmeldung, einen anderen Nachweis oder, nur mit deiner ausdrücklichen Einwilligung, die Kopie deines Personalausweises oder Reisepasses; schwärze darauf alles außer deinem Namen und deinem Foto. Bilder werden ohne ihre Metadaten neu kodiert, PDF-Dateien von unserem eigenen Server neu gespeichert. Die Nachweise liegen verschlüsselt in einem eigenen, nicht öffentlichen Speicher bei Microsoft als Auftragsverarbeiterin (Ziffer 4); sie werden nicht automatisch geprüft, nicht an Dritte übermittelt und für nichts anderes verwendet. Ansehen kann sie nur eine Person aus der Administration, die über deinen Antrag entscheidet, und nur, solange er auf die Entscheidung wartet; jedes Öffnen wird im Audit-Protokoll nach Ziffer 8.9 festgehalten. Speicherdauer: Ein Nachweis wird gelöscht, sobald über den Antrag entschieden ist oder du ihn zurückziehst, spätestens 30 Tage nach dem Hochladen; ein nie eingereichter Antrag nach 30 Tagen, ein abgelehnter oder zurückgezogener 180 Tage nach der Entscheidung. Ein angenommener Antrag bleibt, solange du den Laden verwaltest; auf der Seite des Ladens steht dann „Vom Laden selbst verwaltet“, ohne deinen Namen. Dein Antrag ist Teil der Kopie deiner Daten nach Ziffer 14 — die Nachweise mit Art und Löschdatum, nicht als Datei —, wird mit deinem Konto gelöscht und geht beim Zusammenführen zweier Konten auf das verbleibende über. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für den Antrag und seine Bearbeitung; Art. 6 Abs. 1 lit. f DSGVO für die Prüfung der Nachweise — unser und des Ladens berechtigtes Interesse, dass nur Berechtigte einen Laden verwalten; für die Kopie eines Ausweises zusätzlich deine Einwilligung nach § 20 Abs. 2 PAuswG, die du jederzeit widerrufen kannst, indem du den Nachweis löschst oder den Antrag zurückziehst.

Einen angenommenen Laden verwalten: Nimmt ein Administrator deinen Antrag an, kannst du die Öffnungszeiten, die Kontaktdaten, das Angebot und die Beschreibung des Ladens selbst ändern; die Änderung steht sofort auf der Seite des Ladens. Vorher wird ihr Text wie jeder Beitrag von Mitgliedern nach Ziffer 8.12 automatisch geprüft; ein zurückgehaltener Text geht zuerst an einen Administrator. Zu jeder Änderung speichern wir dein Konto, den Laden, den Zeitpunkt und die Angaben des Ladens vor und nach der Änderung, damit ein Administrator eine falsche Änderung rückgängig machen kann; ein solches Rückgängigmachen wird nach Ziffer 8.9 im Audit-Protokoll festgehalten. Diese Aufzeichnung ist Teil der Kopie deiner Daten nach Ziffer 14, wird mit deinem Konto gelöscht – die Änderung selbst bleibt auf der Seite des Ladens, die niemandem gehört – und geht beim Zusammenführen zweier Konten auf das verbleibende Konto über. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8.21 BrickDb testen

Antrag. Angemeldet kannst du auf deiner Kontoseite unter /account beantragen, BrickDb zu testen. Dafür speichern wir dein Konto, den Zeitpunkt, die Plattformen, auf denen du testen kannst, freiwillig eine Begründung von bis zu 1.000 Zeichen, den Stand des Antrags und die Entscheidung mit ihrem Zeitpunkt, bei einer Ablehnung ihre Kategorie, die dir gezeigt wird, sowie — nur für die Administration — wer entschieden hat und eine interne Notiz. Über einen neuen Antrag benachrichtigen wir die Administratoren per E-Mail (Ziffer 7.3) mit deinem Namen, deiner E-Mail-Adresse, dem Alter deines Kontos, den Plattformen und deiner Begründung; über die Entscheidung bekommst du eine E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Ergebnisse. Als Testerin oder Tester — Administratoren sind es immer — prüfst du unter /testing die Punkte einer Checkliste. Zu jedem Ergebnis speichern wir dein Konto, den Prüfpunkt und die Fassung der Checkliste, die Plattform, das Ergebnis (bestanden, fehlgeschlagen, blockiert oder übersprungen), deinen Kommentar, die Zeitpunkte, den Stand der Bearbeitung durch die Administration und, wenn sie ein Ergebnis zurückweist, die Kategorie, die dir gezeigt wird. Dazu speichern wir die Umgebung, in der du getestet hast: Plattform, Geräteklasse, Gerätemodell und Hersteller, Betriebssystem und seine Version, Version und Build der App, die Version der Website, den Store, aus dem die App installiert wurde, Browser oder Web-Ansicht mit Version, Fenstergröße und Pixeldichte, das Farbschema, die Sprache der Oberfläche, die Adresse, unter der du BrickDb nutzt, und ob du offline warst. Die App liest diese Angaben beim Speichern vom Betriebssystem. Wir erheben dafür keine IP-Adresse, keine Zeitzone, keine Werbe-ID und keine anderen Merkmale, an denen sich ein Gerät wiedererkennen ließe, und auf deinem Gerät wird davon nichts gespeichert. Deine Ergebnisse siehst du selbst und die Administration; andere Testerinnen und Tester sehen höchstens, wie viele Meldungen es zu einem Prüfpunkt gibt, nie von wem.

Screenshots. Einem Ergebnis kannst du bis zu drei Screenshots beifügen. Sie werden wie Fotos nach Ziffer 8.2 neu kodiert und ohne ihre Metadaten in einem nicht öffentlichen Speicher nach Ziffer 4 abgelegt und nach Ziffer 8.12 automatisch geprüft; ein abgelehnter Screenshot wird nicht gespeichert. Zeige darauf keine Daten anderer Personen. Ansehen kannst ihn nur du und die Administration; jedes Ansehen durch die Administration wird im Audit-Protokoll nach Ziffer 8.9 festgehalten.

Vom Ergebnis zum Fehlerbericht. Damit wir einen Fehler beheben können, fasst die Administration Ergebnisse zusammen und kann sich daraus einen Fehlerbericht auf Englisch entwerfen lassen. Dafür gehen die Kommentare und die Umgebung — ohne deinen Namen, deine E-Mail-Adresse, dein Konto und ohne Screenshots — an den Dienst Azure OpenAI der Microsoft Ireland Operations Limited als Auftragsverarbeiterin (Ziffer 8.6); sie werden in der EU-Datenzone von Azure verarbeitet und nicht zum Trainieren von Modellen verwendet. Eine Person aus der Administration prüft und bearbeitet jeden Entwurf, und erst nach ihrer Freigabe legen wir ihn als Fehlerbericht in unserem nicht öffentlichen Code-Repository bei der GitHub, Inc., USA, an; nichts davon geschieht automatisch. Der Bericht nennt weder dich noch dein Konto und enthält keinen Screenshot, höchstens einen Link auf eine Seite, die nur angemeldete Administratoren öffnen können. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Fehler in BrickDb zu finden und zu beheben).

Wie lange; Datenkopie, Löschung, Zusammenführung. Ein entschiedener Antrag wird 24 Monate nach der Entscheidung gelöscht, ein offener erst nach seiner Entscheidung. Ergebnisse werden mit ihren Screenshots 24 Monate gelöscht, nachdem die Fassung der Checkliste, zu der sie gehören, außer Gebrauch genommen wurde. Anträge und Ergebnisse sind Teil der Kopie deiner Daten nach Ziffer 14 — die Screenshots als Dateien, ohne die interne Notiz und ohne die Person, die entschieden hat —, werden mit deinem Konto gelöscht, die Screenshots zuerst, und gehen beim Zusammenführen zweier Konten auf das verbleibende über. Ein angelegter Fehlerbericht nennt dich nicht und bleibt bestehen; ein Link darin auf einen gelöschten Screenshot führt ins Leere.

8.22 Social Wall

Unter /about/social-wall zeigen wir unsere eigenen Beiträge auf YouTube, Instagram und Facebook und Beiträge anderer Personen mit dem Hashtag #BrickDb. Dafür liest unser Server — nicht dein Browser — mehrmals am Tag die neuesten öffentlichen Beiträge über die Schnittstellen der Plattformen: die YouTube Data API der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und die Graph API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland. Von einem Beitrag einer anderen Person speichern wir nur, was öffentlich ist und eine Karte braucht: einen Textauszug von höchstens 400 Zeichen, das Datum, den Link zum Beitrag und bei YouTube den öffentlichen Namen des Kanals (höchstens 100 Zeichen); Instagram nennt bei der Hashtag-Suche keinen Nutzernamen. Bilder anderer Personen kopieren wir nicht; die Bilder unserer eigenen Beiträge legen wir in unserem eigenen Speicher nach Ziffer 4 ab. Ein Beitrag einer anderen Person erscheint erst, nachdem eine Person aus der Administration ihn angesehen und freigegeben hat.

Wie lange; Entfernen. Jeder Beitrag wird 30 Tage, nachdem wir ihn zuletzt gelesen haben, gelöscht. Blendet die Administration den Beitrag einer anderen Person aus, löschen wir sofort seinen Text, den Namen und den Link und behalten nur seine Kennung bei der Plattform, damit er nicht erneut erscheint. Beim Aufruf der Seite stellt dein Browser keine Verbindung zu YouTube, Instagram oder Facebook her; das geschieht erst, wenn du einen Link anklickst. Möchtest du, dass ein Beitrag von dir hier nicht erscheint, schreib uns über /support; wir blenden ihn aus und löschen ihn. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse, auf unsere eigenen Kanäle und auf das hinzuweisen, was andere öffentlich über BrickDb teilen; du kannst dem nach Art. 21 DSGVO jederzeit über /support widersprechen.

8.23 Adventskalender 2026

Vom 1. bis 24. Dezember 2026 kannst du im Adventskalender von BrickDb jeden Tag ein Türchen öffnen und an der Verlosung des Tages teilnehmen; die Regeln stehen in den Teilnahmebedingungen. Ohne Anmeldung kannst du das Türchen des Tages ansehen; dabei speichern wir nichts über dich.

Was wir speichern. Öffnest du angemeldet ein Türchen, speichern wir dein Konto, den Tag, den Zeitpunkt des Öffnens und ob dein Los an der Verlosung teilnimmt, und wenn nicht, warum (zum Beispiel, weil deine E-Mail-Adresse noch nicht bestätigt ist). Beim ersten Türchen speichern wir deine Erklärungen, dass du 18 Jahre oder älter bist und in Deutschland, Österreich oder der Schweiz wohnst, und deine Annahme der Teilnahmebedingungen, jeweils mit Zeitpunkt und Fassung. Zu jeder Ziehung speichern wir einen Prüfwert der Liste der Lose, den Zufallswert, das gezogene Los und wer die Ziehung wann bestätigt hat. Gewinnst du, speichern wir den Stand des Gewinns (gezogen, benachrichtigt, angenommen, verfallen, neu gezogen, versandt), die Frist zur Annahme, deine Lieferanschrift, deine erneute Bestätigung der Volljährigkeit, ob du der Veröffentlichung zugestimmt hast, und den Zeitpunkt des Versands. Wünschst du die tägliche Erinnerung, speichern wir diesen Wunsch und den Weg, auf dem sie dich erreicht (Push oder E-Mail). Damit sie dich höchstens einmal am Tag erreicht, speichern wir außerdem den Tag der letzten Erinnerung, bis wir dir die nächste schicken. Für die Uhrzeit lesen wir beim Versand das Land aus deinem Profil beim Anmeldedienst und speichern es nicht zusätzlich; ohne Land gilt die Zeit in Deutschland.

Zwecke und Rechtsgrundlagen. Die Teilnahme, die Prüfung der Teilnahmeberechtigung, die Ziehung und ihr Protokoll, die Benachrichtigung und der Versand dienen der Durchführung des Gewinnspiels nach den Teilnahmebedingungen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Nennung von Vorname, Anfangsbuchstabe des Nachnamens und Ort auf der Seite des Adventskalenders und die tägliche Erinnerung beruhen auf deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen, die Veröffentlichung über /support und die Erinnerung dort, wo du sie eingeschaltet hast. Die E-Mails und Push-Nachrichten versenden wir wie in Ziffer 7.3 und 10.4 beschrieben. Gewinnst du und hast du in der App Push-Mitteilungen eingeschaltet, erhältst du zusätzlich eine Push-Mitteilung, die nur sagt, dass du gewonnen hast, und zur Annahme des Gewinns führt; sie ist eingeschaltet, bis du sie im Konto unter „Benachrichtigungen“ bei „Gewinn“ ausschaltest. Vorname, Anfangsbuchstabe und Ort werden vor der Veröffentlichung nach Ziffer 8.12 automatisch geprüft; hält die Prüfung sie zurück, nennen wir sie erst, wenn eine Person sie angesehen hat, und lehnt sie sie ab, kannst du den Gewinn ohne Veröffentlichung annehmen.

Empfänger. Wir geben deine Daten nicht an die LEGO Gruppe weiter; sie ist an der Aktion nicht beteiligt. Deine Lieferanschrift erhält außer uns nur die Deutsche Post / DHL, die den Gewinn zustellt. Gewinnerinnen und Gewinner nennen wir öffentlich nur mit ihrer Einwilligung.

Wie lange; Datenkopie und Löschung. Deine Lieferanschrift löschen wir 3 Monate nach dem Versand des Gewinns oder, wenn er verfällt, 3 Monate nach Ablauf der Frist. Lose, Erklärungen, Ziehungen und Gewinne löschen wir 12 Monate nach dem Ende der Aktion am 24. Dezember 2026, spätestens am 31. Dezember 2027. Widerrufst du die Einwilligung zur Veröffentlichung, entfernen wir deine Angaben von der Seite des Adventskalenders. Deine Lose, Erklärungen und Gewinne sind Teil der Kopie deiner Daten nach Ziffer 14 und werden mit deinem Konto gelöscht.

