Stand: 16. August 2026

Diese Datenschutzerklärung erläutert, wie Exportlab personenbezogene Daten erhebt, verwendet, speichert, weitergibt und schützt, wenn Sie Exportlab nutzen oder wenn personenbezogene Daten über Exportlab im Auftrag eines Exportlab-Kunden verarbeitet werden.

Diese Erklärung gilt für die Exportlab-Webanwendung, Websites, öffentliche Seiten, Client Portals, Guest-Upload-Funktionen, Asset-Collection-Formulare, Status Pages, Model-Release-Workflows, Team-Kollaborationsfunktionen, APIs, Plugins, Integrationen, KI-Funktionen, Gesichtserkennung, Billing-Funktionen, Support-Interaktionen und verwandte Dienste (zusammen der "Service").

1. Verantwortlicher

Für personenbezogene Daten, die Exportlab für eigene Zwecke verarbeitet, ist Verantwortlicher:

Exportlab

Adelgundenstrasse 1

80538 Munich

Germany

Email: hey@exportlab.io

2. Unsere Rolle als Verantwortlicher und Auftragsverarbeiter

Exportlab verarbeitet personenbezogene Daten in unterschiedlichen Rollen.

Exportlab handelt als Verantwortlicher, wenn wir Zwecke und Mittel der Verarbeitung bestimmen, einschließlich Kontoregistrierung, Authentifizierung, Billing, Kundensupport, Sicherheit, Missbrauchsprävention, Service-Kommunikation, Produktbetrieb, rechtlicher Compliance und eigener Geschäftsverwaltung.

Exportlab handelt in der Regel als Auftragsverarbeiter, wenn Kunden den Service nutzen, um personenbezogene Daten anderer Personen hochzuladen, zu erheben, zu verwalten, zu teilen, zu prüfen, zu veröffentlichen oder auszuliefern. Dies kann personenbezogene Daten in Fotos, Videos, Dateien, Galerien, Guest Uploads, Asset-Collection-Formularen, Client Portals, Public Profiles, Status Pages, Review-Kommentaren, Team-Nachrichten, Model Releases, Signatur-Workflows, Group-Shoot-Workflows, API-Workflows und Integrationen umfassen.

Wenn Sie Client, Gast, Model, Unterzeichner, Teilnehmer, Mitarbeiter, Auftragnehmer, Besucher, Galerie-Betrachter, Besucher einer öffentlichen Seite oder sonstiger Endnutzer sind, der mit einem von einem Exportlab-Kunden kontrollierten Exportlab-Workspace interagiert, ist in der Regel der Kunde der Verantwortliche für Ihre personenbezogenen Daten. In diesem Fall sollten Datenschutzanfragen grundsätzlich an diesen Kunden gerichtet werden. Exportlab unterstützt den Kunden, soweit dies gesetzlich und vertraglich erforderlich ist.

Soweit erforderlich, stellt Exportlab Geschäftskunden einen Auftragsverarbeitungsvertrag ("DPA") zur Verfügung.

3. Personenbezogene Daten, die wir verarbeiten

Je nach Nutzung des Service können wir folgende Kategorien personenbezogener Daten verarbeiten.

Konto- und Workspace-Daten

Name, E-Mail-Adresse, Unternehmens- oder Organisationsname, Workspace- oder Tenant-Kennung, Rolle, Berechtigungen, Onboarding-Informationen, Planinformationen, Profilinformationen und Kontoeinstellungen.

Authentifizierungs- und Sicherheitsdaten

Login-Informationen, Identifikatoren von Authentifizierungsanbietern, Google- oder Apple-Sign-in-Daten, wenn Sie diese Anbieter nutzen, Sitzungsdaten, MFA- oder 2FA-Daten, soweit aktiviert, Sicherheitsereignisse, Zugriffsprotokolle, IP-Adressen, User Agents, Geräteinformationen, Zeitstempel und Missbrauchspräventionssignale.

Profil-, Branding- und Konfigurationsdaten

Branding-Assets, Public-Profile-Einstellungen, Portfolio-Informationen, Preisangaben, Referenzen, Testimonials, Social Links, Domain-Einstellungen, Galerieeinstellungen, Workflow-Einstellungen, Integrationskennungen, Analytics-Kennungen und sonstige Konfigurationsdaten.

Medien-, Inhalts- und Projektdaten

Fotos, Videos, Dateien, Thumbnails, Previews, Transcodes, HLS-Assets, ZIP-Dateien, Galerien, Ordner, Titel, Beschreibungen, Tags, technische Metadaten wie EXIF-, IPTC- oder XMP-Daten, Kommentare, Annotationen, Review-Entscheidungen, Freigaben, Versionen, Lieferhistorie, Download-Ereignisse und Projektinformationen.

KI-bezogene Daten

Inhalte, Metadaten, Prompts, generierte Captions, Keywords, Klassifikationen, Kategorien, Zusammenfassungen, Szenenbeschreibungen, Assistenteninteraktionen und KI-generierte Metadaten, soweit Sie KI-Funktionen aktivieren oder nutzen.

Biometrische Daten

Face Embeddings, biometrische Templates oder ähnliche Identifikatoren, die erzeugt werden, wenn optionale Gesichtserkennung aktiviert ist.

Client-Portal-Daten

Client-Namen, E-Mail-Adressen, Login-Details, Zugriffsberechtigungen, geteilte Inhalte, Projektverlauf, Portalaktivität und zugehörige Kommunikations- oder Zugriffsprotokolle.

Guest-Upload- und Asset-Collection-Daten

E-Mail-Adressen von Gästen, soweit erhoben, eingereichte Dateien, eingereichte Medien, Formularantworten, Nachrichten, Upload-Logs, Verifizierungsereignisse, Bestätigungsereignisse und eventbezogene Metadaten.

