Rechtliches

Datenschutz

Stand: 15. Oktober 2026

Stand: 2026-10-15 · Verantwortlich: lakör GmbH & Co. KG, Am Kreuzgraben 5, 18146 Rostock, support@easyaiactlabels.com (vollständige Angaben im Impressum)

Kurzfassung

Ich bin eine Shopify-App und lese die Bilder Deines Shops, um Herkunftsangaben zu finden. Ich speichere keine Bilder, keine Kundendaten und keine Bestellungen. Das Label in Deinem Shop lädt nichts von meinem Server nach und setzt keine Cookies. Wenn Du mich deinstallierst, werden Deine Daten gelöscht. Ausgenommen sind Angaben, die ich für die Abrechnung mit Partnern brauche (Absatz „Partnerprogramm“ unter „Wo Deine Daten liegen“). Wenn Du den Support-Chat in der App nutzt, schicke ich Deine Nachricht, Deinen Vornamen und den technischen Zustand der App an Anthropic (USA), nie Deine Shop-Adresse, nie Deine E-Mail-Adresse und nie Zugangsdaten.

Für wen diese Erklärung gilt

Für Dich als Händler, der Easy AI Act Image Labels in seinem Shopify-Admin nutzt, einschließlich des Support-Chats in der App (Abschnitt „Support-Chat in der App”).
Für Besucher dieser Info-Seiten (Startseite, FAQ, Support, Rechtstexte).
Nicht für die Besucher Deines Shops. Das Label-Skript läuft im Browser Deiner Kunden, spricht aber nicht mit mir: kein Netzwerk-Request an meinen Server, kein Cookie, kein Local Storage, keine Reichweitenmessung. Alle Dateien des Labels liefert Shopify von seiner eigenen Infrastruktur aus. Ich erfahre nicht, wer Deinen Shop besucht. Du musst mich deshalb in Deiner eigenen Datenschutzerklärung nicht als Empfänger von Besucherdaten nennen.

Was ich in Deinem Shop lese

Bei der Installation fragt Shopify Dich um diese Berechtigungen:

Produkte lesen (read_products): Produkttitel und die Zuordnung, welches Bild zu welchem Produkt gehört. So kann ich Dir sagen, wo ein Bild verwendet wird.
Dateien lesen (read_files): Deinen Dateibestand, Dateinamen, Upload-Datum, Bildmaße, Bild-URLs und den Verwendungs-Index. Für die Prüfung lade ich die Originaldatei jedes Bildes, aber nur die ersten 512 Kilobyte, in denen Herkunftsangaben liegen. Ich lese daraus die Metadaten-Blöcke (C2PA, IPTC, XMP) und verwerfe die Bilddaten sofort wieder. Ich speichere keine Bilder.
Themes lesen (read_themes): die Einstellungsdateien Deiner Themes, um zu sehen, ob das Label aktiviert ist und welche Bilder in Theme-Abschnitten liegen. Ich schreibe nie in Dein Theme.
Shop-Sprachen lesen (read_locales): welche Sprachen Dein Shop anbietet, damit das Label bei dynamischer Sprachwahl in der Sprache Deines Kunden erscheinen kann.

Mehr Berechtigungen fordere ich nicht an. Insbesondere habe ich keine Schreibrechte auf Produkte, Dateien, Themes oder Übersetzungen.

Was ich nicht lese

Keine Kunden, keine Bestellungen, keine Zahlungen, keine Adressen, keine Analytics. Ich habe für diese Bereiche keine Berechtigung und fordere sie nicht an.

Was ich in Deinem Shop schreibe

Zwei eigene App-Metafelder (ai_badge.enabled, ai_badge.config): der An/Aus-Schalter und die Liste der Bilder, die Du als KI-generiert oder KI-bearbeitet bestätigt hast. Diese Felder gehören der App und verschwinden mit ihr.
Sonst nichts. Ich ändere keine Produkte, keine Bilder, keine Bildbeschreibungen, keine Themes, keine Menüs. Eine technische Sperrliste im Code verhindert das, sie wird bei jedem Deploy geprüft.

