Rechtliches

Datenschutzerklärung

Stand: August 2026 · gemäß DSGVO und BDSG

Labely ist ein Dienst der ZOYOS GmbH, mit dem Hersteller bestehende Produktetiketten kontrolliert ändern. Diese Erklärung informiert Sie darüber, welche personenbezogenen Daten wir dabei erheben, wie wir sie verwenden und welche Rechte Sie haben.

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der EU-Datenschutzgrundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) sowie weiteren anwendbaren Datenschutzvorschriften. Für die Website zoyos.de gilt die dort hinterlegte, eigene Datenschutzerklärung.

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO für die Verarbeitung personenbezogener Daten auf labely.eu ist:

Unternehmen: ZOYOS GmbH
Vertreten durch: Florian Leonhart (Geschäftsführer)
Anschrift: Fischers Allee 72, 22763 Hamburg
E-Mail: info@zoyos.de
Telefon: 0172 5370 452

2. Zwei Rollen: eigene Daten und Daten im Auftrag

Für Ihre Konto- und Vertragsdaten sowie für den Aufruf der Website sind wir Verantwortlicher im Sinne der DSGVO.

Die Inhalte, die Sie in Labely hochladen und bearbeiten — Etiketten, Produktdaten, Vorlagen, Prüfberichte —, verarbeiten wir dagegen in Ihrem Auftrag. Verantwortlich dafür bleiben Sie. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, den wir mit jedem Kunden schließen; Kunden können ihn nach der Anmeldung unter labely.eu/avv einsehen und sichern. Etikettendaten enthalten in aller Regel keine personenbezogenen Daten; soweit sie es doch tun (etwa ein Ansprechpartner im Kleingedruckten), verarbeiten wir sie ausschließlich weisungsgebunden und nutzen sie zu keinem eigenen Zweck.

3. Erhobene Daten und Zwecke

Datenart	Zweck	Rechtsgrundlage
Kontodaten (E-Mail-Adresse, Passwort als Hash, Zugehörigkeit zum Mandanten, Rolle)	Anmeldung, Zuordnung zum richtigen Datenbestand, Rechteverwaltung	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Nutzungsdaten im Dienst (Aufträge, Änderungsverlauf, Freigabeentscheidungen mit Zeitstempel und Benutzer)	Erbringung der Leistung und Nachvollziehbarkeit, wer welche Fassung freigegeben hat	Art. 6 Abs. 1 lit. b DSGVO; im Auftrag nach Art. 28 DSGVO
Hochgeladene Dateien und Produktangaben	Übernahme bestehender Etiketten, Vorschau, Prüfbericht, Druckdatei	Verarbeitung im Auftrag (Art. 28 DSGVO)
Server-Logfiles (IP-Adresse, Zeitstempel, Browser, Seite)	Technischer Betrieb und Sicherheit des Dienstes	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
E-Mail-Anfragen (Name, E-Mail, Nachrichteninhalt)	Beantwortung von Anfragen, Anbahnung von Vertragsbeziehungen	Art. 6 Abs. 1 lit. b und lit. f DSGVO
Vertragsdaten (Firma, Anschrift, Rechnungsangaben)	Vertragserfüllung, Rechnungsstellung, gesetzliche Aufbewahrungspflichten	Art. 6 Abs. 1 lit. b und lit. c DSGVO

4. Nutzerkonto und Anmeldung

Labely ist nur mit Konto nutzbar. Die Anmeldung läuft über Supabase (siehe Abschnitt 6); gespeichert werden Ihre E-Mail-Adresse, ein Passwort-Hash (das Klartextpasswort kennen wir nicht) und Ihre Mitgliedschaft im jeweiligen Mandanten.

Nach der Anmeldung setzen wir zwei technisch notwendige Cookies (labely_at und labely_rt). Sie enthalten Ihr Sitzungs- und Erneuerungs-Token, sind httpOnly (für Skripte im Browser nicht lesbar) und dienen ausschließlich dazu, Sie während der Sitzung angemeldet zu halten. Ohne sie funktioniert der Dienst nicht; eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

5. Cookies, Analyse und Einwilligung

Labely setzt ausschließlich technisch notwendige Cookies und Speichereinträge ein (siehe Abschnitt 4). Wir verwenden keine Marketing- oder Werbe-Cookies, führen keine Reichweitenmessung durch und setzen keine Dienste wie Google Analytics oder Facebook Pixel ein. Ein Cookie-Banner gibt es deshalb nicht.

Die verwendeten Schriftarten werden lokal ausgeliefert. Beim Aufruf der Seiten entsteht keine Verbindung zu Servern Dritter (z. B. Google Fonts).

6. Hosting, Speicherung und Server-Logs

Labely besteht aus drei technischen Bausteinen. Mit allen eingesetzten Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Webanwendung (labely.eu): Vercel Inc., 340 Pine Street, Suite 500, San Francisco, CA 94104, USA. Beim Aufruf werden Server-Logfiles verarbeitet (IP-Adresse, Datum und Uhrzeit, aufgerufene Datei, Datenmenge, Zugriffsstatus, Betriebssystem und Browser, Referrer-URL). Grundlage der Übermittlung in die USA ist das EU-U.S. Data Privacy Framework, ergänzt um Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
Datenbank und Dateispeicher: Supabase Inc., USA. Die Daten selbst liegen in der EU-Region Frankfurt am Main (Deutschland): Konten, Produktdaten, Vorlagen, hochgeladene Dateien und Ergebnisse. Supabase versendet außerdem die Anmelde- und Passwort-Zurücksetzen-Mails. Soweit für Betrieb und Support ein Zugriff aus einem Drittland erfolgt, geschieht dies auf Grundlage von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.
Render-Dienst (engine.labely.eu): Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Standort Falkenstein bzw. Nürnberg. Dieser Dienst erzeugt aus Ihrem Auftrag Vorschau, Prüfbericht und Druckdatei. Er speichert die Auftragsdaten nicht; erhalten bleibt nur ein Zugriffsprotokoll (Zeitpunkt, Adresse, Ergebnis) zur Nachvollziehbarkeit und Fehlersuche.