8.24 Steintext

Im Konto speichern. Bist du angemeldet, kannst du ein Schild, das du im Steintext unter /text-builder gestaltet hast, in deinem Konto speichern. Gespeichert werden der Name, den du ihm gibst, deine Auswahl — die Zeilen Text, Schrift, Höhe und Stil, Bauweise, die drei Farben, der Abschluss des Rahmens und der Ständer — und die Zeitpunkte des Speicherns, Änderns und Teilens; die Teile und Bilder, die daraus entstehen, berechnen wir beim Öffnen neu. Ein gespeichertes Schild siehst nur du, bis du es teilst; ein Schild, das du nicht teilst, wird nicht geprüft.

Per Link teilen. Teilst du ein gespeichertes Schild, erzeugen wir einen zufälligen Link, der sich nicht erraten lässt. Wir speichern nur einen Prüfwert (Hash) des Links, nicht den Link selbst, und zeigen ihn dir deshalb nur einmal. Wer den Link hat, sieht das Schild, aber weder deinen Namen noch den Namen, den du ihm gegeben hast. Bevor der Link etwas zeigt, wird der Text des Schilds nach Ziffer 8.12 automatisch geprüft: Hält die Prüfung ihn zurück, zeigt der Link nichts, bis eine Person ihn angesehen hat; lehnt sie ihn ab, wird nichts geteilt. Ein geteilter Link wird von Suchmaschinen nicht aufgenommen, nicht an Dienste zur Reichweitenmessung übermittelt und beim Verlassen der Seite nicht als Herkunftsadresse weitergegeben. Teilst du ein Schild erneut, erhältst du einen neuen Link, und der alte zeigt nichts mehr. Jede Person mit dem Link kann das Schild nach Ziffer 8.8 melden; wird die Meldung bestätigt, nehmen wir den Link zurück, und das gespeicherte Schild bleibt in deinem Konto. Du kannst den Link jederzeit zurückziehen und ein Schild jederzeit löschen.

Wie lange; Datenkopie und Löschung. Gespeicherte Schilder bleiben gespeichert, bis du sie oder dein Konto löschst; sie sind Teil der Kopie deiner Daten nach Ziffer 14 — ohne den Link, den wir nicht speichern — und werden mit deinem Konto gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — Speichern und Teilen sind die von dir angeforderte Leistung; für die Prüfung des geteilten Textes und für Meldungen gelten die Ziffern 8.12 und 8.8.

9. Externe Datenquellen

BrickDb zeigt Katalog- und Preisdaten aus fremden Quellen, insbesondere Rebrickable und BrickLink. Diese Daten werden ausschließlich serverseitig abgerufen und in den eigenen Bestand übernommen. Der Browser baut zu keinem Zeitpunkt eine Verbindung zu diesen Anbietern auf.

An diese Anbieter werden keine personenbezogenen Daten übermittelt — weder IP-Adresse noch Kennnummer, noch die Information, wonach gesucht wurde oder was jemand besitzt. Abfragen erfolgen nach eigenem Zeitplan und nicht als Weiterreichung einer Nutzeranfrage. Die einzige Ausnahme ist die Übernahme deiner Rebrickable-Sammlung nach Ziffer 8.10, die du selbst auslöst.

Die Beiträge unter /blog liegen bei Postnomic, einem Blog-Dienst, den die ThreeB IT GmbH selbst betreibt. Jede Länderseite von BrickDb zeigt ihren eigenen Blog, in den Sprachen des jeweiligen Landes und auf Englisch. Texte und Bilder ruft unser API-Server dort ab und liefert sie von unseren eigenen Servern aus; dein Browser baut keine Verbindung zu Postnomic auf, und Postnomic erfährt dabei weder deine IP-Adresse noch, wer einen Beitrag liest. Kommentare zu Beiträgen zeigt BrickDb nicht an und nimmt keine entgegen.

Ein Teil der Blogtexte entsteht mit Unterstützung einer KI: die monatliche Übersicht der neuen Sets, die Beiträge zu Angeboten und die Übersetzungen von Hand geschriebener Beiträge in die weiteren Sprachen eines Blogs. Dafür sendet BrickDb Text von seinen eigenen Servern an den Dienst Azure OpenAI der Microsoft Ireland Operations Limited als Auftragsverarbeiterin (Ziffer 8.6). Für die automatisch erstellten Beiträge sind das gespeicherte Angaben aus dem Katalog und zu Angeboten — etwa Setnummern, Namen, Teilezahlen, Erscheinungsdaten, Preise, Händlernamen und Gutscheincodes —, für eine Übersetzung der Titel, die Kurzfassung und der Text des bereits veröffentlichten Beitrags. Angaben über Leserinnen und Leser, über Nutzerkonten oder über die Personen, die BrickDb verwalten, sind in diesen Anfragen nicht enthalten. Nennt ein von Hand geschriebener Beitrag Personen beim Namen — etwa die Veranstalter einer Ausstellung —, gehören diese bereits veröffentlichten Namen zum übersetzten Text; Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, einen Beitrag in den Sprachen seines Landes anzubieten.

Die Verarbeitung findet in der EU-Datenzone von Azure statt, also innerhalb der EU; die Bereitstellung ist in der Region Germany West Central angelegt. Die Anfragen werden so gestellt, dass der Dienst Eingabe und Antwort nicht zum späteren Abruf speichert; im Übrigen gilt das in Ziffer 8.6 zu Azure OpenAI Beschriebene, einschließlich der Standard-Missbrauchsüberwachung. Konkret heißt das auch hier: Microsoft prüft die Eingaben – auch den Text eines zu übersetzenden Beitrags und die darin genannten Namen – automatisiert auf missbräuchliche Nutzung; eine dabei beanstandete Eingabe kann Microsoft als Stichprobe aufbewahren und durch autorisierte Mitarbeitende von Microsoft im EWR prüfen lassen, ohne dafür eine feste Höchstdauer zu nennen. BrickDb selbst speichert zu einer Übersetzung keinen Text, sondern nur Prüfwerte (Hashes) des Originals und der Übersetzung, den Vermerk, ob ein Mensch sie überarbeitet hat, gegebenenfalls einen Ablehnungsgrund und die Zahl der Anfragen. Beiträge, die mit KI-Unterstützung geschrieben wurden, sagen das im Beitrag selbst; eine Übersetzung ist als KI-Übersetzung gekennzeichnet, auch nachdem ein Mensch sie überarbeitet hat, und verweist auf das Original.

10. Reichweitenmessung mit Google Analytics

BrickDb zählt mit Google Analytics 4, wie oft Seiten aufgerufen werden und welche Bereiche genutzt werden. Das geschieht ausschließlich mit deiner Einwilligung. Solange du nicht zugestimmt hast, wird kein Skript von Google geladen, keine Kennung gesetzt und nichts an Google gesendet — auch keine als „cookielos" bezeichnete Vorabmeldung. Der erweiterte Einwilligungsmodus von Google („Consent Mode v2 advanced"), bei dem das Skript sofort lädt und bereits vor der Einwilligung Daten überträgt, wird bewusst nicht eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung — und § 25 Abs. 1 TDDDG für das Speichern und Auslesen der Informationen auf deinem Endgerät.

Empfängerin und Auftragsverarbeiterin: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Grundlage sind die Auftragsverarbeitungsbedingungen von Google (Google Ads Data Processing Terms), denen für die Rechtsordnung Deutschland zugestimmt wurde.

Was verarbeitet wird: die aufgerufene Seite und ihr Titel, die Verweisquelle, ein ungefährer Standort auf Länder- und Regionsebene, Gerätetyp, Browser, Betriebssystem, Bildschirmgröße und Sprache, Datum und Uhrzeit sowie eine zufällige Kennung in den Cookies nach Ziffer 6.1, mit der wiederkehrende Aufrufe desselben Browsers erkannt werden. BrickDb ist unter mehreren Länderadressen erreichbar (zum Beispiel brickdb.de, brickdb.fr und brickdb.net). Hast du eingewilligt und folgst einem Link von einer dieser Adressen zu einer anderen, hängt Google Analytics diese Kennung für kurze Zeit an die Adresse des Links an (Parameter „_gl"), damit derselbe Besuch nicht doppelt gezählt wird. Auf der Zieladresse wird sie nur ausgelesen, wenn du auch dort eingewilligt hast. Zusätzlich sind die von Google „optimierte Analysen" genannten automatischen Ereignisse aktiv: Scrolltiefe, die Suche auf dieser Website, Dateidownloads und Klicks auf Links zu anderen Websites — also auch auf die Partnerlinks nach Ziffer 10.1. Deine IP-Adresse wird von Google zur Ableitung des ungefähren Standorts verwendet und nach Angaben von Google dabei weder protokolliert noch gespeichert.

Die Verweisquelle des ersten gezählten Seitenaufrufs: Deine Entscheidung im Einwilligungsbanner ist ein Formular, das abgeschickt und mit einer Weiterleitung beantwortet wird; der erste Seitenaufruf, der danach gezählt wird, würde deshalb BrickDb selbst als Verweisquelle nennen. Damit er die Seite nennt, von der du tatsächlich zu BrickDb gekommen bist, steht deren Adresse im Formular des Banners — nur Protokoll, Host und Pfad, ohne Abfrageteil und ohne Fragment, und nur, wenn es keine Seite von BrickDb ist. Solange du nicht zugestimmt hast, wird dafür nichts auf deinem Gerät gespeichert und nichts an Google gesendet. Stimmst du zu, hält das Cookie bd-ref (Ziffer 6.1) diese Adresse für längstens eine Minute fest: Die nächste Seite übergibt sie Google Analytics als Verweisquelle dieses einen Seitenaufrufs und löscht das Cookie mit derselben Antwort. Lehnst du ab, wird die Adresse verworfen; ein Widerruf löscht auch dieses Cookie.

Was nicht stattfindet: Die Funktionen „Google-Signale" und „personalisierte Werbung" sind im Seitenquelltext ausdrücklich abgeschaltet (allow_google_signals und allow_ad_personalization_signals stehen beide auf false), und die Freigabe an „Google-Produkte und -Dienste" ist in der Property deaktiviert. Es werden keine Werbe- oder Zielgruppenlisten gebildet, keine Daten für Werbezwecke an Google weitergegeben und keine geräteübergreifenden Profile erstellt. Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Außer der Sitzungsaufzeichnung nach Ziffer 10.2, für die eine eigene Einwilligung nötig ist, sind in die Seite keine weiteren Analysedienste, keine Werbenetzwerke und keine sozialen Plug-ins eingebunden, und auch kein Skript eines Fehlerberichtsdienstes: der Browser lädt von einem solchen Dienst nichts und sendet ihm nichts. Die Fehlerdiagnose, die BrickDb tatsächlich einsetzt, läuft auf dem Server und — in der App — auf dem Gerät selbst; sie ist in Ziffer 11 beschrieben.

Drittlandsübermittlung: Vertragspartnerin ist Google Ireland Limited; eine Übermittlung an Google LLC in den Vereinigten Staaten lässt sich nicht ausschließen. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, für das die EU-Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss gefasst hat; ergänzend gelten die Standardvertragsklauseln aus Googles Auftragsverarbeitungsbedingungen.

Speicherdauer: Ereignis- und nutzerbezogene Daten werden in der Google-Analytics-Property bis zu 14 Monate ab deiner letzten Interaktion aufbewahrt und danach von Google gelöscht. Die Frist läuft ab dem letzten und nicht ab dem ersten Besuch, weil in der Property die Option „Bei neuer Aktivität zurücksetzen" aktiv ist: jeder weitere Besuch startet die 14 Monate neu. Wer regelmäßig wiederkommt, dessen Daten werden also nicht gelöscht, solange er wiederkommt. Betroffen sind die Daten, die einzelnen Ereignissen und Kennungen zugeordnet sind. Die zusammengefassten Standardberichte — etwa „wie viele Seitenaufrufe hatte der September" — sind von dieser Einstellung nicht erfasst und bleiben bei Google darüber hinaus verfügbar. Das Einwilligungs-Cookie auf deinem Gerät läuft nach 182 Tagen ab; danach wird die Frage erneut gestellt.

Widerruf: Unten rechts auf jeder Seite öffnet das Cookie-Symbol den Bereich „Reichweitenmessung" mit einer Schaltfläche, die deine Entscheidung umkehrt — dort ein Klick, genauso wie das Zustimmen einer war (Art. 7 Abs. 3 DSGVO). Der Widerruf wirkt sofort: das Skript wird nicht mehr geladen, und die von Google gesetzten Cookies (_ga und _ga_…) werden mit derselben Anfrage gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Bereits an Google übermittelte Daten kannst du zusätzlich über die unter Ziffer 14 genannten Rechte geltend machen.

Was das für die Zahlen bedeutet: Gezählt wird nur, wer zugestimmt hat. Die Zahlen sind deshalb unvollständig und liegen unter der tatsächlichen Nutzung. Das ist die beabsichtigte Folge der Entscheidung, nichts ohne Einwilligung zu laden.

10.1 Partnerlinks (Affiliate-Links)

BrickDb nimmt an Partnerprogrammen teil; entsprechende Links sind unmittelbar mit „Werbung" gekennzeichnet, neben dem Link oder einmal über einer Tabelle mehrerer Shops, vor deren erstem Link. Das ändert an den Aussagen oben nichts: es wird kein Werbenetzwerk in die Seite eingebunden, kein Skript und kein Zählpixel eines Partnernetzwerks geladen und keine Kennung gesetzt. Beim bloßen Aufruf einer Seite geschieht in dieser Hinsicht nichts.

Auf einer Set-Seite, den Angeboten, einem Blogbeitrag, dem Katalog und der Startseite zeigt BrickDb höchstens ein Werbebanner eines Partnerprogramms, ebenfalls mit „Werbung" gekennzeichnet. Das Bild ist eine Kopie, die BrickDb beim Partnernetzwerk abgeholt hat und von seinem eigenen Server ausliefert: Beim Anzeigen wird weder der Händler noch das Partnernetzwerk aufgerufen. Erst ein Klick auf das Banner ist ein Klick auf einen Partnerlink im Sinne der folgenden Absätze.