Public-Profile- und Lead-Daten

Kontaktanfragen, Formularübermittlungen, Namen, E-Mail-Adressen, Nachrichten, Zeitstempel, Browser- und Gerätedaten, Referrer, Profilinteraktionen und Zuordnungen zu Projekten, Verträgen oder Kundenbeziehungen.

Status-Page-Daten

Status-Page-Abonnements, E-Mail-Adressen von Abonnenten, Projektreferenzen, Benachrichtigungseinstellungen, Benachrichtigungszustellereignisse und zugehörige Zeitstempel.

Model-Release- und Signaturdaten

Namen, Kontaktdaten, Rolleninformationen, Release-Umfang, erlaubte Nutzung, Gebiet, Dauer, Guardian- oder gesetzliche Vertretungsdaten, soweit relevant, Signaturbilder, Zeitstempel, IP-Adressen, Geräteinformationen, Dokumentversionen, Audit-Trail-Ereignisse und zugehörige Anhänge.

Group-Shoot- und Check-in-Daten

Teilnehmerdaten, Gast- oder Mitarbeiterkennungen, Formularfelder, Check-in-Status, Paket- oder Favoriteninformationen, Shooting-Day-Informationen, Statistiken, API-Referenzen und Zuordnungen zu Galerien oder Projekten.

Integrations-, Plugin-, API- und Webhook-Daten

API-Keys oder Referenzen, Zugriffsumfänge, Webhook-Ereignisse, Plugin-Versionen, Integrationseinstellungen, verbundene Kontoidentifikatoren, Upload-Status, Lieferstatus, Fehlerprotokolle, Kompatibilitätsinformationen, Request-Metadaten und Daten, die mit verbundenen Drittanbieterdiensten ausgetauscht werden, wenn eine Integration aktiviert ist.

Nutzungs-, Geräte- und Betriebsdaten

IP-Adresse, Browsertyp, Gerätetyp, Betriebssystem, besuchte Seiten, ausgeführte Aktionen, Zeitstempel, Referrer, ungefähre aus technischen Daten abgeleitete Standortinformationen, Speichernutzung, Bandbreitennutzung, Verarbeitungslogs, WebSocket-Verbindungsdaten, Audit Logs und Systemereignisse.

Kommunikations- und Supportdaten

Support-Anfragen, E-Mails, Chat-Nachrichten mit Support, Feedback, Anhänge, Bug Reports, Abuse Reports und sonstige Kommunikation mit Exportlab.

Empfehlungs- und Akquisitionsdaten

Wenn Sie über einen von Exportlab verwalteten Partner- oder Empfehlungslink auf unseren Service gelangen und der optionalen Messung zugestimmt haben, können wir Informationen über die Empfehlungsquelle verarbeiten. Dazu gehören insbesondere die interne Referral-Link-ID, der Referral-Code, der Zeitpunkt der Zuordnung und UTM-Parameter. Wenn anschließend ein Konto beziehungsweise Workspace erstellt wird, können diese Informationen der Tenant-Kennung und dem Konto zugeordnet werden. Bei einem ersten kostenpflichtigen Kauf können zusätzlich Plan, Betrag, Währung, Zahlungsdatum und zugehörige Stripe-Referenzen mit der Empfehlungszuordnung verknüpft werden. Vertragsverlängerungen werden für diesen Zweck nicht erneut erfasst.

Billing-Daten

Rechnungsname, Rechnungsanschrift, Steuerinformationen, Plan, Abonnementstatus, Rechnungsinformationen, Zahlungsstatus, Stripe-Customer-ID und begrenzte Zahlungsmittelreferenzen wie die letzten vier Ziffern einer Karte, soweit vom Zahlungsdienstleister bereitgestellt. Vollständige Zahlungsdaten werden von Stripe oder dem jeweiligen Zahlungsanbieter verarbeitet.

4. Besondere Kategorien personenbezogener Daten

Exportlab erhebt besondere Kategorien personenbezogener Daten für eigene Zwecke nicht absichtlich, es sei denn, dies ist für eine von Ihnen aktivierte Funktion oder von Ihnen hochgeladene Inhalte erforderlich.

Besondere Kategorien personenbezogener Daten können in Kundeninhalten enthalten sein, etwa in Fotos, Videos, Formularen, Model Releases oder biometrischen Funktionen. Soweit Exportlab solche Daten als Auftragsverarbeiter verarbeitet, ist der Kunde verantwortlich sicherzustellen, dass eine gültige Rechtsgrundlage besteht.

Biometrische Daten, die zur eindeutigen Identifizierung verwendet werden, unterliegen besonderen gesetzlichen Anforderungen. Sie dürfen Gesichtserkennung nur aktivieren, wenn alle erforderlichen Hinweise, Einwilligungen und Rechtsgrundlagen eingeholt wurden.

5. Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten, um:

den Service bereitzustellen, zu betreiben, zu warten und zu sichern;
Konten, Workspaces, Pläne, Rollen und Berechtigungen zu erstellen und zu verwalten;
Nutzer zu authentifizieren und Konten zu schützen;
Medien und Dateien hochzuladen, zu speichern, zu verarbeiten, zu transkodieren, vorzuschauen, zu organisieren, zu teilen, zu prüfen und auszuliefern;
Galerien, Client Portals, Guest Uploads, Asset-Collection-Formulare, Public Profiles, Status Pages, Model Releases, Team-Kollaboration, Group Shoots, Check-ins und Projekt-Workflows zu betreiben;
KI-Funktionen bereitzustellen, soweit aktiviert oder angefordert;
Gesichtserkennung bereitzustellen, soweit aktiviert oder angefordert;
Zahlungen, Abonnements, Rechnungen, Steuern, Verlängerungen, Kündigungen, Credits und Add-ons zu verarbeiten;
Kundensupport zu leisten und Anfragen zu beantworten;
transaktionale E-Mails, Einladungen, Bestätigungen, Service-Mitteilungen, Billing-Mitteilungen, Statusupdates und Sicherheitswarnungen zu versenden;
APIs, Plugins, Webhooks und Integrationen zu betreiben;
Nutzungslimits, Speicherlimits, Token-Guthaben und Fair Use zu überwachen;
Betrug, Missbrauch, Spam, Sicherheitsvorfälle, rechtswidrige Inhalte und Rechtsverletzungen zu erkennen, zu verhindern und zu untersuchen;
Fehler zu beheben, Logs zu führen, die Zuverlässigkeit zu verbessern und den Service weiterzuentwickeln;
die Wirksamkeit unserer Partner- und Empfehlungsquellen intern auszuwerten, insbesondere um festzustellen, ob ein Empfehlungslink zu einer Registrierung und zu einem ersten kostenpflichtigen Kauf geführt hat;
rechtliche Pflichten zu erfüllen und Rechte durchzusetzen.

6. Rechtsgrundlagen, wenn Exportlab Verantwortlicher ist

Soweit die DSGVO gilt und Exportlab als Verantwortlicher handelt, stützen wir uns auf folgende Rechtsgrundlagen.

Vertragserfüllung

Wir verarbeiten Daten, soweit dies erforderlich ist, um Konten zu erstellen, den Service bereitzustellen, Abonnements zu verwalten, Funktionen zu liefern, Support zu leisten und unsere Vereinbarung mit Ihnen zu erfüllen.

Einwilligung

Wir stützen uns auf Einwilligung, soweit erforderlich, einschließlich für bestimmte optionale Analytics, bestimmte Marketingkommunikation, bestimmte Integrationen und bestimmte KI- oder biometrische Verarbeitungskontexte, in denen Exportlab als Verantwortlicher handelt und Einwilligung erforderlich ist.

Sie können eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Berechtigte Interessen

Wir verarbeiten Daten auf Grundlage berechtigter Interessen, soweit angemessen, einschließlich Service-Sicherheit, Missbrauchsprävention, Betrugsprävention, Audit Logging, Fehlerbehebung, Produktverbesserung, Rechtsverteidigung, Plattformintegrität, E-Mail-Zustellbarkeit und Geschäftsverwaltung.

Sie können der Verarbeitung auf Grundlage berechtigter Interessen widersprechen, wenn die gesetzlichen Voraussetzungen erfüllt sind.

Rechtliche Pflichten

Wir verarbeiten Daten, soweit dies zur Erfüllung gesetzlicher, steuerlicher, buchhalterischer, regulatorischer, datenschutzrechtlicher und behördlicher Pflichten erforderlich ist.

7. Wenn Exportlab Auftragsverarbeiter ist

Wenn Exportlab als Auftragsverarbeiter handelt, verarbeiten wir personenbezogene Daten im Auftrag und nach dokumentierten Weisungen des Kunden. Der Kunde ist verantwortlich für die Bestimmung von Zwecken und Rechtsgrundlagen der Verarbeitung, die Bereitstellung erforderlicher Datenschutzhinweise, die Einholung erforderlicher Einwilligungen, die Konfiguration von Zugriffen, die Beantwortung von Betroffenenanfragen und die Entscheidung, wann Daten gelöscht werden sollen.

Exportlab unterstützt Kunden bei diesen Pflichten, soweit dies gesetzlich und vertraglich erforderlich ist.

8. KI-Verarbeitung

KI-Funktionen sind optional und werden vom Nutzer aktiviert oder initiiert.

Wenn KI-Indexierung oder KI-Assistenz aktiviert ist, können relevante Inhalte und Metadaten an Drittanbieter für KI, einschließlich OpenAI und AWS, gesendet werden, um Captions, Tags, Keywords, Klassifikationen, Zusammenfassungen, Beschreibungen, Empfehlungen, Assistentenantworten oder ähnliche Ergebnisse zu erzeugen.

Wenn Sie Exportlab mit einem externen KI-Assistenten wie Claude verbinden oder eine entsprechende Integration aktivieren, können die von Ihnen angeforderten Workspace-Daten, Inhalte und Metadaten an den jeweiligen Anbieter, beispielsweise Anthropic, übermittelt werden. Die Übermittlung erfolgt nur im Rahmen der von Ihnen aktivierten Integration und der von Ihnen oder dem KI-Assistenten initiierten Anfragen.

Externe KI-Assistenten und deren Anbieter können personenbezogene Daten nach ihren eigenen Bedingungen und Datenschutzhinweisen verarbeiten, soweit sie als eigenständige Verantwortliche handeln. Nutzer sind dafür verantwortlich, nur solche Daten über die Integration zugänglich zu machen, für deren Verarbeitung und Übermittlung sie über die erforderlichen Rechte und Rechtsgrundlagen verfügen.

KI-generierte Metadaten können in Exportlab gespeichert werden, um Suche, Filterung, Discovery, Organisation und Workflow-Automatisierung zu unterstützen.

Wenn KI-Funktionen nicht aktiviert oder angefordert sind, senden wir Ihre Medien nicht absichtlich für diese KI-Funktionen an KI-Anbieter.

KI-Ergebnisse können ungenau oder unvollständig sein. Nutzer sind dafür verantwortlich, Ergebnisse zu prüfen, bevor sie sich darauf verlassen.

9. Gesichtserkennung und biometrische Daten

Gesichtserkennung ist optional.

