Datenschutzerklärung

Diese Erklärung informiert dich darüber, welche personenbezogenen Daten wir bei der Nutzung der Website vesty-shop.com und der Vesty-App verarbeiten, an wen wir sie weitergeben, wie lange wir sie aufbewahren und welche Rechte dir nach der DSGVO und dem BDSG zustehen.

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
Yazan Aljomaa Alhaded
Rütgerstr. 9, 40229 Düsseldorf
E-Mail: admin@vesty-shop.com

1a. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten benannt. Eine Benennungspflicht nach Art. 37 DSGVO oder § 38 BDSG besteht für uns derzeit nicht, weil weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind und keine Verarbeitung vorliegt, die eine Datenschutz-Folgenabschätzung zwingend erfordert. Sobald sich das ändert, benennen wir eine Person und nennen sie hier. Anfragen zum Datenschutz richte bitte an datenschutz@vesty-shop.com.

2. Begriffsbestimmungen

Wir verwenden die in Art. 4 DSGVO festgelegten Begriffsdefinitionen. „Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

3. Welche Daten verarbeiten wir?

3.1 Beim Besuch der Website

• IP-Adresse (in den Server-Logs, vollständig gespeichert und nach 14 Tagen gelöscht)
• Datum und Uhrzeit des Zugriffs
• Übertragene Datenmenge, Statuscode
• Browser, Betriebssystem, Referrer-URL

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

Die Website und die Schnittstelle der App werden über den Netzwerkdienst von Cloudflare ausgeliefert (Abschnitt 4). Cloudflare sieht dabei jede Anfrage einschließlich deiner IP-Adresse, um Angriffe und Überlastung abzuwehren, die Verbindung zu verschlüsseln und Inhalte zwischenzuspeichern; außerdem ordnet Cloudflare deine IP-Adresse einem Land zu, das wir bei der Registrierung prüfen (Ziff. 3.15). Eine dauerhafte Speicherung durch Cloudflare erfolgt nur in Sicherheitsprotokollen mit kurzer Laufzeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb).

Besuchszählung ohne Cookies: Damit wir sehen, wie viele Besuche die Website hat und auf welchem Weg sie kommen (zum Beispiel über eine Werbeanzeige, einen Flyer oder eine Suchmaschine), meldet dein Browser bei jedem Seitenaufruf an unseren eigenen Server den aufgerufenen Pfad. Beim ersten Aufruf eines Besuchs meldet er zusätzlich die Kampagnen-Angaben aus dem Link (utm_source, utm_medium, utm_campaign, utm_content) und den Namen der Website, von der du kommst, ohne deren genaue Adresse. Gespeichert werden daraus nur Tagessummen: Besuche je Quelle und je Werbeanzeige und Seitenaufrufe je Bereich der Website (etwa „Produktseiten“). Wir speichern dafür keine IP-Adresse, keinen User-Agent, keine Nutzer-ID und keine vollständige Adresse der Seite. Wir setzen dafür keine Cookies und legen nichts in deinem Browser ab. Die Tagessummen lassen sich daher weder dir noch deinem Konto zuordnen. Den User-Agent sehen wir uns nur an, um Suchmaschinen-Robots nicht mitzuzählen. Aufrufe aus den Netzen von Meta, mit denen Meta die Links einer Werbeanzeige prüft, zählen wir ebenfalls nicht mit; dafür wird die IP-Adresse nur mit diesen Netzen verglichen. Ein Drittanbieter ist nicht beteiligt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Wirkung unserer Werbung zu messen).

Ob ein Besuch über Werbung kam (Website): Damit wir sehen, ob unsere Werbung nicht nur Besuche, sondern auch Käuferinnen und Käufer bringt, merkt sich unser Server beim ersten Aufruf eines Besuchs für 72 Stunden, auf welchem Weg er kam (die Angaben aus dem vorigen Absatz). Dafür bildet er einen Hash-Wert aus deinem Netz (bei IPv6 die ersten 64 Bit der Adresse, bei IPv4 die Adresse) zusammen mit einem Zufallswert, der jede Woche neu erzeugt wird. Die IP-Adresse selbst speichert er nicht. Wird innerhalb dieser 72 Stunden aus demselben Netz auf der Website eine Produktseite oder die Kasse geöffnet, ein Konto angelegt, eine Bestellung abgeschickt oder ein Kauf bezahlt, zählt er diesen Schritt in eine Tagessumme je Weg, etwa „ein Kauf über die Werbeanzeige X“, und bei einem Kauf auch, ob es der erste Kauf des Kontos war. Damit nichts doppelt zählt, merkt er sich, dass ein Schritt schon gezählt ist: für Produktseite und Kasse je Netz und Tag, für Konto, Bestellung und Kauf je Konto oder Bestellung, jeweils ohne den Weg. Weder an deinem Konto noch an deiner Bestellung wird gespeichert, auf welchem Weg du kamst, und wir sehen daraus nur Zahlen, nie, wer über eine Anzeige kam. Was in der App geschieht, wird dabei nicht gezählt. Teilen sich mehrere Menschen eine IPv4-Adresse, etwa im Mobilfunk, können ihre Schritte zusammen gezählt werden. Es werden dafür keine Cookies gesetzt und nichts auf deinem Gerät gespeichert. Ein Drittanbieter ist nicht beteiligt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Wirkung unserer Werbung zu messen).

Wie viele Menschen Vesty gerade nutzen (Website und App): Damit wir sehen, wie viele Menschen Vesty in den letzten Minuten genutzt haben, ob in der App oder auf der Website, und in welchem Bereich (etwa Suche, Produktseiten, Verkaufen, Kasse oder Nachrichten), zählt unser eigener Server bei jedem Seitenaufruf der Website und bei jeder Anfrage der App mit. Dafür bildet er einen Hash-Wert: in der App aus deiner Nutzer-ID, wenn du angemeldet bist, sonst aus IP-Adresse und User-Agent, jeweils zusammen mit einem Zufallswert, der jeden Tag neu erzeugt wird. Diesen Hash-Wert gibt er in einen Zähler je Minute (HyperLogLog), der nur schätzen kann, wie viele verschiedene Einträge er enthält. Welche Nutzer-ID, IP-Adresse oder welcher Hash-Wert darin steckt, lässt sich aus dem Zähler nicht auslesen. Die IP-Adresse, den User-Agent und die Nutzer-ID speichern wir dafür nicht. Auf der Website zählen wir außerdem, ob dein Browser ein Anmelde-Cookie mitschickt, ohne es zu öffnen. Wir sehen daraus nur Zahlen wie „12 Personen, davon 8 in der App und 3 in der Suche“, nie, wer Vesty gerade nutzt. Die Zähler werden nach 35 Minuten gelöscht, der Zufallswert nach höchstens 25 Stunden. Es werden dafür keine Cookies gesetzt und nichts auf deinem Gerät gespeichert. Ein Drittanbieter ist nicht beteiligt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, den Betrieb zu beobachten und zu sehen, welche Bereiche genutzt werden).

3.2 Bei Registrierung & Nutzung des Kontos

• E-Mail-Adresse, Benutzername, Passwort (als Argon2-Hash)
• Deine Bestätigung, volljährig zu sein, und deine Zustimmung zu den AGB: jeweils mit Zeitpunkt, Fassung, IP-Adresse und User-Agent als Nachweis; ebenso die Fassung dieser Datenschutzerklärung, die dir bei der Registrierung angezeigt wurde. Ein Altersnachweis wird nicht erhoben.
• Name (Vor- und Nachname): bei einer Registrierung mit Apple oder Google ist er im Schritt „Konto vervollständigen“ Pflicht, bei einer Registrierung per E-Mail freiwillig. Öffentlich angezeigt wird der Name nur bei gewerblichen Verkäufer:innen (Art. 30 DSA, siehe unten); bei Privatpersonen sehen andere Nutzer:innen nur den Benutzernamen. Für den Versand steht der Name auf dem Versandetikett (Abschnitt 4, Versandabwicklung).
• Optional: Profilbild, Telefonnummer, Adresse. Die Adresse verwenden wir für Versand und Auszahlungen. Sie wird nicht veröffentlicht; auf Wunsch zeigen wir daraus Postleitzahl und Ort bei deinen Anzeigen an (Abschnitt 3.10) — Straße und Hausnummer nie.
• Für Auszahlungen: Dein Auszahlungskonto richtest du direkt bei unserem Zahlungsdienstleister Stripe ein; deine IBAN gibst du dort ein, nicht bei uns. Wir erhalten und speichern davon nur die letzten vier Ziffern und den Namen des Kontoinhabers. Gibst du im Formular für die Steuerdaten (Abschnitt 9) freiwillig eine IBAN an, prüfen wir sie und speichern nur das Ergebnis der Prüfung, nicht die IBAN.
• Steueridentifikationsnummer und, bei privaten Verkäufer:innen, Geburtsdatum: beides Pflicht, sobald du die PStTG-Schwellen erreichst (Abschnitt 9), weil wir diese Angaben an das Bundeszentralamt für Steuern melden müssen. Vorher fragen wir das Geburtsdatum nicht ab. Beides speichern wir verschlüsselt (Abschnitt 10).
• Bei gewerblichen Verkäufer:innen und bei einem Antrag auf ein Händlerkonto: die Händlerangaben nach Ziff. 3.22, von denen ein Teil im Profil und bei den Anzeigen öffentlich angezeigt wird
• Ob du privat oder gewerblich verkaufst, wenn wir dich bei der Registrierung danach gefragt haben, mit dem Zeitpunkt deiner Antwort. Hast du „gewerblich" angegeben, kannst du bis zur Freischaltung als Händler:in keine neuen Anzeigen veröffentlichen (§ 3b AGB). Die Angabe ist nicht öffentlich.
• Login-Historie: IP-Adresse, User-Agent und Zeitpunkt von Anmeldeversuchen (erfolgreich oder nicht), damit wir Angriffe auf Konten erkennen und nachvollziehen können. Speicherdauer: 12 Monate; deine Einträge sind Teil des Datenexports.
• Zwei-Faktor-Anmeldung (freiwillig): Du wählst zwischen einer Authenticator-App und einem Code per E-Mail. Mit der Authenticator-App speichern wir den Schlüssel für ihre Codes verschlüsselt (Abschnitt 10), zehn Ersatzcodes nur als Hash, den zuletzt verwendeten Code-Zeitraum, damit kein Code zweimal gilt, und die Zahl falscher Eingaben der letzten 15 Minuten; nach fünf falschen Codes pausieren wir die Anmeldung für 15 Minuten. Beim Ein- und Ausschalten senden wir dir eine Sicherheits-E-Mail. Schaltest du sie aus oder löschst du dein Konto, löschen wir Schlüssel und Ersatzcodes. Hast du keinen Zugriff mehr auf deine Codes, können wir sie nach einer Prüfung deiner Identität zurücksetzen; das wird mit Zeitpunkt, Grund und bearbeitender Person protokolliert. Mit dem Code per E-Mail speichern wir keinen Schlüssel und keine Ersatzcodes; die Codes behandeln wir wie im nächsten Punkt beschrieben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Bekannte Geräte und Code per E-Mail bei der Anmeldung: Damit niemand allein mit deinem Passwort in dein Konto kommt, merken wir uns, mit welchen Geräten und aus welchen Ländern sich dein Konto anmeldet. Dafür legt die App im geschützten Speicher deines Geräts (Schlüsselbund bzw. verschlüsselter Speicher) und die Website im Cookie vesty_device eine zufällige Gerätekennung ab, die nichts über dein Gerät verrät. Die App sendet sie nur bei der Anmeldung und beim Erneuern der Anmeldung, der Browser bei der Anmeldung und solange du angemeldet bist. Wir speichern davon nur einen Hash-Wert, dazu die Länder, aus denen sich das Gerät angemeldet hat (nur der Ländercode, den unser Netzwerkdienst Cloudflare der IP-Adresse zuordnet), und wann das Gerät zuerst und zuletzt genutzt wurde. Meldest du dich mit deinem Passwort auf einem Gerät an, das dein Konto 90 Tage nicht benutzt hat, oder aus einem Land, aus dem sich dein Konto bisher nicht angemeldet hat, schicken wir dir einen 6-stelligen Code an deine bestätigte E-Mail-Adresse; erst damit ist die Anmeldung abgeschlossen. Die E-Mail nennt Zeitpunkt, Gerätetyp (zum Beispiel „Chrome auf Windows“), Land und gekürzte IP-Adresse der Anmeldung. Den Code speichern wir nur als Hash-Wert; er gilt 10 Minuten und für fünf Versuche, wir schicken höchstens sechs Codes pro Stunde und 20 pro Tag. Bei der Anmeldung mit Google oder Apple fragen wir keinen Code ab. Geräte merken wir uns seit dem 26.10.2026; den Code fragen wir seit dem 27.10.2026 ab, in der App ab der Version 1.3.1. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Sicherheit deines Kontos); für das Ablegen der Kennung auf deinem Gerät § 25 Abs. 2 Nr. 2 TDDDG, weil sie für die von dir gewünschte sichere Anmeldung unbedingt erforderlich ist.
• App-Sperre (freiwillig): Die App-Sperre nutzt die Entsperrung deines Geräts (Face ID, Touch ID, Fingerabdruck oder Gerätecode). Die Prüfung geschieht nur auf deinem Gerät; Vesty erhält dabei keine biometrischen Daten. Auf dem Gerät gespeichert wird nur, ob die Sperre an ist und nach welcher Zeit sie wieder sperrt.
• Zuletzt angesehen (App, ab der nächsten Version nach 1.3.1): Die App merkt sich auf deinem Gerät die letzten 20 Anzeigen, die du geöffnet hast (Kennung, Titel und Vorschaubild, keinen Preis), und zeigt sie dir im Tab „Suchen“ unter „Zuletzt angesehen“. Deine eigenen Anzeigen nimmt sie nicht auf. Diese Liste bleibt auf deinem Gerät: Sie wird weder an uns noch an Dritte gesendet und hat nichts mit den Aufrufen zu tun, die wir für die Startseite zählen (Ziff. 3.5). Du löschst sie dort mit „Löschen“; beim Abmelden, auch nach dem Löschen deines Kontos, und mit dem Löschen der App wird sie ebenfalls gelöscht. Für das Speichern auf deinem Gerät gilt § 25 Abs. 2 Nr. 2 TDDDG, weil es für die von dir genutzte Anzeige deiner zuletzt angesehenen Artikel unbedingt erforderlich ist.
• „Dein Vesty-Jahr“ (App, ab der nächsten Version nach 1.3.1): Im Dezember und Januar kann dir die App einen Rückblick auf dein Jahr bei Vesty zeigen. Wir berechnen ihn erst, wenn du ihn öffnest, aus den Daten, die wir ohnehin speichern (etwa Käufe, Verkäufe, Anzeigen, Favoriten und Follower), und speichern ihn nicht. Teilen kannst nur du ihn selbst, als Bild.
• Bewertung im App Store oder bei Google Play (App, ab der nächsten Version nach 1.3.1): Nach einem Verkauf oder nachdem du einer Verkäufer:in vier oder fünf Sterne gegeben hast, kann die App höchstens alle 120 Tage den Bewertungsdialog von Apple oder Google öffnen. Ob und wie du bewertest, erfährt nur der Store; die App merkt sich auf deinem Gerät nur, wann sie zuletzt gefragt hat.
• Bewertung von Vesty bei Trustpilot (Website, App ab der nächsten Version nach 1.3.1): Nachdem du eine Bestellung bewertet hast, fragen wir dich, ob du Vesty auf Trustpilot bewerten möchtest, unabhängig davon, wie du die Bestellung bewertet hast und wie sie ausgegangen ist. Wir fragen höchstens alle 90 Tage und höchstens dreimal; Konten des Plattformbetreibers fragen wir nicht. Dafür speichern wir an deinem Konto, wann wir zuletzt gefragt haben (oder du „Später“ gewählt hast), wie oft wir gefragt haben, ob du den Link zu Trustpilot geöffnet hast und ob du „Nicht mehr fragen“ gewählt hast; nach dem Öffnen des Links oder „Nicht mehr fragen“ fragen wir nicht mehr. Wie oft die Frage gezeigt und wie sie beantwortet wurde, zählen wir außerdem als Tagessummen ohne Personenbezug. Trustpilot erhält von uns keine Daten: Wir verlinken nur die Seite von Trustpilot, es ist nichts von Trustpilot eingebunden. Tippst du den Link an, verlässt du Vesty; ab dann verarbeitet Trustpilot A/S (Pilestræde 58, 1112 Kopenhagen, Dänemark) deine Daten nach seinen eigenen Bestimmungen und ist dafür selbst verantwortlich (Datenschutzerklärung von Trustpilot). Was du dort schreibst, sehen wir nur, wenn deine Bewertung öffentlich erscheint. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, nicht öfter zu fragen als hier beschrieben).
• Zahl aktiver Nutzer:innen: Für den Transparenzbericht zählen wir je Kalendermonat, wie viele Konten angemeldet aktiv waren (etwa durch Anmeldung, Nachricht, Bestellung, Anzeige oder Favorit). Dafür werten wir die ohnehin vorhandenen Daten aus; veröffentlicht wird nur die Gesamtzahl. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Freiwillig: „Wie hast du von Vesty erfahren?“ Bei der Registrierung auf der Website, in der App nach der Registrierung, kannst du angeben, wie du auf uns aufmerksam geworden bist (zum Beispiel Instagram, Flyer oder Freunde). Die Angabe ist freiwillig und wird an deinem Konto gespeichert. Wir werten sie nur zusammengefasst aus (wie viele Registrierungen und erste Anzeigen je Weg), um zu entscheiden, wo wir werben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Die Angabe ist Teil des Datenexports und wird mit deinem Konto gelöscht.
• Freiwillig: „Magst du uns sagen, warum du gehst?“ Wenn du in der App dein Konto löschst, kannst du angeben, warum du gehst, indem du Gründe aus einer festen Liste wählst (zum Beispiel „Ich nutze lieber eine andere App“), ab der nächsten App-Version nach 1.3.1 auch mehrere. Ein Textfeld gibt es nicht. Die Angabe ist freiwillig: Dein Konto wird auch ohne sie gelöscht, und eine Auswahl kannst du vor dem Löschen wieder zurücknehmen. Wir speichern die gewählten Gründe mit deiner Löschanfrage und werten sie nur zusammengefasst aus (wie viele Löschungen je Grund), um Vesty zu verbessern. Wir schreiben dich deswegen nicht an. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Bei der endgültigen Löschung deines Kontos bleiben die Gründe bei der Löschanfrage, aber getrennt von deiner Person (pseudonymisiert) wie die übrigen Daten nach Abschnitt 6; die Gründe selbst enthalten keine Angaben zu dir.
• Sicherheitsprotokoll (Audit-Log): sicherheitsrelevante Aktionen in deinem Konto (z. B. Passwort- oder E-Mail-Änderung, Auszahlungsdaten geändert, Bestellung storniert) mit Zeitpunkt, IP-Adresse und User-Agent. Speicherdauer: 3 Jahre, bei Bestellbezug entsprechend Abschnitt 6.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, insb. PStTG und DSA) und für Login-Historie und Audit-Log Art. 6 Abs. 1 lit. f DSGVO (Sicherheit des Kontos, Nachweisbarkeit).

