Verantwortlicher expertpal UG (haftungsbeschränkt) Nettelbeckstr. 15, 40477 Düsseldorf, Deutschland Geschäftsführer: Illya Konovalov E-Mail: [email protected]

Geltung: Diese Datenschutzerklärung gilt für replitoy.com (inkl. Unterseiten), unseren Marktplatz-Auftritt auf Etsy in dem hier beschriebenen Umfang sowie für von uns bereitgestellte Online-Dienste und Tools.

Stand: 3. Oktober 2026

1. Grundsätze & Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten im Einklang mit der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG) auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung und vorvertragliche Maßnahmen (Bestellungen, Fertigung personalisierter Figuren, Kundenbetreuung und Support).
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (optionale Webanalyse und ausdrückliche Einwilligungen zur Portfolio-Darstellung).
• Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtungen (handels- und steuerrechtliche Aufbewahrungspflichten sowie gesetzliche Eingangsbestätigungen gemäß § 356a BGB).
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigte Interessen (IT-Sicherheit, Systemstabilität, Betrugsprävention und Bot-Tracking auf öffentlichen Transparenzendpunkten).

Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung findet nicht statt (Art. 22 DSGVO).

2. Speicherung von Informationen und Zugriff auf Endgeräte (§ 25 TDDDG)

Gemäß § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) unterscheiden wir zwischen technisch unbedingt erforderlichen Speicherungen und einwilligungspflichtigen Zugriffen:

• Unbedingt erforderliche Speicherung (§ 25 Abs. 2 Nr. 2 TDDDG): Der Zugriff auf Informationen im Endgerät oder die Speicherung von Informationen erfolgt ohne gesonderte Einwilligung, wenn dies unbedingt erforderlich ist, damit der von Ihnen ausdrücklich gewünschte digitale Dienst bereitgestellt werden kann:
  • Warenkorb-Status: Lokale Speicherung im Browser (localStorage), um Warenkorbartikel, Stückzahlen und gewählte Konfigurationen sitzungsübergreifend zu erhalten.
  • Sitzungs- und Sicherheitstoken: Zur Gewährleistung geschützter Anfragen und zur Abwehr unautorisierter websiteübergreifender Anfragen.
  • Consent-Status (rt_consent): Speicherung Ihrer Entscheidung zu optionalen Cookies in einem Cookie (rt_consent), das die Schema-Version, den Status der Analytics-Einwilligung (erteilt oder abgelehnt) und den Speicherzeitpunkt enthält. Das Cookie hat eine Speicherdauer von 12 Monaten, wird mit den Attributen Path=/, SameSite=Lax und Secure gesetzt und enthält keine Benutzerkennung oder Verhaltensprofile.
• Einwilligungspflichtige Speicherung (§ 25 Abs. 1 TDDDG): Die Speicherung und der Abruf von Kennungen zu Analysezwecken (Google Analytics 4) erfolgt ausschließlich nach Ihrer vorherigen ausdrücklichen Einwilligung über unser Cookie-Banner oder das Einstellungsmenü.
• On-Demand-Kundensupport (Click-to-Chat): Unser Support-Chat (Crisp) wird beim Aufruf unserer Webseiten nicht geladen. Es werden vorab keine Skripte oder Verbindungen zum Chat-Dienstleister aufgebaut, solange Sie nicht aktiv auf die Chat-Schaltfläche klicken.
• Widerruf und Einstellungsänderung: Sie können Ihre Einstellungen jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile unserer Website einsehen und anpassen. Ein Widerruf der Analytics-Einwilligung löscht umgehend die bestehenden Google-Analytics-Cookies in Ihrem Browser und lädt die Seite neu.

3. Webanalyse (Google Analytics 4)

• Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.
• Zweck: Statistische Reichweitenmessung und aggregierte Nutzungsanalyse.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (vorherige ausdrückliche Einwilligung).
• Verarbeitete Daten: Aufgerufene URL, Seitentitel, Referrer-URL, anonymisierte Telemetrie-Ereignisse, Bildschirmauflösung, Browsersprache, Zeitstempel sowie die GA4-Mess-ID G-YLCSVR8ZBD. IP-Adressen werden vor der Auswertung durch Google gekürzt und anonymisiert.
• Widerruf: Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen“ in der Fußzeile widerrufen. Bei Widerruf wird die Ausführung der Analyse-Skripte unterbunden und die gesetzten Cookies (_ga, _gid, _gat, _ga_*) werden gelöscht.

