Datenschutzerklärung

1. Verantwortlicher und Datenschutzbeauftragter

Verantwortlicher im Sinne der DSGVO: Spooly Tobias Terzer Bertha-von-Suttner-Gasse 8/1/57 1220 Wien, Österreich E-Mail: support@spooly.eu Website: https://spooly.eu Da wir weniger als 20 Mitarbeiter beschäftigen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, ist die Bestellung eines Datenschutzbeauftragten nicht erforderlich. Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Übersicht der Verarbeitungen

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie unsere Website besuchen oder unsere Dienste nutzen.

3. Rechtsgrundlagen der Verarbeitung

Wir verarbeiten Ihre personenbezogenen Daten auf Grundlage folgender Rechtsgrundlagen gemäß DSGVO:

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung (z.B. Newsletter, optionale Funktionen)
• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung (Bereitstellung des Spooly-Dienstes, Abwicklung von Zahlungen)
• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung (steuerrechtliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen (Sicherheit, Betrugsprävention, Analyse zur Verbesserung)

4. Welche Daten werden erfasst?

Bei der Nutzung von Spooly erfassen wir folgende Kategorien personenbezogener Daten:

5. Speicherdauer und Löschung

Wir speichern Ihre Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:

• Kontodaten: Bis zur Löschung Ihres Kontos
• Nutzungsdaten (Filamente, Drucke): Bis zur Löschung Ihres Kontos
• Rechnungsdaten: 10 Jahre (gesetzliche Aufbewahrungspflicht)
• Server-Logs: Maximal 30 Tage
• Bambu Lab Token: Bis zur Deaktivierung der Integration oder Kontolöschung
• Prusa Connect Token: Bis zur Deaktivierung der Integration oder Kontolöschung
• Klipper Bridge API-Key: Bis zur Deaktivierung der Integration oder Kontolöschung
• KI-verarbeitete Fotos: Werden bei Spooly NICHT gespeichert. OpenAI kann Daten gemäß API-Nutzungsbedingungen bis zu 30 Tage zur Missbrauchserkennung speichern und löscht sie danach automatisch
• Push-Token (FCM/Web Push): Bis zur Deaktivierung der Benachrichtigungen oder Kontolöschung
• Login-Versuche: Maximal 15 Minuten nach letztem fehlgeschlagenem Versuch (für Account-Lockout)
• Missbrauchsprävention (pseudonymisierter E-Mail-Hash): 12 Monate nach Kontolöschung, danach automatische Löschung
• PostHog-Analysedaten (nur mit Einwilligung „Analyse"): Ereignisse bis zu 7 Jahre, Session-Replays 30 Tage

Nach der Löschung Ihres Kontos werden alle personenbezogenen Daten innerhalb von 30 Tagen vollständig aus unseren Systemen entfernt, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

6. Empfänger und Auftragsverarbeiter

Wir geben Ihre Daten nur an Dritte weiter, wenn dies zur Vertragserfüllung erforderlich ist oder Sie eingewilligt haben. Folgende Dienstleister verarbeiten Daten in unserem Auftrag:

7. Drittlandübermittlung

Einige unserer Dienstleister haben ihren Sitz in den USA. Die Übermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO. Diese gewährleisten ein angemessenes Datenschutzniveau.

Sie können eine Kopie der Standardvertragsklauseln bei uns anfordern.

8. Bambu Lab Integration (Detailliert)

Die Bambu Lab Integration ist eine optionale Funktion, die Sie aktiv aktivieren müssen. Hier erläutern wir transparent, welche Daten verarbeitet werden und wie wir diese schützen.

