Skip to content

Datenschutzerklärung

Datenschutzerklärung

xplicator GmbH · Version 3.0 · Stand: 1. Oktober 2026

Diese Datenschutzerklärung informiert Sie darüber, welche personenbezogenen Daten wir bei der Nutzung unserer Websites, Online-Shops und Online-Dienste verarbeiten. Sie gilt für alle Websites der xplicator GmbH, die auf diese Erklärung verweisen, insbesondere art4bricks.com, artforbricks.com, brickplicator.com, brickmosaicdesigner.com, craftplicator.com, knowscapes.com, 3d-scan.online und xplicator.com.

1. Verantwortlicher

xplicator GmbH, Eichholz 52, 20459 Hamburg, Deutschland
Geschäftsführung: Gerrit Kolb, Michaela Maiwald
E-Mail: contact@xplicator.com · Telefon: +49 40 36 84 34 54
Impressum: https://docs.xplicator.com/legal-impressum/

Einen Datenschutzbeauftragten haben wir nicht benannt, da hierzu keine gesetzliche Pflicht besteht. Datenschutzanfragen richten Sie bitte an contact@xplicator.com.

2. Überblick: Daten, Zwecke, Rechtsgrundlagen

Wir verarbeiten Bestandsdaten (z. B. Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Vertrags- und Zahlungsdaten, Inhaltsdaten (z. B. hochgeladene Bilder, 3D-Modelle, Texteingaben), Nutzungsdaten (z. B. besuchte Seiten, Zugriffszeiten) sowie Meta- und Kommunikationsdaten (z. B. IP-Adresse, Geräteinformationen).

Rechtsgrundlagen nach der Datenschutz-Grundverordnung (DSGVO):

  • Einwilligung: Art. 6 Abs. 1 lit. a DSGVO; für das Speichern und Auslesen von Informationen auf Ihrem Endgerät zusätzlich § 25 Abs. 1 TDDDG
  • Vertrag und vorvertragliche Maßnahmen: Art. 6 Abs. 1 lit. b DSGVO
  • Rechtliche Verpflichtung (z. B. steuer- und handelsrechtliche Aufbewahrung): Art. 6 Abs. 1 lit. c DSGVO
  • Berechtigte Interessen: Art. 6 Abs. 1 lit. f DSGVO
  • Technisch unbedingt erforderliche Zugriffe auf Ihr Endgerät: § 25 Abs. 2 Nr. 2 TDDDG

3. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Eine E-Mail an contact@xplicator.com genügt.

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage berechtigter Interessen, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 Abs. 1 DSGVO). Der Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Begründung widersprechen (Art. 21 Abs. 2 DSGVO).

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg.

4. Empfänger und Übermittlung in Drittländer

Wir geben Daten nur weiter, soweit dies für die Vertragserfüllung nötig ist (z. B. an Zahlungs- und Versanddienstleister), Sie eingewilligt haben, wir gesetzlich verpflichtet sind oder wir Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO einsetzen.

Eine Übermittlung in Länder außerhalb der EU und des EWR erfolgt nur, wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt oder geeignete Garantien bestehen (Art. 44 ff. DSGVO). Für die USA besteht seit dem 10. Juli 2023 ein Angemessenheitsbeschluss für Unternehmen, die nach dem EU-US Data Privacy Framework (DPF) zertifiziert sind. Bei nicht zertifizierten Empfängern verwenden wir die Standardvertragsklauseln der EU-Kommission.

5. Speicherdauer

Wir löschen Daten, sobald sie für ihren Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Handels- und steuerrelevante Unterlagen bewahren wir sechs bzw. acht Jahre auf (Buchungsbelege; § 257 HGB, § 147 AO); während dieser Zeit ist die Verarbeitung eingeschränkt.

6. Hosting und Server-Logfiles

Unsere Websites werden auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentren in Deutschland und Finnland) sowie auf eigenen Servern der xplicator GmbH in Hamburg betrieben; mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Der Online-Shop art4bricks.com läuft auf der Plattform von Shopify International Limited, Victoria Buildings, 1–2 Haddington Road, Dublin 4, D04 XN32, Irland, die Bestell-, Kunden- und Nutzungsdaten als Auftragsverarbeiter verarbeitet. Shopify kann Daten an die Shopify Inc. in Kanada (Angemessenheitsbeschluss) und an Unterauftragnehmer in den USA (DPF bzw. Standardvertragsklauseln) übermitteln. Datenschutzhinweise: https://www.shopify.com/legal/privacy

Beim Aufruf unserer Websites verarbeitet der Server automatisch: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite/Datei, übertragene Datenmenge, Statuscode, Referrer-URL, Browsertyp und -version sowie Betriebssystem. Zweck ist die Auslieferung und Sicherheit der Website (Art. 6 Abs. 1 lit. f DSGVO). Logfiles werden nach spätestens 7 Tagen gelöscht, außer sie werden zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt.