4. Live-Chat Kundenservice (Crisp)

• Anbieter: Crisp IM SAS, 2 Boulevard de Launay, 44100 Nantes, Frankreich.
• Auslöser: Wird ausschließlich auf Abruf geladen, wenn Sie aktiv auf die Schaltfläche „Support-Chat öffnen“ klicken.
• Verarbeitete Daten: Website-Kennung 0ca2aef5-bfab-4359-92ef-81e9cc591a69, ausgewählte Sprache der Benutzeroberfläche sowie eingegebener Nachrichtentext und Dateianhänge, die Sie während des Chats übermitteln.
• Zweck & Rechtsgrundlage: Bearbeitung von Support- und Vorvertragsanfragen gemäß Art. 6 Abs. 1 lit. b DSGVO.

5. Auftragsabwicklung, individuelle Fertigung & Bilddaten

• Personalisierte Figuren: Für die Anfertigung individueller Figuren, Schlüsselanhänger und Voxel-Modelle verarbeiten wir die von Ihnen hochgeladenen Fotos, Referenzabbildungen, Textangaben und optionalen Logos auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.
• Cloud-Speicherung (DigitalOcean Spaces): Hochgeladene Fotos, Referenzdateien und Entwurfsbilder werden bei DigitalOcean Spaces im Rechenzentrum Frankfurt am Main (fra1, Deutschland) gespeichert. Dateien werden unter eindeutigen Schlüsseln mit Upload-Zeitstempel abgelegt.
• Minderjährige: Werden Fotos von Minderjährigen übermittelt, hat der Besteller sicherzustellen, dass die Zustimmung der Sorgeberechtigten vorliegt.
• Portfolio- und Referenznutzung:
  • Originalfotos von Kunden werden niemals ohne vorherige ausdrückliche Einwilligung veröffentlicht.
  • Fotos fertig hergestellter Figuren können im Rahmen unseres Portfolios gemäß AGB gezeigt werden. Sind auf dem fertigen Produkt reale Personen erkennbar, holen wir vor der Veröffentlichung eine ausdrückliche Einwilligung ein.
  • Einwilligungen können jederzeit mit Wirkung für die Zukunft per E-Mail an [email protected] widerrufen werden.

6. Zahlungsabwicklung mit Stripe

• Anbieter: Stripe Technology Europe Limited, 1 Grand Canal Street Lower, Dublin 2, Irland.
• Zweck: Abwicklung von Online-Zahlungen über gehostete Checkout-Sitzungen.
• Von unserem Server übermittelte Daten: Bestellpositionsbezeichnungen, Beschreibungen, Beträge in Euro-Cent, Stückzahlen, Produktbild-URLs, Währung, Parameter zur automatischen Steuerberechnung sowie interne Konfigurations-Metadaten (configId). Zahlungs- und Kreditkartendaten, Rechnungsadresse und E-Mail-Adresse werden von Stripe direkt im gehosteten Checkout-Formular erhoben und nicht auf unseren Servern gespeichert.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung) und Art. 6 Abs. 1 lit. f DSGVO (sichere Zahlungsabwicklung).

7. Transaktions-E-Mails mit Mailjet

• Anbieter: Mailjet SAS (Sinch), 4 rue Jules Lefebvre, 75009 Paris, Frankreich.
• Zweck: Zustellung von Transaktions-E-Mails wie Bestellbestätigungen, Freigabeanfragen für Korrekturabzüge (Proofs), Reparaturbestätigungen (Care & Restore), Voxel-Crew-Anfragen und gesetzlichen Widerrufseingangsbestätigungen.
• Verarbeitete Daten: Empfängername, E-Mail-Adresse, Betreffzeile, Vorlagen-Kennung, Vorlagenparameter (Bestellnummer, Freigabelink, Rechnungslink, Textbeleg, Referenznummern), Nachrichtentext und Dateianhänge.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragskommunikation) und Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Pflichten nach § 356a BGB).

