Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

2. Allgemeines zur Datenverarbeitung

Diese Datenschutzerklärung gilt für unsere mobile App "nui edit" auf iOS und Android und für die Web-App unter app.nui-edit.com, einschließlich der dort ohne Konto erreichbaren Seiten (zum Beispiel Creator-Looks und Blog). Soweit nicht ausdrücklich anders ausgewiesen, gelten alle Angaben zu Datenverarbeitung, Drittanbietern und Betroffenenrechten für alle drei gleichermaßen. Die mobilen Apps greifen auf dieselben Server und dieselbe Datenbank zu wie die Web-App. Sie unterscheiden sich nur dort, wo das Betriebssystem etwas anderes vorgibt; diese Stellen sind unten ausdrücklich als iOS- bzw. Android-spezifisch gekennzeichnet.

Für unsere Website nui-edit.com gilt eine eigene Datenschutzerklärung der Website. Dort stehen die Dienste, die nur auf der Website laufen, etwa der Meta-Pixel und die Sitzungsaufzeichnung von PostHog. In der App setzen wir beide nicht ein.

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen App sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung des Nutzers oder wenn die Verarbeitung durch gesetzliche Vorschriften gestattet ist.

3. Rechtsgrundlagen

Soweit wir für Verarbeitungsvorgänge personenbezogener Daten eine Einwilligung einholen, dient Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage.

Bei der Verarbeitung personenbezogener Daten, die zur Erfüllung eines Vertrages erforderlich sind, dessen Vertragspartei die betroffene Person ist, dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage.

Soweit eine Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der unser Unternehmen unterliegt, dient Art. 6 Abs. 1 lit. c DSGVO als Rechtsgrundlage.

Ist die Verarbeitung zur Wahrung eines berechtigten Interesses unseres Unternehmens oder eines Dritten erforderlich und überwiegen die Interessen, Grundrechte und Grundfreiheiten des Betroffenen das erstgenannte Interesse nicht, so dient Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage.

4. Erhebung und Speicherung personenbezogener Daten

4.1 Registrierung und Nutzung

Bei der Registrierung in der App werden folgende Daten erhoben:

• E-Mail-Adresse
• Passwort (nur als Hash gespeichert, nie im Klartext; entfällt bei Anmeldung mit Apple oder Google)
• Altersbestätigung (mindestens 16 Jahre)
• Optional: Name und Alter für personalisierte Erfahrung
• Optional: Newsletter-Einwilligung (später separat in der App)

4.2 Style-Analyse und Präferenzen

Zur Bereitstellung personalisierter Stil-Empfehlungen verarbeiten wir:

• Antworten aus der Style-Analyse
• Farbpräferenzen und Stil-Keywords
• Hochgeladene Bilder von Kleidungsstücken
• Gespeicherte Outfit-Kombinationen

4.3 Technische Daten

Automatisch erfasste Informationen:

• IP-Adresse
• Browser-Typ und -Version
• Betriebssystem
• Zugriffsdatum und -uhrzeit

4.4 Nutzung der App (eigene Ereignis-Daten)

Um zu verstehen, wie unsere App genutzt wird und an welchen Stellen Abläufe abbrechen, halten wir bestimmte Ereignisse in unserer eigenen Datenbank fest — getrennt von den unter Ziffer 5 beschriebenen Diensten Dritter und ohne Weitergabe an sie.

Verarbeitete Daten:

• Ein Ereignisname (z. B. „Onboarding abgeschlossen“, „Bildschirm aufgerufen“) und einfache Merkmale dazu (z. B. der Name des Bildschirms oder die Fläche, von der ein Klick ausging)
• Deine Nutzer-Kennung (die interne UUID deines Kontos) sowie eine Kennung der laufenden Sitzung
• Zeitstempel, auf die volle Stunde gekürzt; daraus fortgeschrieben der Zeitpunkt deiner letzten Aktivität

Was ausdrücklich nicht erfasst wird: keine E-Mail-Adresse, keine IP-Adresse, kein Browser-Kennzeichen, keine Namen und keine Inhalte — also weder deine Garderobe, noch deine Fotos, noch Texte, die du eingibst. Die Daten liegen selbst gehostet in der EU (Frankfurt) und werden nicht an Dritte weitergegeben; lesen können sie ausschließlich Administratoren.

Wie lange ein Bildschirm geöffnet ist, halten wir an diesen Ereignissen nicht fest. Diese Verweildauer misst PostHog ohne deine Nutzer-Kennung (Ziffer 5.9). Für die Schritte des Onboardings berechnet dein Gerät die Dauer selbst und meldet nur eine grobe Stufe (zum Beispiel „30 bis 60 Sekunden“), die wir ohne Nutzer-Kennung als Strich in einer Wochenliste zählen. Beides führen wir nicht mit den Ereignissen oben zusammen.

Speicherdauer:
12 Monate. Löschst du dein Konto, werden diese Ereignisse zusammen mit dem Konto gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung und Weiterentwicklung unserer App). Du kannst dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) — unter Profil → App-Verbesserung oder unter Ziffer 6.3 dieser Seite. Der Widerspruch wirkt auch für die Ereignisse, die auf unseren Servern entstehen.

4.5 Vom Nutzer hochgeladene Inhalte

Unsere Services ermöglichen es, Bilder von Kleidungsstücken hochzuladen und digital zu verwalten. Diese Inhalte sind grundsätzlich nur für den jeweiligen Nutzer zugänglich, solange keine Sharing-Funktion genutzt wird.

Der Nutzer ist dafür verantwortlich, dass die hochgeladenen Inhalte keine Rechte Dritter verletzen (z. B. Markenrechte, Urheberrechte oder Persönlichkeitsrechte). Für den digitalen Kleiderschrank gilt insbesondere: Es dürfen nur eigene Kleidungsstücke hochgeladen werden — entweder einzeln fotografiert oder auf einem Foto, auf dem der Nutzer sie selbst trägt (dazu der übernächste Absatz). Die Nutzung von erkennbaren Markenlogos im privaten Kleiderschrank-Upload ist zulässig, solange die Bilder nicht für öffentliche Zwecke oder zu Werbezwecken genutzt werden.

Inspirations-Fotos (z. B. „Shop a Look“): Einzelne Funktionen ermöglichen es, ein Inspirations-Foto eines Outfits (z. B. einen Screenshot eines Looks aus sozialen Medien) hochzuladen, um dazu passende Produkte zu finden. Solche Fotos werden von uns ausschließlich flüchtig (ephemer) für die einmalige Analyse verarbeitet: Wir speichern und veröffentlichen sie nicht; nach Abschluss der Analyse liegt das Foto nicht mehr auf unseren Systemen vor. Vor der Analyse werden technische Bild-Metadaten (z. B. EXIF-Daten inklusive Aufnahmeort) entfernt. Die KI-Analyse erfasst ausschließlich Kleidungsstücke und deren Merkmale (z. B. Kategorie, Farbe, Stil); es findet keine Identifizierung abgebildeter Personen und keine Gesichtserkennung oder sonstige biometrische Auswertung statt. Die Verarbeitung erfolgt über die unter Ziffer 5.2 beschriebene KI-Infrastruktur in der EU. Soweit auf einem Inspirations-Foto Personen abgebildet sind, beruht diese kurzzeitige Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der angefragten Analyse), im Übrigen auf Art. 6 Abs. 1 lit. b DSGVO. Der Nutzer bleibt auch bei Inspirations-Fotos dafür verantwortlich, dass der Upload keine Rechte Dritter verletzt (insbesondere Urheber- und Persönlichkeitsrechte); die Fotos dürfen nur für diese private, nicht-öffentliche Analyse genutzt werden. Eine Ausnahme gilt nur für Creatorinnen, die ihr eigenes Foto ausdrücklich an einem Look zeigen lassen (Ziffer 4.6). Bevor du ein solches Foto zum ersten Mal hochlädst, bitten wir dich um eine ausdrückliche Bestätigung. Sie informiert dich vorab über die Auswertung (Art. 13 DSGVO) und dient uns als Nachweis; die genannte Rechtsgrundlage bleibt davon unberührt. Ohne diese Bestätigung nimmt unser Server das Foto nicht an. Du kannst sie jederzeit in der App unter Profil → Foto-Einwilligungen widerrufen.

