Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir dich darüber, welche personenbezogenen Daten wir verarbeiten, wenn du die Website evo-loxx.com, unseren Onlineshop oder die EVOLOXX-App für iOS und Android nutzt. Du erfährst, wozu wir das tun, an wen wir Daten weitergeben, wie lange wir sie speichern, wie wir sie schützen und welche Rechte du hast.

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf der Website, im Onlineshop und in der EVOLOXX-App ist:

QUANT Products GmbH, vertreten durch den Geschäftsführer Florian Nicklas, Regenstraße 9, 93426 Roding, Deutschland. Telefon: +49 (0)9461 402593. E-Mail: hello@evo-loxx.com

EVOLOXX ist eine Marke der QUANT Products GmbH. Für alle Fragen zum Datenschutz erreichst du uns unter hello@evo-loxx.com.

Technischer Betrieb der App: Die EVOLOXX-App wird im Auftrag der QUANT Products GmbH von OBHOLZ SOLUTIONS, Inhaber Stefan Obholz, Deutschland, technisch betrieben und in den App-Stores veröffentlicht. Deshalb ist dort OBHOLZ SOLUTIONS als Entwickler angegeben. OBHOLZ SOLUTIONS ist dabei in unserem Auftrag tätig und verarbeitet deine Daten nur für die in dieser Datenschutzerklärung genannten Zwecke. Verantwortlich für deine Daten bleibt die QUANT Products GmbH.

2. Aufruf der Website und Hosting

Unsere Website und unsere Programmierschnittstelle (api.evo-loxx.com) werden über die Plattform von Cloudflare ausgeliefert (Cloudflare, Inc., San Francisco, USA). Beim Aufruf verarbeitet Cloudflare technisch notwendige Verbindungsdaten, insbesondere deine IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, Browser- und Geräteangaben sowie die übertragene Datenmenge. Das ist nötig, um dir die Seiten auszuliefern und sie vor Angriffen und Missbrauch zu schützen.

Beim Aufruf lädt die Website außerdem Inhalte wie Farbbilder und Shop-Informationen von unserem Datenbankanbieter Supabase (Rechenzentrum in Irland). Produktbilder laden wir vom Content-Delivery-Netz unseres Shop-Anbieters Shopify (cdn.shopify.com). Auch dabei wird deine IP-Adresse technisch an den jeweiligen Anbieter übermittelt.

Schriftarten liefern wir von unserem eigenen Server aus. Beim Aufruf der Website werden keine Schriftarten von Servern Dritter (etwa Google Fonts) geladen.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und funktionsfähigen Bereitstellung der Website (Art. 6 Abs. 1 lit. f DSGVO). Die Verbindungsdaten werden nur für die Auslieferung und zum Schutz vor Angriffen und Missbrauch verwendet und gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind.

3. Cookies und lokale Speicherung auf der Website

Wir setzen auf der Website keine Analyse-, Tracking- oder Werbe-Cookies und binden keine Analyse- oder Werbedienste ein. Wir speichern nur Informationen in deinem Browser, die für die Funktionen der Website nötig sind oder die du selbst durch deine Nutzung auslöst:

Warenkorb (Cookie „__Host-evx_cart“, 7 Tage): hält deinen Warenkorb fest. Der Inhalt ist verschlüsselt.
Kassenrückkehr (Cookie „__Host-evx_checkout_recovery“, 7 Tage): ordnet eine begonnene Bestellung nach der Rückkehr aus der Kasse wieder deinem Warenkorb zu.
Zugangsschutz (Cookie „__Host-evx_gate“, 12 Stunden): wird nur gesetzt, solange Teile der Website passwortgeschützt sind und du das Passwort eingegeben hast.
Anmeldung (Cookie bzw. lokaler Speicher „sb-…-auth-token“): hält deine Anmeldung am EVOLOXX-Kundenkonto, bis du dich abmeldest; als Cookie höchstens 400 Tage.
Cookie-Hinweis (lokaler Speicher „ev_cookie_consent“): merkt sich, dass du den Hinweis zu Cookies gelesen und mit „Verstanden“ bestätigt hast, damit er nicht bei jedem Aufruf erscheint. Bist du angemeldet, speichern wir diese Kenntnisnahme auch in deinem Konto.
Hinweis am Chat-Kreis (lokaler Speicher „evoloxx_chat_hint_seen_v1“): merkt sich, dass dir der einmalige Hinweis „Frag mich, wenn du Fragen hast.“ am Chat-Kreis bereits angezeigt wurde, damit er nicht erneut erscheint. Gespeichert wird nur dieser Merker, keine Inhalte. Er bleibt, bis du die Websitedaten in deinem Browser löschst.
Hinweisfenster (lokaler Speicher „ev_popup_last_shown“): merkt sich den Zeitpunkt, zu dem dir unser Hinweis- bzw. Angebotsfenster zuletzt gezeigt wurde, damit es frühestens nach sieben Tagen wieder erscheint. Gespeichert wird nur dieser Zeitpunkt.
KI-Chat (lokaler Speicher „evoloxx_chat_consent_…“ und „evoloxx_chat_history_v2“; Sitzungsspeicher „ev-chat-ui-header“): merkt sich deine Einwilligung in den KI-Chat und den bisherigen Gesprächsverlauf in deinem Browser. Der Verlauf wird erst gespeichert, nachdem du eingewilligt hast, und bleibt auf deinem Gerät. Ein Verlauf, der älter als 30 Tage ist, wird beim nächsten Aufruf automatisch verworfen. Über „Verlauf löschen“ im Chatfenster entfernst du Verlauf und Einwilligung sofort.
Rechtstexte (lokaler Speicher „evx-legal-…“): legt beim Aufruf einer Rechtstext-Seite (z. B. dieser Datenschutzerklärung) eine Kopie des Texts ab, damit er auch bei einer Störung angezeigt werden kann. Es werden keine Angaben über dich gespeichert.
Komfortfunktionen (lokaler Speicher „ev_pending_fav“, „ev_promo_dismissed_…“): merkt sich eine vor der Anmeldung gewählte Lieblingsfarbe und ob du einen Hinweis bereits geschlossen hast.

