Privacy Policy / Datenschutzerklärung

Last updated: October 16, 2026 · Stand: 16. Oktober 2026

English

This Privacy Policy explains what personal data Commandarium processes, when and why, on which legal basis, who receives it, how long it is kept, and what rights you have under the General Data Protection Regulation (GDPR) and the German Telecommunications Digital Services Data Protection Act (TDDDG).

1. Controller

The controller responsible for the processing of personal data in connection with Commandarium (formerly Command Forge) is:

Carsten Kohler
Bertramstraße 3
06110 Halle (Saale)
Germany
Email: kohler.carsten@mailbox.org

Commandarium is operated as a side project by an individual developer. There is no data protection officer; please send any privacy request to the address above.

2. Overview

You can use search, the scanner, import, prices and deck building without an account. Your collection, decks and settings are then kept only in your browser (section 18). Data reaches us or third parties only in these cases:

whenever you open a page: our hosting provider Cloudflare (sections 3 and 4);
when card data, card images, prices or exchange rates are shown: Scryfall and Frankfurter, directly from your browser (sections 7 and 7a);
when you build or analyse a deck: EDHREC directly from your browser, Commander Spellbook through our server (sections 8 and 8a);
when you sign in: Supabase, Cloudflare Turnstile and, if you choose them, Google or Apple (section 5);
when you use your account: Supabase (sections 6 and 6a), and for AI analyses Anthropic (sections 10 and 11);
when you buy, cancel or withdraw from Commandarium Plus: RevenueCat, Stripe and Resend (sections 12 to 15a);
only with your consent: Google Analytics and, once switched on, Google AdSense (sections 16 to 17).

3. Website Access, Technical Data and Logs

When you open Commandarium, your browser sends technical data to our hosting provider: IP address, date and time, the requested address, the referring address, browser type and version, operating system and connection data. This is necessary to deliver the website, keep it available and protect it against attacks and misuse.

We do not keep our own web server log files. Our hosting provider Cloudflare (section 4) and our backend provider Supabase (section 5) process such connection data, including IP addresses, in their systems and keep short-term request logs for operation and security.

The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest is the secure, stable and reliable operation of Commandarium.

4. Hosting and Delivery via Cloudflare

The website and web app are hosted on Cloudflare Pages by Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (“Cloudflare”). Every page request passes through Cloudflare’s network, which processes the technical data named in section 3 to deliver the pages, to protect against attacks and to keep the site available.

If a page fails to load, your browser may send a short network error report (time, address, type of error, IP address, browser) to Cloudflare (“Network Error Logging”); successful loads are not reported.

Cloudflare also provides the bot check Turnstile for sign-in (section 5).

The legal basis is Art. 6(1)(f) GDPR (secure and reliable delivery). Cloudflare acts as our processor. Data may be processed in the USA (section 21).

5. User Accounts and Authentication

A free account is needed to sync your data between devices, to share decks, for AI deck analyses and to buy Plus on the website. When you create and use an account we process:

your email address and a user ID,
your password, stored only as a cryptographic hash (not for sign-in with Google or Apple),
the time of registration, email confirmation and your last sign-ins, and the sign-in method,
technical data of sign-in requests, including your IP address, in Supabase’s authentication logs.

We use Supabase (Supabase, Inc., USA) for authentication, the database and our server functions. Our Supabase project and its database are hosted in the European Union (AWS region eu-west-1, Ireland). Our server functions (“Edge Functions”) run on Supabase’s infrastructure. Supabase acts as our processor.

Account emails (confirmation, sign-in link, password reset, change of address) are sent through Resend (section 14).

The legal basis is Art. 6(1)(b) GDPR (the account you asked for) and, for the logs, Art. 6(1)(f) GDPR (security).

Sign in with Google (optional). Instead of an email address and password you can sign in with your Google account. You are then redirected to Google (Google Ireland Limited, Ireland), sign in there and decide what is shared with us. We receive your email address, Google's user ID for your account and, if you allow it, your name and profile picture. We do not receive your Google password. Google processes your sign-in under its own privacy policy and as a separate controller; data may be transferred to the USA (section 21). The legal basis is Art. 6(1)(b) GDPR. You can use Commandarium's account features without Google.

Sign in with Apple (optional, in the iOS app only). In the iOS app you can also sign in with your Apple Account. Apple (Apple Distribution International Ltd., Ireland) shows its own sign-in sheet and asks what to share. We receive Apple's user ID for your account and an email address – your real one, or a private relay address Apple creates if you choose “Hide My Email” – and, on the first sign-in only, the name you allow. We do not receive your Apple password. Apple processes your sign-in under its own privacy policy and as a separate controller. The legal basis is Art. 6(1)(b) GDPR. You can use the app's account features without Apple.

Bot check (Cloudflare Turnstile). To protect accounts and the AI features against automated abuse (for example bots opening accounts in bulk), registration, sign-in, sign-in links and password resets are checked with Cloudflare Turnstile. Turnstile is loaded from challenges.cloudflare.com only when the sign-in form is on your screen. It evaluates technical signals from your browser and connection, such as your IP address and browser properties, and usually runs without any action on your part; it sets no cookies on our domain and is not used for advertising. The result is a one-time token that Supabase checks at sign-in. In the apps, Turnstile runs on a page of commandarium.app shown in a small frame. The legal basis is Art. 6(1)(f) GDPR; our legitimate interest is the security of the service and the prevention of abuse. Storing and reading information on your device for this is strictly necessary for the sign-in you request (§ 25(2) no. 2 TDDDG).

6. Storing Decks and Card Collections

If you sign in, your collection (cards, quantities, conditions, binders, wishlists and the details you enter, such as purchase prices), your decks and your settings are stored with your user ID in our Supabase database (EU) and synchronised with your devices. Without an account they stay in your browser only.

The legal basis is Art. 6(1)(b) GDPR. The data is kept as long as your account exists and is deleted with it (section 24). You can export it at any time under Settings → Data & backup.

6a. Shared Decks

If you share a deck (“Share” → “Create link”), a copy of that deck (deck name, commander, card list with card data, sideboard, detected strategy and themes) is stored in our database (Supabase, EU) and can be opened without signing in by anyone who has the link. Your collection, which cards you own, your other decks and your email address are not shared, and the copy does not show who created it.

Please treat a shared deck as public: the link is hard to guess, but shared decks can also be retrieved through our public database interface without knowing the link. Do not put personal information into a deck name.

The copy remains stored until you choose “Stop sharing” or your account is deleted; the link then stops working at once.

The legal basis is Art. 6(1)(b) GDPR.

7. Scryfall Card Data

Card data, card images, mana symbols and prices come from Scryfall (Scryfall, LLC, USA). Whenever Commandarium shows cards or searches for them, your browser requests this data directly from Scryfall’s servers (api.scryfall.com, cards.scryfall.io, svgs.scryfall.io). Scryfall therefore receives your IP address, browser information, the time and the search or card requested. We send no account data to Scryfall.

Prices shown are those Scryfall provides (from TCGplayer, Cardmarket and Cardhoarder).

The legal basis is Art. 6(1)(b) GDPR (the feature you use) and Art. 6(1)(f) GDPR (efficient operation without our own card database). Scryfall processes the requests under its own privacy policy.

7a. Exchange Rates

To show prices in your currency, the app requests the European Central Bank reference rates from Frankfurter (api.frankfurter.dev) when it starts, at most once a day. Frankfurter receives your IP address, browser information and the time of the request; no other data is sent.

The legal basis is Art. 6(1)(f) GDPR (correct prices in your currency).

7b. Shop Links and Affiliate Links

Commandarium links to shops where you can buy cards (TCGplayer, Cardmarket, Cardhoarder). Links to TCGplayer (TCGplayer, Inc., USA) can be affiliate links of TCGplayer's partner program, which is run by impact.com (Impact Tech, Inc., USA). Where this is the case, a note next to the shop button says so. If you buy something after clicking such a link, Commandarium may receive a commission. The price you pay does not change.

Nothing is loaded from impact.com while you use Commandarium, and Commandarium sets no cookies for this purpose. Only when you click a shop link does your browser leave Commandarium and open impact.com's redirect, which records the click, may set a cookie on its own domain and forwards you to TCGplayer. impact.com and TCGplayer then receive your IP address, browser information, the target page and a placement code that names the button you used (for example “shoplist”). Commandarium sends no name, e-mail address or account ID along. From impact.com, Commandarium only receives reports with the number of clicks, orders and commissions per placement, without data that identifies you.

The legal basis for offering the links is Art. 6(1)(f) GDPR; our legitimate interest is financing the free version of Commandarium. The processing after your click is the responsibility of impact.com and TCGplayer and is subject to their privacy policies. Links to Cardmarket and Cardhoarder are ordinary links; Commandarium earns nothing from them.

8. EDHREC

When you build a deck, view recommendations or ask for upgrades, your browser loads statistics for the commander and theme from EDHREC (json.edhrec.com, USA). EDHREC receives your IP address, browser information and which commander or theme was requested. If you have set up your own proxy under Settings → Developer, the request goes through that proxy instead.

The legal basis is Art. 6(1)(b) GDPR (the feature you use). EDHREC processes the requests under its own privacy policy.

8a. Commander Spellbook (Combos)

When the app looks for combos in a deck, it sends the names of the deck’s cards and commanders to our server function, which asks Commander Spellbook (backend.commanderspellbook.com) on your behalf and returns only the combos found. Commander Spellbook receives the card names from our server, not your IP address, account or any other data about you, and we do not store the request.

The legal basis is Art. 6(1)(b) GDPR.

9. Moxfield and Archidekt

Commandarium does not exchange data with Moxfield or Archidekt on its own. Importing a deck by its Moxfield or Archidekt link is only offered if you have set up your own proxy under Settings → Developer: your browser then sends the link to your proxy, which fetches the public deck from that site. Exports in Moxfield’s CSV format are created on your device.

9a. Card Scanner

The card scanner uses your camera only after you have allowed access in your browser or app. Camera images are processed exclusively on your device: the card is detected in the image, and a short numeric value (an image fingerprint) is calculated from it and compared on your device with an index of all card printings, which the app downloads from our website. Text recognition, if needed, also runs on your device. Neither the photo nor the fingerprint is transmitted or stored.