Outfit-Analyse („Frag nui“): Eine weitere Funktion nimmt ein Foto des eigenen Outfits entgegen — ausdrücklich auch getragen — und gibt dazu eine Stil-Einschätzung zurück (Farbwirkung, Passform, Styling-Tipps). Anders als beim Kleiderschrank-Upload werden dabei keine Kleidungsstücke herausgelöst und keine Bilder angelegt: Das Foto wird ausschließlich flüchtig (ephemer) für diese eine Auswertung verarbeitet, technische Bild-Metadaten (z. B. EXIF-Daten inklusive Aufnahmeort) werden vorher entfernt, und nach der Auswertung liegt es nicht mehr auf unseren Systemen vor. Auch die zurückgegebene Einschätzung speichern wir nicht; sie wird nur angezeigt. Auf solchen Fotos ist regelmäßig der Nutzer selbst abgebildet — es findet gleichwohl keine Identifizierung, keine Gesichtserkennung und keine sonstige biometrische Auswertung statt; ausgewertet werden Kleidung, Farben und Proportionen des Outfits. Die Verarbeitung erfolgt über die unter Ziffer 5.2 beschriebene KI-Infrastruktur in der EU; die dort beschriebene, auf 30 Tage befristete Speicherung zur Missbrauchserkennung beim KI-Dienstleister bleibt davon unberührt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung der vom Nutzer selbst angefragten Analyse); sind weitere Personen mit abgebildet, beruht deren kurzzeitige Mitverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Bevor du ein solches Foto zum ersten Mal hochlädst, bitten wir dich um eine ausdrückliche Bestätigung. Sie informiert dich vorab über die Auswertung (Art. 13 DSGVO) und dient uns als Nachweis; die genannte Rechtsgrundlage bleibt davon unberührt. Ohne diese Bestätigung nimmt unser Server das Foto nicht an. Du kannst sie jederzeit in der App unter Profil → Foto-Einwilligungen widerrufen.

Fotos getragener Outfits: Der Upload in den digitalen Kleiderschrank nimmt auch Fotos an, auf denen der Nutzer die Kleidungsstücke selbst trägt. Aus einem solchen Foto lösen wir die einzelnen Stücke heraus und übernehmen sie als freigestellte Bilder automatisch in den Kleiderschrank des Nutzers; dort kann er jedes Stück prüfen, korrigieren oder löschen. Ob ein Foto ein einzelnes Kleidungsstück oder ein getragenes Outfit zeigt, erkennt die Verarbeitung selbst — einen getrennten Upload-Weg dafür gibt es nicht. Auf solchen Fotos ist regelmäßig eine Person abgebildet, weshalb Folgendes gilt:

• Das Originalfoto wird unmittelbar nach der Auswertung automatisch gelöscht — auch dann, wenn dabei keine Kleidungsstücke erkannt werden konnten oder die Auswertung fehlschlägt. Bei uns dauerhaft gespeichert bleiben nur die freigestellten Bilder der Kleidungsstücke. Ausnahme ist die verkleinerte Kopie, die du bei einem Foto ausdrücklich an einem Look speicherst (siehe „Eigenes Foto an einem gespeicherten Look“ unten). Unberührt davon bleibt die in Ziffer 5.2 beschriebene, auf 30 Tage befristete Speicherung zur Missbrauchserkennung bei unserem KI-Dienstleister — auf sie hat unsere sofortige Löschung keinen Einfluss.
• Die KI-Analyse erfasst ausschließlich Kleidungsstücke und deren Merkmale (z. B. Kategorie, Farbe, Stil). Es findet keine Identifizierung abgebildeter Personen und keine Gesichtserkennung oder sonstige biometrische Auswertung statt. Die freigestellten Bilder zeigen die Kleidungsstücke, nicht die abgebildete Person. Verwirft der Nutzer ein freigestelltes Bild, bleibt es zur Verbesserung der Erkennung gespeichert (Art. 6 Abs. 1 lit. f DSGVO); es erscheint dann nicht in seinem Kleiderschrank. Auf Wunsch löschen wir auch diese Bilder — eine kurze Nachricht an uns genügt.
• Die Verarbeitung erfolgt über die unter Ziffer 5.2 beschriebene KI-Infrastruktur in der EU.
• Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der vom Nutzer angeforderten Leistung). Wir holen hierzu zusätzlich eine ausdrückliche Bestätigung des Nutzers ein und dokumentieren sie; sie dient der Transparenz und dem Nachweis. Bei Nutzern, die die App bereits vor Einführung dieser Abfrage verwendet haben, wird sie beim nächsten Upload nachgeholt.
• Sind auf einem Foto weitere Personen abgebildet, beruht deren kurzzeitige Mitverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der angefragten Analyse). Der Nutzer bleibt dafür verantwortlich, dass er ein solches Foto hochladen darf; wir empfehlen, Fotos ohne weitere abgebildete Personen zu verwenden.

Eigenes Foto an einem gespeicherten Look: Du kannst an einen deiner gespeicherten Looks ein Foto von dir hängen, damit du später siehst, wie der Look an dir aussah. Das geht auf zwei Wegen: direkt am Look im Lookbook oder im Upload für deinen Schrank, wenn du bei einem Foto „Foto am Look speichern“ einschaltest (voreingestellt ist aus). Anders als bei den Fotos oben speichern wir dieses Foto dauerhaft:

• Das Foto bleibt gespeichert, bis du es entfernst, den Look löschst oder dein Konto löschst. Danach löschen wir die Datei. Sicherungskopien unserer Bilder-Ablage laufen nach höchstens sechs Monaten aus. Speicherst du mehrere Fotos an einem Look, sammeln sie sich dort als Galerie „So getragen“: höchstens ein Foto je Look und Tag, jedes Foto löschst du einzeln. Wird ein Look gelöscht, löschen wir alle seine Fotos mit.
• Das Foto ist nur für dich sichtbar. Es erscheint nicht in geteilten Looks, in Creator-Looks oder an anderen öffentlichen Stellen; beim Teilen eines Looks wird weiterhin die Illustration gezeigt. Wir legen es in einem privaten Speicher ab und liefern es nur über signierte Links an dich aus, die höchstens eine Stunde gültig sind.
• Vor dem Speichern entfernen wir technische Bild-Metadaten (z. B. EXIF-Daten inklusive Aufnahmeort) und verkleinern das Bild auf höchstens 1600 Pixel an der längsten Kante. Hängst du ein Foto direkt im Lookbook an einen Look, werten wir es nicht durch KI aus. Stammt es aus dem Schrank-Upload, wird es dort wie unter „Fotos getragener Outfits“ beschrieben per KI ausgewertet (Ziffer 5.2); es findet auch dabei keine Identifizierung, keine Gesichtserkennung und keine sonstige biometrische Auswertung statt.
• Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (du legst das Foto in deinem Konto ab, damit es dort wieder erscheint). Sind weitere Personen mit abgebildet, beruht die Speicherung in deiner privaten Ablage ihretwegen auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt darin, dass du dein eigenes Outfit-Foto privat aufbewahren möchtest und andere Personen auf solchen Fotos oft nur nebenbei zu sehen sind. Ihre Interessen überwiegen nicht, weil das Foto nur für dich sichtbar ist, nicht geteilt wird und wir ein Foto, das du direkt im Lookbook anhängst, nicht durch KI auswerten. Du bleibst dafür verantwortlich, dass du das Foto hochladen darfst: Andere Personen, vor allem Kinder, zeigst du nur mit deren Einverständnis, bei Kindern mit dem der Eltern. Am Foto-Menü weisen wir dich darauf hin.

Foto aus dem Schrank-Upload am Look speichern: Lädst du in den Schrank ein Foto hoch, auf dem du deinen Look trägst, legen wir aus den herausgelösten Stücken deinen Look „So getragen“ an und notieren den Tag des Uploads (Kalendertag, Berliner Zeit). Schaltest du bei einem Foto „Foto am Look speichern“ ein, legen wir nach der Auswertung eine verkleinerte Kopie ohne Metadaten privat an diesem Look ab (Speicherdauer wie oben). Alle anderen Fotos löschen wir nach der Auswertung wie unter „Fotos getragener Outfits“ beschrieben. Zeigt das Foto keine Person oder entsteht kein Look, speichern wir es nicht am Look.

Bevor ein Foto am Look gespeichert wird, bitten wir dich um eine ausdrückliche Bestätigung. Sie informiert dich vorab über die Speicherdauer (Art. 13 DSGVO) und dient uns als Nachweis; die Rechtsgrundlage (Art. 6 Abs. 1 lit. b DSGVO, für mitabgebildete Dritte lit. f) bleibt davon unberührt. Ohne diese Bestätigung speichern wir das Foto nicht am Look; der Upload selbst läuft weiter. Du kannst sie jederzeit in der App unter Profil → Foto-Einwilligungen widerrufen; bereits an Looks gespeicherte Fotos bleiben dann bis zu ihrer Löschung (Ziffer 7) bestehen.

