Datenschutzerklärung

Andreas Ebner — DeFactory, Hansjakobweg 13, 76275 Ettlingen, Deutschland E-Mail: contact@nextstitch.app · Telefon: +49 7243 7403920

Einen Datenschutzbeauftragten haben wir nicht bestellt; wir sind dazu nicht verpflichtet.

Das Entwerfen und die Stichvorschau laufen in Ihrem Browser. Die Stich-Engine wird einmal geladen und berechnet die Vorschau auf Ihrem Gerät; Ihre Motive werden dafür nicht an uns übertragen.

Einzelne Funktionen benötigen unsere Server: Import und Konvertierung von Dateien, Beschriftung, Cloud-Projekte und der Export von Maschinendateien. Diese sind unten einzeln beschrieben.

Wir laden bewusst keine Inhalte Dritter in Ihren Browser: keine externen Schriftarten, keine Werbung, keine Social-Media-Plugins, keinen Fehler-Trackingdienst, keine eingebetteten Videos oder Karten. Die Website kommt direkt von unserem Server; Cloudflare löst für uns nur den Namen nextstitch.app auf und leitet E-Mails an unsere Adressen weiter (siehe „Empfänger“).

Diese Website setzt ein einziges Cookie, und nur wenn Sie sich anmelden: das Anmelde-Cookie nextstitch_refresh, das Sie angemeldet hält. Es läuft 30 Tage nach seiner letzten Verwendung ab, spätestens 90 Tage nach Ihrer Anmeldung, und wird gelöscht, wenn Sie sich abmelden. Es ist als HttpOnly gekennzeichnet, sodass kein Skript auf der Seite es lesen kann, und Ihr Browser sendet es nur an unseren Anmeldedienst unter /api/auth. Daneben speichert NextStitch für die von Ihnen angeforderten Funktionen Daten in Ihrem Browser — im lokalen Speicher und, für Schriften, in seiner IndexedDB-Datenbank:

• Ihre Sprach- und Themenauswahl;

• eine Markierung, dass Sie angemeldet sind (sie enthält kein Token) und, während der Registrierung, einen kurzlebigen Wert für den Anmeldevorgang;

• Ihren Lizenzschlüssel, sofern Sie einen verwenden;

• Ihre lokalen Projekte — die Design-Dokumente selbst sowie das Projektverzeichnis und das zuletzt geöffnete Design;

• Stickschriften, die Sie selbst hinzufügen — die aus dem Zip der Schrift gelesenen Buchstaben, ihren Namen und die Abstände, die Sie für sie eingestellt haben;

• Editor-Einstellungen und Ihre zuletzt verwendeten Farben;

• ein Widerspruchs-Kennzeichen für die Reichweitenmessung, aber nur, wenn Sie widersprochen haben.

All diese Daten sind erforderlich, um von Ihnen ausdrücklich gewünschte Funktionen bereitzustellen; sie sind daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, ein Cookie-Banner wird deshalb nicht angezeigt. Keiner dieser Werte dient dazu, Sie über Websites hinweg zu verfolgen.

Sie können diese Daten jederzeit über die Einstellungen Ihres Browsers löschen. Beachten Sie, dass dabei auch Ihre lokalen Projekte und die von Ihnen hinzugefügten Schriften gelöscht werden — siehe Nutzungsbedingungen, § 8.

Sie können den Editor ohne Konto ausprobieren. Zum Speichern von Designs, zum Herunterladen von Dateien sowie für Cloud-Projekte, Abonnements und lizenzierte Funktionen benötigen Sie eines.