Wenn sie aktiviert ist, kann AWS Rekognition oder ein ähnlicher Anbieter Fotos verarbeiten, um Face Embeddings oder vergleichbare biometrische Templates zu erzeugen. Diese werden verwendet, um Gesichter über Fotos oder Projekte hinweg abzugleichen.

Kunden sind verantwortlich dafür, vor Aktivierung der Gesichtserkennung alle erforderlichen Hinweise, Einwilligungen und Rechtsgrundlagen von den in den Inhalten abgebildeten Personen einzuholen.

Biometrische Daten werden aufbewahrt, bis der Kunde sie löscht, die betreffende Funktion deaktiviert, die zugehörigen Inhalte löscht oder das Konto schließt, sofern keine längere Aufbewahrung gesetzlich erforderlich oder erlaubt ist.

Exportlab verkauft keine biometrischen Daten.

10. Öffentliche Seiten, Besucher und Analytics

Kunden können öffentliche oder halböffentliche Exportlab-Seiten erstellen, einschließlich Public Profiles, Galerien, Status Pages, Delivery Links, Review Links, Guest-Upload-Links, Asset-Collection-Links oder Client-Portal-Ressourcen.

Wenn Besucher mit diesen Seiten interagieren, kann Exportlab technische Daten, Zugriffslogs, Formularübermittlungen, Kontaktanfragen, Download-Ereignisse, Status-Abonnements und andere Interaktionsdaten verarbeiten.

Soweit diese Seiten von einem Kunden für dessen eigene Zwecke betrieben werden, ist in der Regel der Kunde Verantwortlicher und Exportlab handelt als Auftragsverarbeiter. Exportlab kann technische, Sicherheits- und Betriebsdaten gesondert als Verantwortlicher verarbeiten, soweit dies zum Betrieb und Schutz des Service erforderlich ist.

Öffentliche Seiten und öffentliche Inhalte können von Suchmaschinen oder anderen Dritten indexiert oder zwischengespeichert werden, wenn sie öffentlich zugänglich gemacht werden.

Wenn Kunden Analytics-Dienste wie Google Analytics aktivieren, können zusätzliche Daten durch diesen Anbieter verarbeitet werden. Kunden sind verantwortlich dafür, Analytics rechtmäßig zu konfigurieren und erforderliche Einwilligungen einzuholen.

11. Model Releases und Signatur-Workflows

Wenn Kunden Model-Release-, Dokumenten-, Formular- oder Signatur-Workflows verwenden, kann Exportlab die in das Dokument eingegebenen oder durch den Workflow erzeugten Daten verarbeiten, einschließlich Namen, Kontaktdaten, Release-Umfang, Guardian-Daten, Signaturbilder, Zeitstempel, IP-Adressen, Geräteinformationen, Dokumentversionen und Audit-Trail-Ereignisse.

Diese Daten werden verarbeitet, um den jeweiligen Workflow zu erzeugen, auszuführen, zu dokumentieren, zu speichern, abzurufen und zu verwalten.

Exportlab erbringt keine Rechtsberatung und entscheidet nicht, ob ein bestimmtes Dokument oder eine bestimmte Signatur für den beabsichtigten Zweck eines Kunden rechtlich ausreichend ist.

12. Group Shoots, Check-ins, Formulare und Asset Collection

Wenn Kunden Group-Shoot-, Check-in-, Formular- oder Asset-Collection-Funktionen nutzen, kann Exportlab Teilnehmerdaten, Check-in-Informationen, Formularantworten, hochgeladene Inhalte, Begleitnachrichten, Favoriten, Statistiken, API-Referenzen, HR-Import-Referenzen und Projekt- oder Galeriezuordnungen verarbeiten.

Diese Verarbeitung dient dazu, den jeweiligen Workflow technisch bereitzustellen, zu dokumentieren, zu verwalten und zu administrieren. In der Regel ist der Kunde für Zweck, Rechtmäßigkeit, Erforderlichkeit und Aufbewahrung dieser Daten verantwortlich.

13. Integrationen, Plugins, APIs und Webhooks

Wenn Sie Integrationen, Plugins, APIs oder Webhooks aktivieren, kann Exportlab Daten mit dem verbundenen Drittanbieterdienst austauschen, um die angeforderte Funktionalität bereitzustellen.

Dies kann Kontoidentifikatoren, Projektidentifikatoren, Ereignisdaten, Upload-Status, Kommentare, Dateien, Metadaten, Fehlerprotokolle, API-Request-Daten, Authentifizierungsdaten und Konfigurationsinformationen umfassen.

Drittanbieterintegrationen können Kreativsoftwareanbieter, Automationsplattformen, Messaging-Tools, Analytics-Anbieter, Authentifizierungsanbieter, Zahlungsanbieter, Signaturanbieter oder andere von Ihnen ausgewählte Dienste umfassen.

Drittanbieter verarbeiten Daten nach ihren eigenen Bedingungen und Datenschutzhinweisen, soweit sie unabhängig handeln.

14. Cookies, Local Storage und ähnliche Technologien

Exportlab kann Cookies, localStorage, sessionStorage, In-Memory-Storage, Device Storage und ähnliche Technologien verwenden, um Authentifizierung, Sitzungsfortsetzung, Sicherheit, Präferenzen, Tenant-Routing, UI-Einstellungen, Uploads, Echtzeitfunktionen und andere Service-Funktionalität bereitzustellen.

Einige Speicherungen oder Zugriffe können unbedingt erforderlich sein, um den vom Nutzer angeforderten Service bereitzustellen. Optionale Analytics-, Tracking- oder Marketing-Technologien werden nur verwendet, soweit sie aktiviert sind und eine gesetzlich erforderliche Einwilligung eingeholt wurde.

