Datenschutzerklärung

Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung ist Maximilian Steinmetz, Haldenstraße 54, 73730 Esslingen am Neckar, Deutschland. Telefon: +49 151 17806973, E-Mail: kontakt@cardguided.com.

Mit dieser Datenschutzerklärung informieren wir dich darüber, welche personenbezogenen Daten (kurz „Daten“) wir zu welchen Zwecken und in welchem Umfang verarbeiten. Sie gilt für die Webseite cardguided.com, deinen Account, unseren KI-Assistenten Alfred und unsere E-Mails. ist die Bezeichnung dieses Angebots. Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben und nicht benannt.

Übersicht der Verarbeitungen

Arten der verarbeiteten Daten:

• Bestandsdaten (z. B. Vor- und Nachname, Geburtsdatum, E-Mail-Adresse)
• Inhaltsdaten (z. B. Vergleichsangaben, gespeicherte Vergleiche, Merkliste, Fragen an Alfred)
• Kontaktdaten (z. B. E-Mail-Adresse bei Anfragen)
• Nutzungsdaten (z. B. aufgerufene Seiten, genutzte Funktionen)
• Meta-, Kommunikations- und Verfahrensdaten (z. B. IP-Adressen, Zeitangaben)
• Protokolldaten (z. B. Server-Logfiles)

Betroffene Personen: Besucher der Webseite, registrierte Nutzer, Newsletter-Abonnenten und Personen, die uns kontaktieren.

Zwecke: Bereitstellung der Webseite und Nutzerfreundlichkeit, Vergleich von Finanzprodukten, Account und Anmeldung, KI-Assistent, Kommunikation, Newsletter (nur mit Einwilligung), Reichweitenmessung und Sicherheit.

Maßgebliche Rechtsgrundlagen

Wir verarbeiten Daten auf Grundlage der DSGVO. Welche Rechtsgrundlage gilt, steht bei der jeweiligen Verarbeitung:

• Einwilligung (Art. 6 Abs. 1 S. 1 lit. a DSGVO): Du hast in die Verarbeitung für einen oder mehrere bestimmte Zwecke eingewilligt.
• Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 S. 1 lit. b DSGVO): Die Verarbeitung ist für den Nutzungsvertrag oder auf deine Anfrage hin erforderlich.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 S. 1 lit. c DSGVO): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
• Berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO): Die Verarbeitung ist zur Wahrung unserer berechtigten Interessen oder der eines Dritten erforderlich, sofern deine Interessen, Grundrechte und Grundfreiheiten nicht überwiegen.

Zusätzlich gelten nationale Datenschutzregeln, insbesondere das Bundesdatenschutzgesetz (BDSG) und für das Speichern und Auslesen von Informationen auf deinem Gerät das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Sicherheitsmaßnahmen

Wir treffen nach Maßgabe der gesetzlichen Vorgaben unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für deine Rechte und Freiheiten geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere die Kontrolle des physischen und elektronischen Zugangs zu den Daten, der Eingabe, der Weitergabe, der Sicherung der Verfügbarkeit und der Trennung der Daten sowie Verfahren zur Wahrnehmung von Betroffenenrechten, zur Löschung und zur Reaktion auf Gefährdungen.

Alle Verbindungen zu sind per TLS (HTTPS) verschlüsselt. Passwörter werden nur als kryptografischer Hash gespeichert; Verwaltungszugänge sind zusätzlich mit einem zweiten Faktor geschützt.

Internationale Datentransfers

Einige der eingesetzten Dienstleister haben ihren Sitz in den USA oder können Daten dort verarbeiten. Übermittlungen in die USA stützen wir vorrangig auf das EU-US Data Privacy Framework (DPF), das die EU-Kommission mit Angemessenheitsbeschluss vom 10.07.2023 anerkannt hat. Zusätzlich haben wir mit den jeweiligen Anbietern Standardvertragsklauseln der EU-Kommission vereinbart, die bei Änderungen am DPF als Rückfalloption greifen. Bei den einzelnen Diensten nennen wir die jeweilige Grundlage. Die Liste der zertifizierten Unternehmen findest du unter https://www.dataprivacyframework.gov/ (in englischer Sprache). Für Übermittlungen in andere Drittländer gelten entsprechende Garantien, insbesondere Standardvertragsklauseln.