Zu jedem Foto, das du so hochlädst, notieren wir außerdem den Tag, den Look und ob das Foto am Look blieb (Getragen-Tag), auch wenn du das Foto nicht speicherst. Daraus entstehen dein Wochenrückblick und die Statistik, wie oft du einen Look getragen hast. Der Eintrag bleibt, bis du den Look oder dein Konto löschst.

4.6 Creator-Looks (öffentliche Look-Seiten)

Creatorinnen stellen auf nui edit Looks zusammen, die ohne Konto unter einem Link (/c/…) erreichbar sind. Auf diesen Seiten zählen wir, wie oft ein Look aufgerufen wird, wie oft auf „Zum Shop“ getippt wird und wie oft der Hinweis zu Partner-Links gezeigt und bestätigt wird.

Was dabei gespeichert wird: ein Zählerstand je Look und Tag, ohne Bezug zu dir. Wir setzen dafür kein Cookie, speichern nichts auf deinem Gerät und keine IP-Adresse in unserer Datenbank. Damit niemand die Zähler automatisiert in die Höhe treibt, begrenzen wir die Zahl der Anfragen: Dafür bilden wir aus einem gekürzten Teil deiner IP-Adresse (den ersten drei Blöcken) einen Hashwert und halten ihn höchstens eine Stunde im Arbeitsspeicher des Servers; er landet weder in einer Datenbank noch in Logs.

Klick zum Shop: Tippst du nach deiner Einwilligung auf „Zum Shop“, halten wir ohne Bezug zu deiner Person fest, welches Produkt von welcher Fläche aus angeklickt wurde, zusammen mit einer Klick-Referenz samt Zeitstempel. Diese Referenz geht über den Link an Awin und den Shop (Ziffer 5.7), damit wir eine spätere Provision dem Look und der Creatorin zuordnen können. Ohne deine Einwilligung wird der Partner-Link nicht geöffnet. Deine Einwilligung kannst du jederzeit unten auf der Look-Seite unter „Cookie-Einstellungen“ widerrufen.

Eigene Fotos von Creatorinnen: Eine Creatorin kann einen Look aus einem Foto ihres Outfits erstellen. Das Foto wird dafür wie bei „Shop a Look“ (Ziffer 4.5) ohne Bild-Metadaten über die KI-Infrastruktur in der EU (Ziffer 5.2) ausgewertet, um passende Teile aus dem Katalog vorzuschlagen; es findet keine Identifizierung und keine biometrische Auswertung statt. Gespeichert wird das Foto nur, wenn die Creatorin auswählt, dass es auf der Look-Seite zu sehen sein soll, und bestätigt, dass sie es zeigen darf. Dann entfernen wir vorher technische Bild-Metadaten (z. B. EXIF-Daten samt Aufnahmeort), verkleinern es und speichern es bei Supabase (Ziffer 5.1). Es ist anschließend öffentlich auf der Look-Seite, auf ihrem Profil und im Bild zum Teilen auf Instagram zu sehen. Die Creatorin kann das Foto jederzeit tauschen oder entfernen; dann löschen wir die Datei. Sperren wir einen Look, entfernen wir das Foto ebenfalls. Mit dem Löschen des Kontos löschen wir alle Fotos der Creatorin. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von der Creatorin gewünschten Look-Seite). Sind weitere Personen abgebildet, ist die Creatorin dafür verantwortlich, deren Einverständnis zu haben.

Produktbilder und Statistik: Produktbilder werden beim Aufruf direkt vom Server des jeweiligen Shops geladen (Ziffer 5.11). Für die Nutzungsstatistik ohne Kontobezug gilt Ziffer 6.3.

Look melden: Meldest du einen Look, geht nur der Look und der gewählte Grund als Nachricht an unser Redaktionsteam im Dienst Slack (Slack Technologies Limited, Irland; eine Übermittlung in die USA stützt sich auf das EU-US Data Privacy Framework). Angaben zu dir werden dabei nicht erhoben.

Partner-Links: Die Links zu den Shops sind Affiliate-Links. Kaufst du über einen solchen Link, zahlt der Shop nui edit eine Provision, an der die Creatorin beteiligt wird; am Preis ändert sich für dich nichts.

Speicherdauer: Zählerstände haben keinen Bezug zu dir und bleiben erhalten, solange der Look besteht. Klick-Referenzen bewahren wir auf, solange wir sie für die Abrechnung mit Awin brauchen. Meldungen bewahren wir so lange auf, wie wir sie zur Bearbeitung brauchen.

Rechtsgrundlage für die Zähler und das Melden: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse daran, Creatorinnen zu zeigen, wie ihre Looks ankommen, und Missbrauch zu erkennen).

4.7 Wohnort und Wetter

Die Ortsauswahl und die Standorttaste kommen mit einer der nächsten App-Versionen; bis dahin wird kein Wohnort verarbeitet. Damit wir dir Outfits passend zum Wetter vorschlagen können, kannst du einen Wohnort hinterlegen. Du gibst ihn selbst ein oder, in der App, lässt ihn über den ungefähren Standort deines Geräts ermitteln (Ziffer 11).

Was gespeichert wird: nur die Stadt, als Verweis auf eine Ortsliste (Ziffer 5.14), und ob du sie eingetippt oder über das Gerät ermittelt hast. Koordinaten von dir speichern wir nicht. Bei der Ermittlung über das Gerät rundet die App die Position grob, der Server ordnet sie der nächsten Stadt zu und verwirft sie danach, ohne sie zu speichern oder zu protokollieren. Für das Wetter ruft unser Server die Vorhersage für diese Stadt ab (Ziffer 5.13). Die Vorhersage wird je Stadt und Tag zwischengespeichert und hat keinen Bezug zu dir.

Ändern und löschen: Du kannst deinen Wohnort jederzeit im Profil ändern oder entfernen. Ohne Wohnort zeigen wir kein Wetter an, und die Vorschläge funktionieren wie bisher. Mit dem Löschen des Kontos löschen wir den Wohnort ebenfalls.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Wettervorschläge, die du mit dem Hinterlegen eines Wohnorts nutzt). Für den Zugriff auf den ungefähren Standort deines Geräts holen wir vorher deine Einwilligung ein: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst sie jederzeit in den Systemeinstellungen deines Geräts widerrufen.

4.8 Farbtyp-Analyse (Selfie)

Zweck: Aus einem Selfie bestimmen wir deinen Farbtyp, damit wir dir passende Farben und Outfits vorschlagen können.

Verarbeitete Daten: dein Selfie (ein Foto deines Gesichts), im genaueren Modus zusätzlich ein Foto deines Unterarms, und die Augenfarbe, wenn du sie angibst. Eine KI wertet daraus Hautunterton, Haar- und Augenfarbe aus. Es findet keine Gesichtserkennung und keine Identifizierung statt, und wir trainieren keine KI mit deinen Daten. Die Auswertung läuft über die unter Ziffer 5.2 beschriebene KI-Infrastruktur in der EU.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Weil ein Gesichtsbild Rückschlüsse auf besondere Kategorien personenbezogener Daten zulassen kann, holen wir sie vorsorglich als ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO ein. Du gibst sie direkt vor dem Hochladen des Selfies; ohne sie nimmt unser Server das Selfie nicht an und die Analyse findet nicht statt.

Widerruf: jederzeit in der App unter Profil → Foto-Einwilligungen. Danach analysieren wir kein Selfie mehr, bevor du erneut einwilligst. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Was gespeichert bleibt: Das Selfie speichern wir nicht; wir verarbeiten es nur für die Dauer der Analyse. Unser KI-Dienstleister bewahrt es bis zu 30 Tage zur Missbrauchskontrolle in der EU auf und löscht es dann (Ziffer 5.2). Gespeichert bleibt das Ergebnis: dein Farbtyp und gegebenenfalls ein zweiter Farbtyp, die Sicherheit der Einschätzung, eine kurze Begründung, ob gefärbtes Haar oder Make-up erkannt wurde, und ein Protokoll der Analyse.

Löschung: Das Ergebnis bleibt, bis du eine neue Analyse machst, uns um Löschung bittest (info@nui-edit.com) oder dein Konto löschst. Ein Widerruf der Einwilligung löscht das Ergebnis nicht von selbst.