On the website, the scanner’s libraries are loaded when you start it: OpenCV from docs.opencv.org and the text recognition (Tesseract with its English language data) from cdn.jsdelivr.net (section 19); the apps contain them. Once a card has been recognised, its card data and prices are requested from Scryfall (section 7).

The legal basis is Art. 6(1)(b) GDPR.

9b. The iOS and Android Apps

The Commandarium apps for iPhone and iPad and for Android offer the same functions as the website and process the same data as described in this policy, with these differences:

Your collection, decks and settings are stored in the app on your device (and in your account if you sign in).
The app shows no ads and uses no Google Analytics; sections 16 and 16a and the consent banner (section 17) do not apply to it.
The camera is used only for the card scanner and only after you allow it in iOS or Android. Pictures are analysed on your device and are not uploaded (see section 9a).
Links to shops, Scryfall and our legal pages open in an in-app browser (Safari on iOS, your default browser on Android) or in the respective app. Those pages are subject to their providers’ privacy policies.
Sign in with Google opens Google’s sign-in page in that in-app browser (see section 5). Sign in with Apple is offered in the iOS app only.
For email sign-in, the bot check (Cloudflare Turnstile, see section 5) is loaded from a page on commandarium.app that the app shows in a small frame.
Plus is bought through the App Store or Google Play (see section 12).

10. AI Deck Analyses (“Make it stronger”)

With an account you can ask an AI model to suggest upgrades for a deck. The request goes from your browser to our server function (Supabase), which checks your sign-in, your email confirmation and your monthly allowance, asks RevenueCat with your user ID whether you have Plus (section 12), and then sends the analysis request to Anthropic (Anthropic, PBC, USA), which runs the model Claude. Your browser does not communicate with Anthropic directly.

Anthropic receives only the deck data needed for the analysis:

the commander (and partner) with type and rules text, the colours, the detected strategy and themes, the EDHREC themes the deck was built for,
the deck list: card names and counts, card type, mana value, role, EDHREC share and Game Changer status,
role counts and targets, average mana value, bracket and mana base figures, and a budget if you set one,
the candidate cards the app selected: name, type, mana value, role, rules text, EDHREC figures and, for cards to buy, the price.

With “My cards” the candidates are up to 100 cards from your collection that fit the deck (names and card data only, without quantities, condition, binders or purchase prices), and the deck list says which of its cards you do not own yet. Otherwise nothing from your collection is sent.

Anthropic receives no email address, user ID, IP address or name from us.

The legal basis is Art. 6(1)(b) GDPR (the analysis you ask for). Anthropic processes the requests as our processor. Data is transferred to the USA (section 21).

11. Storage of AI Requests and Results

Our database (Supabase, EU) keeps two things about AI analyses:

Usage records for the monthly allowance and abuse protection: your user ID, the time, whether you had Plus, the number of tokens used and the status. In the free version a salted hash of your IP address is added, only to limit free analyses per day. Such a hash is pseudonymised data, not anonymous data; it is removed after the calendar day (UTC). Usage records are deleted at the end of the calendar month after the analysis, and with your account.
An answer cache: a hash of the request (commander, deck and candidate card names, budget, bracket and mode) together with the AI’s answer, without your user ID. An identical request from anyone is answered from this cache for 30 days, after which the entry is deleted. The suggestions themselves are also saved with your deck in your browser and account.

Our server function logs only technical errors, without the content of your deck.

The legal basis is Art. 6(1)(b) GDPR (allowance, answers) and Art. 6(1)(f) GDPR (protection against abuse and costs).

12. Commandarium Plus: Subscription Management

Subscriptions are managed with RevenueCat (RevenueCat, Inc., USA). When you open Plus on the website while signed in, the app loads RevenueCat’s payment library (section 19) and RevenueCat receives your user ID (as customer ID), your email address and, when you buy, the purchase and subscription status (product, start, renewal, expiry, cancellation). Our server functions ask RevenueCat for this status with your user ID to apply the AI allowance and to work out the end date of a cancellation (section 15a).

Contract confirmation for purchases on the website. When you buy Plus on the website, RevenueCat notifies our server function of the purchase (webhook): your user ID, the product, price and currency, the time of purchase, the payment system, the transaction number and whether you ticked “Start Plus right away”. We then look up the email address of your account (or, if there is none, the one stored at RevenueCat) and send you the confirmation of your contract with the Terms and the instructions on withdrawal by email (section 14). So that it goes out only once and we can prove it was sent, we store a record of it: the RevenueCat event and transaction number, your user ID, the product, payment system and time of purchase, whether you asked for Plus to start right away, the version of the Terms, the address the confirmation went to and when it was sent. This record is not deleted with your account; it is kept until the end of the third calendar year after the purchase (the regular limitation period) and then deleted. The legal basis is Art. 6(1)(c) GDPR in conjunction with § 312f(2) BGB (we must confirm the contract) and Art. 6(1)(b) and (f) GDPR (performing the contract, proof).

RevenueCat acts as our processor. Data is transferred to the USA (section 21).

Purchases in the iOS app. In the iOS app, Plus is sold through Apple’s App Store. Apple is the seller and processes the payment under its own terms and privacy policy; we do not receive your payment details. Through RevenueCat we receive the purchase and subscription status for your account (or, if you buy without an account, for a random ID on your device that is moved to your account when you sign in).

Purchases in the Android app. In the Android app, Plus is sold through Google Play. Google (Google Commerce Ltd, Ireland) is the seller and processes the payment under its own terms and privacy policy; we do not receive your payment details. Through RevenueCat we receive the purchase and subscription status in the same way as for the iOS app.

The legal basis is Art. 6(1)(b) GDPR.

13. Payments via Stripe

On the website, the checkout of RevenueCat Web Billing processes your payment through Stripe (Stripe Payments Europe, Ltd., Ireland, with Stripe, Inc., USA). Stripe receives the payment details you enter (for example card data, or Apple Pay or Google Pay through your wallet), your name, email address, billing country or address, the product bought and transaction data. We do not receive your full card details.

Stripe also processes payment data for fraud prevention and to meet its own legal obligations, partly as a separate controller under its own privacy policy. The legal basis is Art. 6(1)(b) GDPR and, where payment and accounting records must be kept, Art. 6(1)(c) GDPR.

14. Contact and Email

If you write to us by email or through the contact form, we process your email address, your name if given, your message, the time and the page you wrote from. Contact form messages are stored in our database (Supabase, EU) and forwarded to our mailbox at mailbox.org (Heinlein Support GmbH, Berlin, Germany), where email to us is received.

Emails from Commandarium (account emails, contract confirmations for Plus bought on the website (section 12), confirmations of cancellations and withdrawals, contact notifications) are sent through Resend (Resend, Inc., USA), which processes the recipient address, the content and delivery data.

The legal basis is Art. 6(1)(b) GDPR where your message relates to a contract and Art. 6(1)(f) GDPR otherwise (answering your request).

15. Retention of Contact Messages

Contact form messages are deleted from our database 12 months after receipt. Emails are deleted from our mailbox once the matter is settled, unless a statutory retention obligation applies or they are needed to establish, exercise or defend legal claims.

15a. Cancellations and Withdrawals

If you cancel through “Cancel contracts here” (Verträge hier kündigen) or withdraw through “Withdraw from contract” (Vertrag widerrufen), we store your name and email address, the contract, your declaration (for a cancellation: its type, reason, the end date you asked for and the end date we confirm; for a withdrawal: the order date and note you give) and the time of receipt, and send you a confirmation by email (section 14) and a notification to our mailbox.

To tell you the date your contract ends, we look up whether an account with this email address exists and ask RevenueCat for its Plus subscription (store, product and its dates); the result is stored with the declaration.

To protect these forms against abuse (at most five submissions per hour from one connection), we store a salted hash of your IP address for one hour. This hash is pseudonymised data, not anonymous data; after one hour it is removed.

The legal basis is Art. 6(1)(c) GDPR in conjunction with §§ 312k and 356a BGB (we must accept and confirm the declaration) and Art. 6(1)(b) and (f) GDPR (carrying it out, proof). Declarations are kept for three years after receipt, the regular limitation period, and then deleted.

16. Advertising with Google AdSense

At present no ads are shown: no ad units are switched on, so Google’s ad script is not loaded even if you allow “Ads”. The rest of this section describes what applies once ads are switched on in the free version. Commandarium Plus shows no ads.

Ads are provided by Google AdSense, a service of Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (“Google”).

Only with your consent. Google’s ad script is not loaded at all until you allow “Ads” in our consent banner or in the privacy settings (section 17). If you reject ads, or make no choice, no ad is loaded and nothing is sent to Google for advertising.

Once you have allowed ads, your browser loads Google’s ad script, and Google stores and reads cookies and similar identifiers on your device. Google processes in particular your IP address, information about your device and browser, the page on which an ad is shown, whether an ad was seen or clicked, and these identifiers, in order to deliver ads, to limit how often you see the same ad, to measure ads, and to prevent fraud and abuse.

Personalised ads are only requested if you have also allowed “Personalised ads”. Google then chooses ads from a profile of your interests, built from your activity on this and other websites. Otherwise we ask Google for non-personalised ads, which are chosen by the content of the page and your approximate location (derived from your IP address). Because we do not use a consent tool certified by Google under the IAB Transparency and Consent Framework, Google shows only non-personalised or limited ads to visitors from the European Economic Area, the United Kingdom and Switzerland, whatever they allow.

Cookie	Set by / on	Purpose	Storage period
__gads, __gpi, __eoi	Google, on commandarium.app	Ad delivery, frequency capping, measurement	up to 13 months
IDE, DSID, test_cookie	Google, on doubleclick.net	Ad delivery, personalisation (if allowed), fraud prevention	up to 13 months

The legal basis is your consent under Art. 6(1)(a) GDPR and § 25(1) TDDDG. Google processes the data as a controller in its own right; the Google Ads Controller-Controller Data Protection Terms apply between Google and us. Data may be transferred to Google LLC in the USA (section 21).

You can withdraw your consent at any time with effect for the future, as easily as you gave it: through “Privacy settings” at the bottom of the app, in Settings → Privacy, or with the button in section 17. The app then reloads without Google’s script and deletes Google’s cookies on our domain; cookies on Google’s own domains can be deleted in your browser settings. You can also control personalised ads in Google’s My Ad Center. More: Google Privacy Policy, How Google uses information from sites that use its services.