Rechtsgrundlage für das Speichern und Auslesen dieser Informationen ist § 25 Abs. 2 Nr. 2 TDDDG, weil sie für die von dir genutzten Funktionen der Website unbedingt erforderlich sind; für den KI-Chat ist es deine Einwilligung (§ 25 Abs. 1 TDDDG). Die anschließende Verarbeitung stützen wir auf Art. 6 Abs. 1 lit. b DSGVO (Warenkorb, Konto), Art. 6 Abs. 1 lit. a DSGVO (KI-Chat) bzw. Art. 6 Abs. 1 lit. f DSGVO (Zugangsschutz, Hinweise, Komfortfunktionen und Rechtstexte). Du kannst die gespeicherten Informationen jederzeit über die Einstellungen deines Browsers löschen. Den Cookie-Hinweis kannst du über den Link „Cookie-Einstellungen“ in der Fußzeile erneut aufrufen.

In der Shopify-Kasse setzt Shopify eigene, für den Bestellvorgang erforderliche Cookies (siehe Ziffer 7).

4. Aufruf der App und Serverzugriffe

Damit die App funktioniert, ruft sie beim Start und während der Nutzung Inhalte von unseren Servern und Dienstleistern ab. Das geschieht auch ohne Kundenkonto und ohne gesonderte Einwilligung:

Inhalte der Startseite und die Rechtstexte von evo-loxx.com sowie Funktionen unseres Servers api.evo-loxx.com, beide ausgeliefert über Cloudflare,
Farbkarten, Einstellungen und Kontofunktionen von unserem Datenbankanbieter Supabase (Rechenzentrum in Irland),
Produkte, Preise und den Warenkorb über die Schnittstelle unseres Shop-Anbieters Shopify sowie Produktbilder aus dem Content-Delivery-Netz von Shopify,
die Prüfung durch Firebase App Check, dass es sich um eine echte Installation unserer App handelt (siehe Ziffer 11).

Dabei werden technisch deine IP-Adresse, Datum und Uhrzeit, die abgerufene Adresse sowie Angaben zu App-Version und Betriebssystem übermittelt. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und funktionsfähigen Bereitstellung der App (Art. 6 Abs. 1 lit. f DSGVO); der dafür nötige Zugriff auf dein Gerät beruht auf § 25 Abs. 2 Nr. 2 TDDDG.

5. EVOLOXX-Kundenkonto (Website und App)

Du kannst ein EVOLOXX-Kundenkonto anlegen, das auf der Website und in der App gleich funktioniert. Für eine Bestellung ist ein Kundenkonto erforderlich. Wir verarbeiten dabei deine E-Mail-Adresse, ein Passwort (nur als Hashwert gespeichert, nie im Klartext), eine Kontokennung und die Angaben, die du in deinem Profil hinterlegst (z. B. Name, Lieferanschrift, Telefonnummer, Profilbild), sowie deine gespeicherten Projekte, Lieblingsfarben und Einstellungen. Außerdem speichern wir, welche Fassung der AGB und dieser Datenschutzerklärung du bestätigt bzw. zur Kenntnis genommen hast und welche Einwilligungen du erteilt oder widerrufen hast. Zur Absicherung deiner Anmeldung speichert unser Datenbankanbieter zu jeder aktiven Anmeldung technische Angaben wie Zeitpunkt, IP-Adresse und Browser- bzw. Geräteangaben; sie werden beim Abmelden, spätestens mit deinem Konto gelöscht.

Konto und Daten werden bei unserem Dienstleister Supabase (Supabase Pte. Ltd., Singapur) in einem Rechenzentrum in Irland (EU) gespeichert. E-Mails zum Konto (z. B. Bestätigung der Adresse, Passwort zurücksetzen) versenden wir über den Dienstleister Resend (Plus Five Five, Inc., San Francisco, USA). Der Versand läuft über ein Rechenzentrum von Amazon Web Services in Irland.

Anmeldung mit Google oder Apple: Wenn du dich mit deinem Google-Konto (Website und App) oder deinem Apple-Konto (App) anmeldest, übermittelt uns der jeweilige Anbieter deine E-Mail-Adresse (bei Apple auf Wunsch eine private Weiterleitungsadresse, „E-Mail-Adresse verbergen“) und eine Kennung, gegebenenfalls auch deinen Namen. Google (Google Ireland Limited, Dublin, Irland, bzw. Google LLC, USA) und Apple (Apple Distribution International Ltd., Cork, Irland, bzw. Apple Inc., USA) verarbeiten die Anmeldung in eigener Verantwortung nach ihren Datenschutzbestimmungen.

