Datenschutzerklärung

Diese Erklärung informiert dich darüber, welche personenbezogenen Daten wir bei der Nutzung der Website vesty-shop.com und der Vesty-App verarbeiten, an wen wir sie weitergeben, wie lange wir sie aufbewahren und welche Rechte dir nach der DSGVO und dem BDSG zustehen.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
Yazan Aljomaa Alhaded
Rütgerstr. 9, 40229 Düsseldorf
E-Mail: admin@vesty-shop.com

1a. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt. Eine Benennungspflicht nach Art. 37 DSGVO oder § 38 BDSG besteht für uns derzeit nicht, weil weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und keine Verarbeitung vorliegt, die eine Datenschutz-Folgenabschätzung zwingend erfordert. Sobald sich das ändert, benennen wir eine Person und nennen sie hier. Anfragen zum Datenschutz richte bitte an datenschutz@vesty-shop.com.

2. Begriffsbestimmungen

Wir verwenden die in Art. 4 DSGVO festgelegten Begriffsdefinitionen. „Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

3. Welche Daten verarbeiten wir?

3.1 Beim Besuch der Website

• IP-Adresse (in den Server-Logs, vollständig gespeichert und nach 14 Tagen gelöscht)
• Datum und Uhrzeit des Zugriffs
• Übertragene Datenmenge, Statuscode
• Browser, Betriebssystem, Referrer-URL

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

Die Website und die Schnittstelle der App werden über den Netzwerkdienst von Cloudflare ausgeliefert (Abschnitt 4). Cloudflare sieht dabei jede Anfrage einschließlich deiner IP-Adresse, um Angriffe und Überlastung abzuwehren, die Verbindung zu verschlüsseln und Inhalte zwischenzuspeichern; außerdem ordnet Cloudflare deine IP-Adresse einem Land zu, das wir bei der Registrierung prüfen (Ziff. 3.15). Eine dauerhafte Speicherung durch Cloudflare erfolgt nur in Sicherheitsprotokollen mit kurzer Laufzeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

Besuchszählung ohne Cookies: Damit wir sehen, wie viele Besuche die Website hat und auf welchem Weg sie kommen (zum Beispiel über eine Werbeanzeige, einen Flyer oder eine Suchmaschine), meldet dein Browser bei jedem Seitenaufruf an unseren eigenen Server den aufgerufenen Pfad. Beim ersten Aufruf eines Besuchs meldet er zusätzlich die Kampagnen-Angaben aus dem Link (utm_source, utm_medium, utm_campaign) und den Namen der Website, von der du kommst, ohne deren genaue Adresse. Gespeichert werden daraus nur Tagessummen: Besuche je Quelle und Seitenaufrufe je Bereich der Website (etwa „Produktseiten“). Wir speichern dafür keine IP-Adresse, keinen User-Agent, keine Nutzer-ID und keine vollständige Adresse der Seite. Wir setzen dafür keine Cookies und legen nichts in deinem Browser ab. Ein Besuch lässt sich daher weder dir noch deinem Konto noch einem späteren Besuch zuordnen. Den User-Agent sehen wir uns nur an, um Suchmaschinen-Robots nicht mitzuzählen. Ein Drittanbieter ist nicht beteiligt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Wirkung unserer Werbung zu messen).

3.2 Bei Registrierung & Nutzung des Kontos

• E-Mail-Adresse, Benutzername, Passwort (als Argon2-Hash)
• Deine Bestätigung, volljährig zu sein, und deine Zustimmung zu den AGB: jeweils mit Zeitpunkt, Fassung, IP-Adresse und User-Agent als Nachweis; ebenso die Fassung dieser Datenschutzerklärung, die dir bei der Registrierung angezeigt wurde. Ein Altersnachweis wird nicht erhoben.
• Name (Vor- und Nachname): bei einer Registrierung mit Apple oder Google ist er im Schritt „Konto vervollständigen“ Pflicht, bei einer Registrierung per E-Mail freiwillig. Öffentlich angezeigt wird der Name nur bei gewerblichen Verkäufer:innen (Art. 30 DSA, siehe unten); bei Privatpersonen sehen andere Nutzer:innen nur den Benutzernamen. Für den Versand steht der Name auf dem Versandetikett (Abschnitt 4, Versandabwicklung).
• Optional: Profilbild, Telefonnummer, Adresse. Die Adresse verwenden wir für Versand und Auszahlungen. Sie wird nicht veröffentlicht; auf Wunsch zeigen wir daraus Postleitzahl und Ort bei deinen Anzeigen an (Abschnitt 3.10) — Straße und Hausnummer nie.
• Für Auszahlungen: Dein Auszahlungskonto richtest du direkt bei unserem Zahlungsdienstleister Stripe ein; deine IBAN gibst du dort ein, nicht bei uns. Wir erhalten und speichern davon nur die letzten vier Ziffern und den Namen des Kontoinhabers. Gibst du im Formular für die Steuerdaten (Abschnitt 9) freiwillig eine IBAN an, prüfen wir sie und speichern nur das Ergebnis der Prüfung, nicht die IBAN.
• Steueridentifikationsnummer und, bei privaten Verkäufer:innen, Geburtsdatum: beides Pflicht, sobald du die PStTG-Schwellen erreichst (Abschnitt 9), weil wir diese Angaben an das Bundeszentralamt für Steuern melden müssen. Vorher fragen wir das Geburtsdatum nicht ab. Beides speichern wir verschlüsselt (Abschnitt 10).
• Bei gewerblichen Verkäufer:innen und bei einem Antrag auf ein Händlerkonto: die Händlerangaben nach Ziff. 3.22, von denen ein Teil im Profil und bei den Anzeigen öffentlich angezeigt wird
• Ob du privat oder gewerblich verkaufst, wenn wir dich bei der Registrierung danach gefragt haben, mit dem Zeitpunkt deiner Antwort. Hast du „gewerblich" angegeben, kannst du bis zur Freischaltung als Händler:in keine neuen Anzeigen veröffentlichen (§ 3b AGB). Die Angabe ist nicht öffentlich.
• Login-Historie: IP-Adresse, User-Agent und Zeitpunkt von Anmeldeversuchen (erfolgreich oder nicht), damit wir Angriffe auf Konten erkennen und nachvollziehen können. Speicherdauer: 12 Monate; deine Einträge sind Teil des Datenexports.
• Zwei-Faktor-Anmeldung (freiwillig): Schaltest du sie ein, speichern wir den Schlüssel für die Codes deiner Authenticator-App verschlüsselt (Abschnitt 10), zehn Ersatzcodes nur als Hash, den zuletzt verwendeten Code-Zeitraum, damit kein Code zweimal gilt, und die Zahl falscher Eingaben der letzten 15 Minuten; nach fünf falschen Codes pausieren wir die Anmeldung für 15 Minuten. Beim Ein- und Ausschalten senden wir dir eine Sicherheits-E-Mail. Schaltest du sie aus oder löschst du dein Konto, löschen wir Schlüssel und Ersatzcodes. Hast du keinen Zugriff mehr auf deine Codes, können wir sie nach einer Prüfung deiner Identität zurücksetzen; das wird mit Zeitpunkt, Grund und bearbeitender Person protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• App-Sperre (freiwillig): Die App-Sperre nutzt die Entsperrung deines Geräts (Face ID, Touch ID, Fingerabdruck oder Gerätecode). Die Prüfung geschieht nur auf deinem Gerät; Vesty erhält dabei keine biometrischen Daten. Auf dem Gerät gespeichert wird nur, ob die Sperre an ist und nach welcher Zeit sie wieder sperrt.
• Zahl aktiver Nutzer:innen: Für den Transparenzbericht zählen wir je Kalendermonat, wie viele Konten angemeldet aktiv waren (etwa durch Anmeldung, Nachricht, Bestellung, Anzeige oder Favorit). Dafür werten wir die ohnehin vorhandenen Daten aus; veröffentlicht wird nur die Gesamtzahl. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Freiwillig: „Wie hast du von Vesty erfahren?“ Bei der Registrierung auf der Website, in der App nach der Registrierung, kannst du angeben, wie du auf uns aufmerksam geworden bist (zum Beispiel Instagram, Flyer oder Freunde). Die Angabe ist freiwillig und wird an deinem Konto gespeichert. Wir werten sie nur zusammengefasst aus (wie viele Registrierungen und erste Anzeigen je Weg), um zu entscheiden, wo wir werben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Angabe ist Teil des Datenexports und wird mit deinem Konto gelöscht.
• Sicherheitsprotokoll (Audit-Log): sicherheitsrelevante Aktionen in deinem Konto (z. B. Passwort- oder E-Mail-Änderung, Auszahlungsdaten geändert, Bestellung storniert) mit Zeitpunkt, IP-Adresse und User-Agent. Speicherdauer: 3 Jahre, bei Bestellbezug entsprechend Abschnitt 6.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, insb. PStTG und DSA) und für Login-Historie und Audit-Log Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Kontos, Nachweisbarkeit).

3.3 Bei Anzeigen, Käufen und Nachrichten

• Inhalte deiner Anzeigen (Text, Bilder, Videos)

• Käufe, Verkäufe, Zahlungsstatus, Sendungsverfolgung

• Nachrichten an andere Nutzer (zur automatischen Prüfung auf Links und Massennachrichten siehe Ziff. 3.15)

• Fotos, die du in Nachrichten schickst: Wir entfernen vor dem Speichern alle eingebetteten Angaben wie Standort, Aufnahmezeit und Kameramodell und speichern ein verkleinertes Bild. Sehen können es nur du und die Person, mit der du schreibst. Die Fotos liegen nicht unter einer öffentlichen Adresse, sondern werden nur nach Anmeldung ausgeliefert. Vesty sieht sie nur, wenn eine Nachricht gemeldet wird (Ziff. 3.9)

• Streitfälle: deine Beschreibung, hochgeladene Nachweise und die Entscheidung

• Widerrufe von Leistungen von Vesty: Inhalt deiner Erklärung, Zeitpunkt des Eingangs und die Eingangsbestätigung

• Widerrufe von Käufen bei gewerblichen Verkäufer:innen: Inhalt deiner Erklärung, Zeitpunkt des Eingangs, die Eingangsbestätigung, den Eingang der Rücksendung, den die verkaufende Person bestätigt, und die Erstattung mit Betrag und Zeitpunkt. Die verkaufende Person erhält deine Erklärung im Wortlaut.

• Ausgeblendete Anzeigen und Urlaubsmodus (§ 3 Abs. 7 AGB): welche Anzeigen du ausgeblendet hast und warum (von dir oder durch den Urlaubsmodus), Beginn und gewähltes Ende des Urlaubsmodus. Andere sehen in deinem Profil und bei deinen Anzeigen, dass du im Urlaub bist, und, wenn du einen Tag gewählt hast, wann du zurück bist.