8.1 Welche Daten werden bei der Bambu Lab Integration verarbeitet?

8.2 Was wird NICHT gespeichert?

Wir legen großen Wert auf Ihre Sicherheit. Folgende sensible Daten werden NIEMALS gespeichert:

• Ihr Bambu Lab Passwort - wird nur einmalig zur Token-Generierung an Bambu Lab übermittelt
• Ihre 2-Faktor-Authentifizierungs-Codes
• Live-Druckdaten oder Kamera-Feeds
• Ihre vollständige Druckhistorie - nur explizit importierte Drucke
• Persönliche Daten aus Ihrem Bambu Lab Profil

8.3 Wie schützen wir Ihre Bambu Lab Zugangsdaten?

Der Access Token (Zugriffsschlüssel) wird mit modernster Verschlüsselung geschützt:

• AES-256 Verschlüsselung (Fernet/symmetric encryption)
• Der Verschlüsselungsschlüssel ist serverseitig gesichert und nicht in der Datenbank gespeichert
• Selbst bei einem hypothetischen Datenbankzugriff wären die Tokens nicht lesbar
• Tokens werden automatisch bei der Deaktivierung der Integration gelöscht

8.4 Kommunikation mit Bambu Lab Servern

Wenn Sie die Integration nutzen, kommuniziert Spooly direkt mit den offiziellen Bambu Lab API-Servern:

• Alle Verbindungen erfolgen über HTTPS (TLS-verschlüsselt)
• Wir nutzen ausschließlich die offizielle Bambu Lab Cloud API
• Ihre Drucker werden NICHT direkt angesprochen (keine lokale Netzwerk-Verbindung)
• API-Aufrufe erfolgen nur auf Ihre explizite Anfrage (z.B. beim Import von Drucken)

8.5 Ihre Kontrollmöglichkeiten

Sie haben jederzeit die volle Kontrolle über die Bambu Lab Integration:

• Aktivierung: Die Integration muss aktiv von Ihnen eingerichtet werden
• Deaktivierung: Jederzeit in den Einstellungen möglich - alle gespeicherten Tokens werden sofort gelöscht
• Datenimport: Sie entscheiden einzeln, welche Drucke importiert werden
• Kontolöschung: Bei Löschung Ihres Spooly-Kontos werden alle Bambu Lab Daten unwiderruflich entfernt

8.6 Rechtsgrundlage für die Bambu Lab Integration

Die Verarbeitung Ihrer Bambu Lab Daten erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Diese Einwilligung erteilen Sie durch die aktive Einrichtung der Integration in den Einstellungen.

Sie können diese Einwilligung jederzeit widerrufen, indem Sie die Integration deaktivieren. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

8.7 Prusa Connect Integration

Die Prusa Connect Integration ist eine optionale Funktion, die Sie aktiv aktivieren müssen. Sie ermöglicht den Import von Druckaufträgen von Ihren Prusa-Druckern.

• Authentifizierung: OAuth2 PKCE-Flow über Prusa Account Server (account.prusa3d.com). Ihr Passwort wird NICHT bei uns gespeichert.
• Access Token: Verschlüsselt gespeichert (AES-256), kann jederzeit durch Deaktivierung gelöscht werden.
• Druckhistorie: Abgeschlossene Druckaufträge mit Dateiname, Dauer, Gewicht, Filament-Typ.
• MMU3-Daten: Bei Multi-Material-Drucken werden Slot-Zuordnungen und Farb-Informationen verarbeitet.
• Drucker-Informationen: Name, Modell, Status, Firmware-Version Ihrer registrierten Drucker.
• Vorschaubilder: Thumbnails der Druckdateien werden von Prusa Connect heruntergeladen.

Rechtsgrundlage: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit widerrufen, indem Sie die Integration in den Einstellungen deaktivieren.

8.8 Klipper/Moonraker Bridge Integration

Die Spooly Bridge ist eine optionale Software, die Sie auf Ihrem lokalen Drucker (z.B. Snapmaker, Voron, Ender mit Klipper) installieren können. Sie ermöglicht den automatischen Import von Druckaufträgen.