7. Content Delivery Network (Cloudflare)

Wir nutzen das CDN und den Sicherheitsdienst von Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Dabei werden insbesondere IP-Adressen und Abrufdaten verarbeitet, um Inhalte schneller auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist nach dem DPF zertifiziert; zusätzlich besteht ein Auftragsverarbeitungsvertrag. Datenschutzhinweise: https://www.cloudflare.com/privacypolicy/

8. Cookies und Einwilligungsverwaltung

Technisch notwendige Cookies (z. B. Warenkorb, Login-Status, Speicherung Ihrer Cookie-Auswahl) setzen wir ohne Einwilligung ein (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b bzw. f DSGVO).

Alle übrigen Cookies und vergleichbaren Technologien (Analyse, Marketing, externe Medien) setzen wir nur mit Ihrer Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Sie können Ihre Einwilligung über das Cookie-Banner bzw. den Link „Cookie-Einstellungen“ im Seitenfuß (im Shop art4bricks.com: Shopify Customer Privacy) jederzeit ändern oder widerrufen. Ihre Auswahl und ein Zeitstempel werden zum Nachweis gespeichert.

9. Bestellungen, Kundenkonto, Widerruf und Kündigung

Für die Abwicklung von Bestellungen verarbeiten wir Bestands-, Kontakt-, Vertrags- und Zahlungsdaten (Art. 6 Abs. 1 lit. b DSGVO) sowie die zur Erfüllung steuer- und handelsrechtlicher Pflichten nötigen Daten (Art. 6 Abs. 1 lit. c DSGVO). Pflichtangaben sind im Bestellprozess gekennzeichnet.

Sie können optional ein Kundenkonto anlegen. Dafür verarbeiten wir Name, E-Mail-Adresse, Passwort (verschlüsselt gespeichert) und Ihre Bestellungen. Zum Schutz vor Missbrauch speichern wir bei Registrierung und Anmeldung die IP-Adresse und den Zeitpunkt für 7 Tage (Art. 6 Abs. 1 lit. f DSGVO). Nach Löschung des Kontos löschen wir die Kontodaten, soweit keine Aufbewahrungspflichten bestehen.

Wenn Sie einen Widerruf oder eine Kündigung erklären (z. B. über die Schaltflächen „Withdraw from contract“ bzw. „Cancel contracts here“, per E-Mail oder über Ihr Kundenkonto), verarbeiten wir Ihren Namen, die Bestell- oder Vertragsnummer, Ihre E-Mail-Adresse, Zeitpunkt und Inhalt der Erklärung sowie optional Ihren Widerrufsgrund, um die Erklärung zu bearbeiten, Ihnen den Eingang zu bestätigen und dies zu dokumentieren (Art. 6 Abs. 1 lit. b und c DSGVO). Ein optional angegebener Widerrufsgrund wird auf Grundlage unseres berechtigten Interesses an der Verbesserung unseres Angebots verarbeitet (Art. 6 Abs. 1 lit. f DSGVO).

10. Hochgeladene Bilder und 3D-Daten (z. B. Custom-Mosaike)

Wenn Sie ein Bild oder 3D-Daten hochladen, um daraus ein Mosaik, Modell oder einen Bauplan erstellen zu lassen, verarbeiten wir die Datei, das daraus erzeugte Ergebnis und die zugehörigen Metadaten (z. B. Dateiname, Zeitpunkt, technische Bilddaten). Zweck ist die Erstellung der Vorschau, die Fertigung und Lieferung Ihrer Bestellung (Art. 6 Abs. 1 lit. b DSGVO).

Zeigt ein Bild andere Personen, laden Sie es bitte nur hoch, wenn diese einverstanden sind. Wir werten Bilder nicht zur Identifizierung von Personen aus und verwenden keine biometrischen Verfahren. Hochgeladene Dateien und Ergebnisse verwenden wir nicht zum Training von KI-Modellen und veröffentlichen sie nicht, es sei denn, Sie markieren sie ausdrücklich als öffentlich (Art. 6 Abs. 1 lit. a DSGVO).