3.3 Bei Anzeigen, Käufen und Nachrichten

• Inhalte deiner Anzeigen (Text, Bilder, Videos)

• Käufe, Verkäufe, Zahlungsstatus, Sendungsverfolgung

• Nachrichten an andere Nutzer (zur automatischen Prüfung auf Links, Massennachrichten sowie Zahlung und Kontakt außerhalb von Vesty siehe Ziff. 3.15); welche Unterhaltungen du archiviert hast (sieht nur du)

• Fotos, die du in Nachrichten schickst: Wir entfernen vor dem Speichern alle eingebetteten Angaben wie Standort, Aufnahmezeit und Kameramodell und speichern ein verkleinertes Bild. Sehen können es nur du und die Person, mit der du schreibst. Die Fotos liegen nicht unter einer öffentlichen Adresse, sondern werden nur nach Anmeldung ausgeliefert. Vesty sieht sie nur, wenn eine Nachricht gemeldet wird (Ziff. 3.9)

• Streitfälle: deine Beschreibung, hochgeladene Nachweise und die Entscheidung

• Widerrufe von Leistungen von Vesty: Inhalt deiner Erklärung, Zeitpunkt des Eingangs und die Eingangsbestätigung

• Widerrufe von Käufen bei gewerblichen Verkäufer:innen: Inhalt deiner Erklärung, Zeitpunkt des Eingangs, die Eingangsbestätigung, den Eingang der Rücksendung, den die verkaufende Person bestätigt, und die Erstattung mit Betrag und Zeitpunkt. Die verkaufende Person erhält deine Erklärung im Wortlaut.

• Ausgeblendete Anzeigen und Urlaubsmodus (§ 3 Abs. 7 AGB): welche Anzeigen du ausgeblendet hast und warum (von dir oder durch den Urlaubsmodus), Beginn und gewähltes Ende des Urlaubsmodus. Andere sehen in deinem Profil und bei deinen Anzeigen, dass du im Urlaub bist, und, wenn du einen Tag gewählt hast, wann du zurück bist.

• Reservierungen (§ 5d AGB): für wen, ab wann und bis wann ein Artikel reserviert ist, wer sie beendet hat und ob eine Erinnerung verschickt wurde; in der Unterhaltung steht dazu eine Nachricht. Wen die Verkäufer:in reserviert hat, sehen nur ihr und die betroffene Käufer:in.

• Kleiderschrank-Spotlight (§ 5b Abs. 5a AGB): Beginn, Ende, eingesetzte Boost-Gutschriften, die Anzeigen, die du für die Karte ausgewählt hast, und wie oft deine Karte anderen angezeigt wurde — nur die Zahl, nicht wem. Gezählt wird, wenn die Karte mindestens zur Hälfte eine Sekunde lang zu sehen war. Damit niemand doppelt zählt, speichern wir dafür 30 Minuten lang, dass eine Person die Karte gesehen hat: über ihr Konto oder, ohne Anmeldung, über eine gekürzte, nicht umkehrbare Prüfsumme aus IP-Adresse und App-Kennung; danach wird das gelöscht (Art. 6 Abs. 1 lit. b und f DSGVO).

• Pakete (§ 5c Abs. 7 AGB): welche deiner Anzeigen in einem Paket sind, der Paketpreis, Beginn und Ende; das Paket ist öffentlich wie deine Anzeigen. Wie oft dein Paket aufgerufen wurde, siehst nur du; Aufrufe zählen wir wie bei Anzeigen höchstens einmal am Tag je Person und nie deine eigenen. Wie oft es gemerkt wurde, zeigen wir als Zahl auch anderen.

• Gemerkte Artikel: Wenn du einen Artikel merkst, sieht die verkaufende Person das unter „Gemerkt von“ bei ihren Anzeigen, mit deinem Benutzernamen, deinem Profilbild und, bei gewerblichen Konten, dem Namen, solange du den Artikel gemerkt hast und er angeboten wird. Wann du ihn gemerkt hast, sieht sie nicht. Hat einer von euch den anderen blockiert, erscheinst du dort nicht.

• Gemerkte Pakete: welche Pakete du gemerkt hast und wann. Die verkaufende Person sieht nur, wie viele ihr Paket gemerkt haben, nicht wer.

• Story-Beiträge (App, ab der nächsten Version nach 1.3.1): Zu einer deiner angebotenen Anzeigen kannst du ein Foto oder ein Video als Story-Beitrag teilen; er erscheint 24 Stunden lang in deinem Kreis der Story-Leiste (Ziff. 3.5), mit der Anzeige darunter. Wir speichern dazu die Anzeige, das Foto oder Video, Beginn und Ende des Beitrags, ob du das Foto oder Video auch in der Anzeige behalten willst, und einen Rabatt, den du mit dem Beitrag gegeben hast. Behältst du es in der Anzeige, gilt dafür alles, was für Fotos und Videos von Anzeigen gilt. Teilst du es „nur für die Story", nehmen wir es aus der Anzeige heraus, sobald der Beitrag erscheint, und löschen die Dateien, wenn der Beitrag endet: nach 24 Stunden, wenn du ihn beendest oder wenn du für dieselbe Anzeige einen neuen teilst. Lehnt die Prüfung nach Ziff. 3.15 das Foto oder Video ab, erscheint kein Beitrag, wir entfernen es sofort auch aus der Anzeige und sagen dir den Grund. Du kannst höchstens zehn Beiträge in 24 Stunden teilen. Senkst du mit einem Beitrag den Preis der gezeigten Anzeige oder, wenn du privat verkaufst, aller deiner Anzeigen („Rabatt auf alle Artikel"), gilt der Rabatt so lange wie der Beitrag, höchstens 24 Stunden. Wir speichern dazu zu jeder gesenkten Anzeige den Preis vorher und nachher, damit wir den Preis zurücksetzen können, wenn der Beitrag endet oder du den Rabatt zurücknimmst; einen Preis, den du in der Zeit selbst geändert hast, lassen wir so. Senkung und Rücksetzung werden im Preisverlauf gespeichert, und wer die gezeigte Anzeige gemerkt und Preisalarmen zugestimmt hat, kann einen Hinweis erhalten, der sagt, bis wann der Rabatt gilt (Ziff. 3.6). Wer deinen Beitrag angesehen hat, speichern wir nicht.

• Story-Videos und „Video mit Ton" (App, ab der nächsten Version nach 1.3.1): Ein Story-Video darf bis zu 30 Sekunden lang sein; ein Video in der Anzeige bleibt bei höchstens 15 Sekunden und ist immer ohne Ton. Schaltest du beim Teilen „Video mit Ton" ein, behält das Story-Video deinen Ton; ausgeschaltet ist es, bis du es einschaltest. Nur dafür fragt die App nach dem Zugriff auf das Mikrofon; ohne „Video mit Ton" und für Videos in der Anzeige nimmt sie ohne Mikrofon auf. Zu hören ist der Ton nur in der Story, nie in der Anzeige: Behältst du das Video auch in der Anzeige, bekommt die Anzeige eine Fassung ohne Ton mit höchstens den ersten 15 Sekunden, für die alles gilt, was für Videos von Anzeigen gilt. Bevor die Story erscheint, prüfen wir den Ton automatisch auf unserem eigenen Server (Ziff. 3.15). Wir speichern dazu, ob du „Video mit Ton" gewählt hast, wann geprüft wurde, ob der Ton geblieben ist und, wenn nicht, den Grund (Musik, unerlaubter Inhalt, Sprache, nicht prüfbar oder Grenze erreicht). Die Fassung für die Story, also das bis zu 30 Sekunden lange Video, mit deinem Ton, wenn er geblieben ist, löschen wir, sobald der Beitrag endet: beendest du ihn vorher, sofort, sonst spätestens etwa eine Stunde nach Ablauf seiner 24 Stunden. Ist in deinem Video eine andere Person zu sehen oder zu hören, brauchst du deren Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Widerrufserklärungen zusätzlich Art. 6 Abs. 1 lit. c DSGVO (Nachweis nach § 356a BGB); für „Gemerkt von“ Art. 6 Abs. 1 lit. f DSGVO (das Interesse der Verkäufer:innen, zu sehen, wer sich für ihre Artikel interessiert). Wenn du das nicht möchtest, entferne den Artikel aus deinen Favoriten.

3.4 Bewertungen

Nach einem abgeschlossenen Kauf kannst du die andere Seite bewerten. Gespeichert werden Sternebewertung, Text, Zeitpunkt, die zugehörige Bestellung und deine Nutzer-ID. Bewertungen sind mit deinem Benutzernamen öffentlich sichtbar. Löschst du dein Konto, bleibt die Bewertung ohne Zuordnung zu deiner Person bestehen (dein Name wird entfernt, die Verknüpfung zu deinem Konto gelöscht) — sie gehört zum Vertrauensprofil der bewerteten Person und wäre für sie nicht mehr nachvollziehbar, wenn sie rückwirkend verschwände. Innerhalb von 14 Tagen nach Abgabe kannst du sie selbst ändern oder zurücknehmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Fotos zu deiner Bewertung (in der App ab der nächsten Version nach 1.3.1). Bewertest du eine Verkäufer:in, kannst du bis zu drei Fotos des gekauften Artikels hinzufügen, innerhalb der 14 Tage, in denen du die Bewertung ändern kannst. Wir speichern jedes Foto in zwei Größen ohne Standort- und Kameradaten (EXIF), dazu seine Bildgröße, eine stark verkleinerte unscharfe Vorschau und den Zeitpunkt. Die Fotos sind mit deiner Bewertung öffentlich sichtbar, in der App und auf der Website, und zwar nur, solange die Bewertung selbst sichtbar ist: Wird sie ausgeblendet oder entfernt, sind auch die Fotos nicht mehr abrufbar. Vor dem Speichern prüfen wir jedes Foto automatisch auf verbotene Inhalte und Nacktheit (Ziff. 3.15). Ein Foto kannst du jederzeit selbst entfernen, auch nach den 14 Tagen. Nimmst du die Bewertung zurück oder löschst du dein Konto, löschen wir die Fotos; anders als Sterne und Text bleiben sie nicht ohne deinen Namen bestehen, weil sie dich, deine Wohnung oder andere Personen zeigen können. Zeigt ein Foto erkennbar andere Personen, brauchst du deren Einwilligung (§ 4a Abs. 2 AGB). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Bewertungen als Käufer:in. Hast du bei einem Kauf den Hinweis gesehen, dass die Verkäufer:in dich nach dem Kauf bewerten kann, speichern wir diesen Hinweis mit der Bestellung. Die Verkäufer:in kann dich dann bewerten, wenn die Bestellung abgeschlossen oder erstattet ist oder die Sendung zurückgegangen ist, weil du sie nicht angenommen oder abgeholt hast, innerhalb von 30 Tagen. Stornierst du eine Bestellung, kann die Verkäufer:in dich dazu nicht bewerten. Die Bewertung wird erst sichtbar, wenn du die Verkäufer:in zu derselben Bestellung ebenfalls bewertet hast, spätestens 14 Tage nach ihrer Abgabe; bis dahin siehst du nur, dass du bewertet wurdest. Sichtbar ist sie dann in deinem Profil unter „Als Käufer:in" und für Verkäufer:innen in Unterhaltungen mit dir. Sie fließt nicht in deine Bewertung als Verkäufer:in ein. Ist sie sichtbar, können weder du noch die Verkäufer:in die Bewertungen zu dieser Bestellung noch ändern oder zurücknehmen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO — Verkäufer:innen haben ein berechtigtes Interesse daran einzuschätzen, mit wem sie handeln. Du kannst einer einzelnen Bewertung wie jeder anderen widersprechen, indem du sie meldest (Ziff. 3.4, § 3a Abs. 3 AGB).

3.5 Personalisierte Startseite

Zweck. Damit dir auf der Startseite der App und, wenn du angemeldet bist, der Website eher Artikel angezeigt werden, die zu deinem bisherigen Interesse passen, speichern wir, welche Anzeigen du dir in der App angesehen hast. Dieselben Angaben nutzen wir für „Das könnte dir auch gefallen" und „Mehr von …" auf der Produktseite und für „Neu in deiner Größe" (§ 5b Abs. 4a AGB), in der App außerdem für die Story-Leiste, die Vorschläge unter „Folge ich" (unten) und die Reihenfolge, in der wir dir zwischen den Anzeigen Mitglieder, denen du folgst, und Kleiderschrank-Spotlights zeigen (§ 5b Abs. 1a und 5a AGB). Außerdem berücksichtigen wir deine Angaben unter „Meine Größen & Marken" (Ziff. 3.23) und deine Suchen in der App (Ziff. 3.13); hast du Größen angegeben oder kürzlich gesucht, besteht die Startseite aus festen Anteilen (§ 5b Abs. 2 AGB). Auf der Website zeigen wir dir angemeldet dieselbe personalisierte Startseite wie in der App, aus denselben Angaben; Aufrufe auf der Website speichern wir hierfür nicht.

Kategorien der Daten. Zu jedem Aufruf einer Anzeige speichern wir deine Nutzer-ID, die Anzeige, deren Kategorie und den Zeitpunkt. Mehrfache Aufrufe derselben Anzeige innerhalb einer Stunde zählen als ein Aufruf. Anzeigen deiner eigenen Artikel werden nicht gespeichert. IP-Adresse und Gerätekennungen werden hierfür nicht gespeichert. Außerdem nutzen wir dafür die Anzeigen, die du ab dem 26.10.2026 merkst (deine Favoriten); früher gemerkte nicht. Aus Aufrufen und Favoriten leiten wir bei jedem Neubilden der Startseite ab, welche Arten von Artikeln dich interessieren und, wenn es sich deutlich zeigt, welche Farben und Marken; dazu lesen wir Farbe und Marke der Anzeigen aus ihren Angaben. Dieses Ergebnis wird nicht gespeichert. Für die Reihenfolge der Mitglieder, denen du folgst, und der Kleiderschrank-Spotlights zwischen den Anzeigen zählen wir außerdem, wie oft und wie kürzlich du Anzeigen eines bestimmten Mitglieds aufgerufen und gemerkt hast; auch das berechnen wir bei jedem Abruf neu und speichern es nicht. Zusätzlich merken wir uns zu jeder Anzeige, die dir auf der Startseite der App oder, angemeldet, der Website angezeigt wurde, zwei Werte, die sich aus der Zahl und den Plätzen dieser Anzeigen ergeben — einer nimmt über Tage ab, einer innerhalb von Stunden —, und den Zeitpunkt der letzten Anzeige. So erscheinen beim Weiterscrollen und beim nächsten Öffnen neue statt derselben Artikel, und Anzeigen, die dir noch nicht angezeigt wurden, können vorn stehen (§ 5b AGB). Jeder Eintrag wird 72 Stunden nach der letzten Anzeige automatisch gelöscht.

Ähnlich wie deine Suche. Bei jedem Neubilden der Startseite lesen wir deine Suchbegriffe aus dem Suchverlauf (Ziff. 3.13), die du in den letzten sieben Tagen und seit dem 26.10.2026 abgeschickt hast, führen sie erneut als Suche aus und halten nur das Ergebnis fest: welche Anzeigen die Suche findet, aus welchen Kategorien und von welchen Marken. Dieses Ergebnis speichern wir ohne den Suchbegriff höchstens eine Stunde und bilden es neu, sobald sich dein Suchverlauf ändert. Löschst du deinen Suchverlauf, nutzen wir ab dem nächsten Öffnen keine Suche mehr.

