ARSHADES-DATENSCHUTZERKLÄRUNG

ARShades-Lösungen
Zuletzt aktualisiert: 26. August 2026

Gemäß der Verordnung (EU) 2016/679 („DSGVO"), der UK GDPR, dem California Consumer Privacy Act („CCPA") und dessen Änderungen, darunter dem California Privacy Rights Act („CPRA"), den weiteren US-amerikanischen einzelstaatlichen Datenschutzgesetzen, darunter dem Virginia Consumer Data Protection Act („VCDPA"), dem Colorado Privacy Act („CPA"), dem Connecticut Data Privacy Act („CTDPA"), dem Utah Consumer Privacy Act („UCPA"), dem Montana Consumer Data Privacy Act („MCDPA"), dem Oregon Consumer Privacy Act („OCPA") sowie den weiteren anwendbaren einzelstaatlichen US-Datenschutzvorschriften, dem Illinois Biometric Information Privacy Act („BIPA"), dem Texas Capture or Use of Biometric Identifier Act („CUBI"), dem kanadischen Personal Information Protection and Electronic Documents Act („PIPEDA"), dem australischen Privacy Act, dem brasilianischen Lei Geral de Proteção de Dados („LGPD"), dem schweizerischen Federal Act on Data Protection („FADP"), dem japanischen Act on the Protection of Personal Information („APPI"), dem chinesischen Personal Information Protection Law („PIPL"), dem südafrikanischen Protection of Personal Information Act („POPIA"), dem indischen Digital Personal Data Protection Act („DPDP"), der DIFC Data Protection Law der Vereinigten Arabischen Emirate, dem Saudi Personal Data Protection Law („PDPL"), dem New Zealand Privacy Act 2020, dem Singapore Personal Data Protection Act („PDPA"), dem Philippines Data Privacy Act („DPA"), dem Malaysia Personal Data Protection Act („PDPA") sowie den weiteren anwendbaren internationalen Gesetzen zum Schutz personenbezogener Daten, zusammenfassend bezeichnet als „Internationale Datenschutzvorschriften".

Die Spaarkly s.r.l. („Spaarkly", „wir", „uns" oder „unser"), eine in Italien eingetragene Gesellschaft mit Sitz in Via della Tecnica n. 18, 85100 Potenza (Italien), E-Mail: privacy@spaarkly.com, stellt in ihrer Eigenschaft als Verantwortlicher die vorliegende Datenschutzerklärung („PP") zur Verfügung, die die Verarbeitung der personenbezogenen Daten der Nutzer („Sie", „Du" oder „Nutzer") betrifft, die auf die weltweit verfügbare ARSHADES-Technologie zugreifen oder mit ihr interagieren, darunter:

• ARShades Virtual Try-On („ARShades VTO", „VTO", „Web VTO", „VTO App", „Anwendungen und Dienste");
• ARShades VTO Explorer („VTO Explorer"), als Modul oder Funktion, das in ARShades-Erlebnisse im Web, auf Mobilgeräten, im Katalog, im E-Commerce, im Mirror, im Showroom oder in der Verkaufsstelle integriert werden kann;
• AR PD Meter;
• ARShades Mirror („Mirror");
• ARShades Gateway („Gateway", „Standalone-Anwendung");
• ARShades Campaign Catalogue („Campaign Catalogue"), als öffentlicher webbasierter Produktkatalog, der ARShades-Erlebnisse integriert.

Die vorliegende Datenschutzerklärung stützt sich auf die DSGVO als maßgeblichen Rechtsrahmen und ergänzt diesen um die besonderen Anforderungen der Gesetze der Länder, in denen wir unsere Dienste anbieten. Soweit rechtliche Unterschiede bestehen, werden diese in den dem vorliegenden Dokument beigefügten Regulatorischen Addenda beschrieben.

Wir empfehlen den Nutzern, sowohl den Hauptteil der vorliegenden Datenschutzerklärung als auch das für ihre geografische Region einschlägige Addendum aufmerksam zu lesen, um ihre Rechte und die lokalen Besonderheiten der Datenverarbeitung vollständig zu verstehen.

Einleitung

Die Spaarkly s.r.l. („Spaarkly", „wir", „uns" oder „unser"), eine in Italien eingetragene Gesellschaft, ist Inhaberin der ARSHADES-Technologie, der Marke ARSHADES sowie weiterer Augmented-Reality-(AR-)Lösungen für Eyewear-Anwendungen, die in dieser Web- oder Mobilanwendung unter dem Namen ARShades genutzt werden.

Wir handeln als Verantwortlicher im Sinne der anwendbaren Datenschutzgesetze, einschließlich der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO"), des California Consumer Privacy Act („CCPA"), des kanadischen Personal Information Protection and Electronic Documents Act („PIPEDA"), des Australian Privacy Act, der UK GDPR sowie weiterer internationaler Vorschriften. Die vorliegende Datenschutzerklärung enthält Informationen darüber, wie wir personenbezogene Daten der Nutzer („Sie" oder „Nutzer") erheben, verwenden und verarbeiten, die auf unsere weltweit verfügbare ARSHADES-Technologie („VTO", „Web VTO", „Web- oder Mobilanwendung", „App", „Anwendungen und Dienste") zugreifen oder mit ihr interagieren.

Begriffsbestimmungen

Für die Zwecke der vorliegenden Datenschutzerklärung gelten die folgenden Begriffsbestimmungen:

• Personenbezogene Daten: alle Informationen, die sich auf eine identifizierbare natürliche Person beziehen, einschließlich IP-Adresse, E-Mail und anderer vom Nutzer freiwillig bereitgestellter Daten.
• Sitzungsdaten: Informationen, die während einer Nutzersitzung erhoben werden, wie Interaktions-Zeitstempel, aufgerufene Seiten und Nutzungsstatistiken. Sie werden bis zu 14 Monate vor ihrer Anonymisierung aufbewahrt.
• Gerätedaten: technische Informationen über das Gerät des Nutzers, einschließlich Gerätetyp, Betriebssystem, Browserversion und bevorzugter Sprache. Sie werden zur Optimierung und Sicherheit des Dienstes verwendet.
• Geolokalisierungsdaten: Vorbehaltlich der Einwilligung des Nutzers kann ARShades den ungefähren Standort auf Grundlage der IP-Adresse oder, bei Standalone-Anwendungen, den genauen GPS-Standort erheben, um standortbezogene Dienste bereitzustellen. Die Nutzer können diese Funktion jederzeit deaktivieren.
• Verantwortlicher: die Spaarkly s.r.l., die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
• Verarbeitung: jeder mit personenbezogenen Daten durchgeführte Vorgang, einschließlich Erhebung, Speicherung, Anonymisierung und Löschung.
• Cookies und Tracking-Technologien: für den Betrieb des Dienstes erforderliche essenzielle Cookies sowie optionale Analyse-Werkzeuge, sofern vom Nutzer aktiviert. Marketing-Cookies werden nicht verwendet.
• Rechte der betroffenen Person: Die Nutzer können nach Maßgabe der DSGVO, des CCPA und vergleichbarer Vorschriften auf ihre Daten zugreifen sowie deren Berichtigung, Löschung oder Einschränkung der Verarbeitung verlangen. Anfragen können an privacy@spaarkly.com gerichtet werden.
• Internationale Datenübermittlungen: Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt, gewährleistet Spaarkly die Rechtmäßigkeit durch Standardvertragsklauseln (SCC) oder gleichwertige Garantien.
• ARShades VTO: eine Virtual-Try-On-(VTO-)Lösung, die es den Nutzern ermöglicht, in Augmented Reality (AR) in Echtzeit zu visualisieren, wie eine Brille zum Gesicht passt. Sie funktioniert auf Web- und Mobilgeräten ohne Speicherung biometrischer Daten.
• ARShades VTO Explorer: ein Modul für fotobasiertes Virtual Try-On und einen augmentierten Katalog, das es den Nutzern ermöglicht, aus einer begrenzten Anzahl während der Sitzung erfasster Bilder realistische und personalisierte Vorschauen mehrerer Eyewear-Produkte zu erzeugen. VTO Explorer kann in ARShades-Lösungen im Web, auf Mobilgeräten, in Katalogen, im Mirror oder in andere In-Store-Erlebnisse integriert werden. Die erfassten Bilder werden lokal auf dem Gerät des Nutzers oder auf dem für das Erlebnis verwendeten Gerät verarbeitet und nicht automatisch auf die Server von Spaarkly hochgeladen. Wird VTO Explorer auf einem in einer Verkaufsstelle, einem Showroom, an einem Veranstaltungsort oder an einem sonstigen öffentlichen Ort installierten Gerät verwendet und entscheidet sich der Nutzer, die fertigen Fotos auf sein eigenes Gerät zu erhalten, herunterzuladen oder zu teilen, so dürfen ausschließlich die vom Nutzer ausgewählten fertigen Fotos vorübergehend auf die Server von Spaarkly hochgeladen werden, und zwar allein zu dem Zweck, sie dem Nutzer zur Verfügung zu stellen; sie werden nach Maßgabe der vorliegenden Erklärung gelöscht.
• AR PD Meter: ein Werkzeug zur Messung der Pupillendistanz (PD), das den Abstand zwischen den Pupillen des Nutzers mittels AR und Erkennung von Gesichtslandmarken schätzt. Die Bilder und Videoströme der Kamera werden nicht gespeichert, nicht zur biometrischen Identifizierung verwendet und nicht zur Erstellung von Gesichtstemplates genutzt. Zur Berechnung der Pupillendistanz kann AR PD Meter vorübergehend abgeleitete technische Daten wie Gesichtslandmarken, Gesichtsausrichtung, technische Geräteinformationen und die für die Berechnung erforderlichen Parameter an das in der Europäischen Union befindliche ARShades-Backend übermitteln. Diese Daten werden ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen.
• ARShades Mirror: ein Virtual-Try-On-Erlebnis für den Einzelhandel, das über in Verkaufsstellen, Showrooms und an Veranstaltungsorten installierte dedizierte Stationen (Bildschirm und Kamera) in den Editionen ARShades Mirror Showroom, Portrait und Photobooth bereitgestellt wird und es den Nutzern ermöglicht, virtuelle Eyewear-Kataloge zu durchstöbern und Brillen in AR anzuprobieren, ohne dass eine Speicherung personenbezogener Daten erforderlich ist.
• ARShades Gateway: eine eigenständige (Standalone-) AR-Plattform, die unter anderem ein Virtual-Try-On-Erlebnis bietet. Sie kann optional vorbehaltlich der Einwilligung die Geolokalisierung nutzen, um Empfehlungen zu personalisieren.
• ARShades Campaign Catalogue: ein öffentlicher webbasierter Produktkatalog, der über eine eigene URL zugänglich ist, die Eyewear-Produkte einer Marke präsentiert und es ermöglicht, ARShades-Erlebnisse wie VTO, 3D Viewer und VTO Explorer zu starten. Die Katalogseite schreibt weder Cookies noch Local Storage noch sonstige Kennungen auf das Gerät des Nutzers; ihre Nutzung wird in aggregierter Form gemessen, wie im Abschnitt „Daten zur Nutzungsmessung der öffentlichen Kataloge" beschrieben.

1. ZWECKE DER VERARBEITUNG UND RECHTSGRUNDLAGE

a) ARShades-Lösungen auf Geräten im Eigentum des Nutzers

ARShades bietet Augmented-Reality-(AR-)Lösungen für das virtuelle Anprobieren von Brillen, die auf persönlichen Geräten wie Computern, Smartphones und Tablets genutzt werden können.

Wir verarbeiten die personenbezogenen Daten des Nutzers, um ein Virtual-Try-On-Erlebnis bereitzustellen, das es den Nutzern ermöglicht, unterschiedliche Brillenformen und -größen auf Websites und in mobilen Anwendungen zu erproben. Letztlich sollen auf Grundlage der Gesichtsmerkmale des Nutzers Fassungsvorschläge angeboten werden, sodass der Nutzer visualisieren kann, wie bestimmte Modelle zu seinem Gesicht passen könnten.

Die Rechtsgrundlage dieser Verarbeitung ist:

• Bereitstellung der VTO-Dienste: dem Nutzer das virtuelle Anprobieren von Eyewear-Fassungen, das Erproben von Formen und Größen sowie die Nutzung von Werkzeugen wie der Messung der Pupillendistanz zu ermöglichen (Rechtsgrundlage: Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen auf Anfrage des Nutzers gemäß Art. 6 Abs. 1 lit. b DSGVO).
• Verbesserung des Dienstes, Analytics, Sicherheit und Betrugsprävention: die Qualität, Benutzerfreundlichkeit, analytische Auswertung und Sicherheit unserer Dienste zu verbessern, anonyme Statistiken über Nutzung und Leistung der ARShades-Erlebnisse zu erstellen – einschließlich der aggregierten Messung der Nutzung der öffentlichen Seiten der Campaign Catalogues –, missbräuchliche Nutzung und Betrug zu verhindern sowie die Integrität der Netze und Systeme zu gewährleisten (Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
• Erfüllung rechtlicher Verpflichtungen: gesetzlichen Verpflichtungen oder Anordnungen zuständiger Behörden im Bereich der Datenspeicherung, Sicherheit und sonstiger regulatorischer Anforderungen nachzukommen (Rechtsgrundlage: rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO).
• Einwilligung, soweit anwendbar: Soweit eine Einwilligung erforderlich ist, etwa für den Kamerazugriff oder für etwaige optionale Analyse-Werkzeuge, sofern verfügbar, beruht die Verarbeitung auf der Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die jederzeit widerrufen werden kann, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

Diese Einwilligung kann von der betroffenen Person durch Anklicken des entsprechenden Kästchens am Ende der vorliegenden Datenschutzerklärung erteilt werden.

Wird eine erforderliche Einwilligung nicht erteilt, kann dies den Zugang zu bestimmten Funktionen der Dienste verhindern.

b) ARShades-Lösungen auf Geräten, die in Verkaufsstellen, Showrooms oder an öffentlichen Orten installiert sind (ARShades Mirror)

Einige ARShades-Lösungen, einschließlich ARShades Mirror, werden auf dedizierten Stationen installiert, die in Verkaufsstellen, an Veranstaltungsorten oder an sonstigen öffentlich zugänglichen Orten aufgestellt sind, um das virtuelle Anprobieren von Brillen zu ermöglichen.

Einige Versionen von ARShades Mirror, einschließlich der Edition ARShades Mirror Showroom, können das Modul VTO Explorer enthalten. In diesen Fällen gelten dieselben für VTO Explorer beschriebenen Grundsätze: Die zur Personalisierung und zur Erzeugung des augmentierten Katalogs erfassten Bilder werden lokal auf dem für das Erlebnis verwendeten Gerät verarbeitet und nicht automatisch auf die Server von Spaarkly hochgeladen.

Auch in diesem Fall besteht das letztliche Ziel darin, auf Grundlage der Gesichtsmerkmale des Nutzers Fassungsvorschläge anzubieten, sodass er visualisieren kann, wie bestimmte Modelle auf seinem Gesicht aussehen würden.

Die Rechtsgrundlage der Verarbeitung stützt sich auf:

• Bereitstellung der VTO-Dienste: dem Nutzer das virtuelle Anprobieren von Eyewear-Fassungen, das Erproben von Formen und Größen sowie die Nutzung von Werkzeugen wie der Messung der Pupillendistanz zu ermöglichen (Rechtsgrundlage: Erfüllung eines Vertrags oder Durchführung vorvertraglicher Maßnahmen auf Anfrage der betroffenen Person gemäß Art. 6 Abs. 1 lit. b DSGVO).
• Verbesserung des Dienstes, Analytics, Sicherheit und Betrugsprävention: die Qualität, Benutzerfreundlichkeit, analytische Auswertung und Sicherheit unserer Dienste zu verbessern, anonyme Statistiken über Nutzung und Leistung der ARShades-Erlebnisse zu erstellen, missbräuchliche Nutzung und Betrug zu verhindern sowie die Integrität der Netze und Systeme zu gewährleisten (Rechtsgrundlage: berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).
• Rechtliche Verpflichtungen: gesetzlichen Verpflichtungen oder Anordnungen der zuständigen Behörden im Bereich der Datenspeicherung, Sicherheit und sonstiger regulatorischer Anforderungen nachzukommen (Rechtsgrundlage: rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO).
• Einwilligung, soweit anwendbar: Soweit eine Einwilligung erforderlich ist, etwa für den Kamerazugriff, für die Erfassung der zur Nutzung des Moduls VTO Explorer erforderlichen Bilder oder für die vorübergehende Speicherung der vom Nutzer ausgewählten fertigen Fotos zum Herunterladen oder Teilen über Funktionen wie „Shoot & Share" oder gleichwertige Download-Funktionen, beruht die Verarbeitung auf der Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die jederzeit widerrufen werden kann, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird.

