Datenschutzerklärung

Stand: 28. Oktober 2026

Der Schutz deiner personenbezogenen Daten ist uns wichtig. Diese Erklärung informiert dich nach Art. 13 und 14 DSGVO darüber, welche Daten wir verarbeiten, zu welchem Zweck und welche Rechte dir zustehen.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Datenschutzkontakt

Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt (die Voraussetzungen des § 38 BDSG liegen nicht vor). Für alle Anliegen rund um den Datenschutz wende dich bitte direkt an den oben genannten Verantwortlichen unter vintagelab@outlook.de.

3. Grundsätze der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung eines funktionsfähigen Dienstes sowie unserer Inhalte und Leistungen erforderlich ist. Eine Verarbeitung erfolgt regelmäßig nur nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) oder auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO).

4. Hosting & Bereitstellung der Website

Der Dienst wird bei Vercel Inc. gehostet; Datenbank und Authentifizierung werden über Supabase, Inc. (EU-Region) bereitgestellt. Beim Aufruf der Website werden technisch notwendige Daten (siehe Server-Logfiles) verarbeitet, um die Auslieferung der Inhalte zu ermöglichen. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und effizienten Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO); soweit ein Vertrag besteht, zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

5. Server-Logfiles

Bei jedem Aufruf erhebt das System automatisiert Daten, die dein Browser übermittelt: Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und IP-Adresse. Diese Daten dienen der technischen Auslieferung, der Systemsicherheit und der Stabilität.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
• Speicherdauer: in der Regel kurzfristig; sicherheitsrelevante Logs werden gelöscht, sobald sie für den Erhebungszweck nicht mehr erforderlich sind.

6. Nutzerkonto & Authentifizierung

Für die Nutzung des Dienstes legst du ein Konto an. Verarbeitet werden deine E-Mail-Adresse, Authentifizierungs-Metadaten (z. B. Login-Status, Sitzungs-Token) sowie ggf. ein OAuth-Identifikator, wenn du dich über einen Drittanbieter anmeldest. Zweck ist die Bereitstellung des nutzergebundenen Zugangs.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung)
• Sitzungsdaten werden in technisch notwendigen Cookies bzw. im lokalen Speicher des Browsers gehalten und sind für den Login zwingend erforderlich.
• Speicherdauer: für die Dauer des Kontos; nach Löschung des Kontos werden die Daten entfernt, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Verbindung mit deinem eBay-Konto (optional)

Wenn du Kleidio mit eBay verbindest, meldest du dich direkt bei eBay an und stimmst dort zu. Dein eBay-Passwort erhalten wir nicht. eBay gibt uns Zugangsschlüssel, mit denen wir in deinem Auftrag Angebote anlegen und veröffentlichen, wenn du in Kleidio auf „Auf eBay stellen“ klickst. Auf deinen Klick legen wir außerdem Rahmenbedingungen (Versand, Zahlung, Rücknahme) mit den von dir gewählten Angaben in deinem eBay-Konto an. Wir speichern die Zugangsschlüssel verschlüsselt, dazu deinen eBay-Nutzernamen und deine eBay-Nutzerkennung, die von dir angegebene Postleitzahl für den Artikelstandort sowie die Namen und Kennungen der Versand-, Zahlungs- und Rücknahme-Vorlagen deines eBay-Kontos.

An eBay übermitteln wir die Angaben des jeweiligen Pieces (Titel, Beschreibung, Marke, Größe, Zustand, Farbe, Material, Preis) und die Fotos. Kleidio-Fotos stellen wir dafür über einen zeitlich begrenzten Link bereit, den eBay einmal abruft. Für die Verarbeitung bei eBay ist eBay selbst verantwortlich (eBay GmbH bzw. eBay Inc.), es gilt die Datenschutzerklärung von eBay.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewünschte Funktion)
• Speicherdauer: bis du die Verbindung in Kleidio trennst, dein Kleidio-Konto löschst oder eBay uns die Löschung deines eBay-Kontos meldet. Deine Listings auf eBay bleiben davon unberührt, den Zugriff kannst du zusätzlich jederzeit in deinem eBay-Konto widerrufen.

Verbindung mit KI-Apps (Claude)

Du kannst dein Kleidio-Konto freiwillig mit einer KI-App verbinden, etwa mit Claude von Anthropic oder ChatGPT und Codex von OpenAI. Die Verbindung entsteht nur, wenn du sie in der KI-App startest, dich bei Kleidio anmeldest und auf unserer Zustimmungsseite ausdrücklich auf „Erlauben“ tippst. Dein Kleidio-Passwort erhält die KI-App nicht. Sie bekommt einen Zugangsschlüssel, der nur für dein eigenes Konto gilt.

