Datenschutzerklärung — Step Swap

Version: 2.4 · Gültig ab: 2026-11-02

Step Swap hilft Menschen mit unterschiedlichen Schuhgrößen, einen Match zu finden und Schuhe zu tauschen. Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten und welche Rechte du daran hast.

Verantwortlicher: Vitalii Bartashchuk, Einzelunternehmer (živnostník), eingetragener Geschäftssitz Za vodou 161/2, 032 03 Liptovský Ján, Slowakische Republik, IČO 54225337 (Gewerberegister des Bezirksamts Liptovský Mikuláš, Nr. 540-24297). Kontakt: info@vaet.sk, Telefon: +421 952 681 072. Wir haben keinen Datenschutzbeauftragten bestellt; für Datenschutzanliegen wende dich an info@vaet.sk.

1. Welche Daten wir erheben

Wir verkaufen deine personenbezogenen Daten nicht.

Die Angabe deiner Schuhgrößen ist nötig, um dich zu matchen; Adresse und Telefonnummer sind nötig, um einen Tausch zu versenden. Ohne sie kannst du die App nutzen, aber keinen Tausch abschließen.

2. Wie wir sie verwenden

• Dein Konto erstellen und dich authentifizieren (Google- oder Apple-Anmeldung oder ein einmaliger Link oder Code, den wir an deine E-Mail-Adresse senden).
• Dich anhand der Schuhgröße mit anderen Mitgliedern zusammenbringen (Stil ist ein Ranking-Signal).
• Chat und den Schuh-Tausch-Ablauf ermöglichen.
• Versandetiketten für einen Tausch erstellen (Adresse + Telefonnummer werden nur für den von dir initiierten Tausch an unseren Versandpartner weitergegeben).
• Die Versandgebühr pro Tausch entgegennehmen, sofern zutreffend (Kartendaten werden auf der gehosteten Stripe-Kasse eingegeben und erreichen unsere Server nie; wir speichern nur Zahlungsstatus, Betrag und Stripe-Kennungen).
• Abstürze diagnostizieren (Berichte werden um Adresse, Telefonnummer, Namen und Nachrichtentext bereinigt).
• Die Website sicher halten: automatische Sicherheitsberichte deines Browsers werden, wie in §10 beschrieben reduziert, an Sentry weitergeleitet, damit wir finden und beheben können, was unsere Sicherheitsrichtlinie blockiert.
• Support-Anfragen, Streitfälle und Prüfungen zu Vertrauen & Sicherheit bearbeiten. Dafür können unsere Administratoren für Vertrauen & Sicherheit dein Konto in einer reinen Leseansicht aufrufen (siehe §6).
• Die aggregierte Nutzung verstehen, um die App zu verbessern.
• Vor der Anmeldung kannst du die Startseite durchsuchen, nach Schuhgröße suchen und anonymisierte Trefferzahlen und Beispiele sowie öffentliche Versandtarife einsehen. Größensuchen werden nur zur Berechnung dieser Vorschauen an unsere Server gesendet und nicht gespeichert, bis du dich anmeldest.
• Wenn du dich auf die Größen-Warteliste setzt, dir einmal schreiben, sobald sich ein Mitglied mit passender Größe anmeldet. An diese Adresse senden wir sonst nichts — keinen Newsletter, keine Werbung —, und jede E-Mail enthält einen Abmeldelink.
• Wenn wir dich zur Preisfrage zu gemischten Paaren einladen, dich fragen, ob du dir ein gemischtes Paar zusammenstellen lassen möchtest und zu welcher Servicegebühr, damit wir die Nachfrage einschätzen können, bevor wir einen solchen Dienst entwickeln oder anbieten. Darüber wird nichts verkauft, bestellt oder berechnet. Um auszuwählen, wen wir einladen, nutzen wir Daten, die bereits in deinem Profil stehen: deine Schuhgrößen und welchen Fuß du angegeben hast, die Modelle, die du als vorhanden oder gewünscht markiert hast, sowie unsere Prüfungen auf Blockierungen, Betrug (Sybil) und verknüpfte Konten, damit wir nur zwei Mitglieder einladen, deren Größen spiegelbildlich zueinander passen. Deine Antworten werden anderen Mitgliedern nie gezeigt.
• Einen Hinweis auf typische Tauschgebühren aus deiner Browser-Sprachregion anzeigen — kein GPS.
• Wir setzen keine automatisierte Entscheidungsfindung ein, die dir gegenüber rechtliche oder ähnlich erhebliche Wirkung entfaltet — das Matching nach Größe ist ein unverbindlicher Vorschlag, auf den du selbst reagierst.