Story-Leiste und „Folge ich" (App, ab der nächsten Version nach 1.3.1). Über den Anzeigen auf der Startseite der App zeigt eine Leiste Kreise, je einen für ein Mitglied mit neuen Anzeigen; in einem Kreis stehen höchstens acht seiner Anzeigen, die neuesten zuerst. Zuerst kommen Mitglieder, denen du folgst, mit Anzeigen der letzten 20 Tage, es sei denn, du hast unter „Mein Feed" abgeschaltet, dass Mitglieder, denen du folgst, bevorzugt werden. Danach kommen andere Mitglieder mit Anzeigen aus dem kürzesten Zeitraum, der die Leiste füllt: 24 Stunden und, wenn das zu wenige Kreise ergibt, schrittweise länger bis höchstens 20 Tage. Geordnet wird danach, ob ein Mitglied etwas in deinen Größen anbietet, dann, ob etwas deinen Suchen (Ziff. 3.13) oder deinen Lieblingsmarken ähnelt, dann nach Aktualität. Hinter dem Personensymbol der Startseite zeigt „Folge ich" die Mitglieder, denen du folgst, mit ihren neuesten Anzeigen und der Zahl der neuen seit deinem letzten Besuch, und schlägt dir Mitglieder vor, die in den letzten 20 Tagen etwas eingestellt haben und denen du noch nicht folgst, geordnet wie die Kreise und jeweils mit dem Grund (deine Größen, dein Geschmack oder gerade Neues eingestellt). Für beides lesen wir dieselben Angaben wie für die Startseite: „Mein Feed" (Ziff. 3.23), deine Suchen (Ziff. 3.13) und wem du folgst; zusätzlich gespeichert wird dafür nichts. Bist du nicht angemeldet oder hast du widersprochen, ordnen wir nur nach Aktualität. Was du unter „Mein Feed" ausgeblendet hast, und blockierte Konten (in beide Richtungen) erscheinen weder in der Leiste noch unter „Folge ich". Mitglieder mit einem laufenden Story-Beitrag (Ziff. 3.3) oder mit einer Anzeige, deren Preis in den letzten 48 Stunden gesenkt wurde, bekommen immer einen Kreis; in ihrem Kreis stehen der Beitrag und die günstiger gewordene Anzeige vorn, die Anzeige kann den Hinweis „Preis gesenkt" tragen. Preissenkungen lesen wir aus dem Preisverlauf der Anzeige. Welche Kreise du schon angesehen hast und wann du „Folge ich" zuletzt geöffnet hast, speichert die App nur auf deinem Gerät; für die Zahl der neuen Anzeigen schickt die App den Zeitpunkt deines letzten Besuchs mit, den wir nicht speichern. Siehst du eine Anzeige in der Story-Leiste mindestens etwa anderthalb Sekunden lang, zählt das wie ein Aufruf dieser Anzeige: höchstens einmal am Tag je Person und nie bei deinen eigenen Anzeigen. Dafür merkt sich unser Server 24 Stunden lang nur deine Nutzer-ID oder, wenn du nicht angemeldet bist, einen Hash-Wert aus IP-Adresse und Anzeige; bei der Anzeige gespeichert wird nur die Zahl der Aufrufe. Für deine Startseite nutzen wir das nicht. Der Kreis „Vesty" zeigt Hinweise und Neuigkeiten von uns, keine Anzeigen; wie oft er angesehen und sein Button angetippt wurde, zählen wir nur als Tagessumme ohne Nutzer-ID und ohne Gerät.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser Interesse ist eine nutzbare Startseite auf unserer eigenen Plattform; dem stehen deine Interessen nicht entgegen, weil ausschließlich dein eigenes Verhalten auf dieser Plattform verarbeitet wird, die Daten das System nicht verlassen, nicht an Dritte weitergegeben werden und du jederzeit widersprechen kannst. Diese Abwägung haben wir dokumentiert und stellen sie auf Anfrage zur Verfügung.

Keine Weitergabe, keine Werbung. Diese Daten werden weder für Werbung genutzt noch an Dritte weitergegeben.

Speicherdauer. 180 Tage ab dem jeweiligen Aufruf, danach automatische und endgültige Löschung. Mit der Löschung deines Kontos werden sie ebenfalls vollständig gelöscht.

Widerspruch (Art. 21 DSGVO). Du kannst der Personalisierung jederzeit widersprechen: in der App unter „Personalisierte Startseite", auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz". Dann beenden wir nicht nur die Auswertung, sondern auch die Speicherung weiterer Aufrufe und weiterer angezeigter Anzeigen. Welche Faktoren die Reihenfolge bestimmen, steht in § 5b AGB.

3.6 Push-Benachrichtigungen

Wenn du in der App Benachrichtigungen erlaubst, speichern wir das Geräte-Token, das uns Apple beziehungsweise Google dafür ausstellt, sowie deine Benachrichtigungseinstellungen. Der Versand läuft über Firebase Cloud Messaging von Google (Abschnitt 4); Google erhält dabei das Token und den Inhalt der Nachricht (z. B. „Dein Paket ist unterwegs" mit dem Artikeltitel). Benachrichtigungen zu deinen Favoriten (etwa Preissenkungen) halten wir zwischen 22 und 8 Uhr zurück und stellen sie morgens zu; Nachrichten zu deinen Bestellungen werden sofort zugestellt. Standardmäßig eingeschaltet sind außerdem Hinweise auf neue Anzeigen, die zu einer Suche passen, die du gespeichert hast (Ziff. 3.26), Hinweise auf neue Anzeigen von Verkäufer:innen, denen du folgst, und Hinweise an Verkäufer:innen, wenn jemand ihren Artikel merkt; dabei sieht die verkaufende Person deinen Benutzernamen. Verkäufer:innen erinnern wir außerdem einmal je Unterhaltung, wenn eine Käuferin oder ein Käufer vor mehr als 24 Stunden nach ihrem Artikel gefragt, ihn aber noch nicht gekauft hat; die Erinnerung nennt den Benutzernamen, der in der Unterhaltung ohnehin zu sehen ist, kommt nicht zwischen 21 und 8 Uhr und lässt sich in der App unter „Erinnerungen an Anfragen“ abschalten. Preis gefallen & Angebote senden wir nur mit deiner Einwilligung: wenn ein Artikel, den du gemerkt hast, günstiger wird oder dir die verkaufende Person ein Angebot dafür macht, und — wenn du der Einwilligung in der Fassung vom 21.10.2026 zugestimmt hast — auch wenn ein Artikel günstiger wird, nach dem du in einer Unterhaltung gefragt hast (je Unterhaltung höchstens einmal und nicht, wenn du ihn schon gekauft hast); mit der Einwilligung in der Fassung vom 26.10.2026 außerdem „Wieder verfügbar", wenn ein gemerkter Artikel, der ausgeblendet oder reserviert war, wieder gekauft werden kann (höchstens einmal je sieben Tage und Artikel); mit der Einwilligung in der Fassung vom 28.10.2026 außerdem „Leider verkauft“, wenn ein Artikel, den du gemerkt hast, von jemand anderem gekauft wurde, mit dem Hinweis auf ähnliche Artikel (je Artikel einmal und höchstens eine solche Nachricht am Tag; wird ein Artikel zwischen 22 und 8 Uhr gekauft, erfährst du es um 8 Uhr); mit der Einwilligung in der Fassung vom 29.10.2026 außerdem, wenn ein Paket, das du gemerkt hast, günstiger wird (wird der Preis zwischen 22 und 8 Uhr gesenkt, erfährst du es um 8 Uhr). Mit der Einwilligung in der Fassung vom 21.10.2026 oder einer späteren außerdem „Versand jetzt günstiger", wenn die verkaufende Person eines Artikels, den du gemerkt hast, den Versand ganz oder zur Hälfte übernimmt (je Artikel und Einstellung höchstens einmal in sieben Tagen; wird das zwischen 22 und 8 Uhr eingestellt, erfährst du es um 8 Uhr). Wir speichern, wann, wo und in welcher Fassung du zugestimmt hast; widerrufen kannst du jederzeit in den Benachrichtigungseinstellungen. Werbliche Push-Nachrichten („Angebote & Tipps") senden wir nur, wenn du sie in den Benachrichtigungseinstellungen eingeschaltet hast. Dazu gehört seit dem 26.10.2026 höchstens einmal am Tag „Neu in deiner Größe": neue Anzeigen der letzten 24 Stunden, die zu deinen Größen, deinen Suchen oder deinen Marken passen (Ziff. 3.5, 3.13, 3.23) — nicht, wenn du der Personalisierung widersprochen hast. Lässt du in der App eine angefangene Anzeige liegen, erinnert dich die App einmal nach etwa 24 Stunden daran („Dein Entwurf wartet“; in der App ab der nächsten Version nach 1.3.1; nicht zwischen 21 und 9 Uhr). Diese Erinnerung plant die App nur auf deinem Gerät und nur, wenn du Mitteilungen erlaubt hast; an uns wird dabei nichts gesendet. Sie entfällt, sobald du die Anzeige weiter bearbeitest, veröffentlichst oder verwirfst. Du kannst Benachrichtigungen jederzeit in der App oder in den Systemeinstellungen abschalten; das Token wird dann gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Erlaubnis), für bestellbezogene Nachrichten Art. 6 Abs. 1 lit. b DSGVO, für die Erinnerung an Anfragen zusätzlich Art. 6 Abs. 1 lit. f DSGVO (das Interesse beider Seiten, dass eine Anfrage beantwortet wird).

3.7 Nutzungsanalyse in der App

Nur mit deiner Einwilligung in der App verwenden wir PostHog zur Nutzungsanalyse. Übermittelt werden deine Nutzer-ID und Ereignisse wie „Anzeige geöffnet" — keine E-Mail-Adresse, kein Name, keine Freitexte. Auf der Website setzen wir kein Analysewerkzeug eines Drittanbieters ein; zu unseren eigenen Nutzungsereignissen siehe Ziff. 3.7a. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit in der App unter Profil → „Privatsphäre & Sicherheit" → „Einwilligungen verwalten". Details: Cookie-Richtlinie.

Woher Anzeigen geöffnet werden (ohne Personenbezug). Öffnest du in der App eine Anzeige, teilt die App mit, aus welchem Bereich (Startseite und dort welcher Anteil, Suche, Suche mit Foto, „Das könnte dir auch gefallen", „Mehr von …", „Neu in deiner Größe", Story-Leiste, „Folge ich") und an welcher Stelle. Wir zählen daraus nur Tagessummen je Bereich, ohne Nutzer-ID, ohne Anzeige und ohne Gerät, und löschen sie nach 60 Tagen. So sehen wir, ob die Reihenfolge nach § 5b AGB Käufer:innen hilft. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.7a Nutzungsereignisse für unsere E-Mail-Reihen

Zu deinem Konto speichern wir auf unserem eigenen Server einzelne Ereignisse mit Zeitpunkt: Registrierung abgeschlossen, Anzeige angesehen, Suche ausgeführt, Kasse begonnen. Wir nutzen sie, um zu entscheiden, welche E-Mails aus unseren Willkommens- und Erinnerungsreihen du bekommst, etwa eine Erinnerung, wenn du länger nicht aktiv warst. Diese E-Mails erhältst du nur, wenn du Werbe-E-Mails per Double-Opt-in zugestimmt hast (Ziff. 3.8). Die Ereignisse werden nicht an Dritte weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist, dir nur passende E-Mails zu schicken. Du kannst jederzeit widersprechen (Art. 21 Abs. 2 DSGVO): mit dem Schalter „Personalisierte Startseite" unter Mein Konto → „Einstellungen" → „Datenschutz" oder per E-Mail an datenschutz@vesty-shop.com. Dann speichern wir keine solchen Ereignisse mehr zu deinem Konto und löschen die vorhandenen. Speicherdauer: 12 Monate.

3.8 Newsletter und Werbe-E-Mails

Trägst du dich für den Newsletter oder andere Werbe-E-Mails ein, senden wir dir zunächst eine Bestätigungs-E-Mail; erst nach Klick auf den Bestätigungslink (gültig 7 Tage) bist du eingetragen (Double-Opt-in). Erst mit dem Klick auf den Link schalten wir Werbe-E-Mails ein. Wir speichern deine E-Mail-Adresse, den Zeitpunkt der Anmeldung und der Bestätigung, die Stelle, an der du dich angemeldet hast, sowie die dabei verwendete IP-Adresse und den User-Agent als Nachweis deiner Einwilligung.

Abmelden. Jede Werbe-E-Mail enthält unten einen Abmeldelink und die Kopfzeilen „List-Unsubscribe" und „List-Unsubscribe-Post" (RFC 8058), über die dein E-Mail-Programm die Abmeldung mit einem Klick auslösen kann. Die Abmeldung wirkt sofort für künftige E-Mails.

Keine Öffnungs- oder Klickmessung. Wir messen nicht, ob oder wann E-Mails geöffnet oder Links angeklickt werden. Unsere E-Mails enthalten keine Zählpixel, und Links werden nicht über Zählseiten umgeleitet.

Speicherdauer. Deine Anmeldedaten speichern wir für die Dauer des Abonnements und danach bis zu 3 Jahre zum Nachweis der Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG; für den Nachweis der Einwilligung Art. 6 Abs. 1 lit. c DSGVO (Art. 7 Abs. 1 DSGVO). Service-E-Mails zu deinen Bestellungen und deinem Konto sind keine Werbung und werden unabhängig davon versandt (Art. 6 Abs. 1 lit. b DSGVO).

3.9 Meldungen und Moderation

Meldest du einen Inhalt oder wird ein Inhalt von dir gemeldet, speichern wir die Meldung, unsere Entscheidung mit Begründung und eine etwaige Beschwerde (Art. 16, 17, 20 DSA). Diese Vorgänge werden für die Dauer nach Abschnitt 6 aufbewahrt, auch über eine Kontolöschung hinaus, dann aber ohne Zuordnung zu deiner Person (pseudonymisiert). Wir brauchen sie, um wiederholte Verstöße erkennen (Art. 23 DSA), Transparenzberichte erstellen (Art. 15, 24 DSA) und uns gegen Ansprüche verteidigen zu können. Rechtsgrundlage: Art. 6 Abs. 1 lit. c und f DSGVO.

Ergebnis deiner Meldung („Meine Meldungen"). Hast du etwas gemeldet, teilen wir dir unsere Entscheidung per E-Mail, in der App und per Push mit, und du findest sie unter „Meine Meldungen" (auf der Website unter Mein Konto, in der App ab der nächsten Version nach 1.3.1 unter Profil → „Deine Daten"). Dafür speichern wir zusätzlich, wann du das Ergebnis zuerst geöffnet hast, damit ein neues Ergebnis als neu erscheint. Es wird mit der Meldung gelöscht.

Bitte um Änderung einer Anzeige („Änderung nötig"). Statt eine Maßnahme zu treffen, können wir dich bitten, eine Anzeige innerhalb einer Frist von drei oder sieben Tagen zu ändern, etwa nach einer Meldung. Das ist keine Sanktion: Die Anzeige bleibt während der Frist sichtbar, und die Bitte wird nicht als Verwarnung gezählt. Wir speichern dazu die Anzeige, unseren Text, die Frist, gegebenenfalls die Meldung, auf die sich die Bitte bezieht, wann du die Anzeige danach zuerst in der App oder auf der Website geöffnet hast, wie die Bitte endete (geändert, Frist abgelaufen oder zurückgenommen) und einen Prüfwert, der aus Titel, Beschreibung, Fotos, Video, Zustand, Marke, Größe, Farbe, Material und Kategorie der Anzeige zum Zeitpunkt der Bitte berechnet wird. Am Prüfwert erkennen wir, ob du die Anzeige geändert hast, ohne eine Kopie von ihr zu speichern; wann du sie zuletzt gespeichert hast, sehen wir im Sicherheitsprotokoll (Ziff. 3.2). Die Bitte teilen wir dir per Push, in der App und per E-Mail mit. Ist die Frist ohne Änderung abgelaufen, erhält unser Team einen Hinweis; was dann geschieht, entscheidet ein Mensch nach § 11 AGB. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Durchsetzung der Regeln des Marktplatzes ohne Sanktion, wo eine Änderung genügt).

3.10 Ort bei deinen Anzeigen (freiwillig)

Wenn du es einschaltest — auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz", in der App in den Einstellungen unter „Ort bei meinen Anzeigen" —, zeigen wir bei deinen Anzeigen und in deinem öffentlichen Profil unter deinem Benutzernamen Postleitzahl und Ort aus deiner hinterlegten Adresse an — zum Beispiel „50667 Köln". Das hilft Käufer:innen einzuschätzen, woher ein Artikel kommt, und ermöglicht Abholung vor Ort.

Angezeigt werden ausschließlich Postleitzahl und Ort. Straße und Hausnummer zeigen wir nicht an und geben sie im Rahmen dieser Funktion auch nicht weiter.

Bitte beachte: Eine Postleitzahl grenzt deinen Wohnort deutlich genauer ein als die Ortsangabe allein — in kleineren Gemeinden auf wenige Straßen. Überlege dir das, bevor du die Funktion einschaltest.

Ist der Schalter eingeschaltet, können andere deine Anzeigen auch über die Suche nach dem Ort finden.

Der Schalter ist standardmäßig ausgeschaltet. Ohne ihn erscheint keine Ortsangabe — weder bei Anzeigen noch im Profil noch in der Suche oder in den Daten, die die App abruft —, und deine Anzeigen sind in vollem Umfang nutzbar. Du kannst ihn jederzeit an derselben Stelle wieder ausschalten; die Angabe verschwindet dann aus allen Anzeigen und aus deinem Profil. Auf Kopien, die andere Personen vorher angesehen oder gespeichert haben, haben wir keinen Zugriff.

Hast du keine Adresse hinterlegt, bleibt der Schalter ohne Wirkung, bis du eine hinzufügst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung); den Widerruf regelt Art. 7 Abs. 3 DSGVO und er gilt ab dem Zeitpunkt des Ausschaltens.

Für gewerbliche Verkäufer:innen gilt diese Wahl nicht: Ihre vollständigen Angaben nach Art. 30 DSA — einschließlich der Anschrift — sind gesetzlich vorgeschrieben und im Profil öffentlich, unabhängig von diesem Schalter (Abschnitt 3.2).