Bereitstellung der Webseite und Hosting (Cloudflare)

Die Webseite wird über Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA) ausgeliefert. Bei jedem Aufruf werden technische Verbindungsdaten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite und Datei, übertragene Datenmenge, Meldung über den erfolgreichen Abruf, Browsertyp und -version, Betriebssystem und die zuvor besuchte Seite (Referrer). Das ist erforderlich, um die Webseite an deinen Browser auszuliefern, ihre Stabilität sicherzustellen und Angriffe wie Überlastungen (DDoS) abzuwehren. Das ungefähre Land eines Aufrufs wird am Netzwerkrand bestimmt, um den passenden Markthinweis anzuzeigen; ein Besucherprofil entsteht dabei nicht.

Logfile-Informationen werden höchstens 30 Tage gespeichert und danach gelöscht oder anonymisiert. Daten, die zu Beweiszwecken länger benötigt werden, sind bis zur Klärung des jeweiligen Vorfalls von der Löschung ausgenommen.

Rechtsgrundlage: berechtigte Interessen (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Cloudflare ist unser Auftragsverarbeiter; Grundlage für Drittlandtransfers: Data Privacy Framework (DPF) und Standardvertragsklauseln. Datenschutzerklärung: https://www.cloudflare.com/privacypolicy/

Speicherung in deinem Browser (keine Cookies)

setzt keine Cookies zu Werbe- oder Analysezwecken ein. Im lokalen Speicher deines Browsers (localStorage bzw. sessionStorage) speichern wir nur, was für die von dir gewünschten Funktionen unbedingt erforderlich ist:

• Sprache und helle oder dunkle Darstellung
• deine Anmeldesitzung, wenn du dich anmeldest
• vorübergehend einen Vergleichsentwurf, damit du nach der Anmeldung weitermachen kannst
• für die Dauer der Browser-Sitzung, ob du „Ohne Anmeldung fortfahren“ gewählt hast und ob einmalige Hinweise (z. B. Begrüßung oder Ergebnis-Animation) schon angezeigt wurden

Sitzungsangaben werden beim Schließen des Browsers gelöscht; Sprache, Darstellung und Anmeldung bleiben, bis du dich abmeldest oder die Websitedaten löschst. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG; eine Einwilligung ist dafür nicht erforderlich. Die anschließende Verarbeitung dient der Erfüllung des Nutzungsvertrags bzw. unserem berechtigten Interesse an einer nutzerfreundlichen Webseite (Art. 6 Abs. 1 S. 1 lit. b und f DSGVO).

Reichweitenmessung (Cloudflare Web Analytics)

Um zu verstehen, wie die Webseite genutzt wird, setzen wir Cloudflare Web Analytics ein. Der Dienst arbeitet ohne Cookies und ohne Speicherung auf deinem Gerät und erstellt keine Nutzerprofile; wir sehen nur zusammengefasste Zahlen wie Seitenaufrufe, verweisende Seiten, Länder und Gerätetypen. Account-, Verwaltungs- und Anmeldeseiten sind ausgenommen. Zusätzlich zählen wir ohne Bezug zu einer Person, wie oft pro Tag Vergleiche gestartet, Ergebnisse angezeigt und Anbieterlinks geöffnet werden.

Rechtsgrundlage: berechtigtes Interesse an der Verbesserung der Webseite (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Anbieter: Cloudflare, Inc. als unser Auftragsverarbeiter; Grundlage für Drittlandtransfers: Data Privacy Framework (DPF) und Standardvertragsklauseln.