Wir verarbeiten Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort (nur als Hash gespeichert), Ihre Spracheinstellung und Ihren Kontostatus (Tarif, Abonnementstatus), um das Konto einzurichten, zu verwalten und Sie zu authentifizieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Die Authentifizierung läuft über einen eigenen Dienst von uns, den diese Website unter /id erreicht. Er versendet an Sie die E-Mails zu Ihrem Konto: die Bestätigung der Adresse, das Zurücksetzen des Passworts und den Hinweis auf eine Änderung des Passworts, eine Begrüßung nach der ersten Anmeldung und — wenn Sie Ihre Anmeldeadresse ändern — eine Bestätigung an die neue Adresse sowie eine Mitteilung an die bisherige, in der die neue Adresse nur gekürzt erscheint. Erst die Bestätigung über den Link ändert die Adresse; Sitzungen, die unter der bisherigen Adresse geöffnet wurden, enden dann. Wir führen einen Nachweis aktiver Sitzungen (je Sitzungsfamilie ein gehashtes Refresh-Token), damit Sie auf mehreren Geräten angemeldet sein können und Sitzungen widerrufbar bleiben.

E-Mails, die unser Dienst selbst auslöst (etwa die Begrüßung), legen wir bis zum Versand in einer Warteschlange ab: Empfängeradresse, Sprache und die Angaben, die die E-Mail enthält. Versendete Einträge löschen wir nach 30 Tagen; Einträge, die sich nicht zustellen ließen, 30 Tage nach dem letzten Versuch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Zusätzlich erhalten Sie E-Mails zu Ihrem Tarif: die Bestätigung eines Tarifs, seiner Änderung, Kündigung, Fortsetzung oder seines Endes, sowie Einladungen in ein Team und das Ende eines Teamzugangs. Belege und Rechnungen schickt Link an die Adresse, die Link für Sie führt; ändern Sie Ihre Anmeldeadresse, geben wir die neue Adresse an Stripe weiter.

Wenn Sie ein Projekt in der Cloud speichern, legen wir auf unserem Server das Design-Dokument (die vollständigen Designdaten, wie Sie sie erstellt haben), seinen Namen, die von Ihnen angelegte Ordnerstruktur, seine Größe und Version sowie die Verknüpfung zu Ihrem Konto ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — es handelt sich um die angeforderte Leistung.

Projekte, die Sie lokal behalten, werden nicht an uns übertragen. Das Kopieren in die Cloud ist stets eine ausdrückliche Handlung Ihrerseits.

Wenn Sie ein Cloud-Projekt löschen, kommt es zunächst in Ihren Papierkorb, aus dem Sie es 30 Tage lang wiederherstellen können; danach wird es endgültig gelöscht. Sie können es jederzeit vorher endgültig löschen oder den Papierkorb leeren. Wenn Sie Ihr Konto löschen, werden Ihre Projekte sofort entfernt, auch die im Papierkorb.

Wenn Sie unter Konto → Meine Maschinen Maschinen hinzufügen, speichern wir zu jeder den von Ihnen vergebenen Namen, Marke und Modell, die Rahmen, die Sie besitzen, die Dateiformate, die sie liest, und die von Ihnen festgelegten Vorgabewerte, verknüpft mit Ihrem Konto. Wenn Sie unter Konto → Meine Garne Garnsammlungen führen, speichern wir den Namen jeder Sammlung und die darin enthaltenen Garne (Garnserie, Farbnummer, Name und Farbwert). Wir nutzen sie, um Ihnen im Editor die Rahmen, Formate und Einstellungen Ihrer Maschine und Ihre Garne als Palette anzubieten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO — es handelt sich um die angeforderte Leistung. Sie können sie jederzeit ändern oder löschen; sie sind in Ihrem Datenexport enthalten.

Wenn Sie eine Datei importieren (SVG- oder DXF-Grafiken, eine Stickmaschinendatei wie PES oder DST oder eine als Zip mit Buchstabendateien gekaufte Stickschrift), eine Farbpalette hochladen oder eine Maschinendatei erzeugen, werden diese Datei und die daraus entstehenden Stichdaten an unseren Server übertragen, dort verarbeitet und an Sie zurückgegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Rastergrafiken (PNG, JPEG) werden auf Ihrem Gerät in Formen umgewandelt und nicht übertragen.

