Datenschutzerklärung

Version 2026-10-05

Verantwortlicher. Unworn i.o., Registrierung folgt, Handelsregister (Kamer van Koophandel) Registrierung folgt, betreibt die Plattform unter dem Namen Unworn. Unworn i.o. ist eine Gesellschaft in Gründung. Ihre Founder handeln als ihre Vertreter, und die Gesellschaft bestätigt diese Erklärung mit ihrer Eintragung.

Datenschutzkontakt. [email protected]

Sprache. Diese Erklärung liegt auf Niederländisch, Englisch, Deutsch, Französisch, Spanisch und Italienisch vor. Alle Fassungen sagen dasselbe.

1. Wer wir sind

1.1 Unworn ist eine Plattform für Unternehmen der Modebranche. Eine Marke nutzt sie, um ihre eigenen Bestandsdaten zu analysieren und zu entscheiden, was mit Ware geschieht, die sich nicht verkauft. Geprüfte professionelle Käufer bieten auf die Angebote, die eine Marke einstellt. Wir stellen die Software, die Analyse und den Markt bereit. Wir werden nie Eigentümer von Waren, halten nie Waren und halten nie Geld: Der Kauf kommt zwischen Verkäufer und Käufer zustande, und die Zahlung geht an ein lizenziertes Zahlungsinstitut oder direkt an den Verkäufer.

1.2 Diese Erklärung erläutert, welche personenbezogenen Daten wir als Verantwortlicher verarbeiten, warum, wer sie erhält, wie lange wir sie aufbewahren und welche Rechte du hast. Sie gilt für die Portale, die Marketing-Website, die Warteliste und unsere Support-Mail. Sie gilt nicht für die Daten, die eine Marke für ihre eigene Analyse anbindet und die wir als Auftragsverarbeiter der Marke verarbeiten (Abschnitt 3), und nicht für das, was das Zahlungsinstitut auf eigene Rechnung unter seiner eigenen Datenschutzerklärung tut.

1.3 Die Plattform ist nur für Unternehmen. Die Personen, deren Daten wir verarbeiten, arbeiten für diese Unternehmen oder besuchen unsere Website.

2. Wessen Daten und welche Daten

2.1 Nutzer

Wenn du dich registrierst oder der Inhaber deiner Organisation dich einlädt, verarbeiten wir deinen Vor- und Nachnamen, deine geschäftliche Mailadresse, deine Telefonnummer, dein Passwort (als Hash gespeichert, nie im Klartext), deine Sprache, die Version der Bedingungen und dieser Erklärung, die du akzeptiert hast, und wann, sowie die IP-Adresse und den Zeitpunkt jedes Logins. Deine Telefonnummer ist da, damit die Gegenpartei oder wir dich in einem Streitfall erreichen können.

2.2 Kontaktdaten von Organisationen

Von jeder Organisation halten wir den eingetragenen Namen, die Anschrift, das Land, die Handelsregisternummer, die USt-IdNr. und die Namen und Kontaktdaten der Personen, die sie vertreten. Von einem Verkäufer außerdem die IBAN auf seinem Fakturierungsmandat. Bei einem Einzelunternehmer sind diese Angaben ebenfalls personenbezogene Daten.

2.3 Screening von Käufern

Ein Käufer stellt einen Antrag, bevor er zugelassen wird. Wir verarbeiten die Unternehmensdaten, die USt-IdNr. und die Antwort des europäischen VIES-Registers, das Ergebnis eines Abgleichs des Unternehmens und seiner wirtschaftlich Berechtigten mit den Sanktionslisten der EU, der UN, des Vereinigten Königreichs und der USA, die Nachweise über die Kanäle, über die der Käufer verkauft, und die Beschreibung, die der Käufer in eigenen Worten geschrieben hat. Eine Person aus unserem Team liest den Antrag und legt das Ergebnis fest. Dieses Ergebnis, eine interne Klassifizierung, die bestimmt, welche Angebote ein Käufer sehen darf, und die festgehaltene Begründung werden beim Antrag aufbewahrt. Die Klassifizierung wird nie offengelegt (Abschnitt 8.5).