Eine separate Cookie Policy oder Consent-Oberfläche kann weitere Details zu bestimmten Technologien, Zwecken, Anbietern und Wahlmöglichkeiten bereitstellen.

Eingebettete YouTube-Videos

Auf exportlab.io, insbesondere in Blogbeiträgen, binden wir Videos von YouTube ein. Anbieter ist die Google Ireland Limited, Gordon House, 4 Barrow St, Dublin, D04 E5W5, Irland.

Diese Videos sind standardmäßig blockiert. Vor Ihrer Einwilligung wird kein Inhalt von YouTube geladen und keine Verbindung zu Google-Servern aufgebaut — an der Stelle des Players sehen Sie lediglich einen Platzhalter. Erst wenn Sie im Consent-Banner die Kategorie „Marketing" beziehungsweise den Dienst „YouTube" aktivieren und das Video starten, wird der Player nachgeladen.

Wir verwenden den erweiterten Datenschutzmodus (youtube-nocookie.com). Auch in diesem Modus setzt YouTube beim Abspielen Cookies und verarbeitet Daten. Dabei können insbesondere Ihre IP-Adresse, Browser- und Geräteinformationen, das aufgerufene Video, der Wiedergabefortschritt und die verweisende Seite an Google übermittelt werden. Sind Sie zeitgleich in Ihrem Google-Konto angemeldet, kann Google diese Daten Ihrem Konto zuordnen.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO. Sie können diese jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen ändern. Eine Übermittlung in die USA ist möglich; Google stützt diese auf die Standardvertragsklauseln und das EU-US Data Privacy Framework.

Weitere Informationen finden Sie in der Datenschutzerklärung von Google: https://policies.google.com/privacy

Google Tag Manager

Auf exportlab.io setzen wir den Google Tag Manager ein. Anbieter ist die Google Ireland Limited, Gordon House, 4 Barrow St, Dublin, D04 E5W5, Irland.

Der Google Tag Manager ist ein Verwaltungswerkzeug, mit dem wir Mess- und Marketing-Technologien einbinden und steuern. Der Tag Manager selbst setzt keine Cookies und erstellt keine Nutzerprofile; er dient ausschließlich der technischen Ausspielung der nachgelagerten Dienste. Beim Laden werden technisch notwendige Verbindungsdaten wie Ihre IP-Adresse an Google übermittelt.

Wir verwenden den Google-Einwilligungsmodus (Consent Mode). Bis zu Ihrer Entscheidung im Consent-Banner sind Analyse- und Marketing-Speicherung standardmäßig deaktiviert; nachgelagerte Dienste wie Google Analytics oder der Meta-Pixel werden erst nach Ihrer Einwilligung ausgeführt.

Weitere Informationen: https://policies.google.com/privacy

Partner-Links und Empfehlungszuordnung

Exportlab verwendet eigene Partner- und Empfehlungslinks, beispielsweise Links der Form exportlab.io/r/<code>, um intern auszuwerten, welche Empfehlungsquellen zu Registrierungen und zu ersten kostenpflichtigen Käufen führen. Es handelt sich nicht um ein Affiliate-Programm: Es werden keine Provisionen abgerechnet, und der jeweilige Empfehlungsgeber erhält keinen Zugriff auf die dabei verarbeiteten Registrierungs-, Konto- oder Zahlungsdaten.

Beim Aufruf eines Empfehlungslinks wird der Referral-Code serverseitig aufgelöst und Sie werden auf die vorgesehene Exportlab-Seite weitergeleitet. Dabei erhöhen wir für die reine Reichweitenmessung einen Zähler und speichern die interne Link-ID, den Zeitpunkt, die Sprache und die Zielseite. Für diese Klickmessung speichern wir keine IP-Adresse, keinen User-Agent, keine Fingerprinting-Merkmale und keine individuelle Besucher- oder Cookie-ID. Der Klickdatensatz ist damit keinem bestimmten Websitebesucher zuordenbar; er entsteht unabhängig von Ihrer Cookie-Entscheidung und begründet für sich genommen keinen Personenbezug.

Nur wenn Sie im Consent-Banner dem Dienst „Partner-Links" zustimmen, setzen wir zusätzlich das First-Party-Cookie exportlab_referral auf der Domain .exportlab.io. Es hat eine Laufzeit von maximal 30 Tagen, wird mit den Attributen Secure und SameSite=Lax gesetzt und enthält ausschließlich die interne Referral-Link-ID, den Referral-Code, den Zeitpunkt der Erfassung sowie den Ablaufzeitpunkt.

Zweck dieses Cookies ist es, die Empfehlungsquelle bei einer späteren Registrierung wiederzuerkennen. Registrieren Sie sich innerhalb dieses Zeitraums, ordnen wir Referral-Link-ID, Referral-Code, Zeitpunkt und zugehörige UTM-Parameter Ihrem Konto beziehungsweise Ihrem Workspace zu. In unserer Referral-Datenbank können dabei zusätzlich die Tenant-Kennung, die E-Mail-Adresse und das Registrierungsdatum gespeichert werden. Erfolgt anschließend ein erster kostenpflichtiger Kauf, können diesem Datensatz Plan, Betrag, Währung, Datum sowie zugehörige Stripe-Referenzen wie PaymentIntent-, Subscription- oder Rechnungskennungen zugeordnet werden. Erfasst wird ausschließlich der erste kostenpflichtige Kauf; Vertragsverlängerungen werden nicht erneut gespeichert.

Das Speichern und Auslesen des Cookies auf Ihrem Endgerät erfolgt ausschließlich nach Ihrer Einwilligung gemäß § 25 Abs. 1 TDDDG. Sie können diese Einwilligung jederzeit über Ihre Cookie-Einstellungen mit Wirkung für die Zukunft widerrufen; anschließend wird das Referral-Cookie nicht mehr gelesen und es entsteht keine neue Zuordnung. Ohne Ihre Einwilligung funktioniert der Empfehlungslink unverändert — die Weiterleitung erfolgt wie gewohnt, es wird lediglich keine Zuordnung zu einer späteren Registrierung hergestellt.