Account, Registrierung und Profil (Supabase)

Ein Account ist freiwillig: Ergebnisse kannst du auch ohne Anmeldung ansehen. Mit Account kannst du Vergleiche speichern, eine Merkliste führen und dein Profil verwalten. Accounts verwalten wir mit Supabase (Supabase, Inc., USA); unsere Datenbank liegt in Frankfurt am Main. Pflichtangaben für den Account sind Vorname, Nachname, Geburtsdatum und E-Mail-Adresse: Das Geburtsdatum dient der Bestätigung deiner Volljährigkeit, weil die Ergebnisse Kreditprodukte enthalten, die nur Erwachsenen offenstehen; dein Name ordnet den Account eindeutig zu und dient der persönlichen Ansprache. Außerdem speichern wir, welche Fassung der Nutzungsbedingungen du akzeptiert hast. Onlinebanking-Zugangsdaten, Kartennummern oder Ausweiskopien fragen wir nie ab.

Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 S. 1 lit. b DSGVO). Supabase ist unser Auftragsverarbeiter; Grundlage für mögliche Drittlandtransfers: Standardvertragsklauseln. Datenschutzerklärung: https://supabase.com/privacy

Anmeldung mit Google (Single-Sign-On)

Statt mit E-Mail und Passwort kannst du dich auch mit deinem Google-Konto anmelden. Die Anmeldung erfolgt direkt bei Google; wir erhalten dabei eine Nutzer-ID und die Information, dass du unter dieser ID bei Google angemeldet bist, sowie deinen Namen und deine E-Mail-Adresse. Dein Google-Passwort können wir weder einsehen noch speichern wir es. Fehlende Pflichtangaben wie das Geburtsdatum ergänzt du anschließend in deinem Profil.

Wenn du die Verknüpfung nicht mehr nutzen möchtest, kannst du sie in deinem Google-Konto aufheben; deine Daten bei uns löschst du, indem du deinen -Account löschst.

Rechtsgrundlagen: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 S. 1 lit. b DSGVO) und unser berechtigtes Interesse an einem effektiven und sicheren Anmeldesystem (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Datenschutzerklärung: https://business.safety.google/privacy/ Grundlage für Drittlandtransfers: Data Privacy Framework (DPF).

Vergleiche und Merkliste

Wenn du einen Vergleich startest, werden deine Angaben (z. B. Land, private oder geschäftliche Nutzung, Beschäftigung, gewünschte Kartenart und Prioritäten) an unseren Vergleichsdienst übermittelt und mit den geprüften Angeboten abgeglichen. Ohne Account werden sie nur zur Berechnung der Ergebnisse verwendet und nicht gespeichert. Mit Account werden Vergleiche nur gespeichert, wenn du sie speicherst; ein gespeicherter Vergleich enthält die damaligen Ergebnisse und Kriterien. Die Merkliste speichert die Angebote, die du markierst.

Rechtsgrundlage: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 S. 1 lit. b DSGVO).

Alfred, unser KI-Assistent (OpenAI)

Alfred ist ein KI-System: Mit „KI“ gekennzeichnete Antworten werden automatisch erzeugt und können fehlerhaft sein. Vorbereitete Antworten sind gesondert gekennzeichnet. Wenn du eine Frage an die KI sendest, werden deine Frage, ein kurzer Gesprächsverlauf und die für die Antwort nötigen Vergleichsangaben über unseren Server an OpenAI übermittelt. Nachname und Geburtsdatum werden nie übertragen. Bitte gib im Chat keine persönlichen Daten, Zugangsdaten oder Dokumente ein. OpenAI verarbeitet die Daten als unser Auftragsverarbeiter und nutzt sie nicht zum Training von Modellen; dabei kann eine Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und von Standardvertragsklauseln erfolgen. Zur Kostenkontrolle und Missbrauchsabwehr speichern wir pseudonyme Nutzungsdaten ohne Nachrichteninhalt.

Rechtsgrundlagen: Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 S. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Missbrauchsabwehr (Art. 6 Abs. 1 S. 1 lit. f DSGVO).

Kontaktaufnahme per E-Mail oder Telefon

Wenn du uns per E-Mail oder Telefon kontaktierst, verarbeiten wir deine Angaben (z. B. Name, E-Mail-Adresse oder Telefonnummer und Inhalt der Nachricht), soweit dies zur Beantwortung deiner Anfrage und etwaiger angefragter Maßnahmen erforderlich ist. E-Mails an kontakt@cardguided.com werden über Cloudflare Email Routing an ein Google-Gmail-Postfach (Google Ireland Limited) weitergeleitet.