2.4 Transaktionen und Abwicklung

Wenn ein Verkäufer ein Bid annimmt, verarbeiten wir, was Abwicklung und Lieferung brauchen: die Bestellung, die Verkaufsrechnung, die wir im Namen des Verkäufers erstellen, unsere Gebührenrechnungen, den Zahlungsstatus, den das Zahlungsinstitut uns meldet, die Freigabeanweisung, die Packliste, die Verladefotos, den Wareneingangsbericht, den Verbleibsbericht, wo das Angebot ihn verlangt, und jede Nachricht und jeden Anhang in einem Streitfallverlauf. Nach der Annahme erhalten Verkäufer und Käufer die Kontaktdaten des jeweils anderen (Abschnitt 5). Wir erhalten nie Karten- oder Bankdaten eines Käufers: Ein Käufer zahlt an das Zahlungsinstitut oder direkt an den Verkäufer, nie an uns.

2.5 Entscheidungsprotokolle und Logs

Für jede Empfehlung, die die Engine einer Marke gibt, schreiben wir ein Entscheidungsprotokoll und eine Erläuterung in ganzen Sätzen. Sie nennen die Organisation, den Bestand, das Ergebnis und wer es bestätigt hat, nie einen Käufer. Das Audit-Log hält jede Statusänderung auf der Plattform fest und jede manuelle Entscheidung eines internen Nutzers, mit der Begründung, die diese Person eingetippt hat, einschließlich jedes Mals, wenn jemand aus unserem Team eine Reserve einsieht. Beide sind nur erweiterbar: Eine einmal geschriebene Zeile kann nicht mehr geändert werden. Von einem Aufruf eines Sprachmodells behalten wir einen Hash der Eingabe und den zurückgegebenen Vorschlag, nie die Eingabe selbst. Die Fehlerüberwachung erhält deine Nutzer-ID und deine Organisations-ID als bedeutungslose Kennungen, nie deinen Namen oder deine Mailadresse (Abschnitt 5.1).

2.6 Warteliste und Besucher der Website

Wenn du dich in die Warteliste einträgst, behalten wir die Mailadresse, die du angegeben hast, und die Angaben, die du hinzugefügt hast. Wenn du die Marketing-Website besuchst, verarbeiten wir deine IP-Adresse, deinen Browsertyp und die Seiten, die du aufrufst, um die Seiten auszuliefern und die Website sicher zu halten. Cookies behandelt Abschnitt 9.

2.7 Support

Wenn du an [email protected] schreibst, behalten wir deine Nachricht, deine Adresse und unsere Antwort.

3. Daten, die wir für eine Marke als Auftragsverarbeiter verarbeiten

Eine Marke bindet ihre eigenen Daten an oder lädt sie hoch, für die Analyse, die sie auf diesen Daten ausführt: Bestellungen, Bestand, Preise und Produktdaten aus Shopify, einem ERP, einem Lagersystem oder einer CSV- oder XLSX-Datei. Kunden in diesen Daten erreichen uns nur als pseudonyme Kennungen, nie als Namen oder Adressen. Für diese Daten ist die Marke der Verantwortliche und wir sind ihr Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag (Dokument 04) regelt das: was wir damit tun dürfen, welche Unterauftragsverarbeiter sie berühren, wie ein Kunde einer Marke seine Rechte über die Marke ausübt und was geschieht, wenn die Verbindung endet. Ein Kunde einer Marke wendet sich an die Marke; wir helfen der Marke bei der Antwort.