7. Einsatz künstlicher Intelligenz

Labely nutzt an einzelnen Stellen KI-Unterstützung — etwa beim Übernehmen eines bestehenden Etiketts, beim Einordnen von Inhalten, beim Lesen eines Sicherheitsdatenblatts, bei Gestaltungsvorschlägen, bei Erklärungen zu Prüfhinweisen und in der Bedienhilfe. Diese Stellen sind in der Oberfläche mit „KI“ gekennzeichnet. Die Ergebnisse sind Vorschläge; entschieden und freigegeben wird von Ihnen. Wir weisen darauf ausdrücklich hin (Art. 50 der KI-Verordnung, EU 2024/1689).

Dafür werden die jeweils benötigten Inhalte an Anthropic PBC (548 Market Street, PMB 90375, San Francisco, CA 94104, USA) übermittelt und dort verarbeitet. Es besteht ein Vertrag zur Auftragsverarbeitung mit Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Die über die Programmierschnittstelle übermittelten Inhalte werden nicht zum Training von KI-Modellen verwendet.

Das Wissen, das Labely für diese Funktionen zu Ihrem Mandanten heranzieht („Gedächtnis“), ist in der Oberfläche einsehbar; Administratoren können Einträge dort bearbeiten und löschen.

8. Kontaktaufnahme

Wenn Sie uns per E-Mail kontaktieren, werden Ihre übermittelten Daten (Name, E-Mail-Adresse, Inhalt Ihrer Nachricht) zum Zweck der Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter. Die Verarbeitung basiert auf Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

9. Weitergabe an Dritte

Wir geben personenbezogene Daten grundsätzlich nicht an Dritte weiter. Ausnahmen gelten in folgenden Fällen:

Auftragsverarbeiter: die in Abschnitt 6 und 7 genannten Dienstleister, die in unserem Auftrag handeln und durch Verträge nach Art. 28 DSGVO gebunden sind.
Gesetzliche Verpflichtung: soweit wir gesetzlich oder durch behördliche Anordnung dazu verpflichtet sind.
Vertragserfüllung: soweit für die Erbringung von Leistungen erforderlich (z. B. Buchhaltungssoftware Lexoffice für die Rechnungsstellung).

Eine Weitergabe an Dritte zu Werbezwecken findet nicht statt.

10. Speicherdauer

Konto- und Nutzungsdaten: für die Dauer des Vertragsverhältnisses. Nach dessen Ende löschen wir den Datenbestand des Mandanten innerhalb von 90 Tagen, sofern Sie nicht vorher eine Herausgabe oder frühere Löschung verlangen.
Kontaktanfragen: bis zur vollständigen Bearbeitung und anschließend bis zu 3 Jahren (Verjährungsfrist).
Vertragsdaten / Rechnungsunterlagen: 10 Jahre gemäß § 147 AO / § 257 HGB.
Server-Logfiles: 7 Tage, danach anonymisiert.

11. Ihre Rechte

Als betroffene Person haben Sie gemäß DSGVO folgende Rechte gegenüber uns:

Auskunft (Art. 15) — über die von uns gespeicherten Daten, deren Herkunft und Empfänger.
Berichtigung (Art. 16) — unrichtiger oder unvollständiger Daten.
Löschung (Art. 17) — soweit keine Aufbewahrungspflichten entgegenstehen.
Einschränkung (Art. 18) — der Verarbeitung unter bestimmten Voraussetzungen.
Datenübertragbarkeit (Art. 20) — Erhalt Ihrer Daten in einem gängigen, maschinenlesbaren Format.
Widerspruch (Art. 21) — gegen die Verarbeitung auf Basis berechtigter Interessen.

Beschwerde bei der Aufsichtsbehörde. Sie haben das Recht, sich bei der zuständigen Datenschutzaufsichtsbehörde zu beschweren. Für Hamburg ist dies der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Str. 22, 20459 Hamburg, www.datenschutz.hamburg.de.

Kontakt für Datenschutzanfragen. Zur Ausübung Ihrer Rechte wenden Sie sich bitte an info@zoyos.de. Wir bearbeiten Ihr Anliegen innerhalb von 30 Tagen ab Eingang. Eine Verlängerung um bis zu weitere 60 Tage ist in begründeten Fällen möglich (wir informieren Sie darüber).

Widerruf einer Einwilligung. Soweit die Verarbeitung Ihrer Daten auf einer Einwilligung basiert (Art. 6 Abs. 1 lit. a DSGVO), können Sie diese jederzeit ohne Angabe von Gründen widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

12. Datensicherheit

Die Verbindung zu labely.eu und zum Render-Dienst ist durchgängig mit SSL/TLS verschlüsselt. Der Zugriff auf Daten ist nach Mandanten getrennt: Jede Abfrage trägt die Kennung des Mandanten, zu dem der angemeldete Benutzer gehört; ein Zugriff ohne Mandantenbezug ist technisch nicht vorgesehen.

Wir treffen technische und organisatorische Maßnahmen, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen.

13. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen zu entsprechen oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung. Das Datum der letzten Aktualisierung steht am Anfang dieser Seite.