Konto löschen bei Anmeldung mit Apple: Meldest du dich in der App mit Apple an, tauscht unser Server (Cloudflare) einen einmal gültigen Code von Apple gegen einen Zugangsschlüssel und speichert diesen verschlüsselt bei Supabase. Löschst du dein Konto, widerrufen wir damit ohne weitere Bestätigung die Verknüpfung zwischen deiner Apple-ID und EVOLOXX und löschen den Schlüssel; spätestens mit deinem Konto wird er gelöscht. Wir protokollieren nur, ob der Widerruf geklappt hat, ohne Kennungen. Liegt für ein älteres Konto kein Schlüssel vor, zeigt dir die App, wie du EVOLOXX selbst in den Einstellungen deiner Apple-ID entfernst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anmeldung mit Apple), für den Widerruf bei der Löschung Art. 6 Abs. 1 lit. c i. V. m. Art. 17 DSGVO.

Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags über das Kundenkonto (Art. 6 Abs. 1 lit. b DSGVO); für den Nachweis bestätigter Rechtstexte und Einwilligungen sowie die Absicherung der Anmeldung unsere rechtlichen Pflichten und unser berechtigtes Interesse (Art. 6 Abs. 1 lit. c und f DSGVO). Die Daten speichern wir, bis du dein Konto löschst (siehe Ziffer 17).

6. KI-Beratung „Aurelia“ (Website und App)

Aurelia ist ein KI-Assistent, kein Mensch. Die Antworten werden von einem Sprachmodell erzeugt und können Fehler enthalten. Auf der Website und in der App ist es derselbe Chat; in der App kann Aurelia zusätzlich die Funktionen der App einbeziehen, etwa Fotos aus der Kamera, die du selbst in den Chat gibst.

Einwilligung vor dem Chatstart: Wenn du den Chat öffnest, fragen wir zuerst deine Einwilligung in die KI-Nutzung ab. Erst nachdem du aktiv zugestimmt hast, startet das Gespräch. Vorher sendet der Chat nichts an unseren Server oder an den KI-Anbieter, du kannst noch keine Nachricht abschicken, und es wird kein Gesprächsverlauf gespeichert. Gespeichert wird zu diesem Zeitpunkt nur, falls er angezeigt wurde, der Merker für den einmaligen Hinweis am Chat-Kreis (Website: Ziffer 3, App: Ziffer 14). Das gilt auf der Website und in der App gleich.

Was übermittelt wird: deine Chat-Nachrichten, Bilder, die du selbst in den Chat hochlädst, und der für die Antwort nötige Kontext. Das sind zum Beispiel die aufgerufene Seite oder das Produkt, dein Warenkorb, ausgewählte Farben und, in der App bei Anmeldung, Angaben aus deinen Projekten wie Raummaße sowie Merkpunkte aus dem Chat-Gedächtnis. Die Daten gehen über unseren Server bei Cloudflare an den KI-Anbieter Anthropic (Vertragspartner für Kunden im Europäischen Wirtschaftsraum: Anthropic Ireland, Limited, Dublin, Irland; Verarbeitung durch Anthropic PBC in den USA). Anthropic verwendet die über die Programmierschnittstelle übermittelten Inhalte nach seinen geschäftlichen Nutzungsbedingungen nicht zum Training seiner Modelle. Anthropic löscht die übermittelten Inhalte und die erzeugten Antworten nach eigenen Angaben innerhalb von 30 Tagen, soweit keine längere Speicherung zur Durchsetzung seiner Nutzungsrichtlinien (bei auffälligen Inhalten bis zu zwei Jahre) oder aus gesetzlichen Gründen erforderlich ist.

Schutz vor Missbrauch: Auf der Website prüfen wir vor dem Senden einer Chat-Nachricht mit Cloudflare Turnstile, dass die Anfrage nicht automatisiert ist. Turnstile wird erst geladen, wenn du den Chat nutzt, und wertet dafür technische Browser- und Verbindungsmerkmale aus. Der dafür nötige Zugriff auf Informationen in deinem Browser beruht auf § 25 Abs. 2 Nr. 2 TDDDG, weil er für den von dir angeforderten Chat unbedingt erforderlich ist. Deine IP-Adresse verwenden wir außerdem kurzzeitig, um die Anzahl der Anfragen zu begrenzen. In den Betriebsdaten des Chats speichern wir dazu nur pseudonymisierte Prüfwerte (Hashwerte), nicht die IP-Adresse selbst.

Was wir speichern: Den vollständigen Gesprächsverlauf speichern wir nicht auf unseren Servern. Wir speichern Betriebsdaten wie Anfragekennung, Zeitpunkt, Verarbeitungsstatus und Nutzungszähler für 90 Tage. Bilder, die du in den Chat hochlädst, werden vorübergehend bei Supabase abgelegt und sind nach zwei Stunden zur Löschung fällig. Auf der Website bleibt der Gesprächsverlauf in deinem Browser (siehe Ziffer 3). In der App erstellt die KI aus deinen Gesprächen Zusammenfassungen und Merkpunkte (Chat-Gedächtnis); dieses Gedächtnis wird nur auf deinem Gerät gespeichert. Du kannst es in den Einstellungen ansehen und löschen, und es wird gelöscht, wenn du deine KI-Einwilligung widerrufst oder dich abmeldest.