2. WIE ARSHADES VTO FUNKTIONIERT

Die ARShades-Technologie nutzt Computer Vision, um Gesichter zu erkennen und Messwerte zu schätzen, ohne Gesichtstemplates zu erstellen oder zu speichern.

ARShades verwendet eine Software zur Gesichtsvermessung für die Dienste Virtual Try-On und AR PD Meter. Über die Kamera wird ein 3D-Gesichtsmesh erzeugt. Beim Virtual Try-On erfolgen die Positionierung der Brille und das Rendering lokal auf dem Gerät. Beim AR PD Meter können die für die Berechnung der Pupillendistanz erforderlichen abgeleiteten technischen Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt werden, und zwar ausschließlich zur Rückgabe des Messergebnisses.

Wenn ein ARShades-Erlebnis das Modul VTO Explorer umfasst, kann das System den Nutzer auffordern, während der Sitzung eine begrenzte Anzahl von Bildern zu erfassen. Diese Bilder werden als stabile visuelle Referenz verwendet, um realistische Vorschauen mehrerer im Katalog enthaltener Eyewear-Produkte zu erzeugen. Das System kann die Erkennung von Gesichtslandmarken, adaptive Gesichtsmasken, die Segmentierung von Gesichtsbereichen wie Haut, Haar und Ohren sowie lokale Rendering-Techniken anwenden, um die Brille korrekt zu positionieren und realistische Vorschauen zu erzeugen.

Diese Verarbeitung erfolgt lokal auf dem Gerät des Nutzers oder auf dem für das Erlebnis verwendeten Gerät. Die zur Personalisierung und zur Erzeugung des Katalogs erfassten Bilder werden nicht automatisch auf die Server von Spaarkly hochgeladen, nicht zur Gesichtserkennung verwendet und nicht zur Erstellung einer biometrischen Kennung oder eines dauerhaften Gesichtstemplates genutzt.

Wir nehmen keine eindeutige Identifizierung des Nutzers auf Grundlage des Gesichtsmeshs vor; die Daten werden ausschließlich verwendet, um die Brille virtuell zu positionieren und auf Gesichtsmerkmalen beruhende Vorschläge bereitzustellen.

Anders als biometrische Technologien, die mit Einzelpersonen verknüpfte eindeutige Kennungen erzeugen, arbeitet unser System wie folgt:

• Es arbeitet mit anonymen mathematischen Punkten, die allen Gesichtern gemeinsam sind;
• es verwendet die Messwerte weder zur Identifizierung bestimmter Personen, noch sind die Messwerte für sich genommen zu deren Identifizierung geeignet;
• es verwendet und speichert keine Daten zu Zwecken der Gesichtserkennung;
• es verarbeitet die Gesichtsdaten des Virtual Try-On lokal auf dem Gerät des Nutzers, ohne serverseitige Speicherung;
• beim AR PD Meter verwendet es vorübergehend abgeleitete technische Daten auf dem ARShades-Backend allein zur Berechnung und Rückgabe des PD-Ergebnisses und verwirft sie nach der Verarbeitung.

Zur Nutzung dieser Funktionen muss der Nutzer die erforderlichen Berechtigungen für den Zugriff auf die Kamera („Cam") und andere Hardwarekomponenten, etwa die TrueDepth-Kamera oder die Depth API, erteilen und über eine kompatible Version des Betriebssystems auf seinem Gerät verfügen, um die Augmented-Reality-Erlebnisse zu unterstützen.

Der Nutzer kann diese Berechtigungen verweigern; dies macht jedoch die Nutzung des Dienstes unmöglich.

Diese Daten werden lokal auf dem Gerät des Nutzers erhoben, soweit nicht für die AR-PD-Meter-Berechnung anders angegeben, und ausschließlich in anonymer oder aggregierter Form zu Entwicklungszwecken sowie zur Erhebung statistischer Informationen über die Nutzung von ARShades verwendet.

Wie wir die Einwilligung einholen und verwalten

Der Browser oder das mobile Betriebssystem fordert selbständig den Zugriff auf die Kamera über ein Pop-up an. Die Nutzer müssen die Berechtigung erteilen, bevor das ARShades-Erlebnis funktionieren kann.

Die Nutzer können ihre Einwilligung jederzeit widerrufen, indem sie den Kamerazugriff in den Einstellungen des Browsers oder des Geräts deaktivieren.

3. KATEGORIEN DER VERARBEITETEN PERSONENBEZOGENEN DATEN

Daten der Gesichtsvermessung

Das System berechnet in Echtzeit die folgenden Gesichtsmaße:

• Pupillendistanz;
• Länge des Unterkiefers;
• Breite und Höhe der Stirn;
• Länge und Breite der Nase;
• Höhe der Wangenknochen;
• Gesichtsbreite auf Höhe der Wangenknochen;
• Gesichtsbreite auf Höhe des Mundes;
• Länge des Kinns;
• Gesamtlänge des Gesichts.

Diese Messwerte werden für das Virtual Try-On unmittelbar und lokal verarbeitet. Im Fall des AR PD Meter können die zur Berechnung der Pupillendistanz erforderlichen abgeleiteten technischen Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt werden, und zwar ausschließlich zur Berechnung und Rückgabe des Messergebnisses. Sie werden nicht als eindeutige Kennungen gespeichert, nicht zur Gesichtserkennung verwendet und nach der Verarbeitung verworfen. Etwaige aus Gründen der Sicherheit, für Analytics, zur Missbrauchsprävention oder zur Verbesserung des Dienstes aufbewahrte technische Daten oder Sitzungsdaten werden höchstens 14 Monate aufbewahrt und anschließend aggregiert oder anonymisiert.

Anonyme statistische Daten

Wir können in anonymisierter und nicht nachverfolgbarer Form Informationen wie das ungefähre Geschlecht und die Altersgruppe erheben, und zwar ausschließlich zu dem Zweck, Eyewear-Empfehlungen bereitzustellen, Mindestalteranforderungen zu prüfen, anonyme Statistiken zu erstellen und das Nutzererlebnis zu verbessern. In jedem Fall werden wir den Nutzer ausdrücklich auf diese Möglichkeit hinweisen und erst nach Einholung seiner besonderen Zustimmung fortfahren.

Einige ARShades-Erlebnisse, wie ARShades Mirror, können ein lokales, auf künstlicher Intelligenz beruhendes Modul enthalten, das eine direkt auf dem Gerät ausgeführte Open-Source-KI-Technologie nutzt, und zwar zu anonymen statistischen und analytischen Zwecken in Bezug auf Nutzung, Leistung und Verbesserung der ARShades-Dienste.

Dieses Modul kann bestimmte allgemeine Merkmale der Person, die mit dem Erlebnis interagiert, automatisch schätzen, etwa das geschätzte Geschlecht, die geschätzte Altersgruppe und das Vorhandensein oder Fehlen einer Brille. Die Schätzung weiterer allgemeiner demografischer Merkmale ist standardmäßig deaktiviert und kann nur für bestimmte Projekte nach vorheriger rechtlicher Prüfung aktiviert werden; in diesem Fall weist der auf dem Gerät angezeigte Hinweis ausdrücklich darauf hin.

Diese Daten werden ausschließlich in anonymer und aggregierter Form zu statistischen Zwecken, zur Dienstanalyse, zur Bewertung der Produktleistung, für Nutzungs-Analytics und zur Verbesserung der ARShades-Dienste verarbeitet. Sie werden nicht zur Identifizierung des Nutzers verwendet, nicht mit Namen, Kontaktdaten, einem Gesichtstemplate, einem Konto oder einer dauerhaften Kennung verknüpft und nicht zur Gesichtserkennung, zur individuellen Profilbildung, für automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, für Marketing oder für Verhaltens-Tracking verwendet.

Die KI-Analyse erfolgt lokal auf dem Gerät. Spaarkly kann lediglich anonyme statistische Ergebnisse dieser Analyse erheben, sofern technisch aktiviert, jedoch keine Gesichtsbilder, Gesichtstemplates, biometrischen Kennungen oder Daten, die den Nutzer unmittelbar identifizieren. Es bleibt bei dem oben Gesagten: Die etwaige Aktivierung dieses Moduls wird dem Nutzer zur Kenntnis gebracht und ist, soweit nach anwendbarem Recht erforderlich, von seiner besonderen Zustimmung abhängig.

Geräte- und Sitzungsdaten

Wir erheben standardmäßige Nutzungsinformationen wie:

• IP-Adresse;
• Gerätetyp;
• Betriebssystem;
• bevorzugte Sprache;
• angesehene Marken und Produkte;
• Zugriffsdaten und -uhrzeiten;
• anonyme Statistiken über die Interaktionen mit der VTO-App, etwa ob der Nutzer eine Brille trägt.

Diese Daten werden erhoben, um die Dienste zu verbessern, die Sicherheit zu gewährleisten und die Nutzung unserer Lösungen zu analysieren.

Daten zur Nutzungsmessung der öffentlichen Kataloge (Campaign Catalogue)

Besucht der Nutzer die öffentliche Seite eines ARShades Campaign Catalogue, misst Spaarkly die Nutzung der Seite in aggregierter Form, um ihren Kunden Statistiken über die Kampagnen bereitzustellen: Anzahl der Besuche, Schätzung der eindeutigen Besucher innerhalb eines einzelnen Tages, Scrolltiefe der Seite, Interaktionen mit den Produkten und Aufrufe der immersiven Erlebnisse, Herkunftskanal des Besuchs sowie Gerätetyp.

Diese Messung erfolgt, ohne dass Cookies, Local Storage oder sonstige Kennungen auf das Gerät des Nutzers geschrieben werden. Allein zu dem Zweck, die Besuche innerhalb eines einzelnen Tages zu unterscheiden, berechnen die Systeme von Spaarkly serverseitig einen technischen Code mittels einer nicht umkehrbaren kryptografischen Hash-Funktion, die auf die IP-Adresse und die technischen Browserinformationen angewendet wird, unter Einbeziehung eines variablen geheimen Elements, das alle 24 Stunden erneuert wird; die IP-Adresse wird unmittelbar nach der Berechnung verworfen und nicht gespeichert. Der so erzeugte Code erlaubt es nicht, den Nutzer über verschiedene Tage hinweg wiederzuerkennen, und stellt ein abgeleitetes technisches Datum dar, das nicht zur Identifizierung des Nutzers verwendet wird und für sich genommen zu dessen Identifizierung nicht geeignet ist. Er wird nicht zur Wiedererkennung, zur individuellen Profilbildung, für Marketing oder für Verhaltens-Tracking über verschiedene Websites oder Dienste hinweg verwendet.

Die so erhobenen Nutzungsereignisse werden nach der täglichen statistischen Aggregation gelöscht, in der Regel innerhalb von 48 Stunden nach der Erhebung; anschließend werden ausschließlich aggregierte Statistiken ohne jeglichen technischen Code aufbewahrt. Rechtsgrundlage dieser Verarbeitung ist das berechtigte Interesse von Spaarkly und ihren Kunden an der Messung der Wirksamkeit der Kampagnen und der Nutzung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO); der Nutzer kann dieser Verarbeitung nach Maßgabe des Abschnitts „Rechte der betroffenen Person" widersprechen.

Das Starten eines immersiven Erlebnisses aus dem Katalog (etwa VTO oder VTO Explorer) unterliegt weiterhin den Einwilligungen, Hinweisen und Regeln, die in den übrigen Abschnitten der vorliegenden Erklärung beschrieben sind.

Gesichtsbilder oder biometrische Daten

ARShades erhebt, speichert und verarbeitet keine biometrischen Kennungen oder biometrischen Informationen im Sinne der DSGVO oder im Sinne der Definitionen einzelstaatlicher Gesetze wie BIPA, CUBI, CCPA oder vergleichbarer Vorschriften. Die von ARShades verwendete Technologie zur Gesichtsvermessung erkennt Gesichtslandmarken, um die Brille zu überlagern, zu positionieren oder zu rendern und, beim AR PD Meter, um die Pupillendistanz zu berechnen, ohne biometrische Kennungen zu erzeugen oder zu speichern. Es werden keine Gesichtstemplates, Scans oder eindeutigen Kennungen erstellt, gespeichert oder an unsere Server übermittelt. Die etwaig für den AR PD Meter an das ARShades-Backend übermittelten abgeleiteten technischen Daten werden allein zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen.

Wenn ein ARShades-Erlebnis das Modul VTO Explorer umfasst, kann der Nutzer aufgefordert werden, während der Sitzung eine begrenzte Anzahl von Bildern zu erfassen. Diese Bilder werden lokal auf dem Gerät des Nutzers oder auf dem für das Erlebnis verwendeten Gerät verarbeitet, um personalisierte Katalogvorschauen zu erzeugen, und werden nicht automatisch auf die Server von Spaarkly hochgeladen.

Wenn VTO Explorer oder andere ARShades-Funktionen zur Fotoausgabe auf dem Gerät des Nutzers verwendet werden, können die während des Erlebnisses erzeugten fertigen Fotos unmittelbar auf diesem Gerät gespeichert oder heruntergeladen werden. In diesen Fällen ist es für Spaarkly nicht erforderlich, diese fertigen Fotos auf ihren Servern hochzuladen, zu speichern oder anderweitig zu verarbeiten, um sie dem Nutzer zur Verfügung zu stellen.

Eine gesonderte vorübergehende serverseitige Verarbeitung kann nur dann erfolgen, wenn das Erlebnis über ein in einer Verkaufsstelle, einem Showroom, an einem Veranstaltungsort oder an einem sonstigen öffentlichen Ort installiertes Gerät bereitgestellt wird und der Nutzer sich entscheidet, fertige Fotos, die ihn mit der ausgewählten Brille zeigen, auf sein eigenes Gerät zu erhalten, herunterzuladen oder zu teilen. In diesem Fall werden ausschließlich die vom Nutzer ausgewählten fertigen Fotos vorübergehend auf die Server von Spaarkly hochgeladen, und zwar allein zu dem Zweck, sie dem Nutzer zum Herunterladen oder Teilen zur Verfügung zu stellen. Diese Fotos werden nicht zur Identifizierung, zur Gesichtserkennung, zur Profilbildung, für Marketing, für Analytics oder zum Training von Systemen künstlicher Intelligenz verwendet.

Sollte eine Rechtsordnung die biometrischen Daten in einer Weise neu definieren, die die ARShades-Technologie einschließen könnte, bestätigen wir, dass die Gesichtsanalyse und die Personalisierung streng lokal auf dem Gerät des Nutzers oder auf dem für das Erlebnis verwendeten Gerät verbleiben und weder gespeichert noch zu Identifizierungszwecken verwendet werden. Jeder vorübergehende Upload fertiger Fotos beschränkt sich auf das vom Nutzer gewünschte Herunterladen oder Teilen von Geräten, die in Verkaufsstellen, Showrooms, an Veranstaltungsorten oder an sonstigen öffentlichen Orten installiert sind, und unterliegt den in der vorliegenden Erklärung beschriebenen Speicherfristen.

Vom Nutzer ausgewählte fertige Fotos

Wenn der Nutzer sich entscheidet, über ARShades VTO, VTO Explorer, ARShades Mirror, „Shoot & Share" oder gleichwertige Funktionen erzeugte fertige Fotos zu erhalten, herunterzuladen oder zu teilen, hängen die Modalitäten der Verarbeitung von der Art des für das Erlebnis verwendeten Geräts ab.

Findet das Erlebnis auf dem persönlichen Gerät des Nutzers statt, können die fertigen Fotos unmittelbar auf diesem Gerät gespeichert oder heruntergeladen werden und werden zu diesem Zweck nicht auf die Server von Spaarkly hochgeladen.

Findet das Erlebnis auf einem in einer Verkaufsstelle, einem Showroom, an einem Veranstaltungsort oder an einem sonstigen öffentlichen Ort installierten Gerät statt, kann Spaarkly ausschließlich die vom Nutzer ausgewählten fertigen Fotos vorübergehend verarbeiten, und zwar allein zu dem Zweck, sie dem Nutzer zum Herunterladen oder Teilen auf sein eigenes Gerät zur Verfügung zu stellen.

Diese Fotos können den Nutzer mit einem oder mehreren ausgewählten Eyewear-Produkten zeigen. Sie werden nicht zur Gesichtserkennung, zur biometrischen Identifizierung, zur Profilbildung, für Marketing, für Analytics oder zum Training von Systemen künstlicher Intelligenz verwendet.

Der Nutzer kann diese Fotos unmittelbar nach dem Herunterladen löschen, sofern diese Option verfügbar ist. Löscht der Nutzer sie nicht manuell, werden sie spätestens am Tag nach der Sitzung automatisch von den Servern von Spaarkly gelöscht.