8. Versand & Logistik mit DHL

• Anbieter: DHL Paket GmbH, Sträßchensweg 10, 53113 Bonn, Deutschland.
• Zweck: Erstellung von Paket-Versandaufklebern und Zustellung der physischen Waren.
• Übermittelte Daten: Vollständiger Name des Empfängers, Lieferadresse (Straße, Hausnummer, Postleitzahl, Ort, Ländercode), Paketabmessungen, Gewicht und Bestellnummer.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zustellung der Ware).

9. Unterstützende Fertigungs- & KI-Verfahren

Zur Unterstützung der Fertigungsvorbereitung und administrativen Bearbeitung setzen wir spezialisierte automatisierte Verfahren ein:

• Bestellprüfungs-Fotoanalyse (Google Cloud Vertex AI / Gemini; OpenAI Fallback): Wenn Sie vor der Bezahlung die finale Bestellprüfung öffnen, wird das hochgeladene Foto mittels Google Cloud Gemini (oder im Fehlerfall automatisiert via OpenAI) analysiert, um die Anzahl der Personen und Zubehörteile zu ermitteln. Übermittelte Daten: Base64-kodierte Bilddaten, MIME-Typ und Analyse-Prompt. Zweck & Rechtsgrundlage: Überprüfung der Bestellparameter und Vermeidung von Fehlkonfigurationen vor der Zahlung gemäß Art. 6 Abs. 1 lit. b DSGVO.
• Administrative Adressformatierung (Google Cloud Gemini): Im internen Auftrags-Backend wird unformatierter Adresstext zur Versandvorbereitung mittels Google Cloud Gemini strukturiert. Übermittelte Daten: Adress-Zeichenkette und Ländercode. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Administrative Skizzen- und Silhouettenerstellung (OpenAI / Google Gemini): Im internen Auftragsmanagement können Bildbearbeitungsschritte an Auftragsanhängen ausgeführt werden, um Silhouetten oder Skizzenvarianten zu erstellen. Übermittelte Daten: Bilddaten der Referenzabbildung und Konfigurations-Prompts. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Administrative 3D-Modellerstellung (Tripo3D): Zur Generierung von 3D-Modellen aus orthografischen Zeichnungen im administrativen Produktionsablauf können 2 bis 4 Perspektivansichten an Tripo AI übertragen werden. Übermittelte Daten: Bilddaten und MIME-Typ der ausgewählten Perspektivzeichnungen (Dateiname image) sowie Generierungsparameter (model_version, quad, face_limit, geometry_quality). Es werden keine Kundennamen, E-Mail-Adressen, Bestellnummern oder originalen Kundenfotos an Tripo AI übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. Marktplatz-Bestellungen (Etsy)

Bei Bestellungen über unseren Shop auf dem Marktplatz Etsy verarbeitet Etsy Ireland UC (bzw. Etsy, Inc.) personenbezogene Daten als eigenständige Verantwortliche. Wir erhalten die zur Vertragsabwicklung erforderlichen Daten (Name, Lieferanschrift, bestellte Artikel) zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Die Synchronisation von Produktkatalogen erfolgt über eine authentifizierte Schnittstelle.

11. Command-Center-Bot-Tracking auf Factory-Transparenzendpunkten

• Unsere Website stellt unter /factory/status.json und /factory Transparenzdaten bereit. Um die automatisierte Nutzung auszuwerten, Kapazitäten zu planen und die Serververfügbarkeit vor Scraping-Überlastung zu schützen, werden eingehende HTTP-Anfragen auf Bot- und Crawler-Signaturen geprüft.
• Verarbeitete und gespeicherte Daten: Client-IP-Adresse, User-Agent-Zeichenkette, Länderkennung (cf-ipcountry oder x-country), Referer, abgerufener Pfad und Zeitstempel.
• Speicherort: Gespeichert in unserer PostgreSQL-Datenbank bei DigitalOcean in Frankfurt am Main, Deutschland.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der IT-Sicherheit, Abwehr von Missbrauch und statistischer Messung von Transparenzabrufen).

12. Server-Logdateien & Infrastruktur

Bei jedem Aufruf unserer Webseiten werden technische Server-Logdateien verarbeitet (Client-IP-Adresse, Datum und Uhrzeit, aufgerufener Pfad, HTTP-Statuscode, Referrer-URL und Browser-User-Agent).

