Datenschutz

Datenschutzerklärung

Cookie-Richtlinie

Diese Informationen beschreiben die Verarbeitung personenbezogener Daten im Zusammenhang mit der KI-gestützten Produktsuche auf unserer Website.

Besucherinnen und Besucher können in eigenen Worten angeben, wonach sie suchen. Auf einer separaten Ergebnisseite werden hierzu passende Produkte aus unserem Sortiment angezeigt. Zusätzlich kann eine kurze, automatisch erzeugte Begründung angezeigt werden, weshalb ein Produkt zur jeweiligen Suchanfrage passt.

Welcher Dienstleister wird eingesetzt?

Anbieter: OpenAI
Eingesetzter Dienst: OpenAI API
Eingesetztes Modell: gpt-5-mini
API-Endpunkt: https://eu.api.openai.com/v1
Verarbeitung: serverseitig über unsere Systeme
Verarbeitungsort: international / global

Die KI-Suche wird über die OpenAI API bereitgestellt. Der Browser der Besucherin bzw. des Besuchers kommuniziert dabei nicht direkt mit OpenAI. Die Anfrage wird ausschließlich von unserem Server an die OpenAI API übermittelt.

Die Verarbeitung durch OpenAI sowie durch von OpenAI eingesetzte verbundene Unternehmen und Unterauftragsverarbeiter kann – abhängig von der jeweiligen technischen Infrastruktur und den für den Dienst geltenden Bedingungen – innerhalb und außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums erfolgen.

OpenAI veröffentlicht eine aktuelle Liste der für seine Dienste eingesetzten Unterauftragsverarbeiter und deren Verarbeitungsorte. Diese Liste kann sich ändern.

Welche Daten werden an OpenAI übermittelt?

Für die Durchführung der KI-gestützten Produktsuche werden folgende Informationen an OpenAI übermittelt:

der von der Besucherin bzw. dem Besucher eingegebene Suchtext (maximal 300 Zeichen),
die Sprache der Website,
Daten aus unserem Produktkatalog, insbesondere Kategorien, Produktnamen, Preise, Farben, Materialien und Kurzbeschreibungen.

Der Suchtext wird nur in dem Umfang an OpenAI übermittelt, der für die Durchführung der Produktsuche erforderlich ist.

Welche Daten werden nicht als Bestandteil der Suchanfrage an OpenAI übermittelt?

Nicht Bestandteil der an OpenAI übermittelten Suchanfrage sind insbesondere:

IP-Adresse der Besucherin bzw. des Besuchers,
Name und E-Mail-Adresse,
Kundenkonto- oder Bestelldaten,
Warenkorbinformationen,
Sitzungskennung,
Cookies,
sonstige unmittelbar identifizierende Kontodaten.

Da die Anfrage ausschließlich serverseitig erfolgt, wird die IP-Adresse des Browsers der Besucherin bzw. des Besuchers nicht als Bestandteil der API-Anfrage an OpenAI übermittelt.

Unabhängig davon können bei der technischen Bereitstellung eines externen API-Dienstes technische Verbindungs- und Systemdaten verarbeitet werden. Maßgeblich hierfür sind die jeweils geltenden Datenschutz- und Vertragsbedingungen des Dienstleisters.

Verwendung der API-Daten durch OpenAI

Nach den aktuellen Bedingungen für die OpenAI API werden API-Eingaben und -Ausgaben grundsätzlich nicht zum Training oder zur Verbesserung der OpenAI-Modelle verwendet, sofern der Kunde nicht ausdrücklich eine entsprechende Freigabe erteilt hat.

Dies gilt vorbehaltlich der jeweils für die verwendete API und das konkrete Konto bzw. Projekt geltenden OpenAI-Einstellungen und Vertragsbedingungen.

Internationale Datenübermittlung

Da für die KI-Produktsuche keine ausschließliche Verarbeitung innerhalb der Europäischen Union vorausgesetzt wird, kann es im Rahmen der Nutzung des OpenAI-Dienstes zu Übermittlungen personenbezogener Daten in Staaten außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums kommen.

Für EWR-Daten sieht das aktuelle OpenAI Data Processing Addendum Regelungen für internationale Datenübermittlungen vor. Soweit OpenAI Daten aus dem EWR an andere OpenAI-Unternehmen oder Dritte außerhalb des EWR übermittelt, erfolgt dies nach den aktuellen Vertragsbedingungen insbesondere auf Grundlage von Standardvertragsklauseln (SCCs) oder – soweit anwendbar – auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission gemäß Art. 45 DSGVO.