3. Rechtsgrundlagen (DSGVO)

Wir stützen verschiedene Zwecke auf verschiedene Grundlagen (Art. 6 DSGVO):

• Vertragserfüllung (Art. 6 Abs. 1 lit. b) — dein Konto, die Anmeldung (Google, Apple oder ein einmaliger Link oder Code an deine E-Mail-Adresse), Matching, Chat, Tausch-Ablauf, Versandetiketten und die Gebühr pro Tausch. Die Anmeldung ist die Art, wie wir den Dienst bereitstellen, und beruht daher auf dem Vertrag, nicht auf Einwilligung.
• Einwilligung (Art. 6 Abs. 1 lit. a) — optionale Diagnose, nicht notwendige Analyse oder Speicherung (siehe §10) sowie die Warteliste-E-Mail, für die du dich einträgst (mit der Abmeldung widerrufst du sie). Du kannst sie jederzeit widerrufen.
• Explizite Einwilligung für besondere Kategorien von Daten (Art. 9 Abs. 2 lit. a) — Wenn du einen Schuh nur an einem Fuß trägst, nutzen wir das zum Matching erst nach einer ausdrücklichen Einwilligung in der App. Zur Preisfrage zu gemischten Paaren laden wir dich nur ein, wenn du vorher unter Profil → Einstellungen eingewilligt hast, dass wir dafür den Unterschied zwischen deiner linken und rechten Schuhgröße nutzen dürfen; deine Antwort (und deine Größen dazu) speichern wir nur mit dieser Einwilligung. Du kannst jede Einwilligung jederzeit unter Profil → Einstellungen verweigern oder widerrufen: dann beenden wir diese Nutzung und löschen bei der Preisfrage deine Zeile einschließlich gespeicherter Größen.
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f) — Sicherheit des Dienstes, Verhinderung von Missbrauch und Betrug sowie Fehlerbehebung; abgewogen gegen deine Rechte. Dazu gehören die in §10 beschriebenen reduzierten Sicherheitsberichte. Dazu gehört auch, dass unsere Administratoren für Vertrauen & Sicherheit das Konto eines Mitglieds in einer reinen Leseansicht aufrufen, um Support-Anfragen, Streitfälle und Prüfungen zu Vertrauen & Sicherheit zu bearbeiten, sowie das Protokoll, das wir über diese Abrufe führen (siehe §5 und §6). Dazu gehört auch die Preisfrage zu gemischten Paaren (§2): unser Interesse herauszufinden, ob Mitglieder sich ein gemischtes Paar zusammenstellen lassen möchten und zu welcher Servicegebühr, bevor wir diesen Dienst entwickeln oder anbieten. Die Beantwortung ist freiwillig, und du kannst die Frage ignorieren oder ausblenden. Du kannst jederzeit in der App widersprechen („Nicht mehr fragen“) oder per E-Mail an info@vaet.sk, und wir löschen dann deine Antworten.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) — Aufbewahrung von Zahlungs- und Versanddatensätzen für Steuer- und Buchhaltungszwecke (siehe §5).