Geolokalisierungsdaten bei Standalone-Anwendungen (ARShades Gateway)

Einige ARShades-Standalone-Anwendungen, d. h. solche, die nicht in die Websites der Kunden eingebettet sind, können Geolokalisierungsdaten in folgender Weise erheben:

• Genaue Geolokalisierung: Vorbehaltlich der ausdrücklichen Einwilligung können bestimmte ARShades-Standalone-Anwendungen genaue Geolokalisierungskoordinaten vom Gerät erheben, um standortbezogene Dienste oder Empfehlungen bereitzustellen.
• Ungefährer Standort: Fehlt eine ausdrückliche Einwilligung zum genauen Standort, können wir einen ungefähren Standort auf Grundlage der IP-Adresse ableiten.

Die Erhebung von Geolokalisierungsdaten bei Standalone-Anwendungen ist:

• fakultativ: Die Standortberechtigungen können verweigert werden, ohne dass die zentralen VTO-Funktionen beeinträchtigt werden;
• einwilligungsbasiert: Die genaue Geolokalisierung wird nur nach vorheriger ausdrücklicher Einwilligung erhoben;
• zweckgebunden: Sie wird nur verwendet, um einschlägige Eyewear-Empfehlungen oder standortbezogene Dienste bereitzustellen;
• derselben Aufbewahrungsregelung unterworfen: Sie wird zusammen mit den übrigen technischen Daten innerhalb von 14 Monaten anonymisiert.

Verwaltung der Einwilligung zur Geolokalisierung

Bei der ersten Nutzung unserer Standalone-Anwendungen fragt der Browser, ob der Zugriff auf den Standort erlaubt oder blockiert werden soll. Es handelt sich um eine sitzungsbasierte Einwilligung, die nicht zwangsläufig über die einzelnen Besuche hinaus fortbesteht; je nach Wahl des Nutzers und den Browser-Einstellungen kann diese Entscheidung jedoch:

• vom Browser für künftige Besuche derselben Anwendung lokal gespeichert werden;
• so eingestellt werden, dass jedes Mal nachgefragt wird;
• nur für die aktuelle Sitzung vorübergehend erteilt werden.

Diese Berechtigungseinstellungen können jederzeit über die Browser-Einstellungen geändert werden.

Alle erhobenen technischen Daten, einschließlich etwaiger Geolokalisierungsdaten, werden innerhalb von 14 Monaten automatisch anonymisiert, wie in unserer Aufbewahrungsregelung beschrieben.

4. MODALITÄTEN DER VERARBEITUNG

Die personenbezogenen Daten werden mittels informationstechnischer Systeme und, soweit erforderlich, manuell verarbeitet, unter Wahrung der Grundsätze der Richtigkeit, Rechtmäßigkeit, Transparenz und Vertraulichkeit. Autorisiertes, geschultes und unterwiesenes Personal greift zu den erklärten Zwecken auf die Daten zu.

Wir treffen technische und organisatorische Maßnahmen, die darauf abzielen, unbefugte Zugriffe zu verhindern und die Daten zu schützen.

5. VERARBEITUNG DER DATEN IN ARSHADES MIRROR

ARShades Mirror teilt dieselben grundlegenden Funktionen wie die übrigen ARShades-VTO-Lösungen: Die Gesichtslandmarken werden in Echtzeit lokal auf dem Gerät verarbeitet, ohne persistente Gesichtstemplates und ohne Identitätserkennung, und kein Videostrom verlässt die Station. In der Edition ARShades Mirror Showroom wird aus den Gesichtslandmarken auf dem Gerät eine auf durchschnittlichen anthropometrischen Werten beruhende Schätzung des Abstands zur Kamera abgeleitet, ausschließlich um die virtuellen Fassungen zu skalieren; es wird keine Pupillendistanz gemessen oder ausgegeben, und diese Schätzung wird weder gespeichert noch übertragen. Der vorliegende Abschnitt regelt speziell die zusätzlichen Aspekte der In-Store-Implementierung und der optionalen Funktion „Shoot & Share", die es den Nutzern ermöglicht, Selfies mit der ausgewählten Brille zu speichern und zu teilen. Die Verarbeitung der personenbezogenen Daten erfolgt wie folgt:

Modalitäten der Verarbeitung

• Die für Virtual Try-On, Personalisierung, Katalogerzeugung, Gesichtsanpassung, Segmentierung, Produktpositionierung und Rendering erfassten Bilder werden lokal auf dem Gerät verarbeitet, ohne automatische Übermittlung an die Server von Spaarkly.
• Bei den Editionen von ARShades Mirror, die das Modul VTO Explorer enthalten, wie ARShades Mirror Showroom, werden die während der Personalisierungsphase erfassten Bilder lokal verwendet, um Vorschauen des augmentierten Katalogs zu erzeugen, und werden nicht auf die Server von Spaarkly hochgeladen.
• Nur wenn der Nutzer sich aktiv entscheidet, fertige Fotos, die ihn mit der ausgewählten Brille zeigen, von einem in einer Verkaufsstelle, einem Showroom, an einem Veranstaltungsort oder an einem sonstigen öffentlichen Ort installierten Gerät zu erhalten, herunterzuladen oder zu teilen, dürfen diese ausgewählten fertigen Fotos vorübergehend auf die Server von Spaarkly hochgeladen werden, und zwar allein zu dem Zweck, sie dem Nutzer auf seinem eigenen Gerät zur Verfügung zu stellen.
• Der Inhaber der Verkaufsstelle hat keinen unmittelbaren Zugriff auf die von den Nutzern erzeugten Daten oder Bilder, da der Zugriff auf die Software ausschließlich ARShades vorbehalten ist.
• ARShades verpflichtet sich, nicht auf die Daten des Nutzers zuzugreifen, es sei denn, dies ist für bestimmte technische Wartungstätigkeiten erforderlich, wobei die erfassten Bilder in keinem Fall angezeigt oder verarbeitet werden.
• Spaarkly gibt die Daten der Nutzer nicht zu deren eigenen Zwecken an Dritte weiter. Für das Hosting und die Erbringung der Dienste kann Spaarkly qualifizierte Anbieter von Cloud-Infrastruktur mit Servern in der Europäischen Union heranziehen, die als Auftragsverarbeiter gemäß Art. 28 DSGVO benannt und durch entsprechende Auftragsverarbeitungsvereinbarungen gebunden sind. Die Verarbeitungstätigkeiten werden ausschließlich durch autorisiertes Personal von Spaarkly und durch diese Anbieter im Rahmen der erteilten Weisungen durchgeführt.

Automatische Löschung und Sicherheitsmaßnahmen

• Die vorübergehend über ARShades Mirror, VTO Explorer, „Shoot & Share" oder gleichwertige Download-/Teilen-Funktionen von Geräten hochgeladenen fertigen Fotos, die in Verkaufsstellen, Showrooms, an Veranstaltungsorten oder an sonstigen öffentlichen Orten installiert sind, können von den Nutzern unmittelbar nach dem Herunterladen auf ihr eigenes Gerät von unseren Servern gelöscht werden, sofern diese Option verfügbar ist. Löschen die Nutzer ihre Fotos nicht manuell, entfernt unser System sie spätestens am Tag nach der Sitzung automatisch mittels eines geplanten automatischen Verfahrens, ohne manuelles Eingreifen.
• Die vorübergehend gespeicherten Daten werden zur Gewährleistung ihrer Sicherheit im Ruhezustand und bei der Übertragung verschlüsselt.
• Alle Zugriffe auf die ARShades-Geräte zu Zwecken der technischen Wartung werden in einem Zugriffsprotokoll erfasst, in Übereinstimmung mit Art. 5 Abs. 1 lit. f DSGVO.
• Die Software ist so konfiguriert, dass der Zugriff auf die Daten ausschließlich dem autorisierten ARShades-Personal vorbehalten ist.

Rolle von ARShades und der Verkaufsstelle

• ARShades bleibt der alleinige Verantwortliche für die über ARShades Mirror erzeugten Daten.
• Die Verkaufsstelle verarbeitet die Daten der Nutzer nicht, da sie weder Zugriff auf die erzeugten Daten noch auf die Verwaltung der Software hat.

6. DATENERHEBUNG UND AUFBEWAHRUNGSDAUER

• Die Daten der Gesichtsvermessung werden für das Virtual Try-On lokal auf dem Gerät des Nutzers erhoben und nur so lange aufbewahrt, wie es für die Erbringung der ARShades-VTO-Dienste erforderlich ist. Beim AR PD Meter können die zur Berechnung der Pupillendistanz erforderlichen abgeleiteten technischen Daten vorübergehend an das in der EU befindliche ARShades-Backend übermittelt, allein zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden.
• Die Sitzungs- und Gerätedaten werden auf den in der EU befindlichen Servern von Spaarkly aufbewahrt. Die IP-Adressen werden innerhalb von 14 Monaten gelöscht und vollständig von allen übrigen Daten getrennt. Zu statistischen Analysezwecken werden ausschließlich aggregierte und anonymisierte Daten aufbewahrt.
• Die Daten zur Nutzungsmessung der öffentlichen Kataloge (Campaign Catalogue) werden nach der täglichen statistischen Aggregation gelöscht, in der Regel innerhalb von 48 Stunden nach der Erhebung; anschließend werden ausschließlich aggregierte und anonyme Statistiken aufbewahrt.
• Die Aufbewahrungsdauer der personenbezogenen Daten kann in Ausnahmefällen verlängert werden, etwa zur Erfüllung gesetzlicher Verpflichtungen oder zu Zwecken der Betrugsprävention.

7. COOKIE-RICHTLINIE

ARShades verwendet ausschließlich unbedingt erforderliche Cookies, die für den Betrieb unserer Dienste unerlässlich sind. Diese Cookies:

• ermöglichen grundlegende Funktionen der Website, wie Sitzungsverwaltung und Sicherheit;
• verfolgen die Nutzer nicht über verschiedene Websites hinweg;
• werden nicht für Analytics, Marketing oder Tracking durch Dritte verwendet.

Da diese Cookies unerlässlich sind, bedürfen sie nach der DSGVO und der ePrivacy-Richtlinie nicht der Einwilligung des Nutzers. Die Nutzer können in den Browser-Einstellungen Cookies blockieren oder löschen; dies kann jedoch die Funktionsfähigkeit des Dienstes beeinträchtigen.

Die öffentlichen Seiten der Campaign Catalogues setzen weder Cookies noch Local Storage: Die Messung ihrer Nutzung erfolgt ausschließlich serverseitig, wie im Abschnitt „Daten zur Nutzungsmessung der öffentlichen Kataloge" beschrieben. Die im vorliegenden Abschnitt beschriebenen Cookies betreffen die vom Nutzer gestarteten ARShades-Erlebnisse (etwa VTO).

Verwendete unbedingt erforderliche Cookies

Verwendete Speichertechnologien

Aus technischen Gründen im Zusammenhang mit den domänenübergreifenden Beschränkungen in einigen Browsern kann ARShades die Einwilligung mittels Cookies oder Mechanismen des Local Storage speichern. Beide Methoden verfolgen denselben funktionalen Zweck: die Annahme der Datenschutzerklärung zu speichern, um wiederholte Abfragen bei nachfolgenden VTO-Erlebnissen zu vermeiden.

Können Cookies aufgrund von Browser-Beschränkungen nicht gesetzt werden, wird der Local Storage als Ausweichmechanismus verwendet. Diese im Local Storage gespeicherten Daten unterliegen denselben Aufbewahrungsfristen, Sicherheitsmaßnahmen und Nutzerkontrollen wie die Cookies. Sowohl die Cookies als auch die Daten im Local Storage können über die Browser-Einstellungen gelöscht werden.

Die mit beiden Methoden gespeicherten Informationen beschränken sich auf wesentliche Einwilligungs-Flags und werden nicht für Tracking oder Profilbildung verwendet.

8. ART DER BEREITSTELLUNG DER DATEN UND FOLGEN IHRER NICHTBEREITSTELLUNG

Die Bereitstellung der Daten zu den oben beschriebenen Zwecken ist freiwillig und unentgeltlich. Mit Ausnahme der Geolokalisierungsdaten bei einigen ARShades-Standalone-Produkten gilt: Entscheidet sich der Nutzer, die für eine bestimmte Funktion erforderlichen Daten oder Berechtigungen nicht bereitzustellen, sind wir möglicherweise nicht in der Lage, diese Funktion anzubieten.

So verhindert etwa die Verweigerung des Kamerazugriffs die Nutzung des VTO-Erlebnisses. Die Verweigerung der Erfassung der für das Modul VTO Explorer erforderlichen Bilder kann die Erzeugung der Vorschauen des augmentierten Katalogs verhindern.

Findet das Erlebnis auf dem persönlichen Gerät des Nutzers statt, hindert die Entscheidung, die fertigen Fotos nicht zu speichern oder herunterzuladen, den Nutzer nicht daran, das lokale Virtual-Try-On- oder Katalogerkundungs-Erlebnis zu nutzen, sofern verfügbar. Findet das Erlebnis auf einem in einer Verkaufsstelle, einem Showroom, an einem Veranstaltungsort oder an einem sonstigen öffentlichen Ort installierten Gerät statt, hat die Entscheidung, das Herunterladen oder Teilen der fertigen Fotos nicht anzufordern, zur Folge, dass zu diesem Zweck kein vorübergehender Upload dieser Fotos auf die Server von Spaarkly erfolgt.

9. INTERNATIONALE DATENÜBERMITTLUNGEN

Alle Daten werden auf Servern innerhalb der Europäischen Union (EU) aufbewahrt.

Wir übermitteln Ihre personenbezogenen Daten nicht außerhalb des Europäischen Wirtschaftsraums (EWR).

Sollte künftig eine Übermittlung von Daten außerhalb des EWR erforderlich werden, gewährleisten wir die Anwendung geeigneter Garantien in Übereinstimmung mit der DSGVO und den übrigen anwendbaren Vorschriften, etwa der von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC).

10. SICHERHEITSMASSNAHMEN

Wir treffen geeignete technische und organisatorische Maßnahmen, um die Daten vor unbeabsichtigter oder unrechtmäßiger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugang zu schützen.

Zu diesen Maßnahmen gehören:

• Verschlüsselung;
• Firewalls;
• sichere Server;
• Zugriffsverwaltungssysteme zur Verhinderung unbefugter Zugriffe auf Systeme und Daten.

Wir überwachen und aktualisieren unsere Sicherheitsprotokolle fortlaufend, um die Einhaltung der aktuellsten Datenschutzstandards zu gewährleisten.

Protokoll im Fall einer Sicherheitsverletzung

Im Fall eines Sicherheitsvorfalls, der Sitzungsdaten, Gerätedaten, IP-Adressen oder Geolokalisierungsdaten betrifft, wird ARShades:

• das Risikoniveau gemäß Art. 33 DSGVO bewerten. Wir werden jede potenzielle Verletzung in Übereinstimmung mit Art. 33 DSGVO bewerten und die zuständige Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen, soweit dies nach anwendbarem Recht erforderlich ist;
• aufgrund des Fehlens personenbezogener Kontaktdaten nicht in der Lage sein, die einzelnen Nutzer unmittelbar zu benachrichtigen. Soweit erforderlich, geben wir stattdessen eine öffentliche Bekanntmachung über unsere offizielle Website oder andere Kanäle heraus;
• den Vorfall schnellstmöglich eindämmen und beheben und dabei, soweit erforderlich, zusätzliche Schutzmaßnahmen umsetzen.

11. DATENSCHUTZ VON MINDERJÄHRIGEN

ARShades ist für Nutzer jeden Alters konzipiert. Gleichwohl können nur Nutzer, die das im jeweiligen Land geltende gesetzliche Mindestalter erreicht haben, selbständig in die Verarbeitung ihrer personenbezogenen Daten einwilligen.

Liegt ein Nutzer unter diesem Alter, ist für die Verarbeitung der Daten die Einwilligung eines Elternteils oder Vormunds erforderlich, und der Elternteil oder Vormund muss die vorliegende Datenschutzerklärung in seinem Namen annehmen.

Wir sind dem Schutz des Datenschutzes Minderjähriger verpflichtet und ermutigen Eltern und Vormünder, die Online-Aktivitäten und digitalen Erlebnisse Minderjähriger aktiv zu überwachen.

Wir erheben und verarbeiten die personenbezogenen Daten keines Nutzers – und damit auch keines Minderjährigen – wissentlich ohne eine gültige Rechtsgrundlage sowie, soweit es sich um Minderjährige unterhalb des anwendbaren gesetzlichen Alters handelt, ohne eine verifizierte elterliche Einwilligung.

