Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlicher im Sinne der DSGVO: Spooly Tobias Terzer Bertha-von-Suttner-Gasse 8/1/57 1220 Wien, Österreich E-Mail: support@spooly.eu Website: https://spooly.eu Da wir weniger als 20 Mitarbeiter beschäftigen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, ist die Bestellung eines Datenschutzbeauftragten nicht erforderlich. Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Übersicht der Verarbeitungen

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie unsere Website besuchen oder unsere Dienste nutzen.

3. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage folgender Rechtsgrundlagen gemäß DSGVO:

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z.B. Newsletter, optionale Funktionen)
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Bereitstellung des Spooly-Dienstes, Abwicklung von Zahlungen)
• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung (steuerrechtliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen (Sicherheit, Betrugsprävention, Analyse zur Verbesserung)

4. Welche Daten werden erfasst?

Bei der Nutzung von Spooly erfassen wir folgende Kategorien personenbezogener Daten:

5. Speicherdauer und Löschung

Wir speichern Ihre Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:

• Kontodaten: Bis zur Löschung Ihres Kontos
• Nutzungsdaten (Filamente, Drucke): Bis zur Löschung Ihres Kontos
• Rechnungsdaten: 10 Jahre (gesetzliche Aufbewahrungspflicht)
• Server-Logs: Maximal 30 Tage
• Bambu Lab Token: Bis zur Deaktivierung der Integration oder Kontolöschung
• Prusa Connect Token: Bis zur Deaktivierung der Integration oder Kontolöschung
• Klipper Bridge API-Key: Bis zur Deaktivierung der Integration oder Kontolöschung
• KI-verarbeitete Fotos: Werden bei Spooly NICHT gespeichert. OpenAI kann Daten gemäß API-Nutzungsbedingungen bis zu 30 Tage zur Missbrauchserkennung speichern und löscht sie danach automatisch
• Push-Token (FCM/Web Push): Bis zur Deaktivierung der Benachrichtigungen oder Kontolöschung
• Login-Versuche: Maximal 15 Minuten nach letztem fehlgeschlagenem Versuch (für Account-Lockout)
• Missbrauchsprävention (nicht-umkehrbarer E-Mail-Hash): Dauerhaft (enthält keine personenbezogenen Daten)

Nach der Löschung Ihres Kontos werden alle personenbezogenen Daten innerhalb von 30 Tagen vollständig aus unseren Systemen entfernt, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

6. Empfänger und Auftragsverarbeiter

Wir geben Ihre Daten nur an Dritte weiter, wenn dies zur Vertragserfüllung erforderlich ist oder Sie eingewilligt haben. Folgende Dienstleister verarbeiten Daten in unserem Auftrag:

7. Drittlandübermittlung

Einige unserer Dienstleister haben ihren Sitz in den USA. Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Diese gewährleisten ein angemessenes Datenschutzniveau.

Sie können eine Kopie der Standardvertragsklauseln bei uns anfordern.

8. Bambu Lab Integration (Detailliert)

Die Bambu Lab Integration ist eine optionale Funktion, die Sie aktiv aktivieren müssen. Hier erläutern wir transparent, welche Daten verarbeitet werden und wie wir diese schützen.

8.1 Welche Daten werden bei der Bambu Lab Integration verarbeitet?

8.2 Was wird NICHT gespeichert?

Wir legen großen Wert auf Ihre Sicherheit. Folgende sensible Daten werden NIEMALS gespeichert:

• Ihr Bambu Lab Passwort - wird nur einmalig zur Token-Generierung an Bambu Lab übermittelt
• Ihre 2-Faktor-Authentifizierungs-Codes
• Live-Druckdaten oder Kamera-Feeds
• Ihre vollständige Druckhistorie - nur explizit importierte Drucke
• Persönliche Daten aus Ihrem Bambu Lab Profil

8.3 Wie schützen wir Ihre Bambu Lab Zugangsdaten?

Der Access Token (Zugriffsschlüssel) wird mit modernster Verschlüsselung geschützt:

• AES-256 Verschlüsselung (Fernet/symmetric encryption)
• Der Verschlüsselungsschlüssel ist serverseitig gesichert und nicht in der Datenbank gespeichert
• Selbst bei einem hypothetischen Datenbankzugriff wären die Tokens nicht lesbar
• Tokens werden automatisch bei der Deaktivierung der Integration gelöscht

8.4 Kommunikation mit Bambu Lab Servern

Wenn Sie die Integration nutzen, kommuniziert Spooly direkt mit den offiziellen Bambu Lab API-Servern:

• Alle Verbindungen erfolgen über HTTPS (TLS-verschlüsselt)
• Wir nutzen ausschließlich die offizielle Bambu Lab Cloud API
• Ihre Drucker werden NICHT direkt angesprochen (keine lokale Netzwerk-Verbindung)
• API-Aufrufe erfolgen nur auf Ihre explizite Anfrage (z.B. beim Import von Drucken)

8.5 Ihre Kontrollmöglichkeiten

Sie haben jederzeit die volle Kontrolle über die Bambu Lab Integration:

• Aktivierung: Die Integration muss aktiv von Ihnen eingerichtet werden
• Deaktivierung: Jederzeit in den Einstellungen möglich - alle gespeicherten Tokens werden sofort gelöscht
• Datenimport: Sie entscheiden einzeln, welche Drucke importiert werden
• Kontolöschung: Bei Löschung Ihres Spooly-Kontos werden alle Bambu Lab Daten unwiderruflich entfernt

8.6 Rechtsgrundlage für die Bambu Lab Integration

Die Verarbeitung Ihrer Bambu Lab Daten erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Diese Einwilligung erteilen Sie durch die aktive Einrichtung der Integration in den Einstellungen.

Sie können diese Einwilligung jederzeit widerrufen, indem Sie die Integration deaktivieren. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

8.7 Prusa Connect Integration

Die Prusa Connect Integration ist eine optionale Funktion, die Sie aktiv aktivieren müssen. Sie ermöglicht den Import von Druckaufträgen von Ihren Prusa-Druckern.

• Authentifizierung: OAuth2 PKCE-Flow über Prusa Account Server (account.prusa3d.com). Ihr Passwort wird NICHT bei uns gespeichert.
• Access Token: Verschlüsselt gespeichert (AES-256), kann jederzeit durch Deaktivierung gelöscht werden.
• Druckhistorie: Abgeschlossene Druckaufträge mit Dateiname, Dauer, Gewicht, Filament-Typ.
• MMU3-Daten: Bei Multi-Material-Drucken werden Slot-Zuordnungen und Farb-Informationen verarbeitet.
• Drucker-Informationen: Name, Modell, Status, Firmware-Version Ihrer registrierten Drucker.
• Vorschaubilder: Thumbnails der Druckdateien werden von Prusa Connect heruntergeladen.

Rechtsgrundlage: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit widerrufen, indem Sie die Integration in den Einstellungen deaktivieren.

8.8 Klipper/Moonraker Bridge Integration

Die Spooly Bridge ist eine optionale Software, die Sie auf Ihrem lokalen Drucker (z.B. Snapmaker, Voron, Ender mit Klipper) installieren können. Sie ermöglicht den automatischen Import von Druckaufträgen.

• API-Key: Ein eindeutiger Zugriffsschlüssel wird generiert und als SHA-256 Hash in unserer Datenbank gespeichert. Der Klartext-Key verbleibt nur auf Ihrem Gerät.
• Druckhistorie: Abgeschlossene Jobs mit Dateiname, Dauer, Filament-Verbrauch werden automatisch übermittelt.
• G-Code-Metadaten: Material-Typ, Farbe, Druckparameter aus dem G-Code werden für die automatische Filament-Zuordnung verwendet.
• Thumbnails: Vorschaubilder der Druckdateien werden übertragen.
• Drucker-Informationen: Hostname, Firmware-Version, Online-Status.
• Diagnose-Daten (optional): Nur wenn in den Einstellungen aktiviert, werden erweiterte G-Code-Metadaten zur Analyse gespeichert.

Die Bridge kommuniziert ausschließlich mit Spooly-Servern über HTTPS. Es werden KEINE Daten an Drittanbieter weitergegeben. Rechtsgrundlage: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

8.9 KI-gestützte Funktionen (OpenAI, Google Gemini)

Spooly nutzt KI-Dienste für zwei optionale Funktionen:

• Foto-Import (OpenAI GPT-4o): Wenn Sie ein Foto einer Filamentspule hochladen, wird das Bild an die OpenAI API gesendet, um Hersteller, Material, Farbe und andere Informationen zu extrahieren. Spooly speichert das Bild nicht. OpenAI kann übermittelte Bilddaten gemäß ihrer API-Nutzungsbedingungen bis zu 30 Tage zur Missbrauchserkennung speichern und löscht sie danach automatisch. Die Daten werden NICHT zum Training der OpenAI-Modelle verwendet.
• Automatische Übersetzungen (Google Gemini): Blog-Artikel und Changelog-Einträge werden automatisch zwischen Deutsch und Englisch übersetzt. Hierbei werden nur redaktionelle Texte verarbeitet, KEINE Benutzerdaten.

Rechtsgrundlage: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO (Foto-Import wird aktiv vom Nutzer ausgelöst). Die Übersetzungsfunktion verarbeitet keine personenbezogenen Daten.

8.10 Feedback-System (Trello)

Wenn Sie über die In-App-Feedback-Funktion eine Nachricht senden, wird diese an unser Trello-Board (Atlassian) übermittelt. Dabei werden folgende Daten verarbeitet:

• Ihr Feedback-Text
• Kategorie (Bug, Verbesserung, Frage)
• Ihre E-Mail-Adresse (falls Sie eine Rückmeldung wünschen)
• Optional: Screenshots

Rechtsgrundlage: Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO (Produktverbesserung). Die Angabe der E-Mail-Adresse ist freiwillig.

8.11 Hosting-Infrastruktur

Spooly wird auf Servern der Hetzner Online GmbH in Deutschland gehostet. Hetzner verarbeitet als technischer Dienstleister die im Rahmen des Hostings anfallenden Daten (IP-Adressen, Server-Logs) gemäß den geltenden Datenschutzbestimmungen.

Standort: Hetzner Rechenzentrum in Deutschland (EU). Auftragsverarbeitungsvertrag (AVV) liegt vor.

9. Werbung (Google AdSense)

Für Nutzer ohne kostenpflichtiges Pro-Abonnement ("Free-Nutzer") zeigen wir personalisierte Werbeanzeigen über Google AdSense an. Pro-Nutzer sehen KEINE Werbung.

Google AdSense verwendet Cookies und ähnliche Technologien, um relevante Werbung anzuzeigen und die Werbeleistung zu messen.

9.1 Welche Daten verarbeitet Google AdSense?

Bei der Anzeige von Werbung werden folgende Daten von Google verarbeitet:

• IP-Adresse (wird zur Standortbestimmung verwendet)
• Geräte- und Browserinformationen
• Besuchte Websites und Interaktionen mit Anzeigen
• Interessen und demografische Merkmale (abgeleitet aus dem Surfverhalten)

9.2 Rechtsgrundlage für Werbung

Die Verarbeitung personenbezogener Daten für Werbezwecke erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Beim ersten Besuch werden Sie um Ihre Zustimmung zur Nutzung von Werbecookies gebeten. Sie können diese Einwilligung jederzeit widerrufen.

9.3 Werbung deaktivieren

Sie haben mehrere Möglichkeiten, personalisierte Werbung zu deaktivieren:

• Upgrade auf Pro-Abonnement: Pro-Nutzer sehen keine Werbung
• Google Ads-Einstellungen: https://adssettings.google.com
• Cookie-Einstellungen: Sie können Cookies in Ihrem Browser blockieren oder löschen
• NAI Opt-Out: https://optout.networkadvertising.org
• YourAdChoices: https://optout.aboutads.info

9.4 Meta Pixel (Facebook Pixel)

Wir verwenden das Meta Pixel (ehemals Facebook Pixel) von Meta Platforms Ireland Limited, um die Wirksamkeit unserer Werbeanzeigen auf Meta-Plattformen (Facebook, Instagram) zu messen und unsere Zielgruppen zu optimieren.

9.5 Welche Daten verarbeitet das Meta Pixel?

Das Meta Pixel erfasst folgende Ereignisse und Daten:

• Seitenaufrufe (PageView)
• Abgeschlossene Registrierungen (CompleteRegistration)
• Begonnene Testphasen (StartTrial)
• Eingeleitete Kaufvorgänge (InitiateCheckout)
• Abgeschlossene Käufe inkl. Betrag und Währung (Purchase)
• Hinzufügen von Filament (Lead)

Dabei können technische Daten wie IP-Adresse, Browser-Typ, Betriebssystem und Referrer-URL an Meta übermittelt werden. Meta kann diese Daten mit Ihrem Meta-Konto verknüpfen, falls Sie dort angemeldet sind.

9.6 Rechtsgrundlage für Meta Pixel

Die Nutzung des Meta Pixels erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Sie über unser Cookie-Banner erteilen können.

9.7 Meta Pixel deaktivieren

Sie können das Tracking durch das Meta Pixel wie folgt unterbinden:

• Cookie-Einstellungen in unserem Cookie-Banner anpassen
• Facebook-Werbeeinstellungen: https://www.facebook.com/adpreferences/ad_settings
• Browser-Add-on zur Deaktivierung: https://www.facebook.com/help/568137493302217

10. Affiliate-Links und Partner-Programme

Spooly verwendet Affiliate-Links zu verschiedenen Online-Shops. Wenn Sie auf einen Affiliate-Link klicken und einen Kauf tätigen, erhalten wir eine kleine Provision vom jeweiligen Partner. Für Sie entstehen dabei KEINE Mehrkosten.