Dateien, die nur gelesen oder konvertiert werden — Maschinendateien, Schrift-Zips, Paletten —, werden vorübergehend verarbeitet und nicht dauerhaft als eigene Kopie gespeichert. Eine Schrift, die Sie hinzufügen, wird in Ihrem Browser gespeichert, nicht auf unserem Server. Dauerhaft gespeichert werden ausschließlich Projekte, die Sie als Cloud-Projekt sichern, sowie die Maschinen und Garnsammlungen, die Sie in Ihrem Konto führen.

Für importierte Vektormotive kann NextStitch vorschlagen, welcher Bereich welche Stichart erhalten soll. Diese Funktion ist standardmäßig ausgeschaltet und läuft nur, wenn Sie sie für einen Import aktivieren und wir sie serverseitig konfiguriert haben. Sie steht angemeldeten Konten mit dem Pro Trial oder einem bezahlten Tarif zur Verfügung.

Damit die Funktion in ihren Grenzen bleibt, zählen wir je Konto und Kalendertag, wie oft Sie sie genutzt haben, zusammen mit einer Schätzung ihrer Kosten. Diese Zähler enthalten keine Motive; sie werden nach 30 Tagen und mit Ihrem Konto gelöscht.

Wenn Sie sie nutzen, wird eine geometrische Zusammenfassung der erkannten Bereiche (Maße in Millimetern, Formeigenschaften und, bei mehrdeutigen Bereichen, deren Umriss) an den KI-Anbieter OpenRouter übermittelt. Die Datei selbst, ihr Name, Ihr Name und Ihr Konto werden nicht übermittelt. Antworten werden auf unserem Server anhand eines Hashwerts der Anfrage zwischengespeichert, damit dasselbe Motiv nicht zweimal gesendet werden muss.

OpenRouter hat seinen Sitz außerhalb der EU. Die Übermittlung ist daher eine Drittlandübermittlung im Sinne der Art. 44 ff. DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die von Ihnen angeforderte Funktion.

Sofern die Reichweitenmessung für diese Installation aktiviert ist, setzen wir Plausible Analytics ein — erkennbar daran, dass am Ende dieser Seite ein Widerspruchs-Schalter erscheint. Wir betreiben Plausible selbst, auf unserem eigenen Server: Ein Analyse-Dienstleister ist nicht beteiligt, und die Daten werden nicht in ein Drittland übermittelt.

Plausible arbeitet ohne Cookies und speichert nichts auf Ihrem Gerät. Erfasst werden: aufgerufene Seite, verweisende Seite, ungefähre Herkunft auf Länderebene, Browser- und Gerätetyp, wie lange und wie weit eine Seite gelesen wurde, sowie einige wenige Ereignisse — etwa, dass ein Design exportiert oder importiert, ein Formular abgeschickt (nicht sein Inhalt), eine Datei heruntergeladen oder ein Link auf eine andere Website aufgerufen wurde, mit der Adresse dieses Links. Bewusst übertragen wir keine Datei-, Design- oder Projektnamen und keine Freitexte. Aus jeder übertragenen Adresse werden die Abfrageparameter entfernt; nur Kampagnenparameter in den Adressen unserer eigenen Seiten bleiben erhalten.

Ihre IP-Adresse wird ausschließlich verwendet, um das Land und einen täglich wechselnden, nicht umkehrbaren Besucher-Hash abzuleiten, und wird nicht gespeichert. Das Messskript wird von unserer eigenen Domain ausgeliefert, und die Messungen werden über sie gesendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, zu verstehen, welche Funktionen genutzt werden, und NextStitch zu verbessern. Sie können jederzeit widersprechen — über den Schalter am Ende dieser Seite. Die Desktop-Anwendung überträgt überhaupt keine Nutzungsstatistiken.