So, wie ARShades konzipiert ist, legen wir keine Konten an, verlangen weder Namen noch Kontaktdaten und erzeugen keine dauerhaften Kennungen: Die Verarbeitung der Gesichtsdaten erfolgt lokal auf dem Gerät, und die etwaig aufbewahrten technischen Daten und Sitzungsdaten (z. B. die IP-Adresse) werden innerhalb der im Abschnitt „Datenerhebung und Aufbewahrungsdauer" genannten Fristen von allen übrigen Daten getrennt. Folglich halten wir keine Daten vor, die sich einem identifizierten oder identifizierbaren Minderjährigen zuordnen lassen.

Ist ein Elternteil oder Vormund der Auffassung, dass sein Kind den Dienst ohne seine Einwilligung genutzt hat, kann er uns unter privacy@spaarkly.com kontaktieren, um die Löschung der Daten zu verlangen, wobei die verwendete IP-Adresse und nach Möglichkeit das ungefähre Datum und die ungefähre Uhrzeit der Sitzung anzugeben sind. Sofern uns diese Angaben ermöglichen, die betreffenden Daten aufzufinden, ergreifen wir unverzüglich Maßnahmen zu deren Löschung; andernfalls weisen wir darauf hin, dass die technischen Daten ohnehin den im Abschnitt „Datenerhebung und Aufbewahrungsdauer" beschriebenen Fristen für Aufbewahrung und automatische Löschung unterliegen.

12. RECHTE DER BETROFFENEN PERSON

Nach Maßgabe der DSGVO und der gleichwertigen Vorschriften stehen den Nutzern die folgenden Rechte zu:

Auskunftsrecht

• Bestätigung zu verlangen, ob personenbezogene Daten verarbeitet werden oder nicht.
• Zugang zu den einschlägigen Informationen zu erhalten, etwa zu den Zwecken, den Kategorien der verarbeiteten Daten, den Empfängern oder Kategorien von Empfängern, der Aufbewahrungsdauer usw.

Recht auf Berichtigung

• Die Berichtigung unrichtiger oder unvollständiger Daten zu verlangen.

Recht auf Löschung („Recht auf Vergessenwerden")

• Die Löschung der personenbezogenen Daten zu verlangen, wenn:
  • die Daten für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind;
  • die Einwilligung widerrufen wird, sofern die Verarbeitung auf der Einwilligung beruht;
  • die Daten unrechtmäßig verarbeitet wurden.

Recht auf Einschränkung der Verarbeitung

• Die Einschränkung der Verarbeitung zu verlangen, wenn:
  • die Richtigkeit der Daten bestritten wird;
  • die Verarbeitung unrechtmäßig ist, der Löschung jedoch widersprochen wird;
  • die Daten zur Geltendmachung, Ausübung oder Verteidigung eines Rechtsanspruchs erforderlich sind, auch wenn der Verantwortliche sie nicht mehr benötigt;
  • der Verarbeitung widersprochen wird, solange die Prüfung der berechtigten Gründe andauert.

Recht auf Datenübertragbarkeit

• Die eigenen personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Die unmittelbare Übermittlung an einen anderen Verantwortlichen zu verlangen, soweit technisch machbar.

Widerspruchsrecht

• Der auf dem berechtigten Interesse beruhenden Verarbeitung zu widersprechen.

Recht auf Widerruf der Einwilligung

• Die Einwilligung jederzeit zu widerrufen, wenn die Verarbeitung auf der Einwilligung beruht.

Schnittstelle zur Verwaltung der Einwilligung

Zur Erleichterung der Ausübung des Rechts auf Widerruf der Einwilligung stellt ARShades innerhalb der Virtual-Try-On-Oberfläche ein eigenes Symbol zur Cookie-/Einwilligungsverwaltung bereit. Durch Anklicken dieses Symbols kann der Nutzer:

• den aktuellen Status seiner Einwilligung einsehen;
• auf unsere vollständige Datenschutzerklärung zugreifen;
• eine zuvor erteilte Einwilligung widerrufen.

Wird die Einwilligung widerrufen, löschen wir die Einwilligungsdaten unverzüglich sowohl aus den Cookies als auch aus dem Local Storage, brechen die laufende VTO-Sitzung ab und fordern für jede weitere Nutzung unserer Dienste eine erneute Einwilligung an. Dieser Mechanismus gewährleistet dem Nutzer jederzeit die vollständige Kontrolle über seine Daten.

Ausübung der Rechte

Da ARShades keine Registrierung des Nutzers erfordert und keine unmittelbaren personenbezogenen Kennungen wie Namen oder E-Mail-Adressen erhebt, kann es erforderlich sein, zusätzliche Informationen zur Verifizierung der Identität bereitzustellen, etwa die IP-Adresse, Geräteinformationen oder Sitzungsdetails, um datenbezogene Anfragen zu prüfen und zu bearbeiten. Dies ist erforderlich, um die Anfrage den gespeicherten technischen Daten zuzuordnen.

Kann ein Nutzer seine IP-Adresse oder andere identifizierende Sitzungsdetails nicht bereitstellen, sind wir möglicherweise nicht in der Lage, bestimmte Anfragen zu erfüllen, etwa die Löschung der Daten, da ARShades keine personenbezogen identifizierbaren Profile führt.

Die Anfragen sind per E-Mail an den Verantwortlichen unter der folgenden Adresse zu richten: privacy@spaarkly.com

Sind Sie der Auffassung, dass Ihre Daten unrechtmäßig verarbeitet wurden, haben Sie das Recht, Beschwerde einzulegen bei:

• dem italienischen Garante per la Protezione dei Dati Personali: www.garanteprivacy.it;
• einer anderen zuständigen Aufsichtsbehörde in Ihrem Wohnsitzland.

13. ÄNDERUNGEN DER VORLIEGENDEN DATENSCHUTZERKLÄRUNG

Wir können die vorliegende Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Folgendes abzubilden:

• Änderungen unserer Dienste;
• Aktualisierungen der Technologie;
• neue rechtliche Anforderungen;
• interne Änderungen der Richtlinien.

Bei Aktualisierungen ändern wir das Datum der „Letzten Aktualisierung" zu Beginn des vorliegenden Dokuments.

Wir empfehlen den Nutzern, die vorliegende Datenschutzerklärung regelmäßig einzusehen, um über den Schutz ihrer Daten informiert zu bleiben.

14. KONTAKTINFORMATIONEN

Der Verantwortliche ist: Spaarkly s.r.l. Anschrift: Via della Tecnica n. 18, 85100 Potenza, Italien E-Mail: privacy@spaarkly.com

Für weitere Informationen oder Anfragen in Bezug auf Ihre personenbezogenen Daten bitten wir Sie, uns unter der angegebenen E-Mail-Adresse zu kontaktieren.

---

REGULATORISCHE ADDENDA

Einleitung zu den Regulatorischen Addenda

Die vorliegende Datenschutzerklärung legt den allgemeinen, in erster Linie auf der DSGVO beruhenden Rahmen für den Schutz personenbezogener Daten fest. In einigen Rechtsordnungen können jedoch zusätzliche oder abweichende Anforderungen gelten.

Die folgenden Regulatorischen Addenda ergänzen oder ändern den Hauptteil der Erklärung. Jedes Addendum bestimmt für die jeweils einschlägige geografische Region oder das jeweilige Land:

• zusätzliche oder abweichende Rechte gegenüber den in der Hauptrichtlinie beschriebenen;
• die Modalitäten der Ausübung dieser Rechte, einschließlich lokaler Kontaktstellen, Verfahren und Antwortfristen;
• etwaige zusätzliche Einwilligungsanforderungen;
• besondere Anforderungen an die Datenspeicherung;
• lokale Meldepflichten im Fall einer Datenschutzverletzung;
• Regeln für Datenübermittlungen, einschließlich Standardvertragsklauseln und lokaler Anforderungen.

Die allgemeinen Bestimmungen der vorliegenden Datenschutzerklärung gelten, soweit sie nicht im Widerspruch zu den Bestimmungen der Addenda stehen. Im Fall eines Widerspruchs gehen die Bestimmungen des einschlägigen Addendums vor.

Wir empfehlen den Nutzern, das für ihr Wohnsitzland oder ihre Wohnsitzregion einschlägige Addendum aufmerksam zu lesen.

Verzeichnis der regionalen und nationalen Addenda

1. Europäische Union / Europäischer Wirtschaftsraum / Vereinigtes Königreich
2. Schweiz
3. Vereinigte Staaten
4. Kanada
5. Australien und Neuseeland
6. Region Asien-Pazifik
7. Brasilien und Lateinamerika
8. Japan
9. China
10. Südafrika
11. Indien
12. Naher Osten
13. Weitere Länder

A. VEREINIGTES KÖNIGREICH (UK GDPR) / EUROPÄISCHE UNION UND EUROPÄISCHER WIRTSCHAFTSRAUM (EU/EWR)

Nutzer mit Wohnsitz im Vereinigten Königreich und in der EU/im EWR genießen die Rechte nach der UK GDPR und der EU-DSGVO, wie sie im Hauptteil der vorliegenden Datenschutzerklärung beschrieben sind. Für Datenübermittlungen außerhalb des Vereinigten Königreichs oder der EU/des EWR gewährleistet Spaarkly die Einhaltung der anwendbaren Gesetze, einschließlich der Verwendung der von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC) für Übermittlungen aus der EU/dem EWR sowie der von der ICO genehmigten SCC für Übermittlungen aus dem Vereinigten Königreich.

Zusätzliche oder abweichende Rechte

Zwischen den Rechten nach der UK GDPR und den Rechten nach der EU-DSGVO bestehen keine wesentlichen Unterschiede. Nutzer beider Rechtsordnungen behalten dieselben grundlegenden Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit, die in der Hauptrichtlinie beschrieben sind.

Ausübung der Rechte

Nutzer im Vereinigten Königreich und in der EU/im EWR können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden. Sie können sich zudem an die zuständige Aufsichtsbehörde wenden:

• Nutzer in der EU/im EWR: die Datenschutz-Aufsichtsbehörde des jeweiligen Mitgliedstaats.
• Nutzer im Vereinigten Königreich: das Information Commissioner's Office (ICO) (https://ico.org.uk/).

Meldepflichten im Fall einer Datenschutzverletzung

Im Fall einer Verletzung des Schutzes personenbezogener Daten benachrichtigt Spaarkly die zuständige Aufsichtsbehörde innerhalb von 72 Stunden ab dem Zeitpunkt der Kenntniserlangung, in Übereinstimmung mit Art. 33 DSGVO und den Meldeanforderungen der ICO im Vereinigten Königreich.

Internationale Datenübermittlungen

Für Übermittlungen außerhalb der EU/des EWR und des Vereinigten Königreichs gewährleistet Spaarkly die Anwendung geeigneter Garantien, darunter:

• Standardvertragsklauseln (SCC) der Europäischen Kommission für Übermittlungen aus der EU/dem EWR;
• von der ICO genehmigte SCC für Übermittlungen aus dem Vereinigten Königreich;
• zusätzliche Garantien, soweit erforderlich, im Einklang mit den Leitlinien des European Data Protection Board (EDPB) und der ICO.

Spaarkly übermittelt keine personenbezogenen Daten in Rechtsordnungen ohne ein angemessenes Schutzniveau, es sei denn, es bestehen SCC oder andere rechtlich anerkannte Mechanismen.

B. SCHWEIZ (FADP – FEDERAL ACT ON DATA PROTECTION)

Nutzer mit Wohnsitz in der Schweiz genießen Datenschutzrechte, die den Rechten nach der DSGVO im Wesentlichen gleichwertig sind, da die schweizerische Rechtslage eng an die europäischen Standards angelehnt ist.

Zusätzliche oder abweichende Rechte nach dem FADP

Nutzer in der Schweiz haben das Recht:

• auf ihre von Spaarkly verarbeiteten personenbezogenen Daten zuzugreifen;
• die Berichtigung oder Löschung unrichtiger oder nicht erforderlicher Daten zu verlangen;
• der Verarbeitung der Daten zu Zwecken des Direktmarketings zu widersprechen.

Ausübung der Rechte

Nutzer in der Schweiz können Anfragen per E-Mail an privacy@spaarkly.com senden. Für etwaige Beschwerden können sie sich zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB/FDPIC) unter www.edoeb.admin.ch wenden.

Anforderungen an die Datenspeicherung

Wir wenden die in der vorliegenden Datenschutzerklärung beschriebenen allgemeinen Grundsätze der Datenspeicherung an. Die personenbezogenen Daten werden nur so lange aufbewahrt, wie es zur Erreichung des vorgesehenen Zwecks erforderlich ist, und innerhalb von 14 Monaten anonymisiert. Sofern das schweizerische Recht besondere Aufbewahrungsfristen vorsieht, hält Spaarkly diese ein.

Meldepflichten im Fall einer Datenschutzverletzung

Im Fall einer Datenschutzverletzung, die ein hohes Risiko für die Rechte der betroffenen Personen mit sich bringt, informiert Spaarkly:

• den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (FDPIC);
• die betroffenen Personen, soweit dies nach schweizerischem Recht erforderlich ist.

Internationale Datenübermittlungen

Die personenbezogenen Daten schweizerischer Nutzer werden nicht außerhalb der Schweiz übermittelt, es sei denn:

• das Bestimmungsland wird von den schweizerischen Behörden als mit einem angemessenen Schutzniveau ausgestattet angesehen;
• es werden von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCC) für Übermittlungen in die EU/den EWR umgesetzt;
• es werden andere mit dem schweizerischen FADP konforme Garantien getroffen, um die übermittelten Daten zu schützen.

C. VEREINIGTE STAATEN — ADDENDUM USA

Die Vereinigten Staaten verfügen über kein allgemeines, auf alle Bundesstaaten anwendbares Bundesgesetz zum Datenschutz. Spaarkly hält sich daher an die auf einzelstaatlicher Ebene anwendbaren Datenschutzgesetze. Das vorliegende Addendum gilt für Einwohner der Vereinigten Staaten und ergänzt die ARShades-Datenschutzerklärung. Es regelt die Einhaltung der bundes- und einzelstaatlichen Datenschutzgesetze, darunter unter anderem:

• Kalifornien: California Consumer Privacy Act (CCPA) und California Privacy Rights Act (CPRA);
• Virginia: Virginia Consumer Data Protection Act (VCDPA);
• Colorado: Colorado Privacy Act (CPA);
• Connecticut: Connecticut Data Privacy Act (CTDPA);
• Utah: Utah Consumer Privacy Act (UCPA);
• Montana: Montana Consumer Data Privacy Act (MCDPA);
• Oregon: Oregon Consumer Privacy Act (OCPA);
• Illinois: Biometric Information Privacy Act (BIPA);
• Texas: Capture or Use of Biometric Identifier Act (CUBI) und Texas Data Privacy and Security Act (TDPSA);
• Washington: Gesetz über den Schutz biometrischer Daten (RCW 19.375);
• weitere anwendbare einzelstaatliche Datenschutzgesetze.

Die Bestimmungen des vorliegenden Addendums gelten zusätzlich zu denen der Hauptrichtlinie. Im Fall eines Widerspruchs geht für Einwohner der USA das vorliegende Addendum vor.

Einzelstaatspezifische Rechte und Vorschriften

1. Kalifornien (CCPA/CPRA)

Einwohner Kaliforniens haben das Recht:

• zu erfahren, welche Kategorien personenbezogener Daten wir erheben;
• die Zwecke der Verarbeitung zu verstehen;
• die Löschung ihrer personenbezogenen Daten zu verlangen, vorbehaltlich der gesetzlich zulässigen Ausnahmen;
• dem Verkauf oder der Weitergabe ihrer Daten zu widersprechen, soweit anwendbar;
• wegen der Ausübung ihrer Datenschutzrechte keine Benachteiligung zu erfahren.

2. Virginia, Colorado, Connecticut, Utah, Montana und Oregon

Einwohner dieser Bundesstaaten genießen Rechte, die den nach dem CCPA vorgesehenen Rechten ähneln, darunter:

• Rechte auf Auskunft, Berichtigung und Löschung;
• Opt-out-Rechte in Bezug auf zielgerichtete Werbung oder den Verkauf personenbezogener Daten, soweit anwendbar. Obwohl ARShades solche Tätigkeiten nicht ausübt, können Einwohner von Montana und Oregon gleichwohl eine Bestätigung anfordern, indem sie sich an Spaarkly wenden.