• Reservierungen (§ 5d AGB): für wen, ab wann und bis wann ein Artikel reserviert ist, wer sie beendet hat und ob eine Erinnerung verschickt wurde; in der Unterhaltung steht dazu eine Nachricht. Wen die Verkäufer:in reserviert hat, sehen nur ihr und die betroffene Käufer:in.

• Kleiderschrank-Spotlight (§ 5b Abs. 5a AGB): Beginn, Ende, eingesetzte Boost-Gutschriften und wie oft deine Karte anderen angezeigt wurde — nur die Zahl, nicht wem.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Widerrufserklärungen zusätzlich Art. 6 Abs. 1 lit. c DSGVO (Nachweis nach § 356a BGB).

3.4 Bewertungen

Nach einem abgeschlossenen Kauf kannst du die andere Seite bewerten. Gespeichert werden Sternebewertung, Text, Zeitpunkt, die zugehörige Bestellung und deine Nutzer-ID. Bewertungen sind mit deinem Benutzernamen öffentlich sichtbar. Löschst du dein Konto, bleibt die Bewertung ohne Zuordnung zu deiner Person bestehen (dein Name wird entfernt, die Verknüpfung zu deinem Konto gelöscht) — sie gehört zum Vertrauensprofil der bewerteten Person und wäre für sie nicht mehr nachvollziehbar, wenn sie rückwirkend verschwände. Innerhalb von 14 Tagen nach Abgabe kannst du sie selbst ändern oder zurücknehmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Bewertungen als Käufer:in. Hast du bei einem Kauf den Hinweis gesehen, dass die Verkäufer:in dich nach dem Kauf bewerten kann, speichern wir diesen Hinweis mit der Bestellung. Die Verkäufer:in kann dich dann bewerten, wenn die Bestellung abgeschlossen oder erstattet ist, du sie nach der Zahlung storniert hast oder die Sendung zurückgegangen ist, weil du sie nicht angenommen oder abgeholt hast, innerhalb von 30 Tagen. Die Bewertung wird erst sichtbar, wenn du die Verkäufer:in zu derselben Bestellung ebenfalls bewertet hast, spätestens 14 Tage nach ihrer Abgabe; bis dahin siehst du nur, dass du bewertet wurdest. Sichtbar ist sie dann in deinem Profil unter „Als Käufer:in" und für Verkäufer:innen in Unterhaltungen mit dir. Sie fließt nicht in deine Bewertung als Verkäufer:in ein. Ist sie sichtbar, können weder du noch die Verkäufer:in die Bewertungen zu dieser Bestellung noch ändern oder zurücknehmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO — Verkäufer:innen haben ein berechtigtes Interesse daran einzuschätzen, mit wem sie handeln. Du kannst einer einzelnen Bewertung wie jeder anderen widersprechen, indem du sie meldest (Ziff. 3.4, § 3a Abs. 3 AGB).

3.5 Personalisierte Startseite

Zweck. Damit dir auf der Startseite der App eher Artikel angezeigt werden, die zu deinem bisherigen Interesse passen, speichern wir, welche Anzeigen du dir in der App angesehen hast. Außerdem berücksichtigen wir deine Angaben unter „Meine Größen & Marken" (Ziff. 3.23) und deine Suchen in der App (Ziff. 3.13); hast du Größen angegeben oder kürzlich gesucht, besteht die Startseite aus festen Anteilen (§ 5b Abs. 2 AGB). Die Startseite der Website wird nicht personalisiert, und Aufrufe auf der Website speichern wir hierfür nicht.

Kategorien der Daten. Zu jedem Aufruf einer Anzeige speichern wir deine Nutzer-ID, die Anzeige, deren Kategorie und den Zeitpunkt. Mehrfache Aufrufe derselben Anzeige innerhalb einer Stunde zählen als ein Aufruf. Anzeigen deiner eigenen Artikel werden nicht gespeichert. IP-Adresse und Gerätekennungen werden hierfür nicht gespeichert. Zusätzlich merken wir uns zu jeder Anzeige, die dir auf der Startseite der App angezeigt wurde, zwei Werte, die sich aus der Zahl und den Plätzen dieser Anzeigen ergeben — einer nimmt über Tage ab, einer innerhalb von Stunden —, und den Zeitpunkt der letzten Anzeige. So erscheinen beim Weiterscrollen und beim nächsten Öffnen neue statt derselben Artikel, und Anzeigen, die dir noch nicht angezeigt wurden, können vorn stehen (§ 5b AGB). Jeder Eintrag wird 72 Stunden nach der letzten Anzeige automatisch gelöscht.

Ähnlich wie deine Suche. Bei jedem Neubilden der Startseite lesen wir deine Suchbegriffe aus dem Suchverlauf (Ziff. 3.13), die du in den letzten sieben Tagen und seit dem 26.10.2026 abgeschickt hast, führen sie erneut als Suche aus und halten nur das Ergebnis fest: welche Anzeigen die Suche findet, aus welchen Kategorien und von welchen Marken. Dieses Ergebnis speichern wir ohne den Suchbegriff höchstens eine Stunde und bilden es neu, sobald sich dein Suchverlauf ändert. Löschst du deinen Suchverlauf, nutzen wir ab dem nächsten Öffnen keine Suche mehr.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser Interesse ist eine nutzbare Startseite auf unserer eigenen Plattform; dem stehen deine Interessen nicht entgegen, weil ausschließlich dein eigenes Verhalten auf dieser Plattform verarbeitet wird, die Daten das System nicht verlassen, nicht an Dritte weitergegeben werden und du jederzeit widersprechen kannst. Diese Abwägung haben wir dokumentiert und stellen sie auf Anfrage zur Verfügung.

Keine Weitergabe, keine Werbung. Diese Daten werden weder für Werbung genutzt noch an Dritte weitergegeben.

Speicherdauer. 180 Tage ab dem jeweiligen Aufruf, danach automatische und endgültige Löschung. Mit der Löschung deines Kontos werden sie ebenfalls vollständig gelöscht.

Widerspruch (Art. 21 DSGVO). Du kannst der Personalisierung jederzeit widersprechen: in der App unter „Personalisierte Startseite", auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz". Dann beenden wir nicht nur die Auswertung, sondern auch die Speicherung weiterer Aufrufe und weiterer angezeigter Anzeigen. Welche Faktoren die Reihenfolge bestimmen, steht in § 5b AGB.

3.6 Push-Benachrichtigungen

Wenn du in der App Benachrichtigungen erlaubst, speichern wir das Geräte-Token, das uns Apple beziehungsweise Google dafür ausstellt, sowie deine Benachrichtigungseinstellungen. Der Versand läuft über Firebase Cloud Messaging von Google (Abschnitt 4); Google erhält dabei das Token und den Inhalt der Nachricht (z. B. „Dein Paket ist unterwegs" mit dem Artikeltitel). Benachrichtigungen zu deinen Favoriten (etwa Preissenkungen) halten wir zwischen 22 und 8 Uhr zurück und stellen sie morgens zu; Nachrichten zu deinen Bestellungen werden sofort zugestellt. Standardmäßig eingeschaltet sind außerdem Hinweise auf neue Anzeigen von Verkäufer:innen, denen du folgst, und Hinweise an Verkäufer:innen, wenn jemand ihren Artikel merkt; dabei sieht die verkaufende Person deinen Benutzernamen. Verkäufer:innen erinnern wir außerdem einmal je Unterhaltung, wenn eine Käuferin oder ein Käufer vor mehr als 24 Stunden nach ihrem Artikel gefragt, ihn aber noch nicht gekauft hat; die Erinnerung nennt den Benutzernamen, der in der Unterhaltung ohnehin zu sehen ist, kommt nicht zwischen 21 und 8 Uhr und lässt sich in der App unter „Erinnerungen an Anfragen“ abschalten. Preis gefallen & Angebote senden wir nur mit deiner Einwilligung: wenn ein Artikel, den du gemerkt hast, günstiger wird oder dir die verkaufende Person ein Angebot dafür macht, und — wenn du der Einwilligung in der Fassung vom 21.10.2026 zugestimmt hast — auch wenn ein Artikel günstiger wird, nach dem du in einer Unterhaltung gefragt hast (je Unterhaltung höchstens einmal und nicht, wenn du ihn schon gekauft hast); mit der Einwilligung in der Fassung vom 26.10.2026 außerdem „Wieder verfügbar", wenn ein gemerkter Artikel, der ausgeblendet oder reserviert war, wieder gekauft werden kann (höchstens einmal je sieben Tage und Artikel). Wir speichern, wann, wo und in welcher Fassung du zugestimmt hast; widerrufen kannst du jederzeit in den Benachrichtigungseinstellungen. Werbliche Push-Nachrichten („Angebote & Tipps") senden wir nur, wenn du sie in den Benachrichtigungseinstellungen eingeschaltet hast. Du kannst Benachrichtigungen jederzeit in der App oder in den Systemeinstellungen abschalten; das Token wird dann gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Erlaubnis), für bestellbezogene Nachrichten Art. 6 Abs. 1 lit. b DSGVO, für die Erinnerung an Anfragen zusätzlich Art. 6 Abs. 1 lit. f DSGVO (das Interesse beider Seiten, dass eine Anfrage beantwortet wird).

3.7 Nutzungsanalyse in der App

Nur mit deiner Einwilligung in der App verwenden wir PostHog zur Nutzungsanalyse. Übermittelt werden deine Nutzer-ID und Ereignisse wie „Anzeige geöffnet" — keine E-Mail-Adresse, kein Name, keine Freitexte. Auf der Website setzen wir kein Analysewerkzeug eines Drittanbieters ein; zu unseren eigenen Nutzungsereignissen siehe Ziff. 3.7a. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit in der App unter Profil → „Privatsphäre & Sicherheit" → „Einwilligungen verwalten". Details: Cookie-Richtlinie.

3.7a Nutzungsereignisse für unsere E-Mail-Reihen

Zu deinem Konto speichern wir auf unserem eigenen Server einzelne Ereignisse mit Zeitpunkt: Registrierung abgeschlossen, Anzeige angesehen, Suche ausgeführt, Kasse begonnen. Wir nutzen sie, um zu entscheiden, welche E-Mails aus unseren Willkommens- und Erinnerungsreihen du bekommst, etwa eine Erinnerung, wenn du länger nicht aktiv warst. Diese E-Mails erhältst du nur, wenn du Werbe-E-Mails per Double-Opt-in zugestimmt hast (Ziff. 3.8). Die Ereignisse werden nicht an Dritte weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, dir nur passende E-Mails zu schicken. Du kannst jederzeit widersprechen (Art. 21 Abs. 2 DSGVO): mit dem Schalter „Personalisierte Startseite" unter Mein Konto → „Einstellungen" → „Datenschutz" oder per E-Mail an datenschutz@vesty-shop.com. Dann speichern wir keine solchen Ereignisse mehr zu deinem Konto und löschen die vorhandenen. Speicherdauer: 12 Monate.