Was ich bei mir speichere

Was	Wozu	Wie lange
Deine Shop-Adresse (`dein-shop.myshopify.com`)	Alle Daten sind Deinem Shop zugeordnet	bis zur Löschung nach Deinstallation
Zugriffstoken für die Shopify-API (verschlüsselt gespeichert)	Damit ich in Deinem Auftrag lesen darf	bis zur Deinstallation; dann sofort gelöscht
Scan-Ergebnisse je Bild: Dateiname, Bild-URL, Maße, Fundort, gefundene Herkunftsangaben (zum Beispiel „Erstellt mit Adobe Firefly”), Deine Entscheidung und der Zeitpunkt, zu dem Du das Label gesetzt hast	Der eigentliche Zweck der App; der Zeitpunkt bestimmt im Plan Free, welche 25 Labels im Shop erscheinen	bis zur Löschung nach Deinstallation
Einstellungen (Orte, Ecke, Größe des Labels)	Deine Konfiguration	bis zur Löschung nach Deinstallation
Sprache der Oberfläche (Deine Wahl im Sprachmenü der App und die zuletzt in der App gesehene Sprache)	Damit die App in Deiner Sprache erscheint und Hinweise, die ich ohne geöffnete App schicke (zum Beispiel E-Mails zu Deinem Plan), in dieser Sprache geschrieben sind	bis zur Löschung nach Deinstallation
Storefront-Passwort Deines Shops, nur wenn Du es für den Selbsttest einträgst (Shops mit Passwortschutz)	Damit der Selbsttest Deine Shopseiten laden und die Labels zählen kann	bis Du es entfernst oder bis zur Löschung nach Deinstallation; nie im Protokoll, nie in API-Antworten, nie an Dritte
Lauf-Historie (Datum, Zähler je Scan)	Damit Du siehst, was seit dem letzten Scan neu ist	bis zur Löschung nach Deinstallation
Automatik-Einstellung (Schalterstand, Einschaltzeit, Zeit des letzten Prüflaufs, Zähler neue, automatisch gelabelte und ohne Label abgeschlossene Dateien)	Damit ich neue Bilder täglich und nach Produktänderungen prüfen kann und Dir zeige, was passiert ist	bis zur Löschung nach Deinstallation
Entprell-Marker nach einer Produktänderung (nur Deine Shop-Adresse, keine Produktdaten)	Damit viele Änderungen kurz hintereinander nur einen Prüflauf auslösen	15 Minuten
Protokoll-Einträge (Ereignis, Shop, gekürzte IP-Adresse, Zeitpunkt)	Sicherheit und Fehlersuche; die IP wird um das letzte Oktett bzw. die hintere Hälfte gekürzt	90 Tage, dann automatisch weg
Ansprechpartner einer Support-Anfrage (Dein Name, Deine E-Mail-Adresse nur, wenn Du sie angibst)	Damit das Support-Team weiß, mit wem es spricht, und Dir bei Bedarf antworten kann; zuletzt verwendete Angaben als Vorschlag für Deine nächste Anfrage	mit der Anfrage 90 Tage nach der letzten Nachricht; der Vorschlag bis zur Löschung nach Deinstallation
Support-Gespräche (Deine Nachrichten, Antworten der KI und des Support-Teams, Thema, Status, Sprache)	Damit Du Deine Anfragen und die Antworten in der App siehst und das Support-Team den Fall nachvollziehen kann	90 Tage nach der letzten Nachricht, oder früher, wenn Du die Anfrage im Chat löschst; spätestens bei Deinstallation