3. Illinois (BIPA), Texas (CUBI), Washington (RCW 19.375)

• Spaarkly erhebt keine biometrischen Daten im Sinne dieser Gesetze.
• ARShades verarbeitet ausschließlich mathematische Punkte von Gesichtslandmarken zu Zwecken des Virtual Try-On und, mittels AR PD Meter, zur Berechnung der Pupillendistanz, welche:
  • nicht zur eindeutigen Identifizierung einer Person verwendet werden können;
  • beim Virtual Try-On lokal auf dem Gerät des Nutzers verarbeitet und niemals gespeichert werden;
  • beim AR PD Meter vorübergehend, als nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten, an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden, ohne jemals gespeichert zu werden;
  • keine mit einer Einzelperson verknüpfte dauerhafte Kennung erzeugen.

4. Weitere US-Bundesstaaten

• Einige Bundesstaaten verfügen noch nicht über allgemeine Datenschutzgesetze.
• In diesen Fällen folgt Spaarkly den in der vorliegenden Datenschutzerklärung beschriebenen allgemeinen Grundsätzen und hält jedes anwendbare einzelstaatliche Recht ein.

Wie die Rechte ausgeübt werden

Einwohner der USA können sich unter privacy@spaarkly.com an uns wenden und dabei ihren Wohnsitzstaat angeben.

Wir können zusätzliche Informationen zur Verifizierung der Identität anfordern, etwa Gerätedaten oder die IP-Adresse, um die Anfrage zu bearbeiten.

Information und Einwilligung speziell für Bundesstaaten mit biometrischer Gesetzgebung

Obwohl unsere Technologie keine biometrischen Informationen im Sinne des Gesetzes erhebt oder speichert, stellen wir diese zusätzliche Information bereit und holen die ausdrückliche Einwilligung in die Nutzung unserer Technologie zum virtuellen Anprobieren und zur Vermessung ein.

Vor dem Beginn des Erlebnisses erteilt der Nutzer – mittels des entsprechenden Kästchens zur Annahme der vorliegenden Erklärung – eine ausdrückliche Einwilligung in die Nutzung der Technologie zur Gesichtserkennung, wie sie in der vorliegenden Datenschutzerklärung beschrieben ist.

Diese Einwilligung kann jederzeit widerrufen werden, indem die Nutzung der Virtual-Try-On-Funktion eingestellt oder der Kamerazugriff in den Geräteeinstellungen deaktiviert wird.

Anforderungen an die Datenspeicherung

Wie in der Hauptrichtlinie angegeben:

• werden alle Daten der Gesichtsvermessung in Echtzeit verarbeitet und niemals über die unmittelbare Sitzung hinaus aufbewahrt;
• werden die vorübergehend an das ARShades-Backend für den AR PD Meter übermittelten abgeleiteten technischen Daten allein zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen;
• werden die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert und getrennt.

Meldepflichten im Fall einer Datenschutzverletzung

Da Spaarkly keine Kontaktinformationen der Nutzer erhebt, ist eine unmittelbare Benachrichtigung der einzelnen Personen im Fall einer Datenschutzverletzung nicht möglich. In Übereinstimmung mit den einzelstaatlichen Gesetzen über Datenschutzverletzungen benachrichtigt Spaarkly die zuständigen einzelstaatlichen Behörden, soweit dies erforderlich ist.

Soweit gesetzlich vorgeschrieben, veröffentlicht Spaarkly eine öffentliche Bekanntmachung auf ihrer Website oder über andere geeignete Kanäle.

Regeln für Datenübermittlungen

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union (EU) verarbeitet, wo sie den Schutz der DSGVO genießen.

Dies bedeutet, dass bestimmte durch die Nutzung der Dienste in den Vereinigten Staaten erzeugte Daten in der EU verarbeitet werden. Das US-Recht beschränkt derartige Übermittlungen nicht; die übermittelten Daten identifizieren den Nutzer nicht unmittelbar, sind durch geeignete technische und organisatorische Maßnahmen geschützt und werden nach Maßgabe der vorliegenden Erklärung verworfen oder anonymisiert.

Sollte künftig eine Übermittlung personenbezogener Daten aus der EU/dem EWR in die Vereinigten Staaten erforderlich werden, erfolgte diese ausschließlich unter den von der DSGVO vorgesehenen Garantien, etwa den Standardvertragsklauseln (SCC) oder dem EU-U.S. Data Privacy Framework (DPF).

Verzicht auf Sammelklagen und auf das Geschworenenverfahren

FÜR NUTZER MIT SITZ IN DEN VEREINIGTEN STAATEN: IM GRÖSSTMÖGLICHEN GESETZLICH ZULÄSSIGEN UMFANG VEREINBAREN DER NUTZER UND SPAARKLY, AUF DAS RECHT AUF EIN GESCHWORENENVERFAHREN ODER AUF DIE TEILNAHME ALS KLÄGER ODER MITGLIED EINER KLASSE AN EINER ETWAIGEN SAMMELKLAGE, EINEM REPRÄSENTATIVEN VERFAHREN ODER EINER PRIVATE-ATTORNEY-GENERAL-KLAGE ZU VERZICHTEN.

Sofern zwischen dem Nutzer und Spaarkly nichts anderes vereinbart wird, wird jedes Streitbeilegungsverfahren ausschließlich auf individueller Grundlage geführt. Sollte eine Streitigkeit aus irgendeinem Grund vor einem Gericht statt in einem Schiedsverfahren verhandelt werden, verzichten sowohl der Nutzer als auch Spaarkly jeweils auf jedes Recht auf ein Geschworenenverfahren.

Dieser Verzicht ist möglicherweise nicht in allen Bundesstaaten durchsetzbar. Soweit er nach einzelstaatlichem Recht nicht durchsetzbar ist, werden Streitigkeiten nach den Anforderungen des jeweils anwendbaren Bundesstaates beigelegt.

D. KANADA (PIPEDA — PERSONAL INFORMATION PROTECTION AND ELECTRONIC DOCUMENTS ACT)

Nutzer in Kanada werden durch den Personal Information Protection and Electronic Documents Act (PIPEDA) und die provinziellen Datenschutzgesetze geschützt, darunter das Law 25 von Québec (vormals Bill 64), den Personal Information Protection Act (PIPA) von British Columbia und den Personal Information Protection Act (PIPA) von Alberta.

Einhaltung des PIPEDA und der provinziellen Datenschutzgesetze

Spaarkly ist in Kanada tätig und hält sich an die PIPEDA-Grundsätze. Ihr derzeitiges Modell der Datenverarbeitung ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• es werden keine biometrischen oder eindeutig identifizierenden Daten erhoben, ebenso wenig Namen, Kontaktdaten oder Nutzerprofile;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert; die etwaig vom Nutzer von In-Store-Geräten angeforderten fertigen Fotos werden spätestens am Tag nach der Sitzung gelöscht. Dies kann eine Übermittlung dieser Daten in die EU mit sich bringen, mit den im Abschnitt „Internationale Datenübermittlungen" des vorliegenden Addendums beschriebenen Garantien.

Da Spaarkly keine Daten verarbeitet, die geeignet sind, die Nutzer unmittelbar zu identifizieren (wie Namen, Kontaktdaten oder dauerhafte Kennungen), finden bestimmte PIPEDA-Pflichten, etwa die Einholung der Einwilligung für sekundäre Datennutzungen oder die Führung detaillierter Verzeichnisse der Verarbeitungstätigkeiten, im strengen Sinne keine Anwendung.

Rechte der Nutzer nach dem PIPEDA

Nutzer in Kanada genießen Rechte, die den nach der DSGVO vorgesehenen ähneln, darunter:

• Auskunftsrecht: eine Kopie ihrer personenbezogenen Daten sowie Informationen über deren Verwendung zu verlangen;
• Recht auf Berichtigung: die Berichtigung unrichtiger oder unvollständiger Daten zu verlangen;
• Recht auf Widerruf der Einwilligung: eine zuvor erteilte Einwilligung jederzeit zu widerrufen;
• Recht, die Einhaltung zu beanstanden: die Einhaltung der PIPEDA-Grundsätze durch eine Organisation zu beanstanden;
• Beschwerderecht: Beschwerde bei der zuständigen Datenschutzbehörde einzulegen.

Ausübung der Rechte

Kanadische Nutzer können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden.

Zur Verifizierung der Identität können zusätzliche Informationen wie die IP-Adresse oder Gerätekennungen angefordert werden, bevor die Anfragen bearbeitet werden.

Sind die Nutzer mit unserer Antwort nicht zufrieden, können sie sich wenden an:

• das Office of the Privacy Commissioner of Canada (OPC) (https://www.priv.gc.ca/en/);
• die provinziellen Datenschutzbeauftragten in British Columbia, Alberta oder Québec, soweit anwendbar.

Datenspeicherung und Sicherheitsmaßnahmen

Der PIPEDA verlangt, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es für den vorgesehenen Zweck erforderlich ist.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden, in Übereinstimmung mit den besten Praktiken.
• Es werden robuste technische und organisatorische Maßnahmen getroffen, um unbefugte Zugriffe, Datenlecks oder Missbrauch zu verhindern.

Meldepflichten im Fall einer Datenschutzverletzung

• Im Fall einer Datenschutzverletzung, die ein reales Risiko eines erheblichen Schadens darstellt, benachrichtigt Spaarkly:
  • das Office of the Privacy Commissioner of Canada (OPC);
  • die provinziellen Datenschutzbeauftragten, soweit dies nach provinziellem Recht erforderlich ist;
  • soweit gesetzlich vorgeschrieben, wird eine öffentliche Bekanntmachung auf der Website von Spaarkly oder über andere geeignete Kanäle veröffentlicht.
• Da Spaarkly keine Kontaktinformationen der Nutzer erhebt, ist der Versand individueller Benachrichtigungen nicht möglich.

Internationale Übermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Dies kann eine Übermittlung von Daten außerhalb Kanadas in die EU mit sich bringen, eine Rechtsordnung, die ein hohes Schutzniveau für personenbezogene Daten gewährleistet. Diese Daten identifizieren den Nutzer nicht unmittelbar und sind durch vertragliche Garantien sowie geeignete technische und organisatorische Maßnahmen geschützt, in Übereinstimmung mit dem Rechenschaftsgrundsatz (Accountability) des PIPEDA.

Sollte eine kanadische Behörde zusätzliche Garantien verlangen, ergreift Spaarkly unverzüglich alle erforderlichen Konformitätsmaßnahmen, darunter:

• die Gewährleistung der Einhaltung des Rechenschaftsgrundsatzes (Accountability) des PIPEDA in Bezug auf internationale Übermittlungen;
• die Umsetzung von Standardvertragsklauseln (SCC) oder anderen rechtlich anerkannten Übermittlungsmechanismen, soweit erforderlich;
• die Bereitstellung klarer und zugänglicher Informationen über potenzielle grenzüberschreitende Übermittlungen und die damit verbundenen Risiken.

Da Spaarkly der vollständigen Einhaltung des PIPEDA und der provinziellen Datenschutzgesetze verpflichtet bleibt, überwacht das Unternehmen die regulatorischen Entwicklungen und passt seine Verarbeitungspraktiken an, sofern die Behörden zusätzliche Garantien verlangen.

E. AUSTRALIEN UND NEUSEELAND

Nutzer in Australien und Neuseeland werden durch die jeweiligen allgemeinen Datenschutzgesetze geschützt:

• Australien: Privacy Act 1988 (Cth), einschließlich der Australian Privacy Principles (APPs), sowie Privacy Amendment (Notifiable Data Breaches) Act 2017;
• Neuseeland: Privacy Act 2020, einschließlich der Information Privacy Principles (IPPs), beaufsichtigt durch das Office of the Privacy Commissioner (OPC).

Einhaltung der australischen und neuseeländischen Datenschutzgesetze

Spaarkly ist in Australien und Neuseeland tätig und hält sich an die Grundsätze der Datenschutzgesetze dieser Rechtsordnungen. Ihr derzeitiges Modell der Datenverarbeitung ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• es werden keine biometrischen oder eindeutig identifizierenden Daten erhoben, ebenso wenig Namen, Kontaktdaten oder Nutzerprofile;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert; die etwaig vom Nutzer von In-Store-Geräten angeforderten fertigen Fotos werden spätestens am Tag nach der Sitzung gelöscht. Dies kann eine Übermittlung dieser Daten in die EU mit sich bringen, mit den im Abschnitt „Internationale Datenübermittlungen" des vorliegenden Addendums beschriebenen Garantien.

Da Spaarkly keine Daten verarbeitet, die geeignet sind, die Nutzer unmittelbar zu identifizieren (wie Namen, Kontaktdaten oder dauerhafte Kennungen), finden bestimmte nach dem Australian Privacy Act und dem New Zealand Privacy Act vorgesehene Pflichten, etwa die Erstellung eines umfassenden Datenschutz-Managementplans oder die Führung detaillierter Verzeichnisse der Verarbeitungstätigkeiten, im strengen Sinne keine Anwendung.

Rechte der Nutzer nach den australischen und neuseeländischen Datenschutzgesetzen

Nutzer in Australien und Neuseeland haben Datenschutzrechte, die Folgendes umfassen:

• Auskunftsrecht: Zugang zu ihren von einer Organisation gehaltenen personenbezogenen Daten zu verlangen;
• Recht auf Berichtigung: die Berichtigung unrichtiger, nicht aktueller, unvollständiger oder irreführender Daten zu verlangen;
• Widerspruchsrecht: bestimmten Arten der Verarbeitung zu widersprechen, insbesondere dem Direktmarketing in Australien und Verarbeitungen, die geeignet sind, in Neuseeland erheblichen Schaden, Beeinträchtigung oder Nachteil zu verursachen;
• Beschwerderecht: Beschwerde bei der zuständigen Datenschutzbehörde einzulegen, sofern sie ihre Rechte für verletzt halten;
• Recht auf Abhilfe: Abhilfe für Datenschutzverletzungen zu erlangen, einschließlich Berichtigung, Entschuldigung oder Schadensersatz, soweit anwendbar.

Ausübung der Rechte

Nutzer in Australien und Neuseeland können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden.

Es kann eine Verifizierung der Identität verlangt werden, etwa mittels IP-Adresse oder Gerätekennungen, bevor die Anfragen bearbeitet werden.

Sind die Nutzer mit der Antwort von Spaarkly nicht zufrieden, können sie sich wenden an:

• das Office of the Australian Information Commissioner (OAIC) (https://www.oaic.gov.au/);
• das Office of the Privacy Commissioner (OPC) Neuseelands (https://www.privacy.org.nz/).

Datenspeicherung und Sicherheitsmaßnahmen

Sowohl der Australian Privacy Act als auch der Privacy Act Neuseelands verlangen, dass personenbezogene Daten nicht länger als erforderlich für den vorgesehenen Zweck aufbewahrt werden.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden, in Übereinstimmung mit den besten Praktiken.
• Es werden robuste technische und organisatorische Maßnahmen getroffen, um unbefugte Zugriffe, Datenlecks oder Missbrauch zu verhindern, in Übereinstimmung mit APP 11 in Australien und IPP 5 in Neuseeland.

Meldepflichten im Fall einer Datenschutzverletzung

• Im Fall einer Datenschutzverletzung, die geeignet ist, einen schwerwiegenden Schaden für die betroffenen Personen herbeizuführen, benachrichtigt Spaarkly:
  • das Office of the Australian Information Commissioner (OAIC) im Rahmen des Regimes der Notifiable Data Breaches (NDB), wobei die Bewertung des Vorfalls innerhalb von 30 Tagen abgeschlossen und die Benachrichtigung vorgenommen wird, sobald dies nach vernünftigem Ermessen praktikabel ist;
  • das Office of the Privacy Commissioner (OPC) Neuseelands sobald wie möglich, in Übereinstimmung mit den zwingenden Meldeanforderungen des Privacy Act 2020.
• Da Spaarkly keine Kontaktinformationen der Nutzer erhebt, ist der Versand individueller Benachrichtigungen unmittelbar nicht möglich. Soweit gesetzlich vorgeschrieben, veröffentlicht Spaarkly eine öffentliche Bekanntmachung auf ihrer Website oder über andere geeignete Kanäle.

Internationale Übermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Dies kann eine Übermittlung von Daten außerhalb Australiens oder Neuseelands in die EU mit sich bringen, eine Rechtsordnung, die ein hohes Schutzniveau für personenbezogene Daten gewährleistet. Diese Daten identifizieren den Nutzer nicht unmittelbar und sind durch vertragliche Garantien sowie geeignete technische und organisatorische Maßnahmen geschützt, im Einklang mit APP 8 in Australien und IPP 12 in Neuseeland.