KI-Inhalte melden: In der App kannst du KI-Antworten und Bilder melden. Wir speichern dann die Kategorie der Meldung, eine Anfragekennung, eine freiwillige Begründung, deine Kontokennung (ohne Anmeldung stattdessen einen pseudonymisierten Prüfwert) und, nur wenn du das ausdrücklich freigibst, einen Auszug des gemeldeten Inhalts, höchstens 180 Tage lang.

Rechtsgrundlage für den KI-Chat ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen: in der App unter Einstellungen → Rechtliches → Datenschutzerklärung, auf der Website über „Verlauf löschen“ im Chatfenster (dabei werden dein Gesprächsverlauf und deine Einwilligung gelöscht; vor der nächsten Nachricht fragen wir erneut) oder durch Löschen der gespeicherten Websitedaten in deinem Browser. Für den Missbrauchsschutz und die Bearbeitung von Meldungen stützen wir uns auf unser berechtigtes Interesse an einem sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO).

7. Bestellungen, Zahlung, Versand und Widerruf

Unser Onlineshop läuft über Shopify (Shopify International Limited, Dublin, Irland). Wenn du bestellst, verarbeiten wir und Shopify deine Bestelldaten: Name, Liefer- und Rechnungsanschrift, E-Mail-Adresse, gegebenenfalls Telefonnummer, bestellte Produkte, Preise und Zahlungsstatus. Bestellst du aus der App, übergibt die App die Angaben aus deinem Profil (Name, Anschrift, Telefonnummer) an die Shopify-Kasse, damit du sie nicht erneut eintippen musst. Die Kasse wird als Gastbestellung bei Shopify abgewickelt; ein eigenes Shopify-Kundenkonto brauchst du nicht. Damit du deine Bestellungen in deinem EVOLOXX-Konto siehst, ordnen wir sie über eine gesicherte, kontogebundene Kennung deinem Konto zu und speichern die Bestellübersicht bei Supabase.

Zahlung: Deine Zahlungsdaten gibst du direkt in der Shopify-Kasse bzw. beim Zahlungsdienstleister ein; wir selbst speichern keine Karten- oder Kontodaten. Welche Zahlungsarten dir zur Verfügung stehen, siehst du im Bestellvorgang. Je nach gewählter Zahlungsart erhält der jeweilige Zahlungsdienstleister die für die Zahlung nötigen Bestell- und Zahlungsangaben:

PayPal: Wählst du PayPal, wirst du zu PayPal weitergeleitet. PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg, erhält dafür deine Bestell- und Zahlungsangaben und verarbeitet sie als eigener Verantwortlicher nach seiner Datenschutzerklärung.
Weitere Zahlungsarten: Wählst du eine andere im Bestellvorgang angebotene Zahlungsart, verarbeiten Shopify bzw. der dort angegebene Zahlungsdienstleister deine Zahlungsangaben, um die Zahlung abzuwickeln und vor Betrug zu schützen. Der jeweilige Zahlungsdienstleister wird dir im Bestellvorgang genannt.

Übermittlung durch Shopify: Shopify verarbeitet Daten auch außerhalb der EU, etwa in Kanada, den USA und Singapur. Innerhalb der Shopify-Gruppe übermittelt Shopify Daten auf Grundlage verbindlicher interner Datenschutzvorschriften (Art. 47 DSGVO), an Shopify Inc. in Kanada zusätzlich auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission. An Dienstleister in Drittländern ohne angemessenes Datenschutzniveau (u. a. USA) übermittelt Shopify Daten auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Cookies in der Kasse: In der Kasse, auch wenn sie in der App angezeigt wird, speichert Shopify Cookies und ähnliche Informationen in deinem Browser, die für den Bestellvorgang unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO). Optionale Cookies setzt Shopify dort nur mit deiner Einwilligung.

Versand: Für die Lieferung geben wir deinen Namen und deine Lieferanschrift an den von uns beauftragten Versanddienstleister weiter. Deine E-Mail-Adresse oder Telefonnummer erhält der Versanddienstleister nur, wenn du dem zugestimmt hast oder die Angabe für die Zustellung erforderlich ist. Bei Lieferungen in die Schweiz erhalten der Versanddienstleister und die Zollbehörden zusätzlich die für die Verzollung nötigen Angaben zum Paket; für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission.