4. Zwecke und Rechtsgrundlagen

Zweck	Daten	Rechtsgrundlage
Betrieb deines Kontos und der Plattform, Mails über die Plattform	Nutzer, Kontaktdaten von Organisationen	Erfüllung des Vertrags mit deiner Organisation
Screening von Käufern, Sanktions- und USt-Prüfungen	Screening von Käufern	Rechtliche Verpflichtung (Sanktions- und Umsatzsteuerregeln) und unser berechtigtes Interesse an einem Markt, der nur geprüfte Käufer zulässt
Abwicklung, Lieferung, Wareneingangsberichte, Streitfälle	Transaktionen und Abwicklung	Erfüllung des Vertrags; das Zahlungsinstitut ist eigenständiger Verantwortlicher für die Zahlung und seine eigene Kundenprüfung
Entscheidungsprotokolle, Audit-Log, Rechnungen	Entscheidungsprotokolle und Logs, Transaktionen	Rechtliche Verpflichtung (die EU-Dokumentationspflicht für unverkaufte Textilien, steuerliche Aufbewahrung) und unser berechtigtes Interesse an Beweisen für Streitfälle
Vorschläge eines Sprachmodells	Abschnitt 5.2	Erfüllung des Vertrags; eine Person bestätigt jeden Vorschlag
Fehlerüberwachung	Bedeutungslose Kennungen, technische Fehlerdaten	Berechtigtes Interesse an einer Plattform, die funktioniert
Marketing-Mails an Interessenten und die Warteliste	Warteliste, Interessenten	Einwilligung, oder bei bestehenden Kunden die Opt-out-Regel für ähnliche Dienste, immer mit einem Abmeldelink
Analyse und Werbung auf der Marketing-Website und in den Portalen	Cookies, Abschnitt 9	Einwilligung über das Cookie-Banner
Ausliefern und Absichern der Marketing-Website	Besucher der Website	Berechtigtes Interesse an einer Website, die funktioniert und sicher ist
Beantworten von Supportanfragen	Support	Erfüllung des Vertrags, oder unser berechtigtes Interesse, dir zu antworten
Beantworten einer Behörde	Was die Behörde rechtmäßig verlangen darf	Rechtliche Verpflichtung

Wo wir uns auf ein berechtigtes Interesse stützen, kannst du widersprechen (Abschnitt 8.4). Wo wir uns auf eine Einwilligung stützen, kannst du sie jederzeit widerrufen.

5. Empfänger und Unterauftragsverarbeiter

5.1 Die Liste

Diese Liste ist vollständig. Wir nehmen niemanden auf, ohne sie zu aktualisieren; für Auftragsverarbeitungsdaten gibt der Auftragsverarbeitungsvertrag der Marke eine Ankündigung und ein Widerspruchsrecht.