Fehlermeldungen aus dem Chat (Titel, Beschreibung, Theme-Name und -Version, technischer App-Zustand)	Damit ich den Fehler nachstellen und beheben kann	180 Tage; spätestens bei Deinstallation
Einsicht-Freigabe (Zeitpunkt der Freigabe und ihr Ablauf, in der Anfrage gespeichert)	Nachweis Deiner Einwilligung und automatisches Ende der Einsicht	7 Tage ab Freigabe oder bis zu Deinem Widerruf
Mitarbeiter-Anfragecode (vierstellig, verschlüsselt gespeichert), nur wenn Du ihn im Chat hinterlegst	Zugangsanfrage des Support-Teams im Shopify-Partner-Dashboard	bis die Anfrage gestellt ist, bis Du ihn zurückziehst oder spätestens 14 Tage; nie im Protokoll
Zähler der Support-Nachrichten je Shop und Tag (nur eine Zahl)	Nutzungsbegrenzung gegen Missbrauch des Chats	2 Tage
Bewertungs-Hinweis (Zeitpunkte, an denen ich gefragt habe, und der Ergebnis-Code aus dem Shopify-Dialog, auch „Nicht mehr fragen”)	Damit ich Dich nicht mehrfach frage	bis zur Löschung nach Deinstallation
Plan-Stand (Dein Plan Free oder Unlimited, Status und Kennung Deiner Buchung bei Shopify, Intervall, Beginn der Testphase, Zeitpunkt einer Kündigung in der App, Ende der Kulanzfrist, Stichtag und Zeitpunkte meiner Hinweise nach dem Ende als Entwicklungsshop)	Damit ich weiß, welcher Plan gilt und was er abdeckt (Zahl der Labels, Automatik, Sprache), und Dir den Stand auf der Plan-Seite zeige	bis zur Löschung nach Deinstallation
Eingelöster Code (Code, Art und Umfang des Vorteils, Zeitpunkt der Einlösung; bei einem Code aus dem Partnerprogramm die Kennung des Partners und ob die Zuordnung zum Partner geklappt hat)	Vorteil bei Shopify buchen, ein Code je Shop, Provision des Partners abrechnen	bis zur Löschung nach Deinstallation
Sperrvermerk zu einem eingelösten Code: Code, Art des Codes, Zeitpunkt der Einlösung und ein Prüfwert, der aus Deiner Shop-Adresse berechnet ist und sie nicht enthält; bei einem dauerhaften Rabatt zusätzlich seine Höhe	Damit je Shop nur ein Code gilt, auch nach einer erneuten Installation, jeder Code der Warteliste nur einmal und ein dauerhafter Rabatt nach einer erneuten Installation weiter gilt (§ 7 Abs. 9 der Nutzungsbedingungen)	400 Tage nach der Einlösung, auch nach Deinstallation; bei einem dauerhaften Rabatt 400 Tage nach dem letzten Tag, an dem Unlimited mit diesem Rabatt gebucht war (Test-Buchungen zählen nicht)
Zahl der falschen Code-Eingaben (nur eine Zahl)	Schutz gegen das Durchprobieren von Codes	1 Stunde
Bestandsliste Deiner Bilddateien (Datei-Kennung, Upload-Datum, Dateiname ohne Bild)	Damit ich Dir die Zahl der Bilder im Shop zeige und erkenne, welche Bilder Du gelöscht hast; gelöschte Bilder zählen nicht als Label	bis zur Löschung nach Deinstallation
Shop-E-Mail-Adresse aus Deinem Shopify-Admin	Nur für Hinweise zu Deinem Plan (Vorwarnung und Nachricht, dass nach dem Wechsel von Entwicklungsshop zu Bezahlshop Free gilt); ich schicke keine Werbung	bis zur Löschung nach Deinstallation