• API-Key: Ein eindeutiger Zugriffsschlüssel wird generiert und als SHA-256 Hash in unserer Datenbank gespeichert. Der Klartext-Key verbleibt nur auf Ihrem Gerät.
• Druckhistorie: Abgeschlossene Jobs mit Dateiname, Dauer, Filament-Verbrauch werden automatisch übermittelt.
• G-Code-Metadaten: Material-Typ, Farbe, Druckparameter aus dem G-Code werden für die automatische Filament-Zuordnung verwendet.
• Thumbnails: Vorschaubilder der Druckdateien werden übertragen.
• Drucker-Informationen: Hostname, Firmware-Version, Online-Status.
• Diagnose-Daten (optional): Nur wenn in den Einstellungen aktiviert, werden erweiterte G-Code-Metadaten zur Analyse gespeichert.

Die Bridge kommuniziert ausschließlich mit Spooly-Servern über HTTPS. Es werden KEINE Daten an Drittanbieter weitergegeben. Rechtsgrundlage: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

8.9 KI-gestützte Funktionen (OpenAI, Google Gemini)

Spooly nutzt KI-Dienste für zwei optionale Funktionen:

• Foto-Import (OpenAI GPT-4o): Wenn Sie ein Foto einer Filamentspule hochladen, wird das Bild an die OpenAI API gesendet, um Hersteller, Material, Farbe und andere Informationen zu extrahieren. Spooly speichert das Bild nicht. OpenAI kann übermittelte Bilddaten gemäß ihrer API-Nutzungsbedingungen bis zu 30 Tage zur Missbrauchserkennung speichern und löscht sie danach automatisch. Die Daten werden NICHT zum Training der OpenAI-Modelle verwendet.
• Automatische Übersetzungen (Google Gemini): Blog-Artikel und Changelog-Einträge werden automatisch zwischen Deutsch und Englisch übersetzt. Hierbei werden nur redaktionelle Texte verarbeitet, KEINE Benutzerdaten.

Rechtsgrundlage: Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO (Foto-Import wird aktiv vom Nutzer ausgelöst). Die Übersetzungsfunktion verarbeitet keine personenbezogenen Daten.

8.10 Feedback-System (Trello)

Wenn Sie über die In-App-Feedback-Funktion eine Nachricht senden, wird diese an unser Trello-Board (Atlassian) übermittelt. Dabei werden folgende Daten verarbeitet:

• Ihr Feedback-Text
• Kategorie (Bug, Verbesserung, Frage)
• Ihre E-Mail-Adresse (falls Sie eine Rückmeldung wünschen)
• Optional: Screenshots

Rechtsgrundlage: Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO (Produktverbesserung). Die Angabe der E-Mail-Adresse ist freiwillig.

8.11 Hosting-Infrastruktur

Spooly wird auf Servern der Hetzner Online GmbH in Deutschland gehostet. Hetzner verarbeitet als technischer Dienstleister die im Rahmen des Hostings anfallenden Daten (IP-Adressen, Server-Logs) gemäß den geltenden Datenschutzbestimmungen.

Standort: Hetzner Rechenzentrum in Deutschland (EU). Auftragsverarbeitungsvertrag (AVV) liegt vor.

8.12 Reichweitenmessung (Umami, selbst gehostet)

Zur Verbesserung von Spooly nutzen wir die Open-Source-Analysesoftware Umami. Umami läuft vollständig auf unseren eigenen Servern in Deutschland (siehe 8.11), es werden keine Daten an Dritte übertragen.

Umami arbeitet ohne Cookies und ohne geräteübergreifendes Tracking. Erfasst werden ausschließlich anonymisierte Nutzungsdaten: aufgerufene Seiten, Referrer (von welcher Seite Sie kamen), Browsertyp, Gerätekategorie, Land sowie anonyme Ereignisse (zum Beispiel, welcher Schritt der Einrichtung abgeschlossen wurde). IP-Adressen werden nicht gespeichert; ein Rückschluss auf einzelne Personen ist nicht möglich.