Beim Zugriff auf unsere Server werden Verbindungsdaten zum technischen Betrieb und zur Sicherheit protokolliert (IP-Adresse, Zeitpunkt, angeforderte Ressource, Status, Referrer, Browserkennung). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — sicherer und stabiler Betrieb. Diese Daten werden nach kurzer Zeit gelöscht oder anonymisiert. Ihr Browser verbindet sich direkt mit unserem Server. Cloudflare betreibt für uns nur die Namensauflösung (DNS), also die Auskunft, unter welcher Adresse unser Server erreichbar ist; die Verbindung selbst und ihre Inhalte laufen nicht über Cloudflare.

Kostenpflichtige Tarife verkauft Link (Link, LLC, ein Unternehmen der Stripe-Gruppe) als Wiederverkäufer im eigenen Namen (Merchant of Record). Für den Kauf, die Zahlung, die Rechnung und die Umsatzsteuer ist Link eigener Verantwortlicher; es gilt dessen Datenschutzerklärung.

Wenn Sie einen Tarif wählen, leiten wir Sie auf die Bezahlseite von Stripe weiter. Dabei übermitteln wir Ihre E-Mail-Adresse, Ihre Spracheinstellung und eine interne Kennung Ihres Kontos, damit Stripe den Kauf Ihrem Konto zuordnen kann. Von Stripe erhalten wir die Kennungen von Kunde und Abonnement, den gebuchten Tarif und die Laufzeit, den Status des Abonnements (aktiv, Zahlung offen, gekündigt …) und das Ende der laufenden Periode — nicht Ihre Zahlungsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Link und Stripe verarbeiten Daten auch in den USA; Stripe stützt solche Übermittlungen auf das EU-US Data Privacy Framework und die Standardvertragsklauseln der EU.

Bezahlseite und Abrechnungsportal sind Seiten von Stripe, die Sie per Weiterleitung erreichen. Auf den Seiten von NextStitch wird kein Skript von Stripe geladen; an der Aussage zu Cookies und Einwilligungen ändert sich dadurch nichts.

Wir speichern die von Stripe erhaltenen Angaben, solange Ihr Konto besteht, und die Ereignisnachweise von Stripe (zur Vermeidung doppelter Verarbeitung) 90 Tage.

Laden Sie Teammitglieder ein, verarbeiten wir deren E-Mail-Adresse, um die Einladung zu versenden und den Platz zu verwalten (Art. 6 Abs. 1 lit. b DSGVO gegenüber Ihnen, lit. f gegenüber der eingeladenen Person). Inhaberinnen und Inhaber eines Teams sehen Namen und E-Mail-Adresse ihrer Teammitglieder; Teammitglieder sehen Namen und E-Mail-Adresse der Person, deren Team sie angehören. Eine nicht angenommene Einladung verfällt nach sieben Tagen und wird spätestens eine Stunde danach gelöscht; die Einladungs-E-Mail liegt bis zu ihrem Versand in der Warteschlange (siehe „Nutzerkonto“).

Über das Kontaktformular können Sie uns eine Frage, einen Funktionswunsch oder einen Fehlerbericht schicken. Wir verarbeiten dabei die Art der Nachricht, Ihre E-Mail-Adresse, Ihren Namen (freiwillig), den Text Ihrer Nachricht, die Sprache, in der Sie die Seite nutzen, und ein Bildschirmfoto, wenn Sie eines anhängen. Sind Sie angemeldet, fügen wir die Adresse Ihres Kontos und Ihren Tarif hinzu, damit wir die Nachricht zuordnen können.

Zweck ist allein, Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage Ihr Konto oder einen Vertrag mit uns betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Anfragen zu beantworten.