Erst wenn eine Person einen solchen Link anklickt, ruft ihr Browser die Adresse des Händlers bzw. des Partnernetzwerks auf. Das ist ein selbst veranlasster Seitenwechsel, für den die verlinkte Stelle datenschutzrechtlich verantwortlich ist. Die Adresse enthält eine Kennung, aus der der Händler erkennt, dass der Besuch von BrickDb kam; sie ist in der Adresszeile sichtbar. BrickDb erfährt dabei nicht, wer geklickt hat: das Partnernetzwerk stellt ausschließlich zusammengefasste Abrechnungsdaten bereit, keine personenbezogenen Angaben zu einzelnen Klicks.

Awin. Die Links zu Händlern, deren Preise BrickDb aus einem Produktdatenfeed von Awin übernimmt, laufen über das Partnernetzwerk Awin (AWIN AG, Berlin). BrickDb gibt einen solchen Link unverändert so aus, wie er im Feed steht: er enthält die Publisher-Kennung von BrickDb, die Kennung des Händlers und das Ziel beim Händler und nichts über dich – keine Kontokennung und keine von BrickDb vergebene Klick- oder Besucherkennung. Klickst du ihn an, ruft dein Browser zuerst eine Adresse von Awin auf (awin1.com) und wird von dort zum Händler weitergeleitet. Dabei kann Awin Informationen direkt bei dir erheben und auf seiner eigenen Domain Cookies in deinem Browser setzen oder auslesen, um einen späteren Kauf diesem Klick zuzuordnen, nach Awins eigener Datenschutzerklärung. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an Awin.

Rakuten Advertising. Die Links zu Onlineshops – solchen, die LEGO selbst betreibt, und solchen von Spiele- und Spielwarenhändlern –, deren Preise BrickDb aus einem Produktdatenfeed von Rakuten Advertising übernimmt, laufen über das Partnernetzwerk Rakuten Advertising, ebenso der Link zur LEGO-Geschenkkarte bei Giftcards.com, den eine Set-Seite Besuchern in den USA anbietet, und die Links zu LEGO Pick a Brick in der Teileliste eines Fotomosaiks, wo eines der LEGO-Partnerprogramme den LEGO-Shop des Besuchers abdeckt. Verantwortlich ist die Rakuten Marketing LLC dba Rakuten Advertising, 800 Concar Drive, Suite 175, San Mateo, CA 94402, USA, nach eigener Angabe auch für Besucher aus dem Vereinigten Königreich und dem Europäischen Wirtschaftsraum. Für die Zwecke ihrer Datenschutzerklärung nennt Rakuten Advertising als Niederlassung in der EU die Rakuten Advertising France S.A.S, 92 rue Réaumur, 75002 Paris, Frankreich, und im Vereinigten Königreich die Rakuten Marketing Europe Limited, Vintners Place, 68 Upper Thames St., London EC4V 2AF, Vereinigtes Königreich. Auch diesen Link gibt BrickDb unverändert so aus, wie er im Produktdatenfeed steht: er enthält die Publisher-Kennung von BrickDb, eine Angebotskennung und die Zieladresse im Shop und nichts über dich. Der Link zur LEGO-Geschenkkarte stammt nicht aus dem Produktdatenfeed: Rakuten Advertising hat ihn BrickDb einmalig erzeugt, und er enthält ebenso nur die Publisher-Kennung von BrickDb, die Kennung von Giftcards.com und die Zieladresse bei Giftcards.com. Klickst du ihn an, ruft dein Browser zuerst eine Adresse von Rakuten Advertising auf (click.linksynergy.com) und wird von dort zum Shop weitergeleitet. Dabei kann Rakuten Advertising Informationen direkt bei dir erheben und auf seiner eigenen Domain Cookies in deinem Browser setzen oder auslesen, um einen späteren Kauf diesem Klick zuzuordnen, nach der eigenen Datenschutzerklärung von Rakuten Advertising. Deine Rechte gegenüber Rakuten Advertising machst du über dessen Formular für Datenschutzanfragen geltend; Kontaktmöglichkeiten stehen hier. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an Rakuten Advertising.

Tradedoubler. Die Links zu den Buchhandlungen Hugendubel und eBook.de, deren Preise BrickDb aus Produktdatenfeeds von Tradedoubler übernimmt, laufen über das Partnernetzwerk Tradedoubler. Verantwortlich ist nach der eigenen Datenschutzerklärung von Tradedoubler die Nyorda AB (Schweden), die Muttergesellschaft der Tradedoubler-Gruppe. Auch diesen Link gibt BrickDb unverändert so aus, wie er im Produktdatenfeed steht: er enthält die Publisher-Kennung von BrickDb, die Kennung des Programms und des Produkts und die Zieladresse bei Hugendubel oder eBook.de und nichts über dich. Klickst du ihn an, ruft dein Browser zuerst eine Adresse von Tradedoubler auf (pdt.tradedoubler.com) und wird von dort zu Hugendubel oder eBook.de weitergeleitet. Dabei kann Tradedoubler Informationen direkt bei dir erheben und auf seiner eigenen Domain Cookies in deinem Browser setzen oder auslesen, um einen späteren Kauf diesem Klick zuzuordnen, nach der eigenen Datenschutzerklärung von Tradedoubler. Deine Rechte gegenüber Tradedoubler machst du unter privacy@tradedoubler.com geltend. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an Tradedoubler.

CJ. Die Links zur US-Buchhandlung Books-A-Million, deren Preise BrickDb aus dem Produktkatalog übernimmt, den CJ (Commission Junction) für sie bereitstellt, laufen über das Partnernetzwerk CJ, das zur Publicis Groupe gehört. Verantwortlich ist nach der Datenschutzerklärung von CJ für die EU und das Vereinigte Königreich die Epsilon International UK Ltd, 1st Floor, 2 Television Centre, 101 Wood Lane, London W12 7FR, Vereinigtes Königreich. Auch diesen Link gibt BrickDb unverändert so aus, wie CJ ihn liefert: er enthält die Publisher- und die Website-Kennung von BrickDb, die Kennung des Werbelinks und die Zieladresse bei Books-A-Million und nichts über dich. Klickst du ihn an, ruft dein Browser zuerst eine Adresse von CJ auf (eine der Domains anrdoezrs.net, dpbolvw.net, jdoqocy.com, tkqlhce.com) und wird von dort zu Books-A-Million weitergeleitet. Dabei kann CJ Informationen direkt bei dir erheben und auf seiner eigenen Domain Cookies in deinem Browser setzen oder auslesen, um einen späteren Kauf diesem Klick zuzuordnen; CJ verarbeitet diese Daten nach eigener Angabe auch in den USA und stützt die Übermittlung dorthin auf Standardvertragsklauseln der Europäischen Kommission, nach der eigenen Datenschutzerklärung von CJ. Deine Rechte gegenüber CJ machst du unter privacy@cj.com oder über das Formular für Datenschutzanfragen von CJ geltend. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an CJ.

Daisycon. Die Links zum Spieleversand Spiele Offensive, deren Preise BrickDb aus dem Produktfeed übernimmt, den Daisycon für ihn bereitstellt, laufen über das Partnernetzwerk Daisycon der Daisycon B.V., P.J. Oudweg 5, 1314 CH Almere, Niederlande, die zur Linehub-Gruppe gehört. Auch diesen Link gibt BrickDb unverändert so aus, wie Daisycon ihn liefert: er enthält die Kennungen des Partnerprogramms, des Werbemittels und des Mediums von BrickDb und die Zieladresse bei Spiele Offensive und nichts über dich. Klickst du ihn an, ruft dein Browser zuerst eine Adresse von Daisycon auf der Domain glp8.net auf und wird von dort zu Spiele Offensive weitergeleitet. Dabei setzt Daisycon nach eigener Angabe auf seiner eigenen Domain ein Cookie in deinem Browser, um einen späteren Kauf diesem Klick zuzuordnen, und speichert dazu eine Kennung aus Programm, Publisher, Klick, Land und Gerätetyp sowie eine gekürzte und gehashte IP-Adresse; Daisycon bewahrt diese Daten nach eigener Angabe fünf Jahre auf und stützt eine Übermittlung außerhalb des EWR auf Standardvertragsklauseln der Europäischen Kommission, nach der eigenen Datenschutzerklärung von Daisycon. Deine Rechte gegenüber Daisycon machst du unter legal@linehub.com geltend. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an Daisycon.

Game of Bricks und UpPromote. Die Beleuchtungssets auf den Set-Seiten, deren Preise BrickDb aus der Produktliste übernimmt, die Game of Bricks dafür bereitstellt, verlinken direkt auf die Produktseite im Shop der Game of Bricks OÜ, Majaka tn 26, 11412 Tallinn, Estland, unter gameofbricks.eu. Der Link enthält höchstens die Kennung des Partnerkontos von BrickDb und nichts über dich. Kaufst du dort nach dem Klick oder mit dem Rabattcode ein, den BrickDb neben dem Set nennt, ordnet der Shop den Kauf mit UpPromote, einer App, die er für sein Partnerprogramm einsetzt und die nach eigener Angabe als sein Auftragsverarbeiter tätig ist, dem Partnerkonto von BrickDb zu; was der Shop dabei über dich speichert, regelt die eigene Datenschutzerklärung von Game of Bricks. Deine Rechte gegenüber Game of Bricks machst du unter support@gameofbricks.eu geltend. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an Game of Bricks oder UpPromote.

BRICKMO. Die Links zum Onlineshop BRICKMO, deren Preise BrickDb aus dem Produktfeed übernimmt, den der Shop BrickDb direkt bereitstellt, führen ohne Partnernetzwerk direkt auf die Produktseite im Shop der SCALEMO GmbH, Dieselstraße 1, 4623 Gunskirchen, Österreich, unter brickmo.com. Der Link enthält die Partnerkennung von BrickDb (sPartner=BrickDb) und nichts über dich. Kaufst du dort innerhalb von 30 Tagen nach dem Klick ein, ordnet der Shop den Kauf dem Partnerkonto von BrickDb zu; was der Shop dabei über dich speichert, regelt die eigene Datenschutzerklärung von BRICKMO. Deine Rechte gegenüber BRICKMO machst du unter office@brickmo.com geltend. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an BRICKMO.

Baustein Store. Die Links zum LEGO®-Fachhändler Baustein Store, deren Preise BrickDb aus dem Produktfeed übernimmt, den der Shop BrickDb direkt bereitstellt, führen ohne Partnernetzwerk direkt auf die Produktseite im Shop von Matthias Ross, Baustein Store, Schwarzenbacher Ring 17, 91315 Höchstadt a.d.Aisch, Deutschland, unter bausteinstore.de. Der Link enthält die Partnerkennung von BrickDb (ref=56) und nichts über dich. Kaufst du dort innerhalb von 30 Tagen nach dem Klick ein, ordnet der Shop den Kauf mit seinem Partnerprogramm dem Partnerkonto von BrickDb zu, soweit du der dafür nötigen Speicherung im Shop zugestimmt hast; was der Shop dabei über dich speichert, regelt die eigene Datenschutzerklärung von Baustein Store. Deine Rechte gegenüber Baustein Store machst du unter info@bausteinstore.de geltend. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an Baustein Store.

KiSebA. Die Links zum LEGO®-Fachhändler KiSebA, deren Preise BrickDb aus dem Produktfeed übernimmt, den der Shop BrickDb direkt bereitstellt, führen ohne Partnernetzwerk direkt auf die Produktseite im Shop von Sebastian Kirst, KiSebA, Obernstr. 10, 28832 Achim, Deutschland, unter kiseba.com. Der Link enthält die Partnerkennung von BrickDb (BDB=a92d298j6a4a) und nichts über dich. Kaufst du dort nach einem Klick auf einen Link von BrickDb ein, ordnet KiSebA den Kauf über das Partner-Plugin seines eigenen Shops und die Partnerkennung im Link BrickDb zu. Dafür speichert KiSebA nach eigener Angabe in seinem Shop für 14 Tage, dass du über BrickDb gekommen bist; ein Kauf in dieser Zeit wird BrickDb zugeordnet. Das geschieht im Shop von KiSebA, in dessen eigener Verantwortung und nach der eigenen Datenschutzerklärung von KiSebA, nicht auf den Seiten von BrickDb. Deine Rechte gegenüber KiSebA machst du unter info@kiseba.com geltend. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an KiSebA.

eBay Partner Network. Die Links zu Angeboten bei eBay, deren Preise BrickDb über die Programmierschnittstelle von eBay abruft, sind seit dem 28. Oktober 2026 Partnerlinks des eBay Partner Network, das die eBay Partner Network, Inc., 2145 Hamilton Avenue, San Jose, CA 95125, USA, betreibt. BrickDb hängt an den Link zum Angebot nur die Kennungen an, die das eBay Partner Network dafür vorgibt – die Kampagnenkennung von BrickDb sowie Kennungen des eBay-Marktplatzes und des Werkzeugs –, und nichts über dich. Klickst du ihn an, ruft dein Browser direkt die Angebotsseite bei eBay auf (etwa www.ebay.de oder www.ebay.com); dabei kann eBay Informationen direkt bei dir erheben und auf seiner eigenen Domain Cookies in deinem Browser setzen oder auslesen, um einen späteren Kauf diesem Klick zuzuordnen, nach der eigenen Datenschutzerklärung von eBay. Verantwortlich ist nach dieser Datenschutzerklärung für Nutzer in der EU die eBay GmbH, Albert-Einstein-Ring 26, 14532 Kleinmachnow; deine Rechte gegenüber eBay machst du über die Datenschutz-Kontaktseite von eBay geltend. BrickDb setzt dafür kein Cookie, zeichnet den Klick nicht auf dem eigenen Server auf und übermittelt selbst keine Daten über dich an eBay.

Amazon. Als Amazon-Partner verdient BrickDb (ThreeB IT GmbH) an qualifizierten Verkäufen. BrickDb nimmt an den Amazon-Partnerprogrammen für amazon.com (betrieben von der Amazon.com Services LLC) und amazon.de (betrieben von der Amazon Europe Core S.à r.l.) teil. Eine Set-Seite verlinkt auf eine Suche im jeweiligen Amazon-Shop; von Amazon wird auf BrickDb nichts geladen – kein Skript, kein Bild, kein Preis und kein Logo. Folgst du einem solchen Link, bist du auf Amazons eigener Website; dort kann Amazon Informationen direkt bei dir erheben und Cookies in deinem Browser setzen oder auslesen, nach Amazons eigener Datenschutzerklärung. BrickDb erhält von Amazon nur zusammengefasste Berichte, keine Angaben zu einzelnen Besuchenden.