5. Verwendung von Drittanbieterdiensten

5.1 Supabase (Datenbank und Authentifizierung)

Wir nutzen Supabase (Supabase Inc., Sitz in San Francisco, USA) für:

• Benutzer-Authentifizierung
• Datenspeicherung (Profildaten, Analyse-Ergebnisse)
• Bild-Upload und -Verwaltung

Serverstandort:
Datenbank, Anmeldung und Bilder liegen in der Supabase-Region Frankfurt (EU). Weil Supabase seinen Sitz in den USA hat, ist ein Zugriff aus den USA (etwa im Support- oder Störungsfall) nicht ausgeschlossen. Dafür haben wir mit Supabase einen Auftragsverarbeitungsvertrag (Data Processing Agreement) mit den EU-Standardvertragsklauseln abgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Datenschutzerklärung: https://supabase.com/privacy
DPA: https://supabase.com/legal/dpa

5.2 Microsoft Azure OpenAI Service (KI-Analyse)

Für KI-gestützte Analysen und Empfehlungen nutzen wir Microsoft Azure OpenAI Service:

• Farbtyp-Analyse aus deinem Selfie (Ziffer 4.8)
• Erkennung und Freistellung einzelner Kleidungsstücke aus Fotos getragener Outfits
• Erkennung der Teile auf Inspirations-Fotos („Shop a Look“, siehe Ziffer 4.5)
• Stil-Einschätzung zu hochgeladenen Outfit-Fotos („Frag nui“, siehe Ziffer 4.5)
• Analyse von Style-Präferenzen und Kleidungsstücken
• Generierung personalisierter Farb- und Outfit-Empfehlungen
• KI-basierte Stil- und Outfit-Vorschläge

Serverstandort und Datenschutz:
Azure OpenAI Services werden ausschließlich in Microsoft-Rechenzentren in Schweden (EU) gehostet und erfüllen DSGVO-Anforderungen. Microsoft verarbeitet die Daten ausschließlich zur Bereitstellung des Services und nutzt keine Eingabedaten zum Trainieren von KI-Modellen. Zur Missbrauchserkennung (Abuse Monitoring) kann Microsoft übermittelte Ein- und Ausgaben (einschließlich Bilder) bis zu 30 Tage speichern und bei konkreten Verdachtsfällen durch autorisierte Mitarbeiter prüfen lassen; die Speicherung erfolgt innerhalb der EU, die Daten werden nicht zum Training verwendet und nach Ablauf der Frist gelöscht.

Datenschutzmaßnahmen:
Es werden keine Konto- oder Kontaktdaten wie Namen oder E-Mail-Adressen an den Service übermittelt. Übermittelte Bilder (z. B. Selfies für die Farbtyp-Analyse, Fotos getragener Outfits oder Inspirations-Fotos, siehe Ziffer 4.5) können Personen zeigen; sie werden ausschließlich zweckgebunden für die Analyse und Generierung von Mode-Empfehlungen verarbeitet und nicht zur Identifizierung von Personen genutzt.

Auftragsverarbeitung:
Microsoft hat mit uns einen Data Processing Agreement (DPA) gemäß Art. 28 DSGVO abgeschlossen, der automatisch in Azure-Verträgen enthalten ist und EU-Standardvertragsklauseln beinhaltet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Ausnahme ist die Farbtyp-Analyse aus dem Selfie: Sie beruht auf deiner Einwilligung (Ziffer 4.8). Die Rechtsgrundlagen der übrigen Foto-Funktionen stehen in Ziffer 4.5.
Datenschutzerklärung: https://privacy.microsoft.com/de-de/privacystatement
Azure OpenAI Datenschutz: https://learn.microsoft.com/de-de/legal/cognitive-services/openai/data-privacy
Microsoft DPA: https://aka.ms/dpa

5.3 Photoroom (Bildbearbeitung)

Für die automatische Hintergrundentfernung und Normalisierung von Kleidungsbildern nutzen wir die Photoroom API (Photoroom Technologies Inc., Paris, Frankreich):

• Automatische Freistell-Funktion (Hintergrundentfernung)
• Normalisierung und Zentrierung von Produktbildern
• Optimierung hochgeladener Kleidungsbilder

Verarbeitete Daten:
Es werden ausschließlich vom Nutzer hochgeladene Kleidungsbilder an die API übermittelt. Photoroom verarbeitet diese Bilder nur zur Bildbearbeitung und speichert sie nicht dauerhaft.

Serverstandort:
Die Verarbeitung erfolgt auf Servern in der EU (Frankreich) und ist DSGVO-konform. Photoroom ist SOC 2 Type 2 zertifiziert.

Datenverarbeitung:
Photoroom verarbeitet Bilddaten ausschließlich zur Erbringung der Bildbearbeitung (Hintergrundentfernung, Normalisierung). Die Nutzungsbedingungen für Geschäftskunden enthalten Auftragsverarbeitungsklauseln gemäß Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Datenschutzerklärung: https://www.photoroom.com/legal/privacy
Enterprise Services Agreement: https://www.photoroom.com/legal/enterprise-services-agreement

5.4 Sentry (Error Monitoring)

Zur Verbesserung der Stabilität und Performance unserer App nutzen wir Sentry von Functional Software, Inc. (San Francisco, USA). Sentry erfasst automatisch technische Fehlerinformationen und Performance-Daten, um die Funktionsfähigkeit der Anwendung zu überwachen und Fehler schneller beheben zu können.

Zweck der Datenverarbeitung:

• Erkennung und Analyse von technischen Fehlern
• Performance-Monitoring der Anwendung
• Verbesserung der Anwendungsstabilität

Verarbeitete Daten:

• Fehlermeldungen und Stack Traces
• Browser-Typ, -Version und Betriebssystem
• Aufgerufene URL und Zeitpunkt des Fehlers
• Performance-Metriken (Ladezeiten, API-Antwortzeiten)
• Gehashte Dateinamen (zur Analyse von Upload-Fehlern, ohne Klartext-Dateinamen)
• Technische Metadaten (z.B. Anzahl verarbeiteter Items, verwendete KI-Modelle, Seasons, Occasions)

Datenschutzmaßnahmen:
Wir haben Sentry so konfiguriert, dass personenbezogene Daten vollständig geschützt werden:

• Keine Benutzer-IDs, E-Mail-Adressen, Namen oder Alter werden geloggt
• Dateinamen werden vor der Übermittlung gehasht, um persönliche Informationen zu schützen
• Es werden ausschließlich technische Metadaten und Fehlermeldungen übermittelt
• Sensitive Header (z.B. Authorization, Cookies) werden automatisch entfernt
• Die Verarbeitung erfolgt ausschließlich zum Zweck der Fehleranalyse und technischen Verbesserung

Serverstandort:
Die Daten werden auf Sentry-Servern in Deutschland (ingest.de.sentry.io) verarbeitet und gespeichert, wodurch DSGVO-konforme Datenverarbeitung innerhalb der EU gewährleistet ist.

Speicherdauer:
Fehlerberichte werden bei Sentry für maximal 90 Tage gespeichert und anschließend automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Fehleranalyse und Verbesserung der technischen Stabilität). Sentry speichert oder liest keine Informationen auf deinem Endgerät, eine Einwilligung nach § 25 TDDDG ist deshalb nicht erforderlich. Du kannst der Fehler-Diagnose jederzeit widersprechen (Art. 21 DSGVO) — in der App unter Profil → App-Verbesserung; danach wird kein Fehlerbericht mehr übermittelt.
Datenschutzerklärung: https://sentry.io/privacy/
DPA (Data Processing Agreement): https://sentry.io/legal/dpa/ – Sentry hat einen Auftragsverarbeitungsvertrag (Data Processing Addendum) auf Basis der EU-Standardvertragsklauseln abgeschlossen, der die DSGVO-konforme Verarbeitung sicherstellt.

5.5 Vercel Web Analytics (Nutzungsanalyse)

Wir nutzen Vercel Web Analytics (Vercel Inc., San Francisco, USA) zur anonymisierten Analyse der Nutzung und zur Verbesserung unserer App.

Zweck der Datenverarbeitung:

• Anonymisierte Nutzungsstatistiken (Seitenaufrufe, Verweildauer)
• Technische Optimierung der App
• Verbesserung der Benutzerfreundlichkeit

Verarbeitete Daten:

• Besuchte Seiten (URLs)
• Land und Region (basierend auf IP-Adresse, aber KEINE vollständige IP-Adresse, Stadt oder Postleitzahl)
• Browser-Typ und -Version
• Betriebssystem und Gerätetyp
• Referrer (woher kam der Besucher)
• Zeitstempel des Besuchs

Datenschutzmaßnahmen:
Vercel Web Analytics arbeitet OHNE Cookies und OHNE persönliche Identifikatoren. Besucher werden über einen Hash aus dem Request identifiziert, der nach 24 Stunden automatisch verfällt. Es erfolgt KEIN Cross-Site-Tracking und KEINE Speicherung personenbezogener Daten (keine E-Mail, keine User-IDs, keine vollständigen IP-Adressen).