Soweit eine Empfehlungsinformation nach Ihrer Registrierung mit Ihrem Konto verknüpft und für unsere interne Auswertung von Empfehlungs- und Akquisitionskanälen verarbeitet wird, stützen wir diese Verarbeitung auf unsere berechtigten Interessen gemäß Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, die Wirksamkeit unserer Empfehlungskooperationen und Akquisitionskanäle beurteilen zu können. Wir beschränken die Verarbeitung dabei auf die für diese Zuordnung erforderlichen Daten. Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen.

Die Referral-Daten werden in einer AWS-Datenbank in der Region Frankfurt (eu-central-1) gespeichert. Bei einem ersten kostenpflichtigen Kauf wird die interne Referral-Link-ID zusätzlich als Metadatum an Stripe übermittelt; für internationale Datenübermittlungen gelten die in Abschnitt 16 beschriebenen Garantien. An den Empfehlungsgeber selbst werden keine Namen, E-Mail-Adressen, Konto- oder Zahlungsdaten übermittelt.

Meta-Pixel und Meta Conversions API

Auf exportlab.io setzen wir zur Erfolgsmessung unserer Werbeanzeigen auf Facebook und Instagram Technologien der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland ein.

Der Einsatz erfolgt nur mit Ihrer Einwilligung. Vor Ihrer Zustimmung im Consent-Banner (Kategorie „Marketing", Dienst „Meta Pixel") wird kein Meta-Skript geladen, es werden keine Cookies gesetzt und es findet keine Übermittlung an Meta statt.

Wir nutzen dabei zwei technische Wege, die dasselbe Ereignis beschreiben:

Meta-Pixel (Browser): Ein über den Google Tag Manager eingebundenes Skript, das Seitenaufrufe und Interaktionen auf exportlab.io erfasst. Dabei können Ihre IP-Adresse, Browser- und Geräteinformationen, die aufgerufenen Seiten, die verweisende Seite sowie die Werbekennung des Anzeigenklicks (fbclid) verarbeitet werden. Meta setzt hierbei die Cookies fbp und fbc.
Conversions API (serverseitig): Registrieren Sie sich nach einem Anzeigenklick für ein Nutzerkonto, übermitteln wir dieses Ereignis zusätzlich von unserem Server an Meta. Übermittelt werden dabei die Werbekennung des Klicks, IP-Adresse, Browserkennung sowie Ihre E-Mail-Adresse ausschließlich in unumkehrbar gehashter Form (SHA-256). Ihre E-Mail-Adresse im Klartext wird zu diesem Zweck nicht an Meta übermittelt.

Beide Wege verwenden dieselbe Ereigniskennung, damit Meta ein doppelt gemeldetes Ereignis erkennt und nur einmal zählt. Zweck der Verarbeitung ist die Messung des Erfolgs unserer Werbeanzeigen sowie die Optimierung ihrer Ausspielung.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO. Sie können diese jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Ihre Cookie-Einstellungen ändern. Widerrufen Sie Ihre Einwilligung, unterbleibt auch die serverseitige Übermittlung.

Hinsichtlich der Erhebung und Übermittlung dieser Daten sind wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO. Die wesentlichen Inhalte dieser Vereinbarung stellt Meta unter https://www.facebook.com/legal/controller_addendum bereit. Die weitere Verarbeitung durch Meta erfolgt in alleiniger Verantwortung von Meta.

Eine Übermittlung in die USA ist möglich; Meta stützt diese auf die Standardvertragsklauseln und das EU-US Data Privacy Framework.

Datenschutzerklärung von Meta: https://www.facebook.com/privacy/policy/

Ihre Werbeeinstellungen bei Meta: https://www.facebook.com/adpreferences/ad_settings

Google reCAPTCHA

Zum Schutz unserer Kontaktformulare vor automatisiertem Missbrauch setzen wir reCAPTCHA Enterprise der Google Ireland Limited, Gordon House, 4 Barrow St, Dublin, D04 E5W5, Irland ein.

reCAPTCHA analysiert im Hintergrund Ihr Nutzungsverhalten, um zwischen menschlichen Eingaben und automatisierten Anfragen zu unterscheiden. Dabei können Ihre IP-Adresse, Browser- und Geräteinformationen sowie Interaktionsdaten wie Maus- und Tastaturbewegungen an Google übermittelt werden.

Rechtsgrundlage auf exportlab.io ist Ihre Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO, die Sie jederzeit über Ihre Cookie-Einstellungen widerrufen können.

Weitere Informationen: https://policies.google.com/privacy

Für den Versand unseres Newsletters nutzen wir Brevo (Sendinblue GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland, bzw. Sendinblue SAS, Frankreich).

Melden Sie sich für unseren Newsletter an, wird Ihre E-Mail-Adresse an Brevo übermittelt und dort gespeichert. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Sie erhalten zunächst eine Bestätigungs-E-Mail und werden erst nach Ihrer Bestätigung in den Verteiler aufgenommen. Brevo verarbeitet dabei auch technische Daten wie Zeitpunkt der Anmeldung und IP-Adresse, um die Einwilligung nachweisen zu können.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 S. 1 lit. a DSGVO. Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail abbestellen; damit widerrufen Sie zugleich Ihre Einwilligung.

Datenschutzerklärung von Brevo: https://www.brevo.com/legal/privacypolicy/

15. Dienstleister und Empfänger

Wir verkaufen oder vermieten keine personenbezogenen Daten.