Eine Ergänzung seit der Reichweitenmessung: Hast du dieser nach Ziffer 10 zugestimmt, wird der Klick auf einen solchen Link zusätzlich als Ereignis in Google Analytics gezählt — mit der Zieladresse, ohne Angabe dazu, wer geklickt hat, außer der dort beschriebenen zufälligen Kennung. Ohne deine Einwilligung geschieht auch das nicht.

10.2 Sitzungsaufzeichnungen und Heatmaps (Microsoft Clarity)

BrickDb setzt Microsoft Clarity ein, um zu sehen, wie Seiten bedient werden: wo geklickt wird, wie weit gescrollt wird und an welchen Stellen eine Seite nicht verstanden wird. Clarity zeichnet dazu den Ablauf eines Besuchs auf („Sitzungsaufzeichnung") und fasst viele Besuche zu Klick- und Scrollkarten zusammen („Heatmaps"). Das geschieht ausschließlich mit deiner eigenen Einwilligung dafür. Sie wird im Einwilligungsbanner getrennt von der Reichweitenmessung nach Ziffer 10 abgefragt und ist nicht vorausgewählt; wer nur der Reichweitenmessung zugestimmt hat, wird nicht aufgezeichnet. Solange du den Sitzungsaufzeichnungen nicht zugestimmt hast, wird kein Skript von Microsoft Clarity geladen, kein Eintrag gesetzt und nichts an Microsoft Clarity gesendet. Die Betriebsart von Clarity, in der ohne Einwilligung „cookielos" aufgezeichnet wird, wird bewusst nicht eingesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung — und § 25 Abs. 1 TDDDG für das Speichern und Auslesen der Informationen auf deinem Endgerät.

Was aufgezeichnet wird: Mausbewegungen, Klicks, Scrollen, Größenänderungen des Fensters und dass und wo etwas eingegeben wurde — nicht, was; der Aufbau der angezeigten Seite in der unten beschriebenen unkenntlich gemachten Form; die Adresse der Seite, ihr Titel und die Adresse der zuvor besuchten Seite; technische Angaben zu Gerät und Browser (Browser, Betriebssystem, Bildschirm- und Fenstergröße, Sprache und Zeitzone); Datum und Uhrzeit; Fehler beim Laden von Skripten und Bildern; sowie die zufälligen Kennungen aus den Einträgen nach Ziffer 6.1, mit denen die Seitenaufrufe eines Besuchs und wiederkehrende Besuche desselben Browsers zusammengeführt werden. Deine IP-Adresse erreicht Microsoft bei jeder Übertragung; Microsoft leitet daraus nach eigenen Angaben den ungefähren Standort ab. Ob und wie lange Microsoft die IP-Adresse darüber hinaus speichert, gibt die Dokumentation von Clarity nicht an.

Was unkenntlich gemacht wird: Texte und Bilder werden bereits in deinem Browser unkenntlich gemacht, bevor etwas übertragen wird: von einem Text wird nur seine Länge übertragen, von einem Bild nur seine Größe und nicht seine Adresse. Das gilt für die gesamte Seite. Lesbar bleiben allein die Beschriftungen der Navigation und — nur solange du nicht angemeldet bist — der Inhalt der öffentlichen Katalog- und Redaktionsseiten, der für alle gleich ist, zum Beispiel einer Set-Seite, eines Blogbeitrags oder der häufigen Fragen. Bist du angemeldet, bleibt außer der Navigation nichts lesbar: deine Sammlung, deine Exemplare, Notizen, Fotos, Preise, Lagerorte, deine Wunschliste, dein Konto und dein Name sind in keiner Aufzeichnung enthalten. Eingaben in Formularfelder werden in keinem Fall aufgezeichnet. Eine Aufzeichnung zeigt also, wie eine Seite aufgebaut war und wie sie bedient wurde — nicht deine Daten.

Was sich nicht unkenntlich machen lässt: die Adresse und der Titel einer Seite. Der Titel enthält bei BrickDb nichts, was du selbst eingegeben hast. Die Adresse enthält deinen Suchbegriff, wenn du die Suche benutzt, und auf den Seiten deiner eigenen Exemplare eine zufällige Kennnummer.

Wo nie aufgezeichnet wird: Auf den folgenden Seiten wird Clarity — ebenso wie Google Analytics — unabhängig von deiner Einwilligung nicht geladen: auf Einladungslinks zu einer geteilten Sammlung, auf veröffentlichten Sammlungen, im Verwaltungsbereich, während der Anmeldung, bei der Übergabe an eine andere Länderadresse und auf der Fehlerseite. In der App wird Clarity nicht eingesetzt.

Keine Zuordnung zu deinem Konto: BrickDb übergibt Clarity keine Kontokennung, keine E-Mail-Adresse und keinen Namen und verknüpft Aufzeichnungen nicht mit deinem Konto.

Auswertung mit KI: In unserem Clarity-Projekt sind die von Microsoft „Copilot" genannten Funktionen eingeschaltet. Microsoft verarbeitet die Aufzeichnungen und Heatmaps dabei auch mit KI-Funktionen, um für uns Zusammenfassungen zu erstellen und Fragen dazu zu beantworten. Verarbeitet wird, was aufgezeichnet wurde — also die unkenntlich gemachte Fassung. Welches KI-Modell Microsoft dafür einsetzt, wo diese Verarbeitung stattfindet und wie lange die dabei entstehenden Zusammenfassungen aufbewahrt werden, gibt die Dokumentation von Clarity nicht an. Eine Zusage, dass die Daten nicht zum Trainieren von KI-Modellen verwendet werden, macht Microsoft für Clarity nicht; nach den Nutzungsbedingungen von Clarity darf Microsoft nicht personenbezogene Daten aus Clarity auch zum Trainieren von KI-Modellen verwenden.

Empfängerin und ihre Rolle: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Anders als beim Hosting nach Ziffer 4 ist Microsoft hier nicht Auftragsverarbeiter: nach den Nutzungsbedingungen von Clarity sind BrickDb und Microsoft jeweils eigenständig Verantwortliche. Microsoft darf die über Clarity erhobenen Daten danach auch für eigene Zwecke nach der Microsoft-Datenschutzerklärung verwenden — nach diesen Bedingungen zur Bereitstellung und Verbesserung der eigenen Produkte und Dienste und zur Bildung von Nutzerprofilen, auch für Werbung. Die Weitergabe an Microsofts Werbedienste ist abgeschaltet: der Seitenquelltext teilt Clarity mit, dass für Werbezwecke keine Einwilligung vorliegt (ad_Storage: 'denied'), der Abgleich mit Microsofts Werbekennung wird deshalb nicht ausgelöst, und der Browser darf Microsofts dafür genutzte Adressen nicht aufrufen. Wie Microsoft Daten im Übrigen verarbeitet, steht in der Datenschutzerklärung von Microsoft.

Drittlandsübermittlung: Microsoft speichert die Daten nach eigenen Angaben in seinem Cloud-Dienst Azure und sichert für Clarity keinen Speicherort innerhalb der EU zu; mit einer Verarbeitung in den Vereinigten Staaten ist deshalb zu rechnen. Nach Angaben von Microsoft ist die Microsoft Ireland Operations Limited Vertragspartnerin für Clarity-Kunden in der EU und stützt die Übermittlung an die Microsoft Corporation auf die Standardvertragsklauseln der EU-Kommission; im Übrigen gilt, was Ziffer 4 zur Drittlandsübermittlung an Microsoft sagt.

Speicherdauer: Nach der Dokumentation von Microsoft werden Aufzeichnungen 30 Tage aufbewahrt; Heatmap-Daten sowie Aufzeichnungen, die wir markiert haben oder die Microsoft als Stichprobe auswählt, bis zu 9 Monate. Danach löscht Microsoft sie. Die Einträge auf deinem Gerät stehen in Ziffer 6.1.

Verbindung mit Google Analytics: Unser Clarity-Projekt ist mit unserer Google-Analytics-Property verbunden. Clarity ruft darüber Auswertungen aus Google Analytics ab und zeigt sie in Clarity an; das betrifft Daten, die nach Ziffer 10 mit Einwilligung in die Reichweitenmessung entstanden sind. Nach der Dokumentation von Microsoft sendet Clarity dabei keine Aufzeichnungen und keine Adressen von Aufzeichnungen an Google Analytics, und das Skript von Clarity in deinem Browser übergibt nichts an Google.

Widerruf: Unten rechts auf jeder Seite öffnet das Cookie-Symbol den Bereich, in dem neben der Schaltfläche für die Reichweitenmessung eine eigene für die Sitzungsaufzeichnung steht — dort ein Klick, genauso wie das Zustimmen einer war (Art. 7 Abs. 3 DSGVO). Der Widerruf wirkt sofort: das Skript wird nicht mehr geladen, und die Cookies _clck und _clsk werden mit derselben Anfrage gelöscht; _cltk endet mit dem Tab. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Für bereits an Microsoft übermittelte Daten kannst du die unter Ziffer 14 genannten Rechte uns gegenüber geltend machen und, weil Microsoft eigenständig verantwortlich ist, auch unmittelbar gegenüber Microsoft. Einzelne Aufzeichnungen können wir keiner Person zuordnen und deshalb nicht gezielt heraussuchen.

10.3 Nutzungsstatistik in den Apps

Die BrickDb-Apps für Android, iOS, macOS und Windows zählen, wie sie genutzt werden — ausschließlich mit deiner Einwilligung, die in der App selbst eingeholt wird. Die App fragt beim ersten Start. Solange du nicht zugestimmt hast, wird dafür nichts auf deinem Gerät gespeichert und nichts gesendet. Die Einwilligung auf der Website und die in der App sind voneinander unabhängig.

Was gezählt wird — und nichts darüber hinaus:

• der Start der App, mit der Plattform (Android, iOS, macOS oder Windows), dem Store, aus dem sie installiert wurde, und der Versionsnummer;
• der Aufruf eines Bildschirms, benannt nach seiner Art — etwa „Set-Seite" — und nie nach dem Set, der Sammlung oder der Suche, die er zeigt;
• eine Anmeldung, mit der Art des Anmeldewegs (E-Mail, Apple, Google oder Microsoft) — nie mit einer Adresse;
• die Nutzung eines Scanners, mit der Art des Scanners und der Angabe, ob der Code etwas im Katalog benannt hat — nie mit dem Code;
• das Hinzufügen zu einer Sammlung, mit der Art des Gegenstands (etwa Set oder Magazin) — nie mit dem Gegenstand selbst;
• der Klick auf einen Link zu einem Shop, mit dem Hostnamen des Shops und der Preisquelle — nie mit dem Link selbst.

Nicht erfasst werden Suchbegriffe, Set- oder Teilenummern, der Inhalt deiner Sammlung, von dir eingegebene Preise, dein Konto oder deine E-Mail-Adresse, ein Standort und frei eingegebener Text. Die Ereignisse sind so festgelegt, dass sie solche Angaben nicht aufnehmen können.

Die Kennung: Mit deiner Einwilligung legt die App eine zufällige Kennung im Einstellungsspeicher des Betriebssystems ab (Ziffer 6.5), mit der wiederkehrende Nutzung derselben Installation erkannt wird. Sie ist an das Gerät gebunden und nicht an dein Konto, und sie enthält keine Angaben zu deiner Person. Meldest du dich ab, wird sie durch eine neue ersetzt, damit zwei Konten auf demselben Gerät nicht miteinander verbunden werden.

Der Weg der Daten: Die App sendet die Ereignisse an den Server von BrickDb und an niemanden sonst; sie baut dafür keine Verbindung zu Google oder zu einem anderen Dritten auf. Unser Server leitet sie an Google Analytics weiter, über Googles Endpunkt für die Erhebung in der Europäischen Union. Deine IP-Adresse wird dabei nicht an Google weitergegeben: Google sieht die Adresse unseres Servers, und ein Standort wird nicht aus deiner Adresse abgeleitet. Auch Angaben zu deinem Gerät und dein Konto werden nicht mitgesendet.

Empfängerin und Auftragsverarbeiterin ist wie bei der Website die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, auf Grundlage der Auftragsverarbeitungsbedingungen von Google (Google Ads Data Processing Terms); für die Drittlandsübermittlung gilt das oben in Ziffer 10 Gesagte. Die Ereignisse gehen in einen eigenen Datenstrom derselben Google-Analytics-Property, getrennt von den Zahlen der Website. Jede Sendung trägt die Angabe, dass die Daten nicht für personalisierte Werbung verwendet werden dürfen; Werbe- oder Zielgruppenlisten werden nicht gebildet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung — und § 25 Abs. 1 TDDDG für das Speichern und Auslesen der Kennung auf deinem Gerät.

Speicherdauer: bei Google wie oben — bis zu 14 Monate ab deiner letzten Interaktion. Auf dem Gerät bleibt die Kennung, bis du widerrufst, dich abmeldest oder die App entfernst.

Widerruf: In der App steht unter „Einstellungen" der Eintrag „Nutzungsstatistik" mit den Schaltflächen „An" und „Aus". „Aus" wirkt sofort: die App löscht die gespeicherte Kennung und sendet nichts mehr; was noch nicht gesendet war, wird verworfen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Deine Entscheidung selbst bleibt auf dem Gerät gespeichert, damit die App nicht bei jedem Start erneut fragt. Ändert sich, was gezählt wird, fragt die App erneut.

10.4 Benachrichtigungen per E-Mail und Push

Schaltest du bei einem Set deiner Merkliste einen Preisalarm ein — für einen Zielpreis oder für den niedrigsten Preis der letzten 30 Tage —, vergleichen wir die Preise in unserem eigenen Bestand mit deiner Vorgabe und sagen dir Bescheid, wenn sie erreicht ist: höchstens einmal am Tag, in einer Nachricht für alles, was ausgelöst hat, und auf den Wegen, die du eingeschaltet hast. Die Nachricht nennt das Set und den Preis. Wo du die Wege ein- und ausschaltest, steht im Konto unter Benachrichtigungen.