Serverstandort:
Unsere App läuft in der Vercel-Region Frankfurt (fra1). Weil Vercel seinen Sitz in den USA hat, ist eine Verarbeitung in den USA nicht ausgeschlossen; dafür gelten die EU-Standardvertragsklauseln (siehe unten und Ziffer 5.15).

Speicherdauer:
Session-Daten (Hash) werden nach 24 Stunden automatisch gelöscht. Aggregierte Statistiken werden dauerhaft gespeichert, enthalten aber keine personenbezogenen Informationen.

Datenübermittlung in die USA:
Vercel Inc. hat mit uns einen Data Processing Agreement (DPA) auf Basis der EU-Standardvertragsklauseln abgeschlossen, der die DSGVO-konforme Datenverarbeitung sicherstellt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der anonymen Reichweiten- und Nutzungsmessung zur Verbesserung der App). Da Vercel Web Analytics ohne Cookies arbeitet und keine Informationen auf deinem Endgerät speichert oder ausliest, ist keine Einwilligung nach § 25 TDDDG erforderlich. Du kannst dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) — in der App unter Profil → App-Verbesserung. Das gilt für die App; auf unserer Website nui-edit.com setzen wir Vercel Web Analytics nur mit deiner Einwilligung ein (siehe die Datenschutzerklärung der Website).
Datenschutzerklärung: https://vercel.com/legal/privacy-policy
Vercel Analytics Docs: https://vercel.com/docs/analytics/privacy-policy
DPA: https://vercel.com/legal/dpa

5.6 Brevo (Newsletter)

Für den Versand unseres Newsletters nutzen wir Brevo (ehemals Sendinblue), einen Dienst der Brevo SAS (7 rue de Madrid, 75008 Paris, Frankreich).

Zweck der Datenverarbeitung:

• Versand von Newsletter-E-Mails (neue Features, Styling-Tipps sowie Angebote aus den Shops unserer Partner, für die wir bei einem Kauf eine Provision erhalten)
• Durchführung des Double-Opt-In-Verfahrens zur Bestätigung der Anmeldung

Verarbeitete Daten:

• E-Mail-Adresse
• Zeitpunkt der Anmeldung und DOI-Bestätigung
• Optional: Vorname (falls in der App angegeben)

Double-Opt-In-Verfahren:
Wenn du den Newsletter in der App anforderst, erhältst du eine Bestätigungs-E-Mail. Erst nach Klick auf den Bestätigungslink wird deine E-Mail-Adresse in den Newsletter-Verteiler aufgenommen. Dies dient als Nachweis deiner Einwilligung.

Widerruf:
Du kannst deine Einwilligung jederzeit widerrufen, indem du den Abmelde-Link am Ende jedes Newsletters klickst oder uns per E-Mail an info@nui-edit.com kontaktierst.

Serverstandort:
Brevo ist ein französisches Unternehmen mit Sitz in der EU. Die Datenverarbeitung erfolgt DSGVO-konform auf Servern in der EU.

Speicherdauer:
Deine Newsletter-Daten werden bis zum Widerruf deiner Einwilligung (Abmeldung) gespeichert und anschließend gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Datenschutzerklärung: https://www.brevo.com/de/legal/privacypolicy/
DPA: https://www.brevo.com/de/legal/termsofuse/

5.7 Awin (Affiliate-Tracking)

Wir nehmen am Affiliate-Netzwerk der Awin AG (Eichhornstraße 3, 10785 Berlin, „Awin") teil. Wenn du in unserer App auf ein Produkt tippst und zum jeweiligen Partner-Shop weitergeleitet wirst, wird ein Affiliate-Tracking-Link verwendet.

Was passiert beim Klick auf ein Produkt:
Beim Öffnen des Partner-Shops über einen Affiliate-Link setzt Awin ein Cookie in deinem Browser, um die Transaktion unserem Publisher-Konto zuzuordnen. Dieses Cookie enthält keine personenbezogenen Daten, sondern lediglich eine Zuordnungs-ID, den Zeitpunkt des Klicks und die Advertiser-ID. Die Cookie-Laufzeit beträgt je nach Partner-Shop bis zu 30 Tage.

Welche Daten werden übermittelt:

• Klick-Zeitpunkt
• Referrer (nui edit als Quelle)
• Transaktionsdaten bei Kaufabschluss (Bestellwert, Provisions-ID – keine persönlichen Kundendaten)

Rechtsgrundlage:
Die Verarbeitung erfolgt auf Grundlage deiner Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die du über unser Consent-Banner erteilst. Du kannst deine Einwilligung jederzeit in den App-Einstellungen unter „Datenschutz" widerrufen. In diesem Fall werden Produkte weiterhin angezeigt, jedoch ohne Affiliate-Tracking.

Hinweis: Dieser Abschnitt betrifft den Klick auf ein Produkt. Unabhängig davon werden die Produktbilder schon beim Anzeigen direkt von den Servern der Partner-Shops geladen — siehe Ziffer 5.11.

Datenschutzerklärung: https://www.awin.com/de/datenschutzerklarung

5.8 Google Gemini (Anreicherung des Produktkatalogs)

Die Produktdaten unserer Partnershops (Bezeichnungen, Beschreibungen, Kategorien und Produktfotos aus den Händler-Feeds) reichern wir mit dem KI-Modell Gemini von Google an, um sie einheitlich zu kategorisieren, nach Stil und Farbe auszuzeichnen und kurze Produktbeschreibungen zu erzeugen.

Keine personenbezogenen Daten:
An diesen Dienst werden ausschließlich Katalogdaten unserer Partnershops übermittelt. Es werden keine Nutzerdaten, keine hochgeladenen Fotos, keine Profil- oder Analyseergebnisse und keine Konto- oder Kontaktdaten an Google übertragen. Die Anreicherung läuft als nächtlicher Hintergrundprozess auf dem Katalog, nicht während deiner Nutzung der App. Wir führen diesen Dienst hier auf, um vollständig darüber zu informieren, welche KI-Systeme wir einsetzen.

Datenschutzerklärung: https://policies.google.com/privacy

5.9 PostHog (Produktanalyse ohne Kontobezug)

Wir nutzen PostHog (PostHog Inc.) in der EU-Cloud, um ohne Bezug zu deinem Konto zu verstehen, welche Bereiche der App genutzt werden und an welchen Stellen Abläufe abbrechen — etwa wie viele Nutzer das Onboarding beenden oder von welcher Fläche aus Produkte angesehen werden.

Verarbeitete Daten:

• Ein Ereignisname (z. B. Seitenaufruf mit standardisiertem Bildschirmnamen) und einfache Merkmale ohne Personenbezug (z. B. die Fläche, von der ein Klick ausging)
• Wie lange eine Ansicht oder ein Abschnitt sichtbar war, wie weit gescrollt wurde und ob eine Ansicht vorwärts, zurück oder durch Schließen verlassen wurde — jeweils als Dauer beziehungsweise als Angabe aus einer festen Liste, ohne Bezug auf einzelne Inhalte wie ein bestimmtes Outfit oder Kleidungsstück
• Eine zufällige Kennung der laufenden Sitzung
• Zeitstempel

Datenschutzmaßnahmen:

• Keine Speicherung auf deinem Gerät: Es werden keine Cookies gesetzt und nichts im Browser-Speicher abgelegt. Die Kennung existiert nur im Arbeitsspeicher der laufenden Sitzung und ist nach dem Neuladen der App und nach einer halben Stunde im Hintergrund eine andere. Wiederkehrende Besuche sind dadurch nicht als dieselbe Person erkennbar.
• Keine IP-Adresse: Die IP-Adresse wird bereits auf deinem Gerät aus dem Ereignis entfernt, bevor es übermittelt wird.
• Keine Verknüpfung mit deinem Konto: Wir übermitteln keine Nutzer-Kennung, keine E-Mail-Adresse und legen keine Personenprofile an. Wir führen diese Daten auch nicht mit den Daten deines Kontos zusammen.
• Keine automatische Erfassung: Weder Klick-Aufzeichnung („Autocapture“) noch Sitzungsaufzeichnung („Session Replay“) sind aktiv. Übermittelt wird ausschließlich, was wir ausdrücklich als Ereignis vorgesehen haben.