Rechtsgrundlage ist unser berechtigtes Interesse an der Analyse und Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Da keine Cookies gesetzt und keine personenbezogenen Daten verarbeitet werden, ist keine Einwilligung erforderlich.

In der Web-App zeichnen wir bei einem Teil der Sitzungen den Bedienablauf auf (Session Replay): Klicks, Scrollbewegungen und Seitenwechsel. Aus diesen Aufzeichnungen erstellen wir zusätzlich aggregierte Klick- und Scroll-Übersichten (Heatmaps), die keine Rückschlüsse auf einzelne Personen zulassen. Sämtliche Eingaben in Formularfelder (etwa E-Mail-Adresse oder Passwort) werden dabei technisch maskiert und nicht übertragen. Eine Aufzeichnung endet spätestens nach 5 Minuten, verbleibt auf unseren eigenen Servern in Deutschland und wird nach 30 Tagen automatisch gelöscht. In den nativen Apps (iOS/Android) findet keine Aufzeichnung statt. Rechtsgrundlage ist unser berechtigtes Interesse daran, Bedienhürden zu erkennen und zu beheben (Art. 6 Abs. 1 lit. f DSGVO); Sie können der Verarbeitung jederzeit widersprechen (siehe Abschnitt Betroffenenrechte).

Wenn Sie Spooly über einen unserer Kampagnenlinks (z.B. spooly.eu/go/…) erreichen und sich innerhalb von 24 Stunden registrieren, speichern wir zu Ihrem Konto, über welche Kampagne Sie zu Spooly gefunden haben. Gespeichert wird ausschließlich der Kampagnenname — keine Werbe-IDs und keine Daten Dritter. Wir nutzen diese Angabe, um die Wirksamkeit unserer Kampagnen auszuwerten. Rechtsgrundlage ist unser berechtigtes Interesse an der Erfolgsmessung unseres Marketings (Art. 6 Abs. 1 lit. f DSGVO); die Angabe ist Teil Ihres Datenexports (Art. 15/20 DSGVO).

8.13 Produkt-Analyse und Kampagnen-Messung (PostHog)

Zur Verbesserung von Spooly und zur Messung der Wirksamkeit meiner Marketing-Kampagnen nutze ich PostHog, eine Produkt-Analyse-Plattform. Die Verarbeitung erfolgt auf Servern in der Europäischen Union (Frankfurt); mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Eine spätere Verlagerung auf meine eigenen Server ist geplant.

PostHog erfasst Nutzungsdaten wie aufgerufene Seiten, Klicks und Interaktionen, genutzte Funktionen, die Herkunft Ihres Besuchs (Referrer und Kampagnen-Parameter wie UTM) sowie Geräte- und Browserinformationen. Für angemeldete Nutzer werden diese Ereignisse mit Ihrer internen Nutzer-Kennung verknüpft (nicht mit E-Mail-Adresse oder Name), um Nutzungsverläufe und Conversion-Funnels auswerten zu können. Zusätzlich zeichne ich Ihre Sitzungen als Session-Replay auf; sämtliche Eingaben in Formularfelder (etwa E-Mail-Adresse oder Passwort) werden dabei technisch maskiert und nicht übertragen, ebenso der auf dem Bildschirm dargestellte Text.

Zusätzlich zur Erfassung im Browser übermittelt auch mein Server Ereignisse an PostHog, ausschließlich zum Abo-Lebenszyklus: Kauf, Verlängerung, Tarifwechsel, Wechsel von der Testphase zu einem bezahlten Paket und Kündigung. Übermittelt werden dabei der Name des Ereignisses, das betroffene Paket, bei Zahlungen Betrag und Währung sowie Ihre interne Nutzer-Kennung als Zuordnungsmerkmal. Ihr Name, Ihre E-Mail-Adresse, Ihre Anschrift und Ihre Zahlungsdaten werden nicht übermittelt. Diese Ereignisse entstehen bei der Zahlungsabwicklung im Hintergrund, also ohne beteiligten Browser: Verlängerungen und Kündigungen wären sonst in der Auswertung überhaupt nicht sichtbar. Zweck ist die Auswertung, welche Kampagnen und welche Schritte im Produkt tatsächlich zu einem Abo führen.

PostHog setzt für die Erfassung im Browser Cookies bzw. vergleichbare Speichertechnologien ein. Beides, die Erfassung im Browser und die serverseitigen Abo-Ereignisse, erfolgt ausschließlich auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie über meinen Cookie-Banner in der Kategorie „Analyse“ erteilen. Damit mein Server weiß, ob eine Einwilligung vorliegt, halte ich Ihre Entscheidung zusammen mit dem Zeitpunkt, zu dem Sie sie getroffen haben, an Ihrem Konto fest; das ist zugleich der Nachweis nach Art. 7 Abs. 1 DSGVO. Ohne Ihre Einwilligung wird PostHog im Browser gar nicht erst geladen, und auch mein Server übermittelt dann nichts.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Website-Daten von spooly.eu in Ihrem Browser löschen; der Cookie-Banner erscheint danach erneut und Sie können die Kategorie „Analyse“ ablehnen. Solange Sie in diesem Fall keine neue Entscheidung treffen, kann es sein, dass die serverseitigen Abo-Ereignisse noch auf Grundlage Ihrer früheren Einwilligung übermittelt werden. Sie können einem Widerruf auch formlos an die im Impressum genannte Adresse widersprechen, dann setze ich die Kennzeichnung an Ihrem Konto zurück.

In den nativen Apps (iOS/Android) läuft PostHog nicht: dort wird nichts erfasst, und es gibt auch keinen Cookie-Banner. Die serverseitigen Abo-Ereignisse hängen allein an der Einwilligung, die Sie in der Web-App erteilt haben, und werden dann unabhängig davon übermittelt, über welches Gerät Sie Ihr Abo abschließen. Haben Sie in der Web-App nie eingewilligt, übermittle ich auch keine Abo-Ereignisse an PostHog.

9. Werbung (Google AdSense)

Für Nutzer ohne kostenpflichtiges Pro-Abonnement ("Free-Nutzer") zeigen wir personalisierte Werbeanzeigen über Google AdSense an. Pro-Nutzer sehen KEINE Werbung.

Google AdSense verwendet Cookies und ähnliche Technologien, um relevante Werbung anzuzeigen und die Werbeleistung zu messen.

9.1 Welche Daten verarbeitet Google AdSense?

Bei der Anzeige von Werbung werden folgende Daten von Google verarbeitet:

• IP-Adresse (wird zur Standortbestimmung verwendet)
• Geräte- und Browserinformationen
• Besuchte Websites und Interaktionen mit Anzeigen
• Interessen und demografische Merkmale (abgeleitet aus dem Surfverhalten)

9.2 Rechtsgrundlage für Werbung

Die Verarbeitung personenbezogener Daten für Werbezwecke erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.

Beim ersten Besuch werden Sie um Ihre Zustimmung zur Nutzung von Werbecookies gebeten. Sie können diese Einwilligung jederzeit widerrufen.

9.3 Werbung deaktivieren

Sie haben mehrere Möglichkeiten, personalisierte Werbung zu deaktivieren:

• Upgrade auf Pro-Abonnement: Pro-Nutzer sehen keine Werbung
• Google Ads-Einstellungen: https://adssettings.google.com
• Cookie-Einstellungen: Sie können Cookies in Ihrem Browser blockieren oder löschen
• NAI Opt-Out: https://optout.networkadvertising.org
• YourAdChoices: https://optout.aboutads.info

9.4 Meta Pixel (Facebook Pixel)

Wir verwenden das Meta Pixel (ehemals Facebook Pixel) von Meta Platforms Ireland Limited, um die Wirksamkeit unserer Werbeanzeigen auf Meta-Plattformen (Facebook, Instagram) zu messen und unsere Zielgruppen zu optimieren.

9.5 Welche Daten verarbeitet das Meta Pixel?

Das Meta Pixel erfasst folgende Ereignisse und Daten:

• Seitenaufrufe (PageView)
• Abgeschlossene Registrierungen (CompleteRegistration)
• Begonnene Testphasen (StartTrial)
• Eingeleitete Kaufvorgänge (InitiateCheckout)
• Abgeschlossene Käufe inkl. Betrag und Währung (Purchase)
• Hinzufügen von Filament (Lead)

Dabei können technische Daten wie IP-Adresse, Browser-Typ, Betriebssystem und Referrer-URL an Meta übermittelt werden. Meta kann diese Daten mit Ihrem Meta-Konto verknüpfen, falls Sie dort angemeldet sind.

9.6 Rechtsgrundlage für Meta Pixel

Die Nutzung des Meta Pixels erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Sie über unser Cookie-Banner erteilen können.

9.7 Meta Pixel deaktivieren

Sie können das Tracking durch das Meta Pixel wie folgt unterbinden:

• Cookie-Einstellungen in unserem Cookie-Banner anpassen
• Facebook-Werbeeinstellungen: https://www.facebook.com/adpreferences/ad_settings
• Browser-Add-on zur Deaktivierung: https://www.facebook.com/help/568137493302217

10. Affiliate-/Werbepartnerprogramme

Spooly zeigt an einigen Stellen der App als "Werbung" gekennzeichnete Nachkauf-Links zu Partner-Shops. Wenn Sie über einen solchen Link einkaufen, erhalte ich vom jeweiligen Partner eine kleine Provision. Für Sie entstehen dabei KEINE Mehrkosten.

Als Amazon-Partner verdiene ich an qualifizierten Verkäufen.

10.1 Aktuelle Partnerprogramme

Ich nehme derzeit an folgenden Partnerprogrammen teil:

Künftig können weitere Werbepartner hinzukommen (z.B. Händler über das AWIN-Werbenetzwerk). Diese Übersicht wird dann entsprechend aktualisiert.

10.2 Welche Daten werden bei Nachkauf-Links verarbeitet?

Beim Klick auf einen Nachkauf-Link werden Sie direkt zum jeweiligen Partner-Shop weitergeleitet. Erst dort setzt der Partner gegebenenfalls Cookies, dafür ist allein der Partner verantwortlich. Spooly bettet keine Inhalte, Widgets oder Tracking-Pixel von Partnern ein.

Es werden KEINE personenbezogenen Daten an die Partner übermittelt.

Um auszuwerten, welche Nachkauf-Links genutzt werden, führe ich eine vollständig anonyme Klick-Statistik. Dabei wird ausschließlich Folgendes gespeichert:

• Filamenttyp (z.B. PLA, PETG)
• Hersteller des Filaments
• Partner (z.B. Amazon, Sunlu oder Prusa)
• Stelle in der App (z.B. Filament-Detailseite oder Statistik)
• Art des Links (Suchlink oder direkter Produktlink)
• Zeitpunkt des Klicks

Es wird weder eine Nutzer-ID noch eine IP-Adresse gespeichert. Die Statistik lässt sich keiner Person zuordnen und ist auch nachträglich nicht re-identifizierbar.

10.3 Rechtsgrundlage für Nachkauf-Links

Die anonyme Klick-Statistik enthält keine personenbezogenen Daten. Soweit beim Klick dennoch eine Verarbeitung stattfindet, erfolgt sie auf Grundlage meines berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO (Finanzierung des Dienstes).

Pro-Nutzer können die Affiliate-Hinweise in den Einstellungen deaktivieren. Die Links bleiben funktional, aber die visuellen Hinweise werden ausgeblendet.