10.1 Unsere Affiliate-Partner

Wir arbeiten mit folgenden Partnern zusammen:

10.2 Welche Daten werden bei Affiliate-Links verarbeitet?

Wenn Sie auf einen Affiliate-Link klicken, werden folgende Daten verarbeitet:

• Klick-Zeitpunkt und Quelle (z.B. Filament-Detailseite, Statistik)
• Filament-Informationen (Hersteller, Typ) - NICHT Ihre persönlichen Daten
• Partner-Zuordnung (Amazon, Sunlu oder Prusa)

Diese Daten dienen ausschließlich der Analyse, welche Affiliate-Partner genutzt werden. Wir speichern NICHT, welcher Nutzer welchen Link geklickt hat.

10.3 Rechtsgrundlage für Affiliate-Links

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO (Finanzierung des kostenlosen Dienstes).

Pro-Nutzer können die Affiliate-Hinweise in den Einstellungen deaktivieren. Die Links bleiben funktional, aber die visuellen Hinweise werden ausgeblendet.

10.4 Transparenz

Alle Affiliate-Links sind als solche gekennzeichnet (*Affiliate). Wir empfehlen nur Produkte und Shops, die wir für seriös halten. Die Affiliate-Provision beeinflusst NICHT unsere Produktempfehlungen.

11. Cookies und Speichertechnologien

Spooly verwendet technisch notwendige Cookies sowie (für Free-Nutzer) Werbecookies:

Pro-Nutzer: Es werden KEINE Werbe-Cookies gesetzt, da keine Werbung angezeigt wird.

12. Ihre Rechte nach DSGVO

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können eine Bestätigung verlangen, ob wir Daten über Sie verarbeiten, sowie Auskunft über diese Daten.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen ("Recht auf Vergessenwerden").
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Umständen die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit widerrufen.

13. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde einzureichen (Art. 77 DSGVO).

Zuständige Aufsichtsbehörde in Österreich: Österreichische Datenschutzbehörde Barichgasse 40-42 1030 Wien Telefon: +43 1 52 152-0 E-Mail: dsb@dsb.gv.at Website: www.dsb.gv.at

14. Automatisierte Entscheidungsfindung

Wir verwenden KEINE automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO, die rechtliche oder ähnlich erhebliche Auswirkungen auf Sie hätte.

15. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

• SSL/TLS-Verschlüsselung für alle Datenübertragungen
• RSA-Verschlüsselung (2048-bit) für sensible Anmeldedaten während der Übertragung
• Verschlüsselte Speicherung von Passwörtern (bcrypt mit 12 Runden)
• Verschlüsselte Speicherung von Drittanbieter-Tokens (AES-256 Fernet)
• Temporäre Schlüsselpaare für Credential-Übertragung (stündliche Rotation)
• Regelmäßige Sicherheitsupdates
• Zugriffsbeschränkungen nach dem Prinzip der minimalen Rechte
• Datenbank-Hosting in EU-Rechenzentren

15.1 Ende-zu-Ende-Verschlüsselung bei der Anmeldung

Bei der Registrierung und Anmeldung werden Ihre Zugangsdaten (E-Mail, Passwort) vor der Übertragung an unseren Server clientseitig mit RSA-2048 verschlüsselt. Dies stellt sicher, dass selbst bei einem kompromittierten Netzwerk Ihre Passwörter nicht abgefangen werden können.

Die Verschlüsselungsschlüssel werden stündlich automatisch erneuert, um maximale Sicherheit zu gewährleisten.

16. Kontolöschung

Sie können Ihr Konto und alle damit verbundenen Daten jederzeit löschen:

• Über die Kontoeinstellungen in der App
• Per E-Mail an support@spooly.eu

Nach der Löschung werden alle Ihre personenbezogenen Daten unwiderruflich entfernt. Eine Wiederherstellung ist nicht möglich.

Zur Prävention von Missbrauch unserer kostenlosen Testphase (berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO) speichern wir nach der Kontolöschung einen kryptografisch nicht umkehrbaren Hash-Wert (SHA-256 mit serverseitigem Salt) Ihrer E-Mail-Adresse. Dieser Hash erlaubt keinerlei Rückschlüsse auf Ihre E-Mail-Adresse oder andere personenbezogene Daten und dient ausschließlich dazu, die erneute Inanspruchnahme der Testphase mit derselben E-Mail-Adresse zu verhindern.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Version ist stets auf unserer Website einsehbar.

Bei wesentlichen Änderungen werden wir Sie per E-Mail informieren.

18. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter: E-Mail: support@spooly.eu Wir werden Ihre Anfrage schnellstmöglich, spätestens innerhalb eines Monats, beantworten.