16a. Web Analytics with Google Analytics

To understand how Commandarium is used and what to improve, we use Google Analytics 4, a web analytics service of Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (“Google”), in the web app and on our feature, guide and use-case pages.

Only with your consent. Google’s analytics script is not loaded at all until you allow “Statistics” in our consent banner or in the privacy settings (section 17). If you reject it, or make no choice, nothing is sent to Google for analytics. This applies to the free version and to Commandarium Plus alike.

What is processed. Once you have allowed statistics, Google Analytics stores cookies with a random identifier on your device and records how you use Commandarium: the pages and features you open, the time and duration of your visit, the website you came from, your browser, operating system, device type, screen size and language, and your approximate location (country, region, city), which Google derives from your IP address. According to Google, Google Analytics 4 does not log or store IP addresses, and for visitors from the EU the IP address is used only to determine the location. We do not send your name, email address, account ID, or any content of your collection or decks to Google Analytics.

Settings we use. Google signals (cross-device reporting linked to Google accounts) and ad personalisation signals are switched off in our configuration. Event and user-level data is deleted after 2 months; aggregated reports are kept.

Cookie	Set by / on	Purpose	Storage period
_ga	Google Analytics, on commandarium.app	Tells visits of the same browser apart (random ID)	2 years
_ga_8D9WB3S5LY	Google Analytics, on commandarium.app	Keeps the state of the current visit	2 years

The legal basis is your consent under Art. 6(1)(a) GDPR and § 25(1) TDDDG. Google processes the data on our behalf as a processor under the Google Ads Data Processing Terms (Art. 28 GDPR). Data may be transferred to Google LLC in the USA (section 21).

You can withdraw your consent at any time with effect for the future, as easily as you gave it: through “Privacy settings” at the bottom of the app and of our feature and guide pages, in Settings → Privacy, or with the button in section 17. The page then reloads without Google Analytics and deletes its cookies on our domain. More: Google Privacy Policy, Safeguarding your data in Google Analytics.

We ask for consent with our own consent tool, which is part of Commandarium; no third-party consent service is used. On your first visit to the web app or to one of our feature, guide and use-case pages it asks whether we may use Google Analytics and, in the free version, show ads. “Reject all” and “Accept all” are offered side by side with equal weight; “Customize” lets you decide on each purpose separately (“Statistics”, “Ads” and “Personalised ads”). Nothing is switched on in advance. Until you decide, nothing from Google is loaded. The legal pages can be read without deciding.

What is stored in your browser. Your choice, the time it was made, the version of the consent request, and a random consent ID are kept in your browser’s local storage (“cf-consent”). After 12 months, or when we add a purpose or a provider, we ask again.

Proof of consent. Each choice is also stored in our database (Supabase, EU) with the consent ID, the choices, the version, the button used (accept all, reject all, or custom), and the time. We do not store your IP address, your account, or any information about your device with it; Supabase’s request logs (section 3) still see the request. These records are deleted three years after the choice. The legal basis is Art. 6(1)(c) GDPR in conjunction with Art. 7(1) GDPR (our obligation to be able to demonstrate consent). Your consent ID is shown in the privacy settings, so you can refer to it when you contact us.

Global Privacy Control. If your browser sends a Global Privacy Control (GPC) signal, we treat it as “Reject all” and do not show the banner. You can still allow statistics or ads in the privacy settings.

Consent signals to Google. Your choice is passed to Google’s scripts as consent signals (“consent mode”: analytics_storage follows “Statistics”; ad_storage, ad_user_data and ad_personalization follow “Ads” and “Personalised ads”).

To change or withdraw your consent, open the privacy settings.

18. Technically Necessary Local Storage

Commandarium stores the following in your browser without asking, because it is strictly necessary to provide the service you have requested (§ 25(2) no. 2 TDDDG). It stays on your device unless stated otherwise:

What	Where	Storage period
Your collection, binders, wishlists, decks, settings and colour theme; the last known Plus status; a cache of card searches, prices and exchange rates	IndexedDB “command-forge”, local storage entries starting with “cf-”	Until you delete them (Settings → Data & backup, or your browser’s site data); the cache 24 hours
Your sign-in session (only when you sign in)	Local storage “cf-auth” (Supabase sign-in)	Until you sign out
Your privacy choice (section 17)	Local storage “cf-consent”	12 months
Payment and fraud prevention (only when you buy Plus)	Cookies and local storage of RevenueCat and Stripe	As set by these providers for the payment

Commandarium itself sets no cookies. Analytics and ad cookies are only set by Google, and only with your consent (sections 16 and 16a). Any further processing of the data named above is based on Art. 6(1)(b) GDPR (the service you requested) or Art. 6(1)(f) GDPR (secure operation).

19. External Libraries

Fonts are served from our own server. A few program libraries are loaded from public content delivery networks when the feature that needs them is used; the provider then receives your IP address, browser information and the time:

Library	Loaded from	When
Supabase client	cdn.jsdelivr.net	when the web app starts
RevenueCat payment library	cdn.jsdelivr.net	when you open Plus while signed in
Tesseract text recognition and language data	cdn.jsdelivr.net	when the scanner needs text recognition
OpenCV	docs.opencv.org	when you start the scanner
PapaParse (CSV import)	cdnjs.cloudflare.com (Cloudflare)	when you import a CSV file
Cloudflare Turnstile	challenges.cloudflare.com	when the sign-in form is shown (section 5)

The libraries are pinned to fixed versions and, where the network allows it, checked against a fingerprint, so they cannot be changed unnoticed. The apps contain these libraries and do not load them. The legal basis is Art. 6(1)(f) GDPR (providing the feature you use).

20. Legal Bases at a Glance

Purpose	Legal basis
Delivering and securing the website, logs, bot check, exchange rates, libraries	Art. 6(1)(f) GDPR
Account, sync, shared decks, card data, EDHREC, combos, AI analyses, Plus, payment	Art. 6(1)(b) GDPR
Confirming Plus contracts bought on the website; accepting and confirming cancellations and withdrawals; consent records; accounting records	Art. 6(1)(c) GDPR
Google Analytics; Google AdSense (once switched on), incl. personalised ads	Art. 6(1)(a) GDPR, § 25(1) TDDDG
Affiliate links	Art. 6(1)(f) GDPR

21. Transfers to Third Countries

Several providers are based in the USA or may process data there:

Provider	Role	Basis for the transfer
Google LLC (Analytics, AdSense, sign-in)	processor / separate controller	EU–US Data Privacy Framework (adequacy decision, Art. 45 GDPR)
Cloudflare, Inc.; Supabase, Inc.; Anthropic, PBC; RevenueCat, Inc.; Stripe, Inc.; Resend, Inc.	processors	EU Standard Contractual Clauses (Art. 46(2)(c) GDPR) in the provider’s data processing terms, or the provider’s certification under the EU–US Data Privacy Framework
Scryfall, EDHREC, Frankfurter, jsDelivr, OpenCV.org, Commander Spellbook	services your browser (or, for Commander Spellbook, our server) contacts for a feature you use	no contract with us about your data; the request is made because you use the feature

You can ask us for a copy of the safeguards used for a transfer (contact in section 1).

22. Recipients at a Glance

Recipient	Purpose	Section
Cloudflare	Hosting, delivery, security, Turnstile, CSV library	4, 5, 19
Supabase	Accounts, database, server functions	5, 6, 6a, 11, 12, 15a, 17
Scryfall	Card data, images, prices	7
Frankfurter	Exchange rates	7a
impact.com, TCGplayer	Affiliate links, only after your click	7b
EDHREC	Deck statistics	8
Commander Spellbook	Combos (card names only, via our server)	8a
Anthropic	AI deck analyses	10
RevenueCat	Subscription management	12, 15a
Stripe	Payment	13
Resend, mailbox.org	Sending and receiving email	14
Google	Sign-in (optional), Analytics and AdSense (only with consent)	5, 16, 16a
Apple	Sign-in and purchases in the iOS app	5, 12
jsDelivr, OpenCV.org	Program libraries	19

23. Your Rights

Under the GDPR, you have the following rights in relation to your personal data:

Right of Access

You may request information about whether and which personal data we process about you.

Right to Rectification

You may request correction of inaccurate or incomplete personal data.

Right to Erasure

You may request deletion of your personal data where the legal requirements are met.

Right to Restriction of Processing

You may request restriction of processing under certain circumstances.

Right to Data Portability

Where the legal requirements are met, you have the right to receive certain personal data in a structured, commonly used, and machine-readable format. Your collection and decks can be exported at any time under Settings → Data & backup.

Right to Object

Where we process personal data based on Art. 6(1)(f) GDPR, you may object to the processing for reasons arising from your particular situation.

Right to Withdraw Consent

Where processing is based on your consent, you may withdraw that consent at any time with effect for the future. Withdrawal of consent does not affect the lawfulness of processing carried out before withdrawal.

No Automated Decision-Making

We do not use automated decision-making, including profiling, within the meaning of Art. 22 GDPR.

24. Deleting Your Account

You can delete your Commandarium account yourself at any time under Settings → Account → Delete account, on the website and in the apps, or ask us to delete it (section 1). Deleting it removes at once:

your account and sign-in data (email address, password hash, linked Google or Apple identity),
your synced collection, decks and settings,
your shared deck links (they stop working),
your AI usage records.

Not removed by the deletion:

the data in your browser or app on your devices – delete it under Settings → Data & backup or in your browser;
cancellations and withdrawals you sent (kept three years as proof, section 15a) and contact messages (12 months, section 15);
the record of the contract confirmation for a Plus purchase on the website (kept until the end of the third calendar year after the purchase, section 12);
entries in our admin log if we changed something on your account (for example your email address on request), kept three years;
the AI answer cache, which holds no user ID (deleted after 30 days, section 11), and consent records, which are not linked to your account (section 17);
your customer record and purchase history at RevenueCat and the payment records at Stripe, Apple or Google, which are kept as required for accounting and tax purposes; ask us if you want the RevenueCat record removed;
backups of our database, which our provider keeps for a limited time before they are overwritten.

Deleting the account does not end a Plus subscription: cancel it first, in the App Store for purchases in the iOS app, in Google Play for purchases in the Android app, or with “Cancel contracts here” for purchases on the website.