10.4 Transparenz

Alle Nachkauf-Links sind sichtbar als "Werbung" gekennzeichnet. Ich empfehle nur Produkte und Shops, die ich für seriös halte. Die Provision beeinflusst NICHT die Empfehlungen in der App.

11. Cookies und Speichertechnologien

Spooly verwendet technisch notwendige Cookies, mit deiner Einwilligung Analyse-Cookies (PostHog) sowie (für Free-Nutzer) Werbecookies:

Pro-Nutzer: Es werden KEINE Werbe-Cookies gesetzt, da keine Werbung angezeigt wird.

12. Ihre Rechte nach DSGVO

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Sie können eine Bestätigung verlangen, ob wir Daten über Sie verarbeiten, sowie Auskunft über diese Daten.
• Berichtigungsrecht (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen ("Recht auf Vergessenwerden").
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Umständen die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie können eine erteilte Einwilligung jederzeit widerrufen.

13. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde einzureichen (Art. 77 DSGVO).

Zuständige Aufsichtsbehörde in Österreich: Österreichische Datenschutzbehörde Barichgasse 40-42 1030 Wien Telefon: +43 1 52 152-0 E-Mail: dsb@dsb.gv.at Website: www.dsb.gv.at

14. Automatisierte Entscheidungsfindung

Wir verwenden KEINE automatisierte Entscheidungsfindung oder Profiling im Sinne von Art. 22 DSGVO, die rechtliche oder ähnlich erhebliche Auswirkungen auf Sie hätte.

15. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

• SSL/TLS-Verschlüsselung für alle Datenübertragungen
• RSA-Verschlüsselung (2048-bit) für sensible Anmeldedaten während der Übertragung
• Verschlüsselte Speicherung von Passwörtern (bcrypt mit 12 Runden)
• Verschlüsselte Speicherung von Drittanbieter-Tokens (AES-256 Fernet)
• Temporäre Schlüsselpaare für Credential-Übertragung (stündliche Rotation)
• Regelmäßige Sicherheitsupdates
• Zugriffsbeschränkungen nach dem Prinzip der minimalen Rechte
• Datenbank-Hosting in EU-Rechenzentren

15.1 Ende-zu-Ende-Verschlüsselung bei der Anmeldung

Bei der Registrierung und Anmeldung werden Ihre Zugangsdaten (E-Mail, Passwort) vor der Übertragung an unseren Server clientseitig mit RSA-2048 verschlüsselt. Dies stellt sicher, dass selbst bei einem kompromittierten Netzwerk Ihre Passwörter nicht abgefangen werden können.

Die Verschlüsselungsschlüssel werden stündlich automatisch erneuert, um maximale Sicherheit zu gewährleisten.

16. Kontolöschung

Sie können Ihr Konto und alle damit verbundenen Daten jederzeit löschen:

• Über die Kontoeinstellungen in der App
• Per E-Mail an support@spooly.eu

Nach der Löschung werden alle Ihre personenbezogenen Daten unwiderruflich entfernt. Eine Wiederherstellung ist nicht möglich.

Zur Prävention von Missbrauch unserer kostenlosen Testphase (berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO) speichern wir nach der Kontolöschung einen kryptografisch pseudonymisierten Hash-Wert (SHA-256 mit serverseitigem Salt) Ihrer E-Mail-Adresse. Ein Rückschluss auf Ihre E-Mail-Adresse ist aus dem Hash nicht möglich. Er dient ausschließlich dazu, die erneute Inanspruchnahme der Testphase mit derselben E-Mail-Adresse zu verhindern. Der Hash wird für 12 Monate nach der Kontolöschung gespeichert und danach automatisch gelöscht.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Version ist stets auf unserer Website einsehbar.

Bei wesentlichen Änderungen werden wir Sie per E-Mail informieren.

18. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter: E-Mail: support@spooly.eu Wir werden Ihre Anfrage schnellstmöglich, spätestens innerhalb eines Monats, beantworten.