Datenschutz

OneSite Assistant ist ein Dienst von OneSite Agency („wir“). Diese Erklärung gilt für die Shopify-App, den Assistenten in Shops außerhalb von Shopify (WooCommerce und andere), das Händler-Dashboard und unsere Website assistant.onesite.agency.

OneSite Agency ist ein Handelsname der ARTIQUS LTD, eingetragen in England und Wales unter der Nummer 12357522. Eingetragener Sitz: 32 Regent Street, Wycliffe College, Stonehouse, Gloucestershire, GL10 2AD, United Kingdom.

Für Daten über Besucher eines Shops („Käufer“) ist der Händler, dessen Shop sie besuchen, der Verantwortliche und wir sind sein Auftragsverarbeiter: Wir verarbeiten diese Daten, um den Dienst für diesen Händler zu erbringen, nach den Weisungen in dieser Erklärung und in unseren Nutzungsbedingungen, und — nur bei Shops, die direkt bei uns abonniert haben — für das unten beschriebene aggregierte Lernen ohne identifizierende Daten. Für die Konten der Händler, für dieses Lernen und für unsere Website sind wir der Verantwortliche.

Über die Berechtigungen, die der Händler bei der Installation bestätigt:

• read_products — der Katalog: Titel, Beschreibungen, Preise, Verfügbarkeit, Bilder, Produktlinks und Veröffentlichungsdaten; Neuheiten werden anhand der Veröffentlichungsdaten bestimmt.
• read_locales — die veröffentlichten Sprachen des Shops, damit der Assistent in der Sprache des Shops antworten kann.
• read_orders — auf zwei Wegen genutzt. Erstens über die Benachrichtigungen „Bestellung erstellt“ und „Bestellung storniert“, die Shopify auf die von uns genannten Felder beschränkt: Bestell-ID und -nummer, Zeitpunkt, Währung, Summen, Warenkorb-Referenz, Notizattribute, Rabattcodes mit dem jeweils abgezogenen Betrag und Positionen (Produkt, Titel, Menge, Preis, Positionseigenschaften und der Rabatt jeder Position). Daraus zeigen wir dem Händler, welche Bestellungen auf ein Gespräch mit dem Assistenten folgten, zu welchen Bestellungen und welchem Umsatz der Assistent beigetragen hat und welche Bestellungen welchen Rabattcode nutzten. Zweitens lesen wir die Bestellungen des Shops der letzten 60 Tage, und zwar nur, welche Produkte in welcher Menge nach Erstattungen verkauft wurden, um die eigenen Bestseller des Shops in diesem Shop zu ordnen; für andere Händler wird das nie verwendet. Name, E-Mail-Adresse, Telefonnummer oder Anschrift des Kunden werden weder angefragt noch gespeichert.

Zwei weitere Berechtigungen sind optional. Der Händler erteilt sie in der App nur, wenn er die jeweilige Funktion nutzen will, und kann sie widerrufen:

• write_discounts — damit kann der Händler in unserer App Rabattcodes in seinem Shopify-Shop anlegen, ein- und ausschalten und löschen und sehen, wie oft jeder Code genutzt wurde und bei welchen Bestellungen, auch bei solchen, zu denen der Assistent beigetragen hat. Rabattcodes sind keine Käuferdaten; ihre Nutzung lesen wir aus den oben genannten Bestellbenachrichtigungen.
• write_customers — damit können wir Kontakte, die Käufer im Assistenten hinterlassen, in die eigenen Shopify-Kunden des Händlers schreiben, wie unten unter „Kontakte, die Käufer hinterlassen“ beschrieben.

Shopify teilt uns außerdem die Domain des Shops und den Stand seines App-Abonnements mit und gibt uns Zugriffsschlüssel, die wir aufbewahren, um seine API aufzurufen. Abgesehen vom Schreiben von Kontakten, wenn der Händler es erlaubt, greifen wir nicht auf Kundendatensätze zu, und Zugriff auf Checkouts, Zahlungen oder Mitarbeiterkonten fragen wir nicht an.