Bitte beachte, dass E-Mails in der Regel nur auf dem Transportweg, aber nicht Ende-zu-Ende verschlüsselt sind.

Rechtsgrundlagen: Vertragserfüllung und vorvertragliche Anfragen (Art. 6 Abs. 1 S. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Grundlage für Drittlandtransfers: Data Privacy Framework (DPF) und Standardvertragsklauseln. Löschung entsprechend dem Abschnitt „Speicherdauer und Löschung“.

Account-E-Mails und Newsletter (Resend)

Account-E-Mails wie Bestätigungen und Passwort-Zurücksetzungen versenden wir über Resend (Resend, Inc., USA) als unseren Auftragsverarbeiter.

Der Newsletter ist freiwillig und wird nur nach gesonderter Anmeldung und Bestätigung per E-Mail versendet (Double-Opt-in). Verarbeitet werden E-Mail-Adresse, Vorname für die persönliche Ansprache, gewählte Interessen, der Einwilligungsnachweis (Zeitpunkt von Anmeldung und Bestätigung) sowie Versand- und Abmeldestatus. Wenn du die Personalisierung aktivierst, merken wir uns zusätzlich die Kriterien deines letzten Vergleichs (z. B. Bereich, Kartenart und Prioritäten), um dir passende Inhalte zu senden. Öffnungs- und Klickraten messen wir nicht.

Deine Einwilligung kannst du jederzeit über den Abmeldelink in jedem Newsletter, in deinem Profil oder per E-Mail widerrufen. Nach der Abmeldung können wir die ausgetragene E-Mail-Adresse bis zu drei Jahre auf Grundlage unserer berechtigten Interessen speichern, um eine früher erteilte Einwilligung nachweisen zu können; diese Verarbeitung ist auf die Abwehr von Ansprüchen beschränkt. Ein individueller Löschungsantrag ist jederzeit möglich, sofern zugleich das frühere Bestehen der Einwilligung bestätigt wird.

Rechtsgrundlagen: Einwilligung für den Newsletter (Art. 6 Abs. 1 S. 1 lit. a DSGVO), Erfüllung des Nutzungsvertrags für Account-E-Mails (Art. 6 Abs. 1 S. 1 lit. b DSGVO) und berechtigte Interessen für die Protokollierung des Anmeldeverfahrens und den Einwilligungsnachweis (Art. 6 Abs. 1 S. 1 lit. f DSGVO). Grundlage für Drittlandtransfers: Standardvertragsklauseln.

Anbieterlinks

Wenn du einen Anbieterlink öffnest, verlässt du und rufst die Webseite des Anbieters mit eigenen Datenschutzhinweisen auf. Deine Angaben oder Profildaten geben wir dabei nicht an den Anbieter weiter. nutzt derzeit keine Affiliate-Links; bevor wir Partnerlinks einsetzen, ergänzen wir diese Datenschutzerklärung und kennzeichnen solche Links.

Speicherdauer und Löschung

Wir löschen Daten, sobald der Zweck entfällt oder eine Einwilligung widerrufen wird, sofern keine gesetzliche Pflicht und kein berechtigtes Interesse (z. B. zur Rechtsverfolgung) eine längere Aufbewahrung erfordert. Gelten für ein Datum mehrere Fristen, ist die längste maßgeblich.

Accountdaten, gespeicherte Vergleiche und die Merkliste speichern wir, bis du sie änderst oder löschst oder deinen Account löschst. Danach werden sie entfernt; Sicherungskopien werden im regulären Turnus überschrieben. Pseudonyme Nutzungs- und Sicherheitsdaten speichern wir nur so lange, wie es für Kostenkontrolle und Missbrauchsabwehr erforderlich ist.

Soweit gesetzliche Aufbewahrungspflichten bestehen, gelten insbesondere:

• 10 Jahre für Bücher und Aufzeichnungen, Jahresabschlüsse sowie die zu ihrem Verständnis erforderlichen Unterlagen (§ 147 Abs. 1 Nr. 1 i. V. m. Abs. 3 AO, § 257 Abs. 1 Nr. 1 i. V. m. Abs. 4 HGB)
• 8 Jahre für Buchungsbelege wie Rechnungen und Kostenbelege (§ 147 Abs. 1 Nr. 4 und 4a i. V. m. Abs. 3 Satz 1 AO, § 14b Abs. 1 UStG, § 257 Abs. 1 Nr. 4 i. V. m. Abs. 4 HGB)
• 6 Jahre für empfangene und abgesandte Handels- und Geschäftsbriefe sowie sonstige steuerlich bedeutsame Unterlagen (§ 147 Abs. 1 Nr. 2, 3, 5 i. V. m. Abs. 3 AO, § 257 Abs. 1 Nr. 2 und 3 i. V. m. Abs. 4 HGB)
• 3 Jahre für Daten, die zur Prüfung möglicher Gewährleistungs-, Schadensersatz- oder ähnlicher Ansprüche erforderlich sind (regelmäßige Verjährungsfrist, §§ 195, 199 BGB)

Fristen von mindestens einem Jahr beginnen mit dem Ende des Kalenderjahres, in dem das auslösende Ereignis eingetreten ist; bei laufenden Vertragsverhältnissen mit deren Beendigung.

Deine Rechte

Dir stehen nach der DSGVO insbesondere die folgenden Rechte aus Art. 15 bis 21 DSGVO zu:

• Widerspruchsrecht: Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen; dies gilt auch für ein auf diese Bestimmungen gestütztes Profiling. Werden deine Daten verarbeitet, um Direktwerbung zu betreiben, hast du das Recht, jederzeit Widerspruch gegen die Verarbeitung zum Zwecke derartiger Werbung einzulegen; dies gilt auch für das Profiling, soweit es mit solcher Direktwerbung in Verbindung steht.
• Widerrufsrecht bei Einwilligungen: Du kannst erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen.
• Auskunftsrecht: Du kannst eine Bestätigung darüber verlangen, ob deine Daten verarbeitet werden, sowie Auskunft über diese Daten, weitere Informationen und eine Kopie entsprechend den gesetzlichen Vorgaben.
• Recht auf Berichtigung: Du kannst die Vervollständigung deiner Daten oder die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung und Einschränkung der Verarbeitung: Du kannst nach Maßgabe der gesetzlichen Vorgaben verlangen, dass deine Daten unverzüglich gelöscht werden, oder alternativ eine Einschränkung der Verarbeitung verlangen.
• Recht auf Datenübertragbarkeit: Du kannst die Daten, die du uns bereitgestellt hast, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder ihre Übermittlung an einen anderen Verantwortlichen verlangen.
• Beschwerde bei einer Aufsichtsbehörde: Unbeschadet anderer Rechtsbehelfe kannst du dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg: https://www.baden-wuerttemberg.datenschutz.de/beschwerde/

Den Export deiner Daten und die Löschung deines Accounts findest du direkt in deinem Profil. Für alle anderen Anliegen genügt eine E-Mail an kontakt@cardguided.com.

Keine automatisierte Kreditentscheidung

ordnet Vergleichsergebnisse anhand deiner Kriterien. entscheidet weder über Bonität noch über die Eröffnung eines Kontos, die Ausgabe einer Karte oder die Annahme eines Antrags. Ein Ergebnis oder eine Alfred-Antwort ist keine Zusage des jeweiligen Anbieters.

Änderung und Aktualisierung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Datenverarbeitung dies erforderlich machen, und informieren dich, wenn eine Mitwirkung deinerseits (z. B. eine Einwilligung) oder eine sonstige individuelle Benachrichtigung erforderlich wird. Bitte informiere dich regelmäßig über den aktuellen Inhalt. Adressen und Kontaktdaten anderer Unternehmen können sich mit der Zeit ändern; bitte prüfe sie vor einer Kontaktaufnahme.

Stand: 11. Oktober 2026.