Herkunftsangaben in Bildern können Namen enthalten, etwa den Namen eines Fotografen oder des signierenden Werkzeugs. Ich speichere diese Angaben nur, weil sie der Nachweis für den Vorschlag sind, den Du siehst.

Ich speichere nicht: Bilddateien, Alt-Texte, Kundendaten, Bestellungen.

Shopify informiert mich per Webhook über Produktänderungen (products/update) und über Theme-Veröffentlichungen. Den Inhalt der Produkt-Meldung lese ich nicht aus und speichere daraus nichts; sie stößt nur einen Prüflauf an, der wie jeder Scan über die Shopify-Schnittstelle Dateien und Produkte liest. Kundendaten sind darin nicht enthalten.

Support-Chat in der App

In der App gibt es einen Support-Chat. Er ist freiwillig; Du erreichst mich weiterhin per E-Mail an support@easyaiactlabels.com. Wenn Du im Chat eine Frage stellst, passiert Folgendes:

Ansprechpartner. Vor jeder neuen Anfrage bestätigst Du Deinen Namen und, wenn Du möchtest, eine E-Mail-Adresse. Beides speichere ich mit der Anfrage; die zuletzt verwendeten Angaben schlage ich bei Deiner nächsten Anfrage wieder vor.

Antwort durch KI. Um Dir sofort zu antworten, schicke ich Deinen Nachrichtentext, den bisherigen Verlauf dieser einen Anfrage und eine technische Zusammenfassung des App-Zustands an Anthropic (Anthropic, PBC, San Francisco, USA; Vertragspartner für Kunden in der EU ist Anthropic Ireland Limited, Dublin). E-Mail-Adressen, Telefonnummern und Kontonummern (IBAN) im Nachrichtentext ersetze ich vorher durch Platzhalter; das Support-Team sieht Deine Nachricht unverändert. Die Zusammenfassung enthält Deine Einstellungen (Orte, Ecke, Größe des Labels), die Zähler des letzten Scans, Name und Version Deines Themes, den Stand der Embed-Aktivierung und des Selbsttests und den Plan-Status. Sie enthält nicht: Deine Shop-Adresse, Deine E-Mail-Adresse, Zugriffstoken, das Storefront-Passwort, Dateinamen, Bild-URLs oder Bilder. Anthropic verarbeitet diese Daten als mein Auftragsverarbeiter auf Grundlage eines Data Processing Addendum mit EU-Standardvertragsklauseln, nutzt Ein- und Ausgaben nicht zum Training seiner Modelle und speichert sie nach seinen Geschäftsbedingungen nur kurzzeitig zur Erkennung von Missbrauch. Antworten der KI sind allgemeine Informationen und Umsetzungshilfe, keine Rechtsberatung; die Prüfung Deiner Pflichten bleibt bei Dir. Gib im Chat keine Passwörter ein. Ich brauche nie Anmeldedaten, und das Support-Team fragt nie danach.

Weitergabe an das Support-Team. Kann die KI nicht helfen, meldest Du einen Fehler oder bittest Du um einen Menschen, gebe ich die Anfrage an das Support-Team weiter. Dafür postet die App in einen privaten Slack-Kanal des Support-Teams: Deine Shop-Adresse, Deinen Namen und, falls angegeben, Deine E-Mail-Adresse, den Nachrichtentext oder einen Auszug daraus und die technische Zusammenfassung von oben. Antworten des Support-Teams erscheinen in Deinem Chat. Fehlermeldungen speichere ich zusätzlich als eigenen Datensatz (Titel, Beschreibung, Theme, App-Zustand), damit ich den Fehler beheben kann.

Einsicht, nur auf Deine ausdrückliche Freigabe. Wenn Du in einer Anfrage „Einsicht erlauben” wählst, darf das Support-Team für 7 Tage über den bestehenden Zugriffstoken der App lesend auf Produkte, Dateien und Theme-Einstellungen Deines Shops zugreifen, um den Fall nachzuvollziehen. Das ist eine Einwilligung; Du kannst sie im Chat jederzeit widerrufen, dann endet die Einsicht sofort. Neue Berechtigungen entstehen dadurch nicht, es bleiben die oben genannten Lese-Berechtigungen, und das Support-Team schreibt auch mit Einsicht nie in Dein Theme.

Mitarbeiter-Anfragecode, nur auf Deine ausdrückliche Freigabe. Für eine Korrektur in Deinem Theme braucht das Support-Team einen Mitarbeiter-Zugang (Collaborator) zu Deinem Shop, den Du selbst in Shopify bestätigst; die App selbst schreibt nie ins Theme. Wenn Du dafür den vierstelligen Mitarbeiter-Anfragecode aus Deinem Shopify-Admin im Chat hinterlegst, speichere ich ihn verschlüsselt, übermittle ihn an das Support-Team über den privaten Slack-Kanal, und das Support-Team nutzt ihn ausschließlich für die Zugangsanfrage im Shopify-Partner-Dashboard. Gelöscht wird der Code, sobald die Anfrage gestellt ist, wenn Du ihn im Chat zurückziehst oder spätestens nach 14 Tagen. Das Zurückziehen im Chat löscht nur den Code; einen bereits gewährten Zugang entziehst Du in Deinem Shopify-Admin unter Benutzer. Auch hierfür brauche ich kein Passwort.

Bewertung. Nach einer gelösten Anfrage oder auf der Übersicht der App kann ich Dich fragen, ob Du die App im App Store bewerten möchtest; mit „Nicht mehr fragen” speichere ich nur diese Entscheidung. Es gibt keine Gegenleistung für eine Bewertung. Der Dialog dazu ist der Bewertungsdialog von Shopify selbst. Ich erhalte daraus nur, ob Du geklickt hast und ob Shopify den Dialog gezeigt hat; die Bewertung selbst verarbeitet die Shopify-Anbieterin nach ihrer Datenschutzerklärung.

Nutzungsbegrenzung und Löschen. Damit der Chat nicht missbraucht wird, zähle ich die Nachrichten je Shop und Tag; ist die Grenze erreicht, kannst Du weiter per E-Mail schreiben. Einzelne Anfragen kannst Du im Chat selbst löschen. Gespräche lösche ich 90 Tage nach der letzten Nachricht, Fehlermeldungen nach 180 Tagen, die Tageszähler nach 2 Tagen. Die Beiträge der App im Slack-Kanal des Support-Teams (darin Shop-Adresse, Name, E-Mail-Adresse, Nachrichtentext und gegebenenfalls der Mitarbeiter-Anfragecode) lösche ich 90 Tage nach der letzten Nachricht der Anfrage, auch nach einer Deinstallation; Antworten des Support-Teams im Kanal löscht Slack nach spätestens einem Jahr. Mit der Deinstallation wird alles davon sofort gelöscht (Löschbefehl shop/redact).

Ohne Anthropic-Anbindung (zum Beispiel bei einer Störung) arbeitet der Chat als Formular: Deine Nachricht geht dann direkt an das Support-Team über Slack, ohne KI-Antwort.

Wo Deine Daten liegen

Easy AI Act Image Labels wird auf der Plattform von Cloudflare, Inc. (San Francisco, USA) betrieben. Cloudflare ist mein Auftragsverarbeiter mit Vertrag nach Art. 28 DSGVO. Die Datenbank (Cloudflare Workers KV) speichert in Rechenzentren in der EU und den USA und hält Kopien für kurze Zeit in Cloudflare-Standorten weltweit vor. Die Übermittlung in die USA stützt sich auf die Zertifizierung von Cloudflare nach dem EU-US Data Privacy Framework und ergänzend auf die EU-Standardvertragsklauseln.

Für die KI-Antworten im Support-Chat nutze ich Anthropic (Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA; für Kunden in der EU Anthropic Ireland Limited, Dublin). Anthropic ist mein Auftragsverarbeiter mit einem Data Processing Addendum nach Art. 28 DSGVO. Die Verarbeitung findet in den USA statt; die Übermittlung stützt sich auf die EU-Standardvertragsklauseln (Art. 46 DSGVO), die Teil des Addendums sind. Anthropic nutzt die übermittelten Ein- und Ausgaben nicht zum Training seiner Modelle. Übermittelt werden nur Nachrichtentext (mit Platzhaltern statt E-Mail-Adressen, Telefonnummern und Kontonummern), Gesprächsverlauf und technischer App-Zustand, ohne Shop-Adresse, ohne Namen, ohne E-Mail-Adresse und ohne Zugangsdaten (Abschnitt „Support-Chat in der App”).

Zahlung. Zahlungsdaten (Zahlungsmittel, Rechnungen) verarbeitet ausschließlich die Shopify-Anbieterin nach ihrer Datenschutzerklärung; ich sehe keine Zahlungsdaten und erhalte von Shopify nur den Status Deiner Buchung (zum Beispiel aktiv, gekündigt) und deren Kennung.

Codes. Gibst Du einen Code ein, prüfe ich ihn zuerst bei mir, dann beim Partnerprogramm und bei der Warteliste von Easy AI Act Image Labels; beide sind eigene Dienste desselben Anbieters, betrieben ebenfalls bei Cloudflare. Für die Prüfung geht nur der Code dorthin. Löst Du einen Code aus dem Partnerprogramm ein, übermittle ich zusätzlich Deine Shop-Adresse an das Partnerprogramm, damit ich dem Partner seine Provision zuordnen kann; der Partner selbst erhält keine Shop-Adresse, keinen Namen und keine Kontaktdaten Deines Shops, sondern nur Summen und je ihm zugeordnetem Shop eine laufende Nummer mit Monat der ersten Zahlung, Provisionssatz und Plan-Stand (zum Beispiel Testphase oder zahlend). Die Warteliste erfährt nicht, welcher Shop ihren Code eingelöst hat.