E-Mail: Die E-Mail bekommst du, sobald du einen Preisalarm einschaltest; sie enthält einen Link, der den Alarm mit einem Klick ausschaltet, und du kannst sie im Konto unter „Benachrichtigungen“ ausschalten. Versandt wird sie über den Versanddienstleister nach Ziffer 7.3, und das dort Gesagte gilt auch hier. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — der Alarm ist die Leistung, die du eingeschaltet hast.

Push-Mitteilungen: In den Apps für Android und iOS gibt es sie nur, wenn du sie selbst einschaltest: Dein Gerät wird erst für Push-Mitteilungen angemeldet, wenn du in der App einen Push-Schalter im Konto einschaltest, und dabei fragt dich das Betriebssystem deines Geräts zusätzlich um Erlaubnis; der Push-Schalter für Preisalarme ist ausgeschaltet, bis du ihn einschaltest. Auf der Website gibt es Push stattdessen im Browser, wie unten unter „Push-Mitteilungen im Browser“ beschrieben. Auf einem Gerät, das keine unterstützt — etwa einem Amazon-Fire-Tablet —, sagt die App das und bietet nur E-Mail an. Derzeit senden wir per Push nur Preisalarme und die Nachricht, dass eine von dir angeforderte Bauanleitung als PDF fertig ist (Ziffer 8.14); deren Schalter „Dateien, die du angefragt hast“ ist eingeschaltet, bis du ihn ausschaltest, weil diese Nachricht nur auf deine eigene Anfrage hin kommt, und auch sie erreicht nur ein Gerät, das du wie beschrieben angemeldet hast. Bevor wir andere Mitteilungen senden, nennen wir sie hier, und Mitteilungen mit Werbecharakter senden wir nur, wenn du sie ausdrücklich eingeschaltet hast. Push-Mitteilungen: Es gibt sie nur in den Apps für Android und iOS und nur, wenn du sie selbst einschaltest: Dein Gerät wird erst für Push-Mitteilungen angemeldet, wenn du in der App einen Push-Schalter im Konto einschaltest, und dabei fragt dich das Betriebssystem deines Geräts zusätzlich um Erlaubnis; der Push-Schalter für Preisalarme ist ausgeschaltet, bis du ihn einschaltest. Auf der Website gibt es keine Push-Mitteilungen. Auf einem Gerät, das keine unterstützt — etwa einem Amazon-Fire-Tablet —, sagt die App das und bietet nur E-Mail an. Derzeit senden wir per Push nur Preisalarme und die Nachricht, dass eine von dir angeforderte Bauanleitung als PDF fertig ist (Ziffer 8.14); deren Schalter „Dateien, die du angefragt hast“ ist eingeschaltet, bis du ihn ausschaltest, weil diese Nachricht nur auf deine eigene Anfrage hin kommt, und auch sie erreicht nur ein Gerät, das du wie beschrieben angemeldet hast. Seit dem 3. November 2026 sagen wir dir außerdem per Push und per E-Mail Bescheid, wenn sich in einer geteilten Sammlung, in der du bist, etwas für dich ändert (jemand fügt dich hinzu, ändert deine Rolle oder entfernt dich, nimmt deine Einladung an oder verlässt eine Sammlung, die dir gehört), wenn unsere Moderation über etwas entschieden hat, das du eingereicht hast (eine MOC, eine Veranstaltung, einen Antrag auf einen Laden), und – nur per Push – wenn wir auf eine Supportanfrage geantwortet haben, die du angemeldet geschickt hast. Diese drei Schalter sind eingeschaltet, bis du sie ausschaltest, weil sie nur deine eigenen Dinge betreffen; auch sie erreichen nur ein Gerät, das du wie beschrieben angemeldet hast. Eine Entscheidung der Moderation, die Gründe nennt, und unsere Antwort auf eine Supportanfrage schicken wir dir unabhängig von diesen Schaltern immer per E-Mail. Zu jedem dieser drei Themen bekommst du höchstens eine Push-Mitteilung am Tag; dafür speichern wir, an welchem Tag wir dir zu welchem Thema eine geschickt haben, bis wir dir die nächste schicken oder dein Konto gelöscht wird; dieser Eintrag ist Teil der Kopie deiner Daten nach Ziffer 14. Bevor wir andere Mitteilungen senden, nennen wir sie hier, und Mitteilungen mit Werbecharakter senden wir nur, wenn du sie ausdrücklich eingeschaltet hast. Push-Mitteilungen: Es gibt sie nur in den Apps für Android und iOS und nur, wenn du sie selbst einschaltest: Dein Gerät wird erst für Push-Mitteilungen angemeldet, wenn du in der App einen Push-Schalter im Konto einschaltest, und dabei fragt dich das Betriebssystem deines Geräts zusätzlich um Erlaubnis; der Push-Schalter für Preisalarme ist ausgeschaltet, bis du ihn einschaltest. Auf der Website gibt es keine Push-Mitteilungen. Auf einem Gerät, das keine unterstützt — etwa einem Amazon-Fire-Tablet —, sagt die App das und bietet nur E-Mail an. Derzeit senden wir per Push nur Preisalarme und die Nachricht, dass eine von dir angeforderte Bauanleitung als PDF fertig ist (Ziffer 8.14); deren Schalter „Dateien, die du angefragt hast“ ist eingeschaltet, bis du ihn ausschaltest, weil diese Nachricht nur auf deine eigene Anfrage hin kommt, und auch sie erreicht nur ein Gerät, das du wie beschrieben angemeldet hast. Seit dem 3. November 2026 sagen wir dir außerdem per Push und per E-Mail Bescheid, wenn sich in einer geteilten Sammlung, in der du bist, etwas für dich ändert (jemand fügt dich hinzu, ändert deine Rolle oder entfernt dich, nimmt deine Einladung an oder verlässt eine Sammlung, die dir gehört), wenn unsere Moderation über etwas entschieden hat, das du eingereicht hast (eine MOC, eine Veranstaltung, einen Antrag auf einen Laden), und – nur per Push – wenn wir auf eine Supportanfrage geantwortet haben, die du angemeldet geschickt hast. Diese drei Schalter sind eingeschaltet, bis du sie ausschaltest, weil sie nur deine eigenen Dinge betreffen; auch sie erreichen nur ein Gerät, das du wie beschrieben angemeldet hast. Eine Entscheidung der Moderation, die Gründe nennt, und unsere Antwort auf eine Supportanfrage schicken wir dir unabhängig von diesen Schaltern immer per E-Mail. Zu jedem dieser drei Themen bekommst du höchstens eine Push-Mitteilung am Tag; dafür speichern wir, an welchem Tag wir dir zu welchem Thema eine geschickt haben, bis wir dir die nächste schicken oder dein Konto gelöscht wird; dieser Eintrag ist Teil der Kopie deiner Daten nach Ziffer 14. Werbliche Mitteilungen gibt es zu drei Themen, und nur, wenn du sie selbst im Konto unter „Benachrichtigungen“ einschaltest, für E-Mail und Push getrennt: neue Sets in Themen, denen du folgst, neue Veranstaltungen in deinem Land und, solange der Adventskalender läuft, die Erinnerung an den Adventskalender (Ziffer 8.23). Für die E-Mail gilt ein doppeltes Opt-in: Schaltest du sie ein, schicken wir dir eine einzige Bestätigungs-E-Mail; erst wenn du angemeldet auf ihren Link klickst und dort bestätigst, ist sie eingeschaltet. Der Link funktioniert 7 Tage lang und nur für dein eigenes Konto. Wir speichern dazu, für welches Thema du die Bestätigung angefordert hast, wann, wann du bestätigt hast, welche Fassung dieses Textes dabei galt und gegebenenfalls, wann du die E-Mails wieder abgeschaltet hast, sowie einen nicht umkehrbaren Hashwert des Links; eine nicht bestätigte Anforderung löschen wir, sobald du eine neue anforderst oder die E-Mails abschaltest, den Nachweis einer erteilten Einwilligung bewahren wir bis zur Löschung deines Kontos auf, und er ist Teil der Kopie deiner Daten nach Ziffer 14. Für Push-Mitteilungen ist die Erlaubnis deines Geräts oder Browsers der zweite Schritt. Folgen kannst du einem Thema angemeldet auf seiner Themenseite; wir speichern, welchen Themen du folgst und seit wann, bis du ihnen nicht mehr folgst oder dein Konto gelöscht wird, und diese Liste ist Teil der Kopie deiner Daten nach Ziffer 14. Für die Veranstaltungen verwenden wir das Land, das du in deinem Profil angegeben hast; wir lesen es beim Versand beim Anmeldedienst nach Ziffer 7 und speichern es nicht zusätzlich, und ohne Land in deinem Profil bekommst du keine solche Mitteilung. Jedes senden wir höchstens einmal am Tag, die ersten beiden in einer Nachricht für alles, was neu ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und, für die E-Mail, § 7 Abs. 2 Nr. 2 UWG – deine Einwilligung, die du mit dem Schalter erteilst und mit ihm jederzeit widerrufen kannst, ebenso über den Link in jeder dieser E-Mails. Bevor wir andere Mitteilungen senden, nennen wir sie hier, und Mitteilungen mit Werbecharakter senden wir nur, wenn du sie ausdrücklich eingeschaltet hast.

Was bei einer Push-Mitteilung an OneSignal geht — und nichts darüber hinaus:

• eine zufällige Push-Kennung, die BrickDb für dich vergibt; sie ist weder deine Konto-Kennung noch deine E-Mail-Adresse und nur über unsere Datenbank mit dir verbunden;
• das Geräte-Token, das dir das Betriebssystem für Push-Mitteilungen ausstellt, und die technischen Angaben, die das SDK von OneSignal dazu mitsendet — Betriebssystem und Version, Gerätemodell, App-Version, Sprache und Zeitzone — sowie die IP-Adresse der Verbindung;
• die Nutzungsangaben, die das SDK von OneSignal von sich aus für den Betrieb des Dienstes führt: wie oft die App gestartet wurde und wie lange sie im Vordergrund war, mit den Zeitpunkten des ersten und des letzten Starts, der Status der Benachrichtigungsberechtigung, das Land, die Art der Netzwerkverbindung (zum Beispiel WLAN oder Mobilfunknetz) und der Name des Mobilfunkanbieters sowie dass — und wann — eine Mitteilung eingetroffen ist und geöffnet wurde. Das sind nicht die Nutzungsstatistiken aus Ziffer 10.3, und sie hängen nicht von der dort erteilten Einwilligung ab;
• der Inhalt der Mitteilung: Titel und Text, bei einem Preisalarm mit dem Namen des Sets und dem Preis, bei einer Bauanleitung mit ihrer Seitenzahl und den 24 Stunden, bei einer Mitteilung zu einer Sammlung, einer Entscheidung der Moderation oder einer Supportantwort nur, was geschehen ist – ohne den Namen einer Sammlung, einer MOC oder einer Veranstaltung, ohne Begründung und ohne den Inhalt einer Antwort –, bei einer werblichen Mitteilung nur, wie viele neue Sets oder Veranstaltungen es gibt – ohne deine Themen und ohne dein Land –, in allen Sprachen der Website, und die Seite, die sie öffnet;
• nicht dein Name, deine E-Mail-Adresse, deine Konto-Kennung oder deine Sammlung und Merkliste im Übrigen.

Auftragsverarbeiterin ist OneSignal, Inc., San Mateo, Kalifornien, USA, auf Grundlage des Auftragsverarbeitungsvertrags (Art. 28 DSGVO), den die ThreeB IT GmbH am 1. November 2026 mit ihr geschlossen hat. Zugestellt wird über den Push-Dienst des Betriebssystems: bei Android über Firebase Cloud Messaging von Google, bei iOS über den Apple Push Notification Service von Apple. Beide erhalten dafür von OneSignal das Geräte-Token und den Inhalt der Mitteilung und geben beides an dein Gerät weiter; für sie gelten ihre eigenen Datenschutzbestimmungen.

Drittlandsübermittlung: OneSignal verarbeitet die Daten in den Vereinigten Staaten. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework — OneSignal, Inc. ist dort als aktiv zertifiziert gelistet (geprüft am 1. November 2026 auf dataprivacyframework.gov) — und zusätzlich auf die Standardvertragsklauseln der EU-Kommission, die Teil des Auftragsverarbeitungsvertrags sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung, die du erteilst, indem du die Push-Mitteilungen in der App einschaltest und die Erlaubnis deines Geräts bestätigst — und § 25 Abs. 1 TDDDG für das Speichern und Auslesen der Kennungen auf deinem Gerät. Widerruf: jederzeit, indem du die Push-Schalter im Konto ausschaltest — dann senden wir dir nichts mehr —, die Mitteilungen in den Einstellungen deines Geräts verbietest oder die App entfernst. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Speicherdauer und deine Rechte: Bei BrickDb bleiben deine Push-Kennung und deine Einstellungen, bis dein Konto gelöscht wird; ein ausgeschalteter Schalter löscht die Kennung nicht. Den Inhalt einer Mitteilung speichert BrickDb nicht. Löschst du dein Konto (Ziffer 14), löschen wir zuerst den dir zugeordneten Nutzer bei OneSignal und danach unsere Daten; gelingt das beim Anbieter nicht, bricht die Löschung ab und wird beim nächsten Versuch fortgesetzt. Die Push-Kennung und deine Einstellungen sind Teil der Kopie deiner Daten nach Ziffer 14 und gehen beim Zusammenführen zweier Konten auf das verbleibende über; das Geräte-Token hält OneSignal, es ist nicht Teil dieser Kopie. Bei OneSignal werden nach dessen eigener Angabe im Auftragsverarbeitungsvertrag Daten aus der Schnittstelle und aus automatisierten Nachrichten 30 Tage gespeichert und dann gelöscht, Daten im Dashboard so lange, wie die Anwendung besteht; löschst du dein Konto, löschen wir den Nutzer bei OneSignal.