Sollte eine Behörde zusätzliche Garantien verlangen, ergreift Spaarkly unverzüglich alle erforderlichen Konformitätsmaßnahmen, darunter:

• die Gewährleistung der Einhaltung von APP 8 und der Section 16C des Australian Privacy Act im Bereich grenzüberschreitender Offenlegungen;
• die Umsetzung der durch IPP 12 des New Zealand Privacy Act 2020 verlangten geeigneten Garantien für Übermittlungen ins Ausland;
• die Bereitstellung klarer Informationen für die Nutzer über potenzielle grenzüberschreitende Übermittlungen und die Wahrung der Rechenschaftspflicht im Bereich des Datenschutzes.

Da Spaarkly der vollständigen Einhaltung der australischen und neuseeländischen Datenschutzgesetze verpflichtet bleibt, überwacht das Unternehmen die regulatorischen Entwicklungen und passt seine Verarbeitungspraktiken an, sofern die Behörden zusätzliche Garantien verlangen.

F. REGION ASIEN-PAZIFIK

Nutzer in der Region Asien-Pazifik werden durch verschiedene allgemeine nationale Datenschutzgesetze geschützt, darunter:

• Singapur: Personal Data Protection Act (PDPA) von 2012, in der Fassung von 2020, durchgesetzt durch die Personal Data Protection Commission (PDPC);
• Malaysia: Personal Data Protection Act (PDPA) von 2010, durchgesetzt durch das Personal Data Protection Department (JPDP);
• Philippinen: Data Privacy Act (DPA) von 2012, durchgesetzt durch die National Privacy Commission (NPC);
• Indonesien: Personal Data Protection Law (PDP Law) von 2022, an der DSGVO ausgerichtet;
• Thailand: Personal Data Protection Act (PDPA) von 2019, durchgesetzt durch das Personal Data Protection Committee (PDPC);
• Südkorea: Personal Information Protection Act (PIPA), durchgesetzt durch die Personal Information Protection Commission (PIPC);
• weitere Rechtsordnungen mit sich herausbildenden Regelungsrahmen im Bereich des Datenschutzes.

Einhaltung der Datenschutzgesetze im Asien-Pazifik-Raum

Spaarkly ist in der Region Asien-Pazifik tätig und hält sich an die in den Datenschutzgesetzen dieser Rechtsordnungen festgelegten Grundsätze. Ihr derzeitiges Modell der Datenverarbeitung ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• es werden keine biometrischen oder eindeutig identifizierenden Daten erhoben, ebenso wenig Namen, Kontaktdaten oder Nutzerprofile;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert; die etwaig vom Nutzer von In-Store-Geräten angeforderten fertigen Fotos werden spätestens am Tag nach der Sitzung gelöscht. Dies kann eine Übermittlung dieser Daten in die EU mit sich bringen, mit den im Abschnitt „Internationale Datenübermittlungen" des vorliegenden Addendums beschriebenen Garantien.

Da Spaarkly keine Daten verarbeitet, die geeignet sind, die Nutzer unmittelbar zu identifizieren (wie Namen, Kontaktdaten oder dauerhafte Kennungen), finden bestimmte nach den Datenschutzgesetzen des Asien-Pazifik-Raums vorgesehene Pflichten, etwa Datenschutz-Folgenabschätzungen, die Registrierung bei Behörden oder detaillierte Verzeichnisse der Verarbeitungstätigkeiten, in den meisten Fällen im strengen Sinne keine Anwendung.

Rechte der Nutzer nach den Datenschutzgesetzen des Asien-Pazifik-Raums

Nutzer in den Ländern des Asien-Pazifik-Raums mit allgemeinen Datenschutzgesetzen genießen im Allgemeinen Rechte, die den nach der DSGVO vorgesehenen ähneln, darunter:

• Auskunftsrecht: Informationen über die Erhebung, Verwendung und Offenlegung der personenbezogenen Daten zu verlangen;
• Recht auf Berichtigung: die Berichtigung unrichtiger oder unvollständiger personenbezogener Daten zu verlangen;
• Recht auf Widerruf der Einwilligung: eine zuvor erteilte Einwilligung zu widerrufen;
• Recht auf Datenübertragbarkeit: die Übermittlung der Daten an eine andere Organisation zu verlangen, in Rechtsordnungen wie Singapur und den Philippinen;
• Recht auf Löschung: die Löschung der personenbezogenen Daten unter bestimmten Bedingungen zu verlangen, je nach Rechtsordnung;
• Widerspruchsrecht: der Verarbeitung zu Zwecken des Direktmarketings oder zu anderen Zwecken zu widersprechen, je nach Rechtsordnung.

Ausübung der Rechte

Nutzer in den Ländern des Asien-Pazifik-Raums können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden.

Es kann eine Verifizierung der Identität verlangt werden, etwa mittels IP-Adresse oder Gerätekennungen, bevor die Anfragen bearbeitet werden.

Sind die Nutzer mit der Antwort von Spaarkly nicht zufrieden, können sie sich an ihre zuständige nationale Datenschutzbehörde wenden:

• Personal Data Protection Commission (PDPC) Singapurs (https://www.pdpc.gov.sg/);
• Personal Data Protection Department (JPDP) Malaysias (https://www.pdp.gov.my/);
• National Privacy Commission (NPC) der Philippinen (https://privacy.gov.ph/);
• Personal Data Protection Committee (PDPC) Thailands;
• Personal Information Protection Commission (PIPC) Südkoreas;
• weitere zuständige nationale Behörden, soweit anwendbar.

Datenspeicherung und Sicherheitsmaßnahmen

Die Datenschutzgesetze in der Region Asien-Pazifik verlangen im Allgemeinen, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es für den vorgesehenen Zweck erforderlich ist, und anschließend sicher gelöscht werden.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden, in Übereinstimmung mit den besten Praktiken.
• Es werden robuste technische und organisatorische Maßnahmen getroffen, um unbefugte Zugriffe, Datenlecks oder Missbrauch zu verhindern, einschließlich Verschlüsselung, Zugriffskontrollen und regelmäßiger Sicherheitsbewertungen.

Meldepflichten im Fall einer Datenschutzverletzung

• Im Fall einer Datenschutzverletzung, die geeignet ist, den Einzelpersonen Schaden zuzufügen, benachrichtigt Spaarkly:
  • die zuständige Datenschutzbehörde nach Maßgabe der lokalen Anforderungen:
    • Singapur: innerhalb von 3 Tagen bei meldepflichtigen Verletzungen;
    • Philippinen: innerhalb von 72 Stunden;
    • Thailand: ohne ungerechtfertigte Verzögerung, innerhalb von 72 Stunden;
    • Südkorea: ohne Verzögerung;
    • weitere Rechtsordnungen nach den jeweiligen Fristen.
• Da Spaarkly keine Kontaktinformationen der Nutzer erhebt, ist der Versand individueller Benachrichtigungen unmittelbar nicht möglich. Soweit gesetzlich vorgeschrieben, veröffentlicht Spaarkly eine öffentliche Bekanntmachung auf ihrer Website oder über andere geeignete Kanäle.

Internationale Übermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Dies kann eine Übermittlung von Daten außerhalb des Landes des Nutzers in die EU mit sich bringen, eine Rechtsordnung, die ein hohes Schutzniveau für personenbezogene Daten gewährleistet. Diese Daten identifizieren den Nutzer nicht unmittelbar und sind durch vertragliche Garantien sowie geeignete technische und organisatorische Maßnahmen geschützt, sodass ein Schutzniveau gewährleistet wird, das mit dem von den anwendbaren lokalen Gesetzen geforderten vergleichbar ist.

Sollte eine Behörde zusätzliche Garantien verlangen, ergreift Spaarkly unverzüglich alle erforderlichen Konformitätsmaßnahmen, darunter:

• die Gewährleistung der Einhaltung besonderer Übermittlungsbestimmungen, etwa:
  • der Beschränkungspflicht bei Übermittlungen des PDPA Singapurs und der damit verbundenen Anforderungen für Übermittlungen ins Ausland;
  • der Regeln des DPA der Philippinen zur grenzüberschreitenden Datenweitergabe;
  • des Verbots des PDPA Malaysias, in bestimmte Länder zu übermitteln;
  • der Anforderungen des PIPA Südkoreas für Übermittlungen ins Ausland;
• die Umsetzung rechtlich anerkannter Übermittlungsmechanismen wie Einwilligung, vertragliche Garantien, verbindliche interne Datenschutzvorschriften oder Zertifizierungsmechanismen;
• die Bereitstellung klarer Informationen für die Nutzer über potenzielle grenzüberschreitende Übermittlungen und die Wahrung der Rechenschaftspflicht im Bereich des Datenschutzes.

Da Spaarkly der vollständigen Einhaltung der Datenschutzgesetze des Asien-Pazifik-Raums verpflichtet bleibt, überwacht das Unternehmen die regulatorischen Entwicklungen in jeder Rechtsordnung und passt seine Verarbeitungspraktiken an, sofern die Behörden zusätzliche Garantien verlangen.

G. BRASILIEN UND LATEINAMERIKA

Nutzer in Brasilien und Lateinamerika werden durch verschiedene allgemeine nationale Datenschutzgesetze geschützt, darunter:

• Brasilien: Lei Geral de Proteção de Dados (LGPD) von 2018, durchgesetzt durch die Autoridade Nacional de Proteção de Dados (ANPD);
• Mexiko: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) von 2010, durchgesetzt durch das Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI);
• Argentinien: Personal Data Protection Act (PDPA), Gesetz Nr. 25.326, durchgesetzt durch die Agencia de Acceso a la Información Pública (AAIP);
• Kolumbien: Law 1581 of 2012 über die allgemeine Datenschutzregelung, durchgesetzt durch die Superintendencia de Industria y Comercio (SIC);
• Chile: Law No. 19.628 on the Protection of Private Life, mit laufenden Gesetzesreformen;
• Uruguay: Law No. 18.331 on Personal Data Protection and Habeas Data Action, durchgesetzt durch die Unidad Reguladora y de Control de Datos Personales (URCDP);
• weitere Rechtsordnungen mit sich herausbildenden Regelungsrahmen im Bereich des Datenschutzes.

Einhaltung der lateinamerikanischen Datenschutzgesetze

Spaarkly ist in Lateinamerika tätig und hält sich an die in den Datenschutzgesetzen dieser Rechtsordnungen festgelegten Grundsätze. Ihr derzeitiges Modell der Datenverarbeitung ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• es werden keine biometrischen oder eindeutig identifizierenden Daten erhoben, ebenso wenig Namen, Kontaktdaten oder Nutzerprofile;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert; die etwaig vom Nutzer von In-Store-Geräten angeforderten fertigen Fotos werden spätestens am Tag nach der Sitzung gelöscht. Dies kann eine Übermittlung dieser Daten in die EU mit sich bringen, mit den im Abschnitt „Internationale Datenübermittlungen" des vorliegenden Addendums beschriebenen Garantien.

Da Spaarkly keine Daten verarbeitet, die geeignet sind, die Nutzer unmittelbar zu identifizieren (wie Namen, Kontaktdaten oder dauerhafte Kennungen), finden bestimmte nach den lateinamerikanischen Datenschutzgesetzen vorgesehene Pflichten, etwa detaillierte Verzeichnisse der Verarbeitungstätigkeiten, die Benennung eines Datenschutzbeauftragten oder Folgenabschätzungen, in den meisten Fällen im strengen Sinne keine Anwendung.

Rechte der Nutzer nach den lateinamerikanischen Datenschutzgesetzen

Nutzer in Brasilien und Lateinamerika mit allgemeinen Datenschutzgesetzen genießen im Allgemeinen Rechte, die den nach der DSGVO vorgesehenen ähneln, darunter:

• Recht auf Bestätigung und Auskunft (ARCO-Rechte): das Bestehen einer Verarbeitung zu bestätigen und auf die personenbezogenen Daten zuzugreifen;
• Recht auf Berichtigung (ARCO-Rechte): unrichtige, unvollständige oder nicht aktuelle Daten zu berichtigen;
• Recht auf Löschung (ARCO-Rechte): die Löschung nicht erforderlicher oder übermäßiger Daten zu verlangen;
• Widerspruchsrecht (ARCO-Rechte): unrechtmäßigen oder nicht einwilligungsbasierten Verarbeitungen zu widersprechen;
• Recht auf Information: klare Informationen über die Verarbeitungstätigkeiten zu erhalten;
• Recht auf Datenübertragbarkeit: die Übermittlung der Daten an einen anderen Diensteanbieter zu verlangen, insbesondere nach der brasilianischen LGPD;
• Recht auf Widerruf der Einwilligung: eine zuvor erteilte Einwilligung jederzeit zu widerrufen;
• Recht auf Überprüfung automatisierter Entscheidungen: die Überprüfung von Entscheidungen zu verlangen, die ausschließlich mittels automatisierter Verarbeitung getroffen wurden, nach der LGPD.

Ausübung der Rechte

Nutzer in Brasilien und Lateinamerika können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden.

Es kann eine Verifizierung der Identität verlangt werden, etwa mittels IP-Adresse oder Gerätekennungen, bevor die Anfragen bearbeitet werden.

Sind die Nutzer mit der Antwort von Spaarkly nicht zufrieden, können sie sich an ihre zuständige nationale Behörde wenden:

• Nationale Datenschutzbehörde Brasiliens (ANPD) (https://www.gov.br/anpd/);
• Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) Mexikos (https://home.inai.org.mx/);
• Agencia de Acceso a la Información Pública (AAIP) Argentiniens (https://www.argentina.gob.ar/aaip);
• Superintendencia de Industria y Comercio (SIC) Kolumbiens (https://www.sic.gov.co/);
• weitere zuständige nationale Behörden, soweit anwendbar.

Datenspeicherung und Sicherheitsmaßnahmen

Die Datenschutzgesetze in Lateinamerika verlangen im Allgemeinen, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es für den vorgesehenen Zweck erforderlich ist, und anschließend sicher gelöscht werden.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden, in Übereinstimmung mit den besten Praktiken.
• Es werden robuste technische und organisatorische Maßnahmen getroffen, um unbefugte Zugriffe, Datenlecks oder Missbrauch zu verhindern, wie von den lateinamerikanischen Gesetzen gefordert, etwa Art. 46 der brasilianischen LGPD und Art. 19 der mexikanischen LFPDPPP.

Meldepflichten im Fall einer Datenschutzverletzung

• Im Fall einer Datenschutzverletzung, die ein Risiko oder einen Schaden für die betroffenen Personen verursachen kann, benachrichtigt Spaarkly:
  • die zuständige Datenschutzbehörde nach Maßgabe der lokalen Anforderungen:
    • Brasilien: Benachrichtigung der ANPD innerhalb von 3 Werktagen ab Kenntnis des Vorfalls, gemäß der Resolução CD/ANPD Nr. 15/2024;
    • Mexiko: unverzügliche Benachrichtigung der betroffenen Personen nach Bestätigung der Verletzung;
    • weitere Rechtsordnungen nach den jeweiligen Anforderungen.
• Da Spaarkly keine Kontaktinformationen der Nutzer erhebt, ist der Versand individueller Benachrichtigungen unmittelbar nicht möglich. Soweit gesetzlich vorgeschrieben, veröffentlicht Spaarkly eine öffentliche Bekanntmachung auf ihrer Website oder über andere geeignete Kanäle.

Internationale Übermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Dies kann eine Übermittlung von Daten außerhalb des Landes des Nutzers in die EU mit sich bringen, eine Rechtsordnung, die ein hohes Schutzniveau für personenbezogene Daten gewährleistet. Diese Daten identifizieren den Nutzer nicht unmittelbar und sind durch vertragliche Garantien sowie geeignete technische und organisatorische Maßnahmen geschützt, sodass ein Schutzniveau gewährleistet wird, das mit dem von den anwendbaren lokalen Gesetzen geforderten vergleichbar ist.

Sollte eine Behörde zusätzliche Garantien verlangen, ergreift Spaarkly unverzüglich alle erforderlichen Konformitätsmaßnahmen, darunter:

• die Gewährleistung der Einhaltung besonderer Übermittlungsbestimmungen, etwa:
  • der Anforderungen der brasilianischen LGPD für internationale Übermittlungen (Artikel 33–36);
  • der Grundsätze der mexikanischen LFPDPPP für die grenzüberschreitende Datenweitergabe;
  • des argentinischen Erfordernisses eines angemessenen Niveaus nach dem PDPA;
  • der Anforderungen der kolumbianischen SIC für grenzüberschreitende Übermittlungen;
• die Umsetzung rechtlich anerkannter Übermittlungsmechanismen, etwa:
  • Standardvertragsklauseln;
  • verbindliche interne Datenschutzvorschriften;
  • Zertifizierungsmechanismen;
  • besondere Einwilligung in die Übermittlung;
  • Angemessenheitsbeschlüsse;
• die Bereitstellung klarer Informationen für die Nutzer über potenzielle grenzüberschreitende Übermittlungen und die Wahrung der Rechenschaftspflicht im Bereich des Datenschutzes.