• Konto, für Händler, die sich auf unserer Website anmelden: E-Mail-Adresse, ein Passwort, das nur als Argon2id-Hash gespeichert wird, und Sprache. Die Shopify-App hat kein eigenes Konto; sie öffnet sich in Ihrem Shopify-Adminbereich.
• Anmeldungen: Zeitpunkt, IP-Adresse und Browser jeder Sitzung, damit Sie eine Anmeldung erkennen, die nicht von Ihnen stammt.
• Shop: Domain, Katalog, die von Ihnen gewählten Einstellungen und der Stand des Abonnements. Bei Shops außerhalb von Shopify wird der Katalog aus dem Shop, einem Produkt-Feed oder unserem Plugin gelesen.
• Abrechnung: Händler, die direkt bei uns abonnieren, zahlen über Stripe. Kartendaten werden bei Stripe eingegeben und erreichen uns nie; wir erhalten die Kunden- und Abonnement-Kennungen von Stripe und den Stand des Abonnements.
• Anfragen über unsere Website: Adresse des Shops, Plattform, Kataloggröße und der Kontakt, den Sie hinterlassen (E-Mail, Telefon, WhatsApp oder Telegram).
• Unsere Website und das Dashboard: Nutzungsanalyse mit PostHog (EU-Cloud) — aufgerufene Seiten, ausgeführte Aktionen, Browser und Gerät. PostHog legt in Ihrem Browser keine Kennung ab, sofern Sie es nicht erlauben. Zwei eigene Cookies verbinden einen Besuch mit einer späteren Registrierung und merken sich, welcher Anmeldeweg Ihnen gezeigt wurde. Keines der beiden wird im Fenster des Assistenten im Shop eines Händlers gesetzt.
• Empfehlungen: Hat ein Partner aus unserem Empfehlungsprogramm (ein Blogger oder eine Agentur) Ihren Shop zu uns gebracht, sieht dieser Partner die Domain Ihres Shops, ob er zahlt, und die dafür angefallene Provision.
• E-Mails, die Sie uns senden.

Pro Shop und nur für diesen Shop:

• Das Gespräch: was der Käufer dem Assistenten schreibt oder diktiert, und die gezeigten und gewählten Produkte. Diktierte Sprache wird auf unseren eigenen Servern (GigaAM) in Text umgewandelt; die Aufnahme wird nicht gespeichert — in unseren Protokollen steht nur ihre Länge.
• Eine zufällige Sitzungskennung, die mit keinem Namen und keinem Konto verknüpft ist.
• Ungefährer Standort — Land und Stadt —, ermittelt aus der IP-Adresse über eine Tabelle auf unserem eigenen Server. Die IP-Adresse selbst wird nicht gespeichert.
• Wie der Besuch begann und womit: Referrer, UTM-Parameter, Einstiegsseite, Gerätetyp, Browser, Betriebssystem und die vom Browser gemeldete Zeitzone. Die Zeitzone zeigt, wann gefragt wird — nach der eigenen Uhr; ein Standort ist sie nicht.
• Ereignisse: Assistent geöffnet, Produkte gezeigt und angeklickt, in den Warenkorb gelegt, sowie der Sitzung zugeordnete Bestellungen.
• Ein Kontakt — E-Mail-Adresse, Telefon- oder WhatsApp-Nummer oder Telegram-Benutzername —, nur wenn der Käufer ihn nach einer Anfrage, die der Shop nicht beantworten konnte, selbst hinterlässt; er wird mit dieser Anfrage gespeichert, wie unten beschrieben. Zeigt der Shop ein Einwilligungsbanner, erscheint das Angebot nur, wenn der Käufer Marketing erlaubt hat.

Antworten schreibt ein KI-Modell auf Grundlage des Katalogs des Shops; sie sind als von KI ausgewählt gekennzeichnet. Sie können falsch sein: Maßgeblich sind die Produktseite und die Bedingungen des Händlers.