• Zweck & Rechtsgrundlage: Gewährleistung der Systemsicherheit, Erkennung von Cyberangriffen und technische Fehleranalyse gemäß Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: Server-Logdateien werden nach 7 bis 30 Tagen gelöscht oder anonymisiert.

13. Kundenkommunikation & Direktwerbung

• Direkte Anfragen per E-Mail werden zur Beantwortung Ihres Anliegens gemäß Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO verarbeitet.
• Bestandskundenwerbung: Wir können Bestandskunden über ähnliche Waren informieren (§ 7 Abs. 3 UWG); dieser Nutzung können Sie jederzeit kostenfrei widersprechen.

14. Externe Links & Social Media

Links zu externen Plattformen sind als einfache Hyperlinks ohne Tracking-Pixel oder Social-Plugins eingebunden. Eine Datenübertragung an die jeweiligen Netzwerke erfolgt erst, wenn Sie aktiv auf den jeweiligen Link klicken.

15. Widerrufsformular

Wenn Sie von der elektronischen Widerrufsfunktion auf unserer Website Gebrauch machen, verarbeiten wir die von Ihnen im Formular angegebenen Daten (wie Name, E-Mail-Adresse, Vertrags- oder Bestellreferenz, Umfang des Widerrufs sowie Datum und Uhrzeit der Übermittlung).

• Zweck: Entgegennahme, Protokollierung und Bearbeitung Ihrer Widerrufserklärung sowie die unverzügliche Übermittlung einer Eingangsbestätigung auf einem dauerhaften Datenträger gemäß § 356a BGB.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Erfüllung gesetzlicher Pflichten, insbesondere § 356a BGB) sowie Art. 6 Abs. 1 lit. b DSGVO (Abwicklung des Vertrags- bzw. Rückabwicklungsverhältnisses).
• Keine Nutzung zu Werbezwecken: Die über das Widerrufsformular erhobenen Daten werden ausschließlich für die Bearbeitung des Widerrufs und zur Erfüllung gesetzlicher Dokumentationspflichten verarbeitet. Eine Nutzung zu Werbe- oder Marketingzwecken findet nicht statt.
• Speicherdauer: Daten der Widerrufserklärung und der dazugehörige Textbeleg werden für die Dauer der gesetzlichen Aufbewahrungs- und Verjährungsfristen gespeichert (regelmäßig 3 Jahre zum Nachweis im Rahmen der zivilrechtlichen Regelverjährung nach § 195 BGB sowie bis zu 6 bis 10 Jahre, soweit handels- oder steuerrechtliche Aufbewahrungspflichten nach § 257 HGB und § 147 AO berührt sind).

16. Speicherdauer & Löschung

• Buchhaltungs-, Handels- und Steuerdaten: 6 bis 10 Jahre gemäß gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO).
• Personalisierungs- und Bilddaten: Für die Dauer der Fertigung und anschließender Gewährleistungsfristen, danach sichere Löschung, sofern keine ausdrückliche Portfolio-Einwilligung vorliegt.
• Server-Logs: 7 bis 30 Tage.
• Bot-Tracking-Logs: Gespeichert zur technischen Auswertung und Kapazitätsplanung.

17. Bereitstellung der Daten

Die Bereitstellung personenbezogener Daten für den Kaufvertrag ist vertraglich erforderlich. Ohne diese Daten können personalisierte Figuren nicht gefertigt oder ausgeliefert werden. Die Einwilligung in Webanalyse oder optionale Cookies ist vollständig freiwillig.

18. Ihre Betroffenenrechte

Nach der DSGVO stehen Ihnen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) über die verarbeiteten Daten,
• Berichtigung (Art. 16 DSGVO) unrichtiger Angaben,
• Löschung (Art. 17 DSGVO) bzw. „Recht auf Vergessenwerden“,
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) in einem gängigen Format,
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) jederzeit mit Wirkung für die Zukunft.

Besonderer Hinweis zum Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen. Verarbeiten wir Daten zu Zwecken der Direktwerbung, können Sie dieser Verarbeitung jederzeit ohne Angabe von Gründen widersprechen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte per E-Mail an: [email protected].

Zudem haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), beispielsweise der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

19. Aktualisierungen

Wir passen diese Datenschutzerklärung bei Änderungen unserer Leistungen oder der Gesetzeslage an. Die jeweils aktuelle Version ist jederzeit unter https://replitoy.com/privacy abrufbar.