25. Statutory Retention Obligations

Invoices, payment records and other accounting documents must be kept for the periods required by tax and commercial law. The legal basis in these cases is Art. 6(1)(c) GDPR. After the applicable retention period has expired, the information is deleted unless another legal basis permits or requires further retention.

26. Right to Lodge a Complaint

You have the right to lodge a complaint with a data protection supervisory authority if you believe that the processing of your personal data violates applicable data protection law.

The supervisory authority responsible for the controller's place of establishment is:

State Commissioner for Data Protection of Saxony-Anhalt
Leiterstraße 9
39104 Magdeburg
Germany
Website: https://datenschutz.sachsen-anhalt.de/

You may also contact another competent supervisory authority, in particular the authority in the country or region where you normally live, work, or where the alleged infringement occurred.

27. Changes to This Privacy Policy

We update this Privacy Policy when Commandarium, the services we use, applicable laws or data protection requirements change. The version published on this website applies.

Last updated: October 16, 2026

Deutsch

Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten Commandarium verarbeitet, wann und warum, auf welcher Rechtsgrundlage, wer sie erhält, wie lange sie aufbewahrt werden und welche Rechte du nach der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) hast.

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit Commandarium (vormals Command Forge) ist:

Carsten Kohler
Bertramstraße 3
06110 Halle (Saale)
Deutschland
E-Mail: kohler.carsten@mailbox.org

Commandarium ist ein Nebenprojekt eines einzelnen Entwicklers. Einen Datenschutzbeauftragten gibt es nicht; schicke Anfragen zum Datenschutz bitte an die oben genannte Adresse.

2. Überblick

Suche, Scanner, Import, Preise und Deckbau kannst du ohne Konto nutzen. Deine Sammlung, deine Decks und deine Einstellungen bleiben dann nur in deinem Browser (Abschnitt 18). Daten erreichen uns oder Dritte nur in diesen Fällen:

beim Öffnen einer Seite: unser Hosting-Anbieter Cloudflare (Abschnitte 3 und 4);
wenn Kartendaten, Kartenbilder, Preise oder Wechselkurse angezeigt werden: Scryfall und Frankfurter, direkt aus deinem Browser (Abschnitte 7 und 7a);
wenn du ein Deck baust oder analysierst: EDHREC direkt aus deinem Browser, Commander Spellbook über unseren Server (Abschnitte 8 und 8a);
beim Anmelden: Supabase, Cloudflare Turnstile und, wenn du sie wählst, Google oder Apple (Abschnitt 5);
bei der Nutzung deines Kontos: Supabase (Abschnitte 6 und 6a) und für KI-Analysen Anthropic (Abschnitte 10 und 11);
beim Kauf, der Kündigung oder dem Widerruf von Commandarium Plus: RevenueCat, Stripe und Resend (Abschnitte 12 bis 15a);
nur mit deiner Einwilligung: Google Analytics und, sobald eingeschaltet, Google AdSense (Abschnitte 16 und 17).

3. Zugriff auf die Website, technische Daten und Logs

Wenn du Commandarium öffnest, sendet dein Browser technische Daten an unseren Hosting-Anbieter: IP-Adresse, Datum und Zeit, die angeforderte Adresse, die verweisende Adresse, Browsertyp und -version, Betriebssystem und Verbindungsdaten. Das ist notwendig, um die Website auszuliefern, verfügbar zu halten und gegen Angriffe und Missbrauch zu schützen.

Wir führen keine eigenen Webserver-Logdateien. Unser Hosting-Anbieter Cloudflare (Abschnitt 4) und unser Backend-Anbieter Supabase (Abschnitt 5) verarbeiten solche Verbindungsdaten, einschließlich IP-Adressen, in ihren Systemen und speichern kurzfristige Zugriffs-Logs für Betrieb und Sicherheit.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere, stabile und zuverlässige Betrieb von Commandarium.

4. Hosting und Auslieferung über Cloudflare

Die Website und die Web-App werden bei Cloudflare Pages von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA („Cloudflare“), gehostet. Jede Seitenanfrage läuft über das Netzwerk von Cloudflare, das die in Abschnitt 3 genannten technischen Daten verarbeitet, um die Seiten auszuliefern, vor Angriffen zu schützen und die Seite verfügbar zu halten.

Lässt sich eine Seite nicht laden, kann dein Browser einen kurzen Netzwerkfehlerbericht (Zeit, Adresse, Art des Fehlers, IP-Adresse, Browser) an Cloudflare senden („Network Error Logging“); erfolgreiche Aufrufe werden nicht gemeldet.

Cloudflare stellt außerdem die Bot-Prüfung Turnstile für die Anmeldung bereit (Abschnitt 5).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sichere und zuverlässige Auslieferung). Cloudflare handelt dabei als unser Auftragsverarbeiter. Eine Datenverarbeitung kann in den USA stattfinden (Abschnitt 21).

5. Nutzerkonten und Anmeldung

Ein kostenloses Konto brauchst du, um deine Daten zwischen Geräten zu synchronisieren, Decks zu teilen, für KI-Deckanalysen und um Plus auf der Website zu kaufen. Beim Anlegen und Nutzen eines Kontos verarbeiten wir:

deine E-Mail-Adresse und eine Nutzer-ID,
dein Passwort, gespeichert nur als kryptografischer Hash (nicht bei der Anmeldung mit Google oder Apple),
den Zeitpunkt der Registrierung, der E-Mail-Bestätigung und deiner letzten Anmeldungen sowie die Anmeldemethode,
technische Daten der Anmeldeanfragen, einschließlich deiner IP-Adresse, in den Authentifizierungs-Logs von Supabase.

Wir nutzen Supabase (Supabase, Inc., USA) für Anmeldung, Datenbank und unsere Serverfunktionen. Unser Supabase-Projekt und seine Datenbank werden in der Europäischen Union gehostet (AWS-Region eu-west-1, Irland). Unsere Serverfunktionen („Edge Functions“) laufen auf der Infrastruktur von Supabase. Supabase handelt dabei als unser Auftragsverarbeiter.

Konto-E-Mails (Bestätigung, Anmeldelink, Passwort-Zurücksetzen, Adressänderung) werden über Resend versendet (Abschnitt 14).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (das von dir gewünschte Konto) und, für die Logs, Art. 6 Abs. 1 lit. f DSGVO (Sicherheit).

Anmeldung mit Google (optional). Statt mit E-Mail-Adresse und Passwort kannst du dich mit deinem Google-Konto anmelden. Du wirst dann zu Google weitergeleitet (Google Ireland Limited, Irland), meldest dich dort an und entscheidest, was mit uns geteilt wird. Wir erhalten deine E-Mail-Adresse, die Nutzer-ID deines Google-Kontos und, wenn du es erlaubst, deinen Namen und dein Profilbild. Dein Google-Passwort erhalten wir nicht. Google verarbeitet deine Anmeldung nach eigener Datenschutzerklärung und als eigener Verantwortlicher; Daten können in die USA übermittelt werden (Abschnitt 21). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst die Kontofunktionen von Commandarium auch ohne Google nutzen.

Anmeldung mit Apple (optional, nur in der iOS-App). In der iOS-App kannst du dich auch mit deinem Apple Account anmelden. Apple (Apple Distribution International Ltd., Irland) zeigt sein eigenes Anmeldefenster und fragt, was geteilt wird. Wir erhalten die Nutzer-ID deines Apple-Kontos und eine E-Mail-Adresse – deine echte oder, wenn du „E-Mail-Adresse verbergen“ wählst, eine von Apple erzeugte Weiterleitungsadresse – sowie, nur bei der ersten Anmeldung, den Namen, den du erlaubst. Dein Apple-Passwort erhalten wir nicht. Apple verarbeitet deine Anmeldung nach eigener Datenschutzerklärung und als eigener Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Du kannst die Kontofunktionen der App auch ohne Apple nutzen.

Bot-Prüfung (Cloudflare Turnstile). Zum Schutz von Konten und KI-Funktionen vor automatisiertem Missbrauch (zum Beispiel Bots, die massenhaft Konten anlegen) werden Registrierung, Anmeldung, Anmeldelinks und das Zurücksetzen des Passworts mit Cloudflare Turnstile geprüft. Turnstile wird nur geladen, wenn das Anmeldeformular auf deinem Bildschirm angezeigt wird, von challenges.cloudflare.com. Es wertet technische Signale deines Browsers und deiner Verbindung aus, etwa deine IP-Adresse und Browsereigenschaften, und läuft in der Regel ohne eine Aktion deinerseits; es setzt keine Cookies auf unserer Domain und wird nicht für Werbung genutzt. Das Ergebnis ist ein einmaliges Token, das Supabase bei der Anmeldung prüft. In den Apps läuft Turnstile auf einer Seite von commandarium.app, die in einem kleinen Rahmen angezeigt wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Sicherheit des Dienstes und die Verhinderung von Missbrauch. Das Speichern und Auslesen von Informationen auf deinem Gerät dafür ist für die von dir gewünschte Anmeldung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

6. Speichern von Decks und Kartensammlungen

Wenn du dich anmeldest, werden deine Sammlung (Karten, Mengen, Zustände, Binder, Wunschlisten und die Angaben, die du machst, etwa Kaufpreise), deine Decks und deine Einstellungen mit deiner Nutzer-ID in unserer Supabase-Datenbank (EU) gespeichert und mit deinen Geräten synchronisiert. Ohne Konto bleiben sie nur in deinem Browser.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden aufbewahrt, solange dein Konto besteht, und mit ihm gelöscht (Abschnitt 24). Du kannst sie jederzeit unter Einstellungen → Daten & Sicherung exportieren.

6a. Geteilte Decks

Wenn du ein Deck teilst („Teilen“ → „Link erstellen“), wird eine Kopie dieses Decks (Deckname, Commander, Kartenliste mit Kartendaten, Sideboard, erkannte Strategie und Themen) in unserer Datenbank (Supabase, EU) gespeichert und kann ohne Anmeldung von jedem geöffnet werden, der den Link hat. Deine Sammlung, welche Karten du besitzt, deine anderen Decks und deine E-Mail-Adresse werden nicht geteilt, und die Kopie zeigt nicht, wer sie erstellt hat.

Behandle ein geteiltes Deck als öffentlich: Der Link ist schwer zu erraten, aber geteilte Decks lassen sich auch über unsere öffentliche Datenbankschnittstelle abrufen, ohne den Link zu kennen. Gib keine persönlichen Informationen in einen Decknamen ein.

Die Kopie bleibt gespeichert, bis du „Teilen beenden“ wählst oder dein Konto gelöscht wird; der Link funktioniert dann sofort nicht mehr.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Kartendaten von Scryfall

Kartendaten, Kartenbilder, Manasymbole und Preise stammen von Scryfall (Scryfall, LLC, USA). Immer wenn Commandarium Karten anzeigt oder nach ihnen sucht, fordert dein Browser diese Daten direkt von den Servern von Scryfall an (api.scryfall.com, cards.scryfall.io, svgs.scryfall.io). Scryfall erhält dadurch deine IP-Adresse, Browserinformationen, den Zeitpunkt und die angeforderte Suche oder Karte. Wir senden keine Kontodaten an Scryfall.

Die angezeigten Preise sind die von Scryfall bereitgestellten (von TCGplayer, Cardmarket und Cardhoarder).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die von dir genutzte Funktion) und Art. 6 Abs. 1 lit. f DSGVO (effizienter Betrieb ohne eigene Kartendatenbank). Scryfall verarbeitet die Anfragen nach eigener Datenschutzerklärung.

7a. Wechselkurse

Um Preise in deiner Währung anzuzeigen, fordert die App beim Start, höchstens einmal täglich, die Referenzkurse der Europäischen Zentralbank von Frankfurter (api.frankfurter.dev) an. Frankfurter erhält dabei deine IP-Adresse, Browserinformationen und den Zeitpunkt der Anfrage; weitere Daten werden nicht gesendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (korrekte Preise in deiner Währung).

7b. Shop-Links und Affiliate-Links

Commandarium verlinkt zu Shops, in denen du Karten kaufen kannst (TCGplayer, Cardmarket, Cardhoarder). Links zu TCGplayer (TCGplayer, Inc., USA) können Affiliate-Links des Partnerprogramms von TCGplayer sein, das von impact.com (Impact Tech, Inc., USA) betrieben wird. Ist das der Fall, weist ein Hinweis neben dem Shop-Button darauf hin. Kaufst du nach einem Klick auf so einen Link etwas, erhält Commandarium gegebenenfalls eine Provision. Der Preis, den du zahlst, ändert sich dadurch nicht.

Solange du Commandarium nutzt, wird nichts von impact.com geladen, und Commandarium setzt dafür keine Cookies. Erst wenn du einen Shop-Link anklickst, verlässt dein Browser Commandarium und öffnet die Weiterleitung von impact.com, die den Klick aufzeichnet, möglicherweise ein Cookie auf ihrer eigenen Domain setzt und dich zu TCGplayer weiterleitet. impact.com und TCGplayer erhalten dann deine IP-Adresse, Browserinformationen, die Zielseite und einen Platzierungscode, der den verwendeten Button benennt (zum Beispiel „shoplist“). Commandarium sendet dabei keinen Namen, keine E-Mail-Adresse und keine Konto-ID. Von impact.com erhält Commandarium nur Berichte mit der Anzahl der Klicks, Bestellungen und Provisionen pro Platzierung, ohne Daten, die dich identifizieren.

Rechtsgrundlage für das Anbieten der Links ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Finanzierung der kostenlosen Version von Commandarium. Für die Verarbeitung nach deinem Klick sind impact.com und TCGplayer verantwortlich, nach deren Datenschutzerklärungen. Links zu Cardmarket und Cardhoarder sind gewöhnliche Links; Commandarium verdient daran nichts.

8. EDHREC

Wenn du ein Deck baust, Empfehlungen ansiehst oder nach Upgrades fragst, lädt dein Browser Statistiken zum Commander und Thema von EDHREC (json.edhrec.com, USA). EDHREC erhält dabei deine IP-Adresse, Browserinformationen und welcher Commander oder welches Thema angefragt wurde. Hast du unter Einstellungen → Entwickler einen eigenen Proxy eingerichtet, läuft die Anfrage über diesen Proxy.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die von dir genutzte Funktion). EDHREC verarbeitet die Anfragen nach eigener Datenschutzerklärung.

8a. Commander Spellbook (Kombos)

Wenn die App nach Kombos in einem Deck sucht, sendet sie die Namen der Karten und Commander des Decks an unsere Serverfunktion, die Commander Spellbook (backend.commanderspellbook.com) in deinem Namen anfragt und nur die gefundenen Kombos zurückgibt. Commander Spellbook erhält die Kartennamen von unserem Server, nicht deine IP-Adresse, dein Konto oder andere Daten über dich, und wir speichern die Anfrage nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Moxfield und Archidekt

Commandarium tauscht von sich aus keine Daten mit Moxfield oder Archidekt aus. Das Importieren eines Decks über seinen Moxfield- oder Archidekt-Link wird nur angeboten, wenn du unter Einstellungen → Entwickler einen eigenen Proxy eingerichtet hast: Dein Browser sendet den Link dann an deinen Proxy, der das öffentliche Deck von dieser Seite abruft. Exporte im CSV-Format von Moxfield werden auf deinem Gerät erstellt.

9a. Karten-Scanner

Der Karten-Scanner nutzt deine Kamera erst, nachdem du den Zugriff in deinem Browser oder in der App erlaubt hast. Kamerabilder werden ausschließlich auf deinem Gerät verarbeitet: Die Karte wird im Bild erkannt, und ein kurzer numerischer Wert (ein Bild-Fingerabdruck) wird daraus berechnet und auf deinem Gerät mit einem Index aller Kartendrucke verglichen, den die App von unserer Website herunterlädt. Auch die Texterkennung, falls nötig, läuft auf deinem Gerät. Weder das Foto noch der Fingerabdruck wird übertragen oder gespeichert.

Auf der Website werden die Bibliotheken des Scanners beim Start geladen: OpenCV von docs.opencv.org und die Texterkennung (Tesseract mit seinen englischen Sprachdaten) von cdn.jsdelivr.net (Abschnitt 19); die Apps enthalten sie bereits. Sobald eine Karte erkannt wurde, werden ihre Kartendaten und Preise bei Scryfall angefragt (Abschnitt 7).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9b. Die iOS- und Android-Apps

Die Commandarium-Apps für iPhone und iPad sowie für Android bieten dieselben Funktionen wie die Website und verarbeiten dieselben Daten wie in dieser Erklärung beschrieben, mit diesen Unterschieden:

Deine Sammlung, deine Decks und deine Einstellungen werden in der App auf deinem Gerät gespeichert (und in deinem Konto, wenn du dich anmeldest).
Die App zeigt keine Werbung und nutzt kein Google Analytics; die Abschnitte 16 und 16a sowie das Einwilligungsbanner (Abschnitt 17) gelten für sie nicht.
Die Kamera wird nur für den Karten-Scanner genutzt und erst, nachdem du sie in iOS oder Android erlaubt hast. Die Bilder werden auf deinem Gerät analysiert und nicht hochgeladen (siehe Abschnitt 9a).
Links zu Shops, zu Scryfall und zu unseren rechtlichen Seiten öffnen sich in einem In-App-Browser (Safari unter iOS, dein Standardbrowser unter Android) oder in der jeweiligen App. Für diese Seiten gelten die Datenschutzerklärungen ihrer Anbieter.
Die Anmeldung mit Google öffnet Googles Anmeldeseite in diesem In-App-Browser (siehe Abschnitt 5). Die Anmeldung mit Apple wird nur in der iOS-App angeboten.
Für die Anmeldung per E-Mail wird die Bot-Prüfung (Cloudflare Turnstile, siehe Abschnitt 5) von einer Seite auf commandarium.app geladen, die die App in einem kleinen Rahmen zeigt.
Plus wird über den App Store oder Google Play gekauft (siehe Abschnitt 12).

10. KI-Deckanalysen („Stärker machen“)

Mit einem Konto kannst du ein KI-Modell bitten, Upgrades für ein Deck vorzuschlagen. Die Anfrage geht von deinem Browser an unsere Serverfunktion (Supabase), die deine Anmeldung, deine E-Mail-Bestätigung und dein monatliches Kontingent prüft, RevenueCat mit deiner Nutzer-ID fragt, ob du Plus hast (Abschnitt 12), und die Analyseanfrage dann an Anthropic (Anthropic, PBC, USA) sendet, das das Modell Claude betreibt. Dein Browser kommuniziert nicht direkt mit Anthropic.

Anthropic erhält nur die für die Analyse nötigen Deckdaten:

den Commander (und Partner) mit Typ und Regeltext, die Farben, die erkannte Strategie und Themen, die EDHREC-Themen, für die das Deck gebaut wurde,
die Deckliste: Kartennamen und Anzahl, Kartentyp, Manawert, Rolle, EDHREC-Anteil und Game-Changer-Status,
Rollenzahlen und Richtwerte, durchschnittlichen Manawert, Bracket- und Manabasis-Werte sowie ein Budget, falls du eines festgelegt hast,
die von der App ausgewählten Kandidatenkarten: Name, Typ, Manawert, Rolle, Regeltext, EDHREC-Werte und, bei Kaufvorschlägen, den Preis.

Mit „Meine Karten“ sind die Kandidaten bis zu 100 Karten aus deiner Sammlung, die zum Deck passen (nur Namen und Kartendaten, ohne Anzahl, Zustand, Binder oder Kaufpreise), und die Deckliste nennt, welche ihrer Karten du noch nicht besitzt. Sonst wird nichts aus deiner Sammlung gesendet.

Anthropic erhält von uns keine E-Mail-Adresse, Nutzer-ID, IP-Adresse oder Namen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die von dir angefragte Analyse). Anthropic verarbeitet die Anfragen als unser Auftragsverarbeiter. Eine Datenübermittlung erfolgt in die USA (Abschnitt 21).