Einen Menschen anfragen: Drückt ein Käufer auf „Mit einer Person sprechen“ und hinterlässt eine E-Mail-Adresse und ein paar Worte, leiten wir beides per E-Mail direkt an den Shop-Inhaber weiter und speichern es nicht. Wir behalten nur die Tatsache der Anfrage (Shop und Sitzungsname, um Wiederholungen zu verhindern). Der Shop antwortet dem Käufer selbst und ist für den Umgang mit dem Kontakt verantwortlich.

Mit dem Kontakt speichern wir, wann er hinterlassen wurde, welche Fassung des Hinweises in welcher Sprache angezeigt wurde und ob der Käufer ein separates Kästchen für Neuigkeiten und Angebote des Shops angekreuzt hat. Dieses Kästchen ist standardmäßig nicht angekreuzt.

Wer einen Kontakt hinterlässt, willigt in eine einzige Nachricht zu dieser Anfrage ein. Neuigkeiten und Angebote darf der Shop nur senden, wenn das separate Kästchen angekreuzt wurde.

Kontakte werden verschlüsselt gespeichert (AES-GCM), der Schlüssel liegt außerhalb der Datenbank. Um die Kontakte eines Käufers bei einer Lösch- oder Auskunftsanfrage zu finden, speichern wir zu jedem Kontakt außerdem einen Hash mit Schlüssel (HMAC-SHA256), aus dem sich der Kontakt nicht zurückgewinnen lässt.

In Shopify-Shops, und nur wenn der Händler es in der App erlaubt (die optionale Berechtigung write_customers), schreiben wir den Kontakt in die eigenen Shopify-Kunden des Händlers: die E-Mail-Adresse oder die Telefonnummer im internationalen Format. Der Kunde erhält das Tag „onesite-assistant“ und wird in einem Segment namens „OneSite Assistant“ zusammengefasst.

• Ein Marketing-Abonnement wird nur gesetzt, wenn der Käufer das Kästchen angekreuzt hat — für E-Mail bei einer E-Mail-Adresse, für SMS bei einer Telefonnummer —, als einfaches Opt-in (Single Opt-in) mit dem Zeitpunkt des Ankreuzens. Eine WhatsApp-Nummer wird ohne Abonnement geschrieben.
• Telegram-Benutzernamen und Nummern ohne Ländervorwahl werden nicht geschrieben, und sonst wird nichts übermittelt: kein Name, kein Anfragetext, kein Standort.
• Wir speichern die Shopify-Kundennummer und ob das Schreiben gelungen ist, bei einem Fehlschlag mit dem von Shopify genannten Grund. Beides wird mit dem Kontakt gelöscht — 395 Tage (13 Monate) nach Erfassung der Anfrage oder wenn Shopify die Löschanfrage des Kunden weiterleitet — und ist enthalten, wenn ein Kunde seine Daten anfordert.

Sobald ein Kontakt geschrieben ist, hält der Händler diesen Kundendatensatz in Shopify als eigener Verantwortlicher.

Der Assistent legt zwei Zufallswerte im Browserspeicher des Shops selbst ab (localStorage): eine Gesprächskennung, die nach einer Zeit ohne Nachrichten verfällt, damit der Assistent dem Gespräch folgen kann, und eine Besuchermarke, die dem Händler zeigt, ob dieser Browser schon einmal da war. Keiner der beiden Werte enthält einen Namen, eine E-Mail-Adresse oder etwas, das der Käufer eingegeben hat.

Nur wenn der Käufer Analyse erlaubt, markiert der Assistent zusätzlich den Weg zum Kauf, damit der Händler sieht, welche Bestellungen auf ein Gespräch folgten: eine Positionseigenschaft (_ai_shop_q) mit der Kennung der Antwort bei Produkten, die aus dem Assistenten in den Warenkorb gelegt wurden; in Shopify-Shops mit unserer App ein Warenkorb-Attribut (__ai_shop) mit der Gesprächskennung; in Shops mit unserem WordPress-Modul ein eigenes Cookie (ai_shop_thread) mit der Gesprächskennung, das 14 Tage gilt. Diese Markierungen landen in den Bestelldaten des Händlers selbst.