Nicht bestellte Uploads löschen wir nach 30 Tagen, Uploads zu Bestellungen 90 Tage nach Auslieferung, soweit Sie sie nicht in Ihrem Konto gespeichert haben.

11. Zahlungsdienstleister

Zur Zahlungsabwicklung geben wir die erforderlichen Daten (z. B. Name, Betrag, Bestellnummer, ggf. E-Mail-Adresse) an den von Ihnen gewählten Zahlungsdienstleister weiter (Art. 6 Abs. 1 lit. b DSGVO). Die Zahlungsdaten (z. B. Kartennummer, Kontodaten) geben Sie dort ein; wir erhalten nur die Bestätigung oder Ablehnung der Zahlung. Die Dienstleister können eine Identitäts- und Bonitätsprüfung durchführen und sind dafür selbst verantwortlich.

  • PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, 2449 Luxemburg – https://www.paypal.com/de/legalhub/privacy-full
  • Kreditkartenzahlungen im Shop art4bricks.com wickelt Shopify (Shopify International Limited, Adresse s. Abschnitt 6) über Shopify Payments und die von Shopify ausgewählten Zahlungsdienstleister ab. Auf die Auswahl dieser Dienstleister haben wir keinen Einfluss; welche Shopify einsetzt, beschreibt Shopify unter https://www.shopify.com/legal/privacy
  • Zahlungen für Abonnements auf knowscapes.com: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln und ist nach dem DPF zertifiziert. Datenschutzhinweise: https://stripe.com/de/privacy

12. Versand

Zur Lieferung geben wir Ihren Namen und Ihre Lieferanschrift an das beauftragte Versandunternehmen weiter – je nach Sendung DHL Paket GmbH bzw. Deutsche Post AG, Charles-de-Gaulle-Str. 20, 53113 Bonn, oder United Parcel Service Deutschland S.à r.l. & Co. OHG, Görlitzer Str. 1, 41460 Neuss (Art. 6 Abs. 1 lit. b DSGVO). Bei Lieferungen in Länder außerhalb der EU (z. B. die USA) gelangen diese Daten notwendigerweise an die Zustell- und Zollbehörden des Ziellandes; Grundlage ist insoweit Art. 49 Abs. 1 lit. b DSGVO. Ihre E-Mail-Adresse oder Telefonnummer geben wir für Zustellbenachrichtigungen nur weiter, wenn Sie im Bestellprozess eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO); die Einwilligung können Sie jederzeit widerrufen.

13. Kontaktaufnahme

Wenn Sie uns per E-Mail, Telefon oder Kontaktformular kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b DSGVO bei Vertragsbezug, sonst lit. f). Wir löschen Anfragen, wenn sie erledigt sind und keine Aufbewahrungspflichten bestehen, und prüfen dies spätestens alle zwei Jahre.

14. Newsletter und Bestandskundenwerbung

Unseren Newsletter versenden wir nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG) im Double-Opt-in-Verfahren. Wir protokollieren Anmelde- und Bestätigungszeitpunkt sowie die IP-Adresse, um die Einwilligung nachweisen zu können (Art. 6 Abs. 1 lit. f DSGVO). Zur Erfolgsmessung erfassen wir, ob und wann ein Newsletter geöffnet und welche Links geklickt werden; dies ist Teil Ihrer Einwilligung. Versanddienst: unser eigener Mailserver, betrieben auf einem Server der Hetzner Online GmbH im Rechenzentrum Helsinki (Finnland).

Kunden, die bei einem Kauf ihre E-Mail-Adresse angegeben haben, können wir Werbung für eigene ähnliche Produkte senden, sofern sie nicht widersprochen haben (§ 7 Abs. 3 UWG, Art. 6 Abs. 1 lit. f DSGVO). Sie können dem jederzeit widersprechen, ohne dass andere als die Übermittlungskosten nach den Basistarifen entstehen. Abgemeldete E-Mail-Adressen speichern wir bis zu drei Jahre in einer Sperrliste, um die Einwilligung nachweisen und erneute Zusendungen verhindern zu können.