Serverstandort:
Verarbeitung in der EU-Cloud von PostHog (eu.i.posthog.com).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse ohne Kontobezug zur Verbesserung der App). Da nichts auf deinem Endgerät gespeichert oder ausgelesen wird, ist keine Einwilligung nach § 25 TDDDG erforderlich. Du kannst der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO) — in der App unter Profil → App-Verbesserung.
Datenschutzerklärung: https://posthog.com/privacy
DPA: https://posthog.com/dpa

5.10 App Stores und Push-Zustellung (Apple und Google)

Die mobilen Apps beziehst du über den Apple App Store (Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA) beziehungsweise über Google Play (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; für bestimmte Verarbeitungen Google LLC, USA). Diese Anbieter verarbeiten im Zusammenhang mit dem Download, der Aktualisierung und — soweit du ein Abonnement abschließt — mit der Zahlungsabwicklung eigene Daten. Wir haben darauf keinen Einfluss und erhalten von dort keine Zahlungsdaten.

Was wir erhalten: Bei einem In-App-Abonnement bekommen wir eine Bestätigung des Kaufs (Produkt, Kaufzeitpunkt, Laufzeit, Testphasen-Status) sowie eine anbieterseitige Vorgangs-Kennung. Kreditkarten- oder Bankdaten erreichen uns zu keinem Zeitpunkt.

Push-Nachrichten: Erlaubst du Mitteilungen, läuft deren Zustellung über die Infrastruktur des jeweiligen Anbieters — auf iOS über den Apple Push Notification Service, auf Android über Firebase Cloud Messaging von Google. Übermittelt werden dabei der Inhalt der Nachricht und eine Geräte-Kennung, nicht deine E-Mail-Adresse oder dein Name.

Was wir dafür speichern: die Geräte-Kennung selbst, die Angabe ob es sich um ein iOS- oder Android-Gerät handelt, die Zeitzone deines Geräts (damit wir dich nicht nachts erreichen) und ein Protokoll darüber, dass zu einem Zeitpunkt eine Nachricht einer bestimmten Art an dich ging — nicht, was darin stand. Weitere Geräteinformationen erheben wir nicht. Die Geräte-Kennung löschen wir, sobald du dich abmeldest, sobald Apple oder Google sie als ungültig melden, nach 270 Tagen ohne Nutzung des Geräts, spätestens mit deinem Konto.

Worüber wir dich benachrichtigen — und worüber nicht: Es gibt drei Arten. Erstens die Rückmeldung zu etwas, das du selbst angestoßen hast: Die Verarbeitung deiner hochgeladenen Fotos läuft auf unserem Server weiter, auch wenn du die App schließt, und wir sagen dir Bescheid, wenn sie fertig ist — und wenn jemand auf einen von dir geteilten Look abstimmt. Zweitens gelegentliche Erinnerungen, wenn du längere Zeit nicht da warst — davon höchstens drei insgesamt, danach melden wir uns nicht wieder, tagsüber und nie öfter als einmal pro Woche. Drittens Angebote zu deinen Favoriten (Preisalarm für gemerkte Teile, Sale bei Shops, bei denen du Favoriten hast), aber nur, wenn du das eigens eingeschaltet hast, tagsüber und höchstens einmal am Tag. Angebote versenden wir per Push nur zu Teilen und Shops aus deinen Favoriten. Darüber hinausgehende Werbenachrichten oder Ankündigungen zu neuen Funktionen versenden wir nicht per Push.

Wie du das abschaltest: Alle drei Arten lassen sich in der App unter Profil einzeln ausschalten — du kannst also zum Beispiel die Erinnerungen abbestellen und die Rückmeldung zu deinen Uploads behalten. Angebote sind ohnehin nur an, wenn du sie zuvor eigens eingeschaltet hast. In den Systemeinstellungen deines Geräts kannst du Mitteilungen zusätzlich vollständig entziehen; auf Android auch getrennt nach diesen drei Arten.

Rechtsgrundlage: für die Rückmeldung zu deinen Uploads Art. 6 Abs. 1 lit. b DSGVO (Erfüllung unseres Vertrags mit dir), für die Erinnerungen deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG) — die gibst du im Hinweis vor der Systemabfrage, der beide Arten beim Namen nennt —, für die Angebote zu deinen Favoriten ebenfalls deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG), die du eigens im Profil erteilst. Du kannst beide Einwilligungen jederzeit widerrufen — der jeweilige Schalter im Profil ist genau dieser Widerruf.

Wer die Push-Nachrichten auf Android zustellt: Auf Android-Geräten übernimmt das Firebase Cloud Messaging, ein Dienst von Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; für Teilverarbeitungen Google LLC, USA). Wir übergeben Google dafür die Geräte-Kennung und den Inhalt der jeweiligen Nachricht — also etwa den Hinweis, dass deine hochgeladenen Teile fertig verarbeitet sind. Nicht übermittelt werden deine E-Mail-Adresse, dein Name, deine Fotos oder Ergebnisse deiner Stil-Analyse. Google verarbeitet diese Daten als unser Auftragsverarbeiter auf Grundlage des Cloud Data Processing Addendum, das die EU-Standardvertragsklauseln für die Übermittlung in die USA enthält. Wir setzen Firebase ausschließlich für diese Zustellung ein — keine Firebase-Analyse, keine Firebase-Datenbank, keine Anmeldung über Firebase.

Auf iOS läuft das bewusst anders: Dort geht die Zustellung direkt an den Apple Push Notification Service, ohne Google. Push-Daten von iPhones erreichen Firebase deshalb zu keinem Zeitpunkt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und, für die Zahlungsabwicklung, Art. 6 Abs. 1 lit. c DSGVO. Für die Übermittlung in die USA bestehen die Standardvertragsklauseln bzw. die jeweiligen Vertragswerke der Anbieter.
Datenschutzerklärung Apple: apple.com/legal/privacy
Datenschutzerklärung Google: policies.google.com/privacy

5.11 Produktbilder unserer Partner-Shops

Die Produktbilder in unseren Shopping-Bereichen speichern wir nicht selbst. Sie werden beim Aufbau der Seite direkt von den Servern des jeweiligen Partner-Shops geladen — technisch derselbe Vorgang, als würdest du die Produktseite des Shops aufrufen. Der jeweilige Shop erhält dabei die Daten, die dein Gerät für den Bildabruf ohnehin übermittelt: deine IP-Adresse, die Kennung deines Browsers beziehungsweise der App (User-Agent) sowie Datum und Uhrzeit des Abrufs. Ob und wie lange der Shop diese Daten speichert, entscheidet er selbst; darauf haben wir keinen Einfluss.

Das betrifft alle Flächen, auf denen Produkte angezeigt werden — auch die ohne Anmeldung zugängliche Produktübersicht. Es geschieht bereits beim Anzeigen und nicht erst beim Klick auf ein Produkt; der Klick selbst ist getrennt davon geregelt (Ziffer 5.7).

Welche Shops das im Einzelnen sind, ändert sich mit unserem Partner-Bestand. Die jeweils aktuelle Liste findest du in der App im Shopping-Bereich unter den angezeigten Marken; auf Anfrage nennen wir sie dir jederzeit vollständig unter info@nui-edit.com.

Was wir dabei nicht tun: Wir legen von diesen Bildern keine Kopie auf unseren eigenen Servern an und werten den Abruf nicht aus. Wir erfahren dadurch insbesondere nicht, welche Produktbilder dir angezeigt wurden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung der angefragten Produkte). Möchtest du das vermeiden, kannst du die Shopping-Bereiche der App ungenutzt lassen — alle übrigen Funktionen bleiben davon unberührt.

5.12 PayPal (Zahlungsabwicklung)

Schließt du ein Abonnement im Browser ab, wickeln wir die Zahlung über PayPal ab (PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Luxemburg). Du wirst dafür auf die Seiten von PayPal geleitet und gibst deine Zahlungsdaten dort ein.

Was wir erhalten: die Abonnement- und Zahlungs-Kennung, Betrag und Währung, den Status des Vorgangs, den Abo-Zeitraum sowie die bei PayPal hinterlegte E-Mail-Adresse und den Namen des Zahlenden. Kreditkarten-, Konto- oder Zugangsdaten erreichen uns zu keinem Zeitpunkt — diese verarbeitet ausschließlich PayPal. Welche Daten PayPal seinerseits verarbeitet, richtet sich nach dessen eigener Datenschutzerklärung.

In den mobilen Apps läuft die Zahlung stattdessen über den jeweiligen App Store (Ziffer 5.10).

Speicherdauer: Daten zu einem aktiven Abonnement löschen wir 30 Tage nach dessen Ende. Die Zahlungshistorie bewahren wir zehn Jahre auf — dazu sind wir nach § 147 Abgabenordnung verpflichtet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (steuerrechtliche Aufbewahrungspflicht).
Datenschutzerklärung: paypal.com/de/legalhub/privacy-full

5.13 Apple WeatherKit (Wetterdaten)

Das Wetter für deinen Wohnort (Ziffer 4.7) beziehen wir von Apple WeatherKit (Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA). Der Abruf läuft über unseren Server, nicht über dein Gerät.

Was Apple erhält: die Koordinaten der Stadt (die Ortsmitte aus unserer Ortsliste) und den gewünschten Zeitraum. Nicht übermittelt werden deine IP-Adresse, deine Geräte- oder Konto-Kennung, deine Position und sonstige Angaben zu dir. Apple kann den Abruf deshalb nicht dir zuordnen.

Apple verarbeitet die Anfragen auf Servern auch in den USA; die Übermittlung stützt sich auf die Standardvertragsklauseln bzw. die jeweiligen Vertragswerke von Apple. Als Quellenangabe zeigen wir bei jedem Wetter die Marke „Weather“ mit Link auf die Quellenseite von Apple.

Datenschutzerklärung: apple.com/legal/privacy

5.14 GeoNames (Ortsliste)

Für die Suche nach deinem Wohnort nutzen wir die Ortsdatenbank GeoNames (geonames.org). Wir haben die Liste der Städte einmalig in unsere eigene Datenbank importiert. Beim Suchen und Auswählen wird nichts an GeoNames übermittelt, es findet keine Datenübermittlung an GeoNames statt.

Die Daten stehen unter der Lizenz Creative Commons Attribution 4.0 (CC BY 4.0). Quelle: GeoNames, https://www.geonames.org.

5.15 Vercel (Hosting)

Die Web-App und die Server, mit denen auch die mobilen Apps sprechen, betreiben wir bei Vercel (Vercel Inc., Sitz in San Francisco, USA). Unsere Server laufen in der Vercel-Region Frankfurt (fra1). Bei jedem Aufruf verarbeitet Vercel die technischen Daten aus Ziffer 4.3 in Server-Protokollen (Speicherdauer siehe Ziffer 7, technische Logs).

Weil Vercel seinen Sitz in den USA hat, ist ein Zugriff aus den USA nicht ausgeschlossen. Dafür haben wir mit Vercel einen Auftragsverarbeitungsvertrag mit den EU-Standardvertragsklauseln abgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der App) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).
Datenschutzerklärung: https://vercel.com/legal/privacy-policy
DPA: https://vercel.com/legal/dpa

6. Cookies und ähnliche Technologien

Hinweis: Die mobilen Apps "nui edit" für iOS und Android zeigen unsere Web-Anwendung in einem eingebetteten Browserfenster an. Deshalb gelten die folgenden Angaben dort sinngemäß ebenso: Es werden die unter Ziffer 6.1 genannten notwendigen Cookies für deine Anmeldung gesetzt, und bei erteilter Shopping-Einwilligung die unter Ziffer 6.2 genannten. Für die Nutzungsanalyse und die Fehler-Diagnose gilt auch in den Apps, was unter Ziffer 6.3 steht: dafür wird nichts auf deinem Gerät gespeichert. Deine Einstellungen — etwa die Shopping-Einwilligung oder der Widerspruch gegen die Nutzungsanalyse — werden zusätzlich lokal auf dem Gerät abgelegt (auf iOS über UserDefaults und den Schlüsselbund, auf Android über die App-eigenen Einstellungen und den Speicher der App) und nicht an Dritte übermittelt. Den Cookie-Banner selbst siehst du nur im Browser; in den Apps triffst du dieselben Entscheidungen über die App-Dialoge und unter Profil → Datenschutz-Einstellungen.

Die Web-App verwendet folgende Kategorien von Cookies und Tracking-Technologien:

6.1 Notwendige Cookies (Immer aktiv)

• Authentifizierungs-Cookies (Session-Management von Supabase)
• Lokale Speicherung von Benutzereinstellungen

Diese Cookies sind für den Betrieb der Web-App erforderlich und können nicht deaktiviert werden.

6.2 Marketing-Cookies (Opt-in erforderlich)

Affiliate-Tracking-Cookies von Awin zur personalisierten Shopping-Empfehlung. Erfordert deine Zustimmung über den Cookie-Banner.

6.3 Nutzungsanalyse und Fehler-Diagnose (keine Einwilligung erforderlich)

Für die Nutzungsanalyse (Vercel Web Analytics, Ziffer 5.5; PostHog, Ziffer 5.9) und die Fehler-Diagnose (Sentry, Ziffer 5.4) werden keine Cookies gesetzt und keine Informationen auf deinem Endgerät gespeichert oder ausgelesen. Vercel Web Analytics nutzt eine serverseitige, nach 24 Stunden verfallende Hash-Erkennung; PostHog hält seine Kennung ausschließlich im Arbeitsspeicher der laufenden Sitzung und vergisst sie beim Neuladen; Sentry meldet ausschließlich Fehlerereignisse. Auch die Kennung, mit der wir deine eigenen Ereignisse zu einem Besuch zusammenfassen, liegt nur im Arbeitsspeicher und endet mit dem Besuch.

Weil damit kein Zugriff auf dein Endgerät im Sinne von § 25 TDDDG stattfindet, ist hierfür keine Einwilligung erforderlich; wir stützen diese Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO. Sie erscheint deshalb auch nicht im Cookie-Banner. Du kannst ihr jederzeit widersprechen (Art. 21 DSGVO) — direkt hier, oder in der App unter Profil → App-Verbesserung.

6.4 Cookie-Einstellungen verwalten

Du kannst deine Cookie-Einstellungen jederzeit über den Cookie-Banner ändern. Die Banner-Einstellungen werden in deinem Browser gespeichert (localStorage: cc_cookie). Der Widerspruch gegen die Nutzungsanalyse (Ziffer 6.3) wird getrennt davon unter analytics_opt_out gespeichert und — sofern du angemeldet bist — zusätzlich in deinem Nutzerprofil hinterlegt, damit er auch auf anderen Geräten gilt.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es erforderlich ist:

• Benutzerkonto-Daten: Bis zur Löschung des Accounts
• Analyse-Ergebnisse: Bis zur Löschung durch den Nutzer
• Hochgeladene Bilder von Kleidungsstücken: Bis zur Löschung durch den Nutzer
• Verworfene freigestellte Bilder aus getragenen Outfits: Bis zur Löschung auf Anfrage
• Originalfotos getragener Outfits: Bis zum Abschluss der Auswertung (in der Regel wenige Minuten), danach automatische Löschung
• Selfie für die Farbtyp-Analyse (Ziffer 4.8): wird nicht gespeichert; das Ergebnis bis zu einer neuen Analyse, zur Löschung auf Anfrage oder zur Löschung des Kontos
• Eigene Fotos an Looks (Ziffer 4.5): Bis du das Foto entfernst, den Look löschst oder dein Konto löschst; Sicherungskopien laufen nach höchstens sechs Monaten aus
• Tage, an denen du einen Look getragen hast (aus einem Foto am Look oder aus einem getragenen Foto im Schrank-Upload, auch ohne gespeichertes Foto): Bis du den Look oder dein Konto löschst
• Technische Logs: Maximal 30 Tage
• Ereignis-Daten zur App-Nutzung (Ziffer 4.4): 12 Monate, bei Kontolöschung sofort
• Newsletter-Daten: Bis zur Abmeldung/Widerruf der Einwilligung
• Wohnort (Ziffer 4.7): Bis du ihn änderst oder entfernst, spätestens bis zur Löschung des Kontos

8. Betroffenenrechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Information über verarbeitete Daten
• Berichtigungsrecht (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Löschungsrecht (Art. 17 DSGVO): Löschung Ihrer Daten
• Einschränkungsrecht (Art. 18 DSGVO): Beschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Übertragung in maschinenlesbarem Format
• Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen. Für die Nutzungsanalyse und die Fehler-Diagnose (Ziffern 5.4, 5.5, 5.9) genügt dafür ein Schalter in der App: Profil → App-Verbesserung. Er wirkt sofort und, wenn du angemeldet bist, auch auf deinen anderen Geräten.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Jederzeit möglich. Die Einwilligungen für Foto-Auswertungen (Selfie für die Farbtyp-Analyse, Fotos getragener Outfits, Outfit-Foto für „Frag nui“, Foto für „Shop a Look“, Fotos an deinen Looks) widerrufst du direkt in der App unter Profil → Foto-Einwilligungen — einzeln und mit einem Klick. Der Widerruf wirkt ab sofort; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt, und bereits erstellte Ergebnisse wie dein gespeicherter Farbtyp bleiben bestehen, bis du sie löschen lässt (Art. 17).

Konto-Löschung: Du kannst dein Konto direkt in der App unter "Einstellungen → Konto → Konto löschen" entfernen — im Browser ebenso wie in der iOS- und der Android-App. Nach Bestätigung werden alle personenbezogenen Daten (Profildaten, Style-Analyse-Ergebnisse, hochgeladene Bilder, Outfit-Kombinationen) unwiderruflich gelöscht; die hochgeladenen Bilder und der Kontodatensatz unmittelbar, alles Übrige innerhalb von 30 Tagen. Aus unseren Sicherungskopien verschwinden deine Bilder nicht sofort. Damit nach einem technischen Ausfall nichts verloren ist, sichern wir die Bilder jede Nacht an zwei Orten: verschlüsselt bei Microsoft Azure (Blob Storage, Region Schweden; Microsoft ist unser Auftragsverarbeiter und kann die Daten nicht lesen, weil wir sie vor dem Hochladen verschlüsseln) und als Spiegel auf einem Rechner in unseren eigenen Räumlichkeiten. Im Spiegel fallen gelöschte Bilder beim nächsten nächtlichen Abgleich heraus, aus der Sicherung bei Microsoft mit deren Ablauf, spätestens nach sechs Monaten. Bis dahin nutzen wir die Sicherungen für nichts anderes als eine Wiederherstellung. Bist du für unseren Newsletter angemeldet, wird dabei auch dein Kontakt bei unserem Newsletter-Dienstleister (Brevo) gelöscht. Aktive Abonnements werden nicht automatisch gekündigt — die kündigst du dort, wo du sie abgeschlossen hast: in den Apple-ID-Einstellungen (iOS), im Google-Play-Konto (Android) oder bei PayPal (Browser).

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: info@nui-edit.com

9. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein:

• SSL/TLS-Verschlüsselung für alle Datenübertragungen
• Speicherung von Passwörtern nur als Hash
• Regelmäßige Sicherheitsupdates
• Zugriffsbeschränkungen auf Datenbanken
• Sichere Cloud-Infrastruktur (Supabase)

10. Änderungen der Datenschutzerklärung

Diese Datenschutzerklärung kann bei Änderungen unserer Services oder rechtlicher Anforderungen angepasst werden. Die aktuelle Version findest du jederzeit in der App und unter app.nui-edit.com/legal/datenschutz.

11. App-Berechtigungen (iOS und Android)

Die nui edit App fragt folgende Geräte-Berechtigungen ab. Jede Berechtigung wird nur dann angefordert, wenn du die zugehörige Funktion aktiv nutzt:

iOS

• Kamera (NSCameraUsageDescription): Zum Fotografieren von Kleidungsstücken, von getragenen Outfits und von Selfies für die Farbtyp-Analyse sowie für ein Foto, das du an einen gespeicherten Look hängst.
• Foto-Mediathek (NSPhotoLibraryUsageDescription): Zum Auswählen vorhandener Bilder aus deiner iOS-Foto-Mediathek, auch für ein Foto an einem gespeicherten Look.
• Standort (ungefähr, optional) (NSLocationWhenInUseUsageDescription): Nur wenn du in der Ortsauswahl auf „Meinen Standort nutzen“ tippst, und nur der ungefähre Standort, nicht die genaue Position. Wir nutzen ihn ausschließlich, um deine Stadt für das Wetter zu ermitteln (Ziffer 4.7). Die genaue Position wird nie erfasst oder gespeichert. Du kannst die Erlaubnis jederzeit in den Systemeinstellungen entziehen und deinen Wohnort stattdessen eintippen.
• Mitteilungen (UNUserNotificationCenter): Optional. Für die Rückmeldung, wenn die Verarbeitung deiner Uploads fertig ist, und für gelegentliche Erinnerungen. Auf iOS gilt diese eine Erlaubnis für alle Mitteilungen der App, wir fragen dich deshalb nur einmal.

Android

• Kamera (android.permission.CAMERA): Zum Fotografieren von Kleidungsstücken, von getragenen Outfits und von Selfies für die Farbtyp-Analyse sowie für ein Foto, das du an einen gespeicherten Look hängst.
• Mitteilungen (android.permission.POST_NOTIFICATIONS): Optional. Für die Rückmeldung, wenn die Verarbeitung deiner Uploads fertig ist, und für gelegentliche Erinnerungen. Ab Android 13 fragt das System dich hierzu ausdrücklich. Beide Arten laufen über getrennte Benachrichtigungskanäle, die du in den Systemeinstellungen einzeln stummschalten kannst.
• Kein Zugriff auf deine Galerie: Zum Auswählen vorhandener Bilder nutzen wir die Foto-Auswahl des Android-Systems. Sie übergibt uns nur die Bilder, die du selbst antippst — eine Berechtigung für deinen Medienspeicher fordern wir bewusst nicht an, weil die App damit auch alle übrigen Fotos sehen könnte.
• Standort (ungefähr, optional) (android.permission.ACCESS_COARSE_LOCATION): Nur wenn du in der Ortsauswahl auf „Meinen Standort nutzen“ tippst, und nur der ungefähre Standort. Wir nutzen ihn ausschließlich, um deine Stadt für das Wetter zu ermitteln (Ziffer 4.7). Die genaue Position (ACCESS_FINE_LOCATION) fordern wir nicht an, sie ist aus der App entfernt; sie wird nie erfasst oder gespeichert. Du kannst die Erlaubnis jederzeit in den Systemeinstellungen entziehen und deinen Wohnort stattdessen eintippen.
• Kein Mikrofon: Diese Berechtigung wird von einer eingebundenen Programmbibliothek mitgeliefert, aber von uns ausdrücklich aus der App entfernt.

Du kannst jede dieser Berechtigungen jederzeit in den Systemeinstellungen deines Geräts widerrufen — auf iOS unter "Einstellungen → nui edit", auf Android unter "Einstellungen → Apps → nui edit → Berechtigungen". Bilder werden ausschließlich auf den unter Punkt 5 genannten Diensten verarbeitet (Supabase, Azure OpenAI, Photoroom) und nicht ohne aktiven Upload-Vorgang aus der App übertragen.

Android-Datensicherung: Android sichert App-Daten auf Wunsch in deinem Google-Konto. Die Einstellungen, die deine Datenschutz-Entscheidungen festhalten, haben wir von dieser Sicherung ausgenommen — nach einer Neuinstallation oder einem Gerätewechsel fragen wir dich also erneut, statt eine alte Entscheidung stillschweigend zu übernehmen.

App-Tracking-Transparency (ATT): Da die nui edit iOS-App das Affiliate-Netzwerk Awin (siehe Punkt 5.7) einsetzt, das zu den von Apple als "Tracking" klassifizierten Diensten zählt, zeigen wir den ATT-Systemdialog. Er erscheint nicht mehr beim App-Start, sondern erst bei deiner ersten Berührung mit dem Shopping-Bereich — also dort, wo Produkte von Partner-Shops angezeigt werden. Davor erklären wir dir kurz, worum es geht. Wir verwenden den Werbe-Identifier (IDFA) selbst nicht; die ATT-Erlaubnis ist erforderlich, weil die Affiliate-Domains in der iOS-Datenschutzdeklaration (PrivacyInfo.xcprivacy) als Tracking-Domains aufgeführt sind. Lehnst du den ATT-Dialog ab, blockiert iOS automatisch den Zugriff auf diese Domains. Die Produkt-Links zu unseren Partner-Shops sind dann nicht nutzbar, die übrige App funktioniert genauso. Die ATT-Entscheidung betrifft ausschließlich das Affiliate-Shopping: Fehler-Diagnose (Sentry, Punkt 5.4) und Nutzungsstatistik sind kein Tracking im Sinne dieser Definition, sind nicht als Tracking-Domains deklariert. Sie laufen ohne Einwilligung auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), weil sie nichts auf deinem Endgerät speichern; du kannst ihnen jederzeit unabhängig von ATT widersprechen (Profil → App-Verbesserung). Du kannst die ATT-Entscheidung jederzeit in den iOS-Einstellungen unter "Datenschutz & Sicherheit → Tracking" ändern.

Auf Android gibt es keinen entsprechenden Systemdialog. Die Einwilligung in das Affiliate-Shopping holen wir dort in der App selbst ein — an derselben Stelle und mit demselben Wortlaut wie auf iOS, nämlich bei deiner ersten Berührung mit dem Shopping-Bereich. Ohne diese Einwilligung sind die Produkt-Links deaktiviert, die übrige App funktioniert unverändert. Ändern kannst du die Entscheidung jederzeit unter Profil → Datenschutz-Einstellungen. Einen Werbe-Identifier deines Geräts (Android Advertising ID) verwenden wir nicht.

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:

13. Kontakt

Bei Fragen zum Datenschutz kontaktieren Sie uns:

Stand: 15.10.2026