4. Mit wem wir sie teilen

Auftragsverarbeiter, die nach unseren Weisungen handeln: Supabase (Authentifizierung, Datenbank, Avatar-Dateispeicher, Hosting), Sightengine (automatische Prüfung optional hochgeladener Profil-Avatare auf explizite/beleidigende Inhalte vor der Speicherung; Bilder werden zur Analyse an Sightengine gesendet und von Sightengine über den API-Aufruf hinaus gemäß deren Richtlinie nicht aufbewahrt), Google (Anmeldung), Apple (Anmeldung mit Apple (OAuth); bei E-Mail-Adresse verbergen leitet Apples Relay unsere E-Mails an deine echte Adresse weiter. Siehe Apples Datenschutzerklärung), Sentry (PII-bereinigte Fehler-/Absturzdiagnose; nur in der Web-Version werden maskierte Sitzungsaufzeichnungen für Sitzungen mit einem Fehler aufgezeichnet — alle Texte, Eingaben und Medien werden maskiert; die installierte App zeichnet keine Sitzungen auf; im Web außerdem reduzierte Berichte zur Sicherheitsrichtlinie, für die keine Einwilligung nötig ist (siehe §10)), der Paketdienstleister, der deine Route bedient (derzeit Packeta/Zásielkovňa für die Slowakei/CEE; Sendcloud mit seinem Zusteller, z. B. Österreichische Post, für Österreich/Westeuropa; Packlink für aus Deutschland versandte Pakete, Posti aus Finnland, Hrvatska pošta aus Kroatien und Econt aus Bulgarien) (Empfängername, Adresse, Telefonnummer und bei Haustürzustellung E-Mail — zur Erstellung des Etiketts und Zustellung des Pakets), Resend (E-Mail-Versand: Anmeldelinks und -codes, Tausch-Benachrichtigungen, Match-E-Mails der Größen-Warteliste, Widerrufsbestätigungen und betriebliche Warnmeldungen an unser eigenes Team; Resend verarbeitet die E-Mail-Adresse des Empfängers und den Inhalt jeder Nachricht und speichert die Nachrichten und Zustellprotokolle in den USA) und Vercel (Webhosting und datenschutzfreundliche Analyse).

Eigenständige Verantwortliche. Stripe wickelt die Versandgebühr pro Tausch ab und verarbeitet deine Kartendaten als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung — wir sehen deine Kartennummer nie und erhalten nur Zahlungsstatus, Betrag und Transaktionskennungen. Für diese Zahlung entscheidet Stripe — nicht Step Swap — darüber, wie deine Kartendaten verwendet werden.

Andere Mitglieder sehen nur deinen Anzeigenamen, Avatar, deine Größen und Stile. Deine Postanschrift und Telefonnummer werden anderen Mitgliedern nicht angezeigt — sie werden nur zur Erstellung des Versandetiketts verwendet und an den Zusteller zur Zustellung des Pakets weitergegeben.