Rechtlicher Name	Land	Rolle	Was er erhält	Übermittlungsgrundlage
Online Payment Platform B.V.	Delft, Niederlande	Zahlungsinstitut mit Lizenz der De Nederlandsche Bank; eigenständiger Verantwortlicher	Die Zahlung des Käufers, die Bestellreferenz und den Betrag, was es zur Verifizierung von Verkäufer und Käufer braucht; es meldet uns den Zahlungsstatus	EU
Hetzner Online GmbH	Deutschland, und Finnland, wo genutzt	Hosting; Auftragsverarbeiter	Alles, was die Plattform speichert	EU
Anthropic PBC	Vereinigte Staaten, Inferenz auf die EU-Region festgelegt	Aufrufe eines Sprachmodells; Auftragsverarbeiter	Genau das, was Abschnitt 5.2 beschreibt; kein Training auf unseren Daten	Standardvertragsklauseln und das EU US Data Privacy Framework
Mailgun Technologies Inc., Teil von Sinch	Vereinigte Staaten, EU-Endpunkt	Transaktionsmails; Auftragsverarbeiter	Empfängeradresse, Betreff und Inhalt der Mails, die die Plattform versendet	EU-Endpunkt; Standardvertragsklauseln für jeden Zugriff von außerhalb der EU
Functional Software Inc., handelnd als Sentry	Vereinigte Staaten, EU-Ingest	Fehlerüberwachung; Auftragsverarbeiter	Technische Fehlerdaten mit Nutzer-ID und Organisations-ID als bedeutungslosen Kennungen; kein Name, keine Mailadresse, kein Request-Body, kein Cookie; 90 Tage aufbewahrt	EU-Ingest; Standardvertragsklauseln für jeden Zugriff von außerhalb der EU
Shopify International Ltd	Irland	Quelle einer Verbindung, die eine Marke autorisiert; eigenständiger Verantwortlicher für den Shop	Wir lesen, was die Marke autorisiert. Shopify sendet uns drei Compliance-Webhooks: eine Anfrage nach den Daten, die wir über einen Shop-Kunden halten, eine Anfrage, einen Shop-Kunden zu löschen, und eine Mitteilung, dass ein Shop die App entfernt hat (Abschnitt 8.3)	EU
Das Lager des Verkäufers: Monta B.V. oder ein anderes, das der Verkäufer benennt	Wo das Lager steht	Auftragnehmer des Verkäufers	Die Freigabeanweisung und die Abholdaten des Käufers: Spediteur, Abholfenster, eine Kontaktperson	Die eigene Vereinbarung des Verkäufers
Der Spediteur des Käufers	Vom Käufer benannt	Auftragnehmer des Käufers	Die Abholadresse, eine Kontaktperson im Lager, die Packliste	Die eigene Vereinbarung des Käufers
Die Gegenpartei einer Transaktion	Überall, wo Käufer zugelassen sind	Eigenständiger Verantwortlicher	Nach der Annahme: eingetragener Name, Anschrift, USt-IdNr., Name, Mailadresse und Telefonnummer der Kontaktperson, und beim Verkäufer die IBAN auf der Verkaufsrechnung	Innerhalb der EU keine; außerhalb der EU Abschnitt 6
Google Ireland Limited	Irland	Google Tag Manager und Google Analytics: Auftragsverarbeiter. Google Ads: eigenständig Verantwortlicher für das Messen und Zuordnen von Werbung	Was Abschnitt 9.2 nennt, mit deiner Einwilligung	EU; für Zugriffe aus den Vereinigten Staaten das EU-US Data Privacy Framework und Standardvertragsklauseln
Microsoft Ireland Operations Limited	Irland	Microsoft Clarity, Sitzungsaufzeichnungen und Heatmaps: eigenständig Verantwortlicher	Was Abschnitt 9.2 nennt, mit deiner Einwilligung; der Inhalt der Portale ist maskiert	EU; für Zugriffe aus den Vereinigten Staaten das EU-US Data Privacy Framework und Standardvertragsklauseln
Meta Platforms Ireland Limited	Irland	Meta Pixel: mit uns gemeinsam Verantwortlicher für das Erheben und Übermitteln der Daten, danach eigenständig Verantwortlicher	Was Abschnitt 9.2 nennt, mit deiner Einwilligung	EU; für Zugriffe aus den Vereinigten Staaten das EU-US Data Privacy Framework und Standardvertragsklauseln
Behörden	Niederlande oder EU	Eigenständiger Verantwortlicher	Was das Gesetz vorschreibt	Rechtliche Verpflichtung
Der Buchhalter oder Wirtschaftsprüfer der Marke	Von der Marke gewählt	Berater der Marke	Der Export der Protokolle der Marke, auf ihre Anweisung	Die Anweisung der Marke

5.2 Was das Sprachmodell erreicht

Ein Sprachmodell schlägt vor; eine Person bestätigt. Es erzeugt nie eine Zahl, die in eine Empfehlung eingeht, und berät nie einen Käufer. Es erhält nur:

• Für die Zuordnung der Spalten einer Datei, die eine Marke hochlädt: die Spaltenüberschriften, den Typ, den wir pro Spalte abgeleitet haben, und höchstens zehn Beispielwerte pro Spalte. Umsatz- und Kundenspalten sind nie in der Stichprobe. Der Name der Marke wird vor dem Aufruf entfernt.
• Für das Ableiten eines Käuferprofils: die Beschreibung, die der Käufer in eigenen Worten geschrieben hat, sonst nichts.
• Für einen Angebotsentwurf und für eine Erläuterung zu einer Entscheidung: die aggregierten Felder eines Protokolls einer Marke, nie einzelne Verkaufszeilen.