Die Nachricht wird über unseren Maildienstleister als E-Mail an unsere Support-Adresse gesendet, die Cloudflare an unser Postfach weiterleitet, mit Ihrer Adresse als Antwortadresse. Eine Bestätigung an Ihre Adresse senden wir nicht. Bis zum Versand wartet die Nachricht auf unserem Server in einer Warteschlange. Das Bildschirmfoto löschen wir, sobald die E-Mail versendet ist, spätestens nach 30 Tagen; die übrigen Angaben 30 Tage nach dem Versand. Im Support-Postfach bewahren wir die Nachricht auf, solange wir sie für Ihr Anliegen brauchen, und löschen sie danach, soweit keine gesetzliche Aufbewahrungspflicht besteht. Um das Formular vor massenhaftem Missbrauch zu schützen, zählen wir im Arbeitsspeicher, wie viele Nachrichten in der letzten Stunde von einer IP-Adresse und in den letzten 24 Stunden von einer E-Mail-Adresse kamen. Ist dieser Zeitraum vorbei, wird der Zähler gelöscht; in eine Datei oder Datenbank geschrieben wird er nicht.

Wir setzen folgende Auftragsverarbeiter nach Art. 28 DSGVO ein, jeweils auf Grundlage eines Vertrags zur Auftragsverarbeitung:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Betrieb unserer Server in einem Rechenzentrum in Nürnberg;

• Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich — Versand unserer E-Mails;

• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA — Namensauflösung (DNS) unserer Domain und Weiterleitung von E-Mails an unsere Adressen; Cloudflare verarbeitet Daten auch in den USA, gestützt auf das EU-US Data Privacy Framework und die Standardvertragsklauseln der EU;

• unseren E-Mail-Anbieter, bei dem die an uns weitergeleiteten Nachrichten liegen.

Link erhält die unter „Abonnements und Zahlung“ genannten Angaben als eigener Verantwortlicher. Der oben genannte KI-Anbieter erhält Daten nur in dem dort beschriebenen Fall. Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

Kontodaten speichern wir, solange Ihr Konto besteht. Cloud-Projekte, Maschinen und Garnsammlungen speichern wir, bis Sie sie oder Ihr Konto löschen; ein gelöschtes Cloud-Projekt bleibt danach noch 30 Tage im Papierkorb, sofern Sie es nicht vorher endgültig löschen. Logdaten speichern wir wie oben beschrieben nur kurz. Darüber hinaus speichern wir Daten nur, soweit gesetzliche Aufbewahrungspflichten dies verlangen — insbesondere handels- und steuerrechtliche Pflichten, die relevant werden, sobald kostenpflichtige Verträge bestehen.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen.

Ihre Daten können Sie im Kontobereich einsehen und ändern und unter Daten & Datenschutz als JSON-Datei herunterladen (Profil, Tarif, Sitzungen und die Angaben zu Ihren Cloud-Dateien). Die Designs selbst sind darin nicht enthalten — diese laden Sie unter Meine Dateien einzeln herunter. Ihr Konto können Sie dort ebenfalls selbst löschen; aus Sicherheitsgründen sind dafür Ihr Passwort und Ihre eigene E-Mail-Adresse erforderlich. Dabei löschen oder anonymisieren wir die zugehörigen Daten, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

Ihnen steht außerdem ein Beschwerderecht bei einer Aufsichtsbehörde zu, etwa bei der für uns zuständigen Behörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen Verarbeitungen zu widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO). Das betrifft insbesondere die oben beschriebene Reichweitenmessung und die Logdaten. Für die Reichweitenmessung können Sie den Widerspruch unmittelbar über den Schalter am Ende dieser Seite ausüben.

Wir setzen keine automatisierte Entscheidungsfindung oder Profilbildung ein, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Der oben beschriebene KI-gestützte Import macht Vorschläge für Ihr Design; er trifft keine Entscheidungen über Sie.

Die Übertragung erfolgt transportverschlüsselt. Passwörter werden ausschließlich als Hash gespeichert. Der Zugriff auf Produktivsysteme ist auf den Verantwortlichen beschränkt.

Wir aktualisieren diese Erklärung, wenn sich die hier beschriebenen Verarbeitungen ändern — etwa wenn die Zahlungsabwicklung startet oder ein neuer Auftragsverarbeiter hinzukommt. Das Datum der aktuellen Fassung steht oben auf dieser Seite.