15. Webanalyse mit Google Analytics 4

Mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) nutzen wir Google Analytics 4 der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. GA4 setzt Cookies und erstellt pseudonyme Nutzungsstatistiken (z. B. besuchte Seiten, Verweildauer, Gerätetyp, ungefährer Standort). IP-Adressen werden von Google nicht gespeichert. Eine Übermittlung an die Google LLC in den USA ist möglich; Google ist nach dem DPF zertifiziert. Die Daten werden nach 14 Monaten gelöscht. Datenschutzhinweise: https://policies.google.com/privacy

16. Werbung und Conversion-Messung

Mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) setzen wir ein:

  • Google Ads Conversion-Tracking und Remarketing der Google Ireland Limited (Adresse s. o.), um den Erfolg unserer Anzeigen zu messen und Besuchern unserer Websites Anzeigen zu zeigen.
  • Meta-Pixel der Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland, um Anzeigen auf Facebook und Instagram auszuspielen und ihren Erfolg zu messen. Für die Erhebung und Übermittlung der Daten sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). https://www.facebook.com/privacy/policy

Beide Anbieter können Daten in die USA übermitteln und sind nach dem DPF zertifiziert.

17. Eingebundene Inhalte Dritter

Inhalte, bei denen Ihre IP-Adresse an Dritte übertragen wird, laden wir nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO):

  • YouTube-Videos (Google Ireland Limited) im erweiterten Datenschutzmodus
  • Google Maps (Google Ireland Limited)
  • Google reCAPTCHA zum Schutz von Formularen vor Missbrauch

Schriftarten von Google Fonts (Google Ireland Limited) werden von Servern von Google geladen, wobei Ihre IP-Adresse an Google übermittelt wird. Wir laden sie deshalb ebenfalls nur mit Ihrer Einwilligung; ohne Einwilligung werden Systemschriften angezeigt.

18. Auftritte in sozialen Netzwerken

Wir unterhalten Profile u. a. bei Facebook, Instagram, YouTube, LinkedIn und Pinterest, um mit Interessenten zu kommunizieren (Art. 6 Abs. 1 lit. f DSGVO). Die Plattformen verarbeiten Ihre Daten regelmäßig auch außerhalb der EU und für eigene Werbezwecke. Für die Statistiken unserer Facebook-Seite sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO; https://www.facebook.com/legal/terms/page_controller_addendum). Betroffenenrechte können Sie am wirksamsten direkt bei den Plattformen geltend machen.

19. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Privacy Policy – English Translation

xplicator GmbH · Version 3.0 · As of 1 October 2026

This English translation is provided for information only. In case of discrepancies, the German version above prevails.

This privacy policy informs you which personal data we process when you use our websites, online shops and online services. It applies to all websites of xplicator GmbH that refer to it, in particular art4bricks.com, artforbricks.com, brickplicator.com, brickmosaicdesigner.com, craftplicator.com, knowscapes.com, 3d-scan.online and xplicator.com.

1. Controller

xplicator GmbH, Eichholz 52, 20459 Hamburg, Germany
Managing Directors: Gerrit Kolb, Michaela Maiwald
Email: contact@xplicator.com · Phone: +49 40 36 84 34 54
Legal notice: https://docs.xplicator.com/legal-impressum/

We have not appointed a data protection officer, as there is no legal obligation to do so. Please send data protection enquiries to contact@xplicator.com.

2. Overview: data, purposes, legal bases

We process master data (e.g. name, address), contact data (email, phone), contract and payment data, content data (e.g. uploaded images, 3D models, text input), usage data (e.g. pages visited, access times) and meta and communication data (e.g. IP address, device information).

Legal bases under the General Data Protection Regulation (GDPR):

  • Consent: Art. 6(1)(a) GDPR; for storing and accessing information on your device additionally section 25(1) German Telecommunications Digital Services Data Protection Act (TDDDG)
  • Contract and pre-contractual measures: Art. 6(1)(b) GDPR
  • Legal obligation (e.g. retention under tax and commercial law): Art. 6(1)(c) GDPR
  • Legitimate interests: Art. 6(1)(f) GDPR
  • Strictly necessary access to your device: section 25(2) no. 2 TDDDG

3. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to withdraw consent with effect for the future (Art. 7(3)). An email to contact@xplicator.com is sufficient.

Right to object: Where we process data on the basis of legitimate interests, you may object at any time on grounds relating to your particular situation (Art. 21(1) GDPR). You may object to processing for direct marketing at any time without giving reasons (Art. 21(2) GDPR).

You may lodge a complaint with a data protection supervisory authority. The authority responsible for us is: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (Hamburg Commissioner for Data Protection and Freedom of Information), Ludwig-Erhard-Straße 22, 20459 Hamburg, Germany.

4. Recipients and transfers to third countries

We only disclose data where this is necessary to perform the contract (e.g. to payment and shipping providers), you have consented, we are legally obliged to do so, or we use service providers as processors under Art. 28 GDPR.