Über die Verbindung kann die KI-App, jeweils auf deine Anfrage im Chat:

• lesen: dein Inventar mit den Angaben deiner Pieces (etwa Titel, Beschreibung, Marke, Größe, Zustand, Einkaufs-, Ziel- und Verkaufspreis, Lagerzeit), deine Listings je Marktplatz mit Aufrufen und Favoriten, den Verlauf eines Pieces der letzten 90 Tage (Preisänderungen, Bumps, Angebote), deine Verkäufe mit Umsatz, Gewinn und Gebühren, Auswertungen je Marktplatz und Marke, die Verkäufe eines Steuerjahres sowie, ob deine Kleidio-App läuft und welche Marktplatz-Konten darin verbunden sind (mit Nutzernamen);
• in Kleidio ändern: den Einkaufspreis, den Zielpreis und das Eintragen eines Verkaufs;
• über deine Kleidio-App: den Preis eines Pieces auf allen Marktplätzen ändern, Listings runternehmen und neu einstellen. Dafür legen wir den Auftrag in unserer Datenbank ab, bis deine App ihn abholt und auf deinem Rechner ausführt.

Die Daten, die die KI-App über die Verbindung abruft, übermitteln wir auf deine Veranlassung an den Anbieter der KI-App (bei Claude: Anthropic, bei ChatGPT und Codex: OpenAI). Was der Anbieter dort mit ihnen macht, etwa ob er deinen Chatverlauf speichert, richtet sich nach deinem Vertrag mit ihm und seiner Datenschutzerklärung. Dafür ist der Anbieter verantwortlich. Wir sind für die Bereitstellung der Verbindung und die Verarbeitung bei Kleidio verantwortlich.

Bei Kleidio speichern wir dazu: die erteilte Verbindung selbst (welche App, seit wann) bei unserem Authentifizierungsdienst Supabase (EU-Region), je Aufruf ein Ereignis mit Name des Werkzeugs, Dauer, Art des Ergebnisses (z. B. erledigt, abgelehnt, Fehler) und der Kennung der KI-App, eine Zählzeile mit Werkzeugname und Zeitpunkt für das Aufruflimit sowie die Aufträge an deine Kleidio-App. Inhalte deiner Fragen an die KI-App und die Antworten speichern wir nicht.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewünschte Verbindung). Für das Ereignis und die Zählzeile Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem zuverlässigen Dienst und am Schutz vor Überlastung).
• Speicherdauer: Zählzeilen und App-Aufträge werden nach 2 Tagen automatisch gelöscht, die Ereignisse nach 90 Tagen (siehe Produktanalyse). Die Verbindung besteht, bis du sie trennst oder dein Konto löschst.
• Widerruf: jederzeit in Kleidio unter Einstellungen › Verbundene KI-Apps mit „Trennen“. Danach hat die KI-App keinen Zugriff mehr. Den Connector kannst du zusätzlich in der KI-App entfernen.

7. KI-Listing-Generierung (Foto-Upload)

Kern des Dienstes ist die KI-gestützte Erstellung verkaufsfertiger Vinted-Listings. Du lädst Fotos eines Kleidungsstücks hoch; daraus erkennt die KI Marke, Era und Zustand und erzeugt eine optimierte deutsche Beschreibung sowie eine Preiseinschätzung für den DACH-Markt. Diese Daten werden wie folgt verarbeitet:

• Voller Bildinhalt: Anders als bei einer reinen Etikettenanalyse wird für die Listing-Erstellung das vollständige hochgeladene Produktfoto verarbeitet, da Schnitt, Material, Muster und Zustand des gesamten Kleidungsstücks in die Beschreibung einfließen.
• Übermittlung an einen KI-Dienstleister: Zur Analyse und Textgenerierung wird das Foto an Google (Gemini-API) als Auftragsverarbeiter übermittelt. Google verarbeitet die Inhalte ausschließlich weisungsgebunden zur Erbringung der angeforderten Generierung. Eine Verwendung der über die API gesendeten Inhalte zum Training der Modelle von Google findet nach den geltenden API-Nutzungsbedingungen nicht statt.
• Mögliche Drittlandübermittlung: Die Verarbeitung kann eine Übermittlung in ein Drittland (insbesondere USA) umfassen. Geeignete Garantien werden über die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO im Rahmen des mit Google geschlossenen Auftragsverarbeitungsvertrags sichergestellt.
• Ergebnis: Du erhältst einen Beschreibungs- und Preisvorschlag. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt — der Vorschlag ist ein Hilfsmittel, die Entscheidung über die Veröffentlichung triffst du.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von dir angeforderten Leistung)
• Speicherdauer: Hochgeladene Bilder werden nach der Generierung nur so lange vorgehalten, wie es zur Bereitstellung des Ergebnisses erforderlich ist, und anschließend gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Übernimmst du das Listing angemeldet als Piece in dein Inventar (auch automatisch, sobald du es kopierst), bleiben seine Fotos dort gespeichert, bis du das Piece löschst.

KI-Foto-Studio (Bildgenerierung)

Im KI-Foto-Studio erzeugst du aus hochgeladenen Fotos neue Produktbilder (virtuelle Anprobe „Try-On", Flat-Lay, Hintergrund-Ersatz, freie Bearbeitung). Dabei gilt:

• Verarbeitung über Google (Gemini-API): Die hochgeladenen Bilder werden — wie bei der Listing-Generierung — zur Erzeugung des Ergebnisbildes weisungsgebunden an Google als Auftragsverarbeiter übermittelt (mögliche Drittlandübermittlung in die USA auf Basis der EU-Standardvertragsklauseln). Eine Nutzung der über die API gesendeten Inhalte zum Training der Google-Modelle findet nach den geltenden API-Bedingungen nicht statt.
• Fotos mit Personen (Try-On): Lädst du für die virtuelle Anprobe ein eigenes Foto einer Person hoch, werden personenbezogene und ggf. besondere Daten (Art. 9 DSGVO) verarbeitet. Rechtsgrundlage ist deine Anforderung der Leistung (Art. 6 Abs. 1 lit. b DSGVO) bzw. deine Einwilligung (Art. 6 Abs. 1 lit. a / Art. 9 Abs. 2 lit. a DSGVO). Für Fotos, auf denen andere Personen erkennbar sind, bist du dafür verantwortlich, deren Einwilligung einzuholen. Ohne hochgeladenes eigenes Foto werden ausschließlich KI-Modelle (keine realen Personen) dargestellt.
• KI-Kennzeichnung: Die erzeugten Bilder sind KI-generiert und tragen eine maschinenlesbare Kennzeichnung in den Metadaten (Art. 50 EU-KI-Verordnung). Die sichtbare Kennzeichnung bei einer Veröffentlichung obliegt dir als Nutzer.
• Speicherdauer: Hochgeladene Fotos werden nur so lange verarbeitet, wie es zur Bereitstellung des Ergebnisses erforderlich ist, und danach gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Qualitätsprüfung bei Problem-Meldungen: Meldest du ein Ergebnis als fehlerhaft und forderst dafür eine kostenlose Neu-Generierung an, werden — nur mit deiner Zustimmung im Melde-Dialog — das hochgeladene Foto des Kleidungsstücks und das beanstandete Ergebnisbild intern zur Qualitätsprüfung gespeichert. Ein von dir ggf. hochgeladenes Foto einer Person wird dabei nicht übermittelt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); ohne Zustimmung ist die Meldung trotzdem möglich, nur die kostenlose Neu-Generierung entfällt. Die Bilder sind ausschließlich für die interne Qualitätsprüfung bestimmt, werden nicht veröffentlicht, nicht zum Training von KI-Modellen verwendet und nach spätestens 30 Tagen automatisch gelöscht.

Meine Fotos (deine Foto-Ablage)

Unter „Meine Fotos“ legst du eigene Fotos ab, zum Beispiel viele auf einmal vom Handy, und wählst sie später für ein KI-Listing oder im KI-Foto-Studio aus. Vor dem Hochladen verkleinert dein Browser jedes Foto und speichert es neu als JPEG. Eingebettete Angaben wie Aufnahmeort oder Gerät fallen dabei weg. Die Fotos liegen in einem nicht öffentlichen Speicher bei Supabase (EU-Region), andere Nutzer haben keinen Zugriff darauf.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir gewünschte Funktion)
• Umfang: höchstens 100 Fotos je Konto. Ist der Platz voll, löschst du fertige Fotos, dann kannst du neue hochladen.
• Wählst du Fotos daraus für ein KI-Listing oder das KI-Foto-Studio aus, werden sie dafür wie ein neuer Upload verarbeitet (siehe oben).
• Speicherdauer: bis du die Fotos in Meine Fotos löschst oder dein Konto gelöscht wird. Eine automatische Löschung nach einer festen Frist gibt es nicht.

8. Produktanalyse (Nutzungsmessung)

Um zu verstehen, welche Funktionen genutzt werden und an welchen Stellen etwas hakt, erfassen wir Nutzungsereignisse in eigener Verantwortung. Wir setzen dafür keine Dienste Dritter ein: keine Werbenetzwerke, keine Zählpixel, keine externen Analyse-Anbieter. Die Daten verlassen unsere eigene Datenbank nicht und werden nicht zu Werbezwecken verwendet.

Erfasst wird je Ereignis:

• die Bezeichnung des Ereignisses aus einer festen Liste (z. B. „Seite aufgerufen", „Generierung gestartet", „Ergebnis übernommen", „Generierung fehlgeschlagen"),
• Zeitpunkt und der aufgerufene Pfad (ohne Suchparameter),
• wenige technische Zusatzangaben, etwa welches Werkzeug verwendet wurde, wie viele Fotos ausgewählt waren oder welcher Fehlergrund auftrat,
• deine Nutzerkennung, sofern du angemeldet bist, andernfalls eine Sitzungskennung.

Nicht erfasst werden Inhalte deiner Fotos, die erzeugten Texte, Freitexteingaben oder deine IP-Adresse. Eine geräteübergreifende Wiedererkennung findet nicht statt.

Speicherung auf deinem Endgerät nur mit deiner Einwilligung: Die Sitzungskennung wird ausschließlich dann vergeben, wenn du der Produktanalyse im Einwilligungs-Hinweis zugestimmt hast. Sie liegt dann im Sitzungsspeicher deines Browsers (sessionStorage) und endet mit dem Schließen des Tabs. Beim Klick auf einen Login über einen Drittanbieter wird diese bereits vorhandene Kennung für maximal 10 Minuten zusätzlich in einem First-Party-Cookie abgelegt, weil der Anmeldevorgang den Sitzungsspeicher sonst verliert; das Cookie wird unmittelbar nach der Anmeldung gelöscht.

Ohne deine Einwilligung wird auf deinem Endgerät nichts gespeichert und nichts ausgelesen. Wir zählen dann lediglich, wie oft ein Vorgang insgesamt auftritt, ohne ihn einer wiederkehrenden Person oder Sitzung zuzuordnen. Widerrufst du eine erteilte Einwilligung, wird die Kennung sofort gelöscht. Deine Entscheidung selbst wird im lokalen Speicher hinterlegt, damit wir dich nicht bei jedem Aufruf erneut fragen; sie lässt sich jederzeit ändern.

Ereignisse, die aus angemeldeten Anfragen an unseren Server stammen (etwa Käufe oder Aktionen im Inventar), werden ohne jeden Zugriff auf dein Endgerät erfasst und dir über dein Konto zugeordnet.

• Zweck: Fehlersuche, Erkennen von Abbrüchen und Weiterentwicklung des Dienstes
• Rechtsgrundlage für die Speicherung auf dem Endgerät: deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Für die Auswertung der Ereignisse angemeldeter Nutzer ohne Gerätezugriff: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Speicherdauer: 90 Tage, danach automatische Löschung. Ausgenommen sind Einträge, die keinen Analysezweck haben, sondern den Betrieb sichern: dein Widerspruch gegen E-Mails sowie Vermerke darüber, dass eine bestimmte E-Mail bereits versandt oder für dich bewusst ausgelassen wurde (Vergleichsgruppe, siehe unten). Diese bleiben erhalten, weil ihre Löschung dazu führen würde, dass du erneut angeschrieben wirst. Ebenso bleiben Beginn und Ende einer Abo-Pause (sonst wäre die Pause falsch angezeigt) sowie Belege über deine Zustimmung im Checkout und über den Eingang einer Kündigung, solange sie für den Vertrag gebraucht werden.
• Du kannst dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen. Eine kurze Nachricht an die oben genannte Adresse genügt.

Herkunft deines Kontos

Damit wir wissen, welche Wege zu Kleidio sich lohnen, speichern wir zu deinem Konto, wie du dich angemeldet hast (Google, Discord oder E-Mail) und, falls du der Produktanalyse zugestimmt hattest, woher der erste Besuch in der Sitzung deiner Anmeldung kam (Quelle, Kampagne, Einstiegsseite). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: solange dein Konto besteht. Widersprechen kannst du wie oben beschrieben.

Klicks in unseren E-Mails

Links in unseren E-Mails führen kurz über unseren Server (kleidio.com/api/m), bevor du auf der Zielseite landest. Wir zählen dabei nur, welche Mail-Vorlage und welcher Bereich der Seite angeklickt wurde, und wie viele Mails je Vorlage verschickt wurden. Der Link ist für alle Empfänger derselben Mail gleich, der Klick wird dir also nicht zugeordnet. Wir setzen keine Zählpixel ein und messen nicht, ob du eine Mail öffnest. Speicherdauer: 90 Tage.

Vergleichsgruppen bei Hinweis-Mails: Damit wir wissen, ob unsere Hinweis-Mails helfen (Erinnerung an dein erstes oder nächstes Listing, an lange liegende Pieces, an den Abgleich deines Bestands), bekommt ein zufällig ausgewählter Teil der Empfänger diese Mails nicht. Wir vermerken, wer zur Vergleichsgruppe gehört, und vergleichen, wie oft beide Gruppen danach Kleidio nutzen oder ein Abo abschließen. Mails zu Zahlung, Kündigung, Testphase oder Konto sind davon nie betroffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Verknüpfung mit VintageLab und Discord

Kleidio und die Reseller-Community VintageLab gehören zum selben Unternehmen (Verantwortlicher siehe oben). Meldest du dich mit Discord an, sind beide Dienste über deine Discord-ID an einigen Stellen verbunden (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, sonst Art. 6 Abs. 1 lit. f DSGVO):

• Wir fragen bei VintageLab deine Mitgliedsstufe ab, damit Pro- und Elite-Mitglieder bei uns mehr Gratis-Listings bekommen.
• Nutzt du im VintageLab-Discord den KI-Preis-Check, verbuchen wir die Prüfung auf dein Kleidio-Konto.
• Hast du deine Vinted-Verkäufe synchronisiert, übermitteln wir die Anzahl deiner Verkäufe an den VintageLab-Bot, der daraus eine Discord-Rolle vergibt. Das kannst du in den Einstellungen abschalten.
• Welche Discord-ID zu welchem Kleidio-Konto gehört, gleichen wir täglich mit der Datenbank von VintageLab ab, damit wir erkennen, wer beide Dienste nutzt (etwa um auszuwerten, wie viele VintageLab-Mitglieder Kleidio nutzen). Trennst du Discord oder löschst du dein Konto, verschwindet die Zuordnung beim nächsten Abgleich.

Interne Auswertung zur Priorisierung

Aus den oben beschriebenen Nutzungsereignissen angemeldeter Konten (ohne Inhalte), dem Alter deines Kontos, der Zahl deiner Listings, ob dein Vinted-Konto verbunden ist und über welchen Weg du dich registriert hast, berechnen wir täglich eine Einschätzung, wie wahrscheinlich ein kostenpflichtiger Tarif in den nächsten 14 Tagen ist. Wir nutzen sie, um Hilfe und Hinweise dorthin zu lenken, wo sie am meisten bringen. Es gibt keine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO): Preise, Rabatte und dein Zugang hängen nicht davon ab. Ein zufälliger Teil der Nutzer wird zur Erfolgsmessung bewusst nicht angesprochen. Die Einschätzungen liegen in der Datenbank von VintageLab (ebenfalls Supabase, EU-Region). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 180 Tage. Du kannst jederzeit widersprechen (Nachricht an die oben genannte Adresse), dann nehmen wir dich heraus und löschen deine Einschätzungen.

Verkaufspreis-Index (anonyme Statistik)

Aus echten Verkäufen unserer Nutzer bilden wir einen Index, der zeigt, zu welchen Preisen Pieces einer Marke und Art auf Vinted Deutschland tatsächlich verkauft wurden. Dafür nutzen wir die Verkäufe, die du in Kleidio einträgst oder über die Erweiterung aus deinem eigenen Vinted-Konto synchronisierst (Verkaufspreis und Verkaufsdatum aus deiner Vinted-Bestellliste), bei früheren FlipFlow-Nutzern die übernommenen FlipFlow-Verkäufe und, wenn dein Discord-Konto verknüpft ist, Verkaufs-Screenshots, die du im VintageLab-Kanal #wins postest.

In den Index übernehmen wir nur Marke, Art des Pieces, Zustand, eine grobe Größenklasse, Verkaufspreis und Verkaufsdatum. Titel, Fotos, Artikelnummern, Namen, Käufer und Nachrichten speichern wir dort nicht. Statt deiner Nutzer-ID steht ein nicht umkehrbarer Schlüssel im Index, mit dem wir verschiedene Personen zählen und deine Beiträge bei Widerspruch löschen können. Angezeigt werden nur zusammengefasste Werte (Median und Spanne) und erst, wenn mindestens 5 Verkäufe von mindestens 3 verschiedenen Personen vorliegen. Einzelne Verkäufe sind nie sichtbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, Preisschätzungen mit echten Marktdaten zu verbessern). Datenpunkte fallen nach 365 Tagen heraus. Angezeigt werden in der Regel die letzten 180 Tage; nur wenn dafür zu wenige Verkäufe vorliegen, bis zu 365 Tage, und das steht dann dabei. Du kannst jederzeit widersprechen (Art. 21 DSGVO): Schalte in den Einstellungen „Verkaufspreise anonym teilen“ aus. Dann löschen wir deine Beiträge sofort und nehmen keine neuen mehr auf.

Nach denselben Regeln führen wir einen getrennten Einkaufspreis-Index aus Käufen über den Snipe-Bot im VintageLab-Discord.

Anonyme Verkaufsmeldungen im VintageLab-Discord

Bekommt Kleidio einen deiner Verkäufe mit, etwa weil du ihn einträgst oder der Abgleich mit deinem Marktplatz-Konto ihn erkennt, meldet unser Bot ihn im Kanal 📈┃kleidio-sales des VintageLab-Discords. Die Meldung zeigt nur Betrag, Marktplatz, Land und Verkaufsdatum. Namen, Nutzernamen, Titel, Marken, Fotos und Links zum Listing zeigen wir nicht; im Discord ist nicht erkennbar, von wem der Verkauf stammt. Gemeldet werden nur Verkäufe von heute und gestern, ältere (etwa aus einem Import) nicht. Damit kein Verkauf doppelt erscheint, merken wir uns in unserer Datenbank (Supabase, EU-Region), welches Piece schon gemeldet wurde. Dieser Vermerk verschwindet mit dem Piece oder deinem Konto.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, zu zeigen, wie viel mit Kleidio verkauft wird). Du kannst jederzeit widersprechen (Art. 21 DSGVO): Schalte in den Einstellungen „Meine Verkäufe anonym in 📈┃kleidio-sales zeigen“ aus. Dann melden wir deine Verkäufe dort nicht mehr.

Eigener Discord-Kanal (Webhook)

Trägst du in den Einstellungen die Adresse eines Webhooks deines eigenen Discord-Servers ein, schicken wir dorthin, was du anhakst: deine Verkäufe (Titel, Marktplatz, Preis), Warnungen (etwa verkaufte Pieces, die noch online sind, oder ein abgemeldetes Marktplatz-Konto) und neue Nachrichten und Angebote aus deinem Postfach in der Kleidio-App (Name des Käufers, Piece, die ersten 150 Zeichen der Nachricht, Betrag). Empfänger ist Discord (Discord Inc., USA). Die Adresse speichern wir verschlüsselt in unserer Datenbank (Supabase, EU-Region). Nachrichtentexte speichern wir nicht; wir merken uns nur kurz (14 Tage), welche Meldung schon raus ist, damit nichts doppelt kommt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die Funktion, die du selbst einschaltest). Du kannst sie jederzeit in den Einstellungen abschalten oder die Adresse entfernen. Für die Inhalte in deinem Discord-Kanal und wer ihn sieht, bist du selbst verantwortlich.

9. Kleidio-App: Fehlerberichte und Nutzungsdaten

Die Kleidio-App für Windows und macOS (derzeit in der Beta) stellt deine Pieces auf Marktplätze ein, nimmt Verkauftes überall runter und sammelt deine Nachrichten. Diese Aufträge laufen auf deinem Rechner, nicht auf unserem Server. Damit wir Fehler schneller finden, kann die App uns zwei Arten von Daten schicken, die du getrennt erlaubst: Fehlerberichte und Nutzungsdaten.

Beim ersten Start, und einmal nach dem Update für alle, die die App schon nutzen, fragt die App „Hilf uns, Fehler schneller zu finden“ mit zwei gleich großen Knöpfen („Ja, ich helfe mit“ und „Nein danke“). Nichts ist vorausgewählt. Ohne Zustimmung läuft die App voll weiter, und vor deiner Antwort wird nichts aufgezeichnet oder zwischengespeichert. Updates setzen deine Auswahl nicht zurück.

Fehlerberichte (Zweck: Fehleranalyse)

• Abstürze der App oder eines ihrer Fenster, Fehler im Programm und in den Seiten im App-Fenster, ein Fenster lädt nicht oder reagiert nicht, ein Update scheitert
• je Auftrag (einstellen, runternehmen, neu einstellen) und Marktplatz: Ergebnis, Fehlerklasse aus einer festen Liste (z. B. „abgemeldet“, „Captcha“, „zu viele Anfragen“), HTTP-Status, Zahl der Versuche und Dauer
• nach einem Verkauf: dass er erkannt wurde und ob das Runternehmen auf den anderen Marktplätzen geklappt hat
• Stand deiner Marktplatz-Konten in der App (z. B. Anmeldung abgelaufen, Sicherheitsprüfung), ohne Benutzernamen
• Fehlertexte nur gekürzt und mit geschwärzten Zugangsdaten und Mail-Adressen, dazu ein daraus berechneter Fingerabdruck, mit dem wir gleiche Fehler zusammenfassen
• scheitert eine Aktion, welche es war und ein gekürzter Fehlergrund ohne Namen, Titel, Mail-Adressen, Links und Nummern
• ein Betriebszustand der App, höchstens einmal je Stunde: nur Zahlen und Schalter (z. B. wie viele Aufträge offen sind, welche Marktplätze bereit sind, ob die Automatik an ist), keine Inhalte und keine Konto-Namen

Fehlerberichte, Fehlergrund und Betriebszustand kommen auch dann bei uns an, wenn du in den Kleidio-Einstellungen „Nutzungsdaten teilen“ ausgeschaltet hast; dieser Schalter betrifft nur die Nutzungsdaten. Abschalten kannst du sie mit dem Schalter „Fehlerberichte“ in der App.

Wir nutzen sie, um Fehler zu finden und zu beheben, vor allem um zu verhindern, dass ein verkauftes Piece auf einem anderen Marktplatz online bleibt und doppelt verkauft wird.

Nutzt du die Kleidio-App auf mehreren Rechnern, speichern wir je Installation eine zufällige Geräte-Kennung, den Namen des Rechners (so wie er in Windows oder macOS heißt), die App-Version und wann sie sich zuletzt gemeldet hat. Damit arbeitet immer nur ein Rechner automatisch mit deinen Marktplatz-Konten und die anderen pausieren. Den Namen sehen nur du und, wenn wir einen Fehler suchen, unser Support; Geräte, die sich 90 Tage nicht melden, löschen wir.

Nutzungsdaten (Zweck: Nutzungsstatistik)

Welche Einrichtungsschritte du machst und wo du hängen bleibst: Rundgang beim ersten Start, „Erste Schritte“ und die „Zeig mir“-Touren, Anmeldung bei Marktplätzen, Pieces reinholen, „Überall“ einstellen und die Automatik-Schalter. Erfasst wird jeweils nur eine feste Kennung des Schritts mit Zahlen, etwa welcher Schritt, wie viele Pieces, auf wie vielen Marktplätzen, wie viele Sekunden. Dazu Start und Ende der App, welche Funktion der App du auslöst (z. B. einstellen, Preis ändern, löschen) mit Marktplatz, Ergebnis und Dauer, und die Läufe der Preisregeln. Wir nutzen das, um die Einrichtung und die App dort zu verbessern, wo sie hakt.

Was immer mitgeht und wie es zugeordnet wird

Zu jedem Ereignis: der Name aus einer festen Liste, der Zeitpunkt, die App-Version, das Betriebssystem mit Version und eine zufällige Sitzungsnummer, die nur im Arbeitsspeicher liegt und bei jedem Start der App neu entsteht. Zugeordnet werden die Daten über dein Kleidio-Konto, mit dem du in der App angemeldet bist. Sie sind damit pseudonym, nicht anonym.

Was nie erfasst wird

• deine Listing-Titel, Beschreibungen, Fotos und Preise
• Nachrichtentexte aus dem Posteingang, Namen und Adressen von Käufern
• Benutzernamen, Mail-Adressen und Listing-Nummern auf den Marktplätzen (nur Kleidio-interne Kennungen)
• Passwörter, Cookies, Tokens und andere Logins der Marktplätze
• Geräte-, Hardware- oder Installationskennungen und andere Gerätemerkmale über App-Version und Betriebssystem hinaus
• deine IP-Adresse (sie wird bei diesen Ereignissen nicht gespeichert)
• keine Bildschirmaufnahmen und keine Aufzeichnung deiner Sitzung

Rechtsgrundlagen

• Fehlerberichte: Für das Auslesen und Senden aus der App auf deinem Gerät deine Einwilligung nach § 25 Abs. 1 TDDDG (in Österreich § 165 Abs. 3 TKG 2021). Für die Verarbeitung bei uns deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.
• Nutzungsdaten: ebenso getrennt deine Einwilligung nach § 25 Abs. 1 TDDDG (in Österreich § 165 Abs. 3 TKG 2021) und nach Art. 6 Abs. 1 lit. a DSGVO.
• Nachweis deiner Auswahl: Zeitpunkt, Fassung des Hinweistexts und deine Wahl je Schalter hält die App fest, damit sie dich nicht erneut fragt. Stimmst du mindestens einer Art zu, geht diese Angabe als Nachweis der Einwilligung (Art. 7 Abs. 1 DSGVO) an uns; lehnst du beides ab, bleibt sie nur auf deinem Rechner. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.
• Was die App ohnehin mit uns austauscht: Anmeldung, Abgleich deines Inventars, der Stand deiner Pieces je Marktplatz, Verkauf in Kleidio vermerken, Captcha-Hilfe und der Download-Link per Mail laufen für die Funktion über unseren Server (Art. 6 Abs. 1 lit. b DSGVO). Dass das geschehen ist, halten wir in unserer eigenen Datenbank fest, um Störungen zu erkennen (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein zuverlässiger Dienst, vor allem kein Doppelverkauf). Dafür greifen wir nicht zusätzlich auf dein Gerät zu.
• Feedback mit Log: Schickst du uns in der App Feedback, gehen dein Text und, wenn du den Haken setzt, die letzten Zeilen des App-Protokolls an uns (Tokens und Mail-Adressen darin geschwärzt). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bearbeitung deiner Anfrage). Tippst du an einer Fehlermeldung auf „Problem melden“, gehen der gekürzte Fehlergrund, die Seite und die letzten Zeilen des App-Protokolls an uns (ebenfalls geschwärzt).

Empfänger und Speicherdauer

• Die Daten bleiben bei uns. Gespeichert werden sie in unserer Datenbank bei Supabase (EU-Region, Irland) als Auftragsverarbeiter. Die Übertragung läuft verschlüsselt über unseren Hoster (siehe „Hosting & Bereitstellung der Website“). Rohdaten sieht nur der Verantwortliche.
• Bei schweren Fehlern (Absturz der App, Runternehmen nach einem Verkauf gescheitert) bekommt der Verantwortliche sofort eine Benachrichtigung über Discord (Discord Inc., USA). Darin steht keine Angabe zu dir oder deinem Konto, nur der Marktplatz, die Fehlerklasse mit Fingerabdruck, die App-Version, das Betriebssystem und eine Alarm-Nummer, die nur in unserer internen Ansicht zu einem Konto führt. Einmal am Tag gibt es außerdem eine Zusammenfassung per E-Mail über unseren Mail-Dienstleister (siehe Empfänger); sie nennt statt Name oder Mail-Adresse eine gekürzte pseudonyme Kennung deines Kleidio-Kontos.
• Speicherdauer: 90 Tage, danach automatische Löschung. Die Protokolle der App auf deinem Rechner löscht die App nach 14 Tagen selbst.

10. Die Echtheitsprüfung (Foto-Upload)

Zusätzlich bietet der Dienst eine KI-gestützte Einschätzung, ob ein fotografiertes Kleidungsstück bzw. dessen Etiketten Merkmale einer Fälschung aufweisen. Dazu lädst du Fotos hoch. Diese werden wie folgt verarbeitet:

• Verkleinerung im Browser: Vor dem Upload werden deine Fotos in deinem Browser verkleinert und neu kodiert. Dabei werden eingebettete Metadaten (insbesondere GPS-Standort, Aufnahmezeitpunkt, Geräte-Kennung) entfernt; wir werten solche Metadaten nicht aus.
• Speicherung: Die hochgeladenen Fotos werden zur Durchführung der Prüfung sowie zur Qualitätssicherung und Verbesserung der Erkennung gespeichert und spätestens 90 Tage nach der Prüfung automatisiert gelöscht.
• Manuelle Qualitätsprüfung: Einzelne Prüfungen, insbesondere solche ohne eindeutiges KI-Ergebnis, können nachträglich von durch uns beauftragten, zur Vertraulichkeit verpflichteten Prüfpersonen gesichtet werden. Das dient der Qualitätssicherung und der Verbesserung der Erkennung.
• Verdikt: Du erhältst eine Wahrscheinlichkeitsaussage. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO statt; die Bewertung ist ein Hilfsmittel, die Entscheidung triffst du. Kann die KI kein eindeutiges Urteil fällen, werden eingesetzte Credits automatisch zurückerstattet.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von dir angeforderten Leistung); für Qualitätssicherung und Verbesserung der Erkennung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zuverlässigen Erkennungsmodell).
• Speicherdauer: spätestens 90 Tage nach der Prüfung, danach automatische Löschung.

11. Wie wir unsere KI trainieren

Wir verbessern unser Erkennungsmodell fortlaufend. Dazu nutzen wir die für die Echtheitsprüfung hochgeladenen Fotos zusammen mit dem Prüfergebnis in dem in Abschnitt 10 beschriebenen Rahmen (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO).

• Für das Training wird das Foto von deinem Nutzerkonto entkoppelt: In den Trainingsbestand fließen keine Namen, E-Mail-Adressen oder Konto-Kennungen ein, nur das Bild und das geprüfte Urteil.
• Die Fotos werden ausschließlich für die Fälschungserkennung genutzt, nicht für andere Zwecke und nicht an Dritte verkauft.
• Widerspruch: Du kannst dieser Nutzung nach Art. 21 DSGVO jederzeit mit Wirkung für die Zukunft widersprechen (eine formlose E-Mail genügt, Kontakt siehe oben). Deine Fotos werden dann von der Verbesserungsnutzung ausgenommen und gelöscht, sobald sie für die Durchführung der Prüfung nicht mehr benötigt werden.

12. Zahlungsabwicklung

Bei kostenpflichtigen Tarifen werden Zahlungsdaten über Stripe (Stripe Payments Europe, Ltd.) als Zahlungsdienstleister verarbeitet. Wir erhalten dabei grundsätzlich nur die zur Vertragsabwicklung erforderlichen Informationen (z. B. Zahlungsstatus); vollständige Zahlungsmittel-Daten werden direkt bei Stripe verarbeitet.

Kündigst du, nimmst du eine Kündigung zurück oder endet dein Abo, erfassen wir das als Ereignis in der Produktanalyse (Abschnitt 8): Zeitpunkt, Tarif, Abrechnungsintervall, ob du im Test warst, wie lange das Abo lief und den Grund, den du im Stripe-Kundenportal aus einer festen Liste gewählt hast. Einen Kommentar, den du dort schreibst, übernehmen wir nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Kündigungsgründe zu verstehen). Speicherdauer: 90 Tage.

Zusätzlich zu Stripe speichern wir zu jeder Zahlung Art (Pro, Lite oder Credits), Betrag, Währung, Zeitpunkt und ob es die erste Zahlung war, ohne Stripe-Kennungen, um Umsätze auszuwerten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: solange dein Konto besteht.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Pflichten)
• Anbieter: Stripe Payments Europe, Ltd., Irland. Weitere Informationen unter stripe.com/de/privacy.

13. Empfänger & Auftragsverarbeiter

Zur Erbringung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten ausschließlich weisungsgebunden in unserem Auftrag verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO). Aktuelle Kategorien:

Mit den eingesetzten Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Soweit eine Übermittlung in ein Drittland (insbesondere USA) erfolgt, werden geeignete Garantien in Form der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sichergestellt.

14. Deine Rechte

Dir stehen gegenüber dem Verantwortlichen folgende Rechte zu:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine formlose Nachricht an vintagelab@outlook.de.

15. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für den Verantwortlichen zuständige Behörde ist:

16. Datensicherheit

Die Übertragung erfolgt verschlüsselt über TLS. Wir treffen technische und organisatorische Maßnahmen, um deine Daten gegen Manipulation, Verlust und unbefugten Zugriff zu schützen, und passen diese der technischen Entwicklung an.

17. Aktualität & Änderungen

Diese Datenschutzerklärung hat den Stand vom 28. Oktober 2026. Durch Weiterentwicklung des Dienstes oder geänderte rechtliche Vorgaben kann eine Anpassung erforderlich werden. Die jeweils aktuelle Fassung ist hier abrufbar.