3.11 Favoritenliste teilen (freiwillig)

Sammlungen. In deinen Favoriten kannst du Sammlungen anlegen (auf der Website und in der App ab der nächsten Version nach 1.3.1) und gemerkte Artikel hineinlegen, zum Beispiel „Weihnachtsgeschenke“. Wir speichern den Namen der Sammlung, wann du sie angelegt hast und welche deiner Favoriten darin liegen. Sammlungen sind privat, bis du für eine Sammlung einen Link erzeugst. Entfernst du das Herz bei einem Artikel, verschwindet er aus allen Sammlungen; löschst du eine Sammlung, bleiben deine Favoriten erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Du kannst deine Favoritenliste oder eine einzelne Sammlung über einen Link teilen. Wer den Link hat, sieht die Artikel auf dieser Liste, bei einer Sammlung auch ihren Namen, sowie deinen Benutzernamen, deinen angezeigten Namen und dein Profilbild — ohne sich anmelden zu müssen. Der Link zu einer Sammlung zeigt nur diese Sammlung, nicht deine übrigen Favoriten; löschst du die Sammlung, wird auch ihr Link gelöscht.

Die Liste ist tagesaktuell. Wer den Link später erneut öffnet, sieht deine Favoriten zu diesem Zeitpunkt — also auch Artikel, die du erst nach dem Teilen hinzugefügt hast. Wir zeigen nicht, wann du einen Artikel gemerkt hast oder wie oft du ihn angesehen hast. Artikel, die inzwischen von der Verkäuferin oder dem Verkäufer zurückgezogen wurden, erscheinen nicht mehr.

Der Link entsteht nur, wenn du ihn selbst erzeugst, und du kannst ihn jederzeit in den Einstellungen wieder löschen. Danach führt er ins Leere. Auf Kopien der Seite, die jemand vorher gespeichert hat, haben wir keinen Zugriff.

Wir zeigen dir, wie oft dein Link geöffnet wurde und wann zuletzt. Wer ihn geöffnet hat, erfassen wir nicht — weder Name noch IP-Adresse noch Gerät.

Ein Link, der 90 Tage lang nicht geöffnet wird, verfällt von selbst; jedes Öffnen verlängert ihn um weitere 90 Tage. So bleibt ein Link, den du noch benutzt, erhalten, und ein vergessener wird nicht dauerhaft abrufbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — das Teilen ist eine von dir angestoßene Funktion; ohne dein Zutun entsteht kein Link.

3.12 KI-Assistent (Hilfe-Chat)

Im Hilfebereich kannst du einen KI-Assistenten öffnen und ihm eine Frage stellen. Er beantwortet Fragen ausschließlich aus unseren eigenen veröffentlichten Hilfe- und Rechtstexten und — wenn du angemeldet bist — aus deinen eigenen Datensätzen. Er greift auf kein sonstiges Wissen zurück; findet er in beidem nichts, sagt er das und verweist dich an unseren Support.

Was dabei an unseren Dienstleister übermittelt wird

• deine getippte Frage (2 bis 500 Zeichen),
• bis zu sechs vorangegangene Gesprächsbeiträge als Zusammenhang, jeder auf 600 Zeichen gekürzt,
• die für die Antwort herangezogenen Abschnitte aus unseren eigenen Dokumenten,
• eine knappe, nicht inhaltliche Beschreibung deines Kontos (ob du angemeldet bist, ob du Anzeigen, Käufe oder Verkäufe hast, ob du gewerblich verkaufst, ob deine E-Mail-Adresse bestätigt ist).

Bezieht sich deine Frage auf eine konkrete Bestellung, kommt in einem zweiten Schritt eine Übersicht deiner letzten fünf Käufe, deiner letzten fünf Verkäufe und deiner offenen Preisvorschläge hinzu: Bestellnummer, Artikelbezeichnung, Benutzername der anderen Person, Datum, Betrag, Status, Versandart und Sendungsnummer. Dieser zweite Schritt findet nur statt, wenn er zur Beantwortung nötig ist — die meisten Fragen erreichen ihn nie.

Was ausdrücklich nicht übermittelt wird: deine Lieferanschrift, der bürgerliche Name der anderen Person, Zahlungsdaten, Nachrichteninhalte und dein PStTG-Stand. Ohne Anmeldung werden nur die veröffentlichten Dokumente und deine Frage übermittelt; Bestelldaten in keinem Fall.

Wir speichern nichts davon. Weder deine Frage noch die Antwort noch der Gesprächsverlauf werden bei uns gespeichert. Der Verlauf besteht nur im Arbeitsspeicher deines Geräts und ist verschwunden, sobald du die App oder die Seite schließt. Bewertest du eine Antwort mit „hilfreich" oder „nicht hilfreich", speichern wir eine zufällige Kennung der Antwort, deine Bewertung und, wenn du angemeldet bist, deine Nutzer-ID — nicht die Frage und nicht die Antwort. Nur wenn du zusätzlich selbst einen Kommentar eintippst, speichern wir diesen Text.

Der Assistent kann nichts tun. Er storniert nichts, nimmt kein Angebot an, versendet keine Nachricht und veröffentlicht keine Anzeige. Er kann ausschließlich Seiten vorschlagen, die du selbst öffnest. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Hilfe bei der Artikelsuche. Schreibst du dem Assistenten, dass du einen Artikel suchst (zum Beispiel „Such mir eine Jeans in 36“), bereitet er dir eine Suche vor, die du selbst öffnest. Ist die Suche noch ungenau, fragt er nach, etwa für wen oder in welcher Größe, und schlägt dir Antworten zum Antippen vor. Rückfragen, Antwortvorschläge und die vorbereitete Suche erstellt unser eigener Server aus deinen Worten und aus der Zahl der aktuell eingestellten Artikel; Daten zu Artikeln oder zu anderen Mitgliedern werden dafür nicht an den KI-Dienstleister übermittelt. Der Assistent wählt, bewertet oder empfiehlt keine einzelnen Artikel; die Ergebnisse zeigt die normale Suche in ihrer üblichen Reihenfolge.

Dienstleister und Drittlandübermittlung: Die Anfrage läuft über ein Vermittlungssystem (AI-Gateway unter ai.tatweer-tec.com), das der Inhaber von Vesty selbst auf unserem Server bei Hetzner in Deutschland betreibt; es ist für Vesty fest auf Anthropic PBC, USA, eingestellt und leitet die Anfrage nur dorthin weiter, auch bei einer Störung nicht an andere Anbieter. Das Gateway speichert keine Inhalte und hält keine Antworten zwischen, sondern protokolliert nur technische Angaben zur Anfrage (Zeitpunkt, Anbieter, Modell, Umfang, Kosten, Dauer, Ergebnisstatus). Anthropic verarbeitet die Anfrage als Auftragsverarbeiter (Abschnitt 4); deine Eingaben werden dort nicht zum Training von Modellen verwendet. Grundlage der Übermittlung in die USA sind die EU-Standardvertragsklauseln (Abschnitt 5).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, dir eine schnelle und verlässliche Antwort auf Fragen zur Plattform zu geben und unseren Support zu entlasten. Wir haben die Abwägung dokumentiert und dabei berücksichtigt, dass du die Funktion selbst öffnest und selbst entscheidest, was du hineinschreibst, dass nur deine eigenen Daten verwendet werden, dass nichts gespeichert wird und dass die Funktion nie der einzige Weg ist: der Hilfebereich und der Support stehen unverändert zur Verfügung, und auf jeder Antwort ist der Weg zu einem Menschen sichtbar.

Dein Widerspruchsrecht: Du kannst dieser Verarbeitung nach Art. 21 Abs. 1 DSGVO jederzeit widersprechen. In der Praxis genügt es, den Assistenten nicht zu benutzen — ohne deine Frage findet keine Verarbeitung statt; es gibt keine Hintergrundverarbeitung, der du widersprechen müsstest. Einen förmlichen Widerspruch richte bitte an datenschutz@vesty-shop.com.

3.13 Suchverlauf (App)

Wenn du in der App angemeldet bist und eine Suche abschickst, speichern wir den Suchbegriff (bis zu 100 Zeichen) mit Zeitpunkt und deiner Nutzer-ID. Filter, IP-Adresse und Gerätekennungen speichern wir dabei nicht. Auf der Website wird kein Suchverlauf gespeichert.

Zweck. Wir zeigen dir deine letzten Suchen an, wenn du die Suche öffnest, damit du sie mit einem Tippen wiederholen kannst — auch auf einem anderen Gerät. Die Vorschläge beim Tippen stammen aus den aktuellen Anzeigen und werden nicht aus deinem Suchverlauf gebildet. Suchen, die du ab dem 26.10.2026 abschickst, nutzen wir außerdem für die Startseite der App: Anzeigen, die ihnen ähneln, stehen dort sieben Tage lang in einem eigenen Anteil weiter vorn (Ziff. 3.5, § 5b AGB). Ältere Suchen nutzen wir dafür nicht. Hast du der Personalisierung widersprochen (Ziff. 3.5), nutzen wir den Verlauf dafür nicht. Für Werbung nutzen wir ihn nicht, und wir geben ihn nicht an Dritte weiter.

Speicherdauer. Wir behalten nur deine letzten 10 verschiedenen Suchbegriffe; suchst du etwas erneut, ersetzt der neue Eintrag den alten. Ältere Einträge werden automatisch gelöscht, sobald neue hinzukommen. Darüber hinaus bleibt der Verlauf gespeichert, bis du ihn löschst oder dein Konto löschst.

Löschen. Du kannst deinen Suchverlauf in der Suche der App jederzeit vollständig löschen. Bei der Löschung deines Kontos wird er ebenfalls vollständig gelöscht (Abschnitt 8).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine bequeme Suche und eine Startseite, die zu dem passt, was du suchst; dem stehen deine Interessen nicht entgegen, weil nur wenige Begriffe gespeichert werden, sie das System nicht verlassen, Suchen nur sieben Tage lang für die Startseite zählen und du den Verlauf jederzeit selbst löschen oder der Personalisierung widersprechen kannst. Widerspruch nach Art. 21 DSGVO in der App unter „Personalisierte Startseite" oder an datenschutz@vesty-shop.com.

Welche Begriffe gesucht werden (ohne Personenbezug). Damit wir sehen, wonach auf Vesty gesucht wird und was dabei nicht gefunden wird, zählen wir jede Suche in der App und auf der Suchseite der Website, jeweils nur die erste Ergebnisseite: den Suchbegriff in Kleinbuchstaben, ob in der App oder auf der Website gesucht wurde und ob Anzeigen gefunden wurden. Wie viele verschiedene Menschen einen Begriff gesucht haben, schätzen wir mit einem Zähler (HyperLogLog). In ihn geben wir einen Hash-Wert: in der App aus deiner Nutzer-ID, wenn du angemeldet bist, sonst aus IP-Adresse und User-Agent, jeweils zusammen mit einem Zufallswert, der jeden Tag neu erzeugt wird. Aus dem Zähler lässt sich nicht auslesen, wer gesucht hat. Einen Suchbegriff ordnen wir weder deinem Konto noch deiner IP-Adresse noch deinen anderen Suchen zu. Suchst du denselben Begriff innerhalb von 30 Minuten erneut, etwa mit einem anderen Filter, zählt er nur einmal; dafür halten wir 30 Minuten lang einen Hash-Wert aus beidem vor. Suchen nach Mitgliedern, Begriffe mit E-Mail-Adressen oder Links und Begriffe mit sechs oder mehr Ziffern (etwa Telefonnummern) speichern wir nicht im Wortlaut, sondern zählen nur, dass es sie gab. Intern angezeigt wird ein Begriff erst, wenn ihn mindestens zwei verschiedene Menschen gesucht haben. Auf der Website meldet dafür dein Browser den Suchbegriff und die Zahl der Treffer an unseren eigenen Server; wir setzen dafür keine Cookies und legen nichts in deinem Browser ab. Die Zahlen werden 90 Tage nach dem jeweiligen Tag gelöscht. Ein Drittanbieter ist nicht beteiligt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, das Angebot an dem auszurichten, was gesucht und nicht gefunden wird).

3.14 Kontaktformular und E-Mail an uns

Daten. Schreibst du uns über das Kontaktformular, speichern wir deinen Namen, deine E-Mail-Adresse, das gewählte Thema und deine Nachricht, außerdem den User-Agent deines Browsers (gekürzt auf 500 Zeichen), die Seite, von der du kamst, den Bearbeitungsstand und einen Hashwert deiner IP-Adresse. Der Hashwert wird mit einem geheimen, täglich wechselnden Zusatzwert gebildet; aus ihm lässt sich die IP-Adresse nicht zurückrechnen, er dient nur dazu, massenhafte Einsendungen zu erkennen. Je IP-Adresse und je E-Mail-Adresse nehmen wir höchstens zehn Anfragen pro Stunde an. Schreibst du uns eine E-Mail, verarbeiten wir die Angaben in deiner E-Mail.

Direkter Kontakt für Founding Members. Schreibst du uns als Founding Member über das eigene Kontaktformular in der App oder auf der Website (§ 11a Abs. 14 AGB), speichern wir zusätzlich zu den oben genannten Daten dein Nutzerkonto, die gewählte Art der Nachricht (Idee, Verbesserung oder Problem) und, wenn du sie anhängst, bis zu drei Screenshots. Die App sendet außerdem ihre Versionsnummer, das Betriebssystem mit Version und das Gerätemodell mit und, wenn du das Formular aus einer Bestellung heraus öffnest, deren Kennung; auf der Website senden wir nur die Kennung der Bestellung mit, wenn du das Formular aus ihr heraus öffnest. Das Formular zeigt dir vor dem Absenden an, was mitgeschickt wird. Name und E-Mail-Adresse nehmen wir aus deinem Konto. Hat dein Konto keine erreichbare E-Mail-Adresse (etwa bei „E-Mail-Adresse verbergen" von Apple), gibst du eine Adresse für unsere Antwort an. Screenshots speichern wir ohne Standort- und Kameradaten in einem nicht öffentlichen Bereich unseres Servers; sehen können sie nur wir in unserem Verwaltungsbereich. Bitte achte darauf, dass auf deinen Screenshots keine Daten anderer Personen zu sehen sind, die wir für deine Nachricht nicht brauchen. Über dieses Formular nehmen wir höchstens zehn Nachrichten pro Stunde und Konto an. Der Hinweis an unser Postfach sagt nur, dass ein Founding Member geschrieben hat und welche Art von Nachricht es ist, ohne Inhalt und ohne Kontaktdaten. Antworten wir dir, bekommst du zusätzlich eine Push-Mitteilung, wenn du Mitteilungen erlaubt hast. Für Zweck, Rechtsgrundlage, Empfänger und Speicherdauer gilt dasselbe wie für das Kontaktformular; die Screenshots löschen wir zusammen mit der Anfrage.

Zweck und Rechtsgrundlage. Wir verarbeiten diese Daten, um deine Anfrage zu beantworten: bei Fragen zu einem Vertrag mit uns oder zu dessen Anbahnung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, im Übrigen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, Anfragen zu beantworten und das Formular vor Missbrauch zu schützen). Eine Einwilligung holen wir dafür nicht ein.

Empfänger. Die Anfrage wird auf unserem Server bei Hetzner gespeichert. Eine Eingangsbestätigung an dich mit einer Kopie deiner Nachricht und einen Hinweis an unser Postfach, dass eine Anfrage eingegangen ist, versenden wir über Resend (Abschnitt 4); der Hinweis an uns enthält weder deine Nachricht noch deine Kontaktdaten. Gelesen und beantwortet wird die Anfrage in unserem Verwaltungsbereich. E-Mails an Adressen @vesty-shop.com leitet Cloudflare an unser Postfach bei Google (Gmail) weiter (Abschnitt 4); unsere Antworten versenden wir von dort oder über Resend.

Speicherdauer. 730 Tage nach Eingang, danach automatische Löschung, außer wir müssen eine Anfrage zur Verteidigung von Rechtsansprüchen länger aufbewahren.