11. Speicherung von KI-Anfragen und -Ergebnissen

Unsere Datenbank (Supabase, EU) speichert zwei Dinge zu KI-Analysen:

Nutzungsaufzeichnungen für das monatliche Kontingent und den Schutz vor Missbrauch: deine Nutzer-ID, den Zeitpunkt, ob du Plus hattest, die Anzahl der genutzten Token und den Status. In der kostenlosen Version wird zusätzlich ein gesalzener Hash deiner IP-Adresse gespeichert, nur um kostenlose Analysen pro Tag zu begrenzen. Ein solcher Hash ist pseudonymisiert, nicht anonym; er wird nach Ablauf des Kalendertages (UTC) gelöscht. Nutzungsaufzeichnungen werden am Ende des Kalendermonats nach der Analyse gelöscht, und mit deinem Konto.
Einen Antwort-Cache: ein Hash der Anfrage (Commander, Deck- und Kandidatenkartennamen, Budget, Bracket und Modus) zusammen mit der Antwort der KI, ohne deine Nutzer-ID. Eine identische Anfrage von irgendjemandem wird 30 Tage lang aus diesem Cache beantwortet, danach wird der Eintrag gelöscht. Die Vorschläge selbst werden außerdem mit deinem Deck in deinem Browser und Konto gespeichert.

Unsere Serverfunktion protokolliert nur technische Fehler, ohne den Inhalt deines Decks.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Kontingent, Antworten) und Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Kosten).

12. Commandarium Plus: Abo-Verwaltung

Abonnements werden mit RevenueCat (RevenueCat, Inc., USA) verwaltet. Öffnest du Plus auf der Website, während du angemeldet bist, lädt die App die Zahlungsbibliothek von RevenueCat (Abschnitt 19), und RevenueCat erhält deine Nutzer-ID (als Kunden-ID), deine E-Mail-Adresse und, wenn du kaufst, den Kauf- und Abostatus (Produkt, Beginn, Verlängerung, Ablauf, Kündigung). Unsere Serverfunktionen fragen RevenueCat mit deiner Nutzer-ID nach diesem Status, um das KI-Kontingent anzuwenden und das Enddatum einer Kündigung zu ermitteln (Abschnitt 15a).

Vertragsbestätigung für Käufe auf der Website. Kaufst du Plus auf der Website, benachrichtigt RevenueCat unsere Serverfunktion über den Kauf (Webhook): deine Nutzer-ID, das Produkt, Preis und Währung, den Kaufzeitpunkt, das Zahlungssystem, die Transaktionsnummer und ob du „Plus sofort starten“ angekreuzt hast. Wir ermitteln dann die E-Mail-Adresse deines Kontos (oder, falls es keine gibt, die bei RevenueCat gespeicherte) und senden dir die Bestätigung deines Vertrags mit den AGB und der Widerrufsbelehrung per E-Mail (Abschnitt 14). Damit sie nur einmal verschickt wird und wir den Versand nachweisen können, speichern wir einen Nachweis davon: das RevenueCat-Ereignis und die Transaktionsnummer, deine Nutzer-ID, das Produkt, das Zahlungssystem und den Kaufzeitpunkt, ob du den sofortigen Start von Plus gewählt hast, die Version der AGB, die Adresse, an die die Bestätigung ging, und den Versandzeitpunkt. Dieser Nachweis wird nicht mit deinem Konto gelöscht; er wird bis zum Ende des dritten Kalenderjahres nach dem Kauf aufbewahrt (die regelmäßige Verjährungsfrist) und dann gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312f Abs. 2 BGB (Pflicht zur Vertragsbestätigung) sowie Art. 6 Abs. 1 lit. b und f DSGVO (Vertragserfüllung, Nachweis).

RevenueCat handelt dabei als unser Auftragsverarbeiter. Eine Datenübermittlung erfolgt in die USA (Abschnitt 21).

Käufe in der iOS-App. In der iOS-App wird Plus über Apples App Store verkauft. Apple ist der Verkäufer und verarbeitet die Zahlung nach eigenen Bedingungen und eigener Datenschutzerklärung; deine Zahlungsdaten erhalten wir nicht. Über RevenueCat erhalten wir den Kauf- und Abostatus für dein Konto (oder, kaufst du ohne Konto, für eine zufällige ID auf deinem Gerät, die beim Anmelden zu deinem Konto übernommen wird).

Käufe in der Android-App. In der Android-App wird Plus über Google Play verkauft. Google (Google Commerce Ltd, Irland) ist der Verkäufer und verarbeitet die Zahlung nach eigenen Bedingungen und eigener Datenschutzerklärung; deine Zahlungsdaten erhalten wir nicht. Über RevenueCat erhalten wir den Kauf- und Abostatus auf dieselbe Weise wie bei der iOS-App.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

13. Zahlungen über Stripe

Auf der Website verarbeitet der Checkout von RevenueCat Web Billing deine Zahlung über Stripe (Stripe Payments Europe, Ltd., Irland, mit Stripe, Inc., USA). Stripe erhält die von dir eingegebenen Zahlungsdaten (zum Beispiel Kartendaten oder Apple Pay bzw. Google Pay über dein Wallet), deinen Namen, deine E-Mail-Adresse, Rechnungsland oder -adresse, das gekaufte Produkt und Transaktionsdaten. Deine vollständigen Kartendaten erhalten wir nicht.

Stripe verarbeitet Zahlungsdaten außerdem zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten, teils als eigener Verantwortlicher nach eigener Datenschutzerklärung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, soweit Zahlungs- und Buchhaltungsunterlagen aufbewahrt werden müssen, Art. 6 Abs. 1 lit. c DSGVO.

14. Kontakt und E-Mail

Schreibst du uns per E-Mail oder über das Kontaktformular, verarbeiten wir deine E-Mail-Adresse, deinen Namen, falls angegeben, deine Nachricht, den Zeitpunkt und die Seite, von der aus du geschrieben hast. Kontaktformular-Nachrichten werden in unserer Datenbank (Supabase, EU) gespeichert und an unser Postfach bei mailbox.org (Heinlein Support GmbH, Berlin, Deutschland) weitergeleitet, wo E-Mails an uns eingehen.

E-Mails von Commandarium (Konto-E-Mails, Vertragsbestätigungen für auf der Website gekauftes Plus (Abschnitt 12), Bestätigungen von Kündigungen und Widerrufen, Benachrichtigungen bei Kontaktanfragen) werden über Resend versendet (Resend, Inc., USA), das Empfängeradresse, Inhalt und Zustelldaten verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn sich deine Nachricht auf einen Vertrag bezieht, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung deiner Anfrage).

15. Aufbewahrung von Kontaktanfragen

Kontaktformular-Nachrichten werden 12 Monate nach Eingang aus unserer Datenbank gelöscht. E-Mails werden aus unserem Postfach gelöscht, sobald die Angelegenheit erledigt ist, es sei denn, eine gesetzliche Aufbewahrungspflicht gilt oder sie werden zur Feststellung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt.

15a. Kündigungen und Widerrufe

Kündigst du über „Verträge hier kündigen“ oder widerrufst du über „Vertrag widerrufen“, speichern wir deinen Namen und deine E-Mail-Adresse, den Vertrag, deine Erklärung (bei einer Kündigung: Art, Grund, das von dir gewünschte Enddatum und das von uns bestätigte Enddatum; bei einem Widerruf: das Bestelldatum und deinen Hinweistext) und den Eingangszeitpunkt, und senden dir eine Bestätigung per E-Mail (Abschnitt 14) sowie eine Benachrichtigung an unser Postfach.

Um dir das Enddatum deines Vertrags zu nennen, prüfen wir, ob ein Konto mit dieser E-Mail-Adresse besteht, und fragen RevenueCat nach seinem Plus-Abo (Store, Produkt und dessen Daten); das Ergebnis wird mit der Erklärung gespeichert.

Zum Schutz dieser Formulare vor Missbrauch (höchstens fünf Übermittlungen pro Stunde von einer Verbindung) speichern wir einen gesalzenen Hash deiner IP-Adresse für eine Stunde. Dieser Hash ist pseudonymisiert, nicht anonym; nach einer Stunde wird er gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 312k, 356a BGB (Pflicht, die Erklärung anzunehmen und zu bestätigen) sowie Art. 6 Abs. 1 lit. b und f DSGVO (Durchführung, Nachweis). Erklärungen werden drei Jahre nach Eingang aufbewahrt, die regelmäßige Verjährungsfrist, und dann gelöscht.

16. Werbung mit Google AdSense

Derzeit wird keine Werbung angezeigt: Es sind keine Werbeeinheiten eingeschaltet, daher wird Googles Werbeskript auch nicht geladen, wenn du „Werbung“ erlaubst. Der Rest dieses Abschnitts beschreibt, was gilt, sobald Werbung in der kostenlosen Version eingeschaltet wird. Commandarium Plus zeigt keine Werbung.

Werbung wird von Google AdSense bereitgestellt, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“).

Nur mit deiner Einwilligung. Googles Werbeskript wird erst geladen, wenn du „Werbung“ in unserem Einwilligungsbanner oder in den Datenschutz-Einstellungen erlaubst (Abschnitt 17). Lehnst du Werbung ab oder triffst du keine Wahl, wird keine Werbung geladen und nichts zu Werbezwecken an Google gesendet.

Hast du Werbung erlaubt, lädt dein Browser Googles Werbeskript, und Google speichert und liest Cookies und ähnliche Kennungen auf deinem Gerät. Google verarbeitet dabei insbesondere deine IP-Adresse, Informationen über dein Gerät und deinen Browser, die Seite, auf der eine Anzeige gezeigt wird, ob eine Anzeige gesehen oder angeklickt wurde, und diese Kennungen, um Werbung auszuliefern, deren Häufigkeit zu begrenzen, Werbung zu messen und Betrug und Missbrauch zu verhindern.

Personalisierte Werbung wird nur angefragt, wenn du zusätzlich „Personalisierte Werbung“ erlaubt hast. Google wählt die Anzeigen dann aus einem Profil deiner Interessen, das aus deiner Aktivität auf dieser und anderen Websites gebildet wird. Sonst fragen wir Google nach nicht personalisierter Werbung, die nach dem Inhalt der Seite und deinem ungefähren Standort (aus deiner IP-Adresse abgeleitet) ausgewählt wird. Weil wir kein von Google zertifiziertes Einwilligungswerkzeug nach dem IAB Transparency and Consent Framework nutzen, zeigt Google Besuchern aus dem Europäischen Wirtschaftsraum, dem Vereinigten Königreich und der Schweiz nur nicht personalisierte oder eingeschränkte Werbung, unabhängig davon, was sie erlauben.

Cookie	Gesetzt von / auf	Zweck	Speicherdauer
__gads, __gpi, __eoi	Google, auf commandarium.app	Anzeigenauslieferung, Begrenzung der Häufigkeit, Messung	bis zu 13 Monate
IDE, DSID, test_cookie	Google, auf doubleclick.net	Anzeigenauslieferung, Personalisierung (falls erlaubt), Betrugsprävention	bis zu 13 Monate

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Google verarbeitet die Daten dabei als eigener Verantwortlicher; zwischen Google und uns gelten die Google Ads Controller-Controller Data Protection Terms. Eine Datenübermittlung an Google LLC in den USA ist möglich (Abschnitt 21).

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, so einfach, wie du sie gegeben hast: über „Datenschutz-Einstellungen“ am Ende der App, unter Einstellungen → Datenschutz, oder mit dem Button in Abschnitt 17. Die App lädt dann ohne Googles Skript neu und löscht Googles Cookies auf unserer Domain; Cookies auf Googles eigenen Domains kannst du in deinen Browsereinstellungen löschen. Personalisierte Werbung kannst du außerdem im Google My Ad Center steuern. Mehr dazu: Googles Datenschutzerklärung, wie Google Informationen von Seiten nutzt, die seine Dienste verwenden.

16a. Web-Analyse mit Google Analytics

Um zu verstehen, wie Commandarium genutzt wird und was verbessert werden sollte, nutzen wir Google Analytics 4, einen Web-Analysedienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“), in der Web-App und auf unseren Funktions-, Guide- und Anwendungsfall-Seiten.

Nur mit deiner Einwilligung. Googles Analyseskript wird erst geladen, wenn du „Statistiken“ in unserem Einwilligungsbanner oder in den Datenschutz-Einstellungen erlaubst (Abschnitt 17). Lehnst du ab oder triffst du keine Wahl, wird nichts zu Analysezwecken an Google gesendet. Das gilt für die kostenlose Version genauso wie für Commandarium Plus.

Was verarbeitet wird. Hast du Statistiken erlaubt, speichert Google Analytics Cookies mit einer zufälligen Kennung auf deinem Gerät und zeichnet auf, wie du Commandarium nutzt: die Seiten und Funktionen, die du öffnest, Zeitpunkt und Dauer deines Besuchs, die Website, von der du kommst, deinen Browser, dein Betriebssystem, deinen Gerätetyp, deine Bildschirmgröße und Sprache, und deinen ungefähren Standort (Land, Region, Stadt), den Google aus deiner IP-Adresse ableitet. Laut Google protokolliert oder speichert Google Analytics 4 keine IP-Adressen, und für Besucher aus der EU wird die IP-Adresse nur zur Standortbestimmung genutzt. Wir senden deinen Namen, deine E-Mail-Adresse, deine Konto-ID oder Inhalte deiner Sammlung oder deiner Decks nicht an Google Analytics.

Unsere Einstellungen. Google-Signale (geräteübergreifende Berichte, verknüpft mit Google-Konten) und Signale zur Anzeigenpersonalisierung sind in unserer Konfiguration ausgeschaltet. Ereignis- und nutzerbezogene Daten werden nach 2 Monaten gelöscht; zusammengefasste Berichte bleiben erhalten.

Cookie	Gesetzt von / auf	Zweck	Speicherdauer
_ga	Google Analytics, auf commandarium.app	Unterscheidet Besuche desselben Browsers (zufällige ID)	2 Jahre
_ga_8D9WB3S5LY	Google Analytics, auf commandarium.app	Hält den Zustand des aktuellen Besuchs	2 Jahre

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Google verarbeitet die Daten dabei als unser Auftragsverarbeiter nach den Google Ads Data Processing Terms (Art. 28 DSGVO). Eine Datenübermittlung an Google LLC in den USA ist möglich (Abschnitt 21).

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, so einfach, wie du sie gegeben hast: über „Datenschutz-Einstellungen“ am Ende der App und unserer Funktions- und Guide-Seiten, unter Einstellungen → Datenschutz, oder mit dem Button in Abschnitt 17. Die Seite lädt dann ohne Google Analytics neu und löscht dessen Cookies auf unserer Domain. Mehr dazu: Googles Datenschutzerklärung, Datenschutz bei Google Analytics.

Wir holen die Einwilligung mit unserem eigenen Einwilligungswerkzeug ein, das Teil von Commandarium ist; ein Drittanbieter-Einwilligungsdienst wird nicht genutzt. Beim ersten Besuch der Web-App oder einer unserer Funktions-, Guide- und Anwendungsfall-Seiten fragt es, ob wir Google Analytics nutzen und, in der kostenlosen Version, Werbung zeigen dürfen. „Alle abwählen“ und „Alle erlauben“ werden gleichwertig nebeneinander angeboten; „Anpassen“ lässt dich jeden Zweck einzeln entscheiden („Statistiken“, „Werbung“ und „Personalisierte Werbung“). Nichts ist im Voraus eingeschaltet. Bis du dich entscheidest, wird nichts von Google geladen. Die rechtlichen Seiten lassen sich lesen, ohne dass du dich entscheiden musst.

Was in deinem Browser gespeichert wird. Deine Wahl, der Zeitpunkt, die Version der Einwilligungsabfrage und eine zufällige Einwilligungs-ID werden im lokalen Speicher deines Browsers aufbewahrt („cf-consent“). Nach 12 Monaten, oder wenn wir einen Zweck oder Anbieter hinzufügen, fragen wir erneut.

Nachweis der Einwilligung. Jede Wahl wird außerdem in unserer Datenbank (Supabase, EU) gespeichert, mit der Einwilligungs-ID, den Entscheidungen, der Version, dem genutzten Button (alle erlauben, alle abwählen oder angepasst) und dem Zeitpunkt. Wir speichern dabei nicht deine IP-Adresse, dein Konto oder Informationen über dein Gerät; die Zugriffs-Logs von Supabase (Abschnitt 3) sehen die Anfrage dennoch. Diese Aufzeichnungen werden drei Jahre nach der Wahl gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO (unsere Pflicht, die Einwilligung nachweisen zu können). Deine Einwilligungs-ID wird in den Datenschutz-Einstellungen angezeigt, damit du dich bei einer Anfrage an uns darauf beziehen kannst.

Global Privacy Control. Sendet dein Browser ein Global-Privacy-Control-Signal (GPC), behandeln wir das wie „Alle abwählen“ und zeigen das Banner nicht. Du kannst Statistiken oder Werbung trotzdem in den Datenschutz-Einstellungen erlauben.

Einwilligungssignale an Google. Deine Wahl wird als Einwilligungssignal an Googles Skripte weitergegeben („consent mode“: analytics_storage folgt „Statistiken“; ad_storage, ad_user_data und ad_personalization folgen „Werbung“ und „Personalisierte Werbung“).

Um deine Einwilligung zu ändern oder zu widerrufen, öffne die Datenschutz-Einstellungen.

18. Technisch notwendiger lokaler Speicher

Commandarium speichert Folgendes ohne Rückfrage in deinem Browser, weil es für die von dir gewünschte Funktion unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG). Es bleibt auf deinem Gerät, sofern nicht anders angegeben:

Was	Wo	Speicherdauer
Deine Sammlung, Binder, Wunschlisten, Decks, Einstellungen und Farbthema; der zuletzt bekannte Plus-Status; ein Zwischenspeicher für Kartensuchen, Preise und Wechselkurse	IndexedDB „command-forge“, lokale Speichereinträge, die mit „cf-“ beginnen	Bis du sie löschst (Einstellungen → Daten & Sicherung, oder die Website-Daten deines Browsers); der Zwischenspeicher 24 Stunden
Deine Anmeldesitzung (nur wenn du angemeldet bist)	Lokaler Speicher „cf-auth“ (Supabase-Anmeldung)	Bis du dich abmeldest
Deine Datenschutzwahl (Abschnitt 17)	Lokaler Speicher „cf-consent“	12 Monate
Zahlung und Betrugsprävention (nur beim Kauf von Plus)	Cookies und lokaler Speicher von RevenueCat und Stripe	Wie von diesen Anbietern für die Zahlung festgelegt

Commandarium selbst setzt keine Cookies. Analyse- und Werbe-Cookies setzt nur Google, und nur mit deiner Einwilligung (Abschnitte 16 und 16a). Jede weitere Verarbeitung der oben genannten Daten beruht auf Art. 6 Abs. 1 lit. b DSGVO (die von dir gewünschte Funktion) oder Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).

19. Externe Bibliotheken

Schriften werden von unserem eigenen Server ausgeliefert. Einige Programmbibliotheken werden von öffentlichen Content-Delivery-Netzwerken geladen, wenn die Funktion genutzt wird, die sie braucht; der Anbieter erhält dann deine IP-Adresse, Browserinformationen und den Zeitpunkt:

Bibliothek	Geladen von	Wann
Supabase-Client	cdn.jsdelivr.net	beim Start der Web-App
RevenueCat-Zahlungsbibliothek	cdn.jsdelivr.net	wenn du Plus öffnest und angemeldet bist
Tesseract-Texterkennung und Sprachdaten	cdn.jsdelivr.net	wenn der Scanner Texterkennung braucht
OpenCV	docs.opencv.org	wenn du den Scanner startest
PapaParse (CSV-Import)	cdnjs.cloudflare.com (Cloudflare)	wenn du eine CSV-Datei importierst
Cloudflare Turnstile	challenges.cloudflare.com	wenn das Anmeldeformular angezeigt wird (Abschnitt 5)

Die Bibliotheken sind auf feste Versionen festgelegt und, wo das Netzwerk es erlaubt, gegen einen Fingerabdruck geprüft, damit sie nicht unbemerkt verändert werden können. Die Apps enthalten diese Bibliotheken und laden sie nicht nach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der von dir genutzten Funktion).

20. Rechtsgrundlagen im Überblick

Zweck	Rechtsgrundlage
Auslieferung und Sicherung der Website, Logs, Bot-Prüfung, Wechselkurse, Bibliotheken	Art. 6 Abs. 1 lit. f DSGVO
Konto, Synchronisierung, geteilte Decks, Kartendaten, EDHREC, Kombos, KI-Analysen, Plus, Zahlung	Art. 6 Abs. 1 lit. b DSGVO
Bestätigung auf der Website gekaufter Plus-Verträge; Annahme und Bestätigung von Kündigungen und Widerrufen; Einwilligungsnachweise; Buchhaltungsunterlagen	Art. 6 Abs. 1 lit. c DSGVO
Google Analytics; Google AdSense (sobald eingeschaltet), einschließlich personalisierter Werbung	Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG
Affiliate-Links	Art. 6 Abs. 1 lit. f DSGVO

21. Übermittlung in Drittländer

Mehrere Anbieter haben ihren Sitz in den USA oder verarbeiten Daten dort möglicherweise:

Anbieter	Rolle	Grundlage der Übermittlung
Google LLC (Analytics, AdSense, Anmeldung)	Auftragsverarbeiter / eigener Verantwortlicher	EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO)
Cloudflare, Inc.; Supabase, Inc.; Anthropic, PBC; RevenueCat, Inc.; Stripe, Inc.; Resend, Inc.	Auftragsverarbeiter	EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) in den Datenverarbeitungsbedingungen des jeweiligen Anbieters, oder dessen Zertifizierung nach dem EU-US Data Privacy Framework
Scryfall, EDHREC, Frankfurter, jsDelivr, OpenCV.org, Commander Spellbook	Dienste, die dein Browser (bzw. bei Commander Spellbook unser Server) für eine von dir genutzte Funktion anfragt	kein Vertrag mit uns über deine Daten; die Anfrage erfolgt, weil du die Funktion nutzt

Eine Kopie der für eine Übermittlung genutzten Garantien kannst du bei uns anfragen (Kontakt in Abschnitt 1).

22. Empfänger im Überblick

Empfänger	Zweck	Abschnitt
Cloudflare	Hosting, Auslieferung, Sicherheit, Turnstile, CSV-Bibliothek	4, 5, 19
Supabase	Konten, Datenbank, Serverfunktionen	5, 6, 6a, 11, 12, 15a, 17
Scryfall	Kartendaten, Bilder, Preise	7
Frankfurter	Wechselkurse	7a
impact.com, TCGplayer	Affiliate-Links, erst nach deinem Klick	7b
EDHREC	Deck-Statistiken	8
Commander Spellbook	Kombos (nur Kartennamen, über unseren Server)	8a
Anthropic	KI-Deckanalysen	10
RevenueCat	Abo-Verwaltung	12, 15a
Stripe	Zahlung	13
Resend, mailbox.org	Versand und Empfang von E-Mail	14
Google	Anmeldung (optional), Analytics und AdSense (nur mit Einwilligung)	5, 16, 16a
Apple	Anmeldung und Käufe in der iOS-App	5, 12
jsDelivr, OpenCV.org	Programmbibliotheken	19

23. Deine Rechte

Nach der DSGVO hast du in Bezug auf deine personenbezogenen Daten folgende Rechte:

Recht auf Auskunft

Du kannst Auskunft darüber verlangen, ob und welche personenbezogenen Daten wir über dich verarbeiten.

Recht auf Berichtigung

Du kannst die Berichtigung unrichtiger oder unvollständiger personenbezogener Daten verlangen.

Recht auf Löschung

Du kannst die Löschung deiner personenbezogenen Daten verlangen, soweit die gesetzlichen Voraussetzungen erfüllt sind.

Recht auf Einschränkung der Verarbeitung

Du kannst unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung verlangen.

Recht auf Datenübertragbarkeit

Soweit die gesetzlichen Voraussetzungen erfüllt sind, hast du das Recht, bestimmte personenbezogene Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Deine Sammlung und deine Decks kannst du jederzeit unter Einstellungen → Daten & Sicherung exportieren.

Widerspruchsrecht

Verarbeiten wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen.

Recht auf Widerruf der Einwilligung

Beruht eine Verarbeitung auf deiner Einwilligung, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung.

Keine automatisierte Entscheidungsfindung

Wir nutzen keine automatisierte Entscheidungsfindung, einschließlich Profiling, im Sinne von Art. 22 DSGVO.

24. Löschen deines Kontos

Du kannst dein Commandarium-Konto jederzeit selbst löschen, unter Einstellungen → Konto → Konto löschen, auf der Website und in den Apps, oder uns bitten, es zu löschen (Abschnitt 1). Die Löschung entfernt sofort:

dein Konto und deine Anmeldedaten (E-Mail-Adresse, Passwort-Hash, verknüpfte Google- oder Apple-Identität),
deine synchronisierte Sammlung, deine Decks und Einstellungen,
deine Links zu geteilten Decks (sie funktionieren dann nicht mehr),
deine KI-Nutzungsaufzeichnungen.

Von der Löschung nicht betroffen sind:

die Daten in deinem Browser oder deiner App auf deinen Geräten – lösche sie unter Einstellungen → Daten & Sicherung oder in deinem Browser;
von dir gesendete Kündigungen und Widerrufe (als Nachweis drei Jahre aufbewahrt, Abschnitt 15a) und Kontaktanfragen (12 Monate, Abschnitt 15);
der Nachweis der Vertragsbestätigung für einen auf der Website gekauften Plus-Kauf (aufbewahrt bis zum Ende des dritten Kalenderjahres nach dem Kauf, Abschnitt 12);
Einträge in unserem Admin-Log, wenn wir auf deine Anfrage etwas an deinem Konto geändert haben (zum Beispiel deine E-Mail-Adresse), drei Jahre aufbewahrt;
der KI-Antwort-Cache, der keine Nutzer-ID enthält (nach 30 Tagen gelöscht, Abschnitt 11), und Einwilligungsnachweise, die nicht mit deinem Konto verknüpft sind (Abschnitt 17);
dein Kundendatensatz und deine Kaufhistorie bei RevenueCat sowie die Zahlungsunterlagen bei Stripe, Apple oder Google, die für Buchhaltung und Steuerzwecke aufbewahrt werden; sag uns Bescheid, wenn du möchtest, dass wir den RevenueCat-Datensatz entfernen lassen;
Sicherungskopien unserer Datenbank, die unser Anbieter für eine begrenzte Zeit aufbewahrt, bevor sie überschrieben werden.

Das Löschen des Kontos beendet kein Plus-Abo: Kündige es zuerst, im App Store für Käufe in der iOS-App, in Google Play für Käufe in der Android-App, oder mit „Verträge hier kündigen“ für Käufe auf der Website.

25. Gesetzliche Aufbewahrungspflichten

Rechnungen, Zahlungsunterlagen und andere Buchhaltungsdokumente müssen für die nach Steuer- und Handelsrecht vorgeschriebenen Fristen aufbewahrt werden. Rechtsgrundlage ist in diesen Fällen Art. 6 Abs. 1 lit. c DSGVO. Nach Ablauf der jeweiligen Aufbewahrungsfrist werden die Daten gelöscht, sofern keine andere Rechtsgrundlage eine weitere Aufbewahrung erlaubt oder vorschreibt.

26. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn du der Ansicht bist, dass die Verarbeitung deiner personenbezogenen Daten gegen geltendes Datenschutzrecht verstößt.

Die für den Sitz des Verantwortlichen zuständige Aufsichtsbehörde ist:

Landesbeauftragter für den Datenschutz Sachsen-Anhalt
Leiterstraße 9
39104 Magdeburg
Deutschland
Website: https://datenschutz.sachsen-anhalt.de/

Du kannst dich auch an eine andere zuständige Aufsichtsbehörde wenden, insbesondere an die Behörde des Landes oder der Region, in dem oder der du gewöhnlich lebst, arbeitest oder in dem der mutmaßliche Verstoß aufgetreten ist.

27. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich Commandarium, die von uns genutzten Dienste, geltendes Recht oder datenschutzrechtliche Anforderungen ändern. Es gilt die auf dieser Website veröffentlichte Fassung.

Stand: 16. Oktober 2026

Privacy Policy / Datenschutzerklärung

1. Controller

2. Overview

3. Website Access, Technical Data and Logs

4. Hosting and Delivery via Cloudflare

5. User Accounts and Authentication

6. Storing Decks and Card Collections

6a. Shared Decks

7. Scryfall Card Data

7a. Exchange Rates

7b. Shop Links and Affiliate Links

8. EDHREC

8a. Commander Spellbook (Combos)

9. Moxfield and Archidekt

9a. Card Scanner

9b. The iOS and Android Apps

10. AI Deck Analyses (“Make it stronger”)

11. Storage of AI Requests and Results

12. Commandarium Plus: Subscription Management

13. Payments via Stripe

14. Contact and Email

15. Retention of Contact Messages

15a. Cancellations and Withdrawals

16. Advertising with Google AdSense

16a. Web Analytics with Google Analytics

17. Consent Banner and Privacy Settings

18. Technically Necessary Local Storage

19. External Libraries

20. Legal Bases at a Glance

21. Transfers to Third Countries

22. Recipients at a Glance

23. Your Rights

Right of Access

Right to Rectification

Right to Erasure

Right to Restriction of Processing

Right to Data Portability

Right to Object

Right to Withdraw Consent

No Automated Decision-Making

24. Deleting Your Account

25. Statutory Retention Obligations

26. Right to Lodge a Complaint

27. Changes to This Privacy Policy

1. Verantwortlicher

2. Überblick

3. Zugriff auf die Website, technische Daten und Logs

4. Hosting und Auslieferung über Cloudflare

5. Nutzerkonten und Anmeldung

6. Speichern von Decks und Kartensammlungen

6a. Geteilte Decks

7. Kartendaten von Scryfall

7a. Wechselkurse

7b. Shop-Links und Affiliate-Links

8. EDHREC

8a. Commander Spellbook (Kombos)

9. Moxfield und Archidekt

9a. Karten-Scanner

9b. Die iOS- und Android-Apps

10. KI-Deckanalysen („Stärker machen“)

11. Speicherung von KI-Anfragen und -Ergebnissen

12. Commandarium Plus: Abo-Verwaltung

13. Zahlungen über Stripe

14. Kontakt und E-Mail

15. Aufbewahrung von Kontaktanfragen

15a. Kündigungen und Widerrufe

16. Werbung mit Google AdSense

16a. Web-Analyse mit Google Analytics

17. Einwilligungsbanner und Datenschutz-Einstellungen

18. Technisch notwendiger lokaler Speicher

19. Externe Bibliotheken

20. Rechtsgrundlagen im Überblick

21. Übermittlung in Drittländer

22. Empfänger im Überblick

23. Deine Rechte

Recht auf Auskunft

Recht auf Berichtigung

Recht auf Löschung

Recht auf Einschränkung der Verarbeitung

Recht auf Datenübertragbarkeit