5. Speicherdauer

• Apple-Widerrufs-Token — nur gespeichert, damit wir Apple beim Löschen deines Kontos den Widerruf des Zugriffs von Step Swap mitteilen können (Apple verlangt dies); nie zum Auslesen von Daten genutzt, weder für Mitglieder noch für die App lesbar, wird mit deinem Konto gelöscht.
• Profil- und allgemeine Kontodaten — dein Profil (Name, Avatar, Schuhgrößen, Stil), Kontaktdaten und Push-Token sowie jeder Chat, der nicht Teil eines Tauschs war, der die Zahlungs- oder Versandetikett-Stufe erreicht hat — aufbewahrt, solange dein Konto aktiv ist, und nach Löschung deines Kontos umgehend entfernt (siehe §7), abgesehen von der eingeschränkten Identitätsverknüpfung, die wir mit den unten beschriebenen Datensätzen aufbewahren.
• Zahlungs-, Versand- und Tauschdatensätze — wir müssen Rechnungs- und Transaktionsdatensätze nach slowakischem Steuer- und Buchhaltungsrecht aufbewahren, in der Regel bis zu 10 Jahre, auch nach Löschung deines Kontos. Da ein solcher Datensatz erkennen lassen muss, wen er betrifft — damit eine Zahlung der Person zugeordnet werden kann, die sie getätigt hat, für Buchhaltung, Rückbuchungen und Betrugsbekämpfung — bewahren wir sie mit einer eingeschränkten Verknüpfung zu deiner Identität für diesen Zeitraum auf; der Zugriff ist auf diese Zwecke beschränkt. Rechtsgrundlagen: rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) und unser berechtigtes Interesse an einem sicheren, betrugsfreien Dienst (Art. 6 Abs. 1 lit. f).
• Chat zu bezahlten/versandten Tauschen — für einen Tausch, der die Zahlungs- oder Versandstufe erreicht hat, bewahren wir zusätzlich die dafür ausgetauschten Chat-Nachrichten mit der eingeschränkten Identitätsverknüpfung bis zu 3 Jahre (die allgemeine Verjährungsfrist nach slowakischem Recht) nach Kontolöschung auf — und länger nur, solange ein konkreter Streitfall, ein Rechtsanspruch oder eine behördliche Anfrage offen ist — danach werden sie gelöscht. Unter eingeschränktem Zugriff gehalten und nur zur Bearbeitung von Meldungen, Streitfällen, Betrug und Rechtsansprüchen verwendet. Rechtsgrundlage: berechtigtes Interesse an einem sicheren, betrugsfreien Dienst sowie an der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 6 Abs. 1 lit. f DSGVO). Art. 17 Abs. 3 lit. e DSGVO ist keine Rechtsgrundlage für die Verarbeitung; er ist die Ausnahme, die es uns erlaubt, diese Daten trotz eines Löschverlangens für dieselben Ansprüche aufzubewahren.
• Protokoll von Support-Nachrichten — wenn ein Mitglied unseres Support-Teams eine Nachricht in einen Chat einfügt, um ein Problem zu lösen, protokollieren wir, welcher Mitarbeiter dies wann getan hat — ein Nachweisprotokoll für Support-Aktionen (es fügt keine neuen personenbezogenen Daten über dich hinzu, die über den Chat hinausgehen). Dieser Datensatz wird bis zu 3 Jahre aufbewahrt, ist für Mitglieder nicht lesbar und wird — da er eine Mitarbeiteraktion protokolliert — auch dann aufbewahrt, wenn dieser Mitarbeiter später ausscheidet. Rechtsgrundlage: unser berechtigtes Interesse an einem nachvollziehbaren, missbrauchsresistenten Dienst (Art. 6 Abs. 1 lit. f DSGVO).
• Protokoll der Mitarbeiterzugriffe — wenn einer unserer Administratoren für Vertrauen & Sicherheit nach Mitgliedern sucht oder das Konto eines Mitglieds aufruft (siehe §6), protokollieren wir, welcher Administrator das getan hat, wann, welches Konto, welchen Teil davon er angesehen hat, den Grund, den er angegeben hat, und die verwendeten Suchbegriffe. Das Protokoll wird bis zu 3 Jahre aufbewahrt, ist für Mitglieder nicht lesbar und bleibt auch dann erhalten, wenn dieser Administrator später ausscheidet. Wenn du eine Kopie deiner Daten anforderst (Art. 15 DSGVO), erhältst du auch die Protokolleinträge zu deinem Konto. Rechtsgrundlage: unser berechtigtes Interesse an einem nachvollziehbaren Dienst, der zeigen kann, wer Mitgliederdaten eingesehen hat und warum (Art. 6 Abs. 1 lit. f DSGVO).
• Diagnose — Fehlerberichte werden für einen begrenzten Zeitraum (typischerweise bis zu 90 Tage) aufbewahrt und enthalten keine Adresse, Telefonnummer, Namen oder Nachrichtentexte.
• Größen-Warteliste — gelöscht innerhalb eines Tages nach deiner Abmeldung, 30 Tage nachdem ein Match gefunden und dir gemailt wurde, und spätestens 12 Monate nach deiner Eintragung.
• Preisfrage zu gemischten Paaren — deine Antworten werden zusammen mit dem Modell, den Größen und den Gebühren, die dir gezeigt wurden, 12 Monate nach dem Ende der Frage gelöscht (sie endet 14 Tage, nachdem wir sie gesendet haben), unabhängig davon, ob du geantwortet hast oder nicht, oder früher, wenn du dein Konto löschst. Rechtsgrundlage: unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO, siehe §3).
• Zähler zur Missbrauchsabwehr — um Spam und Missbrauch zu begrenzen, zählen wir, wie oft bestimmte Aktionen (zum Beispiel Nachrichten, Meldungen, Suchen oder Eintragungen in die Warteliste) innerhalb eines kurzen Zeitfensters ausgeführt werden, und lehnen weitere Versuche ab, sobald ein Limit erreicht ist. Ein Zähler enthält die Aktion, die Anzahl und den Beginn des Zeitfensters, zusammen mit deiner Konto-ID — oder, wenn du nicht angemeldet bist, einem Hash deiner IP-Adresse statt der Adresse selbst (beim Online-Widerrufsformular: deine Konto-ID oder die von dir eingegebene E-Mail-Adresse). Jeder Zähler wird spätestens 3 Tage nach Beginn seines Zeitfensters automatisch gelöscht. Rechtsgrundlage: unser berechtigtes Interesse an einem sicheren, missbrauchsfreien Dienst (Art. 6 Abs. 1 lit. f DSGVO).