Wir können personenbezogene Daten mit vertrauenswürdigen Dienstleistern und Empfängern teilen, soweit dies erforderlich ist, um den Service bereitzustellen, zu sichern, zu betreiben, zu unterstützen oder zu verbessern, einschließlich:

AWS, einschließlich Diensten wie Hosting, Speicher, Datenbanken, Queues, Content Delivery, Betriebsinfrastruktur, AWS Cognito, AWS SES und AWS Rekognition, soweit aktiviert;
OpenAI, Anthropic und andere KI- oder Assistenzanbieter, soweit entsprechende KI-Funktionen oder Integrationen aktiviert sind;
Stripe oder andere Zahlungsanbieter für Billing und Zahlungsabwicklung;
Google und Apple für optionalen Sign-in;
Google Analytics, Google Tag Manager oder ähnliche Analytics-Anbieter, soweit aktiviert;
Meta Platforms Ireland Limited zur Messung des Erfolgs unserer Werbeanzeigen, soweit Sie eingewilligt haben;
Brevo (Sendinblue) für den Versand unseres Newsletters;
Slack, Microsoft Teams, Make, Zapier oder ähnliche Integrationsanbieter, soweit aktiviert;
E-Mail-Zustell-, Logging-, Monitoring-, Sicherheits-, Support-, Analytics-, Signatur- oder Infrastrukturanbieter;
Rechts-, Steuer-, Buchhaltungs-, Compliance- und professionelle Berater, soweit erforderlich;
Behörden, Gerichte, Aufsichtsstellen oder Strafverfolgungsbehörden, soweit gesetzlich erforderlich oder notwendig, um Rechte, Sicherheit und Integrität zu schützen.

16. Internationale Datenübermittlungen

Exportlab hat seinen Sitz in der Europäischen Union und bemüht sich, Daten soweit angemessen möglich primär innerhalb der EU oder des EWR zu speichern und zu verarbeiten.

Einige Anbieter oder Integrationen können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, einschließlich in den Vereinigten Staaten. Soweit internationale Übermittlungen erfolgen, verwenden wir rechtmäßige Transfermechanismen wie Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere gültige Garantien, soweit erforderlich.

17. Datenaufbewahrung

Wir bewahren personenbezogene Daten nur so lange auf, wie dies für die in dieser Erklärung beschriebenen Zwecke erforderlich ist, sofern keine längere Aufbewahrung gesetzlich erforderlich oder erlaubt ist.

Typische Aufbewahrungsfristen umfassen:

Konto- und Workspace-Daten: Aufbewahrung während der aktiven Kontodauer und für einen begrenzten Zeitraum nach Schließung, soweit für rechtliche, Billing-, Support-, Sicherheits- oder Streitfallzwecke erforderlich.
Hochgeladene Inhalte und Metadaten: Aufbewahrung bis zur Löschung durch den Kunden, Löschung über den Service oder Kontoschließung, vorbehaltlich Backup-Zyklen und rechtlicher Anforderungen.
Client-Portal-, Guest-Upload-, Asset-Collection-, Public-Profile-, Status-Page-, Review- und Group-Shoot-Daten: Aufbewahrung bis zur Löschung durch den Kunden, Ende des betreffenden Projekts oder Kontoschließung, vorbehaltlich rechtlicher Anforderungen.
Model-Release- und Signaturdaten: Aufbewahrung bis zur Löschung durch den Kunden oder Kontoschließung, sofern keine längere Aufbewahrung für rechtliche, vertragliche oder Verteidigungszwecke erforderlich ist.
Biometrische Daten: Aufbewahrung bis zur Löschung, Deaktivierung der Funktion, Löschung zugehöriger Inhalte oder Kontoschließung, sofern keine längere Aufbewahrung gesetzlich erforderlich oder erlaubt ist.
KI-Assistentensitzungen: typischerweise Aufbewahrung bis zu 30 Tage für Betriebszwecke, sofern nichts anderes angegeben ist.
WebSocket- und Echtzeitverbindungsdaten: typischerweise vorübergehende Aufbewahrung, etwa bis zu 24 Stunden, soweit für Betrieb, Sicherheit oder Fehlerbehebung erforderlich.
Audit Logs: typischerweise Aufbewahrung bis zu 365 Tage, sofern kein längerer Zeitraum aus Sicherheits-, Compliance- oder Rechtsgründen erforderlich ist.
Billing- und Rechnungsunterlagen: Aufbewahrung für gesetzlich vorgeschriebene Zeiträume, häufig 7 bis 10 Jahre je nach anwendbarem Recht.
E-Mail-Suppression-Listen und Missbrauchsaufzeichnungen: Aufbewahrung so lange, wie dies zur Aufrechterhaltung der Zustellbarkeit, Missbrauchsprävention, Erfüllung rechtlicher Pflichten oder zum Schutz des Service erforderlich ist.
Empfehlungs- und Akquisitionsdaten: Das Cookie exportlab_referral läuft spätestens nach 30 Tagen ab. Kontobezogene Referral- und Akquisitionsdaten werden für die Dauer des zugehörigen Kundenkontos aufbewahrt und anschließend nach den für Konto- und Billing-Daten geltenden Regeln gelöscht oder anonymisiert, sofern keine längere Aufbewahrung gesetzlich erforderlich oder zulässig ist. Nicht einem Websitebesucher zuordenbare Klickstatistiken können für historische Auswertungen länger aufbewahrt werden.

Gelöschte Daten können für einen begrenzten Zeitraum in Backups verbleiben, bis Backup-Rotation oder Löschung abgeschlossen ist.

18. Sicherheit

Exportlab setzt technische und organisatorische Maßnahmen ein, die darauf ausgelegt sind, personenbezogene Daten gegen unbefugten Zugriff, Verlust, Missbrauch, Veränderung und Offenlegung zu schützen.