3.8 Newsletter und Werbe-E-Mails

Trägst du dich für den Newsletter oder andere Werbe-E-Mails ein, senden wir dir zunächst eine Bestätigungs-E-Mail; erst nach Klick auf den Bestätigungslink (gültig 7 Tage) bist du eingetragen (Double-Opt-in). Erst mit dem Klick auf den Link schalten wir Werbe-E-Mails ein. Wir speichern deine E-Mail-Adresse, den Zeitpunkt der Anmeldung und der Bestätigung, die Stelle, an der du dich angemeldet hast, sowie die dabei verwendete IP-Adresse und den User-Agent als Nachweis deiner Einwilligung.

Abmelden. Jede Werbe-E-Mail enthält unten einen Abmeldelink und die Kopfzeilen „List-Unsubscribe" und „List-Unsubscribe-Post" (RFC 8058), über die dein E-Mail-Programm die Abmeldung mit einem Klick auslösen kann. Die Abmeldung wirkt sofort für künftige E-Mails.

Keine Öffnungs- oder Klickmessung. Wir messen nicht, ob oder wann E-Mails geöffnet oder Links angeklickt werden. Unsere E-Mails enthalten keine Zählpixel, und Links werden nicht über Zählseiten umgeleitet.

Speicherdauer. Deine Anmeldedaten speichern wir für die Dauer des Abonnements und danach bis zu 3 Jahre zum Nachweis der Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG; für den Nachweis der Einwilligung Art. 6 Abs. 1 lit. c DSGVO (Art. 7 Abs. 1 DSGVO). Service-E-Mails zu deinen Bestellungen und deinem Konto sind keine Werbung und werden unabhängig davon versandt (Art. 6 Abs. 1 lit. b DSGVO).

3.9 Meldungen und Moderation

Meldest du einen Inhalt oder wird ein Inhalt von dir gemeldet, speichern wir die Meldung, unsere Entscheidung mit Begründung und eine etwaige Beschwerde (Art. 16, 17, 20 DSA). Diese Vorgänge werden für die Dauer nach Abschnitt 6 aufbewahrt, auch über eine Kontolöschung hinaus, dann aber ohne Zuordnung zu deiner Person (pseudonymisiert). Wir brauchen sie, um wiederholte Verstöße erkennen (Art. 23 DSA), Transparenzberichte erstellen (Art. 15, 24 DSA) und uns gegen Ansprüche verteidigen zu können. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO.

3.10 Ort bei deinen Anzeigen (freiwillig)

Wenn du es einschaltest — auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz", in der App in den Einstellungen unter „Ort bei meinen Anzeigen" —, zeigen wir bei deinen Anzeigen und in deinem öffentlichen Profil unter deinem Benutzernamen Postleitzahl und Ort aus deiner hinterlegten Adresse an — zum Beispiel „50667 Köln". Das hilft Käufer:innen einzuschätzen, woher ein Artikel kommt, und ermöglicht Abholung vor Ort.

Angezeigt werden ausschließlich Postleitzahl und Ort. Straße und Hausnummer zeigen wir nicht an und geben sie im Rahmen dieser Funktion auch nicht weiter.

Bitte beachte: Eine Postleitzahl grenzt deinen Wohnort deutlich genauer ein als die Ortsangabe allein — in kleineren Gemeinden auf wenige Straßen. Überlege dir das, bevor du die Funktion einschaltest.

Ist der Schalter eingeschaltet, können andere deine Anzeigen auch über die Suche nach dem Ort finden.

Der Schalter ist standardmäßig ausgeschaltet. Ohne ihn erscheint keine Ortsangabe — weder bei Anzeigen noch im Profil noch in der Suche oder in den Daten, die die App abruft —, und deine Anzeigen sind in vollem Umfang nutzbar. Du kannst ihn jederzeit an derselben Stelle wieder ausschalten; die Angabe verschwindet dann aus allen Anzeigen und aus deinem Profil. Auf Kopien, die andere Personen vorher angesehen oder gespeichert haben, haben wir keinen Zugriff.

Hast du keine Adresse hinterlegt, bleibt der Schalter ohne Wirkung, bis du eine hinzufügst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung); den Widerruf regelt Art. 7 Abs. 3 DSGVO und er gilt ab dem Zeitpunkt des Ausschaltens.

Für gewerbliche Verkäufer:innen gilt diese Wahl nicht: Ihre vollständigen Angaben nach Art. 30 DSA — einschließlich der Anschrift — sind gesetzlich vorgeschrieben und im Profil öffentlich, unabhängig von diesem Schalter (Abschnitt 3.2).

3.11 Favoritenliste teilen (freiwillig)

Du kannst deine Favoritenliste über einen Link teilen. Wer den Link hat, sieht die Artikel auf deiner Liste sowie deinen Benutzernamen, deinen angezeigten Namen und dein Profilbild — ohne sich anmelden zu müssen.

Die Liste ist tagesaktuell. Wer den Link später erneut öffnet, sieht deine Favoriten zu diesem Zeitpunkt — also auch Artikel, die du erst nach dem Teilen hinzugefügt hast. Wir zeigen nicht, wann du einen Artikel gemerkt hast oder wie oft du ihn angesehen hast. Artikel, die inzwischen von der Verkäuferin oder dem Verkäufer zurückgezogen wurden, erscheinen nicht mehr.

Der Link entsteht nur, wenn du ihn selbst erzeugst, und du kannst ihn jederzeit in den Einstellungen wieder löschen. Danach führt er ins Leere. Auf Kopien der Seite, die jemand vorher gespeichert hat, haben wir keinen Zugriff.

Wir zeigen dir, wie oft dein Link geöffnet wurde und wann zuletzt. Wer ihn geöffnet hat, erfassen wir nicht — weder Name noch IP-Adresse noch Gerät.

Ein Link, der 90 Tage lang nicht geöffnet wird, verfällt von selbst; jedes Öffnen verlängert ihn um weitere 90 Tage. So bleibt ein Link, den du noch benutzt, erhalten, und ein vergessener wird nicht dauerhaft abrufbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — das Teilen ist eine von dir angestoßene Funktion; ohne dein Zutun entsteht kein Link.

3.12 KI-Assistent (Hilfe-Chat)

Im Hilfebereich kannst du einen KI-Assistenten öffnen und ihm eine Frage stellen. Er beantwortet Fragen ausschließlich aus unseren eigenen veröffentlichten Hilfe- und Rechtstexten und — wenn du angemeldet bist — aus deinen eigenen Datensätzen. Er greift auf kein sonstiges Wissen zurück; findet er in beidem nichts, sagt er das und verweist dich an unseren Support.

Was dabei an unseren Dienstleister übermittelt wird

• deine getippte Frage (2 bis 500 Zeichen),
• bis zu sechs vorangegangene Gesprächsbeiträge als Zusammenhang, jeder auf 600 Zeichen gekürzt,
• die für die Antwort herangezogenen Abschnitte aus unseren eigenen Dokumenten,
• eine knappe, nicht inhaltliche Beschreibung deines Kontos (ob du angemeldet bist, ob du Anzeigen, Käufe oder Verkäufe hast, ob du gewerblich verkaufst, ob deine E-Mail-Adresse bestätigt ist).

Bezieht sich deine Frage auf eine konkrete Bestellung, kommt in einem zweiten Schritt eine Übersicht deiner letzten fünf Käufe, deiner letzten fünf Verkäufe und deiner offenen Preisvorschläge hinzu: Bestellnummer, Artikelbezeichnung, Benutzername der anderen Person, Datum, Betrag, Status, Versandart und Sendungsnummer. Dieser zweite Schritt findet nur statt, wenn er zur Beantwortung nötig ist — die meisten Fragen erreichen ihn nie.

Was ausdrücklich nicht übermittelt wird: deine Lieferanschrift, der bürgerliche Name der anderen Person, Zahlungsdaten, Nachrichteninhalte und dein PStTG-Stand. Ohne Anmeldung werden nur die veröffentlichten Dokumente und deine Frage übermittelt; Bestelldaten in keinem Fall.

Wir speichern nichts davon. Weder deine Frage noch die Antwort noch der Gesprächsverlauf werden bei uns gespeichert. Der Verlauf besteht nur im Arbeitsspeicher deines Geräts und ist verschwunden, sobald du die App oder die Seite schließt. Bewertest du eine Antwort mit „hilfreich" oder „nicht hilfreich", speichern wir eine zufällige Kennung der Antwort, deine Bewertung und, wenn du angemeldet bist, deine Nutzer-ID — nicht die Frage und nicht die Antwort. Nur wenn du zusätzlich selbst einen Kommentar eintippst, speichern wir diesen Text.

Der Assistent kann nichts tun. Er storniert nichts, nimmt kein Angebot an, versendet keine Nachricht und veröffentlicht keine Anzeige. Er kann ausschließlich Seiten vorschlagen, die du selbst öffnest. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Dienstleister und Drittlandübermittlung: Die Anfrage läuft über ein Vermittlungssystem (AI-Gateway unter ai.tatweer-tec.com), das der Inhaber von Vesty selbst auf unserem Server bei Hetzner in Deutschland betreibt; es ist für Vesty fest auf Anthropic PBC, USA, eingestellt und leitet die Anfrage nur dorthin weiter, auch bei einer Störung nicht an andere Anbieter. Das Gateway speichert keine Inhalte und hält keine Antworten zwischen, sondern protokolliert nur technische Angaben zur Anfrage (Zeitpunkt, Anbieter, Modell, Umfang, Kosten, Dauer, Ergebnisstatus). Anthropic verarbeitet die Anfrage als Auftragsverarbeiter (Abschnitt 4); deine Eingaben werden dort nicht zum Training von Modellen verwendet. Grundlage der Übermittlung in die USA sind die EU-Standardvertragsklauseln (Abschnitt 5).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, dir eine schnelle und verlässliche Antwort auf Fragen zur Plattform zu geben und unseren Support zu entlasten. Wir haben die Abwägung dokumentiert und dabei berücksichtigt, dass du die Funktion selbst öffnest und selbst entscheidest, was du hineinschreibst, dass nur deine eigenen Daten verwendet werden, dass nichts gespeichert wird und dass die Funktion nie der einzige Weg ist: der Hilfebereich und der Support stehen unverändert zur Verfügung, und auf jeder Antwort ist der Weg zu einem Menschen sichtbar.

Dein Widerspruchsrecht: Du kannst dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO jederzeit widersprechen. In der Praxis genügt es, den Assistenten nicht zu benutzen — ohne deine Frage findet keine Verarbeitung statt; es gibt keine Hintergrundverarbeitung, der du widersprechen müsstest. Einen förmlichen Widerspruch richte bitte an datenschutz@vesty-shop.com.