Widerruf über die Funktion „Vertrag widerrufen“: In der EVOLOXX-App (Einstellungen → Bestellungen, bei jeder Bestellung und unter Rechtliches → Widerrufsbelehrung) und auf evo-loxx.com (Schaltfläche in der Fußzeile) kannst du einen Vertrag auch ohne Anmeldung widerrufen. Du kannst uns deinen Widerruf auch per E-Mail erklären. Dabei verarbeiten wir deinen Namen, deine E-Mail-Adresse, deine Angaben zur Bestellung, freiwillige Angaben zu den betroffenen Artikeln, Datum und Uhrzeit des Eingangs, den genutzten Weg (App oder Website) und die Sprache; bist du angemeldet, zusätzlich deine Kontokennung und die zugeordnete Bestellung. Die Eingangsbestätigung senden wir an die angegebene E-Mail-Adresse, eine Benachrichtigung mit denselben Angaben geht an unser Postfach hello@evo-loxx.com; beide E-Mails versenden wir über Resend. Zum Schutz vor Missbrauch begrenzen wir die Zahl der Widerrufe je Internetanschluss; dafür speichern wir nur einen pseudonymisierten Prüfwert (Hashwert) deiner IP-Adresse, nie die Adresse selbst, und löschen ihn nach 25 Stunden. Rechtsgrundlagen: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB (Entgegennahme und Eingangsbestätigung), Art. 6 Abs. 1 lit. b DSGVO (Rückabwicklung), Art. 6 Abs. 1 lit. f DSGVO (Nachweis des fristgerechten Eingangs, Missbrauchsschutz). Den Datensatz in unserer Datenbank löschen wir mit Ablauf des dritten Kalenderjahres nach dem Eingang; die E-Mails bewahren wir als Geschäftsbriefe sechs Jahre auf (siehe Speicherdauer). Löschst du dein Konto, trennen wir den Widerruf von deinem Konto.

Rechtsgrundlage ist die Erfüllung des Kaufvertrags (Art. 6 Abs. 1 lit. b DSGVO) und die Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO), etwa der Pflicht, den Eingang eines Widerrufs zu bestätigen (§ 356a BGB), und der Aufbewahrungspflichten. Rechnungen und andere Buchungsbelege bewahren wir acht Jahre auf, Bücher und Aufzeichnungen zehn Jahre, Handels- und Geschäftsbriefe (etwa deinen Widerruf und unsere Bestätigung) sechs Jahre (§ 147 AO, § 257 HGB, § 14b UStG). Die Fristen beginnen mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist.

8. Newsletter

In der Shopify-Kasse kannst du dich über ein nicht vorausgewähltes Kästchen („Neuigkeiten und Angebote via E-Mail erhalten“) für unseren Newsletter anmelden. Meldest du dich über ein Anmeldeformular auf der Website an, geht deine E-Mail-Adresse ebenfalls direkt an Shopify. Shopify speichert für uns deine E-Mail-Adresse, deine Einwilligung und den Zeitpunkt der Anmeldung. Diese Einwilligung nutzen wir nur für den Versand des Newsletters.

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst dich jederzeit abmelden, über den Abmeldelink in jeder Newsletter-E-Mail oder mit einer Nachricht an hello@evo-loxx.com. Nach der Abmeldung verwenden wir deine Adresse nicht mehr für den Newsletter.

9. Kontakt per E-Mail und Kontaktformular

Du kannst uns per E-Mail an hello@evo-loxx.com oder über das Kontaktformular auf der Website erreichen. Das Kontaktformular überträgt selbst nichts an uns: Es öffnet nur dein eigenes E-Mail-Programm mit einer vorausgefüllten Nachricht, die du dann selbst absendest. Wir verarbeiten deinen Namen, deine E-Mail-Adresse und den Inhalt deiner Nachricht, um dein Anliegen zu beantworten. Das gilt auch für Anfragen zum Datenschutz, zur Kontolöschung, zu Widerruf oder Mängeln.

Unser E-Mail-Postfach liegt bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland, die das Postfach für uns betreibt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage eine Bestellung, dein Konto oder einen Vertrag betrifft, im Übrigen unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO); bei Anfragen zu deinen Datenschutzrechten erfüllen wir unsere rechtliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO). Wir speichern die Nachrichten, bis dein Anliegen erledigt ist. Nachrichten, die als Handels- oder Geschäftsbriefe gelten, bewahren wir sechs Jahre auf (§ 257 HGB).

10. Kamera, Fotos und Raumvermessung in der App

Die App fragt nur dann nach dem Zugriff auf Kamera oder Fotomediathek, wenn du eine Funktion nutzt, die ihn braucht. Du kannst die Berechtigungen jederzeit in den Systemeinstellungen deines Geräts entziehen.

Wand einfärben: Die Erkennung der Wand und das Einfärben mit einer EVOLOXX-Farbe laufen auf deinem Gerät. Dein Foto wird dafür nicht an unseren Server oder einen KI-Dienst übertragen.
Wanderkennung in der Kamera: Auf Android nutzt die App für die Wanderkennung die Google Play-Dienste für AR (ARCore), die von Google bereitgestellt werden und der Datenschutzerklärung von Google unterliegen (policies.google.com/privacy). Auf iPhone und iPad nutzt die App dafür die Apple-Funktionen ARKit und RoomPlan, die auf deinem Gerät laufen.
Raum vermessen: Die Vermessung mit LiDAR (auf unterstützten Geräten) und das Fotoaufmaß mit Meterstab laufen auf deinem Gerät. Erst die von dir bestätigten Maße werden Teil deines Projekts. Eine automatische Vermessung von Fotos über unseren Server bieten wir nicht an. Hast du in einer früheren App-Version dafür eine Einwilligung („Cloud-Aufmaß“) erteilt, kannst du sie unter Einstellungen → Rechtliches → Datenschutzerklärung widerrufen.
Projekte speichern: Wenn du ein Projekt in deinem Konto speicherst, laden wir die ausgewählten Fotos, Ergebnisse und Raummaße zu Supabase hoch, damit du sie in der App und auf der Website wiederfindest. Vor dem Hochladen entfernt die App Bildmetadaten wie Aufnahmeort (GPS) und Kameradaten. Bitte beachte, dass Fotos selbst private Details zeigen können.
Profilbild: Ein Profilbild, das du hochlädst, speichern wir bei Supabase.

