Rechtliches

Datenschutz

Stand: 30. September 2026

Stand: 2026-09-30 · Verantwortlich: lakör GmbH & Co. KG, Am Kreuzgraben 5, 18146 Rostock, ai-act-labels@lakoer.de (vollständige Angaben im Impressum)

Kurzfassung

Ich bin eine Shopify-App und lese die Bilder Deines Shops, um Herkunftsangaben zu finden. Ich speichere keine Bilder, keine Kundendaten und keine Bestellungen. Das Label in Deinem Shop lädt nichts von lakör nach und setzt keine Cookies. Wenn Du mich deinstallierst, werden Deine Daten gelöscht. Wenn Du den Support-Chat in der App nutzt, schicke ich Deine Nachricht und den technischen Zustand der App an Anthropic (USA), nie Deine Shop-Adresse und nie Zugangsdaten.

Für wen diese Erklärung gilt

Für Dich als Händler, der Easy AI Act Image Labels in seinem Shopify-Admin nutzt, einschließlich des Support-Chats in der App (Abschnitt „Support-Chat in der App”).
Für Besucher dieser Info-Seiten (Startseite, FAQ, Support, Rechtstexte).
Nicht für die Besucher Deines Shops. Das Label-Skript läuft im Browser Deiner Kunden, spricht aber nicht mit lakör: kein Netzwerk-Request an lakör, kein Cookie, kein Local Storage, keine Reichweitenmessung. Alle Dateien des Labels liefert Shopify von seiner eigenen Infrastruktur aus. lakör erfährt nicht, wer Deinen Shop besucht. Du musst lakör deshalb in Deiner eigenen Datenschutzerklärung nicht als Empfänger von Besucherdaten nennen.

Was ich in Deinem Shop lese

Bei der Installation fragt Shopify Dich um diese Berechtigungen:

Produkte lesen (read_products): Produkttitel und die Zuordnung, welches Bild zu welchem Produkt gehört. So kann ich Dir sagen, wo ein Bild verwendet wird.
Dateien lesen (read_files): Deinen Dateibestand, Dateinamen, Upload-Datum, Bildmaße, Bild-URLs und den Verwendungs-Index. Für die Prüfung lade ich die Originaldatei jedes Bildes, aber nur die ersten 512 Kilobyte, in denen Herkunftsangaben liegen. Ich lese daraus die Metadaten-Blöcke (C2PA, IPTC, XMP) und verwerfe die Bilddaten sofort wieder. Ich speichere keine Bilder.
Themes lesen (read_themes): die Einstellungsdateien Deiner Themes, um zu sehen, ob das Label aktiviert ist und welche Bilder in Theme-Abschnitten liegen. Ich schreibe nie in Dein Theme.
Shop-Sprachen lesen (read_locales): welche Sprachen Dein Shop anbietet, damit das Label bei dynamischer Sprachwahl in der Sprache Deines Kunden erscheinen kann.

Mehr Berechtigungen fordere ich nicht an. Insbesondere habe ich keine Schreibrechte auf Produkte, Dateien, Themes oder Übersetzungen.

Was ich nicht lese

Keine Kunden, keine Bestellungen, keine Zahlungen, keine Adressen, keine Analytics. Ich habe für diese Bereiche keine Berechtigung und fordere sie nicht an.

Was ich in Deinem Shop schreibe

Zwei eigene App-Metafelder (ai_badge.enabled, ai_badge.config): der An/Aus-Schalter und die Liste der Bilder, die Du als KI-generiert oder KI-bearbeitet bestätigt hast. Diese Felder gehören der App und verschwinden mit ihr.
Sonst nichts. Ich ändere keine Produkte, keine Bilder, keine Bildbeschreibungen, keine Themes, keine Menüs. Eine technische Sperrliste im Code verhindert das, sie wird bei jedem Deploy geprüft.