3.13 Suchverlauf (App)

Wenn du in der App angemeldet bist und eine Suche abschickst, speichern wir den Suchbegriff (bis zu 100 Zeichen) mit Zeitpunkt und deiner Nutzer-ID. Filter, IP-Adresse und Gerätekennungen speichern wir dabei nicht. Auf der Website wird kein Suchverlauf gespeichert.

Zweck. Wir zeigen dir deine letzten Suchen an, wenn du die Suche öffnest, damit du sie mit einem Tippen wiederholen kannst — auch auf einem anderen Gerät. Die Vorschläge beim Tippen stammen aus den aktuellen Anzeigen und werden nicht aus deinem Suchverlauf gebildet. Suchen, die du ab dem 26.10.2026 abschickst, nutzen wir außerdem für die Startseite der App: Anzeigen, die ihnen ähneln, stehen dort sieben Tage lang in einem eigenen Anteil weiter vorn (Ziff. 3.5, § 5b AGB). Ältere Suchen nutzen wir dafür nicht. Hast du der Personalisierung widersprochen (Ziff. 3.5), nutzen wir den Verlauf dafür nicht. Für Werbung nutzen wir ihn nicht, und wir geben ihn nicht an Dritte weiter.

Speicherdauer. Wir behalten nur deine letzten 10 verschiedenen Suchbegriffe; suchst du etwas erneut, ersetzt der neue Eintrag den alten. Ältere Einträge werden automatisch gelöscht, sobald neue hinzukommen. Darüber hinaus bleibt der Verlauf gespeichert, bis du ihn löschst oder dein Konto löschst.

Löschen. Du kannst deinen Suchverlauf in der Suche der App jederzeit vollständig löschen. Bei der Löschung deines Kontos wird er ebenfalls vollständig gelöscht (Abschnitt 8).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine bequeme Suche und eine Startseite, die zu dem passt, was du suchst; dem stehen deine Interessen nicht entgegen, weil nur wenige Begriffe gespeichert werden, sie das System nicht verlassen, Suchen nur sieben Tage lang für die Startseite zählen und du den Verlauf jederzeit selbst löschen oder der Personalisierung widersprechen kannst. Widerspruch nach Art. 21 DSGVO in der App unter „Personalisierte Startseite" oder an datenschutz@vesty-shop.com.

3.14 Kontaktformular und E-Mail an uns

Daten. Schreibst du uns über das Kontaktformular, speichern wir deinen Namen, deine E-Mail-Adresse, das gewählte Thema und deine Nachricht, außerdem den User-Agent deines Browsers (gekürzt auf 500 Zeichen), die Seite, von der du kamst, den Bearbeitungsstand und einen Hashwert deiner IP-Adresse. Der Hashwert wird mit einem geheimen, täglich wechselnden Zusatzwert gebildet; aus ihm lässt sich die IP-Adresse nicht zurückrechnen, er dient nur dazu, massenhafte Einsendungen zu erkennen. Je IP-Adresse und je E-Mail-Adresse nehmen wir höchstens zehn Anfragen pro Stunde an. Schreibst du uns eine E-Mail, verarbeiten wir die Angaben in deiner E-Mail.

Direkter Kontakt für Founding Members (App). Schreibst du uns als Founding Member über das eigene Kontaktformular in der App (§ 11a Abs. 14 AGB), speichern wir zusätzlich zu den oben genannten Daten dein Nutzerkonto, die gewählte Art der Nachricht (Idee, Verbesserung oder Problem) und, wenn du sie anhängst, bis zu drei Screenshots. Die App sendet außerdem ihre Versionsnummer, das Betriebssystem mit Version und das Gerätemodell mit und, wenn du das Formular aus einer Bestellung heraus öffnest, deren Kennung; das Formular zeigt dir vor dem Absenden an, was mitgeschickt wird. Name und E-Mail-Adresse nehmen wir aus deinem Konto. Hat dein Konto keine erreichbare E-Mail-Adresse (etwa bei „E-Mail-Adresse verbergen" von Apple), gibst du eine Adresse für unsere Antwort an. Screenshots speichern wir ohne Standort- und Kameradaten in einem nicht öffentlichen Bereich unseres Servers; sehen können sie nur wir in unserem Verwaltungsbereich. Bitte achte darauf, dass auf deinen Screenshots keine Daten anderer Personen zu sehen sind, die wir für deine Nachricht nicht brauchen. Über dieses Formular nehmen wir höchstens zehn Nachrichten pro Stunde und Konto an. Der Hinweis an unser Postfach sagt nur, dass ein Founding Member geschrieben hat und welche Art von Nachricht es ist, ohne Inhalt und ohne Kontaktdaten. Antworten wir dir, bekommst du zusätzlich eine Push-Mitteilung, wenn du Mitteilungen erlaubt hast. Für Zweck, Rechtsgrundlage, Empfänger und Speicherdauer gilt dasselbe wie für das Kontaktformular; die Screenshots löschen wir zusammen mit der Anfrage.

Zweck und Rechtsgrundlage. Wir verarbeiten diese Daten, um deine Anfrage zu beantworten: bei Fragen zu einem Vertrag mit uns oder zu dessen Anbahnung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, im Übrigen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Anfragen zu beantworten und das Formular vor Missbrauch zu schützen). Eine Einwilligung holen wir dafür nicht ein.

Empfänger. Die Anfrage wird auf unserem Server bei Hetzner gespeichert. Eine Eingangsbestätigung an dich mit einer Kopie deiner Nachricht und einen Hinweis an unser Postfach, dass eine Anfrage eingegangen ist, versenden wir über Resend (Abschnitt 4); der Hinweis an uns enthält weder deine Nachricht noch deine Kontaktdaten. Gelesen und beantwortet wird die Anfrage in unserem Verwaltungsbereich. E-Mails an Adressen @vesty-shop.com leitet Cloudflare an unser Postfach bei Google (Gmail) weiter (Abschnitt 4); unsere Antworten versenden wir von dort oder über Resend.

Speicherdauer. 730 Tage nach Eingang, danach automatische Löschung, außer wir müssen eine Anfrage zur Verteidigung von Rechtsansprüchen länger aufbewahren.

3.15 Schutz vor Missbrauch und automatisierte Prüfungen

Zum Schutz unserer Nutzer:innen vor Betrug, Spam und Bots setzen wir die in § 11 Abs. 7 AGB beschriebenen automatisierten Prüfungen ein. Dabei werden folgende Daten verarbeitet:

• Registrierung: die IP-Adresse und das Land, dem Cloudflare sie zuordnet (zugelassen sind die Staaten der EU, Island, Liechtenstein, Norwegen und die Schweiz), ein Abgleich der IP-Adresse mit einer auf unserem Server gespeicherten Liste von Rechenzentrums-, VPN- und Proxy-Netzen sowie der Domain deiner E-Mail-Adresse mit einer Liste von Wegwerf-E-Mail-Diensten. Wird eine Registrierung abgelehnt, speichern wir dazu keine weiteren Daten.
• Bot-Abwehr auf der Website (Cloudflare Turnstile): Beim Aufruf der Registrierungsseite lädt dein Browser ein Skript von Cloudflare, Inc., das technische Merkmale deines Browsers und Geräts sowie Merkmale der Bedienung auswertet, um Menschen von automatisierten Programmen zu unterscheiden. Beim Absenden prüfen wir das Ergebnis bei Cloudflare und übermitteln dafür das Prüfergebnis und deine IP-Adresse. Ist die Prüfung nicht möglich, kann die Registrierung auf der Website in diesem Moment nicht abgeschlossen werden. Das Skript wird nur auf der Registrierungsseite geladen. Der Zugriff auf dein Endgerät ist für die von dir gewünschte Registrierung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Cloudflare kann Daten in die USA übermitteln; Grundlage ist das Data Privacy Framework (Abschnitt 5).
• Nachrichten: Beim Absenden prüfen wir den Text automatisch auf Links, Webadressen und E-Mail-Adressen. Bei Konten, die jünger als sieben Tage sind, vergleichen wir außerdem, ob derselbe Text in kurzer Zeit in mehrere Unterhaltungen geschickt wird, und zählen bei Konten, die jünger als 48 Stunden sind, neu begonnene Unterhaltungen.
• Fotos: Für hochgeladene Fotos berechnen wir einen Ähnlichkeitswert, um das erneute Hochladen von Fotos zu erkennen, die wir wegen einer Rechtsverletzung entfernt haben. Außerdem prüfen wir jedes Foto einer Anzeige automatisch darauf, ob es einen Artikel zeigt, der auf Vesty nicht angeboten werden darf (zum Beispiel Alkohol, Tabak, Waffen oder Medikamente), oder Nacktheit und sexuelle Darstellungen. Dafür übermitteln wir das Foto — ohne Standortdaten (EXIF) und ohne deinen Namen — über das AI-Gateway nach Ziff. 3.12 an Anthropic PBC, USA, und zwar unabhängig davon, ob du der KI-Bildanalyse nach Ziff. 3.18 zugestimmt hast. Fotos einer noch nicht veröffentlichten Anzeige prüfen wir gleich nach dem Hochladen, Fotos einer bereits veröffentlichten Anzeige vor dem Speichern. Zu jedem Foto speichern wir nur das Ergebnis (verboten oder nicht und gegebenenfalls die Gruppe); Anthropic verwendet die Fotos nicht zum Training von Modellen.
• Hygieneprüfung: Fotos von Anzeigen für Babyflaschen, Schnuller und Windeln übermitteln wir nach der Veröffentlichung auf demselben Weg an Anthropic, um einen Sauger, einen ausgepackten Schnuller oder eine geöffnete Windelpackung zu erkennen. Ein Treffer entfernt nichts, sondern legt die Anzeige einem Menschen zur Prüfung vor; Anzeigen für Unterwäsche und Socken für Kinder legen wir immer einem Menschen vor. Gespeichert werden die Anzeige, der Grund der Prüfung, ihr Ergebnis und wer sie abgeschlossen hat.
• Anzeigentexte: Titel und Beschreibung einer Anzeige prüfen wir auf unserem Server auf Beleidigungen und sexuelle Begriffe aus einer festen Liste und darauf, ob sie in lateinischer Schrift geschrieben sind.
• Mengenbegrenzungen: kurzlebige Zähler je IP-Adresse oder Konto, die nach Ablauf des jeweiligen Zeitraums verfallen.
• Empfehlungsprogramm: bei Registrierungen über einen Einladungslink IP-Adresse, User-Agent, eine Gerätekennung und der Zeitpunkt, um Selbstempfehlungen und Mehrfachkonten zu erkennen (§ 11a Abs. 6 AGB).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine Plattform, auf der Nutzer:innen vor Betrug, Phishing und Spam geschützt sind (vgl. Erwägungsgrund 47 DSGVO) und auf der keine verbotenen Artikel und keine unzulässigen Inhalte angeboten werden.