Soweit eine Übermittlung auf Standardvertragsklauseln gestützt wird, erfolgt sie auf Grundlage von Art. 46 Abs. 2 lit. c DSGVO.

Die jeweils geltenden Garantien für internationale Datenübermittlungen richten sich nach der konkreten OpenAI-Vertrags- und Dienstkonfiguration.

Die aktuelle Liste der von OpenAI eingesetzten Unterauftragsverarbeiter und deren Verarbeitungsorte wird von OpenAI veröffentlicht.

Auftragsverarbeitung

Soweit OpenAI personenbezogene Daten in unserem Auftrag verarbeitet, erfolgt die Verarbeitung auf Grundlage der zwischen uns und OpenAI geltenden datenschutzrechtlichen Vereinbarungen, insbesondere des Data Processing Addendum (DPA).

Für Kunden im Europäischen Wirtschaftsraum sieht das aktuelle OpenAI-DPA unter anderem Regelungen zur Verarbeitung von EWR-Daten und zu internationalen Datenübermittlungen vor.

Welche Daten speichern wir selbst?

Für jede durchgeführte Suche wird in unserem Backend ein Datensatz angelegt.

Dieser enthält insbesondere:

den eingegebenen Suchtext,
die verwendete Sprache,
den Besuchertyp (Gast, Kunde, Händler oder Administrator; jeweils nur als Kategorie),
bei Administratoren zusätzlich gegebenenfalls das Benutzerkonto, beispielsweise für interne Tests,
technische Angaben wie Verarbeitungsdauer, Kosten, verwendetes Modell, Status und gegebenenfalls Ablehnungsgrund,
die angezeigten Produkte sowie die vom Modell erzeugten Produktbegründungen,
die an das Modell übermittelten Rohdaten, soweit es sich um Produktdaten ohne Personenbezug handelt.

Bei normalen Kundinnen und Kunden werden weder Name noch E-Mail-Adresse noch das Kundenkonto im Suchdatensatz gespeichert.

Schutz vor Missbrauch

Zur Begrenzung von Missbrauch wird zusätzlich ein HMAC-basierter Prüfwert der IP-Adresse verwendet.

Die ursprüngliche IP-Adresse wird nicht gespeichert.

Der Prüfwert dient ausschließlich dazu, die Anzahl der Suchanfragen innerhalb eines Tages zu begrenzen und missbräuchliche Mehrfachanfragen zu erkennen.

Der Prüfwert wird nach Ablauf der dafür vorgesehenen Speicherfrist automatisch gelöscht.

Verknüpfung mit Bestellungen

Wenn aus einer Suche später eine Bestellung hervorgeht, wird auf der Bestellung lediglich vermerkt, welche Suche der Bestellung vorausgegangen ist.

Zusätzlich werden die Sprache, der Besuchertyp und der Zeitpunkt der Suche hinterlegt.

Der ursprüngliche Suchtext wird nicht auf der Bestellung gespeichert.

Statistische Auswertung

Für statistische Zwecke werden ausschließlich aggregierte Tageswerte geführt.

Dazu gehören insbesondere:

Anzahl der Suchvorgänge,
angefallene Kosten,
verwendete Sprachen,
Ablehnungsgründe.

Die statistischen Tageswerte enthalten keine unmittelbar personenbezogenen Daten.

Die Erfolgsmessung erfolgt vollständig serverseitig. Für diesen Zweck werden keine zusätzlichen Analyse- oder Tracking-Cookies auf dem Endgerät eingesetzt.

Speicherfristen

Für die einzelnen Datenkategorien gelten folgende Speicherfristen:

Daten / Verarbeitung / Speicherfrist
Ergebnisseite einschließlich Text und Produkte 7 Tage
Rohdaten des Modelldurchlaufs 14 Tage
Suchdatensatz einschließlich Suchtext 90 Tage, danach automatische Löschung
HMAC-Prüfwert der IP-Adresse 24 Stunden
Schutz vor Doppelabsenden 60 Sekunden
Vermerk auf der Bestellung ohne Suchtext für die Dauer der Aufbewahrung der Bestellung
Statistische Tageswerte ohne Personenbezug unbefristet

Die Löschung der zeitlich begrenzten Daten erfolgt automatisch über einen täglichen Hintergrundprozess.

