Datenschutzerklärung

1. Wer wir sind und wie Sie uns kontaktieren können

Verantwortlicher für die in dieser Richtlinie beschriebenen Daten:
AgenticCart
Österreich
E-Mail: legal@agenticcart.ai

Als Händler nutzen Sie AgenticCart außerdem als Auftragsverarbeiter für den Katalog, den Sie uns übermitteln, und für die Konversationen, die Shopper auf Ihrer gehosteten Storefront führen. In dieser Rolle sind Sie Verantwortlicher. Siehe Abschnitt 5 und den Auftragsverarbeitungsvertrag in Anhang 1 unserer Nutzungsbedingungen.

Datenschutzbeauftragter: Wenn wir einen DSB ernennen, werden wir die Kontaktdaten hier veröffentlichen. Sie können uns jederzeit kontaktieren unter legal@agenticcart.ai.

Aufsichtsbehörde: Österreichische Datenschutzbehörde („DSB"). Website: www.dsb.gv.at

2. Geltungsbereich

Diese Richtlinie gilt für Besucher von agenticcart.ai, Händler-Kontoinhaber und Nutzer, die mit dem Dienst interagieren, einschließlich unserer APIs und Cloud-Relay. Sie deckt nicht die Verarbeitung ab, die von Händlern in ihren eigenen WooCommerce-Shops durchgeführt wird, welche durch die jeweiligen Datenschutzhinweise der Händler geregelt wird.

3. Kategorien personenbezogener Daten, die wir verarbeiten

Wir verarbeiten die folgenden Datenkategorien, abhängig von Ihrer Interaktion mit dem Dienst:

Konto- und Identitätsdaten

Name, Unternehmen, Rolle, E-Mail-Adresse, Authentifizierungskennungen, Passwort-Hash (gespeichert durch Supabase Authentication), Profilpräferenzen.

Anmeldung mit Google

Wenn Sie sich mit Google anmelden, erhalten wir grundlegende Profilinformationen von Google, wie Ihren Namen, Ihre E-Mail-Adresse und optional Ihr Profilbild. Wir verwenden diese Daten nur zur Erstellung und Pflege Ihres AgenticCart-Kontos, zur Authentifizierung und zur Anzeige Ihres Profils im Dashboard. Wir greifen nicht auf andere Daten Ihres Google-Kontos zu, wie Gmail-Inhalte, Google Drive-Dateien, Kalendertermine oder Kontakte. Wir verwenden Google-Nutzerdaten nicht für Werbung und verkaufen sie nicht an Dritte.

Kommerzielle und Abonnementdaten

Tarif, Abrechnungsstatus, Lizenzstatus, Nutzungsberechtigungen, Transaktionsverlauf mit uns.

Technische und Nutzungsdaten

IP-Adresse, Zeitstempel, User-Agent, Geräte- und Browser-Metadaten, API-Aufruf-Identifikatoren, Anfrage- und Antwortprotokolle, Fehlercodes, Leistungsmetriken, Idempotenz-Schlüssel.

Händlerkatalog und Shop-Konfiguration

Produktdatensätze, Beschreibungen, Preise, Verfügbarkeit, Bilder, Kategorie- und Attributdaten sowie die Richtlinientexte und FAQ-Einträge, die ein Händler konfiguriert. Diese Daten werden im Auftrag des Händlers verarbeitet und enthalten normalerweise keine personenbezogenen Daten, sofern der Händler keine aufnimmt.

Shopper-Konversationen auf einer gehosteten Storefront

Wenn ein Shopper die KI-Storefront eines Händlers nutzt, verarbeiten wir im Auftrag dieses Händlers: den Inhalt der Shopper-Nachrichten, der alles enthalten kann, was der Shopper eingibt; die Antworten des Assistenten; eine pseudonyme, im Browser erzeugte Session-Kennung; die erkannte Sprache und die Storefront, von der die Konversation stammt; die aus der Konversation abgeleiteten Suchbegriffe; und Produkt-Interaktionsereignisse wie das Hinzufügen zum Warenkorb oder zur Wunschliste. Erstellt ein Shopper einen Teilen-Link, wird eine schreibgeschützte Momentaufnahme dieser Konversation gespeichert. IP-Adressen und User-Agent-Angaben der Shopper speichern wir für diese Konversationen nicht.

Support- und Kommunikationsdaten

Support-Tickets, E-Mails, Chat-Transkripte, Anhänge, Problemdiagnosen, Feedback.

Kostenlose Tools

Wenn Sie eines unserer kostenlosen Tools nutzen, zum Beispiel den AI Store Readiness Checker oder den AI Product Checker, speichern wir die geprüfte Adresse, die Punktzahl und das vollständige Ergebnis, damit das Ergebnis erneut angezeigt und geteilt werden kann. Die Shop- und Produktprüfung speichert außerdem einen Scan des Shops: seine Adresse, das Shopsystem, die Zahl der Produkte, bis zu drei von uns aufbereitete Produkte und das Tool, über das Sie kamen. Ihre IP-Adresse speichern wir nicht dazu; sie wird höchstens eine Stunde lang genutzt, um zu begrenzen, wie oft die Tools laufen können. Für manche Prüfungen senden wir den Inhalt der gelesenen öffentlichen Seiten an unseren Modellanbieter OpenAI, um die Zusammenfassung zu schreiben und Beispielprodukte aufzubereiten. Wenn Sie den Bericht per E-Mail anfordern, speichern wir Ihre E-Mail-Adresse mit dieser Anfrage und senden den Bericht. Tipps per E-Mail folgen nur, wenn Sie das Kästchen ankreuzen und danach mit dem Knopf in dieser E-Mail bestätigen; jede Tipps-E-Mail enthält einen Abmeldelink. Rechtsgrundlagen: berechtigte Interessen Art. 6(1)(f) für den Betrieb der Tools und die Abwehr von Missbrauch, Art. 6(1)(b) für den angeforderten Bericht und Einwilligung Art. 6(1)(a) für Tipps.

Marketing- und Zustellbarkeitsdaten

Mailinglisten-Opt-in-Status, Abmelde-Tokens, Kampagnenöffnungen und -klicks, Bounce-Informationen und ähnliche Standard-E-Mail-Zustellbarkeitsmetriken.

Cookies und ähnliche Technologien

Cookies, lokaler Speicher und ähnliche Technologien, wie in Abschnitt 12 beschrieben.

Wir erheben nicht absichtlich besondere Kategorien von Daten im Sinne von Artikel 9 DSGVO. Wir richten den Dienst nicht an Kinder und erheben wissentlich keine Daten von Personen unter 18 Jahren.

4. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten für die nachstehenden Zwecke und auf den nachstehenden Rechtsgrundlagen. Wo mehrere Grundlagen zutreffen, stützen wir uns auf jede entsprechend.

Bereitstellung und Betrieb des Dienstes

Konten erstellen, Benutzer authentifizieren, den Katalog eines Händlers einlesen und indexieren, die gehostete KI-Storefront und das Händler-Dashboard betreiben sowie die Kernfunktionalität aufrechterhalten.
Rechtsgrundlagen: Vertragserfüllung Art. 6(1)(b), berechtigte Interessen Art. 6(1)(f).

Betrieb des KI-Einkaufsassistenten

Um einem Shopper zu antworten, senden wir die aktuelle Nachricht, ein begrenztes Fenster der letzten Nachrichten derselben Konversation, die relevanten Produktdatensätze und die vom Händler konfigurierten Store-Informationen an unseren Modellanbieter, und wir erzeugen Vektor-Embeddings der Nachricht und des Katalogs, um die Produktsuche auszuführen. Die Konversation wird aufgezeichnet, damit der Händler sie im Dashboard einsehen und Analysen sehen kann. Wir nutzen diese Daten nicht, um ein Modell zu trainieren, feinzujustieren oder zu verbessern, und haben mit unserem Modellanbieter Bedingungen vereinbart, die eine solche Nutzung ausschließen.
Rechtsgrundlage: Vertragserfüllung Art. 6 Abs. 1 lit. b gegenüber dem Händler. Für den Shopper ist der Händler Verantwortlicher und bestimmt die Rechtsgrundlage.

Sicherheit und Missbrauchsprävention

Betrug, Missbrauch, Fehlnutzung und Sicherheitsvorfälle erkennen, untersuchen und verhindern, Rate-Limits durchsetzen, unsere Infrastruktur schützen.
Rechtsgrundlagen: berechtigte Interessen Art. 6(1)(f), rechtliche Verpflichtung Art. 6(1)(c) wo anwendbar.

Dienstverbesserung und Diagnose

Leistung überwachen, Fehler beheben, Zuverlässigkeit verbessern, neue Funktionen entwickeln und aggregierte Nutzungsmuster analysieren.
Rechtsgrundlage: berechtigte Interessen Art. 6(1)(f).

Kommunikation

Transaktionsnachrichten über Ihr Konto, Dienstbenachrichtigungen, Sicherheitswarnungen und Änderungen der Bedingungen.
Rechtsgrundlagen: Vertragserfüllung Art. 6(1)(b), rechtliche Verpflichtung Art. 6(1)(c).

Marketing

Produktupdates und Marketing-E-Mails an Geschäftskontakte senden, soweit gesetzlich zulässig. Sie können sich jederzeit abmelden.
Rechtsgrundlagen: Einwilligung Art. 6(1)(a) oder berechtigte Interessen Art. 6(1)(f), je nach Rechtsordnung und Kontext.

Rechtliche Compliance

Rechtliche Verpflichtungen erfüllen, auf rechtmäßige Anfragen reagieren, Geschäftsunterlagen führen, Steuern und Buchhaltung.
Rechtsgrundlage: rechtliche Verpflichtung Art. 6(1)(c).

5. Rollen: Verantwortlicher und Auftragsverarbeiter

AgenticCart als Verantwortlicher

Wir sind Verantwortlicher für Konto-, Website- und Plattformdaten, die wir für unsere eigenen Zwecke erheben, einschließlich Identitäts-, Kontakt-, Abonnement-, Sicherheits- und Marketingdaten.

AgenticCart als Auftragsverarbeiter für Händler

Wir sind Auftragsverarbeiter für den Katalog, den ein Händler uns übermittelt, und für die Konversationen, die Shopper auf der gehosteten Storefront dieses Händlers führen, einschließlich der zugehörigen Analyse-Ereignisse und Teilen-Momentaufnahmen. In diesem Kontext ist der Händler Verantwortlicher: er entscheidet, welchen Katalog er übermittelt, wie der Assistent konfiguriert ist und welche Storefront veröffentlicht wird. Wir verarbeiten solche Daten nur zur Bereitstellung des Dienstes, auf Weisung des Händlers und nach dem Auftragsverarbeitungsvertrag in Anhang 1 unserer Nutzungsbedingungen. Wir entscheiden nicht über Zwecke oder Mittel der Verarbeitung im Shop des Händlers und nutzen die Daten nicht für eigene Zwecke.

Wenn Sie als Shopper die Storefront eines Händlers genutzt haben, ist dieser Händler Ihr Verantwortlicher: bitte richten Sie Anfragen an ihn. Er kann eine einzelne Konversation direkt in seinem Dashboard löschen. Wir unterstützen den Händler wie gesetzlich vorgeschrieben. Wenden Sie sich stattdessen an uns, verweisen wir Sie an den Händler, sofern wir nicht gesetzlich zum Handeln verpflichtet sind.

6. Wie die gehostete Storefront funktioniert, und was wir nicht tun

Wenn ein Shopper die KI-Storefront eines Händlers öffnet und eine Nachricht sendet:

• Die Nachricht erreicht unsere Server über TLS, zusammen mit einer pseudonymen, im Browser des Shoppers erzeugten Session-Kennung.
• Wir durchsuchen den Katalog des Händlers und senden anschließend die Nachricht, den aktuellen Gesprächskontext, die relevanten Produktdatensätze und die Store-Informationen des Händlers an unseren Modellanbieter, der die Antwort formuliert.
• Die Antwort wird an den Shopper gestreamt, und die Konversation wird für das Dashboard und die Analysen des Händlers gespeichert.
• Löst der Shopper eine Aktion aus, etwa das Hinzufügen zum Warenkorb, wird diese Anfrage aus dem Browser des Shoppers an den Shop des Händlers gesendet, der sie ausführt. Der Checkout findet im Shop des Händlers statt.

Uns erreichen keine Zahlungsdaten

Wir sind kein Zahlungsdienstleister, und keine Shopper-Zahlung wird von uns verarbeitet oder läuft über unsere Systeme. Wir erhalten niemals Kartennummern, Prüfziffern oder Ablaufdaten. Die Abo-Gebühren der Händler werden bei Installationen aus dem Shopify App Store durch Shopify und bei anderen Abonnements durch Stripe abgewickelt; wir erhalten den Abo-Status, keine Kartendaten.

7. Datenquellen

Wir erheben Daten direkt von Ihnen, aus Ihrer Nutzung des Dienstes und aus den Integrationen, die Sie verbinden - derzeit das WooCommerce-Plugin, die Shopify-Anwendung, von Ihnen bereitgestellte Produktfeeds und Datei-Importe. Konversationsdaten stammen von Shoppern, die die Storefront eines Händlers nutzen. Außerdem erhalten wir Daten von unseren Unterauftragsverarbeitern und Plattformen, etwa den Abo-Status von Shopify oder Stripe und Authentifizierungsereignisse von Supabase, und können grundlegende Unternehmens- und Kontaktdaten aus öffentlichen Quellen erhalten, soweit gesetzlich zulässig.

8. Offenlegungen und Empfänger

Wir geben personenbezogene Daten an die folgenden Kategorien von Empfängern weiter, nur soweit erforderlich und unter angemessenen Schutzmaßnahmen.

Unterauftragsverarbeiter, die uns bei der Bereitstellung des Dienstes helfen

• OpenAI: Anbieter des Sprachmodells und der Embeddings für den KI-Einkaufsassistenten
• Supabase: verwaltete Postgres-Datenbank, Objektspeicher und Authentifizierung
• Shopify: App-Installation, Shop-Integration und Abo-Abrechnung für Händler aus dem Shopify App Store
• Stripe: Abo-Abrechnung, gehosteter Checkout und Kundenportal für Abonnements außerhalb von Shopify
• Cloud-Hosting- und CDN-Anbieter
• E-Mail-Zustellung und Kundensupport-Tools
• Logging-, Monitoring- und Sicherheitsanbieter

Händler und Integrationspartner

Als Auftragsverarbeiter stellen wir Konversationsdaten und Analysen dem Händler bereit, dessen Storefront der Shopper genutzt hat - in dessen Dashboard. Shopper-Nachrichten und die relevanten Katalogdatensätze werden an unseren Modellanbieter übertragen, um eine Antwort zu erzeugen. Commerce-Aktionen sendet der Browser des Shoppers direkt an den Shop des Händlers, nicht wir.

Professionelle Berater und Behörden

Wirtschaftsprüfer, Buchhalter, Anwälte und Regierungsbehörden, soweit gesetzlich vorgeschrieben.

Unternehmenstransaktionen

Bei einer Fusion, Übernahme, Reorganisation oder einem Vermögensverkauf können Daten unter Vertraulichkeit an die relevanten Parteien übertragen werden.

Wir verkaufen keine personenbezogenen Daten.

9. Internationale Übermittlungen

Unsere eigene Infrastruktur wird in der Europäischen Union betrieben. Die praktisch relevante Übermittlung außerhalb des EWR geht an unseren Modellanbieter OpenAI in den Vereinigten Staaten, der Shopper-Nachrichten und die relevanten Katalogdatensätze erhält, um Antworten zu erzeugen. Bei internationalen Übermittlungen stützen wir uns auf einen Angemessenheitsbeschluss, soweit einer greift, und ansonsten auf die Standardvertragsklauseln der Europäischen Kommission zusammen mit einer Transfer-Folgenabschätzung und ergänzenden technischen und organisatorischen Maßnahmen. Details stehen im Auftragsverarbeitungsvertrag in Anhang 1 unserer Nutzungsbedingungen und in Anhang A unten.

10. Aufbewahrung

Wir bewahren personenbezogene Daten nur so lange auf, wie es für die in dieser Richtlinie dargelegten Zwecke erforderlich ist.

• Konto- und Vertragsdaten: für die Dauer des Kontos und einen angemessenen Zeitraum danach zur Erfüllung rechtlicher, steuerlicher und Prüfungsanforderungen.
• Sicherheit und Protokolle: für die Zeit, die zur Gewährleistung der Sicherheit, Untersuchung von Vorfällen und Verbesserung der Zuverlässigkeit erforderlich ist, dann gelöscht oder anonymisiert.
• Marketingdaten: bis Sie sich abmelden und für einen kurzen Zeitraum zur Dokumentation Ihrer Präferenz.
• Shopper-Konversationen und ihre Nachrichten: gelöscht 365 Tage nach der letzten Aktivität der Konversation.
• Analyse- und Produkt-Interaktionsereignisse: gelöscht nach 30 Tagen im Einstiegsplan und wenn kein Abo aktiv ist, nach 365 Tagen in höheren Plänen. Das entspricht der auf unserer Preisseite genannten Analytics-Aufbewahrung.
• Von Shoppern erstellte Teilen-Momentaufnahmen: gelöscht 90 Tage nach Erstellung. Ein Händler kann eine geteilte Momentaufnahme früher entfernen, indem er die Konversation löscht.
• Ergebnisse der kostenlosen Tools, Shop-Scans ohne Konto und Berichtsanfragen per E-Mail: gelöscht 90 Tage nach ihrer Erstellung, ein geteiltes Ergebnis 90 Tage nach dem Teilen. Ein Shop-Scan, der Teil eines Kontos wird, bleibt beim Konto. Eine E-Mail-Adresse mit bestätigten Tipps bleibt bis zur Abmeldung und wird 90 Tage danach gelöscht.
• Katalogdaten und Suchindizes des Händlers: aufbewahrt, solange das Konto des Händlers aktiv ist, und entfernt, wenn der Händler das Konto oder die Datenquelle löscht.
• Kurzlebige Verarbeitungs-Caches für den Gesprächskontext: nicht länger als eine Stunde.

Dies sind Höchstfristen, die wir verkürzen, aber nicht stillschweigend verlängern. Ein Händler kann eine einzelne Konversation jederzeit im Dashboard löschen. In verschlüsselte Backups wirkt eine Löschung erst, wenn diese Backups im normalen Zyklus ablaufen, und wir bewahren Daten länger auf, wo das Gesetz es verlangt.

11. Sicherheit

Wir verwenden dem Risiko angemessene technische und organisatorische Maßnahmen, einschließlich Verschlüsselung bei der Übertragung mit aktuellem TLS, Verschlüsselung im Ruhezustand für Datenbanken und Backups, logischer Mandantentrennung sowohl in der Anwendung als auch im Suchindex, Zugriff nach dem Least-Privilege-Prinzip mit personenbezogenen Konten, Audit-Protokollierung administrativer Vorgänge, Geheimnisverwaltung außerhalb des Anwendungscodes, Umgebungshärtung, Überwachung und Alarmierung sowie routinemäßigem Schwachstellenmanagement. Kein System kann zu hundert Prozent sicher garantiert werden. Sie bleiben verantwortlich für die Sicherung Ihres eigenen Shops, Hostings und Ihrer Administrationskonten, für die Verwaltung der Dashboard-Zugriffe in Ihrer Organisation und für den Schutz der API-Schlüssel und Zugriffstoken, die Sie halten.

12. Cookies und ähnliche Technologien

Wir verwenden Cookies und ähnliche Technologien, um den Dienst bereitzustellen und zu sichern, Präferenzen zu speichern und die Leistung zu messen.

Arten

• Streng notwendige Cookies: erforderlich für Authentifizierung und Kernfunktionalität.
• Funktionale Cookies: speichern Einstellungen und Präferenzen.
• Analyse-Cookies: helfen uns, die Nutzung zu verstehen und den Dienst zu verbessern.
• Marketing-Cookies: für erlaubte B2B-Kommunikation und Kampagnenmessung verwendet.

Einwilligung

Wir holen Ihre Einwilligung für nicht-essentielle Cookies in Rechtsordnungen ein, in denen dies gemäß den ePrivacy-Regeln erforderlich ist. Sie können Ihre Präferenzen jederzeit über den Link Cookie-Einstellungen in der Fußzeile ändern.

Browser-Steuerung

Sie können Ihren Browser so einstellen, dass er Cookies blockiert oder löscht. Einige Funktionen funktionieren möglicherweise nicht, wenn Sie bestimmte Cookies deaktivieren. Wir reagieren nicht auf Do-Not-Track-Signale.

Google Analytics (GA4)

Wir verwenden Google Analytics 4, betrieben von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. GA4 hilft uns zu verstehen, wie unsere Website und unser Dashboard genutzt werden. GA4 kann Gerätekennungen, ungefähren Standort und Ereignisdaten erfassen. Wir haben GA4 mit Consent Mode v2 konfiguriert. Analysedaten werden nur nach Ihrer Einwilligung erfasst. Der Google-Tag wird erst geladen, wenn Sie Analyse-Cookies zugestimmt haben: Vorher geht keine Anfrage an Google und es wird kein Analyse-Cookie gesetzt.

Rechtsgrundlage: Ihre Einwilligung gemäß Art. 6(1)(a) DSGVO für Analyse-Cookies. Sie können die Einwilligung jederzeit über die Cookie-Einstellungen widerrufen. Bei Datenübertragungen in die USA stützt sich Google auf das EU-US Data Privacy Framework und, wo anwendbar, die Standardvertragsklauseln zusammen mit zusätzlichen Schutzmaßnahmen.

Wenn Sie Analyse-Cookies zugestimmt haben, meldet auch unser Server den Start einer Testphase, Zahlungen, fehlgeschlagene Zahlungen, Kündigungen und den Import Ihres Katalogs an Google Analytics. Dabei verwenden wir die pseudonyme Kennung aus Ihrem Analyse-Cookie. Wir übermitteln weder Namen noch E-Mail-Adresse oder Shop-Adresse. Zahlungsmeldungen enthalten Plan, Betrag, Währung und Rechnungskennung. Meldungen können außerdem die Kampagne oder unsere eigene Seite enthalten, über die Sie zuerst zu uns kamen. Widerrufen Sie die Einwilligung, senden wir für Ihr Konto keine solchen Meldungen mehr.

Datenschutzeinstellungen, die wir anwenden:

• Google Signals deaktiviert, sofern Sie nicht dem Marketing zustimmen.
• Anzeigenpersonalisierung deaktiviert, sofern Sie nicht dem Marketing zustimmen.
• Datenaufbewahrung auf einen minimalen Zeitraum eingestellt.
• Keine Übertragung personenbezogener Daten wie Namen, E-Mail-Adressen, genaue Postadressen oder andere Identifikatoren.

Anbieter: Google Ireland Limited. Datenschutzinformationen und Bedingungen sind in der Google-Dokumentation verfügbar. Sie können sich jederzeit über unsere Cookie-Einstellungen oder Browser-Opt-out-Tools von der Analyse abmelden.

Meta Pixel und Conversions API

Wenn Sie Marketing-Cookies zustimmen, nutzen wir das Meta Pixel und die Conversions API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, um unsere Werbung zu messen. Das Pixel lädt in Ihrem Browser erst nach dieser Wahl. Unser Server meldet Meta dann Registrierungen, den Beginn eines Checkouts, den Start einer Testphase, Zahlungen und Kündigungen, zusammen mit gehashten Kennungen wie Ihrer E-Mail-Adresse, Nutzer-ID, Ihrem Namen und Ihrer Rechnungsadresse, Ihrer IP-Adresse, Angaben zu Ihrem Browser, Ihrer Abo-ID sowie den Klick- und Browser-IDs von Meta. Ohne Zustimmung zu Marketing-Cookies senden wir nichts davon an Meta.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können sie jederzeit über die Cookie-Einstellungen widerrufen. Soweit Daten in die USA übermittelt werden, stützt sich Meta auf das EU-US Data Privacy Framework.

Anonyme Schrittzählung

Unabhängig von Ihren Cookie-Einstellungen zählen wir, wie oft eine Seite unserer Website von außen aufgerufen wird und wie oft die einzelnen Schritte auf dem Weg zu einem Abonnement erreicht werden, zum Beispiel „Scan gestartet“. Wir speichern nur den Tag, den Schritt, die Seite unserer Website, auf der er stattfand, die Anzahl, eine Quelle (den Kampagnennamen des Links, über den Sie kamen, oder die Website, die auf uns verlinkt hat) und, wenn ein Schritt scheitert, einen kurzen Grund wie „blockiert“. Die Zählung speichert weder IP-Adresse noch Kennung und setzt kein Cookie, sodass sich eine Zahl keiner Person zuordnen lässt. Zum Schutz vor Missbrauch wird Ihre IP-Adresse für höchstens eine Minute verwendet, um die Zahl der Anfragen zu begrenzen. Sie wird nicht mit der Zählung gespeichert.

Rechtsgrundlage ist unser berechtigtes Interesse, unseren Registrierungsweg zu verstehen und zu verbessern (Art. 6(1)(f) DSGVO). Da die Zahlen keine personenbezogenen Daten enthalten, löschen wir sie nicht nach einer festen Frist.

13. Ihre Rechte gemäß DSGVO

Vorbehaltlich der Bedingungen und Ausnahmen der DSGVO haben Sie folgende Rechte:

• Auskunft: Bestätigung anfordern, ob wir Ihre personenbezogenen Daten verarbeiten, und eine Kopie erhalten.
• Berichtigung: Korrektur unrichtiger oder unvollständiger Daten anfordern.
• Löschung: Löschung anfordern, wenn kein überwiegendes Interesse an der Fortsetzung der Verarbeitung besteht.
• Einschränkung: Einschränkung der Verarbeitung in bestimmten Fällen anfordern.
• Datenübertragbarkeit: Ihre Daten in einem strukturierten, gängigen, maschinenlesbaren Format erhalten und an einen anderen Verantwortlichen übertragen.
• Widerspruch: der Verarbeitung aufgrund berechtigter Interessen oder zu Direktmarketingzwecken widersprechen.
• Einwilligung widerrufen: die Einwilligung jederzeit widerrufen, wenn die Verarbeitung auf Einwilligung basiert.
• Beschwerde: eine Beschwerde bei einer Aufsichtsbehörde einreichen, insbesondere im EWR-Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes. In Österreich können Sie sich an die DSB wenden.

Ausübung von Rechten für händlerkontrollierte Daten

Wenn Sie Endnutzer eines Händler-Shops sind, wenden Sie sich bitte an diesen Händler. Wir unterstützen den Händler bei der Beantwortung Ihrer Anfrage, wenn wir als Auftragsverarbeiter tätig sind.

14. Wie Sie Ihre Rechte ausüben können

Sie können Anfragen per E-Mail an legal@agenticcart.ai. senden. Möglicherweise müssen wir Ihre Identität und Ihre Beziehung zum Konto oder Händler überprüfen. Wir bemühen uns, innerhalb eines Monats wie von der DSGVO vorgeschrieben zu antworten, oder Sie zu informieren, wenn aufgrund der Komplexität mehr Zeit benötigt wird.

15. Datenschutz für Kinder

Der Dienst ist für Geschäftsnutzer bestimmt und richtet sich nicht an Personen unter 18 Jahren. Wenn Sie glauben, dass ein Kind uns personenbezogene Daten übermittelt hat, kontaktieren Sie legal@agenticcart.ai damit wir geeignete Maßnahmen ergreifen können.

16. Änderungen dieser Richtlinie

Wir können diese Richtlinie von Zeit zu Zeit aktualisieren. Die aktualisierte Version wird unter agenticcart.ai/privacy mit einem neuen Datum der letzten Aktualisierung veröffentlicht. Bei wesentlichen Änderungen werden wir, soweit gesetzlich vorgeschrieben, zusätzlich informieren. Die fortgesetzte Nutzung des Dienstes nach Änderungen bedeutet, dass Sie die aktualisierte Richtlinie akzeptieren.

17. Auftragsverarbeitungsvertrag für Händler

Unser Auftragsverarbeitungsvertrag ist Anhang 1 unserer Nutzungsbedingungen. Er gilt automatisch für jeden Händler und bedarf keiner separaten Unterzeichnung; er regelt unsere Auftragsverarbeitung in Ihrem Auftrag einschließlich der Standardvertragsklauseln für Übermittlungen außerhalb des EWR. Das Subverarbeiter-Verzeichnis in Anhang A ist die dort referenzierte maßgebliche Liste.

18. Kontakt

AgenticCart Datenschutz
E-Mail: legal@agenticcart.ai
Post: AgenticCart, Österreich

Anhang A: Unterauftragsverarbeiter

Wir verwenden sorgfältig ausgewählte Unterauftragsverarbeiter zur Bereitstellung des Dienstes. Jeder Unterauftragsverarbeiter verarbeitet nur die für seine Funktion erforderlichen Daten und ist durch schriftliche Vereinbarungen gebunden, die Vertraulichkeits-, Sicherheits- und Datenschutzverpflichtungen enthalten. Die aktuelle Liste kann umfassen:

Supabase

Funktion: verwaltete Postgres-Datenbank, Objektspeicher und Authentifizierung
Daten: Kontodaten, Authentifizierungskennungen, Anwendungsdaten, begrenzte Protokolle
Standort: EWR-Region wo verfügbar oder andere Regionen je nach Konfiguration
Schutzmaßnahmen: Verschlüsselung im Ruhezustand und während der Übertragung, SCCs für internationale Übermittlungen

OpenAI

Funktion: Anbieter des Sprachmodells und der Embeddings für den KI-Einkaufsassistenten
Daten: die zu beantwortende Shopper-Nachricht, ein begrenztes Fenster der letzten Nachrichten derselben Konversation, die relevanten Produktdatensätze inklusive Beschreibungen und Preisen sowie die vom Händler konfigurierten Store-Informationen und FAQ-Einträge
Vertragspartner und Ort: für Kunden im EWR ist der Auftragsverarbeiter OpenAI Ireland Limited (Irland). OpenAI Ireland übermittelt Daten weiter an das US-Unternehmen der Gruppe, um die Modelle zu betreiben.
Schutzmaßnahmen: Nach den API-Bedingungen des Anbieters werden Eingaben und Ausgaben nicht zum Training von Modellen genutzt und nicht länger als 30 Tage zur Missbrauchserkennung gespeichert, danach gelöscht. Eine Zero-Retention-Konfiguration nutzen wir derzeit nicht. Auf einen Angemessenheitsbeschluss stützen wir uns bei diesem Anbieter nicht; die vertraglichen Garantien für die Weiterübermittlung in die Vereinigten Staaten, einschließlich der Standardvertragsklauseln der Europäischen Kommission, werden mit dem Anbieter derzeit abgeschlossen.

Stripe

Funktion: Abo-Abrechnung, gehosteter Checkout und Kundenportal für Abonnements außerhalb von Shopify
Daten: Rechnungskontakt und -adresse, Steuernummern, Abo- und Rechnungsmetadaten. Kartendaten werden auf Stripe-Seiten eingegeben und von AgenticCart nie empfangen oder gespeichert
Standort: EU und andere Regionen je nach Stripe-Architektur
Schutzmaßnahmen: SCCs wo anwendbar, PCI-DSS-Zertifizierung durch Stripe

Shopify

Funktion: App-Installation, Shop-Integration und Abo-Abrechnung für Händler aus dem Shopify App Store
Daten: Shop-Kennung und Domain, App-Installations- und Abo-Status sowie über die autorisierten Berechtigungen abgerufene Katalogdaten
Standort: von Shopify gemäß Plattformarchitektur und Händlervereinbarung genutzte Regionen
Schutzmaßnahmen: Shopify-Plattformkontrollen und vertragliche Übermittlungsgarantien, soweit anwendbar

Cloud-Hosting und CDN, einschließlich Cloudflare

Funktion: Anwendungshosting, Datenbanken, Netzwerk, Content Delivery
Daten: Anwendungsdaten und Protokolle nach Bedarf
Standort: nach Konfiguration, einschließlich EWR und andere Regionen
Schutzmaßnahmen: SCCs wo anwendbar

E-Mail-Zustellung und Kundenkommunikation

Funktion: transaktionale und erlaubte Marketing-E-Mails, Support-Tickets
Daten: Kontaktdaten, Nachrichteninhalte, Zustellbarkeitsmetriken
Standort: EWR und/oder andere Regionen je nach Anbieter
Schutzmaßnahmen: SCCs wo anwendbar

Logging-, Monitoring- und Sicherheits-Tools

Funktion: Anwendungsprotokolle, Metriken, Incident Response
Daten: technische und Nutzungsdaten, Fehlerdetails, pseudonymisierte Identifikatoren
Standort: EWR und/oder andere Regionen
Schutzmaßnahmen: SCCs wo anwendbar

Wir können diese Liste aktualisieren, wenn sich unser Dienst weiterentwickelt. Händler können Änderungsbenachrichtigungen für Unterauftragsverarbeiter anfordern.

Anhang B: Datenfluss-Zusammenfassung

Kontoerstellung und Anmeldung

Daten fließen von Ihrem Browser zu Supabase Authentication, das Session-Tokens ausstellt. Kontoprofildaten werden in Supabase DB gespeichert.

Shopper-Konversation auf einer gehosteten Storefront

Die Nachricht eines Shoppers erreicht uns über TLS mit einer pseudonymen, im Browser erzeugten Session-Kennung. Wir durchsuchen den Katalog des Händlers und senden dann die Nachricht, den aktuellen Kontext und die relevanten Produktdatensätze an unseren Modellanbieter, der die Antwort zurückgibt. Die Konversation wird für Dashboard und Analysen des Händlers gespeichert und gemäß Abschnitt 10 gelöscht.

Katalog-Einlesung und Indexierung

Produktdaten fließen vom Shop oder Feed des Händlers zu uns, werden normalisiert und in Vektor-Embeddings umgewandelt, damit der Assistent sie durchsuchen kann. Sie enthalten normalerweise keine personenbezogenen Daten.

Commerce-Aktion im Shop des Händlers

Fügt ein Shopper einen Artikel zum Warenkorb hinzu oder geht zum Checkout, wird die Anfrage aus dem Browser des Shoppers an den Shop des Händlers gesendet, der sie in der Sitzung des Shoppers ausführt. Der Checkout findet im Shop des Händlers statt. Weder diese Anfrage noch eine Zahlung läuft über uns.

Abo-Abrechnung des Händlers

Ein Händler abonniert auf von Stripe gehosteten Seiten. Stripe erhebt Zahlungs- und Steuerdaten und übermittelt uns den Abo-Status. Kartendaten erhalten wir nie.

E-Mail und Support

Wir senden transaktionale E-Mails und Dienstbenachrichtigungen. Marketing-E-Mails werden nur gesendet, wenn erlaubt, mit einem Abmeldelink.