In Shopify-Shops liest der Assistent die Customer Privacy API von Shopify. Auf anderen Seiten liest er das Cookie-Banner der Seite — die WP Consent API, Cookiebot, OneTrust, CookieYes, Borlabs Cookie oder jedes Banner mit IAB TCF — und zählt keinen Käufer, der abgelehnt oder noch nicht geantwortet hat. Lehnt der Käufer Analyse ab, werden keine Nutzungsereignisse gesendet; lehnt er Marketing ab, wird kein Kontaktformular angeboten. Der Assistent antwortet trotzdem — das ist die eigene Anfrage des Käufers. Wir verwenden keine Werbe-Cookies und bilden keine shopübergreifenden Profile.

Solange das Cookie-Banner des Shops angezeigt wird, bleibt der Assistent verborgen, damit das Banner gelesen und beantwortet werden kann; wir erkennen die Banner gängiger Einwilligungstools. Bis der Käufer den Assistenten öffnet oder Analyse erlaubt, wird nichts über ihn aufgezeichnet. In Shops mit unserer Shopify-App entscheiden allein die Einstellungen des Händlers, welche Funktionen des Assistenten im Shop laufen: Sie lassen sich nicht einschalten, indem man etwas an die Seitenadresse anhängt.

Für Buchhandlungen lesen unsere Server öffentliche Buchseiten auf livelib.ru und chitai-gorod.ru: die Bewertung jedes Buches und bis zu 12 Rezensionen mit dem Anzeigenamen des Verfassers, Datum und Text. Wir speichern sie, aktualisieren sie etwa alle 14 Tage und zeigen sie auf Produktseiten mit genannter und verlinkter Quelle, damit Käufer die Meinung von Lesern neben dem Buch sehen — berechtigtes Interesse von uns und dem Händler. Um zusammenzufassen, was Leser loben und kritisieren, werden die Rezensionstexte ohne Verfassernamen an DeepSeek gesendet. Haben Sie eine dieser Rezensionen geschrieben und möchten, dass sie aus unserer Kopie entfernt wird, schreiben Sie uns. Ein Shop kann das abschalten: Seine Produktseiten und der Assistent zeigen dann nichts davon, und wir suchen für seinen Katalog keine Bewertungen mehr. Jede Rezension samt Verfassernamen speichern wir höchstens 30 Tage, nachdem die Quelle sie zuletzt gezeigt hat; die Gesamtbewertung des Buches nennt niemanden und bleibt gespeichert.

Nichts davon gilt für Shops, die unsere Shopify-App nutzen: Wir verwenden ihren Katalog nicht, um auf anderen Websites nach Bewertungen oder Rezensionen zu suchen, und zeigen keine davon auf ihren Produktseiten oder in den Antworten des Assistenten.

• Um Käufern zu antworten und dem Händler zu zeigen, was gefragt, gefunden und gekauft wurde — nach seinen Weisungen. Für Käuferdaten wählt der Händler die Rechtsgrundlage; ein vom Käufer hinterlassener Kontakt beruht auf dessen Einwilligung.
• Um den Dienst zu erbringen, für den Sie sich angemeldet haben, und ihn abzurechnen — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Um den Dienst sicher und funktionsfähig zu halten — Anmeldeprotokolle, Ratenbegrenzungen, Fehlerprotokolle und Produktanalyse auf unserer eigenen Website — berechtigte Interessen (Art. 6 Abs. 1 lit. f).
• Um Produktreihenfolge, Schreibweisen und Produktlisten für alle Shops aus der aggregierten Aktivität der direkt bei uns abonnierten Shops zu verbessern, wie unten beschrieben — berechtigte Interessen (Art. 6 Abs. 1 lit. f).
• Um Zahlungsbelege aufzubewahren, wo das Gesetz es verlangt — rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c).