Was ich bei lakör speichere

Was	Wozu	Wie lange
Deine Shop-Adresse (`dein-shop.myshopify.com`)	Alle Daten sind Deinem Shop zugeordnet	bis zur Löschung nach Deinstallation
Zugriffstoken für die Shopify-API (verschlüsselt gespeichert)	Damit ich in Deinem Auftrag lesen darf	bis zur Deinstallation; dann sofort gelöscht
Scan-Ergebnisse je Bild: Dateiname, Bild-URL, Maße, Fundort, gefundene Herkunftsangaben (zum Beispiel „Erstellt mit Adobe Firefly”), Deine Entscheidung	Der eigentliche Zweck der App	bis zur Löschung nach Deinstallation
Einstellungen (Orte, Ecke, Größe des Labels)	Deine Konfiguration	bis zur Löschung nach Deinstallation
Sprache der Oberfläche (Deine Wahl im Sprachmenü der App und die zuletzt in der App gesehene Sprache)	Damit die App in Deiner Sprache erscheint und Hinweise, die ich ohne geöffnete App schicke (zum Beispiel E-Mails zu Deinem Plan), in dieser Sprache geschrieben sind	bis zur Löschung nach Deinstallation
Storefront-Passwort Deines Shops, nur wenn Du es für den Selbsttest einträgst (Shops mit Passwortschutz)	Damit der Selbsttest Deine Shopseiten laden und die Labels zählen kann	bis Du es entfernst oder bis zur Löschung nach Deinstallation; nie im Protokoll, nie in API-Antworten, nie an Dritte
Lauf-Historie (Datum, Zähler je Scan)	Damit Du siehst, was seit dem letzten Scan neu ist	bis zur Löschung nach Deinstallation
Automatik-Einstellung (Schalterstand, Einschaltzeit, Zeit des letzten Prüflaufs, Zähler neue, automatisch gelabelte und ohne Label abgeschlossene Dateien)	Damit ich neue Bilder täglich und nach Produktänderungen prüfen kann und Dir zeige, was passiert ist	bis zur Löschung nach Deinstallation
Entprell-Marker nach einer Produktänderung (nur Deine Shop-Adresse, keine Produktdaten)	Damit viele Änderungen kurz hintereinander nur einen Prüflauf auslösen	15 Minuten
Protokoll-Einträge (Ereignis, Shop, gekürzte IP-Adresse, Zeitpunkt)	Sicherheit und Fehlersuche; die IP wird um das letzte Oktett bzw. die hintere Hälfte gekürzt	90 Tage, dann automatisch weg
Support-Gespräche (Deine Nachrichten, Antworten der KI und von lakör, Thema, Status, Sprache)	Damit Du Deine Anfragen und die Antworten in der App siehst und lakör den Fall nachvollziehen kann	90 Tage nach der letzten Nachricht, oder früher, wenn Du die Anfrage im Chat löschst; spätestens bei Deinstallation
Fehlermeldungen aus dem Chat (Titel, Beschreibung, Theme-Name und -Version, technischer App-Zustand)	Damit lakör den Fehler nachstellen und beheben kann	180 Tage; spätestens bei Deinstallation
Einsicht-Freigabe (Zeitpunkt der Freigabe und ihr Ablauf, in der Anfrage gespeichert)	Nachweis Deiner Einwilligung und automatisches Ende der Einsicht	7 Tage ab Freigabe oder bis zu Deinem Widerruf
Mitarbeiter-Anfragecode (vierstellig, verschlüsselt gespeichert), nur wenn Du ihn im Chat hinterlegst	Zugangsanfrage von lakör im Shopify-Partner-Dashboard	bis die Anfrage gestellt ist, bis Du ihn zurückziehst oder spätestens 14 Tage; nie im Protokoll
Zähler der Support-Nachrichten je Shop und Tag (nur eine Zahl)	Nutzungsbegrenzung gegen Missbrauch des Chats	2 Tage
Bewertungs-Hinweis (Zeitpunkte, an denen ich gefragt habe, und der Ergebnis-Code aus dem Shopify-Dialog, auch „Nicht mehr fragen”)	Damit ich Dich nicht mehrfach frage	bis zur Löschung nach Deinstallation
Plan-Stand (Dein gewählter Plan Basic, Pro oder Unlimited, Status und Kennung Deiner Buchung bei Shopify, Intervall, Beginn der Testphase, Ende der Kulanzfrist, Stichtag und Zeitpunkte meiner Hinweise nach dem Ende als Entwicklungsshop)	Damit ich weiß, welcher Plan gilt und was er abdeckt (Scan, Label, Bildkontingent, Automatik, Sprache), und Dir den Stand auf der Plan-Seite zeige	bis zur Löschung nach Deinstallation
Bestandsliste Deiner Bilddateien (Datei-Kennung, Upload-Datum, Dateiname ohne Bild)	Damit ich weiß, welche Bilder in Deinem Kontingent liegen (die ältesten nach Upload-Datum), und Dir die Zahl der Bilder im Shop und eine Plan-Empfehlung zeige, auch ohne Plan	bis zur Löschung nach Deinstallation
Shop-E-Mail-Adresse aus Deinem Shopify-Admin	Nur für Hinweise zu Deinem Plan (Vorwarnung und Ende der kostenlosen Nutzung nach dem Wechsel von Entwicklungsshop zu Bezahlshop); ich schicke keine Werbung	bis zur Löschung nach Deinstallation

Herkunftsangaben in Bildern können Namen enthalten, etwa den Namen eines Fotografen oder des signierenden Werkzeugs. Ich speichere diese Angaben nur, weil sie der Nachweis für den Vorschlag sind, den Du siehst.

Ich speichere nicht: Bilddateien, Alt-Texte, Kundendaten, Bestellungen.

Shopify informiert mich per Webhook über Produktänderungen (products/update) und über Theme-Veröffentlichungen. Den Inhalt der Produkt-Meldung lese ich nicht aus und speichere daraus nichts; sie stößt nur einen Prüflauf an, der wie jeder Scan über die Shopify-Schnittstelle Dateien und Produkte liest. Kundendaten sind darin nicht enthalten.

Support-Chat in der App

In der App gibt es einen Support-Chat. Er ist freiwillig; Du erreichst lakör weiterhin per E-Mail an ai-act-labels@lakoer.de. Wenn Du im Chat eine Frage stellst, passiert Folgendes:

Antwort durch KI. Um Dir sofort zu antworten, schicke ich Deinen Nachrichtentext, den bisherigen Verlauf dieser einen Anfrage und eine technische Zusammenfassung des App-Zustands an Anthropic (Anthropic, PBC, San Francisco, USA; Vertragspartner für Kunden in der EU ist Anthropic Ireland Limited, Dublin). Die Zusammenfassung enthält Deine Einstellungen (Orte, Ecke, Größe des Labels), die Zähler des letzten Scans, Name und Version Deines Themes, den Stand der Embed-Aktivierung und des Selbsttests und den Plan-Status. Sie enthält nicht: Deine Shop-Adresse, Zugriffstoken, das Storefront-Passwort, Dateinamen, Bild-URLs oder Bilder. Anthropic verarbeitet diese Daten als Auftragsverarbeiter von lakör auf Grundlage eines Data Processing Addendum mit EU-Standardvertragsklauseln, nutzt Ein- und Ausgaben nicht zum Training seiner Modelle und speichert sie nach seinen Geschäftsbedingungen nur kurzzeitig zur Erkennung von Missbrauch. Antworten der KI sind allgemeine Informationen und Umsetzungshilfe, keine Rechtsberatung; die Prüfung Deiner Pflichten bleibt bei Dir. Gib im Chat keine Passwörter ein. Ich brauche nie Anmeldedaten, und lakör fragt nie danach.

Weitergabe an lakör. Kann die KI nicht helfen, meldest Du einen Fehler oder bittest Du um einen Menschen, gebe ich die Anfrage an lakör weiter. Dafür postet die App in einen privaten Slack-Kanal von lakör: Deine Shop-Adresse, den Nachrichtentext oder einen Auszug daraus und die technische Zusammenfassung von oben. Antworten von lakör erscheinen in Deinem Chat. Fehlermeldungen speichere ich zusätzlich als eigenen Datensatz (Titel, Beschreibung, Theme, App-Zustand), damit lakör den Fehler beheben kann.

Einsicht, nur auf Deine ausdrückliche Freigabe. Wenn Du in einer Anfrage „Einsicht erlauben” wählst, darf lakör für 7 Tage über den bestehenden Zugriffstoken der App lesend auf Produkte, Dateien und Theme-Einstellungen Deines Shops zugreifen, um den Fall nachzuvollziehen. Das ist eine Einwilligung; Du kannst sie im Chat jederzeit widerrufen, dann endet die Einsicht sofort. Neue Berechtigungen entstehen dadurch nicht, es bleiben die oben genannten Lese-Berechtigungen, und lakör schreibt auch mit Einsicht nie in Dein Theme.

Mitarbeiter-Anfragecode, nur auf Deine ausdrückliche Freigabe. Für eine Korrektur in Deinem Theme braucht lakör einen Mitarbeiter-Zugang (Collaborator) zu Deinem Shop, den Du selbst in Shopify bestätigst; die App selbst schreibt nie ins Theme. Wenn Du dafür den vierstelligen Mitarbeiter-Anfragecode aus Deinem Shopify-Admin im Chat hinterlegst, speichere ich ihn verschlüsselt, übermittle ihn an lakör über den privaten Slack-Kanal, und lakör nutzt ihn ausschließlich für die Zugangsanfrage im Shopify-Partner-Dashboard. Gelöscht wird der Code, sobald die Anfrage gestellt ist, wenn Du ihn im Chat zurückziehst oder spätestens nach 14 Tagen. Das Zurückziehen im Chat löscht nur den Code; einen bereits gewährten Zugang entziehst Du in Deinem Shopify-Admin unter Benutzer. Auch hierfür brauche ich kein Passwort.

Bewertung. Nach einer gelösten Anfrage oder auf der Übersicht der App kann ich Dich fragen, ob Du die App im App Store bewerten möchtest; mit „Nicht mehr fragen” speichere ich nur diese Entscheidung. Es gibt keine Gegenleistung für eine Bewertung. Der Dialog dazu ist der Bewertungsdialog von Shopify selbst. lakör erhält daraus nur, ob Du geklickt hast und ob Shopify den Dialog gezeigt hat; die Bewertung selbst verarbeitet die Shopify-Anbieterin nach ihrer Datenschutzerklärung.

Nutzungsbegrenzung und Löschen. Damit der Chat nicht missbraucht wird, zähle ich die Nachrichten je Shop und Tag; ist die Grenze erreicht, kannst Du weiter per E-Mail schreiben. Einzelne Anfragen kannst Du im Chat selbst löschen. Gespräche lösche ich 90 Tage nach der letzten Nachricht, Fehlermeldungen nach 180 Tagen, die Tageszähler nach 2 Tagen. Mit der Deinstallation wird alles davon sofort gelöscht (Löschbefehl shop/redact).

Ohne Anthropic-Anbindung (zum Beispiel bei einer Störung) arbeitet der Chat als Formular: Deine Nachricht geht dann direkt an lakör über Slack, ohne KI-Antwort.

Wo Deine Daten liegen

lakör betreibt Easy AI Act Image Labels auf der Plattform von Cloudflare, Inc. (San Francisco, USA). Cloudflare ist Auftragsverarbeiter von lakör mit Vertrag nach Art. 28 DSGVO. Die Datenbank (Cloudflare Workers KV) speichert in Rechenzentren in der EU und den USA und hält Kopien für kurze Zeit in Cloudflare-Standorten weltweit vor. Die Übermittlung in die USA stützt sich auf die Zertifizierung von Cloudflare nach dem EU-US Data Privacy Framework und ergänzend auf die EU-Standardvertragsklauseln.

Für die KI-Antworten im Support-Chat nutzt lakör Anthropic (Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA; für Kunden in der EU Anthropic Ireland Limited, Dublin). Anthropic ist Auftragsverarbeiter von lakör mit einem Data Processing Addendum nach Art. 28 DSGVO. Die Verarbeitung findet in den USA statt; die Übermittlung stützt sich auf die EU-Standardvertragsklauseln (Art. 46 DSGVO), die Teil des Addendums sind. Anthropic nutzt die übermittelten Ein- und Ausgaben nicht zum Training seiner Modelle. Übermittelt werden nur Nachrichtentext, Gesprächsverlauf und technischer App-Zustand ohne Shop-Adresse und ohne Zugangsdaten (Abschnitt „Support-Chat in der App”).

Zahlung. Zahlungsdaten (Zahlungsmittel, Rechnungen) verarbeitet ausschließlich die Shopify-Anbieterin nach ihrer Datenschutzerklärung; lakör sieht keine Zahlungsdaten und erhält von Shopify nur den Status Deiner Buchung (zum Beispiel aktiv, gekündigt) und deren Kennung.

E-Mail an Dich. Hinweise zu Deinem Plan (die Vorwarnung und die Nachricht zum Ende der kostenlosen Nutzung nach dem Wechsel von Entwicklungsshop zu Bezahlshop) schicke ich an die in Deinem Shopify-Admin hinterlegte Shop-E-Mail-Adresse über Resend (Resend, Inc., 2261 Market Street, San Francisco, CA 94114, USA). Resend ist Auftragsverarbeiter von lakör mit Vertrag nach Art. 28 DSGVO; die Übermittlung in die USA stützt sich auf die EU-Standardvertragsklauseln (Art. 46 DSGVO). Übermittelt werden Deine E-Mail-Adresse, Betreff und Text der Nachricht; Resend speichert Zustellprotokolle. [PRÜFEN: EU-Region bei Resend wählen, DPA abschließen, AVV-Anhang Ziffer 7 der Nutzungsbedingungen um Resend ergänzen]

Für interne Betriebsmeldungen (zum Beispiel „Scan abgebrochen”, „Theme gewechselt”) und für den Support nutzt lakör Slack (Slack Technologies, LLC, USA, Data-Privacy-Framework-zertifiziert). Eine Betriebsmeldung enthält Deine Shop-Adresse und einen kurzen Ereignistext, keine Bilder, keine Token. Eine Support-Weitergabe enthält zusätzlich Deinen Nachrichtentext oder einen Auszug daraus, den technischen App-Zustand und, nur wenn Du ihn ausdrücklich hinterlegt hast, den Mitarbeiter-Anfragecode. Der Support-Kanal ist privat und nur für lakör-Mitarbeiter sichtbar.

Shopify selbst ist die Quelle Deiner Daten und Dein eigener Auftragsverarbeiter; das Verhältnis zwischen Dir und Shopify regelt Shopifys Datenverarbeitungsvertrag, nicht diese Erklärung.

Rechtsgrundlagen

Nutzung der App, Scan, Speicherung Deiner Entscheidungen: Erfüllung des Nutzungsvertrags mit Dir, Art. 6 Abs. 1 lit. b DSGVO.
Support-Chat, KI-Antwort und Weitergabe an lakör: Erfüllung des Nutzungsvertrags mit Dir (Support), Art. 6 Abs. 1 lit. b DSGVO.
Plan-Stand, Abrechnung über die Shopify-Anbieterin und Hinweise zu Deinem Plan per E-Mail: Erfüllung des Nutzungsvertrags mit Dir, Art. 6 Abs. 1 lit. b DSGVO.
Einsicht in Deinen Shop und Speicherung des Mitarbeiter-Anfragecodes: Deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit im Chat widerrufbar; der Widerruf wirkt für die Zukunft.
Protokoll-Einträge, Betriebsmeldungen, Sicherheitsprüfungen, Nutzungsbegrenzung des Chats: berechtigtes Interesse an sicherem und nachvollziehbarem Betrieb, Art. 6 Abs. 1 lit. f DSGVO.
Soweit Du Einzelunternehmer bist und Deine Shop-Adresse oder E-Mail auf Dich verweist, gilt das Gleiche.

Zwei Rollen, sauber getrennt: Für die Daten, die lakör zur Durchführung des Vertrags mit Dir braucht (Shop-Adresse, Zugriffstoken, Protokoll, Einstellungen), ist lakör selbst Verantwortlicher. Für Bildmetadaten und Produktdaten, die lakör in Deinem Auftrag auswertet, ist lakör Dein Auftragsverarbeiter. Der Vertrag dazu ist Teil der Nutzungsbedingungen, Anhang „Auftragsverarbeitung”, und kommt mit der Installation zustande.

Was Du im App Store tust (Suche, Installation, Bewertungen), verarbeitet die Shopify-Anbieterin nach ihrer eigenen Datenschutzerklärung; lakör erhält daraus nur die Installation selbst.

Wie lange ich speichere

Solange Easy AI Act Image Labels installiert ist: alles aus der Tabelle oben.
Nach der Deinstallation: Shopify macht den Zugriffstoken sofort ungültig, und ich lösche ihn im selben Moment bei lakör. Shopify schickt lakör 48 Stunden später den Löschbefehl (shop/redact); dann werden alle Daten Deines Shops gelöscht. Spätestens 30 Tage nach der Deinstallation sind alle Daten weg, auch wenn der Löschbefehl nicht ankommen sollte; ein täglicher Aufräumlauf prüft das.
Ausnahme: Protokoll-Einträge laufen nach 90 Tagen ab, auch wenn Du vorher deinstallierst.
Support-Gespräche laufen 90 Tage nach der letzten Nachricht ab, Fehlermeldungen nach 180 Tagen, der Mitarbeiter-Anfragecode nach 14 Tagen, die Tageszähler nach 2 Tagen, jeweils auch ohne Deinstallation; mit der Deinstallation sofort.

Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit (Art. 15 bis 20 DSGVO): Mail an ai-act-labels@lakoer.de, Antwort innerhalb von 14 Tagen, gesetzlich spätestens innerhalb eines Monats.
Löschung selbst auslösen: App deinstallieren (Shopify-Admin, Apps, Easy AI Act Image Labels, Deinstallieren). Einzelne Support-Anfragen löschst Du direkt im Chat.
Einwilligung widerrufen (Art. 7 Abs. 3 DSGVO): Einsicht und Mitarbeiter-Anfragecode ziehst Du im Chat zurück, ohne Angabe von Gründen.
Widerspruch gegen Verarbeitung aus berechtigtem Interesse (Art. 21 DSGVO): gleiche Adresse.
Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Für lakör zuständig: Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Schwerin.

Ein Datenschutzbeauftragter ist bei lakör nicht bestellt, weil die gesetzlichen Voraussetzungen nicht vorliegen. [PRÜFEN: gilt das noch bei 6 Mitarbeitern? § 38 BDSG: Pflicht ab 20 Personen mit ständiger automatisierter Verarbeitung, oder bei Verarbeitung als Kerntätigkeit. Aktuell nicht erfüllt.]

Besucher dieser Info-Seiten

Beim Aufruf dieser Seiten verarbeitet Cloudflare als Hosting-Anbieter technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung) zur Auslieferung und zur Abwehr von Angriffen. lakör wertet diese Daten nicht aus und setzt auf diesen Seiten keine Cookies, keine Analyse-Tools und keine externen Schriften.

Änderungen

Wenn sich ändert, was ich lese, schreibe, speichere oder an wen ich es weitergebe, wird diese Erklärung im selben Zug angepasst und die Änderung in der App angekündigt. Die jeweils aktuelle Fassung findest Du unter /datenschutz.

Diese Website

Diese Website wird als statische Seite über Cloudflare (Workers, Static Assets) ausgeliefert. Sie setzt keine Cookies, lädt keine Schriften oder Skripte von Dritten (die Schriften liegen auf demselben Server) und nutzt keine Analyse-Werkzeuge, die Dich wiedererkennen. Cloudflare verarbeitet beim Abruf die technisch nötigen Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite) zur Auslieferung und Abwehr von Angriffen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wenn Du mir schreibst (ai-act-labels@lakoer.de), verarbeite ich Deine Angaben zur Beantwortung der Anfrage (Art. 6 Abs. 1 lit. b oder f DSGVO).