Rechtsgrundlage für das Speichern von Projekten und Profilbild ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Daten bleiben gespeichert, bis du sie oder dein Konto löschst.

11. Schutz der App vor Missbrauch (Firebase App Check)

Damit nur echte Installationen unserer App unsere Server nutzen, verwendet die App Firebase App Check von Google (Google Ireland Limited, Dublin, Irland, bzw. Google LLC, USA). Dabei prüft auf Android-Geräten die Google Play Integrity API und auf Apple-Geräten App Attest bzw. DeviceCheck von Apple, ob die App unverändert ist und auf einem echten Gerät läuft. Übermittelt werden technische Geräte- und App-Merkmale, keine Inhalte. Diese Prüfung dient nicht der Werbung und ist unabhängig von Mitteilungen. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz unserer Dienste vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO); der dafür nötige Zugriff auf dein Gerät beruht auf § 25 Abs. 2 Nr. 2 TDDDG.

12. Mitteilungen (Push)

Wenn du in der App Mitteilungen erlaubst, registriert die App dein Gerät beim Mitteilungsdienst Firebase Cloud Messaging von Google (Google Ireland Limited bzw. Google LLC, USA) und speichert eine Gerätekennung für Mitteilungen in deinem Konto. Auf Apple-Geräten stellt Firebase Cloud Messaging die Mitteilungen über den Apple Push Notification Service von Apple zu; dabei verarbeitet Apple eine Gerätekennung. Service-Mitteilungen und Werbe-Mitteilungen kannst du getrennt erlauben. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie in der App und in den Systemeinstellungen jederzeit widerrufen; die Gerätekennung löschen wir dann bzw. mit deinem Konto.

13. Absturzberichte und Nutzungsstatistik in der App

Beides ist freiwillig und nur mit deiner jeweils eigenen, getrennten Zustimmung aktiv. Ohne Zustimmung wird nichts gesendet.

Absturzberichte: Stürzt die App ab oder bleibt sie hängen, senden wir einen technischen Fehlerbericht (z. B. Fehlermeldung, App-Version, Gerätemodell und Betriebssystem) an Sentry (Functional Software, Inc., San Francisco, USA). Die Daten werden in der EU-Region von Sentry in Deutschland gespeichert. Bekannte sensible Felder werden vor dem Versand entfernt; Leistungsmessung und Bildschirmaufzeichnungen sind ausgeschaltet. Sentry löscht die Fehlerberichte nach spätestens 90 Tagen; Sicherungskopien löscht Sentry 90 Tage nach ihrer Erstellung.
Nutzungsstatistik: Die App zählt begrenzte Bedienereignisse (z. B. welche Bereiche geöffnet werden), ohne Kontokennung, ohne Chattexte, Fotos oder Adressen. Eine zufällige Sitzungskennung besteht nur, solange die App läuft. Die Ereignisse speichern wir bei Supabase und löschen sie nach 90 Tagen.

Rechtsgrundlage ist jeweils deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie in den Einstellungen der App jederzeit einzeln widerrufen.

14. Download der App und Speicherung auf deinem Gerät

Download: Die EVOLOXX-App lädst du über den Apple App Store oder Google Play herunter. Dabei verarbeiten Apple (Apple Distribution International Ltd., Cork, Irland) bzw. Google (Google Ireland Limited, Dublin, Irland) die für den Download nötigen Daten, etwa deine Konto- und Gerätedaten, in eigener Verantwortung. Darauf haben wir keinen Einfluss; Einzelheiten findest du in den Datenschutzhinweisen von Apple bzw. Google.

Speicherung auf deinem Gerät: Die App speichert auf deinem Gerät, was sie für ihre Funktion braucht: deine Anmeldung (im geschützten Schlüsselspeicher des Geräts), Einstellungen und Einwilligungen, zwischengespeicherte Inhalte wie Farbkarten und Rechtstexte, lokale Entwürfe, Fotos für das lokale Aufmaß und das Chat-Gedächtnis. Dazu gehört auch eine App-Einstellung, die sich merkt, dass dir der einmalige Hinweis „Frag mich, wenn du Fragen hast.“ am Chat-Kreis beim ersten Start bereits angezeigt wurde; sie enthält keine Inhalte. Beim Abmelden löscht die App die kontobezogenen Daten auf dem Gerät. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, für freiwillige Funktionen deine Einwilligung.

15. Empfänger und Übermittlung in Drittländer

Wir setzen folgende Dienstleister ein. Soweit sie in unserem Auftrag tätig sind, unmittelbar oder als Unterauftragnehmer unseres technischen Betreibers OBHOLZ SOLUTIONS, dürfen sie deine Daten nur nach Weisung und nur für die in dieser Datenschutzerklärung genannten Zwecke verarbeiten (Art. 28 DSGVO). Mit Cloudflare, Supabase, Anthropic, Shopify, Resend, Sentry und Google (Firebase) bestehen dafür Verträge zur Auftragsverarbeitung, die Teil der Vertragsbedingungen dieser Anbieter sind. Wir stellen sicher, dass alle Dienstleister, die in unserem Auftrag Daten verarbeiten, deine Daten mindestens so schützen, wie es in dieser Datenschutzerklärung beschrieben ist.

OBHOLZ SOLUTIONS, Inhaber Stefan Obholz, Deutschland: technischer Betrieb der App, der Website-Technik und unseres Servers sowie Veröffentlichung der App in den App-Stores (siehe Ziffer 1).
Cloudflare, Inc., San Francisco, USA: Auslieferung der Website und unseres Servers, Missbrauchsschutz (Turnstile). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) sowie der EU-Standardvertragsklauseln.
Supabase Pte. Ltd., Singapur: Datenbank, Anmeldung und Dateispeicher; Speicherort Irland (EU). Soweit ein Zugriff aus Drittländern (u. a. Singapur, USA) möglich ist, auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Anthropic Ireland, Limited, Dublin, Irland, mit Verarbeitung durch Anthropic PBC, San Francisco, USA: KI-Chat, nur nach deiner Einwilligung. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Shopify International Limited, Dublin, Irland: Onlineshop, Kasse, Produktbilder, Newsletter-Anmeldungen. Übermittlung innerhalb der Shopify-Gruppe auf Grundlage verbindlicher interner Datenschutzvorschriften (Art. 47 DSGVO), an Shopify Inc., Kanada, zusätzlich auf Grundlage des Angemessenheitsbeschlusses; an Dienstleister in Drittländern (u. a. USA) auf Grundlage der EU-Standardvertragsklauseln (siehe Ziffer 7).
Plus Five Five, Inc. (Resend), San Francisco, USA: Versand von E-Mails zu deinem Konto und von Bestätigungen, über Amazon Web Services in Irland. Übermittlung auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln.
IONOS SE, Montabaur, Deutschland: E-Mail-Postfach hello@evo-loxx.com.
Functional Software, Inc. (Sentry), San Francisco, USA: Absturzberichte, nur nach deiner Zustimmung; Speicherort EU-Region in Deutschland. Soweit ein Zugriff aus den USA möglich ist, auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln.
GitHub, Inc., San Francisco, USA: Aufbewahrung unserer verschlüsselten Datensicherungen (siehe Ziffer 16). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework.
Google Ireland Limited, Dublin, Irland, bzw. Google LLC, Mountain View, USA: Firebase App Check, Play Integrity, Firebase Cloud Messaging, Anmeldung mit Google; auf Android außerdem Google Play-Dienste für AR (ARCore). Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework.
Apple (Apple Distribution International Ltd., Cork, Irland, bzw. Apple Inc., Cupertino, USA): App Attest und DeviceCheck, Anmeldung mit Apple, Zustellung von Mitteilungen auf Apple-Geräten (Apple Push Notification Service). Apple handelt bei der Anmeldung in eigener Verantwortung. Übermittlungen in die USA stützt Apple nach eigenen Angaben auf die EU-Standardvertragsklauseln.
PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg, und weitere im Bestellvorgang genannte Zahlungsdienstleister: Zahlungsabwicklung (siehe Ziffer 7).
Beauftragter Versanddienstleister: Zustellung deiner Bestellung (siehe Ziffer 7).
Apple App Store und Google Play: Download der App, in eigener Verantwortung von Apple bzw. Google (siehe Ziffer 14).

Empfänger, die Daten in eigener Verantwortung verarbeiten (etwa PayPal, der Versanddienstleister sowie Apple und Google bei Anmeldung und Download), sind dafür selbst nach der DSGVO verantwortlich.

Eine Kopie der Standardvertragsklauseln kannst du unter hello@evo-loxx.com anfordern.

16. Datensicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere:

Daten zwischen deinem Browser bzw. der App und unseren Servern werden nur verschlüsselt übertragen (HTTPS/TLS). Die Android-App lässt unverschlüsselte Verbindungen nicht zu.
Die App speichert deine Anmeldung im geschützten Schlüsselspeicher deines Geräts.
Zugriffsregeln in unserer Datenbank begrenzen, wer welche Daten lesen und ändern darf.
Vor dem Hochladen von Fotos entfernt die App Bildmetadaten wie den Aufnahmeort (GPS).
IP-Adressen speichern wir im Chat nicht im Klartext, sondern nur als pseudonymisierte Prüfwerte (Hashwerte).
Passwörter speichern wir nur als Hashwert, nie im Klartext.

Datensicherung: Damit keine Daten verloren gehen, sichern wir unsere Datenbank und die dort gespeicherten Dateien jede Nacht. Die Sicherung wird vor dem Speichern verschlüsselt (AES-256), bei GitHub (GitHub, Inc., USA) abgelegt und nach 14 Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem verlässlichen und sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO).