Diese Maßnahmen können TLS/HTTPS-Verschlüsselung bei Übertragung, Verschlüsselung im Ruhezustand durch Infrastrukturanbieter, Zugriffskontrollen, rollenbasierte Berechtigungen, Tenant-Trennung, signierte URLs, Secret Management, Audit Logging, Monitoring, Vulnerability Management, Backups, Incident-Response-Verfahren und Need-to-know-Zugriff für befugtes Personal umfassen.

Kein System kann vollständig sicher garantiert werden. Nutzer sind verantwortlich dafür, ihre Konten zu sichern, starke Authentifizierung zu verwenden, Team-Berechtigungen zu verwalten, API-Keys zu schützen und Exportlab über vermutete Kompromittierungen zu informieren.

19. Ihre Rechte

Soweit Exportlab als Verantwortlicher handelt und die gesetzlichen Voraussetzungen erfüllt sind, können Sie folgende Rechte haben:

Auskunft über Ihre personenbezogenen Daten;
Berichtigung unrichtiger personenbezogener Daten;
Löschung personenbezogener Daten;
Einschränkung der Verarbeitung;
Datenübertragbarkeit;
Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen;
Widerruf einer Einwilligung mit Wirkung für die Zukunft;
Beschwerde bei einer Aufsichtsbehörde.

Sie können diese Rechte ausüben, indem Sie hey@exportlab.io kontaktieren.

Wir antworten ohne unangemessene Verzögerung und grundsätzlich innerhalb eines Monats nach Eingang Ihrer Anfrage. Diese Frist kann gesetzlich zulässig verlängert werden, je nach Komplexität und Anzahl der Anfragen.

Soweit Exportlab als Auftragsverarbeiter für einen Kunden handelt, richten Sie Ihre Anfrage bitte an den Kunden, der den betreffenden Workspace oder die betreffende Seite kontrolliert. Exportlab unterstützt den Kunden, soweit erforderlich.

20. E-Mail-Kommunikation und Suppression List

Exportlab versendet transaktionale E-Mails wie Konto-E-Mails, Login-E-Mails, Einladungen, Upload-Bestätigungen, Client-Portal-Benachrichtigungen, Status-Benachrichtigungen, Billing-Mitteilungen, Sicherheitswarnungen und Service-Kommunikation.

Um Zustellbarkeit zu erhalten und Missbrauch zu verhindern, kann Exportlab Suppression Lists für E-Mail-Adressen führen, die Hard Bounces, wiederholte Soft Bounces, Abmeldungen, soweit anwendbar, oder Spam-Beschwerden verursachen. Unterdrückte Adressen erhalten möglicherweise bestimmte E-Mails nicht mehr.

Sie können hey@exportlab.io kontaktieren, wenn Sie glauben, dass eine Adresse fälschlich unterdrückt wurde.

21. Automatisierte Entscheidungen

Exportlab verwendet keine automatisierten Entscheidungen, die rechtliche oder ähnlich erhebliche Wirkungen im Sinne von Artikel 22 DSGVO erzeugen.

Bestimmte Servicebeschränkungen können automatisch auf Grundlage objektiver Kriterien angewendet werden, etwa Planlimits, Speicherlimits, Token-Guthaben, fehlgeschlagener Zahlungsstatus, Teststatus, Missbrauchssignale oder Sicherheitsregeln. Sie können den Support kontaktieren, wenn Sie glauben, dass eine automatische Beschränkung fehlerhaft ist.

22. Kinder und Minderjährige

Exportlab-Konten sind nicht dafür bestimmt, von Minderjährigen erstellt oder administriert zu werden.

Minderjährige können in von Kunden hochgeladenen Inhalten oder Kunden-Workflows erscheinen, etwa Fotos, Videos, Guest Uploads, Group Shoots, Model Releases oder guardian-bezogenen Formularen. In diesen Fällen ist der Kunde dafür verantwortlich, alle erforderlichen Einwilligungen, Guardian-Freigaben, Hinweise und Rechtsgrundlagen einzuholen.

Wenn Sie glauben, dass personenbezogene Daten eines Minderjährigen rechtswidrig über Exportlab verarbeitet wurden, kontaktieren Sie den betreffenden Kunden oder uns unter hey@exportlab.io, damit wir, soweit angemessen, unterstützen können.

23. Datenübertragbarkeit und Löschanfragen

Kunden können Mediendateien herunterladen und bestimmte Daten über verfügbare Service-Funktionen exportieren. Zusätzliche Unterstützung kann unter hey@exportlab.io angefordert werden.

Einige Daten, wie Face Embeddings, Betriebslogs, Sicherheitsaufzeichnungen oder abgeleitete Systemdaten, sind möglicherweise nicht in einem allgemein nutzbaren Format portabel.

Löschanfragen werden nach anwendbarem Recht, Kundenweisungen, Backup-Zyklen, gesetzlichen Aufbewahrungspflichten, Billing-Aufbewahrungspflichten und Sicherheitsverpflichtungen bearbeitet.

24. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung aktualisieren, um Änderungen des Service, der Technologie, der Anbieter, rechtlicher Anforderungen oder Geschäftsabläufe widerzuspiegeln.

Wenn Änderungen wesentlich sind, werden wir angemessen informieren, etwa per E-Mail, In-App-Hinweis oder auffälligem Website-Hinweis, soweit erforderlich.

Das Datum "Stand" zeigt, wann diese Erklärung zuletzt überarbeitet wurde.

25. Kontakt und Beschwerden

Bei Fragen, Anliegen oder Anfragen zu dieser Datenschutzerklärung oder personenbezogenen Daten kontaktieren Sie: