VITRIN

Stand: 11. Oktober 2026

Datenschutzerklärung – Vitrin

Verantwortlicher im Sinne der DSGVO:
Gembag
Julian Flores
Mühlweg 18
63303 Dreieich
Deutschland

E-Mail: datenschutz@gembag.de

1. Allgemeines

Diese Datenschutzerklärung klärt Nutzer der mobilen Anwendung Vitrin (iOS und Android) über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten auf. Die Verarbeitung erfolgt gemäß den Bestimmungen der EU-Datenschutz-Grundverordnung (DSGVO) sowie des Bundesdatenschutzgesetzes (BDSG).

Vitrin ist eine digitale Sammlungs-App für Kristall-, Mineralien- und Edelsteinsammler. Nutzer können ihre eigenen Stücke in virtuellen "Kabinetten" organisieren, optional öffentlich teilen, anderen Sammlern folgen und Beiträge liken. Zudem werden Käufe aus dem Gembag-Shopify-Store automatisch in die App übernommen, sofern die verknüpfte E-Mail-Adresse übereinstimmt.

2. Verantwortlicher

Siehe oben. Bei allen Fragen zum Datenschutz wenden Sie sich bitte an datenschutz@gembag.de.

3. Erhobene personenbezogene Daten

3.1 Konto- und Profildaten

Bei der Registrierung über Microsoft Entra External ID (CIAM) werden folgende Daten erhoben und im CIAM-Tenant gespeichert:

Diese Daten werden über das JWT-Token an die Vitrin-Backend-API übertragen und dort mit einem Collector-Datensatz verknüpft.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – App-Nutzung).

3.2 Sammlungsdaten

Nutzer können in der App Gegenstände hinterlegen, zum Beispiel Titel, Steinart, Herkunft, Bilder, Kaufdatum, Kaufpreis und Notizen. Diese Daten werden in einer Azure-PostgreSQL-Datenbank gespeichert. Bilder werden in Azure Blob Storage abgelegt und über ein CDN ausgeliefert.

Jedes Sammlungsstück kann privat oder öffentlich sein. Zusätzlich können Nutzer über die Anzeige-Maske festlegen, welche einzelnen Felder für andere Sammler sichtbar sind.

Immer private Angaben wie Kaufpreis, private Notizen, Händler, Inventarnummer und vergleichbare interne Angaben werden niemals mit anderen Nutzern geteilt.

Eigene Felder: Nutzer können ihre Sammlungsstücke um selbst definierte Felder („Eigene Felder“) ergänzen. Eigene Felder sind ausschließlich für den Besitzer sichtbar, sind nicht Teil der Anzeige-Maske und werden anderen Nutzern niemals angezeigt – auch nicht bei öffentlichen Sammlungsstücken.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.3 Soziale Interaktionen

Diese Daten werden in der Backend-Datenbank gespeichert und – soweit auf sichtbaren Gegenständen – an andere Nutzer ausgespielt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.4 Personalisierung des Bereichs „Entdecken“

Damit Ihnen im Bereich Entdecken relevante und abwechslungsreiche Sammlungsstücke angezeigt werden und Sie nicht immer wieder dieselben Inhalte sehen, verarbeiten wir folgende Daten:

Aus diesen Angaben bestimmen wir automatisiert Auswahl und Reihenfolge der angezeigten Stücke und Sammlervorschläge. Bereits gesehene Stücke erscheinen weiter hinten; ausgeblendete Stücke sowie Stücke, die Sie bereits geliket oder auf Ihre Merkliste übernommen haben, werden nicht angezeigt. Dabei handelt es sich um Profiling im Sinne von Art. 4 Nr. 4 DSGVO; eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) findet nicht statt. Die Auswertung erfolgt ausschließlich in unserem Backend; eine Weitergabe an Dritte oder eine Nutzung zu Werbezwecken findet nicht statt.

Diese Nutzungsdaten werden Ihrem Konto zugeordnet, bis zur Löschung Ihres Kontos gespeichert und sind in der Datenausgabe unter Profil → Konto → Daten exportieren enthalten. Temporäre Entdecken-Sitzungen (zwischengespeicherte Ergebnislisten) verfallen nach 24 Stunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, Ihnen im Bereich Entdecken relevante und abwechslungsreiche Inhalte anzuzeigen.

Widerspruchsrecht: Sie können dieser Verarbeitung jederzeit gemäß Art. 21 DSGVO widersprechen – formlos per E-Mail an datenschutz@gembag.de. Nach einem Widerspruch löschen wir Ihre gespeicherten Entdecken-Nutzungsdaten und zeigen Ihnen den Bereich Entdecken nicht mehr personalisiert an.

3.5 Kaufsynchronisation

Wenn ein Kauf im Gembag-Shopify-Store mit derselben E-Mail-Adresse getätigt wird, die im Vitrin-Konto hinterlegt ist (primäre oder verifizierte sekundäre E-Mail), werden folgende Daten automatisch in das Vitrin-Konto übernommen:

Die Übertragung erfolgt per Webhook ORDERS_PAID von Shopify an die Backend-API und ist HMAC-signaturgeschützt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw. Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Zuordnung der E-Mail-Adresse im Konto).

3.6 Import von Sammlungsdateien

Wenn Sie die Importfunktion („Sammlung importieren“) nutzen, können Sie eine Datei mit Ihrer Sammlung (z. B. CSV oder Excel) hochladen. Dabei verarbeiten wir:

Um das Format Ihrer Datei zu erkennen, übermitteln wir ausschließlich die Spaltennamen und eine kleine Anzahl von Beispielwerten je Spalte an Azure OpenAI Service (Microsoft). Die Verarbeitung erfolgt innerhalb der EU-Datenzone. Die vollständige Datei und die übrigen Zeilen werden nicht an Azure OpenAI Service übermittelt. Microsoft kann Eingaben und Ausgaben zur Missbrauchserkennung für bis zu 30 Tage speichern; eine Nutzung zum Training von KI-Modellen findet nicht statt.

Importierte Sammlungsstücke sind standardmäßig privat. Ob Sie einzelne Stücke anschließend öffentlich teilen, entscheiden Sie selbst. Spalten, die keinem Vitrin-Feld entsprechen, können als Eigene Felder übernommen werden; diese sind nur für Sie sichtbar (siehe 3.2).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung – Sie beauftragen den Import aktiv).

3.7 Push-Benachrichtigungen

Bei Zustimmung zu Push-Benachrichtigungen wird ein Expo-Push-Token erfasst und dem Collector-Datensatz zugeordnet. Das Token dient ausschließlich der Zustellung von App-Benachrichtigungen (z. B. neuer Follower, neuer Kauf synchronisiert).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Kann jederzeit in den Geräteeinstellungen widerrufen werden.

3.8 Technische Daten

Die Backend-API und die App erfassen im Rahmen des normalen Betriebs:

Diese Daten werden für maximal 90 Tage in Azure Monitor / Application Insights gespeichert und ausschließlich zur Fehlerdiagnose und Sicherheitsüberwachung verwendet. Es findet keine Weitergabe an Dritte zu Analyse- oder Werbezwecken statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

4. Empfänger der Daten

Personenbezogene Daten werden an folgende Auftragsverarbeiter weitergegeben:

Es findet keine Weitergabe an sonstige Dritte zu Werbe- oder Analysezwecken statt.

5. Speicherdauer

6. Rechte der Nutzer

Sie haben jederzeit folgende Rechte:

Zur Wahrnehmung dieser Rechte genügt eine formlose E-Mail an datenschutz@gembag.de.

7. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist die Aufsichtsbehörde Ihres Bundeslandes oder die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit.

8. Datensicherheit

9. Kontolöschung

Nutzer können ihr Konto jederzeit direkt in der App löschen:

In der App: Profil → Konto → Konto löschen

Die Löschung ist sofortig und irreversibel. Dabei werden gelöscht:

Alternativ kann die Löschung per E-Mail beantragt werden: datenschutz@gembag.de

Einzelne Daten (Sammlungsstücke, Bilder, Kabinette) können auch ohne Kontolöschung jederzeit in der App entfernt werden.

10. Minderjährige

Vitrin ist nicht für Kinder unter 16 Jahren bestimmt. Wir erfassen wissentlich keine Daten von Kindern unter 16 Jahren. Sollten Eltern feststellen, dass ihr Kind ohne Einwilligung Daten übermittelt hat, bitten wir um Kontaktaufnahme zur umgehenden Löschung.

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht. Die jeweils aktuelle Version ist in der App unter Profil → Konto → Datenschutz einsehbar.

Diese Datenschutzerklärung wurde zuletzt am 11. Oktober 2026 aktualisiert.