Speicherung bei OpenAI

Zusätzlich zu unseren eigenen Speicherfristen gelten die Speicher- und Löschregelungen von OpenAI für die OpenAI API.

Nach den aktuellen Angaben von OpenAI werden API-Eingaben und -Ausgaben standardmäßig bis zu 30 Tage für Zwecke der Missbrauchsüberwachung bzw. Sicherheitskontrolle gespeichert, sofern keine abweichende, für das konkrete Konto bzw. den konkreten Dienst geltende Konfiguration vereinbart oder aktiviert wurde.

OpenAI weist darauf hin, dass für bestimmte berechtigte API-Kunden und Anwendungsfälle weitergehende Konfigurationen, insbesondere Zero Data Retention (ZDR), verfügbar sein können.

Für unsere konkrete Nutzung gelten die für unser OpenAI-Konto bzw. Projekt tatsächlich aktivierten Einstellungen und die mit OpenAI vereinbarten Vertragsbedingungen.

Cookies

Durch die KI-Produktsuche wird kein zusätzliches eigenes Cookie eingeführt.

Verwendet wird ausschließlich das bereits eingesetzte WooCommerce-Warenkorb-Cookie:

Cookie: wp_woocommerce_session_*
Inhalt: zufällig erzeugte Sitzungskennung
Laufzeit: 2 Tage bei Gästen, 7 Tage bei eingeloggten Kunden

Im Zusammenhang mit der KI-Suche wird dieses Cookie lediglich zu einem früheren Zeitpunkt gesetzt: bereits beim Aufruf der Ergebnisseite und nicht erst beim ersten Hinzufügen eines Artikels zum Warenkorb.

Auf dem Endgerät verbleibt weiterhin ausschließlich die zufällig erzeugte Sitzungskennung.

Serverseitig wird zusätzlich gespeichert, welche Suche zuletzt angezeigt wurde.

Einwilligung

Vor dem Absenden der Suchanfrage muss aktiv eine Checkbox bestätigt werden.

Ohne bestätigte Einwilligung weist der Server die Anfrage zurück und übermittelt den eingegebenen Suchtext nicht an OpenAI.

Die Einwilligung bezieht sich insbesondere auf die Übermittlung des von der Besucherin bzw. dem Besucher eingegebenen Suchtexts an den externen KI-Dienstleister zur automatisierten Verarbeitung und Ermittlung passender Produkte.

Der zugehörige Hinweistext kann für jede Sprachversion der Website separat gepflegt werden.

Darüber hinaus wird die Nutzung künstlicher Intelligenz sowohl direkt am Eingabefeld als auch oberhalb der Überschrift auf der Ergebnisseite kenntlich gemacht.

Automatisierte Produktempfehlungen

Die KI-Produktsuche analysiert den eingegebenen Suchtext und ermittelt daraus passende Produkte aus unserem Produktkatalog.

Die Produktempfehlungen und die hierzu angezeigten Begründungen werden automatisiert durch ein KI-Modell erzeugt.

Die Ergebnisse stellen keine individuelle Beratung dar und begründen keine Garantie dafür, dass ein vorgeschlagenes Produkt für die individuellen Bedürfnisse der jeweiligen Besucherin bzw. des jeweiligen Besuchers geeignet ist.

Ergebnisseite

Die Ergebnisseite weist folgende Eigenschaften auf:

Sie ist ausschließlich über eine zufällig erzeugte und nicht erratbare Adresse erreichbar (256 Bit).
Die vollständige Adresse wird nicht in der Datenbank gespeichert. Dort wird lediglich ein Prüfwert hinterlegt.
Die Seite wird von Suchmaschinen ausgeschlossen und nicht zwischengespeichert.
Beim Wechsel zu einem Produkt wird die Adresse der Ergebnisseite nicht als Referrer übermittelt (Referrer-Policy: no-referrer).
Die Ergebnisseite kann geteilt werden. Wer über den entsprechenden Link verfügt, kann die Seite aufrufen.

Da die Ergebnisseite über den individuellen Link aufgerufen werden kann, sollte der Suchtext keine vertraulichen oder besonders schützenswerten Informationen enthalten.

Rechte betroffener Personen

Bei normalen Kundinnen und Kunden enthält der Suchdatensatz grundsätzlich keine Information, mit der er unmittelbar einer bestimmten Person zugeordnet werden kann.

Eine Zuordnung kann jedoch möglich sein, wenn aus einer Suche anschließend eine Bestellung entstanden ist, da die Bestellung einen Verweis auf die betreffende Suche enthält.