Die Daten einer Marke sind nie im selben Aufruf wie die einer anderen Marke. Wir speichern einen Hash der Eingabe und den zurückgegebenen Vorschlag, nie die Eingabe selbst.

6. Internationale Übermittlungen

6.1 Alles, was wir verarbeiten, bleibt in der EU, mit zwei Ausnahmen.

6.2 Aufrufe des Sprachmodells gehen an Anthropic PBC in den Vereinigten Staaten, mit Inferenz auf die EU-Region festgelegt, unter den Standardvertragsklauseln der Europäischen Kommission und der Zertifizierung von Anthropic unter dem EU US Data Privacy Framework.

6.3 Käufer werden auch von außerhalb der EU zugelassen. Wenn ein Verkäufer ein Bid eines solchen Käufers annimmt, erreichen die Kontaktdaten des Verkäufers diesen Käufer und die des Käufers den Verkäufer, weil die Lieferung sonst nicht möglich ist. Die Übermittlung ist für die Erfüllung des Vertrags zwischen Verkäufer und Käufer erforderlich und stützt sich auf Artikel 49 Absatz 1 Buchstaben b und c DSGVO. Sie ist auf das beschränkt, was Abschnitt 5.1 bei der Gegenpartei nennt. Ein Verkäufer legt pro Angebot fest, welche Länder bieten dürfen.

6.4 Mailgun und Sentry verarbeiten auf ihren EU-Endpunkten; ihre Standardvertragsklauseln decken jeden Zugriff aus den Vereinigten Staaten ab.

7. Aufbewahrung

Wir bewahren personenbezogene Daten nicht länger auf, als der Zweck es braucht, und so lange, wie das Gesetz es verlangt.

Daten	Aufbewahrt für	Warum
Nutzerkonto: Name, Mailadresse, Telefonnummer, Passwort-Hash, Sprache, Login-Ereignisse, akzeptierte Versionen	Die Laufzeit des Kontos plus 12 Monate	Fragen zu einem geschlossenen Konto; Nachweis der Annahme
Kontaktdaten von Organisationen	Die Laufzeit der Organisation plus 12 Monate, außer wo sie auf einer Rechnung oder Bestellung stehen	Dasselbe
Screening von Käufern: Antrag, VIES-Antwort, Sanktionsprüfung, Kanalnachweise, Beschreibung, Ergebnis, Begründung, interne Klassifizierung	Die Laufzeit der Organisation plus 5 Jahre	Nachweis des Screenings
Transaktionsdokumente: Bestellungen, Rechnungen, Gutschriften, Freigabeanweisungen, Packlisten, Wareneingangsberichte, Streitfallverläufe, Verbleibsberichte	7 Jahre ab dem Rechnungsdatum	Niederländische steuerliche Aufbewahrungspflicht, Artikel 52 AWR
Entscheidungsprotokolle, Erläuterungen, Audit-Log, Log manueller Entscheidungen, Hashes von Sprachmodell-Aufrufen	5 Jahre ab Erstellung, pro Land konfigurierbar; innerhalb der Frist nie gelöscht, auch nicht, wenn die Organisation kündigt	Die EU-Dokumentationspflicht für unverkaufte Textilien; Beweise
Rohe Payloads aus einem angebundenen System (Auftragsverarbeitungsdaten, Abschnitt 3)	180 Tage	Erneutes Verarbeiten eines Imports
Fehlerüberwachung bei Sentry	90 Tage	Debugging
Warteliste	Bis zum Launch plus 6 Monate, oder bis du dich abmeldest	Dir mitteilen, dass die Plattform live ist
Support-Korrespondenz	Die Laufzeit des Kontos plus 12 Monate; ohne Konto 12 Monate nach der letzten Nachricht	Später sehen, was vereinbart wurde
Webserver-Logs der Marketing-Website	Nur so lange, wie nötig, um die Website sicher zu halten	Sicherheit
Analyse- und Werbe-Cookies	Gemäß der Cookie-Tabelle in Abschnitt 9	Mit deiner Einwilligung