Push-Mitteilungen im Browser (Web-Push): Auf der Website kannst du Push für den Browser einschalten, den du gerade benutzt, in deinem Konto unter „Benachrichtigungen“ bei „Push in diesem Browser“ — für jede BrickDb-Adresse einzeln, weil für einen Browser jede Adresse eine eigene Website ist. Erst wenn du es einschaltest, fragt dich dein Browser um Erlaubnis, und erst dann legt die Website ein kleines Skript von uns in deinem Browser ab (einen Service Worker, aufgeführt in Ziffer 6.1) und meldet ihn beim Push-Dienst deines Browsers an. Dafür wird kein Skript eines Dritten geladen, und OneSignal ist nicht beteiligt. Für jeden Browser speichern wir die Adresse, die ihm sein Push-Dienst gegeben hat, zwei Schlüssel, die dein Browser dafür erzeugt hat, die BrickDb-Adresse und die Sprache, in der du es eingeschaltet hast, und wann; sonst nichts über dein Gerät. Welche Mitteilungen ankommen, bestimmen dieselben Push-Schalter wie in der App. Wir senden jede Mitteilung von unserem eigenen Server, so verschlüsselt, dass nur dein Browser sie lesen kann, und mit unserem eigenen Schlüssel signiert; sie enthält Titel, Text und die Seite, die sie unter derselben BrickDb-Adresse öffnet. Auf einem iPhone oder iPad bietet Safari das nur für eine Website an, die zum Home-Bildschirm hinzugefügt wurde.

Wer sie zustellt: der Push-Dienst des Herstellers deines Browsers, den dein Browser wählt, nicht wir: für Chrome, Edge unter Android, Opera, Samsung Internet und Brave Googles Firebase Cloud Messaging (Google LLC, USA); für Firefox der Push-Dienst von Mozilla (Mozilla Corporation, USA); für Safari der Push-Dienst von Apple (Apple Inc., USA); für Edge unter Windows Microsofts Windows Push Notification Services (Microsoft Corporation, USA). Er erhält die Adresse und die verschlüsselte Mitteilung und von deinem Browser die Verbindungsdaten, die sein Betrieb braucht; den Inhalt kann er nicht lesen. Für ihn gelten seine eigenen Datenschutzbestimmungen. Übermittlung in ein Drittland: Diese Dienste können die Daten in den USA verarbeiten. Ist der Anbieter nach dem Data Privacy Framework zertifiziert, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission; andernfalls auf Art. 49 Abs. 1 lit. b DSGVO, weil die Mitteilung, die du eingeschaltet hast, nur über den Push-Dienst deines Browsers zugestellt werden kann.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — deine Einwilligung, die du gibst, indem du Push im Browser einschaltest und die Erlaubnis des Browsers bestätigst — und § 25 Abs. 1 TDDDG für den Service Worker und das Abonnement auf deinem Gerät. Widerruf: jederzeit, indem du „Push in diesem Browser“ ausschaltest — wir löschen dann das Abonnement —, indem du Mitteilungen in den Einstellungen deines Browsers blockierst oder die Daten der Website in deinem Browser löschst; ein Abonnement, das der Push-Dienst als nicht mehr gültig meldet, löschen wir beim nächsten Sendeversuch. Bis dahin bleiben die Abonnements bei uns, längstens bis dein Konto gelöscht wird; sie gehören zur Kopie deiner Daten nach Ziffer 14, werden mit deinem Konto gelöscht und gehen beim Zusammenführen zweier Konten auf das verbleibende Konto über. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

11. Betriebsüberwachung und Fehlerdiagnose

Die Anwendung ist mit OpenTelemetry instrumentiert. Ein Export dieser Daten erfolgt nur, wenn ein Ziel ausdrücklich konfiguriert ist; im Betrieb ist kein solches Ziel konfiguriert, sodass diese Telemetriedaten den Prozess nicht verlassen. Aufrufe der Statusendpunkte werden von der Aufzeichnung ausgenommen.

Für Fehlerberichte wird darüber hinaus der Dienst Sentry eingesetzt. Stürzt die App ab oder schlägt auf dem Server eine Anfrage unerwartet fehl, wird ein Fehlerbericht an Sentry übermittelt, damit der Fehler gefunden und behoben werden kann. Das betrifft sieben Stellen: den API-Server, den Webserver, den Lesedienst nach Ziffer 8.5, die PDF-Prüfung für Bauanleitungen, den Abgleichdienst für Minifiguren nach Ziffer 8.6, den MCP-Server für KI-Assistenten und — anders als alles andere in dieser Ziffer — die App auf deinem Gerät. Die Verbindung zu Sentry baut in allen sieben Fällen die Anwendung selbst auf; in die Website ist kein Skript eines Fehlerberichtsdienstes eingebunden, der Browser sendet also von sich aus nichts dorthin (Ziffer 10).

Anbieterin ist die Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Sie ist insoweit Auftragsverarbeiterin nach Art. 28 DSGVO. Eine Niederlassung in der Europäischen Union, mit der ein Vertrag geschlossen werden könnte, unterhält Sentry nach eigenen Angaben nicht — Vertragspartnerin ist damit ein Unternehmen mit Sitz in den Vereinigten Staaten.

Verarbeitungsort: Davon zu unterscheiden ist, wo die Daten liegen. Die Berichte gehen an die EU-Region von Sentry, die Sentry selbst als European Union (EU) bezeichnet und die als Speicherregion unserer Organisation eingestellt ist. Die Empfangsadresse aller sieben Stellen lautet auf ingest.de.sentry.io und nicht auf die weltweite Adresse des Dienstes. Das sind zwei verschiedene Dinge, und nur das zweite ist ein Hostname: die Adresse, an die die Software sendet, gegenüber der Einstellung des Kontos, die darüber entscheidet, wo das Angekommene liegt.

Drittlandsübermittlung: Weil die Vertragspartnerin ihren Sitz in den Vereinigten Staaten hat, lässt sich ein Zugriff von dort — etwa im Rahmen von Support und Wartung — nicht ausschließen. Sentry stützt solche Übermittlungen auf die Standardvertragsklauseln der EU-Kommission, die dem Auftragsverarbeitungsvertrag in der Fassung 5.1.0 vom 29. Mai 2024 zugrunde liegen.

Was ein Fehlerbericht enthält: die Art des Fehlers und seine Meldung, den technischen Aufrufverlauf (Dateien, Methoden, Zeilennummern), die Version von BrickDb, die aufgerufene Adresse samt ihren Abfrageparametern, soweit diese nicht wie unten beschrieben entfernt werden, beim API-Server und beim Webserver außerdem die Kopfzeilen der Anfrage — etwa die Kennung deines Browsers, die bevorzugte Sprache und die Seite, von der aus du gekommen bist — sowie die Angaben, die das Sentry-SDK von sich aus über die Umgebung sammelt — insbesondere Gerätemodell, Betriebssystem und dessen Version, Sprache und Zeitzone. Auf dem API-Server kommt die pseudonyme Kennung deines Kontos hinzu, wenn du angemeldet warst; der Webserver und die App übermitteln gar keine Kennung.

Was der Lesedienst meldet: Der Lesedienst nach Ziffer 8.5 sendet einen Fehlerbericht nur, wenn das Lesen eines Fotos unerwartet fehlschlägt; dass er ausgelastet ist oder ein Foto abweist, meldet er nicht. Ein solcher Bericht enthält die Art des Fehlers und seine Meldung, den technischen Aufrufverlauf, die Version von BrickDb, die interne Adresse, unter der ihn der API-Server aufgerufen hat, die Kopfzeilen dieses internen Aufrufs — nicht die deines Browsers — und die Angaben zur Serverumgebung. Eine Kennung deines Kontos übermittelt der Lesedienst nicht. Das eingereichte Foto ist in einem Bericht des Lesedienstes nie enthalten, auch nicht in Teilen: Der Inhalt einer Anfrage wird nicht erfasst, und der Lesedienst protokolliert nichts über das Foto.

Was die PDF-Prüfung meldet: Bauanleitungen im PDF-Format, die du zu einer MOC nach Ziffer 8.11 hochlädst, prüft ein weiterer eigener Server von uns, die PDF-Prüfung (die Container-App „brickdb-pdf-sanitiser“), und speichert sie dabei neu ab. Sie sendet einen Fehlerbericht nur, wenn das Neuspeichern einer Datei unerwartet fehlschlägt oder ihr Lizenzschlüssel beim Start abgelehnt wird; dass sie eine Datei abweist oder ausgelastet ist, meldet sie nicht. Ein solcher Bericht enthält die Art des Fehlers und seine Meldung, den technischen Aufrufverlauf, die Version von BrickDb, die interne Adresse, unter der sie der API-Server aufgerufen hat, und die Angaben zur Serverumgebung — aber keine Kopfzeilen, weder die dieses internen Aufrufs noch die deines Browsers. Eine Kennung deines Kontos übermittelt die PDF-Prüfung nicht. Die hochgeladene Datei ist in einem Bericht der PDF-Prüfung nie enthalten, weder ihr Inhalt noch ihr Dateiname, und die IP-Adresse der Verbindung bewahrt Sentry auch für diese Berichte nicht auf.

Was der Abgleichdienst meldet: Der Abgleichdienst für Minifiguren nach Ziffer 8.6 sendet einen Fehlerbericht nur, wenn das Vergleichen eines Bildes unerwartet fehlschlägt; dass er ausgelastet ist oder ein Bild abweist, meldet er nicht. Ein solcher Bericht enthält die Art des Fehlers und seine Meldung, den technischen Aufrufverlauf, die Version von BrickDb, die interne Adresse, unter der ihn der API-Server oder unser nächtlicher Katalogimport aufgerufen hat, die Kopfzeilen dieses internen Aufrufs — nicht die deines Browsers — und die Angaben zur Serverumgebung. Eine Kennung deines Kontos übermittelt der Abgleichdienst nicht. Das eingereichte Foto ist in einem Bericht des Abgleichdienstes nie enthalten, auch nicht in Teilen, und die IP-Adresse der Verbindung bewahrt Sentry auch für diese Berichte nicht auf.

Was der MCP-Server meldet: Über unseren MCP-Server (die Container-App „brickdb-mcp“ unter mcp.brickdb.net) kannst du BrickDb aus einem KI-Assistenten heraus nutzen, etwa aus Claude oder ChatGPT; für jede Anfrage des Assistenten ruft er mit deiner eigenen Anmeldung den API-Server auf. Er sendet einen Fehlerbericht, wenn eine Anfrage unerwartet fehlschlägt oder ein Werkzeug, das der Assistent aufruft, unerwartet einen Fehler auslöst; dass der API-Server eine Anfrage ablehnt, meldet er nicht. Ein solcher Bericht enthält die Art des Fehlers und seine Meldung, den technischen Aufrufverlauf, die Version von BrickDb, die aufgerufene Adresse, die Kopfzeilen der Anfrage, die das Programm deines Assistenten gesendet hat — ohne dein Zugriffstoken und ohne die Kopfzeilen mit einer IP-Adresse —, den Namen des aufgerufenen Werkzeugs, die Anfragen, die der MCP-Server dabei an den API-Server gestellt hat, mit ihrer vollständigen Adresse, und die Angaben zur Serverumgebung. Eine Kennung deines Kontos übermittelt der MCP-Server nicht. Was du dem Assistenten aufgetragen hast, ist in einem Bericht des MCP-Servers nicht als solches enthalten: Der Inhalt einer Anfrage wird nicht erfasst, und von einem Werkzeug protokolliert der MCP-Server nur den Namen, nicht die Angaben, die der Assistent ihm übergibt. In der Adresse einer Anfrage an den API-Server kann eine solche Angabe aber stehen, etwa ein Suchbegriff oder eine Setnummer. Die IP-Adresse der Verbindung bewahrt Sentry auch für diese Berichte nicht auf. Betreibst du den MCP-Server selbst auf deinem eigenen Rechner, sendet er keine Fehlerberichte.

Was dein Browser dem Webserver meldet: Löst ein Skript auf einer Seite der Website in deinem Browser einen Fehler aus, meldet die Seite das an den Webserver, von dem sie geladen wurde, und an niemanden sonst — höchstens fünfmal je Seitenaufruf und denselben Fehler nur einmal. Gemeldet werden die Art des Fehlers, seine Meldung, der Dateiname des Skripts, Zeile und Spalte und der Pfad der Seite, nie ihre Abfrageparameter. Auf deinem Gerät wird dafür nichts gespeichert. Der Webserver kürzt das sofort: Aus dem Pfad wird die Vorlage der Seite (etwa „/sets/{SetNumber}“ statt der Setnummer), in der Meldung werden E-Mail-Adressen, Webadressen, Kennungen, lange Zeichenfolgen und Ziffernfolgen ersetzt, und von der Browserkennung, die jede Anfrage ohnehin mitsendet, bleibt nur die Browserfamilie (etwa „chrome“). Nur diese Angaben schreibt er in sein Protokoll und sendet sie als Fehlerbericht an Sentry — ohne die Kopfzeilen der Anfrage, ohne die Adresse der Seite, ohne deine IP-Adresse und ohne eine Kennung deines Kontos. Deine IP-Adresse verwendet der Webserver nur, um die Zahl der Meldungen je Absender zu begrenzen; er hält sie dafür höchstens zehn Minuten im Arbeitsspeicher und schreibt sie nirgends auf. Eine Einwilligung ist dafür nicht nötig, weil auf deinem Gerät nichts gespeichert wird und dein Browser keinen Dritten kontaktiert; zur Rechtsgrundlage gilt das unten Gesagte.

Was die App zusätzlich festhält: Damit sich ein Fehler auf deinem Gerät nachvollziehen lässt, hängt die App einem Fehlerbericht eine Verlaufsspur an. Sie enthält die Namen der zuletzt geöffneten Seiten (nicht ihre Adressen); für jede Anfrage an unseren Server, die nicht erfolgreich war, die Methode, die Adresse als Muster ohne Kennungen, den Statuscode, die Dauer und, soweit bekannt, die Art des Fehlers; die beim Start festgehaltenen Einstellungen — die Adresse des Servers ohne Pfad, ob Anmeldung und Fehlerberichte eingeschaltet sind und die eingestellte Sprache —; und, weil das Sentry-SDK seine eigene Verlaufsspur für Anfragen führt, für jede Anfrage der App — an unseren Server und an den Anmeldedienst — zusätzlich die vollständige Adresse mit Methode und Statuscode, einschließlich des Pfades, der etwa eine Setnummer oder die Kennung einer Sammlung enthalten kann, und der Abfrageparameter, etwa eines Suchbegriffs. Auch aus dieser Adresse werden die oben genannten Abfrageparameter, deren Name auf ein Geheimnis hindeutet, und E-Mail-Adressen vor dem Senden entfernt. Dieselbe Adresse kann außerdem in einer Laufzeitmessung stehen, die Sentry für einen zufällig ausgewählten Anteil von 2 % der Abläufe in der App erstellt.

Angaben zum Gerät: Jeder Bericht, den die App nach ihrem Start sendet, trägt die Plattform, die Version des Betriebssystems, die Geräteart (etwa Telefon oder Tablet) und die Version der App; sobald die Startprüfung der Darstellung gelaufen ist, außerdem die Art und Hauptversion der Web-Ansicht, in der die App läuft. Lädt die App ein Bild, eine Stilvorlage, ein Skript oder eine Schriftart nicht, oder blockiert sie einen Inhalt aus Sicherheitsgründen, wird festgehalten, was das war — bei eigenen Dateien der Pfad ohne Kennungen, bei fremden Adressen nur der Name des Servers, bei einer Schriftart ihr Name —, und einmal beim Start eine Prüfung der Darstellung: welche Stilvorlagen geladen wurden, wie viele Regeln sie enthalten und welche Schriftart tatsächlich verwendet wird. Ein solcher Ladefehler, ein Serverfehler oder eine Anfrage, die gar keine Antwort erhält, kann auch ohne Absturz einen eigenen Bericht auslösen — derselbe Fehler bei einer Anfrage höchstens einmal in zehn Minuten, bei einem Ladefehler höchstens einmal je Start der App.

Das Protokoll auf deinem Gerät: Die App schreibt in ein Protokoll im eigenen Speicherbereich der App: jede Anfrage an unseren Server — auch jede erfolgreiche — mit Methode, Adresse als Muster ohne Kennungen, Statuscode, Dauer und einer zufälligen Vorgangsnummer; die oben genannten Ladefehler; das Ergebnis der Startprüfung der Darstellung samt Art und Version der Web-Ansicht; die beim Start festgehaltenen Einstellungen; und die übrigen Meldungen der App ab der Stufe „Information“. Die Namen der geöffneten Seiten, die Art eines Fehlers, die Angaben zum Gerät und die vollständigen Adressen aus Sentrys eigener Verlaufsspur stehen nicht in diesem Protokoll. Es umfasst höchstens drei Dateien zu je einem Megabyte, die ältesten Einträge werden überschrieben, und jeder Eintrag wird beim Schreiben so bereinigt wie ein Fehlerbericht. Dieses Protokoll verlässt das Gerät nicht von selbst. Nur wenn du unter „Info“ auf „Diagnosedaten kopieren“ tippst, legt die App die Version der App, die Plattform, die Version des Betriebssystems, die Geräteart, die beim Start festgehaltenen Einstellungen und bis zu 200 der letzten Einträge — noch einmal bereinigt — in die Zwischenablage; wohin du sie einfügst, entscheidest du.

Was ausdrücklich entfernt wird, bevor ein Bericht das Gerät oder den Server verlässt: alle Cookies, der gesamte Inhalt einer Anfrage, jeder Abfrageparameter, dessen Name auf ein Geheimnis hindeutet (unter anderem code, state, token, password, email, key), jeder Kopfzeilenwert, dessen Name auf ein Geheimnis hindeutet, jede Kopfzeile, in der unsere vorgeschalteten Server deine IP-Adresse weiterreichen, sowie E-Mail-Adressen und Zeichenketten, die wie ein Token aussehen — auch mitten in einer Fehlermeldung. Ein Benutzername, eine E-Mail-Adresse oder eine IP-Adresse im Nutzerabschnitt des Berichts wird überschrieben, bevor der Bericht gesendet wird, ebenso die Installationskennung, die das SDK dort von sich aus einträgt. Diese Bereinigung ist so gebaut, dass sie im Fehlerfall den Bericht verwirft statt ihn ungefiltert zu senden.

Die Anwendung selbst übermittelt keine IP-Adresse: SendDefaultPii steht an allen sieben Stellen auf false, die gerade beschriebene Bereinigung überschreibt dieses Feld ohnehin, und sie entfernt auch die Kopfzeilen, in denen unsere vorgeschalteten Server deine IP-Adresse an den Webserver, den API-Server und den MCP-Server weiterreichen. Bildschirmfotos werden nicht angehängt, und die Texte der Bedienoberfläche werden nicht in die Verlaufsspuren aufgenommen; beides ist ausdrücklich abgeschaltet. Fotos können einen Fehlerbericht nicht erreichen, weil der Inhalt einer Anfrage ohnehin vollständig entfernt wird.

Laufzeitmessungen auf dem Server: Unabhängig davon, ob ein Fehler auftritt, erstellen der Webserver, der API-Server, der Lesedienst, die PDF-Prüfung, der Abgleichdienst für Minifiguren und der MCP-Server für einen zufällig ausgewählten Anteil der Anfragen eine Laufzeitmessung und übermitteln sie an Sentry, damit sich langsame Stellen finden lassen; Aufrufe der Statusendpunkte und die Prüfanfragen unserer vorgeschalteten Server sind davon ausgenommen. Der Anteil beträgt höchstens 5 %, derzeit 0,2 %; Anfragen nach statischen Dateien wie Bildern, Stylesheets und Skripten werden nie aufgezeichnet. Kommt eine Anfrage jedoch von der App, vom Webserver oder vom API-Server und gehört sie zu einem Ablauf, für den dort bereits entschieden wurde, ob er gemessen wird, übernimmt der Server diese Entscheidung, sodass ein solcher Ablauf entweder auf allen Stationen gemessen wird oder auf keiner. Eine solche Messung enthält dieselben Angaben zur Anfrage wie ein Fehlerbericht des Servers — die Methode, die aufgerufene Adresse samt ihren Abfrageparametern, etwa einem Suchbegriff, und die Kopfzeilen der Anfrage —, dazu das Muster der aufgerufenen Adresse ohne Kennungen, den Statuscode der Antwort, Beginn und Dauer der Bearbeitung und die Meldungen, die die Anwendung währenddessen protokolliert. Hinzu kommen die einzelnen Arbeitsschritte mit ihrer Dauer: die Anfragen, die der Server dabei selbst stellt — etwa der Webserver an den API-Server oder der API-Server an den Anmeldedienst —, jeweils mit Methode, vollständiger Adresse und Statuscode, und die Datenbankabfragen mit ihrem Text, in dem eingesetzte Werte nur als Platzhalter stehen und nicht die Werte selbst. Auf dem API-Server trägt die Messung die pseudonyme Kennung deines Kontos, wenn du angemeldet warst; der Webserver, der Lesedienst, die PDF-Prüfung, der Abgleichdienst und der MCP-Server übermitteln keine Kennung. Beim Lesedienst betrifft eine Messung nur den internen Aufruf durch den API-Server; er stellt dabei selbst keine Anfragen an andere Server und keine Datenbankabfragen, und das Foto ist auch in einer Messung nie enthalten. Ebenso betrifft bei der PDF-Prüfung eine Messung nur den internen Aufruf durch den API-Server, ohne Anfragen an andere Server und ohne Datenbankabfragen, und die hochgeladene Datei ist auch in einer Messung nie enthalten. Beim Abgleichdienst betrifft eine Messung nur den internen Aufruf durch den API-Server oder unseren nächtlichen Katalogimport, ohne Datenbankabfragen, und das Foto ist auch in einer Messung nie enthalten. Beim MCP-Server betrifft eine Messung die Anfrage deines KI-Assistenten und die Anfragen, die er dafür an den API-Server stellt, ohne Datenbankabfragen; in deren Adressen kann eine Angabe stehen, die der Assistent übergeben hat, etwa ein Suchbegriff. Für jede Laufzeitmessung gilt dieselbe Bereinigung wie für einen Fehlerbericht, oben beschrieben; insbesondere werden die Cookies und die Kopfzeilen mit deiner IP-Adresse vor dem Senden entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse besteht darin, die Anwendung schnell und zuverlässig zu betreiben. Eine vollständige Laufzeitmessung bewahrt Sentry in unserem Tarif höchstens 90 Tage auf; eine verkleinerte Stichprobe der Messungen kann Sentry bis zu 13 Monate aufbewahren.

Die IP-Adresse der Verbindung bewahrt Sentry nicht auf. Beim Absenden eines Berichts wird eine Internetverbindung aufgebaut; die Adresse, von der aus gesendet wurde, ist der annehmenden Stelle während der Übertragung damit zwangsläufig bekannt. Sentry bietet eine Einstellung an, die diese Adresse verwirft statt sie aufzuzeichnen, und diese Einstellung ist für alle sieben Projekte eingeschaltet — die des API-Servers, des Webservers, des Lesedienstes, der PDF-Prüfung, des Abgleichdienstes für Minifiguren, des MCP-Servers und der App. Ein Fehlerbericht behält die Adresse deshalb nicht. Das gilt auch für die Berichte der App, bei denen es die Adresse deines eigenen Internetanschlusses wäre; beim API-Server, beim Webserver, beim Lesedienst, bei der PDF-Prüfung, beim Abgleichdienst und beim MCP-Server wäre es die Adresse unserer eigenen Server.

Für die Übertragung gilt alles Übrige dieser Ziffer unverändert: Empfängerin ist die Functional Software, Inc. d/b/a Sentry, die Berichte gehen an die oben genannte Speicherregion, und die Übermittlung stützt sich auf die oben beschriebenen Standardvertragsklauseln. Sentrys eigene serverseitige Bereinigung ist für alle sieben Projekte — die des API-Servers, des Webservers, des Lesedienstes, der PDF-Prüfung, des Abgleichdienstes für Minifiguren, des MCP-Servers und der App — in ihrer Grundform eingeschaltet; wir haben ihr keine eigenen Regeln hinzugefügt und keine ihrer Regeln entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — für den Fehlerbericht und für die IP-Adresse bei seiner Übertragung gleichermaßen. Das berechtigte Interesse besteht darin, Fehler und Abstürze zu erkennen und zu beheben. Die Adresse wird zu keinem eigenen Zweck verarbeitet und nicht dazu verwendet, dich wiederzuerkennen. Es ist dieselbe Grundlage, auf der Ziffer 3 die IP-Adresse verarbeitet, die bei jeder Verbindung zur Website zwangsläufig anfällt. Du kannst dem nach Art. 21 DSGVO über die Kontaktdaten in Ziffer 2 widersprechen.

Speicherdauer: 90 Tage. Wie lange ein Fehlerbericht bei Sentry aufbewahrt wird, folgt aus dem Tarif, in dem die Organisation liegt. Unsere liegt im Tarif „Business", für den Sentry eine Aufbewahrung von 90 Tagen veröffentlicht; im Tarif „Developer" wären es 30. Anhänge folgen dem Ereignis, zu dem sie gehören. Für ein einzelnes Projekt kann eine kürzere Frist gesetzt werden, die dann vorgeht; keines unserer sieben Projekte trägt eine solche, sodass die 90 Tage für alle sieben gleichermaßen gelten.

12. Empfänger

Personenbezogene Daten werden nicht verkauft und nicht zu Werbezwecken weitergegeben. Empfänger sind derzeit die Microsoft Ireland Operations Limited als Auftragsverarbeiterin für Hosting, Datenbank und Dateiablage sowie — allein auf deine ausdrückliche Anfrage nach Ziffer 8.6 — für die Bildauswertung durch Azure OpenAI, und die Twilio Inc. („SendGrid“) als Auftragsverarbeiterin für den E-Mail-Versand nach Ziffer 7.3, einschließlich der dort beschriebenen Verarbeitung in den Vereinigten Staaten. Hast du der Reichweitenmessung nach Ziffer 10 zugestimmt, tritt für deren Dauer die Google Ireland Limited als weitere Auftragsverarbeiterin hinzu; ohne deine Einwilligung erhält sie nichts. Hast du den Sitzungsaufzeichnungen nach Ziffer 10.2 zugestimmt, erhält die Microsoft Ireland Operations Limited für deren Dauer die dort beschriebenen Daten — insoweit nicht als Auftragsverarbeiterin, sondern als eigenständig Verantwortliche; ohne diese Einwilligung erhält sie dafür nichts. Für die Anmeldung nach Ziffer 7.1 ist Auth0 / Okta, Inc. Auftragsverarbeiterin, und für die Fehlerberichte nach Ziffer 11 die Functional Software, Inc. d/b/a Sentry; beide haben ihren Sitz in den Vereinigten Staaten und stützen die Übermittlung auf die Standardvertragsklauseln der EU-Kommission, wie in den genannten Ziffern beschrieben. Lässt du nach Ziffer 8.10 deine Sammlung von Rebrickable übernehmen, erhält Rebrickable einmalig die von dir eingegebenen Zugangsdaten deines dortigen Kontos. Für die KI-gestützten Blogtexte nach Ziffer 9 ist die Microsoft Ireland Operations Limited ebenfalls Auftragsverarbeiterin. Genehmigte Veranstaltungsangaben sind gemäß Ziffer 8.4 öffentlich; die Verknüpfung zum Konto gehört nicht dazu. Darüber hinaus erfolgt eine Weitergabe nur, wenn dazu eine gesetzliche Verpflichtung besteht. Für die automatische Prüfung von Inhalten nach Ziffer 8.12 ist die Microsoft Ireland Operations Limited ebenfalls Auftragsverarbeiterin; diese Prüfung findet in Frankreich statt. Für das Auslesen eines Flyers nach Ziffer 8.4 ist die Microsoft Ireland Operations Limited ebenfalls Auftragsverarbeiterin. Für die Schutzprüfung der Formulare nach Ziffer 8.13 erhält die Cloudflare, Inc. die dort beschriebenen Daten. Für die Ortssuche nach Ziffer 8.18 ist die Microsoft Ireland Operations Limited (Azure Maps) ebenfalls Auftragsverarbeiterin. Für Push-Mitteilungen nach Ziffer 10.4 ist OneSignal, Inc. Auftragsverarbeiterin; sie hat ihren Sitz in den Vereinigten Staaten (die Übermittlung ist in Ziffer 10.4 beschrieben), und zugestellt wird über Google (Android) und Apple (iOS). Für den Versand eines Gewinns aus dem Adventskalender nach Ziffer 8.23 erhält die Deutsche Post / DHL die Lieferanschrift.

13. Speicherdauer

• Sammlungsdaten und Fotos: bis zur Löschung durch die betroffene Person oder bis zur Löschung des Kontos.
• Ergebnisse der automatischen Prüfung: solange der geprüfte Inhalt besteht, längstens bis zur Löschung des Kontos, mit der in Ziffer 8.12 genannten Ausnahme; der Zähler der monatlichen Prüfungen bis zur Löschung des Kontos.
• Einstellungen auf dem Endgerät: siehe Ziffer 6.1; die Speicher der App auf dem Gerät: bis zur Abmeldung, siehe Ziffer 6.5.
• Kontodaten beim Identitätsdienstleister (Ziffer 7.1 und 7.2): bis zur Löschung des Kontos, die das Konto bei Auth0 mitlöscht.
• Reichweitenmessung: bis zu 14 Monate ab der letzten Interaktion für ereignis- und nutzerbezogene Daten bei Google, 182 Tage für das Einwilligungs-Cookie auf deinem Gerät — siehe Ziffer 10.
• Sitzungsaufzeichnungen: 30 Tage für Aufzeichnungen, bis zu 9 Monate für Heatmap-Daten und für markierte oder als Stichprobe ausgewählte Aufzeichnungen bei Microsoft — siehe Ziffer 10.2.
• Veranstaltungsvorschläge: die nach Status getrennte Speicherdauer aus Ziffer 8.4.
• Supportanfragen: 24 Monate nach Abschluss des Vorgangs — siehe Ziffer 8.7, auch dazu, warum die Frist ab dem Abschluss und nicht ab dem Eingang läuft.
• Meldungen zu Inhalten: 24 Monate nach der Entscheidung — siehe Ziffer 8.8, auch dazu, warum die Frist ab der Entscheidung und nicht ab dem Eingang läuft und warum eine noch nicht entschiedene Meldung nicht gelöscht wird.
• Aktionen der Administration an Nutzerkonten (Audit-Protokoll): 24 Monate nach der Aktion — siehe Ziffer 8.9, auch dazu, was bleibt, wenn das Konto gelöscht wird. Kontodaten und Anmeldeverlauf, die der Administration angezeigt werden, werden live bei Auth0 gelesen und von BrickDb nicht gespeichert.
• Fotos zum Lesen der Setnummer (Ziffer 8.5) und zur Zustandsbewertung (Ziffer 8.6): werden bei BrickDb nicht gespeichert und mit Ende der Anfrage verworfen.
• Versendete E-Mails: bei BrickDb wird keine Kopie angelegt; zu den Zustelldaten beim Versanddienstleister siehe Ziffer 7.3.
• Protokolle auf Infrastrukturebene: siehe Ziffer 3.
• Fehlerberichte bei Sentry: 90 Tage — siehe Ziffer 11; die IP-Adresse der Verbindung, über die sie zugestellt wurden, bewahrt Sentry nicht auf.
• Laufzeitmessungen bei Sentry: vollständig höchstens 90 Tage, als verkleinerte Stichprobe bis zu 13 Monate — siehe Ziffer 11.
• Gespeicherte Fotomosaike (Ziffer 8.14): bis du sie oder dein Konto löschst.
• Gespeicherte Steintext-Schilder (Ziffer 8.24): bis du sie oder dein Konto löschst.
• Aufträge für eine Bauanleitung als PDF und das PDF selbst (Ziffern 8.14 und 8.17): 24 Stunden ab der Fertigstellung, gelöscht spätestens 48 Stunden nach der Fertigstellung.
• Kopien von Fotos im Speicher für Trainingsdaten (Ziffer 8.15): solange deine Einwilligung besteht und das Foto gespeichert ist; nach einem Widerruf oder dem Löschen des Fotos oder deines Kontos in der folgenden Nacht gelöscht.
• Merchandise-Beiträge und ihr Foto (Ziffer 8.16): bis dein Konto gelöscht wird; ein abgelehnter Beitrag verliert sein Foto sofort.
• Anträge auf einen Laden und ihre Nachweise (Ziffer 8.20): Nachweise bis zur Entscheidung, spätestens 30 Tage nach dem Hochladen; ein nicht eingereichter Antrag 30 Tage, ein abgelehnter oder zurückgezogener 180 Tage nach der Entscheidung, ein angenommener, solange du den Laden verwaltest.
• Änderungen, die du als Verwaltender eines Ladens vorgenommen hast (Ziffer 8.20): bis dein Konto gelöscht wird; die Änderung selbst bleibt auf der Seite des Ladens.
• Schutzprüfung der Formulare (Ziffer 8.13): bei BrickDb wird nichts gespeichert.
• Push-Kennung und Benachrichtigungseinstellungen (Ziffer 10.4): bis dein Konto gelöscht wird; den Nutzer bei OneSignal löschen wir dabei mit. Bei OneSignal nach dessen Angabe: Daten aus der Schnittstelle und aus automatisierten Nachrichten 30 Tage, danach gelöscht.
• Browser-Abonnements für Web-Push (Ziffer 10.4): bis du Push in diesem Browser ausschaltest, sein Push-Dienst es als nicht mehr gültig meldet oder dein Konto gelöscht wird.
• Anträge, BrickDb zu testen, und Testergebnisse mit ihren Screenshots (Ziffer 8.21): ein entschiedener Antrag 24 Monate nach der Entscheidung; ein Ergebnis 24 Monate, nachdem seine Fassung der Checkliste außer Gebrauch genommen wurde.

Wird ein Eintrag gelöscht, werden die zugehörigen Fotos mitgelöscht — einschließlich der verkleinerten Fassungen nach Ziffer 8. Aus Sicherungskopien verschwinden gelöschte Daten mit deren regulärem Ablauf, spätestens nach 35 Tagen.

14. Rechte der betroffenen Personen

Es bestehen die folgenden Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung genügt eine formlose Nachricht an die unter Ziffer 2 genannte E-Mail-Adresse.

Das Auskunftsrecht nach Art. 15 DSGVO lässt sich außerdem unmittelbar und ohne Nachricht ausüben: Die Kontoseite erzeugt eine vollständige, maschinenlesbare Kopie aller gespeicherten Daten — Konto und Profil, Sammlungen mit ihren Mitgliedern und den von dir ausgesprochenen Einladungen, die Exemplare darin mit Notizen, Schlagwörtern, Zustand, Kaufpreisen und Verkäufernotizen, einzelne Minifiguren und lose Teile, deine Exemplare von Magazinausgaben und Büchern, deine Lagerorte und welches Exemplar an welchem davon liegt, erfasste Signaturen, die Merkliste, die eigenen Beiträge zu Tütencodes und Verpackungsbarcodes, die eigenen Veranstaltungsvorschläge in jedem Moderationsstatus, angestoßene Stapelverarbeitungen von Verpackungsfotos, die Einträge des Audit-Protokolls der Administration zu deinem Konto (Ziffer 8.9), jedes hochgeladene Foto sowie dein Avatarbild, falls du eines hochgeladen hast.

Was diese Kopie nicht enthält, und warum: die Anmeldedaten beim Identitätsdienstleister (E-Mail-Adresse, Passwort, Anmeldeverlauf, hinterlegte zweite Faktoren) — sie liegen bei Auth0, das dafür eine eigene Auskunft erteilt; Einladungen, die andere an deine Adresse gerichtet haben, weil sie deren Daten sind und nicht deine; die aus deinen Exemplaren abgeleitete Teileansicht, weil sie nichts enthält, was nicht ohnehin in der Kopie steht; Supportanfragen — und zwar alle, weil in dieser Version kein Vorgang mit einem Konto verknüpft ist und wir nicht erkennen können, welche deine sind (Ziffer 8.7 sagt, wie du uns dazu erreichst); interne Notizen zu einem Supportvorgang, die uns gehören und nicht dir (ebenfalls Ziffer 8.7); die kurze Aufzeichnung einer Mail an die Supportadresse, die kein Vorgang wurde, weil sie mit keinem Konto verknüpft ist (Ziffer 8.7); Meldungen zu Inhalten, die ebenfalls mit keinem Konto verknüpft sind, und die Notizen, die wir bei der Entscheidung über eine Meldung zu deinem Inhalt geschrieben haben (Ziffer 8.8); wer aus der Administration an deinem Konto gehandelt hat, weil das die Daten dieser Person sind und nicht deine (Ziffer 8.9); und die eingereihte Benachrichtigung zu einem von dir eingereichten Veranstaltungsvorschlag, die nur Versandmechanik enthält und auf den oben bereits aufgeführten Vorschlag verweist.

Auch das Recht auf Löschung nach Art. 17 DSGVO lässt sich dort unmittelbar ausüben. Die Kontoseite zeigt vorab an, was genau gelöscht wird; bestätigt wird die Löschung dann sofort ausgeführt: die Sammlung, die Lagerorte, die Fotos (die Dateien selbst, nicht nur die Einträge) und das Anmeldekonto beim Identitätsanbieter. Das lässt sich nicht rückgängig machen.

Die Ausnahmen sind bewusst so geregelt; für Veranstaltungen gilt Ziffer 8.4. Die eigenen Beiträge zu den Tütencodes werden anonymisiert statt gelöscht: welche Figur in einer Tüte steckt, ist eine Tatsache über ein LEGO-Produkt, die andere Nutzerinnen und Nutzer gemeinsam ermittelt haben und auf die sie sich verlassen — der Beitrag bleibt bestehen, die Verknüpfung zur Person wird ersetzt durch einen neu gezogenen Zufallswert, zu dem kein Konto und keine Zuordnung mehr existiert (Erwägungs­grund 26 DSGVO). Ein Exemplar, das in eine mit anderen Personen geteilte Sammlung eingebracht wurde, wird ebenso anonymisiert statt gelöscht: es zu löschen würde den anderen Beteiligten ihren Eintrag zu einem gemeinsam geführten Set nehmen. Setnummer, Anzahl und Zustand bleiben daher bei der Sammlung; alles Persönliche daran fällt weg — der selbst vergebene Name, die Notizen, die Schlagworte, der Aufbewahrungsort, der gezahlte Preis, die eigene Wertschätzung und die Fotos — zusammen mit der Verknüpfung zur Person, ersetzt durch einen ebenso neu gezogenen Zufallswert. Ein Exemplar in einer Sammlung, in der sonst niemand ist, wird vollständig gelöscht — es gibt niemanden, dem es genommen würde. Und Sicherungskopien folgen weiterhin Ziffer 13: gelöschte Daten verschwinden dort mit deren regulärem Ablauf, spätestens nach 35 Tagen.

Die einzelnen Schritte, eine Aufzählung dessen, was gelöscht wird und was anonymisiert erhalten bleibt, und der Weg für Personen, die sich nicht mehr anmelden können, stehen zusammengefasst auf der Seite Löschung von Konto und Daten. Sie ist ohne Anmeldung erreichbar und gibt nur wieder, was in dieser Ziffer steht.

Beschwerderecht

Unabhängig davon besteht nach Art. 77 DSGVO ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere im Mitgliedstaat des gewöhnlichen Aufenthaltsorts, des Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für den Verantwortlichen zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
www.ldi.nrw.de

Zusätzliche Hinweise für das Vereinigte Königreich, die USA und Mexiko

Vereinigtes Königreich: Wenn du im Vereinigten Königreich lebst, stehen dir die in dieser Ziffer genannten Rechte auch nach der UK GDPR und dem Data Protection Act 2018 zu. Beschweren kannst du dich außerdem beim Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, Vereinigtes Königreich, ico.org.uk. Einen Vertreter im Vereinigten Königreich nach Art. 27 UK GDPR haben wir nicht bestellt, weil wir Daten von Personen im Vereinigten Königreich nur gelegentlich verarbeiten (Art. 27 Abs. 2 lit. a UK GDPR).

Vereinigte Staaten: Wir verkaufen personenbezogene Daten nicht und geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter – weder „sell“ noch „share“ im Sinne des California Consumer Privacy Act und vergleichbarer Gesetze anderer US-Bundesstaaten. Auskunft, Berichtigung, Löschung und eine Kopie deiner Daten verlangst du wie in dieser Ziffer beschrieben: über die Kontoseite oder mit einer formlosen Nachricht an die unter Ziffer 2 genannte E-Mail-Adresse. Wer diese Rechte ausübt, wird dafür nicht benachteiligt.

Mexiko: Nach der Ley Federal de Protección de Datos Personales en Posesión de los Particulares hast du die sogenannten ARCO-Rechte – Auskunft, Berichtigung, Löschung und Widerspruch – sowie das Recht, eine Einwilligung zu widerrufen. Du übst sie wie in dieser Ziffer beschrieben mit einer formlosen Nachricht an die unter Ziffer 2 genannte E-Mail-Adresse aus, auf Wunsch auf Spanisch. Auf Spanisch: Puede ejercer sus derechos de acceso, rectificación, cancelación y oposición (derechos ARCO) y revocar su consentimiento escribiendo a la dirección de correo electrónico indicada en la sección 2.

15. Pflicht zur Bereitstellung

Die Bereitstellung von Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Angaben lassen sich die Sammlungsfunktionen jedoch nicht sinnvoll nutzen; die frei zugänglichen Teile des Angebots stehen ohne jede Angabe offen.

16. Änderungen und maßgebliche Sprachfassung

Diese Erklärung wird angepasst, wenn sich die Verarbeitung oder die Rechtslage ändert. Maßgeblich ist die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand.

Maßgeblich ist die deutsche Fassung. Die Fassungen in englischer, französischer, niederländischer, dänischer, italienischer und spanischer Sprache sind Übersetzungen zur Information und haben keine eigenständige rechtliche Wirkung.