Wir verkaufen keine Daten, geben sie nicht für Werbung weiter und trainieren oder verfeinern keine Sprachmodelle mit Daten von Händlern oder Käufern. Daten von Shops, die über Shopify installiert haben, fließen in keinerlei Lernen ein. Aus der Aktivität der direkt bei uns abonnierten Shops bilden wir drei Dinge, die für alle Shops genutzt werden: die Gewichte, die unsere Formel für die Produktreihenfolge 13 Signalen gibt, angepasst daran, welche der gezeigten Produkte Käufer angeklickt haben; ein Wörterbuch für Schreibweisen und Formulierungen je Nische, gewonnen aus den Fragen der Käufer; und eine Liste „was Käufer wählen“, gebildet aus über Shops hinweg summierten Klicks. Jedes davon entsteht nur aus dem, was mindestens zwei Shops beitragen, enthält keine Identität eines Käufers und nennt keinen Shop. Darüber hinaus werden Katalog, Käuferdaten und Berichte eines Händlers nie für einen anderen Händler verwendet.

• Hetzner Online GmbH, Deutschland — Hosting. Unsere Server stehen in Nürnberg; alles, was wir speichern, liegt dort.
• DeepSeek, Hangzhou, China — das Sprachmodell. Für eine Antwort erhält es den Text des Gesprächs und Produktdaten aus dem Katalog des Shops; um Produkte zu beschreiben, erhält es Katalogdaten und bei Büchern die Texte öffentlicher Rezensionen. Namen, Kontakte, IP-Adressen oder Bestelldaten von Käufern erhält es nicht.
• Shopify — die Plattform, auf der die App läuft, und die Abrechnung von App-Installationen.
• Stripe — die Abrechnung für Händler, die direkt bei uns abonnieren.
• PostHog, EU-Cloud — Nutzungsanalyse unserer Website und des Dashboards.
• Telegram — wenn aktiviert, interne Benachrichtigungen an unser Team über neue Händleranfragen, mit der Shop-Adresse und dem hinterlassenen Kontakt.

Suche, Text-Embeddings und Spracherkennung laufen auf unseren eigenen Servern; kein Dritter ist beteiligt. Jeden neuen Auftragsverarbeiter tragen wir hier ein und ändern das Datum oben, bevor er beginnt.

Für Agenturen und Juristen steht auf einer Seite, was wir speichern, wie lange, wer es sieht und wo es verarbeitet wird: Datenverarbeitung.

Was wir speichern, bleibt in Deutschland. Jede Anfrage an das Sprachmodell ist eine Übermittlung nach China, für das kein Angemessenheitsbeschluss der EU besteht. Wir beschränken sie auf den Gesprächstext, Katalogdaten und Texte öffentlicher Rezensionen — keine Namen, Kontaktdaten, IP-Adressen oder Bestelldaten — und senden sie über eine verschlüsselte Verbindung. Als Verantwortlicher entscheidet der Händler, ob diese Übermittlung für seine Käufer vertretbar ist.

Shopify, Stripe und PostHog können Daten in anderen Ländern nach ihren eigenen veröffentlichten Datenschutzbedingungen verarbeiten.

• Käuferdaten — Gespräche, Sitzungen, Besuche, Ereignisse und Kontakte, samt der zu einem Kontakt gespeicherten Shopify-Kundennummer — werden 13 Monate nach ihrer Erfassung gelöscht.
• Nach einer Deinstallation bleiben die Daten des Shops erhalten, damit eine Neuinstallation sie zurückbringt, bis Shopify 48 Stunden später seine Löschaufforderung (shop/redact) sendet. Dann wird alles zum Shop gelöscht: Katalog, Gespräche, Kontakte, Bestellungen und Einstellungen. In jedem Fall erfolgt die Löschung innerhalb von 30 Tagen nach einer Deinstallation oder dem Ende eines direkten Abonnements.
• Ein Händlerkonto und seine Anmeldeprotokolle bleiben bestehen, solange das Konto existiert, und werden innerhalb von 30 Tagen nach einer Anfrage gelöscht.
• Anfragen werden aufbewahrt, bis Sie uns um Löschung bitten.
• Nächtliche Datenbanksicherungen werden 14 Tage auf demselben Server aufbewahrt; gelöschte Daten verschwinden also innerhalb von 14 Tagen auch aus den Sicherungen.

• Datenanfrage (customers/data_request): Innerhalb von 30 Tagen senden wir dem Shopinhaber die Daten, die wir über diesen Kunden haben, als maschinenlesbare Datei.
• Löschanfrage (customers/redact): Wir löschen den Kontakt, den dieser Kunde hinterlassen hat, die damit verknüpften Gespräche und die in der Anfrage genannten Bestellungen.
• Shop-Löschung (shop/redact): Wir löschen alles, was wir über den Shop haben.

Nach der DSGVO und ähnlichen Gesetzen können Sie Auskunft über Ihre Daten, ihre Berichtigung oder Löschung, die Einschränkung der Verarbeitung und eine Kopie in maschinenlesbarem Format (Datenübertragbarkeit) verlangen und der Verarbeitung auf Grundlage berechtigter Interessen widersprechen. Beruht die Verarbeitung auf Einwilligung, können Sie diese jederzeit widerrufen. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren.

Käufer: Über Ihre Daten entscheidet der Händler, schreiben Sie also zuerst dem Shop; schreiben Sie uns, leiten wir die Anfrage weiter und helfen dem Händler bei der Antwort. Händler: Schreiben Sie an die Adresse unten; wir antworten innerhalb von 30 Tagen.

Der Datenverkehr zu und von unseren Servern ist mit TLS verschlüsselt. Zugriff auf Produktivsysteme hat nur unser Betreiber. Passwörter werden nur als Argon2id-Hashes gespeichert, Anmelde-Token nur als SHA-256-Fingerabdrücke. Kontakte von Käufern werden verschlüsselt gespeichert (AES-GCM), der Schlüssel liegt außerhalb der Datenbank. Benachrichtigungen von Shopify und Stripe werden nur mit gültiger Signatur angenommen. Die Daten jedes Shops werden getrennt gehalten und nur für diesen Shop gelesen. Nächtliche Datenbanksicherungen sind verschlüsselt (AES-256), nur für das Administratorkonto des Servers lesbar und werden 14 Tage aufbewahrt.

Unser Betreiber kann das Dashboard eines Händlers öffnen, um bei einer Support-Anfrage zu helfen; jedes Öffnen wird in unseren Protokollen mit Person und Shop festgehalten.

Betrifft eine Verletzung personenbezogene Daten, die wir speichern, informieren wir die betroffenen Händler unverzüglich und spätestens 72 Stunden, nachdem sie uns bekannt wurde — was geschah, welche Daten, was wir unternehmen —, damit sie ihre eigenen Pflichten erfüllen können. Wo das Gesetz es verlangt, melden wir sie auch der Datenschutzaufsichtsbehörde, und Shopify, wenn Daten von seiner Plattform betroffen sind.

Der Dienst richtet sich an Unternehmen. Der Assistent fragt niemanden nach Alter oder Identität, und wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 16 Jahren. Wenn Sie glauben, dass ein Kind Kontaktdaten hinterlassen hat, schreiben Sie uns, und wir löschen sie.

Ändert sich diese Erklärung, ändert sich das Datum oben mit. Änderungen an der Nutzung von Händler- oder Käuferdaten kündigen wir den Händlern an, bevor sie wirksam werden.

OneSite Agency. Fragen zu dieser Erklärung, Anfragen zu Ihren Daten und Mitteilungen gehen an die Adresse unten; wir antworten in der Regel innerhalb eines Werktags.