3.15 Schutz vor Missbrauch und automatisierte Prüfungen

Zum Schutz unserer Nutzer:innen vor Betrug, Spam und Bots setzen wir die in § 11 Abs. 7 AGB beschriebenen automatisierten Prüfungen ein. Dabei werden folgende Daten verarbeitet:

• Registrierung: die IP-Adresse und das Land, dem Cloudflare sie zuordnet (zugelassen sind die Staaten der EU, Island, Liechtenstein, Norwegen und die Schweiz), ein Abgleich der IP-Adresse mit einer auf unserem Server gespeicherten Liste von Rechenzentrums-, VPN- und Proxy-Netzen sowie der Domain deiner E-Mail-Adresse mit einer Liste von Wegwerf-E-Mail-Diensten. Wird eine Registrierung abgelehnt, speichern wir dazu keine weiteren Daten.
• Bot-Abwehr auf der Website (Cloudflare Turnstile): Beim Aufruf der Registrierungsseite lädt dein Browser ein Skript von Cloudflare, Inc., das technische Merkmale deines Browsers und Geräts sowie Merkmale der Bedienung auswertet, um Menschen von automatisierten Programmen zu unterscheiden. Beim Absenden prüfen wir das Ergebnis bei Cloudflare und übermitteln dafür das Prüfergebnis und deine IP-Adresse. Ist die Prüfung nicht möglich, kann die Registrierung auf der Website in diesem Moment nicht abgeschlossen werden. Das Skript wird nur auf der Registrierungsseite geladen. Der Zugriff auf dein Endgerät ist für die von dir gewünschte Registrierung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. Cloudflare kann Daten in die USA übermitteln; Grundlage ist das Data Privacy Framework (Abschnitt 5).
• Nachrichten: Beim Absenden prüfen wir den Text automatisch auf Links, Webadressen und E-Mail-Adressen. Bei Konten, die jünger als sieben Tage sind, vergleichen wir außerdem, ob derselbe Text in kurzer Zeit in mehrere Unterhaltungen geschickt wird, und zählen bei Konten, die jünger als 48 Stunden sind, neu begonnene Unterhaltungen. Außerdem prüfen wir Nachrichten und Anzeigentexte darauf, ob sie um Zahlung außerhalb von Vesty bitten, dazu auffordern, einen Kauf an Vesty vorbei abzuwickeln, oder eine Handynummer, einen Messenger oder ein anderes Netzwerk als Kontaktweg nennen (§ 11 Abs. 7 Buchst. s AGB). Jede abgelehnte Nachricht speichern wir mit ihrer Art (Zahlung oder Kontakt), der Unterhaltung und der Empfänger:in, ohne den Text. Bei der zweiten Ablehnung in einer Unterhaltung erhält die andere Person einen Hinweis per Push, in der App und per E-Mail; nach der dritten innerhalb von 24 Stunden pausieren wir dein Senden von Nachrichten für 24 Stunden, und 90 Tage lang sehen deine Chatpartner:innen einmal je Unterhaltung einen Sicherheitshinweis.
• Fotos: Für hochgeladene Fotos berechnen wir einen Ähnlichkeitswert, um das erneute Hochladen von Fotos zu erkennen, die wir wegen einer Rechtsverletzung entfernt haben. Außerdem prüfen wir jedes Foto einer Anzeige, jedes Foto zu einer Bewertung (Ziff. 3.4) und jeden Story-Beitrag (Ziff. 3.3; bei einem Video drei Standbilder: das Vorschaubild und je eines nach einem und nach zwei Dritteln seiner Länge) automatisch darauf, ob es einen Artikel zeigt, der auf Vesty nicht angeboten werden darf (zum Beispiel Alkohol, Tabak, Waffen oder Medikamente), oder Nacktheit und sexuelle Darstellungen. Dafür übermitteln wir das Foto — ohne Standortdaten (EXIF) und ohne deinen Namen — über das AI-Gateway nach Ziff. 3.12 an Anthropic PBC, USA, und zwar unabhängig davon, ob du der KI-Bildanalyse nach Ziff. 3.18 zugestimmt hast. Fotos einer noch nicht veröffentlichten Anzeige prüfen wir gleich nach dem Hochladen, Fotos einer bereits veröffentlichten Anzeige und Fotos zu einer Bewertung vor dem Speichern. Zu jedem Foto speichern wir nur das Ergebnis (verboten oder nicht und gegebenenfalls die Gruppe); Anthropic verwendet die Fotos nicht zum Training von Modellen.
• Hygieneprüfung: Fotos von Anzeigen für Babyflaschen, Schnuller und Windeln übermitteln wir nach der Veröffentlichung auf demselben Weg an Anthropic, um einen Sauger, einen ausgepackten Schnuller oder eine geöffnete Windelpackung zu erkennen. Ein Treffer entfernt nichts, sondern legt die Anzeige einem Menschen zur Prüfung vor; Anzeigen für Unterwäsche und Socken für Kinder legen wir immer einem Menschen vor. Gespeichert werden die Anzeige, der Grund der Prüfung, ihr Ergebnis und wer sie abgeschlossen hat.
• KI-Bilder: Jedes Foto einer Anzeige übermitteln wir auf demselben Weg an Anthropic, um zu erkennen, ob es mit KI erzeugt oder wesentlich verändert ist (etwa ein KI-Model, eine KI-Puppe oder eine KI-Kulisse), ob ein Mensch oder ein Körperteil den Artikel trägt und ob es schon den Hinweis „KI-generiert" trägt. In der App (ab der nächsten Version nach 1.3.1) und auf der Website geschieht das schon, wenn du ein Foto beim Einstellen hinzufügst, also bevor die Anzeige veröffentlicht ist und auch dann, wenn du sie nie veröffentlichst. Diese Prüfung gilt jeder Art von KI-Bild; findet sie eines, markieren wir es als KI-Bild. Von einem so geprüften Foto speichern wir nur das Ergebnis zusammen mit einem Prüfwert (Hash) der Bilddatei, 30 Tage lang, nicht das Foto selbst. Hältst du ein so markiertes Foto für echt, kannst du eine Prüfung durch einen Menschen verlangen. Findet die Prüfung beim Veröffentlichen ohne Hinweis ein KI-Bild, auf dem ein KI-Model oder ein KI-Körper den Artikel trägt, setzen wir den Hinweis „KI-generiert" ins Bild; ist das Hauptbild ein KI-Bild und das zweite Foto kein echtes, rücken wir das erste echte Foto an die zweite Stelle; hat die Anzeige kein echtes Foto des Artikels oder entfernst du einen von uns gesetzten Hinweis, legen wir die Anzeige einem Menschen vor. Gespeichert werden zu jedem Foto das Ergebnis der Prüfung (30 Tage), ob es als KI-Bild markiert ist und von wem (von dir oder von unserer Prüfung, oder ob du unsere Markierung bestritten hast), und für ein markiertes Foto eine nicht öffentliche Fassung ohne Hinweis, damit sich die Markierung wieder entfernen lässt. Diese Fassung löschen wir mit dem Foto oder mit deinem Konto. Rechtsgrundlage ist unser berechtigtes Interesse, Käufer:innen ehrlich zu zeigen, welche Fotos echt sind, und die Kennzeichnung nach Art. 50 der KI-Verordnung durchzusetzen (Art. 6 Abs. 1 lit. f DSGVO). Die Fotos der Anzeigen, die am 30.10.2026 bereits online waren, haben wir einmalig auf dieselbe Weise geprüft und, wo die Prüfung ein KI-Model oder einen KI-Körper ohne Hinweis fand, den Hinweis „KI-generiert" gesetzt; Fotos umgestellt oder Anzeigen ausgeblendet haben wir dabei nicht.
• Anzeigentexte: Titel und Beschreibung einer Anzeige prüfen wir auf unserem Server auf Beleidigungen und sexuelle Begriffe aus einer festen Liste, auf Begriffe, die einen gefälschten oder nachgemachten Markenartikel bezeichnen (zum Beispiel „Replika“, „Fake“, „1:1“ oder eine Marke mit „-Style“; diese prüfen wir auch in der Angabe zur Marke), in Kosmetik- und Parfümkategorien auf Begriffe für Tester, Proben, Abfüllungen und selbst hergestellte Kosmetik, überall auf Begriffe für Hautaufheller, und darauf, ob sie in lateinischer Schrift geschrieben sind.
• Ton von Story-Videos: Hast du für ein Story-Video „Video mit Ton" eingeschaltet (Ziff. 3.3), prüfen wir den Ton, bevor die Story erscheint. Das geschieht vollständig auf unserem eigenen Server in Deutschland (Abschnitt 4); weder der Ton noch das Gesprochene als Text gehen dafür an einen KI-Dienstleister oder einen anderen Dritten. Ein Modell, das Geräusche nach ihrer Art einordnet, erkennt, ob Musik zu hören ist. Eine Spracherkennung wandelt Gesprochenes in Text um, und diesen Text prüfen wir nach denselben festen Regeln wie Anzeigentexte: auf Kontaktdaten und Zahlung außerhalb von Vesty (etwa Telefonnummern, E-Mail-Adressen, Messenger, Instagram-Namen, Überweisung oder „PayPal Freunde"), auf Beleidigungen und sexuelle Begriffe und auf verbotene Artikel. Gesprochenes in einer anderen Sprache als Deutsch oder Englisch können wir nicht prüfen. Ist Musik zu hören, wird etwas gesagt, das nicht erlaubt ist, ist die Sprache nicht prüfbar oder schlägt die Prüfung fehl, erscheint die Story ohne Ton; das Video selbst erscheint trotzdem, und wir sagen dir in der App, warum. Damit die Prüfung unseren Server nicht überlastet, läuft sie für ein Video nach dem anderen und je Person höchstens 6-mal in der Stunde und 20-mal am Tag; darüber hinaus, oder wenn gerade sehr viele Videos warten, erscheint die Story ohne Ton. Dafür zählt unser Server je Konto höchstens 24 Stunden lang mit. Die Tonspur, die wir dafür aus dem Video lösen, liegt nur während der Prüfung auf unserem Server und wird gleich danach gelöscht; den Text des Gesprochenen speichern wir nicht. Gespeichert wird nur das Ergebnis: ob der Ton bleibt und, wenn nicht, der Grund (Musik, unerlaubter Inhalt, Sprache, nicht prüfbar oder Grenze erreicht).
• Prüfung vor der Veröffentlichung: Anzeigen ab 500 €, Anzeigen ab 150 €, deren Text ein Kind oder ein Alter nennt, Anzeigen, die ein Kind mit Alter und Körpergewicht nennen, und seit dem 31.10.2026 Anzeigen, die eine häufig gefälschte Luxusmarke nennen, legen wir vor der Veröffentlichung einem Menschen vor (§ 11 Abs. 7 Buchst. t AGB). Dafür vergleichen wir Preis, Titel, Beschreibung und die Angabe zur Marke mit festen Regeln; abgelehnt wird dadurch nichts automatisch. Außerdem übermitteln wir die ersten drei Fotos einer Anzeige auf demselben Weg wie bei der Prüfung auf verbotene Artikel (ohne Standortdaten und ohne deinen Namen) an Anthropic, um zu erkennen, ob darauf das Logo, das Monogramm oder der Schriftzug einer häufig gefälschten Luxusmarke deutlich zu sehen ist; dann legen wir die Anzeige ebenfalls einem Menschen vor. Zu jedem Foto speichern wir nur das Ergebnis (die Marke oder keine) 30 Tage lang, und bei einer so zurückgehaltenen Anzeige die Marke und die Nummer des Fotos. Fotos einer noch nicht veröffentlichten Anzeige prüfen wir dafür gleich nach dem Hochladen. Für eine solche Anzeige schätzen wir außerdem nach festen Regeln das Risiko einer Fälschung ein. Dafür verwenden wir den Preis, die Marke, die Art des Artikels, das Alter deines Kontos, die Zahl deiner abgeschlossenen Verkäufe und deine Anzeigen mit solchen Marken aus den letzten sieben Tagen. Bei hohem Risiko bitten wir dich automatisch um einen Nachweis der Echtheit, außer wenn nur die Prüfung der Fotos die Marke erkannt hat; über die Anzeige entscheidet ein Mensch. Wir speichern die Einschätzung zur Anzeige im Protokoll. Vor der Veröffentlichung einer solchen Anzeige bestätigst du, dass der Artikel echt ist; diese Bestätigung speichern wir mit Zeitpunkt und Fassung des Textes im Protokoll der Anzeige, als Nachweis gegenüber Käufer:innen und Markeninhaber:innen (Art. 6 Abs. 1 lit. b und f DSGVO). Gibt ein Mensch eine zurückgehaltene Anzeige frei, speichern wir, wer sie wann und aus welchem Grund freigegeben hat. Bitten wir dich bei einer Luxusmarke um einen Nachweis der Echtheit, lädst du ihn als Foto in die Anzeige hoch; er ist dann wie die anderen Fotos für Käufer:innen sichtbar, deshalb bitten wir dich, Name und Adresse auf einem Kaufbeleg abzudecken.
• Mengenbegrenzungen: kurzlebige Zähler je IP-Adresse oder Konto, die nach Ablauf des jeweiligen Zeitraums verfallen.
• Empfehlungsprogramm: bei Registrierungen über einen Einladungslink IP-Adresse, User-Agent, eine Gerätekennung und der Zeitpunkt, um Selbstempfehlungen und Mehrfachkonten zu erkennen (§ 11a Abs. 6 AGB).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine Plattform, auf der Nutzer:innen vor Betrug, Phishing und Spam geschützt sind (vgl. Erwägungsgrund 47 DSGVO) und auf der keine verbotenen Artikel und keine unzulässigen Inhalte angeboten werden.

Automatisierte Entscheidung (Art. 22 DSGVO). Automatisch, ohne vorherige menschliche Prüfung, greifen fünf Maßnahmen: die Sperrung neuer Anzeigen und später das Zurückhalten von Auszahlungen, wenn eine verkaufende Person die Schwellen des Plattformen-Steuertransparenzgesetzes erreicht und die gesetzlich vorgeschriebenen Angaben trotz zweier Erinnerungen nicht macht (§ 23 PStTG; Art. 22 Abs. 2 lit. b DSGVO), die Sperrung eines neuen Kontos wegen Massennachrichten, die 24-stündige Pause beim Senden von Nachrichten nach wiederholten Versuchen, Zahlung oder Kontakt aus Vesty herauszuholen, die Ablehnung eines Anzeigenfotos oder eines Fotos zu einer Bewertung, das nach der automatischen Prüfung einen verbotenen Artikel oder Nacktheit zeigt, sowie das Entfernen des Tons eines Story-Videos nach der Prüfung des Tons. Die Kontosperre wird ohne vorherige menschliche Prüfung getroffen; sie gilt, bis ein Mensch den Fall geprüft hat. Die Pause beim Senden endet nach 24 Stunden von selbst. Beide sind erforderlich, um den Nutzungsvertrag mit allen anderen Nutzer:innen zu erfüllen, die wir vor Phishing schützen müssen (Art. 22 Abs. 2 lit. a DSGVO). Dasselbe gilt für die Ablehnung eines Fotos: Wir sagen allen Nutzer:innen eine Plattform ohne verbotene Artikel und ohne unzulässige Inhalte zu (Art. 22 Abs. 2 lit. a DSGVO); abgelehnt wird nur das Foto, die Anzeige oder die Bewertung selbst bleibt erhalten. Das gilt auch für das Entfernen des Tons eines Story-Videos: Entfernt wird nur der Ton, die Story selbst erscheint. Den Ton können wir danach nicht wiederherstellen; du kannst das Video neu aufnehmen und erneut teilen. Du erhältst sofort eine Begründung, kannst deinen Standpunkt darlegen und die Entscheidung anfechten; über deine Beschwerde entscheidet ein Mensch (Art. 22 Abs. 3 DSGVO, § 11 Abs. 5 AGB). Die Liste der automatisierten Mittel steht in § 11 Abs. 7 der AGB; die Prüfung des Tons von Story-Videos ergänzen wir dort mit der nächsten Änderung der AGB.

3.16 Dein öffentliches Profil

Für alle sichtbar — auch ohne Anmeldung — sind in deinem Profil und bei deinen Anzeigen: dein Benutzername, dein Profilbild und dein Text „Über mich", wenn du sie hinterlegt hast, das Datum deiner Registrierung („Mitglied seit"), als Founding Member deine Mitgliedsnummer, die Zahl deiner Verkäufe, deine Bewertungen als Verkäufer:in und als Käufer:in (getrennt angezeigt) und die Versandbewertung mit ihren Einzelwerten, deine Abzeichen und deine veröffentlichten Anzeigen. Öffentlich ist auch, wie vielen Konten du folgst und wer dir folgt, einschließlich der Listen dieser Konten; in diesen Listen erscheinen von jedem Konto Benutzername, Profilbild, gegebenenfalls die Founding-Mitgliedsnummer und ob es gewerblich verkauft, bei gewerblichen Verkäufer:innen auch der Name. Postleitzahl und Ort erscheinen nur, wenn du sie nach Ziff. 3.10 freigibst. Deinen bürgerlichen Namen, deine E-Mail-Adresse, Anschrift und Telefonnummer zeigen wir bei Privatpersonen nicht an; für gewerbliche Verkäufer:innen gilt Ziff. 3.2. Konten des Plattformbetreibers tragen den Hinweis „Konto des Plattformbetreibers" (§ 1 Abs. 2a AGB). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Antwortzeit: Bei deinen Anzeigen und in deinen Unterhaltungen zeigen wir, wie schnell du meist antwortest — zum Beispiel „Antwortet meist innerhalb von 2 Std.“. Dafür werten wir jede Nacht die Unterhaltungen aus, die Käufer:innen in den letzten 90 Tagen mit dir begonnen haben: die Zeit von ihrer ersten Nachricht bis zu deiner ersten Antwort. Automatische Antworten (etwa die automatische Annahme ab einem Mindestpreis) zählen nicht als Antwort. Eine Unterhaltung, auf die du nicht antwortest, zählt nach 48 Stunden mit sieben Tagen. Blockierte Unterhaltungen und Unterhaltungen mit gesperrten oder gelöschten Konten bleiben außen vor. Gespeichert wird nur das Ergebnis — der mittlere Wert (Median) und die Zahl der Unterhaltungen —, nicht die einzelnen Zeiten. Angezeigt wird der Wert erst ab fünf Unterhaltungen und nur, wenn er unter zwei Tagen liegt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — Käufer:innen haben ein berechtigtes Interesse daran einzuschätzen, ob und wann sie mit einer Antwort rechnen können. Du kannst dem nach Art. 21 DSGVO widersprechen (Abschnitt 8).

3.17 Anzeigen in Produktsuchmaschinen

Anzeigen von Verkäufer:innen, die der AGB-Fassung vom 3. Oktober 2026 oder einer späteren zugestimmt oder Google Shopping unter Mein Konto → „Einstellungen" → „Datenschutz" eingeschaltet haben, übermitteln wir an Google (Google Merchant Center), damit sie in Google Shopping und ähnlichen Diensten erscheinen und auf die Anzeige bei Vesty verlinken (§ 4a Abs. 4a AGB). Übermittelt werden Titel, Beschreibung, Preis, Zustand, Kategorie, weitere Artikelangaben wie Marke, Größe, Farbe oder Material, Versandkosten, die Fotos und der Link zur Anzeige — nicht dein Name und nicht dein Benutzername. Anzeigen, die eine häufig gefälschte Luxusmarke nennen, übermitteln wir nicht. Ziehst du eine Anzeige zurück oder löschst du sie, übermitteln wir sie nicht mehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Google kann Daten an Google LLC in die USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.

3.18 KI-Bildanalyse beim Einstellen (freiwillig)

Beim Einstellen einer Anzeige kannst du dir Titel, Beschreibung, Kategorie, Farbe, Zustand und Paketgewicht aus deinen Fotos vorschlagen lassen, dazu Marke, Größe und Material, wenn sie auf einem Etikett im Foto lesbar sind, bei Büchern die Sprache, wenn sie auf dem Cover erkennbar ist, sowie eine Schätzung, zu welchem Preis ein solcher Artikel gebraucht verkauft wird. Dafür übermitteln wir bis zu vier Fotos der Anzeige — ohne Standortdaten (EXIF), ohne deinen Namen — über das AI-Gateway nach Ziff. 3.12 an Anthropic PBC, USA. Die Vorschläge erscheinen im Formular: Das Paketgewicht und eine lesbare ISBN sind vorausgefüllt, alles andere übernimmst du selbst mit einem Tipp. Jeden Wert kannst du vor dem Veröffentlichen ändern. Die Preisschätzung zeigen wir dir nicht als Zahl: Im Schritt „Preis" vergleichen wir sie mit deinem Preis und weisen dich darauf hin, wenn er deutlich darüber liegt, mit einem Preisvorschlag, den du übernehmen kannst oder nicht. Wir speichern die Anfrage und die Antwort nicht; gespeichert wird nur die Anzeige, die du veröffentlichst. Anthropic verwendet die Fotos nicht zum Training von Modellen.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung findet keine Analyse statt — das prüfen wir auf unserem Server vor jeder Analyse —, und du füllst die Felder selbst aus. Unabhängig davon prüfen wir jedes Anzeigenfoto auf verbotene Artikel (Ziff. 3.15); diese Prüfung erzeugt keine Vorschläge und setzt keine Einwilligung voraus. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz". Grundlage der Übermittlung in die USA sind die EU-Standardvertragsklauseln (Abschnitt 5).

Preisempfehlung ohne KI-Bildanalyse: Hast du der KI-Bildanalyse nicht zugestimmt, vergleichen wir deinen Preis im Schritt „Preis" stattdessen mit üblichen Gebrauchtpreisen für die gewählte Kategorie, den Zustand und gegebenenfalls die Marke und zeigen denselben Hinweis. Dafür verarbeiten wir nur diese Angaben deiner Anzeige auf unserem Server; an Dritte wird dabei nichts übermittelt, und gespeichert wird nichts über die üblichen Server-Protokolle hinaus. Rechtsgrundlage ist die Bereitstellung des Marktplatzes (Art. 6 Abs. 1 lit. b DSGVO).

3.19 Meta-Pixel (Website, nur mit Einwilligung)

Wir schalten Anzeigen auf Facebook und Instagram. Um zu messen, ob sie wirken, und um Besucherinnen und Besuchern unserer Website dort Vesty-Werbung zu zeigen, setzen wir auf der Website den Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta“), ein. Er läuft nur, wenn du im Cookie-Banner eingewilligt hast (Kategorie „Marketing (Meta-Pixel, Facebook/Instagram)“). Ohne Einwilligung lädt die Website nichts von Meta, es findet keine Verbindung zu Meta statt, und es wird nichts in deinem Browser gespeichert. Du kannst die Website ohne Einwilligung uneingeschränkt nutzen.

Was verarbeitet wird: Nach deiner Einwilligung speichert Meta in deinem Browser die in der Cookie-Richtlinie, Abschnitt 4, genannten Cookies (_fbp, gegebenenfalls _fbc) und Einträge im Browser-Speicher (die Website, von der du zuletzt kamst, mit Zeitpunkt; gegebenenfalls Klick-Kennungen). Auf unseren öffentlichen Seiten sendet dein Browser bei jedem Seitenaufruf und wenn du auf „App Store“ oder „Google Play“ tippst eine Meldung an Meta. Öffentliche Seiten sind Startseite, Kategorien, Artikel, Ratgeber, Hilfe und unsere Seiten für Verkäuferinnen und Verkäufer. Die Meldung enthält:

• die Kennung unseres Pixels und die Art des Ereignisses („Seitenaufruf“ oder „Tipp auf App Store / Google Play“ mit dem gewählten Store);
• die vollständige Adresse der Seite, einschließlich Kampagnen-Angaben und der Klick-Kennung fbclid, wenn du über eine Meta-Anzeige kamst;
• die Adresse der Seite, von der du kamst;
• die Kennungen aus _fbp/_fbc und gegebenenfalls aus Cookies, die Meta bereits in deinem Browser gespeichert hat, etwa wenn du bei Facebook oder Instagram angemeldet bist;
• Bildschirmgröße und Zeitpunkt;
• technische Angaben, die bei jeder Verbindung anfallen (IP-Adresse, Browser- und Geräteangaben).

Auf Seiten, deren Adresse persönliche Angaben enthalten kann, sendet die Website keine Meldung an Meta. Das sind Konto, Registrierung, Kasse, Nachrichten, Suche, geteilte Favoritenlisten, Einladungen und Profile anderer Mitglieder. Wir übermitteln Meta keine Namen, E-Mail-Adressen oder Telefonnummern (kein „erweiterter Abgleich“), und wir verknüpfen nichts mit deinem Vesty-Konto.

Zwecke:

• Wir messen den Erfolg unserer Anzeigen auf Facebook und Instagram.
• Wir bilden aus Besuchern unserer Website Zielgruppen, um ihnen dort Vesty-Werbung zu zeigen (Remarketing), und auf dieser Grundlage ähnliche Zielgruppen.
• Meta kann die Daten einem Facebook- oder Instagram-Konto zuordnen. Nach eigenen Angaben verwendet Meta sie auch für eigene Zwecke, etwa um Werbung zu personalisieren und die eigenen Produkte zu verbessern.

Wir selbst sehen bei Meta nur zusammengefasste Zahlen und Zielgruppen ab einer Mindestgröße, nicht, wer du bist.

Rechtsgrundlage: Für das Speichern und Auslesen im Endgerät gilt deine Einwilligung nach § 25 Abs. 1 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. a DSGVO.

Gemeinsame Verantwortlichkeit: Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir und Meta gemeinsam verantwortlich (Art. 26 DSGVO). Dazu gilt zwischen uns und Meta der Zusatz für gemeinsam Verantwortliche („Controller Addendum“, facebook.com/legal/controller_addendum). Das Wesentliche dieser Vereinbarung:

• Wir informieren dich über die gemeinsame Verarbeitung und holen deine Einwilligung ein.
• Meta erfüllt deine Rechte aus Art. 15 bis 20 DSGVO zu den Daten, die Meta nach der gemeinsamen Verarbeitung speichert.

Du kannst deine Rechte bei uns oder bei Meta geltend machen. Anfragen, die Meta betreffen, leiten wir an Meta weiter. Für die Verarbeitung nach der Übermittlung ist Meta allein verantwortlich. Datenschutzrichtlinie von Meta: facebook.com/privacy/policy.

Übermittlung in die USA: Meta kann Daten an die Meta Platforms, Inc. in den USA übermitteln. Grundlage sind der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO; Meta Platforms, Inc. ist zertifiziert) und ergänzend Standardvertragsklauseln (Abschnitt 5).

Speicherdauer:

• _fbp und _fbc laufen nach 90 Tagen ab.
• Wie lange Meta die Daten aufbewahrt, beschreibt Meta in seiner Datenschutzrichtlinie.
• Wir selbst speichern keine dieser Daten. Wir protokollieren nur deine Auswahl im Banner (Abschnitt 6, Cookie-Einwilligungsprotokoll).

Widerruf: jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ unten auf jeder Seite oder auf der Seite Cookie-Richtlinie. Wir löschen dann _fbp, _fbc und die Einträge im Browser-Speicher, und die Seite lädt ohne das Meta-Skript neu. Cookies auf Domains von Meta kann unsere Website nicht löschen; das kannst du in deinem Browser tun. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 DSGVO).

3.20 Werbe-Messung in der App (Meta SDK, nur mit Einwilligung)

Wir schalten Anzeigen auf Facebook und Instagram. Um zu messen, welche davon zu Installationen der App, zu Registrierungen und zu neuen Anzeigen führen, verwenden wir in der App das Meta SDK der Meta Platforms Ireland Limited (Anschrift wie Ziff. 3.19). Es läuft nur, wenn du in der App einwilligst. „Ablehnen“ ist so einfach wie „Alle erlauben“. Ohne Einwilligung wird das SDK nicht gestartet, sendet nichts und speichert nichts auf deinem Gerät. Die App funktioniert ohne Einwilligung genauso.

Was das SDK an Meta meldet:

• die Installation und jedes Öffnen der App;
• eine abgeschlossene Registrierung mit der Art der Anmeldung (E-Mail, Google oder Apple);
• das Veröffentlichen einer Anzeige, ohne Titel, Fotos, Kategorie oder Preis;
• Geräte- und App-Angaben (Modell, Betriebssystem, App-Version, Sprache, Zeitzone), eine Kennung, die das SDK auf deinem Gerät speichert, und die IP-Adresse;
• die Werbe-ID deines Geräts, unter iOS nur, wenn du zusätzlich in der Abfrage von Apple („App-Tracking-Transparenz“) zustimmst. Lehnst du dort ab, misst Meta nur zusammengefasst über die Verfahren von Apple.

Was nicht übermittelt wird: Name, E-Mail-Adresse, Telefonnummer, deine Vesty-Nutzer-ID, Inhalte von Anzeigen und Nachrichten, Suchbegriffe, Käufe.

Zwecke, gemeinsame Verantwortlichkeit, USA: wie in Ziff. 3.19 (Erfolgsmessung, Zielgruppen, eigene Zwecke von Meta; Art. 26 DSGVO mit dem Controller Addendum; Data Privacy Framework und Standardvertragsklauseln).

Rechtsgrundlage: deine Einwilligung, § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO. Deine Wahl meldet die App mit Zeitpunkt und einem Hashwert deiner IP-Adresse an unseren Server, als Nachweis (Abschnitt 6, Cookie-Einwilligungsprotokoll).

Widerruf: jederzeit in der App unter Profil → „Privatsphäre & Sicherheit“ → „Einwilligungen verwalten“, auch ohne Konto. Das SDK sendet dann nichts mehr, wir löschen die Angaben, die es zu dir gespeichert hat, und ab dem nächsten Start wird es nicht mehr gestartet. Unter iOS kannst du das Tracking außerdem in den Einstellungen des Geräts unter „Datenschutz & Sicherheit“ → „Tracking“ abschalten.

3.21 Vesty in sozialen Netzwerken

Vesty hat eine Gruppe und eine Seite auf Facebook, ein Profil auf Instagram (beide Meta Platforms Ireland Limited, Anschrift wie Ziff. 3.19), ein Profil auf TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland) und einen Kanal auf YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). In der App und auf der Website verlinken wir sie nur. Es ist nichts von diesen Netzwerken eingebunden, kein Button, kein Pixel, kein Programmcode. Solange du keinen Link antippst, erfährt kein Netzwerk etwas von deinem Besuch bei Vesty.

Tippst du einen Link an, verlässt du Vesty. Ab dann verarbeitet das jeweilige Netzwerk deine Daten nach seinen eigenen Bestimmungen, zum Beispiel deine IP-Adresse, Geräteangaben und, wenn du dort angemeldet bist, dein Konto. Dafür ist das Netzwerk selbst verantwortlich: Datenschutzrichtlinie von Meta, Datenschutzrichtlinie von TikTok, Datenschutzerklärung von Google.

Statistiken. Meta und TikTok zeigen uns als Betreiber der Gruppe, der Seite und der Profile zusammengefasste Statistiken, etwa wie viele Personen Beiträge gesehen haben. Daraus erfahren wir nicht, wer du bist. Für diese Statistiken sind wir mit Meta beziehungsweise TikTok gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarungen dazu sind das Page Insights Controller Addendum von Meta und die Vereinbarung über gemeinsame Verantwortlichkeit von TikTok. Darin übernehmen Meta und TikTok die Pflicht, dich zu informieren und deine Rechte zu erfüllen. Wende dich mit Fragen dazu am besten direkt an sie, gern aber auch an uns. Auch YouTube zeigt uns zusammengefasste Statistiken zu unserem Kanal; Google bietet dafür keine Vereinbarung nach Art. 26 DSGVO an. Soweit wir dafür gemeinsam mit Google verantwortlich sind, kannst du deine Rechte bei Google und bei uns geltend machen.

Was du in der Gruppe oder unter unseren Beiträgen schreibst, sehen andere Mitglieder und wir. Wir verwenden es nur, um zu antworten und die Gruppe zu moderieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Vesty dort bekannt zu machen, wo Menschen sich austauschen, und dort ansprechbar zu sein.

3.22 Händlerkonto (gewerblich verkaufen)

Stellst du einen Antrag auf ein Händlerkonto (§ 3b AGB) oder verkaufst du über ein Händlerkonto, verarbeiten wir:

• Name oder Firma, Anschrift, E-Mail-Adresse und Telefonnummer, Handelsregistereintrag (Registergericht und Registernummer), Umsatzsteuer-Identifikationsnummer, Steuernummer, ob du Kleinunternehmer:in nach § 19 UStG bist, deine Registrierungsnummer im Verpackungsregister LUCID und deine Wahl, wer nach einem Widerruf die Rücksendekosten trägt;
• deine Erklärung nach Art. 30 Abs. 1 Buchst. f DSA und deine Zustimmung zu den AGB, jeweils mit Zeitpunkt, bei der Zustimmung auch mit Fassung, IP-Adresse und User-Agent;
• den Antrag selbst: wann du ihn gestellt hast, unsere Entscheidung, wann und von wem sie getroffen wurde und bei einer Ablehnung die Begründung, die wir dir mitteilen.

Öffentlich im Profil, bei jeder deiner Anzeigen und in der Kasse sind, sobald dein Händlerkonto freigeschaltet ist: Name oder Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Handelsregistereintrag, Umsatzsteuer-Identifikationsnummer, der Hinweis auf § 19 UStG und deine Widerrufsbelehrung (§ 5 DDG, Art. 246a EGBGB, Art. 30 DSA). Solange du nur einen Antrag gestellt hast, zeigen wir davon nichts an. Nicht öffentlich sind die Steuernummer, die LUCID-Nummer und alles zum Antrag.

Prüfung. Vor der Freischaltung prüfen wir deine Angaben von Hand. Dafür lassen wir die Umsatzsteuer-Identifikationsnummer über das Prüfsystem der Europäischen Kommission (VIES) bestätigen und sehen im öffentlichen Handelsregister und im öffentlichen Verpackungsregister LUCID nach; dabei übermitteln wir jeweils nur die Nummer oder den Namen, nach dem wir suchen. Fordern wir einen Nachweis an, etwa die Gewerbeanmeldung, schickst du ihn uns per E-Mail. Über einen neuen Antrag informiert uns eine interne E-Mail ohne personenbezogene Daten; die Angaben selbst stehen nur in unserem Verwaltungsbereich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag über das Händlerkonto); soweit wir die Angaben aufzeichnen und veröffentlichen müssen (§ 22f UStG, § 5 DDG, Art. 246a EGBGB), Art. 6 Abs. 1 lit. c DSGVO; für die Prüfung vor der Freischaltung zusätzlich Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, Käufer:innen vor Händlern mit falschen Angaben zu schützen und nicht selbst für fremde Umsatzsteuer zu haften (§ 25e UStG).

3.23 Mein Feed (Meine Größen & Marken)

Was wir speichern. Was du unter „Mein Feed" (in der App bis Version 1.3.1 „Meine Größen & Marken") angibst: deine Größen je Bereich (Damen, Herren, Kinder) und Liste (zum Beispiel Kleidergrößen, Schuhe, Ringe), deine Lieblingsmarken, ob Anzeigen von Mitgliedern, denen du folgst, bevorzugt werden sollen, und wann du die einmalige Frage danach beantwortet oder ausgeblendet hast. Seit dem 29.10.2026 außerdem, was du dort, an einer Anzeige, auf der Seite einer Marke oder auf der Karte „Was willst du hier nicht sehen?" festlegst: ausgeblendete Marken, Kategorien und einzelne Anzeigen (die 300 zuletzt ausgeblendeten), Kategorien für „Mehr davon", die Sprachen, in denen du Bücher liest, und wann du die Karte beantwortet oder geschlossen hast.

Wofür. Schaltest du in der Suche oder in Kategorien „Nur meine Größen" ein, zeigen wir nur Anzeigen in diesen Größen. Auf der Startseite der App stehen Anzeigen in deinen Größen in einem festen Anteil vorn, Anzeigen in einer anderen Größe kommen seltener und weiter hinten, und Anzeigen von deinen Marken und von Mitgliedern, denen du folgst, rücken weiter nach oben, ohne dass andere ausgeblendet werden (§ 5b AGB). Seit dem 29.10.2026 zeigen wir dir auf der Startseite der App und, angemeldet, der Website nicht mehr, was du ausgeblendet hast, Anzeigen aus deinen Kategorien für „Mehr davon" in einem festen Anteil vorn und Bücher in deinen Sprachen weiter oben (§ 5b Abs. 2a AGB); schaltest du „Nur meine Sprachen" ein, zeigen Suche und Kategorien nur Bücher in diesen Sprachen. Die Angaben sind nicht öffentlich, werden nicht an Dritte weitergegeben und nicht für Werbung genutzt.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO: Du machst die Angaben, um diese Funktionen zu nutzen. Hast du der Personalisierung widersprochen (Ziff. 3.5), nutzen wir sie auf der Startseite nicht; „Nur meine Größen" und „Nur meine Sprachen" funktionieren weiter, weil du den Filter selbst einschaltest, und was du ausgeblendet hast, bleibt ausgeblendet, weil du es selbst festgelegt hast.

Speicherdauer. Bis du die Angaben änderst oder löschst, spätestens bis zur Löschung deines Kontos. Sie sind Teil des Datenexports.

3.24 Fotos deiner Anzeigen in unserer Werbung (freiwillig)

Was wir tun. Nur wenn du ausdrücklich zustimmst, verwenden wir Fotos deiner Anzeigen in Werbung für Vesty (§ 4a Abs. 4b AGB): zum Beispiel in Beiträgen und Werbeanzeigen auf Instagram, Facebook, TikTok, YouTube oder Pinterest, in Werbeanzeigen bei Google, in Newslettern und auf Flyern. Wir dürfen die Fotos dafür zuschneiden und mit Text versehen. Dein Name und dein Benutzername erscheinen dabei nicht, und Fotos, auf denen eine Person zu erkennen ist, verwenden wir nicht. Geld gibt es dafür nicht. Gefragt wirst du einmal, nachdem du eine Anzeige veröffentlicht hast, auf der Website und in der App (ab der nächsten Version nach 1.3.1). Zustimmen und widerrufen kannst du jederzeit, auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz", in der App unter Profil → „Einwilligungen verwalten".

Was wir speichern. Deine Antwort, bei einer Zustimmung auch den Zeitpunkt und die Fassung der Frage, und im Sicherheitsprotokoll, wann du zugestimmt oder widerrufen hast.

Empfänger. Veröffentlichen wir Werbung mit deinen Fotos, erhalten die Betreiber der jeweiligen Kanäle die Fotos, zum Beispiel Meta Platforms Ireland Limited, TikTok Technology Limited oder Google Ireland Limited, bei Flyern die Druckerei. Angaben zu dir übermitteln wir dabei nicht. Für ihre eigene Verarbeitung sind die Betreiber selbst verantwortlich (Ziff. 3.21); sie können Daten in Drittländer übermitteln (Abschnitt 5).

Rechtsgrundlage. Art. 6 Abs. 1 lit. a DSGVO, soweit die Fotos personenbezogene Daten sind. Die Nutzungsrechte an den Fotos räumst du uns mit derselben Zustimmung ein.

Widerruf und Dauer. Die Zustimmung gilt, bis du sie widerrufst oder dein Konto löschst. Danach verwenden wir deine Fotos nicht mehr für neue Werbung und nehmen sie innerhalb von 7 Tagen aus laufender Online-Werbung und aus Beiträgen auf unseren Kanälen. Bereits gedruckte Flyer können wir nicht zurückholen. Die Rechtmäßigkeit der Verwendung bis zum Widerruf bleibt unberührt. Den Nachweis deiner Antwort bewahren wir wie andere Einwilligungen auf (Abschnitt 6).

3.25 Suche mit Foto (App)

Was passiert. In der App (ab der nächsten Version nach 1.3.1) kannst du mit einem Foto nach ähnlichen Artikeln suchen, mit der Kamera aufgenommen oder aus deiner Galerie gewählt. Die App verkleinert das Foto zuerst und entfernt dabei Standort- und Kameradaten (EXIF). Unter iOS erkennt dein iPhone mit Apples Vision-Framework selbst, wo auf dem Foto Gegenstände zu sehen sind, und legt den Rahmen um den größten; dafür verlässt das Foto dein Gerät nicht. Unter Android legst du den Rahmen selbst fest. Erst wenn die Suche läuft, schickt die App nur den Ausschnitt im Rahmen an unseren Server, verkleinert auf höchstens 512 Pixel an der langen Seite. Dort berechnet ein Bildmodell, das wir selbst auf unserem Server in Deutschland betreiben, Bildmerkmale (eine Zahlenreihe) und vergleicht sie mit denen der Fotos angebotener Anzeigen. Personen erkennen wir dabei nicht, und Gesichter gleichen wir nicht ab. Die Suche mit Foto funktioniert auch ohne Konto.

Was wir speichern. Das Foto nicht: Unser Server verarbeitet den Ausschnitt nur im Arbeitsspeicher und verwirft ihn danach; auch in Server-Protokollen wird er nicht festgehalten. Die daraus berechneten Bildmerkmale halten wir höchstens 10 Minuten im Arbeitsspeicher vor, damit Weiterblättern, Sortieren und Filtern ohne neue Berechnung gehen; sie sind keinem Konto zugeordnet. Eine Suche mit Foto wird weder in deinem Suchverlauf gespeichert noch als Suchbegriff gezählt (Ziff. 3.13). Gezählt wird nur, wie oft Anzeigen aus diesen Ergebnissen gezeigt und geöffnet werden, als Tagessummen ohne Personenbezug (Ziff. 3.7). Gegen Missbrauch ist begrenzt, wie oft je Konto oder, ohne Anmeldung, je IP-Adresse mit Foto gesucht werden kann; der Zähler dafür verfällt nach einer Minute (Ziff. 3.15).

Fotos der Anzeigen. Damit Anzeigen so gefunden werden, berechnen wir dieselben Bildmerkmale aus den ersten vier Fotos jeder angebotenen Anzeige und speichern sie auf unserem Server, solange die Anzeige angeboten wird. Spätestens einen Tag, nachdem sie nicht mehr angeboten wird, löschen wir sie.

Empfänger. Weder das Foto noch die Bildmerkmale erhält ein KI-Dienstleister oder ein anderer Dritter. Wie jede Anfrage an die App-Schnittstelle läuft auch diese verschlüsselt über unseren Netzwerkdienstleister Cloudflare (Abschnitt 4), der sie an unseren Server weiterleitet.

Rechtsgrundlage. Für deine Suche Art. 6 Abs. 1 lit. b DSGVO (die Suche auf dem Marktplatz, die du anstößt). Für die Bildmerkmale der Anzeigenfotos gegenüber den Verkäufer:innen ebenfalls Art. 6 Abs. 1 lit. b DSGVO (ihre Anzeigen werden gefunden). Soweit auf deinem Foto oder auf Anzeigenfotos andere Personen zu sehen sind, Art. 6 Abs. 1 lit. f DSGVO: Unser berechtigtes Interesse ist, dass Artikel auch über ein Foto gefunden werden. Dem stehen die Interessen dieser Personen nicht entgegen, weil wir dein Foto nicht speichern, die Bildmerkmale unseren Server nicht verlassen und wir sie nicht verwenden, um Personen zu erkennen.

3.26 Gespeicherte Suchen

Was wir tun. Wenn du in der App oder auf der Website eine Suche speicherst („Speichern“ oder „Benachrichtige mich“), merken wir uns diese Suche zu deinem Konto: den Suchbegriff und die Filter, die du gesetzt hattest (zum Beispiel Kategorie, Marke, Material, Größe, Zustand, Preis, „Passend für“ oder Sprache), einen Namen für die Suche, wann du sie gespeichert hast, wann sie zuletzt etwas gefunden hat oder von dir geöffnet wurde und wie viele Anzeigen bisher dazu gepasst haben. Wird eine neue Anzeige veröffentlicht, prüfen wir, ob sie zu deiner Suche passt; den Suchbegriff lesen wir dabei so wie die Suche selbst (etwa „damen sneaker unter 20 €“ als Damenmode, bis 20 €, „sneaker“). Hast du „Nur meine Größen“ oder „Nur meine Sprachen“ gewählt, nehmen wir dafür deine Angaben unter „Mein Feed“ (Ziff. 3.23) zum Zeitpunkt der Prüfung. Welche Anzeigen schon zu deiner Suche gepasst haben, merken wir uns, damit du keine doppelt bekommst. Deine eigenen Anzeigen melden wir dir nicht. Die gespeicherte Suche ist vom Suchverlauf (Ziff. 3.13) getrennt.

Benachrichtigung. Passt eine Anzeige, bekommst du eine Push-Benachrichtigung in der App („Neuer Treffer für deine Suche“ mit Titel, Preis und Vorschaubild der Anzeige und dem Namen deiner Suche), höchstens fünf am Tag und zu jeder Anzeige nur einmal. Das setzt voraus, dass du Benachrichtigungen erlaubt hast (Ziff. 3.6). Du kannst sie für jede Suche einzeln und für alle gespeicherten Suchen in den Benachrichtigungseinstellungen ausschalten. E-Mails zu gespeicherten Suchen senden wir nicht. Wie jede Benachrichtigung halten wir sie im Versandprotokoll fest (Abschnitt 6).

Wer es sieht. Nur du. Die Verkäufer:innen erfahren nicht, dass ihre Anzeige zu deiner Suche gepasst hat. Für den Versand erhält Google den Inhalt der Benachrichtigung (Ziff. 3.6, Abschnitt 4).

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO: Du speicherst die Suche, damit wir dir passende Anzeigen melden. Für die Push-Benachrichtigung zusätzlich deine Erlaubnis nach Ziff. 3.6 (Art. 6 Abs. 1 lit. a DSGVO).

Dauer. Bis du die Suche löschst (in der App unter Profil → „Gespeicherte Suchen“, auf der Website unter Mein Konto → „Gespeicherte Suchen“) oder dein Konto löschst. Eine Suche, die 90 Tage lang nichts gefunden hat und von dir nicht geöffnet wurde, löschen wir automatisch.

4. Empfänger / Auftragsverarbeiter

• Hosting: Hetzner Online GmbH, Rechenzentrum Nürnberg, Deutschland — Auftragsverarbeiter, AVV vorhanden. Alle Anwendungs- und Datenbankdienste laufen ausschließlich an diesem Standort, auch die Datenbank, der Zwischenspeicher (Redis), der Suchindex (Meilisearch), das AI-Gateway (Ziff. 3.12), das Bildmodell der Suche mit Foto (Ziff. 3.25), die Prüfung des Tons von Story-Videos (Ziff. 3.15) und die Datensicherungen; diese Dienste betreiben wir selbst, ohne Weitergabe an Dritte.
• Netzwerk- und Sicherheitsdienst (CDN, DDoS-Schutz, TLS, Bot-Abwehr, E-Mail-Weiterleitung): Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA — Auftragsverarbeiter. Erhält jede Anfrage an die Website und die App-Schnittstelle mit IP-Adresse und technischen Verbindungsdaten, bei der Registrierung auf der Website die Daten der Bot-Abwehr Turnstile (Ziff. 3.15) und E-Mails, die du an eine Adresse @vesty-shop.com schreibst, um sie an unser Postfach weiterzuleiten. Übermittlung in die USA auf Grundlage des EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss vom 10.07.2023), ergänzend Standardvertragsklauseln.
• E-Mail-Postfach: E-Mails an Adressen @vesty-shop.com sowie interne Hinweise auf neue Kontaktanfragen und Registrierungen (ohne Inhalt bzw. ohne personenbezogene Daten) gehen in ein Postfach bei Google (Gmail), Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google kann Daten an Google LLC in die USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• Frühere Zahlungsart PayPal: Bis zum 29.09.2026 war bei einzelnen Bestellungen die Zahlung über PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, möglich (eigener Verantwortlicher). Die Daten dieser Zahlungen bewahren wir nach den gesetzlichen Fristen für Bestelldaten auf; neue PayPal-Zahlungen sind nicht möglich.
• Zahlungsdienstleister: Stripe Payments Europe Ltd. (Irland) — eigener Verantwortlicher. Erhält Name, Betrag, E-Mail-Adresse und die für die Zahlung nötigen Daten; Stripe zahlt den Kaufpreis an die verkaufende Person aus und erhält dafür deren Auszahlungsdaten direkt. Stripe kann Daten innerhalb der Stripe-Gruppe in die USA übermitteln; Grundlage sind Standardvertragsklauseln und das Data Privacy Framework. Über Stripe kannst du auch Zahlungsarten anderer Anbieter wählen; dann ist der jeweilige Anbieter für diese Zahlung eigener Verantwortlicher und erhält die dafür nötigen Daten: Klarna (Klarna Bank AB (publ), Schweden; bei Kauf auf Rechnung oder in Raten kann Klarna eine Bonitätsprüfung durchführen) auf der Website und in der App; nur in der App außerdem Amazon Pay (Amazon Payments Europe S.C.A., Luxemburg), Revolut Pay (Revolut Bank UAB, Litauen), Samsung Pay und Link (Stripe); Apple Pay und Google Pay als Wallets deines Geräts. Welche Zahlungsarten dir angeboten werden, siehst du vor der Bestellung in der Kasse. PayPal bieten wir derzeit nicht an.
• Versandabwicklung: Sendcloud B.V., Eindhoven, Niederlande — Auftragsverarbeiter, AVV vorhanden. Erhält für jede versendete Bestellung Namen und Lieferadresse des Käufers sowie Namen und Absenderadresse des Verkäufers, dazu E-Mail-Adresse und – falls hinterlegt – Telefonnummer des Käufers für Zustellbenachrichtigungen, um das Versandetikett zu erzeugen und die Sendung zu verfolgen. Sendcloud gibt diese Daten an den gewählten Versanddienstleister weiter.
• Versanddienstleister: DHL Paket GmbH, DPD Deutschland GmbH, United Parcel Service Deutschland S.à r.l. & Co. OHG (UPS) — eigene Verantwortliche. Erhalten die Adressdaten, die zur Zustellung erforderlich sind, sowie, soweit du sie angegeben hast, E-Mail-Adresse oder Telefonnummer für Zustellbenachrichtigungen.
• Anmeldung mit Apple oder Google (optional): Apple Distribution International Ltd. (Irland) beziehungsweise Google Ireland Ltd. (Irland) — eigene Verantwortliche. Wenn du „Mit Apple anmelden“ oder „Mit Google anmelden“ wählst, bestätigt der Anbieter deine Identität und übermittelt uns eine pseudonyme Kennung, deine E-Mail-Adresse (bei Apple auf Wunsch eine Weiterleitungsadresse, wenn du „E-Mail-Adresse verbergen“ wählst) und bei der ersten Anmeldung deinen Namen. Bei Apple speichern wir zusätzlich ein Token, mit dem wir die Verknüpfung widerrufen, wenn du dein Konto löschst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Apple und Google können Daten an ihre Muttergesellschaften in den USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• Absturz- und Fehlerberichte (nur App): Functional Software, Inc. (Sentry), USA — Auftragsverarbeiter. Verarbeitung in der EU-Region (Frankfurt am Main). Erhält bei einem Absturz oder Fehler einen Fehlerbericht sowie Stichproben zur Leistung der App mit Gerätemodell, Betriebssystem, App-Version und IP-Adresse. Es werden keine Bildschirmaufnahmen und keine Nutzerkennung übermittelt; personenbezogene Inhalte werden vor dem Versand herausgefiltert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen und sicheren App). Ein Zugriff aus den USA ist möglich; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• Push-Benachrichtigungen: Google Ireland Ltd. (Firebase Cloud Messaging), für Geräte von Apple zusätzlich Apple Distribution International Ltd. — Auftragsverarbeiter. Erhalten das Geräte-Token und den Nachrichteninhalt. Google kann Daten an Google LLC in die USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• E-Mail-Versand: Resend, Inc., USA — Auftragsverarbeiter. Wird für Bestell-, Konto- und Service-E-Mails sowie den Newsletter eingesetzt. Grundlage: Standardvertragsklauseln.
• Nutzungsanalyse (nur App, nur mit Einwilligung): PostHog, Inc., USA — Auftragsverarbeiter. Die Daten werden auf Servern in Frankfurt am Main verarbeitet (EU-Cloud). Ein Zugriff aus den USA ist zu Support-Zwecken möglich; Grundlage sind Standardvertragsklauseln und das Data Privacy Framework.
• Adressprüfung: Beim Eingeben einer Anschrift gleichen wir Postleitzahl, Ort und Straßenname von unserem Server aus mit dem öffentlichen Straßenverzeichnis der OpenPLZ API (openplzapi.org) ab, um Tippfehler zu erkennen. Dein Name wird dabei nicht übermittelt, und der Dienst sieht nicht deine, sondern unsere IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Prüfung der Umsatzsteuer-Identifikationsnummer: bei einem Antrag auf ein Händlerkonto das Prüfsystem VIES der Europäischen Kommission, das die Anfrage an die zuständige Steuerverwaltung weiterleitet; übermittelt wird nur die Nummer (Ziff. 3.22).
• Produktsuchmaschinen: Google Ireland Limited (Google Merchant Center / Google Shopping) — erhält die Angaben und Fotos veröffentlichter Anzeigen nach Ziff. 3.17, ohne Namen oder Benutzernamen.
• Werbekanäle (nur mit Einwilligung nach Ziff. 3.24): die Betreiber der Kanäle, auf denen wir Werbung mit Fotos aus Anzeigen veröffentlichen (zum Beispiel Meta Platforms Ireland Limited, TikTok Technology Limited, Google Ireland Limited), bei Flyern die Druckerei — eigene Verantwortliche. Erhalten nur die Fotos, ohne Namen oder Benutzernamen.
• Werbung und Erfolgsmessung bei Meta (nur mit Einwilligung): Meta Platforms Ireland Limited, Irland — auf der Website der Meta-Pixel nach Ziff. 3.19, in der App das Meta SDK nach Ziff. 3.20. Gemeinsam mit uns verantwortlich für Erhebung und Übermittlung, danach allein verantwortlich. Meta kann Daten an die Meta Platforms, Inc. in die USA übermitteln; Grundlage sind das Data Privacy Framework und Standardvertragsklauseln.
• KI-Bildanalyse (optional): Anthropic PBC, USA — Auftragsverarbeiter, über das AI-Gateway nach Ziff. 3.12. Einzelheiten in Ziff. 3.18. Grundlage: Standardvertragsklauseln (Modul 2), einbezogen über das Data Processing Addendum von Anthropic.
• Prüfung von Anzeigenfotos auf verbotene Artikel: Anthropic PBC, USA — Auftragsverarbeiter, über das AI-Gateway nach Ziff. 3.12, für jedes Foto jeder Anzeige, Fotos zu Bewertungen und Story-Beiträge, bei einem Video drei Standbilder daraus (Ziff. 3.15). Grundlage: Standardvertragsklauseln (Modul 2), einbezogen über das Data Processing Addendum von Anthropic.
• KI-Assistent (Hilfe-Chat): Anthropic PBC, USA — Auftragsverarbeiter. Erhält deine getippte Frage, bis zu sechs vorangegangene Gesprächsbeiträge, die herangezogenen Abschnitte unserer eigenen Dokumente und, nur bei Fragen zu einer konkreten Bestellung, eine Übersicht deiner eigenen Bestellungen und Preisvorschläge (Ziff. 3.12). Deine Eingaben werden nicht zum Training von Modellen verwendet. Wir speichern weder Frage noch Antwort. Grundlage: Standardvertragsklauseln (Modul 2), einbezogen über das Data Processing Addendum von Anthropic.
• SMS-Verifizierung: Setzen wir eine Telefonnummern-Verifizierung ein (§ 11a Abs. 6 AGB), erfolgt der Versand über einen SMS-Dienstleister, der die Telefonnummer und den Bestätigungscode erhält. Derzeit ist kein solcher Dienst aktiv; sobald wir einen einsetzen, nennen wir ihn an dieser Stelle vor der ersten Nutzung.

Hinweis zu Fotos: Standortdaten (EXIF/GPS) werden vor jeder Übertragung entfernt. Bitte achte trotzdem darauf, was im Bild zu sehen ist — Personen, Wohnräume oder Dokumente im Hintergrund werden mit übertragen. Bei einem Story-Video mit Ton gilt das auch für das, was zu hören ist.

5. Übermittlung in Drittländer

Einige der in Abschnitt 4 genannten Empfänger haben ihren Sitz in den USA oder können Daten dorthin übermitteln: Cloudflare, Google, Apple, Meta, Resend, PostHog, Sentry, Anthropic und innerhalb ihres Konzerns Stripe. Für jede dieser Übermittlungen besteht eine der folgenden Grundlagen: der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger dort zertifiziert ist, und ergänzend beziehungsweise ersatzweise die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914). Kopien der jeweiligen Vereinbarungen stellen wir auf Anfrage zur Verfügung.

Sendcloud (Niederlande), Stripe (Irland), Klarna (Schweden), Google Ireland, Meta Platforms Ireland und Apple Distribution International (Irland) verarbeiten innerhalb des EWR; Sentry und PostHog speichern in Frankfurt am Main. Über die in diesem Abschnitt genannten Empfänger hinaus finden keine Übermittlungen in Länder außerhalb des EWR statt. Sollte sich das ändern, nennen wir den Empfänger und die Grundlage an dieser Stelle, bevor die Übermittlung beginnt.

6. Speicherdauer

• Konto-Stammdaten: bis zur endgültigen Löschung des Kontos (Abschnitt 8)
• Gründe für eine Kontolöschung (Ziff. 3.2): mit der Löschanfrage; nach der endgültigen Löschung pseudonymisiert, höchstens 3 Jahre ab der Anfrage
• Bestell- und Zahlungsdaten, Rechnungen: 10 Jahre (§ 147 AO, § 257 HGB)
• PStTG-Meldedaten: 10 Jahre ab Ende des Meldejahres
• Server-Logs: 14 Tage, danach vollständige Löschung
• Besuchszählung der Website (Ziff. 3.1): nur Tagessummen ohne Personenbezug, 400 Tage
• Ob ein Besuch über Werbung kam (Ziff. 3.1): Hash-Wert des Netzes mit dem Weg 72 Stunden, Zufallswert höchstens 15 Tage; Merker gegen doppeltes Zählen 26 Stunden (je Netz und Tag) oder 30 Tage (je Konto oder Bestellung), jeweils ohne den Weg; Tagessummen ohne Personenbezug 400 Tage
• Zählung, wie viele Menschen Vesty gerade nutzen (Ziff. 3.1): Zähler je Minute 35 Minuten, Zufallswert höchstens 25 Stunden; IP-Adresse, User-Agent und Nutzer-ID werden dafür nicht gespeichert
• Zählung der Suchbegriffe (Ziff. 3.13): Zahlen je Begriff und Tag 90 Tage nach dem jeweiligen Tag; Hash-Wert gegen doppeltes Zählen 30 Minuten
• Login-Historie: 12 Monate; IP-Adresse und User-Agent im Sicherheitsprotokoll sowie die zuletzt verwendete Login-IP am Konto ebenfalls 12 Monate
• Bekannte Geräte (Ziff. 3.2): bis 90 Tage nach der letzten Nutzung des Geräts; Codes per E-Mail (als Hash-Wert): höchstens 24 Stunden
• Sicherheitsprotokoll (Audit-Log): 3 Jahre (ohne IP-Adresse und User-Agent nach Ablauf von 12 Monaten)
• Versandprotokolle von E-Mails und Benachrichtigungen sowie Nutzungsereignisse (Ziff. 3.7a): 12 Monate
• Angesehene Anzeigen (Ziff. 3.5): 180 Tage; „bereits gezeigt"-Speicher: 72 Stunden nach der letzten Anzeige
• Woher Anzeigen geöffnet werden (Ziff. 3.7): Tagessummen ohne Personenbezug, 60 Tage
• Suchverlauf (Ziff. 3.13): die letzten 10 Suchbegriffe, bis zur Löschung durch dich oder Konto-Löschung; was wir daraus für die Startseite ableiten (Ziff. 3.5): höchstens eine Stunde, ohne den Suchbegriff
• Suche mit Foto (Ziff. 3.25): dein Foto keine Speicherung; die daraus berechneten Bildmerkmale höchstens 10 Minuten im Arbeitsspeicher; Bildmerkmale der Anzeigenfotos, solange die Anzeige angeboten wird, danach höchstens einen Tag
• Gespeicherte Suchen (Ziff. 3.26): bis zur Löschung durch dich oder Konto-Löschung; eine Suche ohne Treffer, die 90 Tage nicht geöffnet wurde, automatisch nach 90 Tagen; der Vermerk, welche Anzeigen schon gepasst haben, so lange wie die Suche
• „Leider verkauft“ (Ziff. 3.6): der Vermerk, dass du zu einem Artikel schon benachrichtigt wurdest, 14 Tage; ein nachts gekaufter Artikel bis zur Zustellung um 8 Uhr
• Zuletzt angesehen (Ziff. 3.2): nur auf deinem Gerät, die letzten 20 Anzeigen, bis du die Liste löschst, dich abmeldest oder die App löschst
• Story-Leiste und „Folge ich" (Ziff. 3.5): welche Kreise du angesehen hast und dein letzter Besuch unter „Folge ich" nur auf deinem Gerät, bis du die App löschst; der Zeitpunkt deines letzten Besuchs wird von uns nicht gespeichert; Zählung des Kreises „Vesty" nur als Tagessummen ohne Personenbezug
• Geteilte Favoriten-Links (Ziff. 3.11): bis zum Löschen durch dich, sonst 90 Tage nach dem letzten Öffnen
• Sammlungen in den Favoriten (Ziff. 3.11): bis du sie löschst oder dein Konto löschst
• Gemerkte Pakete (Ziff. 3.3): bis du das Herz entfernst oder dein Konto löschst
• Story-Beiträge (Ziff. 3.3): Fotos und Videos, die du „nur für die Story" geteilt hast, bis zum Ende des Beitrags, höchstens 24 Stunden (gelöscht wird alle zehn Minuten); die Fassung eines Story-Videos für die Story (bis zu 30 Sekunden, gegebenenfalls mit deinem Ton) nach dem Ende des Beitrags, auch wenn du ihn vorher beendest, spätestens etwa eine Stunde nach Ablauf seiner 24 Stunden, ein Story-Video, das du am Ende nicht teilst, etwa 25 Stunden nach dem Hochladen; das Ergebnis der Prüfung des Tons mit dem Grund höchstens so lange wie diese Fassung, bei einem Beitrag „nur für die Story" die Angabe, ob er mit Ton lief, so lange wie die Angaben zum Beitrag; die Angaben zum Beitrag so lange wie die Anzeige; was in der Anzeige bleibt, wie Anzeigenfotos, ein Video dort ohne Ton
• Prüfung des Tons von Story-Videos (Ziff. 3.15): die dafür herausgelöste Tonspur nur während der Prüfung; der Text des Gesprochenen keine Speicherung
• Nachrichten: bis zur Konto-Löschung; Archivieren blendet eine Unterhaltung nur in deiner Liste aus und löscht nichts, mit der nächsten Nachricht erscheint sie wieder; bei der Konto-Löschung entfernen wir den Inhalt deiner Nachrichten und die Dateien der Fotos, die du geschickt hast, in der Unterhaltung der anderen Person bleibt nur der Hinweis „Nachricht gelöscht"
• Bewertungen: unbefristet, nach Kontolöschung pseudonymisiert (Ziff. 3.4); Fotos zu Bewertungen, bis du sie entfernst, die Bewertung zurücknimmst oder dein Konto löschst
• Bewertung von Vesty bei Trustpilot (Ziff. 3.2): die Angaben an deinem Konto bis zur Löschung des Kontos; Tagessummen ohne Personenbezug 400 Tage
• Antwortzeit (Ziff. 3.16): nur der aktuelle Wert, jede Nacht neu berechnet; spätestens einen Tag nach der Konto-Löschung entfernt
• Meldungen, Moderationsentscheidungen, Beschwerden: 3 Jahre ab Abschluss, nach Kontolöschung pseudonymisiert (Ziff. 3.9); der Zeitpunkt, zu dem du das Ergebnis deiner Meldung geöffnet hast, so lange wie die Meldung
• Bitten um Änderung einer Anzeige (Ziff. 3.9): solange die Anzeige bei uns gespeichert ist, auch nach dem Ende der Bitte; nach Kontolöschung pseudonymisiert; die Verknüpfung mit einer Meldung endet, wenn die Meldung gelöscht wird
• KI-Assistent (Ziff. 3.12): keine Speicherung von Fragen, Antworten oder Gesprächsverläufen; Bewertungen einer Antwort (Kennung + „hilfreich"/„nicht hilfreich", ggf. dein Kommentar) 3 Jahre im Sicherheitsprotokoll
• Cookie-Einwilligungsprotokoll: 3 Jahre
• Meta-Pixel (Ziff. 3.19): Cookies _fbp und _fbc 90 Tage, Einträge im Browser-Speicher bis zum Widerruf, jeweils in deinem Browser; bei Meta nach dessen Fristen
• Werbe-Messung in der App (Ziff. 3.20): Kennungen des Meta SDK auf deinem Gerät bis zum Widerruf oder bis zum Löschen der App; bei Meta nach dessen Fristen
• Newsletter- und Werbe-E-Mail-Anmeldung: für die Dauer des Abonnements und danach bis zu 3 Jahre zum Nachweis der Einwilligung
• Kontaktanfragen über das Kontaktformular (Ziff. 3.14): 730 Tage, außer wenn wir sie zur Verteidigung von Rechtsansprüchen länger aufbewahren müssen
• Nachweise zu Zustimmung und Altersbestätigung bei der Registrierung sowie zu Einwilligungen: für die Dauer des Nutzungsvertrags und danach 3 Jahre (regelmäßige Verjährungsfrist); danach löschen wir sie
• Profil- und Anzeigenfotos: bei der Konto-Löschung werden die Bilddateien gelöscht und aus dem Zwischenspeicher unseres CDN entfernt
• Widerrufserklärungen und Eingangsbestätigungen: wie Bestelldaten
• Händlerangaben (Ziff. 3.22): solange das Händlerkonto besteht; danach bewahren wir die Angaben, die § 22f UStG verlangt, zehn Jahre ab Ende des Jahres des jeweiligen Verkaufs auf und löschen den Rest mit deinem Konto. Ein Antrag, der nicht zu einem Händlerkonto geführt hat, bleibt bis zur Löschung deines Kontos gespeichert, damit du ihn korrigieren und erneut stellen kannst; auf Wunsch löschen wir ihn früher. Die Zustimmung zu den AGB bewahren wir wie die übrigen Nachweise zu Zustimmungen auf.
• Turnstile-Prüfung, Prüfungen der Registrierungssperren (Ziff. 3.15): keine Speicherung durch uns über die Prüfung hinaus
• Ergebnis der Prüfung eines Anzeigenfotos auf verbotene Artikel (Ziff. 3.15): 30 Tage; das Foto selbst wird dafür nicht zusätzlich gespeichert
• Hygieneprüfung (Ziff. 3.15): solange die Anzeige gespeichert ist; Maßnahmen, die daraus folgen, wie Moderationsentscheidungen
• Zwei-Faktor-Anmeldung (Ziff. 3.2): bis zum Ausschalten oder zur Konto-Löschung; die Sicherheits-E-Mails wie Versandprotokolle
• Mein Feed (Ziff. 3.23): bis zur Änderung durch dich oder zur Konto-Löschung
• Urlaubsmodus und ausgeblendete Anzeigen: solange sie laufen; Reservierungen mit der Anzeige, die Nachrichten dazu wie Nachrichten
• Kleiderschrank-Spotlight: mit deinem Konto; als Nachweis über eingesetzte Gutschriften bis zur Konto-Löschung

7. Cookies & Tracking

Wir setzen technisch notwendige Cookies ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Für Analyse- oder Marketing-Zwecke fragen wir vor dem Setzen deine ausdrückliche Einwilligung ein. Auf der Website setzen wir keine Analyse-Cookies ein. Marketing-Cookies setzt nur der Meta-Pixel (Ziff. 3.19), und nur mit deiner Einwilligung. Welche Cookies und Einträge im Browser-Speicher wir verwenden — auch die von Cloudflare und Stripe —, und wie du eine Einwilligung mit einem Klick widerrufst, steht in der Cookie-Richtlinie.

Empfehlungs-Attribution: Klickst du auf einer gültigen Einladungs-Seite (vesty-shop.com/i/) auf „Jetzt registrieren", setzen wir einen Cookie namens vesty_ref mit einer Lebensdauer von 30 Tagen. Das bloße Aufrufen der Seite setzt keinen Cookie. Der Cookie speichert ausschließlich den Einladungs-Code; er ist erforderlich, damit die von dir gewünschte Registrierung über die Einladung zugeordnet wird — davon hängen die für Eingeladene reservierten Founding-Member-Plätze und die Belohnung der einladenden Person ab (§ 25 Abs. 2 Nr. 2 TDDDG). Registrierst du dich nicht innerhalb von 30 Tagen, wird der Cookie automatisch gelöscht. Bei der Registrierung erfassen wir zur Missbrauchsprävention zusätzlich IP-Adresse und User-Agent (Art. 6 Abs. 1 lit. f DSGVO — Schutz vor Mehrfach-Konten und Bot-Registrierungen).

Telefonnummer: Gibst du eine Telefonnummer an, speichern wir sie in normalisierter E.164-Form; im Admin-Bereich sind standardmäßig nur die letzten vier Ziffern sichtbar. Sie wird auf Wunsch gelöscht, sobald sie für die Missbrauchsprävention nicht mehr erforderlich ist (üblicherweise 12 Monate nach Konto-Löschung).

8. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) — formlos an uns oder als Datenexport selbst: auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz", in der App unter Profil → „Deine Daten" → „Daten exportieren"; der Export wird automatisch erstellt und dir per E-Mail bereitgestellt
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) — formlos an datenschutz@vesty-shop.com, auch für einzelne Daten. Möchtest du dein ganzes Konto löschen — das ist zugleich die Kündigung des Nutzungsvertrags (§ 11 Abs. 1 AGB) —, kannst du das selbst: auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz", in der App unter Profil → „Konto löschen". Ablauf: Nach deiner Anforderung wird das Konto sofort deaktiviert und nach einer Karenzfrist von 30 Tagen endgültig gelöscht; innerhalb dieser Frist kannst du die Löschung über den Link in der Bestätigungs-E-Mail widerrufen. Bei der endgültigen Löschung werden deine Stammdaten gelöscht und alles, was wir aus gesetzlichen Gründen aufbewahren müssen (Abschnitt 6), von deiner Person getrennt (pseudonymisiert). Dein PostHog-Profil wird dabei ebenfalls gelöscht.
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — der Datenexport liegt in einem maschinenlesbaren Format vor
• Widerspruch (Art. 21 DSGVO) — gegen jede Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, insbesondere gegen die Personalisierung nach Ziff. 3.5 (auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz", in der App unter „Personalisierte Startseite") und gegen die Verarbeitung durch den KI-Assistenten nach Ziff. 3.12
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — in der App unter Profil → „Privatsphäre & Sicherheit" → „Einwilligungen verwalten", auf der Website unter Mein Konto → „Einstellungen" → „Datenschutz" (KI-Bildanalyse, Ort bei Anzeigen, Fotos in Vesty-Werbung), für Werbe-E-Mails über den Abmeldelink, für Cookies über Cookie-Einstellungen
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

Für datenschutzrechtliche Anfragen kannst du dich direkt an datenschutz@vesty-shop.com wenden oder unser Kontaktformular nutzen.

9. Plattformen-Steuertransparenzgesetz (PStTG)

Wir sind als Marktplatzbetreiber nach dem PStTG verpflichtet, bestimmte Daten deiner Verkäufe an das Bundeszentralamt für Steuern zu melden, sobald du innerhalb eines Kalenderjahres 30 oder mehr Verkäufe oder 2000,00 € oder mehr Umsatz erzielst. Vor der ersten Meldung informieren wir dich, und bis zum 31. Januar des Folgejahres teilen wir dir mit, welche Daten wir gemeldet haben (§ 22 PStTG) — per E-Mail und in deinem Konto.

10. Sicherheit

Wir verwenden TLS-Verschlüsselung, Argon2id für Passwörter, AES-256-GCM für sensible Daten (Steuer-Identifikationsnummer und Geburtsdatum nach dem PStTG sowie Schlüssel für die Zwei-Faktor-Anmeldung), Rate Limiting, eine Web Application Firewall und regelmäßige Sicherheitsupdates.

11. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert oder neue gesetzliche Anforderungen bestehen — insbesondere bevor ein neuer Empfänger Daten erhält. Die jeweils aktuelle Fassung mit Datum findest du auf dieser Seite.