Data are transferred to countries outside the EU and EEA only if an adequacy decision of the European Commission exists or appropriate safeguards are in place (Art. 44 et seq. GDPR). For the USA, an adequacy decision has applied since 10 July 2023 to companies certified under the EU-US Data Privacy Framework (DPF). For non-certified recipients we use the European Commission’s Standard Contractual Clauses.

5. Storage period

We delete data as soon as they are no longer needed for their purpose and no statutory retention obligations apply. We retain documents relevant under commercial and tax law for six or eight years (accounting records; section 257 German Commercial Code, section 147 German Fiscal Code); processing is restricted during this period.

6. Hosting and server log files

Our websites are operated on servers of Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany (data centres in Germany and Finland) and on our own servers in Hamburg; a data processing agreement is in place with Hetzner. The online shop art4bricks.com runs on the platform of Shopify International Limited, Victoria Buildings, 1–2 Haddington Road, Dublin 4, D04 XN32, Ireland, which processes order, customer and usage data as our processor. Shopify may transfer data to Shopify Inc. in Canada (adequacy decision) and to sub-processors in the USA (DPF or Standard Contractual Clauses). Privacy information: https://www.shopify.com/legal/privacy

When you visit our websites, the server automatically processes: IP address, date and time, page/file requested, amount of data transferred, status code, referrer URL, browser type and version and operating system. The purpose is delivering and securing the website (Art. 6(1)(f) GDPR). Log files are deleted after 7 days at the latest unless needed to investigate a specific security incident.

7. Content delivery network (Cloudflare)

We use the CDN and security service of Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. In particular, IP addresses and request data are processed to deliver content faster and to fend off attacks (Art. 6(1)(f) GDPR). Cloudflare is certified under the DPF; a data processing agreement is also in place. Privacy information: https://www.cloudflare.com/privacypolicy/

8. Cookies and consent management

We use strictly necessary cookies (e.g. shopping cart, login status, storing your cookie choice) without consent (section 25(2) no. 2 TDDDG, Art. 6(1)(b) or (f) GDPR).

We use all other cookies and similar technologies (analytics, marketing, external media) only with your consent (section 25(1) TDDDG, Art. 6(1)(a) GDPR). You can change or withdraw your consent at any time via the cookie banner or the “Cookie settings” link in the footer (in the art4bricks.com shop: Shopify Customer Privacy). Your choice and a timestamp are stored as proof.

9. Orders, customer account, withdrawal and cancellation

To process orders, we process master, contact, contract and payment data (Art. 6(1)(b) GDPR) as well as the data necessary to comply with tax and commercial law obligations (Art. 6(1)(c) GDPR). Mandatory fields are marked during checkout.

You may optionally create a customer account. For this we process your name, email address, password (stored encrypted) and your orders. To prevent misuse, we store the IP address and time of registration and login for 7 days (Art. 6(1)(f) GDPR). When the account is deleted, we delete the account data unless retention obligations apply.

If you declare a withdrawal or cancellation (e.g. via the “Withdraw from contract” or “Cancel contracts here” buttons, by email or via your customer account), we process your name, order or contract number, email address, the time and content of the declaration and, optionally, your reason for withdrawal in order to handle the declaration, confirm its receipt and document it (Art. 6(1)(b) and (c) GDPR). An optional reason for withdrawal is processed on the basis of our legitimate interest in improving our offer (Art. 6(1)(f) GDPR).

10. Uploaded images and 3D data (e.g. custom mosaics)

If you upload an image or 3D data to have a mosaic, model or building plan created from it, we process the file, the resulting output and associated metadata (e.g. file name, time, technical image data). The purpose is creating the preview and producing and delivering your order (Art. 6(1)(b) GDPR).

If an image shows other people, please only upload it if they agree. We do not analyse images to identify people and do not use biometric methods. We do not use uploaded files or outputs to train AI models and do not publish them unless you expressly mark them as public (Art. 6(1)(a) GDPR).

We delete uploads without an order after 30 days and uploads relating to orders 90 days after delivery, unless you have saved them in your account.

11. Payment service providers

To process payments, we pass the necessary data (e.g. name, amount, order number, email address if applicable) to the payment service provider you choose (Art. 6(1)(b) GDPR). You enter your payment data (e.g. card number, account details) with the provider; we only receive confirmation or rejection of the payment. The providers may carry out identity and credit checks for which they are themselves responsible.

  • PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, 2449 Luxembourg – https://www.paypal.com/de/legalhub/privacy-full
  • Credit card payments in the art4bricks.com shop are processed by Shopify (Shopify International Limited, address see section 6) via Shopify Payments and the payment service providers selected by Shopify. We have no influence on the selection of these providers; Shopify describes which providers it uses at https://www.shopify.com/legal/privacy
  • Payments for subscriptions on knowscapes.com: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Ireland. Stripe may transfer data to Stripe, Inc. in the USA and is certified under the DPF. Privacy information: https://stripe.com/privacy

12. Shipping

For delivery, we pass your name and delivery address to the shipping company used – depending on the shipment DHL Paket GmbH or Deutsche Post AG, Charles-de-Gaulle-Str. 20, 53113 Bonn, Germany, or United Parcel Service Deutschland S.à r.l. & Co. OHG, Görlitzer Str. 1, 41460 Neuss, Germany (Art. 6(1)(b) GDPR). For deliveries to countries outside the EU (e.g. the USA), these data necessarily reach the delivery and customs authorities of the destination country; the legal basis for this is Art. 49(1)(b) GDPR. We only pass on your email address or phone number for delivery notifications if you have consented during checkout (Art. 6(1)(a) GDPR); you can withdraw this consent at any time.

13. Contacting us

If you contact us by email, phone or contact form, we process your details to handle your enquiry (Art. 6(1)(b) GDPR where related to a contract, otherwise (f)). We delete enquiries once they have been dealt with and no retention obligations apply, and review this at least every two years.

14. Newsletter and advertising to existing customers

We only send our newsletter with your consent (Art. 6(1)(a) GDPR, section 7(2) no. 2 German Unfair Competition Act, UWG) using the double opt-in procedure. We log the time of registration and confirmation and the IP address to be able to prove consent (Art. 6(1)(f) GDPR). To measure success, we record whether and when a newsletter is opened and which links are clicked; this is part of your consent. Sending service: our own mail server, operated on a server of Hetzner Online GmbH in its Helsinki data centre (Finland).

If customers provided their email address when making a purchase, we may send them advertising for our own similar products unless they have objected (section 7(3) UWG, Art. 6(1)(f) GDPR). You can object at any time without incurring costs other than transmission costs at basic rates. We keep unsubscribed email addresses on a block list for up to three years in order to prove previous consent and prevent further mailings.

15. Web analytics with Google Analytics 4

With your consent (section 25(1) TDDDG, Art. 6(1)(a) GDPR) we use Google Analytics 4 of Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland. GA4 sets cookies and creates pseudonymous usage statistics (e.g. pages visited, time spent, device type, approximate location). Google does not store IP addresses. Data may be transferred to Google LLC in the USA; Google is certified under the DPF. The data are deleted after 14 months. Privacy information: https://policies.google.com/privacy

16. Advertising and conversion measurement

With your consent (section 25(1) TDDDG, Art. 6(1)(a) GDPR) we use:

  • Google Ads conversion tracking and remarketing of Google Ireland Limited (address above) to measure the success of our ads and show ads to visitors of our websites.
  • Meta Pixel of Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Ireland, to serve ads on Facebook and Instagram and measure their success. We are joint controllers with Meta for collecting and transmitting the data (Art. 26 GDPR). https://www.facebook.com/privacy/policy

Both providers may transfer data to the USA and are certified under the DPF.

17. Embedded third-party content

We only load content that transmits your IP address to third parties with your consent (section 25(1) TDDDG, Art. 6(1)(a) GDPR):

  • YouTube videos (Google Ireland Limited) in privacy-enhanced mode
  • Google Maps (Google Ireland Limited)
  • Google reCAPTCHA to protect forms against misuse

Fonts from Google Fonts (Google Ireland Limited) are loaded from Google servers, which transmits your IP address to Google. We therefore also load them only with your consent; without consent, system fonts are displayed.

18. Social media presences

We maintain profiles on Facebook, Instagram, YouTube, LinkedIn and Pinterest, among others, to communicate with interested parties (Art. 6(1)(f) GDPR). The platforms regularly process your data outside the EU as well and for their own advertising purposes. We are joint controllers with Meta for the statistics of our Facebook page (Art. 26 GDPR; https://www.facebook.com/legal/terms/page_controller_addendum). You can most effectively assert your data subject rights directly with the platforms.

19. Changes

We update this privacy policy when our data processing or the legal situation changes. The version published here applies.