17. Konto löschen und Daten exportieren

Du kannst dein Konto jederzeit selbst in der App löschen: unter Einstellungen → Profil, im Bereich „Konto“ über „Konto löschen“. Im selben Bereich kannst du über „Daten exportieren“ eine Kopie der Daten anfordern, die zu deinem Konto auf unseren Servern gespeichert sind; der Link zum Export ist fünf Minuten gültig. Das nur auf deinem Gerät gespeicherte Chat-Gedächtnis und lokale Entwürfe sind im Export nicht enthalten. Wenn du keinen Zugang zur App mehr hast, schreibe uns von der E-Mail-Adresse deines Kontos an hello@evo-loxx.com mit dem Betreff „Konto löschen“.

Mit der Löschung entfernen wir dein Konto, dein Profil, deine Projekte, Fotos, Chats, Lieblingsfarben und deine verbleibenden Visualisierungen. Bestelldaten und Rechnungen, die wir gesetzlich aufbewahren müssen (siehe Ziffer 7), sperren wir für jede andere Nutzung und löschen sie nach Ablauf der Fristen. In unserer Datenbank trennen wir sie dabei von deinem Konto und löschen sie spätestens zehn Jahre nach der Löschung deines Kontos.

Damit wir die Löschung nachweisen können und gelöschte Daten nach einer Wiederherstellung aus einer Datensicherung nicht wieder auftauchen, bewahren wir einen pseudonymisierten Löschnachweis zehn Jahre lang in der EU auf. Er besteht nur aus Prüfwerten (Hashwerten), pseudonymen Kennungen und Zeitpunkten und enthält keine Inhalte. Den Vorgang einer Lösch- oder Exportanfrage speichern wir nach ihrem Abschluss noch 90 Tage; nach einer Kontolöschung bleibt er ohne Bezug zu deinem Konto so lange erhalten wie der Löschnachweis. Rechtsgrundlage ist unsere Pflicht, die Löschung umzusetzen und nachweisen zu können (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 17 DSGVO).

18. Speicherdauer im Überblick

Kundenkonto, Profil, Projekte und Fotos: bis zur Löschung durch dich.
Rechnungen und andere Buchungsbelege: acht Jahre; Bücher und Aufzeichnungen: zehn Jahre; Handels- und Geschäftsbriefe einschließlich Widerrufserklärungen: sechs Jahre, jeweils ab dem Ende des Kalenderjahres (§ 147 AO, § 257 HGB, § 14b UStG). Bestelldaten in unserer Datenbank nach einer Kontolöschung: gesperrt, spätestens nach zehn Jahren gelöscht.
Pseudonymisierter Löschnachweis nach einer Kontolöschung: zehn Jahre. Vorgänge zu Lösch- und Exportanfragen: 90 Tage nach Abschluss, nach einer Kontolöschung so lange wie der Löschnachweis.
Verbindungsdaten beim Aufruf von Website und App: bis sie für Auslieferung und Missbrauchsschutz nicht mehr erforderlich sind.
Betriebsdaten des KI-Chats: 90 Tage; in den Chat hochgeladene Bilder: zur Löschung fällig nach zwei Stunden. Beim KI-Anbieter Anthropic: siehe Ziffer 6.
Gemeldete KI-Inhalte: höchstens 180 Tage.
Absturzberichte bei Sentry: spätestens 90 Tage.
Nutzungsstatistik der App: 90 Tage.
Gesprächsverlauf im Browser: ein Verlauf, der älter als 30 Tage ist, wird beim nächsten Aufruf verworfen; „Verlauf löschen“ entfernt ihn sofort. Cookies und Merker: wie in Ziffer 3 angegeben.
Anfragen per E-Mail oder Kontaktformular: bis zur Erledigung, Geschäftsbriefe sechs Jahre.
Newsletter: bis zu deiner Abmeldung.
Unsere verschlüsselten Datensicherungen: 14 Tage.

Die Löschung erfolgt durch regelmäßige Wartungsläufe; zwischen Fristablauf und tatsächlicher Löschung kann daher eine kurze Zeit liegen. Aus unseren eigenen Datensicherungen verschwinden gelöschte Daten spätestens nach 14 Tagen. Soweit unsere Dienstleister eigene Datensicherungen anlegen, werden gelöschte Daten daraus erst entfernt, wenn die jeweilige Sicherung turnusmäßig überschrieben oder gelöscht wird.

19. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Wende dich dafür an hello@evo-loxx.com oder nutze die Einstellungen der App.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir deine Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

20. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

21. Pflicht zur Bereitstellung, automatisierte Entscheidungen, Einwilligung von Jugendlichen

Die Angaben im Kundenkonto und bei einer Bestellung brauchen wir, um den Vertrag zu schließen und zu erfüllen; ohne sie ist eine Bestellung nicht möglich. Alle übrigen Angaben und Funktionen sind freiwillig. Eine ausschließlich automatisierte Entscheidung, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet nicht statt.

Einwilligungen, etwa in den KI-Chat, kannst du selbst erst ab 16 Jahren erteilen (Art. 8 DSGVO). Bist du jünger, brauchst du dafür die Zustimmung deiner Eltern bzw. Erziehungsberechtigten.

22. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 30. September 2026