6. Sicherheit

Daten werden bei der Übertragung und im Ruhezustand verschlüsselt. Der Datenbankzugriff nutzt Sicherheit auf Zeilenebene (Row-Level Security), sodass ein Mitglied nur seine eigenen Daten und die von Personen lesen kann, mit denen es einen Chat teilt; der Zugriff auf unsere Systeme ist auf das für den Betrieb des Dienstes Notwendige beschränkt. Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein Risiko für deine Rechte darstellt, benachrichtigen wir dich und die slowakische Datenschutzbehörde (Úrad na ochranu osobných údajov SR), wie es die DSGVO verlangt.

Zugriff von Mitarbeitern auf Mitgliederkonten haben nur unsere Administratoren für Vertrauen & Sicherheit. Um das Konto eines Mitglieds aufzurufen, muss sich ein Administrator mit einem zweiten Faktor anmelden (einem Code aus einer Authenticator-App) und einen Grund angeben. Die Ansicht ist schreibgeschützt: Sie erlaubt es nicht, sich mit deinem Konto anzumelden, in deinem Namen zu handeln oder deine Daten zu ändern. Sie zeigt dein Profil (einschließlich Adresse, Telefonnummer und E-Mail-Adresse), wann du dich registriert und zuletzt angemeldet hast, deine Schuhgrößen, die übrigen Schuhe, die du eingestellt hast, die Schuhe, die du im Katalog markiert hast (etwa deine Wunschliste), deine Tauschvorgänge und ihren Status sowie eine Liste deiner Chats ohne Nachrichteninhalte. Jede Suche und jeder Aufruf wird protokolliert (siehe §5), und jeder Administrator kann nur eine begrenzte Zahl von Abrufen pro Stunde vornehmen.

Bei der Preisfrage zu gemischten Paaren kann ein Administrator, der sich mit einem zweiten Faktor angemeldet hat, außerdem die Antworten jedes eingeladenen Mitglieds sehen, aufgelistet nach Mitglieds-ID mit den Größen und Gebühren, die diesem Mitglied gezeigt wurden, ohne Namen oder Kontaktdaten. Diese Liste ist nicht Teil der Kontoansicht und wird daher nicht im Protokoll der Mitarbeiterzugriffe erfasst.

7. Deine Rechte & Kontolöschung

Du kannst deine Daten in der App einsehen und korrigieren sowie dein Konto jederzeit löschen — wir entfernen deine zugehörigen Daten umgehend, abgesehen von den begrenzten Datensätzen, die wir gemäß §5 aufbewahren müssen oder dürfen (Steuer-/Buchhaltungsunterlagen sowie Daten für Sicherheit, Betrugsprävention oder Rechtsansprüche): in der App über Profil → Einstellungen → Konto löschen oder auf Anfrage. Unsere federführende Aufsichtsbehörde nach dem GDPR-One-Stop-Shop ist der slowakische Úrad na ochranu osobných údajov SR (dataprotection.gov.sk). Wenn du in Deutschland wohnst, kannst du dich auch an die BfDI (bfdi.bund.de) wenden; wenn du in Österreich wohnst, an die DSB (dsb.gv.at). Wenn du in einem anderen EU-/EWR-Land wohnst, kannst du dich an deine nationale Behörde wenden — der Europäische Datenschutzausschuss führt ein Verzeichnis aller Behörden (edpb.europa.eu).