Automatisierte Entscheidung (Art. 22 DSGVO). Automatisch, ohne vorherige menschliche Prüfung, greifen drei Maßnahmen: die Sperrung neuer Anzeigen und später das Zurückhalten von Auszahlungen, wenn eine verkaufende Person die Schwellen des Plattformen-Steuertransparenzgesetzes erreicht und die gesetzlich vorgeschriebenen Angaben trotz zweier Erinnerungen nicht macht (§ 23 PStTG; Art. 22 Abs. 2 lit. b DSGVO), die Sperrung eines neuen Kontos wegen Massennachrichten sowie die Ablehnung eines Anzeigenfotos, das nach der automatischen Prüfung einen verbotenen Artikel oder Nacktheit zeigt. Die Kontosperre wird ohne vorherige menschliche Prüfung getroffen; sie gilt, bis ein Mensch den Fall geprüft hat. Sie ist erforderlich, um den Nutzungsvertrag mit allen anderen Nutzer:innen zu erfüllen, die wir vor Phishing schützen müssen (Art. 22 Abs. 2 lit. a DSGVO). Dasselbe gilt für die Ablehnung eines Anzeigenfotos: Wir sagen allen Nutzer:innen eine Plattform ohne verbotene Artikel zu (Art. 22 Abs. 2 lit. a DSGVO); abgelehnt wird nur das Foto, die Anzeige selbst bleibt erhalten. Du erhältst sofort eine Begründung, kannst deinen Standpunkt darlegen und die Entscheidung anfechten; über deine Beschwerde entscheidet ein Mensch (Art. 22 Abs. 3 DSGVO, § 11 Abs. 5 AGB). Die vollständige Liste der automatisierten Mittel steht in § 11 Abs. 7 der AGB.

3.16 Dein öffentliches Profil

Für alle sichtbar — auch ohne Anmeldung — sind in deinem Profil und bei deinen Anzeigen: dein Benutzername, dein Profilbild und dein Text „Über mich", wenn du sie hinterlegt hast, das Datum deiner Registrierung („Mitglied seit"), als Founding Member deine Mitgliedsnummer, die Zahl deiner Verkäufe, deine Bewertungen als Verkäufer:in und als Käufer:in (getrennt angezeigt) und die Versandbewertung mit ihren Einzelwerten, deine Abzeichen und deine veröffentlichten Anzeigen. Öffentlich ist auch, wie vielen Konten du folgst und wer dir folgt, einschließlich der Listen dieser Konten; in diesen Listen erscheinen von jedem Konto Benutzername, Profilbild, gegebenenfalls die Founding-Mitgliedsnummer und ob es gewerblich verkauft, bei gewerblichen Verkäufer:innen auch der Name. Postleitzahl und Ort erscheinen nur, wenn du sie nach Ziff. 3.10 freigibst. Deinen bürgerlichen Namen, deine E-Mail-Adresse, Anschrift und Telefonnummer zeigen wir bei Privatpersonen nicht an; für gewerbliche Verkäufer:innen gilt Ziff. 3.2. Konten des Plattformbetreibers tragen den Hinweis „Konto des Plattformbetreibers" (§ 1 Abs. 2a AGB). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Antwortzeit: Bei deinen Anzeigen und in deinen Unterhaltungen zeigen wir, wie schnell du meist antwortest — zum Beispiel „Antwortet meist innerhalb von 2 Std.“. Dafür werten wir jede Nacht die Unterhaltungen aus, die Käufer:innen in den letzten 90 Tagen mit dir begonnen haben: die Zeit von ihrer ersten Nachricht bis zu deiner ersten Antwort. Automatische Antworten (etwa die automatische Annahme ab einem Mindestpreis) zählen nicht als Antwort. Eine Unterhaltung, auf die du nicht antwortest, zählt nach 48 Stunden mit sieben Tagen. Blockierte Unterhaltungen und Unterhaltungen mit gesperrten oder gelöschten Konten bleiben außen vor. Gespeichert wird nur das Ergebnis — der mittlere Wert (Median) und die Zahl der Unterhaltungen —, nicht die einzelnen Zeiten. Angezeigt wird der Wert erst ab fünf Unterhaltungen und nur, wenn er unter zwei Tagen liegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — Käufer:innen haben ein berechtigtes Interesse daran einzuschätzen, ob und wann sie mit einer Antwort rechnen können. Du kannst dem nach Art. 21 DSGVO widersprechen (Abschnitt 8).

3.17 Anzeigen in Produktsuchmaschinen

Anzeigen von Verkäufer:innen, die der AGB-Fassung vom 3. Oktober 2026 oder einer späteren zugestimmt oder Google Shopping unter Mein Konto → „Einstellungen" → „Datenschutz" eingeschaltet haben, übermitteln wir an Google (Google Merchant Center), damit sie in Google Shopping und ähnlichen Diensten erscheinen und auf die Anzeige bei Vesty verlinken (§ 4a Abs. 4a AGB). Übermittelt werden Titel, Beschreibung, Preis, Zustand, Kategorie, weitere Artikelangaben wie Marke, Größe, Farbe oder Material, Versandkosten, die Fotos und der Link zur Anzeige — nicht dein Name und nicht dein Benutzername. Ziehst du eine Anzeige zurück oder löschst du sie, übermitteln wir sie nicht mehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Google kann Daten an Google LLC in die USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.

3.18 KI-Bildanalyse beim Einstellen (freiwillig)

Beim Einstellen einer Anzeige kannst du dir Titel, Beschreibung, Kategorie, Farbe, Zustand und Paketgewicht aus deinen Fotos vorschlagen lassen, dazu Marke, Größe und Material, wenn sie auf einem Etikett im Foto lesbar sind, sowie eine Schätzung, zu welchem Preis ein solcher Artikel gebraucht verkauft wird. Dafür übermitteln wir bis zu vier Fotos der Anzeige — ohne Standortdaten (EXIF), ohne deinen Namen — über das AI-Gateway nach Ziff. 3.12 an Anthropic PBC, USA. Die Vorschläge erscheinen im Formular: Das Paketgewicht und eine lesbare ISBN sind vorausgefüllt, alles andere übernimmst du selbst mit einem Tipp. Jeden Wert kannst du vor dem Veröffentlichen ändern. Die Preisschätzung zeigen wir dir nicht als Zahl: Im Schritt „Preis" vergleichen wir sie mit deinem Preis und weisen dich darauf hin, wenn er deutlich darüber liegt, mit einem Preisvorschlag, den du übernehmen kannst oder nicht. Wir speichern die Anfrage und die Antwort nicht; gespeichert wird nur die Anzeige, die du veröffentlichst. Anthropic verwendet die Fotos nicht zum Training von Modellen.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung findet keine Analyse statt — das prüfen wir auf unserem Server vor jeder Analyse —, und du füllst die Felder selbst aus. Unabhängig davon prüfen wir jedes Anzeigenfoto auf verbotene Artikel (Ziff. 3.15); diese Prüfung erzeugt keine Vorschläge und setzt keine Einwilligung voraus. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz". Grundlage der Übermittlung in die USA sind die EU-Standardvertragsklauseln (Abschnitt 5).

Preisempfehlung ohne KI-Bildanalyse: Hast du der KI-Bildanalyse nicht zugestimmt, vergleichen wir deinen Preis im Schritt „Preis" stattdessen mit üblichen Gebrauchtpreisen für die gewählte Kategorie, den Zustand und gegebenenfalls die Marke und zeigen denselben Hinweis. Dafür verarbeiten wir nur diese Angaben deiner Anzeige auf unserem Server; an Dritte wird dabei nichts übermittelt, und gespeichert wird nichts über die üblichen Server-Protokolle hinaus. Rechtsgrundlage ist die Bereitstellung des Marktplatzes (Art. 6 Abs. 1 lit. b DSGVO).

3.19 Meta-Pixel (Website, nur mit Einwilligung)

Wir schalten Anzeigen auf Facebook und Instagram. Um zu messen, ob sie wirken, und um Besucherinnen und Besuchern unserer Website dort Vesty-Werbung zu zeigen, setzen wir auf der Website den Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“), ein. Er läuft nur, wenn du im Cookie-Banner eingewilligt hast (Kategorie „Marketing (Meta-Pixel, Facebook/Instagram)“). Ohne Einwilligung lädt die Website nichts von Meta, es findet keine Verbindung zu Meta statt, und es wird nichts in deinem Browser gespeichert. Du kannst die Website ohne Einwilligung uneingeschränkt nutzen.

Was verarbeitet wird: Nach deiner Einwilligung speichert Meta in deinem Browser die in der Cookie-Richtlinie, Abschnitt 4, genannten Cookies (_fbp, gegebenenfalls _fbc) und Einträge im Browser-Speicher (die Website, von der du zuletzt kamst, mit Zeitpunkt; gegebenenfalls Klick-Kennungen). Auf unseren öffentlichen Seiten sendet dein Browser bei jedem Seitenaufruf und wenn du auf „App Store“ oder „Google Play“ tippst eine Meldung an Meta. Öffentliche Seiten sind Startseite, Kategorien, Artikel, Ratgeber, Hilfe und unsere Seiten für Verkäuferinnen und Verkäufer. Die Meldung enthält:

• die Kennung unseres Pixels und die Art des Ereignisses („Seitenaufruf“ oder „Tipp auf App Store / Google Play“ mit dem gewählten Store);
• die vollständige Adresse der Seite, einschließlich Kampagnen-Angaben und der Klick-Kennung fbclid, wenn du über eine Meta-Anzeige kamst;
• die Adresse der Seite, von der du kamst;
• die Kennungen aus _fbp/_fbc und gegebenenfalls aus Cookies, die Meta bereits in deinem Browser gespeichert hat, etwa wenn du bei Facebook oder Instagram angemeldet bist;
• Bildschirmgröße und Zeitpunkt;
• technische Angaben, die bei jeder Verbindung anfallen (IP-Adresse, Browser- und Geräteangaben).

Auf Seiten, deren Adresse persönliche Angaben enthalten kann, sendet die Website keine Meldung an Meta. Das sind Konto, Registrierung, Kasse, Nachrichten, Suche, geteilte Favoritenlisten, Einladungen und Profile anderer Mitglieder. Wir übermitteln Meta keine Namen, E-Mail-Adressen oder Telefonnummern (kein „erweiterter Abgleich“), und wir verknüpfen nichts mit deinem Vesty-Konto.

Zwecke:

• Wir messen den Erfolg unserer Anzeigen auf Facebook und Instagram.
• Wir bilden aus Besuchern unserer Website Zielgruppen, um ihnen dort Vesty-Werbung zu zeigen (Remarketing), und auf dieser Grundlage ähnliche Zielgruppen.
• Meta kann die Daten einem Facebook- oder Instagram-Konto zuordnen. Nach eigenen Angaben verwendet Meta sie auch für eigene Zwecke, etwa um Werbung zu personalisieren und die eigenen Produkte zu verbessern.