Wenn eine Frist endet, werden die Daten gelöscht oder von allem befreit, was eine Person identifiziert, je nachdem, was die Aufzeichnung zulässt, ohne ihren Wert als Beweis zu schwächen.

8. Deine Rechte

8.1 Was du verlangen kannst

Du kannst Auskunft, eine Kopie in einem gängigen Format, Berichtigung, Löschung und Einschränkung verlangen, und du kannst einer Verarbeitung widersprechen, die sich auf unser berechtigtes Interesse stützt. Schreib an [email protected]; wir können dich bitten, die Anfrage von der Mailadresse deines Kontos aus zu bestätigen. Wir antworten innerhalb eines Monats, wie die DSGVO es verlangt; eine komplexe Anfrage kann länger dauern, und wir sagen dir, wenn das der Fall ist.

8.2 Was die Löschung erreicht

Die Löschung erreicht dein Nutzerkonto: Name, Mailadresse, Telefonnummer, Sprache, Login-Ereignisse und die Verknüpfung zwischen dir und den Handlungen, die du vorgenommen hast. Wir löschen diese Daten am Ende der Frist in Abschnitt 7, oder früher auf Anfrage, wo nichts in Abschnitt 8.3 im Weg steht.

8.3 Was die Löschung nicht erreicht, und warum

Einige Aufzeichnungen werden für die Aufbewahrungsfrist behalten, was auch immer mit dem Konto geschieht, weil das Gesetz sie verlangt oder weil sie der Beweis eines Handels zwischen zwei anderen Parteien sind:

• Entscheidungsprotokolle, Erläuterungen und das Audit-Log, 5 Jahre ab Erstellung;
• Bestellungen, Rechnungen, Gutschriften, Wareneingangsberichte und Streitfallverläufe, 7 Jahre;
• Screening-Daten von Käufern, die Laufzeit der Organisation plus 5 Jahre.

Das Audit-Log ist absichtlich nur erweiterbar: Niemand kann eine Zeile ändern oder entfernen, und das macht es zum Beweis. Wo eine Aufzeichnung ihre Bedeutung ohne deinen Namen behält, entfernen wir den Namen. Wo sie den Namen braucht, zum Beispiel wer ein Bid angenommen oder einen Streitfall eröffnet hat, bleibt der Name für die Frist und geht mit der Aufzeichnung.

Ein Shop-Kunde einer Marke, die Shopify angebunden hat, wendet sich an diese Marke. Shopify leitet die Anfrage weiter und wir setzen die pseudonyme Kennung in den Bestellzeilen und den gespeicherten Payloads auf null; mehr existiert hier über diesen Shop-Kunden nicht.

8.4 Widerspruch und Widerruf

Wo wir auf Grundlage eines berechtigten Interesses verarbeiten, kannst du widersprechen und wir hören auf, es sei denn, ein zwingender Grund überwiegt dein Interesse, zum Beispiel ein bereits eröffneter Streitfall. Wo wir auf Grundlage einer Einwilligung verarbeiten, für Cookies oder Marketing-Mails, widerrufst du sie über das Cookie-Banner oder den Abmeldelink und wir hören auf.

8.5 Eine Frage zu einer internen Klassifizierung

Wenn du fragst, ob wir eine Klassifizierung deiner Organisation halten, sagen wir dir, dass eine interne Klassifizierung existiert, dass eine Person sie festlegt und dass ihr Zweck ist, zu bestimmen, welche Angebote deine Organisation sehen darf und unter welchen Bedingungen. Ihren Wert legen wir nicht offen: Er ist für die Plattform vertraulich, und seine Offenlegung ließe eine Partei ableiten, was andere Parteien sehen.

8.6 Beschwerden

Wenn du nicht zufrieden damit bist, wie wir mit deinen Daten oder deiner Anfrage umgehen, kannst du dich bei der Autoriteit Persoonsgegevens beschweren (Abschnitt 13).

9. Cookies

9.1 Funktionale Cookies, ohne Einwilligung

Die Plattform und die Marketing-Website setzen Cookies, die zum Funktionieren nötig sind. Sie enthalten kein Tracking und werden ohne Einwilligung gesetzt, wie es die Telecommunicatiewet für Cookies erlaubt, die für einen Dienst nötig sind, den du angefordert hast.

Cookie	Zweck	Lebensdauer
Sitzung	Hält dich eingeloggt	Die Browsersitzung
Formular-Token	Schützt Formulare gegen Fälschung	Die Browsersitzung
Sprache	Merkt sich deine Sprache	Die Browsersitzung; im Sitzungs-Cookie gespeichert
Cookie-Wahl	Merkt sich, was du im Banner gewählt hast und unter welcher Version dieser Erklärung	12 Monate

9.2 Analyse- und Werbe-Cookies, nur mit Einwilligung

Die Marketing-Website und die Portale nutzen Analyse- und Werbe-Cookies, geladen über Google Tag Manager. Sie werden erst gesetzt, nachdem du über das Cookie-Banner eingewilligt hast, und du widerrufst diese Wahl jederzeit über „Cookie-Einstellungen“ unten auf der Marketing-Website und im Kontomenü der Portale; der Widerruf löscht die Cookies unten. Bevor du wählst, wird keines gesetzt. Ändert sich diese Erklärung, fragen wir erneut. Kein Anbieter wird ohne eine Zeile hier hinzugefügt.

Mit deiner Einwilligung erhalten die Anbieter: die Seite, die du öffnest: auf den öffentlichen Seiten ihre Adresse ohne Suchbegriffe oder andere Parameter außer Kampagnencodes wie utm_source, in den Portalen nur die Art der Seite, nie ihre Adresse oder ihren Titel; den Bildschirm und die Route; deine Sprache und deinen Markt; wenn du angemeldet bist, deine Nutzernummer und Organisationsnummer als bedeutungslose Kennungen, den Typ deiner Organisation und deine Rolle; und dass etwas geschehen ist, etwa eine Registrierung, eine verbundene Quelle, ein eingestelltes Angebot oder ein Gebot, höchstens mit einer Anzahl. Sie erhalten nie deinen Namen, deine Mailadresse, Telefonnummer, deinen Firmennamen, Preise, Gebote, Bestände oder Produkte, weder gehasht noch anders. Eine Seite mit einem Geheimnis in der Adresse, etwa ein Link zum Zurücksetzen des Passworts, sendet nichts. Sitzungsaufzeichnungen maskieren den Inhalt der Portale; Microsoft Clarity sieht allerdings die Adresse der Seite, wie dein Browser sie zeigt, und auf solchen Adressen senden Meta und die Google-Ads-Tags nichts.

Anbieter	Zweck	Cookies	Lebensdauer
Google Ireland Limited, Google Analytics	Messen, wie die Marketing-Website und die Portale genutzt werden	_ga, _ga_<id>	2 Jahre
Google Ireland Limited, Google Ads	Messen und Zuordnen von Werbung	_gcl_au	90 Tage
Microsoft Ireland Operations Limited, Microsoft Clarity	Sitzungsaufzeichnungen und Heatmaps, um zu sehen, wo die Website dir im Weg steht	_clck; _clsk; auf clarity.ms CLID und MUID	1 Jahr; 1 Tag; 1 Jahr
Meta Platforms Ireland Limited, Meta Pixel	Messen und Zuordnen von Werbung auf Facebook und Instagram	_fbp, _fbc; auf facebook.com fr	90 Tage

Google Tag Manager selbst setzt kein Cookie.

10. Automatisierte Entscheidungen

10.1 Wir treffen über dich keine Entscheidung ausschließlich auf automatisiertem Weg, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise beeinträchtigt.

10.2 Eine Person aus unserem Team liest jeden Käuferantrag und legt sein Ergebnis und die interne Klassifizierung fest. Eine Marke bestätigt, ändert oder verwirft jede Empfehlung, die die Engine gibt: Die Engine rechnet und erklärt, die Marke entscheidet. Ein Sprachmodell schlägt Spaltenzuordnungen, Käuferprofile, Angebotsentwürfe und Erläuterungen vor; eine Person bestätigt jeden Vorschlag, bevor er verwendet wird. Das Modell entscheidet nie und berät nie einen Käufer zu einem Bid.

10.3 Die Plattform wendet Regeln automatisch an, sobald eine Person sie festgelegt hat: Welche Angebote eine Organisation sieht, folgt aus den Bedingungen des Verkäufers und der Klassifizierung, die eine Person zugewiesen hat, und ein Bid außerhalb der Grenzen eines Verkäufers wird abgelehnt. Das führt eine Entscheidung aus, die eine Person getroffen hat.

11. Sicherheit

11.1 Jede Verbindung zur Plattform ist verschlüsselt. Passwörter werden als Hashes gespeichert. Zugangsdaten für ein angebundenes System werden verschlüsselt gespeichert und nie in ein Log geschrieben.

11.2 Ein Nutzer sieht nur seine eigene Organisation. Unsere interne Konsole ist nur für unser eigenes Team mit einem separaten Login erreichbar, und jede manuelle Entscheidung dort wird mit einer Begründung protokolliert.

11.3 Das Audit-Log, die Entscheidungsprotokolle und die Erläuterungen können von der Anwendung nicht geändert oder gelöscht werden, auch nicht von einem Administrator; die Datenbank verweigert es. Logs und Fehlerberichte enthalten nie rohe Datenzeilen, Beispielwerte, Tokens, Passwörter, Reserven oder den Inhalt einer Anfrage. Das Hosting steht in der EU, mit Backups.

11.4 Führt eine Sicherheitsverletzung zu einem Risiko für dich, melden wir sie innerhalb von 72 Stunden nach ihrer Entdeckung der Autoriteit Persoonsgegevens, wie die DSGVO es verlangt, und informieren dich ohne unangemessene Verzögerung, wo das Risiko für dich hoch ist. Eine Marke, deren Auftragsverarbeitungsdaten betroffen sind, wird nach dem Auftragsverarbeitungsvertrag informiert.

12. Änderungen

12.1 Wir ändern diese Erklärung, wenn sich die Plattform, ein Unterauftragsverarbeiter oder das Gesetz ändert. Das Versionsdatum oben sagt, welche Fassung du liest. Eine Änderung, die dich inhaltlich betrifft, wird den Nutzern per Mail angekündigt, bevor sie in Kraft tritt. Frühere Fassungen sind auf Anfrage erhältlich.

13. Kontakt und Beschwerden

13.1 Fragen, Anfragen und Beschwerden zu personenbezogenen Daten gehen an [email protected], oder per Post an Unworn i.o., Registrierung folgt. Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und haben keinen benannt; der Datenschutzkontakt bearbeitet jede Anfrage.

13.2 Du hast das Recht, dich bei der Aufsichtsbehörde zu beschweren. In den Niederlanden ist das die Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl. Wenn du in einem anderen EU-Land bist, kannst du dich auch bei der dortigen Behörde beschweren.