8. Internationale Übermittlungen

Einige der oben genannten Anbieter (z. B. Google, Stripe, Sentry, Vercel, Resend) können Daten außerhalb des EWR verarbeiten, auch in den USA. Resend speichert die für uns zugestellten E-Mails und deren Zustellprotokolle in den USA. Solche Übermittlungen stützen sich auf geeignete Garantien — EU-Standardvertragsklauseln und/oder das EU-US Data Privacy Framework, sofern der Anbieter zertifiziert ist. Details kannst du per E-Mail an info@vaet.sk anfordern.

9. Kinder

Step Swap richtet sich nicht an Kinder unter 18 Jahren, und wir erheben wissentlich keine Daten von ihnen.

10. Cookies und lokale Speicherung

Wir halten Cookies und lokale Speicherung auf ein Minimum:

• Unbedingt erforderlich — Supabase setzt Speicher/Cookies, um dich angemeldet zu halten und die App zu sichern. Diese sind für den Betrieb erforderlich und bedürfen keiner Einwilligung.
• Sicherheitsberichte (unbedingt erforderlich) — wenn dein Browser auf der Website Inhalte findet, die unsere Sicherheitsrichtlinie nicht erlaubt, sendet er automatisch einen Bericht an unseren Server. Wir behalten nur die ausgelöste Regel, den Ursprung der blockierten Inhalte (z. B. https://example.com, ohne den Rest der Adresse) und den Pfad unserer Seite ohne Abfrage oder Fragment. Deine IP-Adresse, Browserangaben, Cookies und die verweisende Seite verwerfen wir und leiten diesen reduzierten Datensatz an Sentry weiter, damit wir Fehler auf der Website beheben können; Sentry speichert ihn so lange wie Fehlerberichte (§5). Auf deinem Gerät wird nichts gespeichert oder ausgelesen, daher ist keine Einwilligung nötig.
• Gast-Browsing (Komfort) — ausstehende Größen können im Browser-sessionStorage bleiben, bis du dich anmeldest; Spracheinstellung kann in localStorage gespeichert werden. Ein Konto entsteht erst, wenn du dich mit Google, Apple oder einem einmaligen Link oder Code anmeldest, den wir an deine E-Mail-Adresse senden.
• Preisfrage-Karte (Komfort) — wenn du die Preisfrage zu gemischten Paaren ausblendest, merkt sich die App das auf deinem Gerät in localStorage (stepswap-price-question-dismissed, die IDs der Fragen, die du ausgeblendet hast) und sendet uns nichts. Sie hält nur die Karte ausgeblendet und bedarf daher keiner Einwilligung.
• Diagnose & Analyse (Einwilligung) — Absturz-/Fehlerberichte (Sentry) und Produktanalyse (Vercel Analytics) werden nur mit deiner Einwilligung verwendet, im Einklang mit dem slowakischen Gesetz über elektronische Kommunikation (Gesetz Nr. 452/2021 Slg.). Wo erforderlich, fragen wir, bevor eine nicht notwendige Speicherung gesetzt wird, und du kannst deine Wahl jederzeit ändern oder widerrufen: über „Nutzungsanalyse & Diagnose“ in der Fußzeile der Startseite oder, wenn du angemeldet bist, unter Profil → Einstellungen. Wir verwenden keine Werbe- oder seitenübergreifenden Tracking-Cookies.

11. Änderungen

Wir können diese Erklärung aktualisieren. Die aktuelle Versionsnummer und das Gültigkeitsdatum stehen oben; frühere Versionen halten wir auf Anfrage bereit. Wesentliche Änderungen kündigen wir vor ihrem Inkrafttreten in der App oder auf unserer Website an. Die fortgesetzte Nutzung nach dem Gültigkeitsdatum bedeutet, dass du die aktualisierte Erklärung akzeptierst.

12. Kontakt

Fragen oder Anfragen: info@vaet.sk.