Da Spaarkly der vollständigen Einhaltung der lateinamerikanischen Datenschutzgesetze verpflichtet bleibt, überwacht das Unternehmen die regulatorischen Entwicklungen in jeder Rechtsordnung und passt seine Verarbeitungspraktiken an, sofern die Behörden zusätzliche Garantien verlangen.

H. JAPAN (APPI — ACT ON THE PROTECTION OF PERSONAL INFORMATION)

Nutzer in Japan werden durch den Act on the Protection of Personal Information (APPI) geschützt, der im Jahr 2020 wesentlich geändert wurde und ab April 2022 wirksam ist und einen umfassenden Datenschutzrahmen schafft, der von der Personal Information Protection Commission (PPC) durchgesetzt wird.

Einhaltung des japanischen APPI

Spaarkly ist in Japan tätig und hält sich an die im APPI festgelegten Grundsätze. Ihr derzeitiges Modell der Datenverarbeitung ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• es werden keine biometrischen oder eindeutig identifizierenden Daten erhoben, ebenso wenig Namen, Kontaktdaten oder Nutzerprofile;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert; die etwaig vom Nutzer von In-Store-Geräten angeforderten fertigen Fotos werden spätestens am Tag nach der Sitzung gelöscht. Dies kann eine Übermittlung dieser Daten in die EU mit sich bringen, mit den im Abschnitt „Internationale Datenübermittlungen" des vorliegenden Addendums beschriebenen Garantien.

Da Spaarkly keine Daten verarbeitet, die geeignet sind, die Nutzer unmittelbar zu identifizieren (wie Namen, Kontaktdaten oder dauerhafte Kennungen), finden bestimmte APPI-Pflichten, etwa die Führung detaillierter Verzeichnisse der Verarbeitungstätigkeiten, die Einholung der Einwilligung für die Weitergabe an Dritte oder die Einreichung von Meldungen bei der PPC, im strengen Sinne keine Anwendung.

Spaarkly bestätigt ausdrücklich, keine Informationen zu erheben, zu verarbeiten oder zu übermitteln, die eine „Sensitive Personal Information" (Yōhairyo Kojin Jōhō) im Sinne von Art. 2(3) des APPI darstellen würden, etwa Rasse, Glaubensbekenntnis, sozialer Status, Krankengeschichte oder Vorstrafen.

Rechte der Nutzer nach dem japanischen APPI

Nutzer in Japan genießen besondere Rechte nach dem APPI, darunter:

• Recht auf Offenlegung (Kaiji): die Offenlegung der von einem Geschäftsbetreiber gehaltenen personenbezogenen Daten zu verlangen;
• Recht auf Berichtigung (Seigō): die Berichtigung, Ergänzung oder Löschung unrichtiger personenbezogener Daten zu verlangen;
• Recht auf Aussetzung der Nutzung/Löschung (Riyō Teishi / Sakujo): die Aussetzung der Nutzung oder die Löschung personenbezogener Daten zu verlangen, die unter Verstoß gegen das Gesetz oder über den festgelegten Zweck hinaus verarbeitet werden;
• Recht auf Aussetzung der Weitergabe an Dritte (Daisansha Teikyō no Teishi): vom Betreiber zu verlangen, die Weitergabe personenbezogener Daten an Dritte einzustellen;
• Recht auf Erläuterung (Setsumei): eine Erläuterung der Verarbeitungstätigkeiten in Bezug auf die personenbezogenen Daten zu erhalten;
• Beschwerderecht (Kujō): Beschwerde beim Betreiber oder bei der PPC einzulegen.

Ausübung der Rechte

Nutzer in Japan können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden.

Es kann eine Verifizierung der Identität verlangt werden, etwa mittels IP-Adresse oder Gerätekennungen, bevor die Anfragen bearbeitet werden. Spaarkly beantwortet die Anfragen innerhalb der vom APPI vorgesehenen Frist, in der Regel innerhalb von zwei Wochen ab Eingang.

Sind die Nutzer mit der Antwort von Spaarkly nicht zufrieden, können sie sich wenden an die:

• Personal Information Protection Commission (PPC) Japans (https://www.ppc.go.jp/en/).

Datenspeicherung und Sicherheitsmaßnahmen

Der APPI verlangt von den Geschäftsbetreibern, Maßnahmen zur Sicherheitskontrolle festzulegen (Art. 23) und die Richtigkeit der Daten zu gewährleisten (Art. 22). Er sieht ferner vor, dass die Daten gelöscht werden, wenn sie in Bezug auf den festgelegten Zweck nicht mehr erforderlich sind.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden, in Übereinstimmung mit den besten Praktiken.
• Spaarkly setzt umfassende Sicherheitsmaßnahmen um, wie von Art. 23 APPI gefordert, darunter:
• Zugriffskontrollen und Authentifizierungsmechanismen;
• Verschlüsselung der Daten bei der Übertragung und im Ruhezustand;
• regelmäßige Sicherheitsbewertungen und -aktualisierungen;
• Schulung des Personals im Bereich des Datenschutzes.

Meldepflichten im Fall einer Datenschutzverletzung

• Im Fall eines Verlusts personenbezogener Daten oder eines sonstigen Sicherheitsvorfalls (Jōhō Rōei Jiko) wird Spaarkly:
  • eine unverzügliche Meldung an die PPC gemäß Art. 26 APPI vornehmen, sofern die Verletzung die Meldeschwelle erreicht;
  • in die Meldung die Einzelheiten des Vorfalls, die Arten der betroffenen Daten, die Ursache und die Abhilfemaßnahmen aufnehmen;
  • soweit gesetzlich vorgeschrieben, eine öffentliche Bekanntmachung auf der Website von Spaarkly oder über andere geeignete Kanäle veröffentlichen, da unmittelbare individuelle Benachrichtigungen nicht möglich sind, da keine Kontaktdaten erhoben werden.

Internationale Übermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Dies kann eine Übermittlung von Daten außerhalb Japans in die EU mit sich bringen. Die EU wird von der Personal Information Protection Commission (PPC) als Rechtsordnung mit gleichwertigen Standards zum Schutz personenbezogener Daten anerkannt, kraft der gegenseitigen Angemessenheitsanerkennung EU–Japan aus dem Jahr 2019: Übermittlungen in die EU sind daher nach Art. 28 APPI zulässig.

Sollte die PPC zusätzliche Garantien verlangen, ergreift Spaarkly unverzüglich alle erforderlichen Konformitätsmaßnahmen, darunter:

• die Gewährleistung der Einhaltung von Art. 28 APPI im Bereich internationaler Übermittlungen, der Folgendes verlangt:
  • die vorherige Einwilligung der Person für Übermittlungen an Dritte in ausländischen Staaten; oder
  • die Gewährleistung, dass sich der Dritte in einem Land mit gleichwertigen Standards zum Schutz personenbezogener Daten befindet; oder
  • die Gewährleistung, dass der Dritte gleichwertige Standards mittels vertraglicher Vereinbarungen oder anderer Mittel aufrechterhält;
• die Umsetzung geeigneter Übermittlungsmechanismen, etwa:
  • Standardvertragsklauseln;
  • verbindliche interne Datenschutzvorschriften;
  • anerkannte Zertifizierungen;
• die Bereitstellung klarer Informationen für die Nutzer über potenzielle grenzüberschreitende Übermittlungen in Übereinstimmung mit den Anforderungen des APPI.

Da Spaarkly der vollständigen Einhaltung des APPI und seiner Änderungen verpflichtet bleibt, überwacht das Unternehmen die regulatorischen Entwicklungen und passt seine Verarbeitungspraktiken an, sofern die PPC oder andere japanische Behörden zusätzliche Garantien verlangen.

I. CHINA (PIPL — PERSONAL INFORMATION PROTECTION LAW)

Nutzer in China werden durch das Personal Information Protection Law (PIPL) geschützt, das Grundsätze festlegt, die der DSGVO ähneln, einschließlich strenger Regeln zur Datenverarbeitung, Einwilligungsanforderungen und Beschränkungen für grenzüberschreitende Übermittlungen.

Einhaltung des PIPL

Spaarkly ist in China tätig und hält sich an die PIPL-Grundsätze. Ihr derzeitiges Verarbeitungsmodell ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• keine Erhebung biometrischer oder sensibler Daten: Spaarkly erhebt keine biometrischen Kennungen, Klarnamen, Kontaktdaten oder andere eindeutig den Nutzer identifizierende Daten;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert.

Spaarkly überwacht fortlaufend die Anwendbarkeit der PIPL-Anforderungen auf ihre Tätigkeiten, einschließlich der Anforderungen zur Datenlokalisierung und zur Security Review, und trifft die erforderlichen Maßnahmen in Abhängigkeit von der Art, dem Umfang und den Zwecken der verarbeiteten Daten.

Rechte der Nutzer nach dem PIPL

Nutzer in China genießen mit der DSGVO in Einklang stehende Rechte, darunter:

• Auskunftsrecht: eine Kopie ihrer personenbezogenen Daten zu verlangen;
• Recht auf Berichtigung: die Berichtigung unrichtiger oder unvollständiger Daten zu verlangen;
• Recht auf Löschung: die Löschung der personenbezogenen Daten unter bestimmten Bedingungen zu verlangen;
• Recht auf Einschränkung oder Widerspruch gegen die Verarbeitung: bestimmten Verarbeitungstätigkeiten zu widersprechen;
• Recht auf Widerruf der Einwilligung: eine zuvor erteilte Einwilligung jederzeit zu widerrufen.

Darüber hinaus erkennt das PIPL Rechte an, die über die DSGVO hinausgehen, darunter:

• Recht auf „Kenntnis und Entscheidung": Die Nutzer haben ausdrückliche Kontrolle darüber, wie ihre Daten verwendet werden;
• Recht auf Erläuterung automatisierter Entscheidungen: Die Nutzer können eine Erläuterung darüber verlangen, wie automatisierte Systeme, etwa KI-gestützte Empfehlungen, sich auf sie auswirken.

Nutzer in China können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden. Sind sie mit der Antwort von Spaarkly nicht zufrieden, können sie sich an die Cyberspace Administration of China (CAC) wenden.

Datenspeicherung und Sicherheitsmaßnahmen

Das PIPL verlangt von den Unternehmen, die Daten nur für den kürzesten zur Erreichung des vorgesehenen Zwecks erforderlichen Zeitraum aufzubewahren.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden, in Übereinstimmung mit den besten Praktiken.
• Es werden robuste technische und organisatorische Maßnahmen getroffen, um unbefugte Zugriffe, Datenlecks oder Missbrauch zu verhindern.

Meldepflichten im Fall einer Datenschutzverletzung

Im Fall einer Datenschutzverletzung, die erhebliche Schäden verursachen kann, benachrichtigt Spaarkly:

• die zuständigen chinesischen Regulierungsbehörden, soweit dies nach dem PIPL erforderlich ist;
• soweit gesetzlich vorgeschrieben, wird eine öffentliche Bekanntmachung auf der Website von Spaarkly oder über andere geeignete Kanäle veröffentlicht.

Da Spaarkly keine Kontaktinformationen der Nutzer erhebt, ist der Versand individueller Benachrichtigungen nicht möglich.

Internationale Übermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Für Nutzer in China kann dies eine grenzüberschreitende Bereitstellung personenbezogener Informationen im Sinne des PIPL darstellen. Diese Daten beschränken sich auf das erforderliche Mindestmaß, ermöglichen keine unmittelbare Identifizierung des Nutzers und werden nach Maßgabe der vorliegenden Erklärung verworfen oder anonymisiert.

Soweit das PIPL besondere Maßnahmen für derartige Datenflüsse verlangt oder sollte eine chinesische Behörde zusätzliche Garantien verlangen, ergreift Spaarkly unverzüglich alle erforderlichen Konformitätsmaßnahmen, um die fortlaufende Einhaltung des PIPL zu gewährleisten, darunter:

• die Durchführung einer Sicherheitsbewertung nach den CAC-Vorschriften, soweit erforderlich;
• die Umsetzung von der CAC genehmigter Standardvertragsklauseln (SCC) oder anderer genehmigter Mechanismen;
• die Einholung der ausdrücklichen Einwilligung des Nutzers für etwaige grenzüberschreitende Übermittlungen, sofern dies für erforderlich erachtet wird.

Da Spaarkly der vollständigen Einhaltung des PIPL verpflichtet bleibt, überwacht das Unternehmen proaktiv die regulatorischen Auslegungen und passt seine Verarbeitungspraktiken an, sofern eine Behörde zusätzliche Garantien verlangt.

J. SÜDAFRIKA (POPIA – PROTECTION OF PERSONAL INFORMATION ACT)

Nutzer in Südafrika werden durch den Protection of Personal Information Act (POPIA) geschützt, der die Erhebung, Verwendung und Sicherheit personenbezogener Daten regelt. Der POPIA ist eng an die DSGVO angelehnt, enthält jedoch besondere lokale Anforderungen.

Einhaltung des POPIA

Spaarkly ist in Südafrika tätig und hält sich an die POPIA-Grundsätze. Ihr derzeitiges Verarbeitungsmodell ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• es werden keine biometrischen oder eindeutig identifizierenden Daten erhoben, ebenso wenig Namen, Kontaktdaten oder Nutzerprofile;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert; die etwaig vom Nutzer von In-Store-Geräten angeforderten fertigen Fotos werden spätestens am Tag nach der Sitzung gelöscht. Dies kann eine Übermittlung dieser Daten in die EU mit sich bringen, mit den im Abschnitt „Internationale Datenübermittlungen" des vorliegenden Addendums beschriebenen Garantien.

Da Spaarkly keine personenbezogenen Daten in einer Weise verarbeitet, die die Nutzer unmittelbar identifiziert, unterliegt sie bestimmten POPIA-Pflichten nicht, etwa der Einholung der Einwilligung für Direktmarketing oder der Führung von Verzeichnissen der Verarbeitungstätigkeiten.

Rechte der Nutzer nach dem POPIA

Nutzer in Südafrika genießen Rechte, die den nach der DSGVO vorgesehenen ähneln, darunter:

• Auskunftsrecht: eine Kopie ihrer personenbezogenen Daten zu verlangen;
• Recht auf Berichtigung: die Berichtigung unrichtiger oder unvollständiger Daten zu verlangen;
• Recht auf Löschung: die Löschung der personenbezogenen Daten in bestimmten Fällen zu verlangen;
• Recht auf Einschränkung oder Widerspruch gegen die Verarbeitung: bestimmten Verarbeitungstätigkeiten zu widersprechen;
• Recht auf Widerruf der Einwilligung: eine zuvor erteilte Einwilligung jederzeit zu widerrufen.

Die Nutzer können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden. Sind sie mit der Antwort von Spaarkly nicht zufrieden, können sie sich an den Information Regulator of South Africa (https://inforegulator.org.za/) wenden.

Datenspeicherung und Sicherheitsmaßnahmen

Der POPIA verlangt, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es für den vorgesehenen Zweck erforderlich ist.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden.
• Es werden robuste technische und organisatorische Maßnahmen getroffen, um unbefugte Zugriffe, Datenlecks oder Missbrauch zu verhindern.

Meldepflichten im Fall einer Datenschutzverletzung

Im Fall einer Datenschutzverletzung, die erhebliche Schäden verursachen kann, benachrichtigt Spaarkly:

• den Information Regulator of South Africa, soweit dies nach dem POPIA erforderlich ist;
• soweit gesetzlich vorgeschrieben, wird eine öffentliche Bekanntmachung auf der Website von Spaarkly oder über andere geeignete Kanäle veröffentlicht.

Da Spaarkly keine Kontaktinformationen der Nutzer erhebt, ist der Versand individueller Benachrichtigungen nicht möglich.

Internationale Übermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Dies kann eine Übermittlung von Daten außerhalb Südafrikas in die EU mit sich bringen, in Übereinstimmung mit Section 72 des POPIA, die Übermittlungen an Empfänger zulässt, die Regeln unterliegen, die ein im Wesentlichen vergleichbares Schutzniveau gewährleisten: Die DSGVO erfüllt diesen Standard. Diese Daten identifizieren den Nutzer nicht unmittelbar und sind durch vertragliche Garantien sowie geeignete technische und organisatorische Maßnahmen geschützt.

Sollte eine südafrikanische Behörde zusätzliche Garantien verlangen, ergreift Spaarkly unverzüglich alle erforderlichen Konformitätsmaßnahmen, darunter:

• die Gewährleistung, dass jede Datenübermittlung Section 72 des POPIA entspricht, die einen angemessenen Schutz verlangt;
• die Umsetzung von Standardvertragsklauseln (SCC) oder anderen rechtlich anerkannten Übermittlungsmechanismen, soweit erforderlich;
• die Einholung der ausdrücklichen Einwilligung des Nutzers für etwaige grenzüberschreitende Übermittlungen, sofern dies zu einer gesetzlichen Anforderung wird.