In diesem Fall kann der entsprechende Datensatz über die Bestellung ermittelt und – soweit die gesetzlichen Voraussetzungen vorliegen und der Datensatz noch gespeichert ist – gelöscht werden.

Betroffene Personen haben im Übrigen die gesetzlichen Rechte nach der DSGVO, insbesondere das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und – soweit die jeweiligen Voraussetzungen vorliegen – das Recht auf Datenübertragbarkeit und Widerspruch.

Soweit eine Verarbeitung auf einer Einwilligung beruht, kann die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

Rechtsgrundlagen

Nach derzeitiger Einschätzung kommen für die verschiedenen Verarbeitungsvorgänge insbesondere folgende Rechtsgrundlagen in Betracht:

Übermittlung des eingegebenen Suchtexts an OpenAI:
Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO über die ausdrücklich zu bestätigende Checkbox.

Speicherung des Suchdatensatzes:
Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO, insbesondere zur Nachvollziehbarkeit, Kostenkontrolle, Fehleranalyse, Qualitätssicherung und Erkennung bzw. Verhinderung von Missbrauch. Die Speicherung wird auf maximal 90 Tage begrenzt.

Speicherung des HMAC-Prüfwerts der IP-Adresse:
Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO am Schutz des Angebots vor missbräuchlicher Nutzung.

Vermerk auf der Bestellung:
Berechtigtes Interesse bzw. die jeweils für die Bestell- und Dokumentationsprozesse geltende Rechtsgrundlage, insbesondere zur Nachvollziehbarkeit und Auswertung der Nutzung des eigenen Angebots.

Statistische Auswertung:
Berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO an der Messung und Verbesserung der Reichweite, Nutzung und Wirksamkeit des eigenen Angebots, soweit ausschließlich aggregierte bzw. nicht unmittelbar personenbezogene Daten verarbeitet werden.

Drittlandübermittlung

Die für die Nutzung der KI-Suche erforderliche Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO und die datenschutzrechtlichen Anforderungen an eine Übermittlung personenbezogener Daten in Drittländer sind voneinander zu unterscheiden.

Soweit im Rahmen der Nutzung des OpenAI-Dienstes personenbezogene Daten aus dem Europäischen Wirtschaftsraum in Drittländer übermittelt werden, erfolgt die Übermittlung auf Grundlage eines nach Kapitel V DSGVO zulässigen Transfermechanismus.

Nach dem aktuellen OpenAI-DPA kommen hierfür insbesondere Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO oder – soweit anwendbar – ein Angemessenheitsbeschluss gemäß Art. 45 DSGVO in Betracht.

Die für die jeweilige Übermittlung geltenden Garantien richten sich nach der konkreten Vertrags- und Dienstkonfiguration.

Erfolgsmessung

Die Erfolgsmessung der KI-Produktsuche wird bewusst nicht über dieselbe Einwilligung legitimiert wie die Übermittlung des Suchtexts an OpenAI.

Die Erfolgsmessung ist für die Übermittlung des Suchtexts an OpenAI nicht erforderlich.

Die statistische Auswertung erfolgt serverseitig und verwendet für die aggregierten Tageswerte keine zusätzlichen Cookies oder sonstigen zusätzlichen Informationen auf dem Endgerät.

Soweit die Erfolgsmessung auf einem berechtigten Interesse beruht, erfolgt sie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Widerspruch

Soweit einzelne Verarbeitungsvorgänge auf einem berechtigten Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO beruhen, besteht grundsätzlich ein Widerspruchsrecht gemäß Art. 21 DSGVO.

Ein Widerspruch gegen die Erfolgsmessung kann praktisch dadurch umgesetzt werden, dass der entsprechende Vermerk auf der betroffenen Bestellung entfernt wird.

Die bereits gebildeten aggregierten Statistik-Tageswerte werden dadurch nicht verändert, da diese ausschließlich zusammengefasste Zahlen ohne Personenbezug enthalten.

Abschaltung

Die KI-Produktsuche kann jederzeit vollständig deaktiviert werden – sowohl über die Serverkonfiguration als auch über das WordPress-Backend.

Bei einer Deaktivierung wird das Eingabefeld nicht mehr angezeigt und es findet keine Verarbeitung neuer KI-Suchanfragen statt.

Die Erfolgsmessung über Bestellungen kann unabhängig davon separat deaktiviert werden.