Wir selbst sehen bei Meta nur zusammengefasste Zahlen und Zielgruppen ab einer Mindestgröße, nicht, wer du bist.

Rechtsgrundlage: Für das Speichern und Auslesen im Endgerät gilt deine Einwilligung nach § 25 Abs. 1 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. a DSGVO.

Gemeinsame Verantwortlichkeit: Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Dazu gilt zwischen uns und Meta der Zusatz für gemeinsam Verantwortliche („Controller Addendum“, facebook.com/legal/controller_addendum). Das Wesentliche dieser Vereinbarung:

• Wir informieren dich über die gemeinsame Verarbeitung und holen deine Einwilligung ein.
• Meta erfüllt deine Rechte aus Art. 15 bis 20 DSGVO zu den Daten, die Meta nach der gemeinsamen Verarbeitung speichert.

Du kannst deine Rechte bei uns oder bei Meta geltend machen. Anfragen, die Meta betreffen, leiten wir an Meta weiter. Für die Verarbeitung nach der Übermittlung ist Meta allein verantwortlich. Datenschutzrichtlinie von Meta: facebook.com/privacy/policy.

Übermittlung in die USA: Meta kann Daten an die Meta Platforms, Inc. in den USA übermitteln. Grundlage sind der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO; Meta Platforms, Inc. ist zertifiziert) und ergänzend Standardvertragsklauseln (Abschnitt 5).

Speicherdauer:

• _fbp und _fbc laufen nach 90 Tagen ab.
• Wie lange Meta die Daten aufbewahrt, beschreibt Meta in seiner Datenschutzrichtlinie.
• Wir selbst speichern keine dieser Daten. Wir protokollieren nur deine Auswahl im Banner (Abschnitt 6, Cookie-Einwilligungsprotokoll).

Widerruf: jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ unten auf jeder Seite oder auf der Seite Cookie-Richtlinie. Wir löschen dann _fbp, _fbc und die Einträge im Browser-Speicher, und die Seite lädt ohne das Meta-Skript neu. Cookies auf Domains von Meta kann unsere Website nicht löschen; das kannst du in deinem Browser tun. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

3.20 Werbe-Messung in der App (Meta SDK, nur mit Einwilligung)

Wir schalten Anzeigen auf Facebook und Instagram. Um zu messen, welche davon zu Installationen der App, zu Registrierungen und zu neuen Anzeigen führen, verwenden wir in der App das Meta SDK der Meta Platforms Ireland Limited (Anschrift wie Ziff. 3.19). Es läuft nur, wenn du in der App einwilligst. „Ablehnen“ ist so einfach wie „Alle erlauben“. Ohne Einwilligung wird das SDK nicht gestartet, sendet nichts und speichert nichts auf deinem Gerät. Die App funktioniert ohne Einwilligung genauso.

Was das SDK an Meta meldet:

• die Installation und jedes Öffnen der App;
• eine abgeschlossene Registrierung mit der Art der Anmeldung (E-Mail, Google oder Apple);
• das Veröffentlichen einer Anzeige, ohne Titel, Fotos, Kategorie oder Preis;
• Geräte- und App-Angaben (Modell, Betriebssystem, App-Version, Sprache, Zeitzone), eine Kennung, die das SDK auf deinem Gerät speichert, und die IP-Adresse;
• die Werbe-ID deines Geräts, unter iOS nur, wenn du zusätzlich in der Abfrage von Apple („App-Tracking-Transparenz“) zustimmst. Lehnst du dort ab, misst Meta nur zusammengefasst über die Verfahren von Apple.

Was nicht übermittelt wird: Name, E-Mail-Adresse, Telefonnummer, deine Vesty-Nutzer-ID, Inhalte von Anzeigen und Nachrichten, Suchbegriffe, Käufe.

Zwecke, gemeinsame Verantwortlichkeit, USA: wie in Ziff. 3.19 (Erfolgsmessung, Zielgruppen, eigene Zwecke von Meta; Art. 26 DSGVO mit dem Controller Addendum; Data Privacy Framework und Standardvertragsklauseln).

Rechtsgrundlage: deine Einwilligung, § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO. Deine Wahl meldet die App mit Zeitpunkt und einem Hashwert deiner IP-Adresse an unseren Server, als Nachweis (Abschnitt 6, Cookie-Einwilligungsprotokoll).

Widerruf: jederzeit in der App unter Profil → „Privatsphäre & Sicherheit“ → „Einwilligungen verwalten“, auch ohne Konto. Das SDK sendet dann nichts mehr, wir löschen die Angaben, die es zu dir gespeichert hat, und ab dem nächsten Start wird es nicht mehr gestartet. Unter iOS kannst du das Tracking außerdem in den Einstellungen des Geräts unter „Datenschutz & Sicherheit“ → „Tracking“ abschalten.

3.21 Vesty in sozialen Netzwerken

Vesty hat eine Gruppe und eine Seite auf Facebook, ein Profil auf Instagram (beide Meta Platforms Ireland Limited, Anschrift wie Ziff. 3.19), ein Profil auf TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland) und einen Kanal auf YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). In der App und auf der Website verlinken wir sie nur. Es ist nichts von diesen Netzwerken eingebunden, kein Button, kein Pixel, kein Programmcode. Solange du keinen Link antippst, erfährt kein Netzwerk etwas von deinem Besuch bei Vesty.

Tippst du einen Link an, verlässt du Vesty. Ab dann verarbeitet das jeweilige Netzwerk deine Daten nach seinen eigenen Bestimmungen, zum Beispiel deine IP-Adresse, Geräteangaben und, wenn du dort angemeldet bist, dein Konto. Dafür ist das Netzwerk selbst verantwortlich: Datenschutzrichtlinie von Meta, Datenschutzrichtlinie von TikTok, Datenschutzerklärung von Google.

Statistiken. Meta und TikTok zeigen uns als Betreiber der Gruppe, der Seite und der Profile zusammengefasste Statistiken, etwa wie viele Personen Beiträge gesehen haben. Daraus erfahren wir nicht, wer du bist. Für diese Statistiken sind wir mit Meta beziehungsweise TikTok gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarungen dazu sind das Page Insights Controller Addendum von Meta und die Vereinbarung über gemeinsame Verantwortlichkeit von TikTok. Darin übernehmen Meta und TikTok die Pflicht, dich zu informieren und deine Rechte zu erfüllen. Wende dich mit Fragen dazu am besten direkt an sie, gern aber auch an uns. Auch YouTube zeigt uns zusammengefasste Statistiken zu unserem Kanal; Google bietet dafür keine Vereinbarung nach Art. 26 DSGVO an. Soweit wir dafür gemeinsam mit Google verantwortlich sind, kannst du deine Rechte bei Google und bei uns geltend machen.

Was du in der Gruppe oder unter unseren Beiträgen schreibst, sehen andere Mitglieder und wir. Wir verwenden es nur, um zu antworten und die Gruppe zu moderieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Vesty dort bekannt zu machen, wo Menschen sich austauschen, und dort ansprechbar zu sein.

3.22 Händlerkonto (gewerblich verkaufen)

Stellst du einen Antrag auf ein Händlerkonto (§ 3b AGB) oder verkaufst du über ein Händlerkonto, verarbeiten wir:

• Name oder Firma, Anschrift, E-Mail-Adresse und Telefonnummer, Handelsregistereintrag (Registergericht und Registernummer), Umsatzsteuer-Identifikationsnummer, Steuernummer, ob du Kleinunternehmer:in nach § 19 UStG bist, deine Registrierungsnummer im Verpackungsregister LUCID und deine Wahl, wer nach einem Widerruf die Rücksendekosten trägt;
• deine Erklärung nach Art. 30 Abs. 1 Buchst. f DSA und deine Zustimmung zu den AGB, jeweils mit Zeitpunkt, bei der Zustimmung auch mit Fassung, IP-Adresse und User-Agent;
• den Antrag selbst: wann du ihn gestellt hast, unsere Entscheidung, wann und von wem sie getroffen wurde und bei einer Ablehnung die Begründung, die wir dir mitteilen.

Öffentlich im Profil, bei jeder deiner Anzeigen und in der Kasse sind, sobald dein Händlerkonto freigeschaltet ist: Name oder Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Handelsregistereintrag, Umsatzsteuer-Identifikationsnummer, der Hinweis auf § 19 UStG und deine Widerrufsbelehrung (§ 5 DDG, Art. 246a EGBGB, Art. 30 DSA). Solange du nur einen Antrag gestellt hast, zeigen wir davon nichts an. Nicht öffentlich sind die Steuernummer, die LUCID-Nummer und alles zum Antrag.

Prüfung. Vor der Freischaltung prüfen wir deine Angaben von Hand. Dafür lassen wir die Umsatzsteuer-Identifikationsnummer über das Prüfsystem der Europäischen Kommission (VIES) bestätigen und sehen im öffentlichen Handelsregister und im öffentlichen Verpackungsregister LUCID nach; dabei übermitteln wir jeweils nur die Nummer oder den Namen, nach dem wir suchen. Fordern wir einen Nachweis an, etwa die Gewerbeanmeldung, schickst du ihn uns per E-Mail. Über einen neuen Antrag informiert uns eine interne E-Mail ohne personenbezogene Daten; die Angaben selbst stehen nur in unserem Verwaltungsbereich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über das Händlerkonto); soweit wir die Angaben aufzeichnen und veröffentlichen müssen (§ 22f UStG, § 5 DDG, Art. 246a EGBGB), Art. 6 Abs. 1 lit. c DSGVO; für die Prüfung vor der Freischaltung zusätzlich Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, Käufer:innen vor Händlern mit falschen Angaben zu schützen und nicht selbst für fremde Umsatzsteuer zu haften (§ 25e UStG).

3.23 Meine Größen & Marken

Was wir speichern. Was du unter „Meine Größen & Marken" angibst: deine Größen je Bereich (Damen, Herren, Kinder) und Liste (zum Beispiel Kleidergrößen, Schuhe, Ringe), deine Lieblingsmarken, ob Anzeigen von Mitgliedern, denen du folgst, bevorzugt werden sollen, und wann du die einmalige Frage danach beantwortet oder ausgeblendet hast.

Wofür. Schaltest du in der Suche oder in Kategorien „Nur meine Größen" ein, zeigen wir nur Anzeigen in diesen Größen. Auf der Startseite der App stehen Anzeigen in deinen Größen in einem festen Anteil vorn, Anzeigen in einer anderen Größe kommen seltener und weiter hinten, und Anzeigen von deinen Marken und von Mitgliedern, denen du folgst, rücken weiter nach oben, ohne dass andere ausgeblendet werden (§ 5b AGB). Die Angaben sind nicht öffentlich, werden nicht an Dritte weitergegeben und nicht für Werbung genutzt.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO: Du machst die Angaben, um diese Funktionen zu nutzen. Hast du der Personalisierung widersprochen (Ziff. 3.5), nutzen wir sie auf der Startseite nicht; „Nur meine Größen" funktioniert weiter, weil du den Filter selbst einschaltest.

Speicherdauer. Bis du die Angaben änderst oder löschst, spätestens bis zur Löschung deines Kontos. Sie sind Teil des Datenexports.

4. Empfänger / Auftragsverarbeiter

• Hosting: Hetzner Online GmbH, Rechenzentrum Nürnberg, Deutschland — Auftragsverarbeiter, AVV vorhanden. Alle Anwendungs- und Datenbankdienste laufen ausschließlich an diesem Standort, auch die Datenbank, der Zwischenspeicher (Redis), der Suchindex (Meilisearch), das AI-Gateway (Ziff. 3.12) und die Datensicherungen; diese Dienste betreiben wir selbst, ohne Weitergabe an Dritte.
• Netzwerk- und Sicherheitsdienst (CDN, DDoS-Schutz, TLS, Bot-Abwehr, E-Mail-Weiterleitung): Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA — Auftragsverarbeiter. Erhält jede Anfrage an die Website und die App-Schnittstelle mit IP-Adresse und technischen Verbindungsdaten, bei der Registrierung auf der Website die Daten der Bot-Abwehr Turnstile (Ziff. 3.15) und E-Mails, die du an eine Adresse @vesty-shop.com schreibst, um sie an unser Postfach weiterzuleiten. Übermittlung in die USA auf Grundlage des EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023), ergänzend Standardvertragsklauseln.
• E-Mail-Postfach: E-Mails an Adressen @vesty-shop.com sowie interne Hinweise auf neue Kontaktanfragen und Registrierungen (ohne Inhalt bzw. ohne personenbezogene Daten) gehen in ein Postfach bei Google (Gmail), Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google kann Daten an Google LLC in die USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• Frühere Zahlungsart PayPal: Bis zum 29.09.2026 war bei einzelnen Bestellungen die Zahlung über PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, möglich (eigener Verantwortlicher). Die Daten dieser Zahlungen bewahren wir nach den gesetzlichen Fristen für Bestelldaten auf; neue PayPal-Zahlungen sind nicht möglich.
• Zahlungsdienstleister: Stripe Payments Europe Ltd. (Irland) — eigener Verantwortlicher. Erhält Name, Betrag, E-Mail-Adresse und die für die Zahlung nötigen Daten; Stripe zahlt den Kaufpreis an die verkaufende Person aus und erhält dafür deren Auszahlungsdaten direkt. Stripe kann Daten innerhalb der Stripe-Gruppe in die USA übermitteln; Grundlage sind Standardvertragsklauseln und das Data Privacy Framework. Über Stripe kannst du auch Zahlungsarten anderer Anbieter wählen; dann ist der jeweilige Anbieter für diese Zahlung eigener Verantwortlicher und erhält die dafür nötigen Daten: Klarna (Klarna Bank AB (publ), Schweden; bei Kauf auf Rechnung oder in Raten kann Klarna eine Bonitätsprüfung durchführen) auf der Website und in der App; nur in der App außerdem Amazon Pay (Amazon Payments Europe S.C.A., Luxemburg), Revolut Pay (Revolut Bank UAB, Litauen), Samsung Pay und Link (Stripe); Apple Pay und Google Pay als Wallets deines Geräts. Welche Zahlungsarten dir angeboten werden, siehst du vor der Bestellung in der Kasse. PayPal bieten wir derzeit nicht an.
• Versandabwicklung: Sendcloud B.V., Eindhoven, Niederlande — Auftragsverarbeiter, AVV vorhanden. Erhält für jede versendete Bestellung Namen und Lieferadresse des Käufers sowie Namen und Absenderadresse des Verkäufers, dazu E-Mail-Adresse und – falls hinterlegt – Telefonnummer des Käufers für Zustellbenachrichtigungen, um das Versandetikett zu erzeugen und die Sendung zu verfolgen. Sendcloud gibt diese Daten an den gewählten Versanddienstleister weiter.
• Versanddienstleister: DHL Paket GmbH, DPD Deutschland GmbH, United Parcel Service Deutschland S.à r.l. & Co. OHG (UPS) — eigene Verantwortliche. Erhalten die Adressdaten, die zur Zustellung erforderlich sind, sowie, soweit du sie angegeben hast, E-Mail-Adresse oder Telefonnummer für Zustellbenachrichtigungen.
• Anmeldung mit Apple oder Google (optional): Apple Distribution International Ltd. (Irland) beziehungsweise Google Ireland Ltd. (Irland) — eigene Verantwortliche. Wenn du „Mit Apple anmelden“ oder „Mit Google anmelden“ wählst, bestätigt der Anbieter deine Identität und übermittelt uns eine pseudonyme Kennung, deine E-Mail-Adresse (bei Apple auf Wunsch eine Weiterleitungsadresse, wenn du „E-Mail-Adresse verbergen“ wählst) und bei der ersten Anmeldung deinen Namen. Bei Apple speichern wir zusätzlich ein Token, mit dem wir die Verknüpfung widerrufen, wenn du dein Konto löschst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Apple und Google können Daten an ihre Muttergesellschaften in den USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• Absturz- und Fehlerberichte (nur App): Functional Software, Inc. (Sentry), USA — Auftragsverarbeiter. Verarbeitung in der EU-Region (Frankfurt am Main). Erhält bei einem Absturz oder Fehler einen Fehlerbericht sowie Stichproben zur Leistung der App mit Gerätemodell, Betriebssystem, App-Version und IP-Adresse. Es werden keine Bildschirmaufnahmen und keine Nutzerkennung übermittelt; personenbezogene Inhalte werden vor dem Versand herausgefiltert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen und sicheren App). Ein Zugriff aus den USA ist möglich; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• Push-Benachrichtigungen: Google Ireland Ltd. (Firebase Cloud Messaging), für Geräte von Apple zusätzlich Apple Distribution International Ltd. — Auftragsverarbeiter. Erhalten das Geräte-Token und den Nachrichteninhalt. Google kann Daten an Google LLC in die USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• E-Mail-Versand: Resend, Inc., USA — Auftragsverarbeiter. Wird für Bestell-, Konto- und Service-E-Mails sowie den Newsletter eingesetzt. Grundlage: Standardvertragsklauseln.
• Nutzungsanalyse (nur App, nur mit Einwilligung): PostHog, Inc., USA — Auftragsverarbeiter. Die Daten werden auf Servern in Frankfurt am Main verarbeitet (EU-Cloud). Ein Zugriff aus den USA ist zu Support-Zwecken möglich; Grundlage sind Standardvertragsklauseln und das Data Privacy Framework.
• Adressprüfung: Beim Eingeben einer Anschrift gleichen wir Postleitzahl, Ort und Straßenname von unserem Server aus mit dem öffentlichen Straßenverzeichnis der OpenPLZ API (openplzapi.org) ab, um Tippfehler zu erkennen. Dein Name wird dabei nicht übermittelt, und der Dienst sieht nicht deine, sondern unsere IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Prüfung der Umsatzsteuer-Identifikationsnummer: bei einem Antrag auf ein Händlerkonto das Prüfsystem VIES der Europäischen Kommission, das die Anfrage an die zuständige Steuerverwaltung weiterleitet; übermittelt wird nur die Nummer (Ziff. 3.22).
• Produktsuchmaschinen: Google Ireland Limited (Google Merchant Center / Google Shopping) — erhält die Angaben und Fotos veröffentlichter Anzeigen nach Ziff. 3.17, ohne Namen oder Benutzernamen.
• Werbung und Erfolgsmessung bei Meta (nur mit Einwilligung): Meta Platforms Ireland Limited, Irland — auf der Website der Meta-Pixel nach Ziff. 3.19, in der App das Meta SDK nach Ziff. 3.20. Gemeinsam mit uns verantwortlich für Erhebung und Übermittlung, danach allein verantwortlich. Meta kann Daten an die Meta Platforms, Inc. in die USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• KI-Bildanalyse (optional): Anthropic PBC, USA — Auftragsverarbeiter, über das AI-Gateway nach Ziff. 3.12. Einzelheiten in Ziff. 3.18. Grundlage: Standardvertragsklauseln (Modul 2), einbezogen über das Data Processing Addendum von Anthropic.
• Prüfung von Anzeigenfotos auf verbotene Artikel: Anthropic PBC, USA — Auftragsverarbeiter, über das AI-Gateway nach Ziff. 3.12, für jedes Foto jeder Anzeige (Ziff. 3.15). Grundlage: Standardvertragsklauseln (Modul 2), einbezogen über das Data Processing Addendum von Anthropic.
• KI-Assistent (Hilfe-Chat): Anthropic PBC, USA — Auftragsverarbeiter. Erhält deine getippte Frage, bis zu sechs vorangegangene Gesprächsbeiträge, die herangezogenen Abschnitte unserer eigenen Dokumente und, nur bei Fragen zu einer konkreten Bestellung, eine Übersicht deiner eigenen Bestellungen und Preisvorschläge (Ziff. 3.12). Deine Eingaben werden nicht zum Training von Modellen verwendet. Wir speichern weder Frage noch Antwort. Grundlage: Standardvertragsklauseln (Modul 2), einbezogen über das Data Processing Addendum von Anthropic.
• SMS-Verifizierung: Setzen wir eine Telefonnummern-Verifizierung ein (§ 11a Abs. 6 AGB), erfolgt der Versand über einen SMS-Dienstleister, der die Telefonnummer und den Bestätigungscode erhält. Derzeit ist kein solcher Dienst aktiv; sobald wir einen einsetzen, nennen wir ihn an dieser Stelle vor der ersten Nutzung.

Hinweis zu Fotos: Standortdaten (EXIF/GPS) werden vor jeder Übertragung entfernt. Bitte achte trotzdem darauf, was im Bild zu sehen ist — Personen, Wohnräume oder Dokumente im Hintergrund werden mit übertragen.

5. Übermittlung in Drittländer

Einige der in Abschnitt 4 genannten Empfänger haben ihren Sitz in den USA oder können Daten dorthin übermitteln: Cloudflare, Google, Apple, Meta, Resend, PostHog, Sentry, Anthropic und innerhalb ihres Konzerns Stripe. Für jede dieser Übermittlungen besteht eine der folgenden Grundlagen: der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger dort zertifiziert ist, und ergänzend beziehungsweise ersatzweise die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914). Kopien der jeweiligen Vereinbarungen stellen wir auf Anfrage zur Verfügung.

Sendcloud (Niederlande), Stripe (Irland), Klarna (Schweden), Google Ireland, Meta Platforms Ireland und Apple Distribution International (Irland) verarbeiten innerhalb des EWR; Sentry und PostHog speichern in Frankfurt am Main. Über die in diesem Abschnitt genannten Empfänger hinaus finden keine Übermittlungen in Länder außerhalb des EWR statt. Sollte sich das ändern, nennen wir den Empfänger und die Grundlage an dieser Stelle, bevor die Übermittlung beginnt.

6. Speicherdauer

• Konto-Stammdaten: bis zur endgültigen Löschung des Kontos (Abschnitt 8)
• Bestell- und Zahlungsdaten, Rechnungen: 10 Jahre (§ 147 AO, § 257 HGB)
• PStTG-Meldedaten: 10 Jahre ab Ende des Meldejahres
• Server-Logs: 14 Tage, danach vollständige Löschung
• Besuchszählung der Website (Ziff. 3.1): nur Tagessummen ohne Personenbezug, 400 Tage
• Login-Historie: 12 Monate; IP-Adresse und User-Agent im Sicherheitsprotokoll sowie die zuletzt verwendete Login-IP am Konto ebenfalls 12 Monate
• Sicherheitsprotokoll (Audit-Log): 3 Jahre (ohne IP-Adresse und User-Agent nach Ablauf von 12 Monaten)
• Versandprotokolle von E-Mails und Benachrichtigungen sowie Nutzungsereignisse (Ziff. 3.7a): 12 Monate
• Angesehene Anzeigen (Ziff. 3.5): 180 Tage; „bereits gezeigt"-Speicher: 72 Stunden nach der letzten Anzeige
• Suchverlauf (Ziff. 3.13): die letzten 10 Suchbegriffe, bis zur Löschung durch dich oder Konto-Löschung; was wir daraus für die Startseite ableiten (Ziff. 3.5): höchstens eine Stunde, ohne den Suchbegriff
• Geteilte Favoriten-Links (Ziff. 3.11): bis zum Löschen durch dich, sonst 90 Tage nach dem letzten Öffnen
• Nachrichten: bis zur Löschung durch den Nutzer oder bis zur Konto-Löschung; bei der Konto-Löschung entfernen wir den Inhalt deiner Nachrichten und die Dateien der Fotos, die du geschickt hast, in der Unterhaltung der anderen Person bleibt nur der Hinweis „Nachricht gelöscht"
• Bewertungen: unbefristet, nach Kontolöschung pseudonymisiert (Ziff. 3.4)
• Antwortzeit (Ziff. 3.16): nur der aktuelle Wert, jede Nacht neu berechnet; spätestens einen Tag nach der Konto-Löschung entfernt
• Meldungen, Moderationsentscheidungen, Beschwerden: 3 Jahre ab Abschluss, nach Kontolöschung pseudonymisiert (Ziff. 3.9)
• KI-Assistent (Ziff. 3.12): keine Speicherung von Fragen, Antworten oder Gesprächsverläufen; Bewertungen einer Antwort (Kennung + „hilfreich"/„nicht hilfreich", ggf. dein Kommentar) 3 Jahre im Sicherheitsprotokoll
• Cookie-Einwilligungsprotokoll: 3 Jahre
• Meta-Pixel (Ziff. 3.19): Cookies _fbp und _fbc 90 Tage, Einträge im Browser-Speicher bis zum Widerruf, jeweils in deinem Browser; bei Meta nach dessen Fristen
• Werbe-Messung in der App (Ziff. 3.20): Kennungen des Meta SDK auf deinem Gerät bis zum Widerruf oder bis zum Löschen der App; bei Meta nach dessen Fristen
• Newsletter- und Werbe-E-Mail-Anmeldung: für die Dauer des Abonnements und danach bis zu 3 Jahre zum Nachweis der Einwilligung
• Kontaktanfragen über das Kontaktformular (Ziff. 3.14): 730 Tage, außer wenn wir sie zur Verteidigung von Rechtsansprüchen länger aufbewahren müssen
• Nachweise zu Zustimmung und Altersbestätigung bei der Registrierung sowie zu Einwilligungen: für die Dauer des Nutzungsvertrags und danach 3 Jahre (regelmäßige Verjährungsfrist); danach löschen wir sie
• Profil- und Anzeigenfotos: bei der Konto-Löschung werden die Bilddateien gelöscht und aus dem Zwischenspeicher unseres CDN entfernt
• Widerrufserklärungen und Eingangsbestätigungen: wie Bestelldaten
• Händlerangaben (Ziff. 3.22): solange das Händlerkonto besteht; danach bewahren wir die Angaben, die § 22f UStG verlangt, zehn Jahre ab Ende des Jahres des jeweiligen Verkaufs auf und löschen den Rest mit deinem Konto. Ein Antrag, der nicht zu einem Händlerkonto geführt hat, bleibt bis zur Löschung deines Kontos gespeichert, damit du ihn korrigieren und erneut stellen kannst; auf Wunsch löschen wir ihn früher. Die Zustimmung zu den AGB bewahren wir wie die übrigen Nachweise zu Zustimmungen auf.
• Turnstile-Prüfung, Prüfungen der Registrierungssperren (Ziff. 3.15): keine Speicherung durch uns über die Prüfung hinaus
• Ergebnis der Prüfung eines Anzeigenfotos auf verbotene Artikel (Ziff. 3.15): 30 Tage; das Foto selbst wird dafür nicht zusätzlich gespeichert
• Hygieneprüfung (Ziff. 3.15): solange die Anzeige gespeichert ist; Maßnahmen, die daraus folgen, wie Moderationsentscheidungen
• Zwei-Faktor-Anmeldung (Ziff. 3.2): bis zum Ausschalten oder zur Konto-Löschung; die Sicherheits-E-Mails wie Versandprotokolle
• Meine Größen & Marken (Ziff. 3.23): bis zur Änderung durch dich oder zur Konto-Löschung
• Urlaubsmodus und ausgeblendete Anzeigen: solange sie laufen; Reservierungen mit der Anzeige, die Nachrichten dazu wie Nachrichten
• Kleiderschrank-Spotlight: mit deinem Konto; als Nachweis über eingesetzte Gutschriften bis zur Konto-Löschung

7. Cookies & Tracking

Wir setzen technisch notwendige Cookies ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Für Analyse- oder Marketing-Zwecke fragen wir vor dem Setzen deine ausdrückliche Einwilligung ein. Auf der Website setzen wir keine Analyse-Cookies ein. Marketing-Cookies setzt nur der Meta-Pixel (Ziff. 3.19), und nur mit deiner Einwilligung. Welche Cookies und Einträge im Browser-Speicher wir verwenden — auch die von Cloudflare und Stripe —, und wie du eine Einwilligung mit einem Klick widerrufst, steht in der Cookie-Richtlinie.

Empfehlungs-Attribution: Klickst du auf einer gültigen Einladungs-Seite (vesty-shop.com/i/) auf „Jetzt registrieren", setzen wir einen Cookie namens vesty_ref mit einer Lebensdauer von 30 Tagen. Das bloße Aufrufen der Seite setzt keinen Cookie. Der Cookie speichert ausschließlich den Einladungs-Code; er ist erforderlich, damit die von dir gewünschte Registrierung über die Einladung zugeordnet wird — davon hängen die für Eingeladene reservierten Founding-Member-Plätze und die Belohnung der einladenden Person ab (§ 25 Abs. 2 Nr. 2 TDDDG). Registrierst du dich nicht innerhalb von 30 Tagen, wird der Cookie automatisch gelöscht. Bei der Registrierung erfassen wir zur Missbrauchsprävention zusätzlich IP-Adresse und User-Agent (Art. 6 Abs. 1 lit. f DSGVO — Schutz vor Mehrfach-Konten und Bot-Registrierungen).

Telefonnummer: Gibst du eine Telefonnummer an, speichern wir sie in normalisierter E.164-Form; im Admin-Bereich sind standardmäßig nur die letzten vier Ziffern sichtbar. Sie wird auf Wunsch gelöscht, sobald sie für die Missbrauchsprävention nicht mehr erforderlich ist (üblicherweise 12 Monate nach Konto-Löschung).

8. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) — formlos an uns oder als Datenexport selbst: auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz", in der App unter Profil → „Deine Daten" → „Daten exportieren"; der Export wird automatisch erstellt und dir per E-Mail bereitgestellt
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — formlos an datenschutz@vesty-shop.com, auch für einzelne Daten. Möchtest du dein ganzes Konto löschen — das ist zugleich die Kündigung des Nutzungsvertrags (§ 11 Abs. 1 AGB) —, kannst du das selbst: auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz", in der App unter Profil → „Konto löschen". Ablauf: Nach deiner Anforderung wird das Konto sofort deaktiviert und nach einer Karenzfrist von 30 Tagen endgültig gelöscht; innerhalb dieser Frist kannst du die Löschung über den Link in der Bestätigungs-E-Mail widerrufen. Bei der endgültigen Löschung werden deine Stammdaten gelöscht und alles, was wir aus gesetzlichen Gründen aufbewahren müssen (Abschnitt 6), von deiner Person getrennt (pseudonymisiert). Dein PostHog-Profil wird dabei ebenfalls gelöscht.
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — der Datenexport liegt in einem maschinenlesbaren Format vor
• Widerspruch (Art. 21 DSGVO) — gegen jede Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, insbesondere gegen die Personalisierung nach Ziff. 3.5 (auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz", in der App unter „Personalisierte Startseite") und gegen die Verarbeitung durch den KI-Assistenten nach Ziff. 3.12
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — in der App unter Profil → „Privatsphäre & Sicherheit" → „Einwilligungen verwalten", auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz" (KI-Bildanalyse, Ort bei Anzeigen), für Werbe-E-Mails über den Abmeldelink, für Cookies über Cookie-Einstellungen
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

Für datenschutzrechtliche Anfragen kannst du dich direkt an datenschutz@vesty-shop.com wenden oder unser Kontaktformular nutzen.

9. Plattformen-Steuertransparenzgesetz (PStTG)

Wir sind als Marktplatzbetreiber nach dem PStTG verpflichtet, bestimmte Daten deiner Verkäufe an das Bundeszentralamt für Steuern zu melden, sobald du innerhalb eines Kalenderjahres 30 oder mehr Verkäufe oder 2000,00 € oder mehr Umsatz erzielst. Vor der ersten Meldung informieren wir dich, und bis zum 31. Januar des Folgejahres teilen wir dir mit, welche Daten wir gemeldet haben (§ 22 PStTG) — per E-Mail und in deinem Konto.

10. Sicherheit

Wir verwenden TLS-Verschlüsselung, Argon2id für Passwörter, AES-256-GCM für sensible Daten (Steuer-Identifikationsnummer und Geburtsdatum nach dem PStTG sowie Schlüssel für die Zwei-Faktor-Anmeldung), Rate Limiting, eine Web Application Firewall und regelmäßige Sicherheitsupdates.

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert oder neue gesetzliche Anforderungen bestehen — insbesondere bevor ein neuer Empfänger Daten erhält. Die jeweils aktuelle Fassung mit Datum findest du auf dieser Seite.