Da Spaarkly der vollständigen Einhaltung des POPIA verpflichtet bleibt, überwacht das Unternehmen die regulatorischen Entwicklungen und passt seine Verarbeitungspraktiken an, sofern die Behörden zusätzliche Garantien verlangen.

K. INDIEN (DPDP – DIGITAL PERSONAL DATA PROTECTION ACT)

Nutzer in Indien werden durch den Digital Personal Data Protection Act (DPDP) geschützt, der die Verarbeitung personenbezogener Daten regelt und Konformitätspflichten auferlegt, die der DSGVO ähneln.

Einhaltung des DPDP

Spaarkly ist in Indien tätig und hält sich an die DPDP-Grundsätze. Ihr derzeitiges Modell der Datenverarbeitung ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• es werden keine biometrischen oder eindeutig identifizierenden Daten erhoben, ebenso wenig Namen, Kontaktdaten oder Nutzerprofile;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert; die etwaig vom Nutzer von In-Store-Geräten angeforderten fertigen Fotos werden spätestens am Tag nach der Sitzung gelöscht. Dies kann eine Übermittlung dieser Daten in die EU mit sich bringen, mit den im Abschnitt „Internationale Datenübermittlungen" des vorliegenden Addendums beschriebenen Garantien.

Da Spaarkly keine Daten verarbeitet, die geeignet sind, die Nutzer unmittelbar zu identifizieren (wie Namen, Kontaktdaten oder dauerhafte Kennungen), finden bestimmte DPDP-Pflichten, etwa die für „Significant Data Fiduciary" vorgesehenen Pflichten (Benennung eines Datenschutzbeauftragten in Indien, unabhängige Audits und regelmäßige Folgenabschätzungen), nur eingeschränkt Anwendung.

Rechte der Nutzer nach dem DPDP

Nutzer in Indien genießen Rechte, die den nach der DSGVO vorgesehenen ähneln, darunter:

• Auskunftsrecht: eine Zusammenfassung der verarbeiteten personenbezogenen Daten zu verlangen;
• Recht auf Berichtigung: die Berichtigung unrichtiger oder unvollständiger Daten zu verlangen;
• Recht auf Löschung: die Löschung der personenbezogenen Daten unter bestimmten Bedingungen zu verlangen;
• Recht auf Einschränkung oder Widerspruch gegen die Verarbeitung: bestimmten Verarbeitungstätigkeiten zu widersprechen;
• Recht, einen Vertreter zu benennen: eine andere Person zu bestimmen, die die eigenen Rechte im Fall des Todes oder der Geschäftsunfähigkeit ausübt.

Die Nutzer können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden. Sind sie mit der Antwort von Spaarkly nicht zufrieden, können sie sich an das Data Protection Board of India wenden.

Datenspeicherung und Sicherheitsmaßnahmen

Der DPDP Act verlangt, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es für den vorgesehenen Zweck erforderlich ist.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden, im Einklang mit den besten Praktiken.
• Es werden robuste technische und organisatorische Maßnahmen getroffen, um unbefugte Zugriffe, Datenlecks oder Missbrauch zu verhindern.

Meldepflichten im Fall einer Datenschutzverletzung

• Im Fall einer Verletzung des Schutzes personenbezogener Daten benachrichtigt Spaarkly:
  • das Data Protection Board of India sowie, wie vom DPDP gefordert, die betroffenen Personen;
  • da keine Kontaktdaten der Nutzer vorliegen, erfolgt die Benachrichtigung der betroffenen Personen mittels öffentlicher Bekanntmachung auf der Website von Spaarkly und, soweit möglich, mittels eines Hinweises innerhalb des Dienstes, als dem wirksamsten verfügbaren Mittel.

Internationale Übermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Dies kann eine Übermittlung von Daten außerhalb Indiens in die EU mit sich bringen. Der DPDP lässt die Übermittlung personenbezogener Daten in Länder zu, die nicht von der Zentralregierung beschränkt werden; die Europäische Union unterliegt derzeit keiner Beschränkung. Diese Daten identifizieren den Nutzer nicht unmittelbar und sind durch vertragliche Garantien sowie geeignete technische und organisatorische Maßnahmen geschützt.

Sollte eine indische Behörde zusätzliche Garantien verlangen, ergreift Spaarkly unverzüglich alle erforderlichen Konformitätsmaßnahmen, darunter:

• die Gewährleistung der Einhaltung der DPDP-Anforderungen im Bereich der Datenlokalisierung und -übermittlung;
• die Umsetzung rechtlich anerkannter Übermittlungsmechanismen, etwa von der Regierung genehmigter Vertragsklauseln;
• die Einholung der ausdrücklichen Einwilligung des Nutzers für etwaige grenzüberschreitende Übermittlungen, sofern dies zu einer gesetzlichen Anforderung wird.

Da Spaarkly der vollständigen Einhaltung des DPDP verpflichtet bleibt, überwacht das Unternehmen die regulatorischen Entwicklungen und passt seine Verarbeitungspraktiken an, sofern die Behörden zusätzliche Garantien verlangen.

L. NAHER OSTEN (VEREINIGTE ARABISCHE EMIRATE – Dubai – Saudi-Arabien – weitere Länder)

Nutzer im Nahen Osten werden durch verschiedene nationale Datenschutzgesetze geschützt, darunter:

• Vereinigte Arabische Emirate (VAE): Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data;
• Dubai International Financial Centre (DIFC): DIFC Data Protection Law No. 5 of 2020;
• Saudi-Arabien: Personal Data Protection Law (PDPL);
• weitere anwendbare nationale Datenschutzvorschriften.

Einhaltung der Datenschutzgesetze des Nahen Ostens

Spaarkly ist im Nahen Osten tätig und hält sich an die anwendbaren Datenschutzvorschriften. Ihr derzeitiges Modell der Datenverarbeitung ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• es werden keine biometrischen oder eindeutig identifizierenden Daten erhoben, ebenso wenig Namen, Kontaktdaten oder Nutzerprofile;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert; die etwaig vom Nutzer von In-Store-Geräten angeforderten fertigen Fotos werden spätestens am Tag nach der Sitzung gelöscht. Dies kann eine Übermittlung dieser Daten in die EU mit sich bringen, mit den im Abschnitt „Internationale Datenübermittlungen" des vorliegenden Addendums beschriebenen Garantien.

Da Spaarkly keine Daten verarbeitet, die geeignet sind, die Nutzer unmittelbar zu identifizieren (wie Namen, Kontaktdaten oder dauerhafte Kennungen), finden bestimmte nach den Datenschutzgesetzen des Nahen Ostens vorgesehene Pflichten, etwa die Einwilligung für Direktmarketing oder die Führung lokaler Verarbeitungsverzeichnisse, keine Anwendung.

Rechte der Nutzer nach den Datenschutzgesetzen des Nahen Ostens

Nutzer in den Rechtsordnungen des Nahen Ostens genießen Rechte, die den nach der DSGVO vorgesehenen ähneln, darunter:

• Auskunftsrecht: eine Kopie ihrer personenbezogenen Daten zu verlangen;
• Recht auf Berichtigung: die Berichtigung unrichtiger oder unvollständiger Daten zu verlangen;
• Recht auf Löschung: die Löschung der personenbezogenen Daten unter bestimmten Bedingungen zu verlangen;
• Widerspruchsrecht: bestimmten Arten der Verarbeitung zu widersprechen;
• Recht auf Widerruf der Einwilligung: eine zuvor erteilte Einwilligung jederzeit zu widerrufen.

Die Nutzer können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden.

Sind sie mit der Antwort von Spaarkly nicht zufrieden, können sie sich wenden an:

• das UAE Data Office;
• den DIFC Commissioner of Data Protection (https://www.difc.ae/business/regulations/data-protection/);
• die Saudi Data & Artificial Intelligence Authority (SDAIA), die zuständige Behörde nach dem saudischen Personal Data Protection Law (PDPL).

Datenspeicherung und Sicherheitsmaßnahmen

Die Datenschutzgesetze des Nahen Ostens verlangen, dass personenbezogene Daten nur so lange aufbewahrt werden, wie es für den vorgesehenen Zweck erforderlich ist.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden, im Einklang mit den besten Praktiken.
• Es werden robuste technische und organisatorische Maßnahmen getroffen, um unbefugte Zugriffe, Datenlecks oder Missbrauch zu verhindern.

Meldepflichten im Fall einer Datenschutzverletzung

• Im Fall einer Datenschutzverletzung, die erhebliche Schäden verursachen kann, benachrichtigt Spaarkly:
  • die zuständige Datenschutzbehörde des Nahen Ostens, soweit dies nach lokalem Recht erforderlich ist;
  • soweit gesetzlich vorgeschrieben, wird eine öffentliche Bekanntmachung auf der Website von Spaarkly oder über andere geeignete Kanäle veröffentlicht.
• Da Spaarkly keine Kontaktinformationen der Nutzer erhebt, ist der Versand individueller Benachrichtigungen nicht möglich.

Internationale Übermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Dies kann eine Übermittlung von Daten außerhalb des Landes des Nutzers in die EU mit sich bringen, eine Rechtsordnung, die ein hohes Schutzniveau für personenbezogene Daten gewährleistet und von verschiedenen Vorschriften der Region als angemessen anerkannt wird (etwa nach der DIFC Data Protection Law). Diese Daten identifizieren den Nutzer nicht unmittelbar und sind durch vertragliche Garantien sowie geeignete technische und organisatorische Maßnahmen geschützt.

Sollte eine Behörde des Nahen Ostens zusätzliche Garantien verlangen, ergreift Spaarkly unverzüglich alle erforderlichen Konformitätsmaßnahmen, darunter:

• die Gewährleistung der Einhaltung der lokalen Datenschutzgesetze im Bereich internationaler Übermittlungen;
• die Umsetzung rechtlich anerkannter Übermittlungsmechanismen, etwa Standardvertragsklauseln (SCC) oder von der Regierung genehmigter Rahmenwerke;
• die Einholung der ausdrücklichen Einwilligung des Nutzers für etwaige grenzüberschreitende Übermittlungen, sofern dies zu einer gesetzlichen Anforderung wird.

Da Spaarkly der vollständigen Einhaltung der Datenschutzgesetze des Nahen Ostens verpflichtet bleibt, überwacht das Unternehmen die regulatorischen Entwicklungen und passt seine Verarbeitungspraktiken an, sofern die Behörden zusätzliche Garantien verlangen.

M. WEITERE LÄNDER

Nutzer in Ländern, die nicht ausdrücklich von den vorstehenden Abschnitten erfasst sind, werden durch die jeweiligen nationalen Datenschutzgesetze geschützt, soweit anwendbar. Obwohl die Datenschutzgesetze variieren, hält sich Spaarkly an international anerkannte, aus der DSGVO abgeleitete Datenschutzgrundsätze.

Einhaltung der internationalen Datenschutzstandards

Spaarkly ist weltweit tätig und hält sich an international anerkannte Grundsätze des Datenschutzes. Ihr derzeitiges Modell der Datenverarbeitung ist wie folgt:

• die für das Virtual Try-On verwendeten Gesichtsdaten werden lokal auf dem Gerät verarbeitet und nicht gespeichert; beim AR PD Meter können nicht zur Identifizierung des Nutzers verwendete und für sich genommen zu dessen Identifizierung nicht geeignete abgeleitete technische Daten vorübergehend an das in der Europäischen Union befindliche ARShades-Backend übermittelt, ausschließlich zur Rückgabe des Messergebnisses verwendet und nach der Verarbeitung verworfen werden;
• es werden keine biometrischen oder eindeutig identifizierenden Daten erhoben, ebenso wenig Namen, Kontaktdaten oder Nutzerprofile;
• die Sitzungs- und Gerätedaten (einschließlich der IP-Adresse) werden auf Servern in der Europäischen Union aufbewahrt und innerhalb von 14 Monaten anonymisiert; die etwaig vom Nutzer von In-Store-Geräten angeforderten fertigen Fotos werden spätestens am Tag nach der Sitzung gelöscht. Dies kann eine Übermittlung dieser Daten in die EU mit sich bringen, mit den im Abschnitt „Internationale Datenübermittlungen" des vorliegenden Addendums beschriebenen Garantien.

Da Spaarkly keine Daten verarbeitet, die geeignet sind, die Nutzer unmittelbar zu identifizieren (wie Namen, Kontaktdaten oder dauerhafte Kennungen), finden bestimmte nationale Pflichten, etwa Datenlokalisierung, Registrierung bei lokalen Behörden oder zusätzliche Einwilligungsanforderungen, keine Anwendung.

Rechte der Nutzer in weiteren Ländern

Nutzer in Ländern, die in der vorliegenden Datenschutzerklärung nicht ausdrücklich aufgeführt sind, können gleichwohl Rechte nach den nationalen Datenschutzgesetzen genießen. Im Einklang mit den internationalen Standards haben die Nutzer im Allgemeinen das Recht:

• auf ihre personenbezogenen Daten zuzugreifen und eine Kopie davon zu verlangen;
• Berichtigungen unrichtiger oder unvollständiger Daten zu verlangen;
• die Löschung der personenbezogenen Daten unter bestimmten Bedingungen zu verlangen;
• bestimmten Verarbeitungstätigkeiten zu widersprechen;
• die Einwilligung zu widerrufen, soweit anwendbar.

Die Nutzer können ihre Rechte ausüben, indem sie sich an privacy@spaarkly.com wenden. Sind sie mit der Antwort von Spaarkly nicht zufrieden, können sie Beschwerde bei der zuständigen nationalen Datenschutzbehörde einlegen, soweit anwendbar.

Datenspeicherung und Sicherheitsmaßnahmen

Die Datenschutzgesetze in den meisten Rechtsordnungen bestimmen, dass personenbezogene Daten nur so lange aufbewahrt werden dürfen, wie es erforderlich ist.

• Spaarkly gewährleistet, dass die Sitzungs- und Gerätedaten innerhalb von 14 Monaten anonymisiert werden, im Einklang mit den besten Praktiken.
• Es werden strenge technische und organisatorische Maßnahmen getroffen, um unbefugte Zugriffe, Datenlecks oder Missbrauch zu verhindern.

Meldepflichten im Fall einer Datenschutzverletzung

Im Fall einer Datenschutzverletzung, die einen erheblichen Schaden verursachen kann, benachrichtigt Spaarkly:

• Die zuständige Datenschutzbehörde, soweit dies nach lokalem Recht erforderlich ist.
• Soweit gesetzlich verpflichtet, veröffentlicht Spaarkly eine öffentliche Bekanntmachung auf ihrer Website oder über andere geeignete Kanäle.

Da Spaarkly keine Kontaktinformationen der Nutzer erhebt, ist der Versand individueller Benachrichtigungen nicht möglich.

Internationale Datenübermittlungen und Gewährleistung der Konformität

Die in der vorliegenden Erklärung beschriebenen technischen Daten und Sitzungsdaten, einschließlich der vorübergehend für den AR PD Meter verarbeiteten abgeleiteten technischen Daten, werden auf Servern in der Europäischen Union verarbeitet. Dies kann eine Übermittlung von Daten außerhalb des Landes des Nutzers in die EU mit sich bringen, eine Rechtsordnung, die ein hohes Schutzniveau für personenbezogene Daten gewährleistet. Diese Daten identifizieren den Nutzer nicht unmittelbar und sind durch vertragliche Garantien sowie geeignete technische und organisatorische Maßnahmen geschützt.

Sollte eine Regulierungsbehörde zusätzliche Garantien verlangen, ergreift das Unternehmen unverzüglich alle erforderlichen Konformitätsmaßnahmen, darunter:

• Die Gewährleistung der Einhaltung der lokalen Datenschutzgesetze im Bereich internationaler Übermittlungen.
• Die Umsetzung rechtlich anerkannter Übermittlungsmechanismen, etwa Standardvertragsklauseln (SCC) oder von der Regierung genehmigter Rahmenwerke.
• Die Einholung der ausdrücklichen Einwilligung der Nutzer für etwaige grenzüberschreitende Übermittlungen, sofern dies zu einer gesetzlichen Pflicht wird.

Spaarkly bleibt der vollständigen Einhaltung der internationalen Datenschutzstandards verpflichtet und überwacht fortlaufend die regulatorischen Entwicklungen, wobei das Unternehmen seine Datenverarbeitungspraktiken entsprechend anpasst, sofern die Behörden zusätzliche Schutzmaßnahmen verlangen.