Partnerprogramm. Für die Abrechnung mit Partnern liest das Partnerprogramm (ein eigener Dienst desselben Anbieters, betrieben ebenfalls bei Cloudflare) über die Shopify Partner API, was Shopify mir als Anbieter der App zu jedem Shop meldet, der die App installiert: Ereignisse (Installation, Deinstallation, Buchung, Kündigung, Pause und Ablehnung einer Buchung) und Abrechnungen (Betrag, Währung, Zeitpunkt, Kennung und Intervall der Buchung), jeweils mit der Shop-Adresse. Ist Dein Shop keinem Partner zugeordnet, lösche ich seine Ereignisse nach 14 Tagen und seine Abrechnungen nach 24 Monaten. Ist er einem Partner zugeordnet (über dessen Code, dessen Partner-Link oder von Hand), speichere ich Shop-Adresse, Plan-Stand (zum Beispiel Testphase, zahlend, deinstalliert), Abrechnungen und die daraus berechnete Provision, solange die Zuordnung besteht, also auch nach einer Deinstallation; Unterlagen, die zu einer Gutschrift an den Partner gehören, bewahre ich so lange auf, wie es das Steuerrecht verlangt (bis zu 10 Jahre, § 147 AO). Für die Zuordnung über einen Partner-Link nutze ich die Meldung, die Shopify bei einer Installation aus dem App Store an Google Analytics 4 des App-Store-Eintrags schickt, und daraus nur die Shop-Adresse und die Kennung des Partners; Empfänger dieser Messdaten ist Google Ireland Limited (Irland), mit Verarbeitung auch durch Google LLC (USA) im Rahmen des EU-US Data Privacy Framework. Der Partner erhält keine Shop-Adresse (Absatz „Codes“).

E-Mail an Dich. Hinweise zu Deinem Plan (die Vorwarnung und die Nachricht, dass nach dem Wechsel von Entwicklungsshop zu Bezahlshop Free gilt) schicke ich an die in Deinem Shopify-Admin hinterlegte Shop-E-Mail-Adresse über Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Resend ist mein Auftragsverarbeiter mit Vertrag nach Art. 28 DSGVO. Resend versendet über Server in Irland, speichert aber Empfänger, Betreff, Text und Versandprotokolle in den USA und löscht sie nach 30 Tagen, Sicherungskopien nach weiteren 7 Tagen. Resend ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 DSGVO).

Für interne Betriebsmeldungen (zum Beispiel „Scan abgebrochen”, „Theme gewechselt”) und für den Support nutze ich Slack (Slack Technologies, LLC, USA, Data-Privacy-Framework-zertifiziert). Eine Betriebsmeldung enthält Deine Shop-Adresse und einen kurzen Ereignistext, keine Bilder, keine Token. Eine Support-Weitergabe enthält zusätzlich Deinen Namen und, falls angegeben, Deine E-Mail-Adresse, Deinen Nachrichtentext oder einen Auszug daraus, den technischen App-Zustand und, nur wenn Du ihn ausdrücklich hinterlegt hast, den Mitarbeiter-Anfragecode. Der Support-Kanal ist privat und nur für das Support-Team sichtbar.

Shopify selbst ist die Quelle Deiner Daten und Dein eigener Auftragsverarbeiter; das Verhältnis zwischen Dir und Shopify regelt Shopifys Datenverarbeitungsvertrag, nicht diese Erklärung.

Rechtsgrundlagen

Nutzung der App, Scan, Speicherung Deiner Entscheidungen: Erfüllung des Nutzungsvertrags mit Dir, Art. 6 Abs. 1 lit. b DSGVO.
Support-Chat, KI-Antwort und Weitergabe an das Support-Team: Erfüllung des Nutzungsvertrags mit Dir (Support), Art. 6 Abs. 1 lit. b DSGVO; schreiben Deine Mitarbeiter im Chat, berechtigtes Interesse an der Beantwortung ihrer Anfragen, Art. 6 Abs. 1 lit. f DSGVO.
Plan-Stand, Abrechnung über die Shopify-Anbieterin und Hinweise zu Deinem Plan per E-Mail: Erfüllung des Nutzungsvertrags mit Dir, Art. 6 Abs. 1 lit. b DSGVO.
Einlösen eines Codes, Buchung des Vorteils und Sperrvermerk „ein Code je Shop“: Erfüllung des Nutzungsvertrags mit Dir (§ 7 Abs. 9 der Nutzungsbedingungen), Art. 6 Abs. 1 lit. b DSGVO; der Sperrvermerk über die Deinstallation hinaus und die Zählung falscher Eingaben: berechtigtes Interesse, die Bedingungen der Codes durchzusetzen, Dir einen dauerhaften Rabatt auch nach einer erneuten Installation zu erhalten und Missbrauch zu verhindern, Art. 6 Abs. 1 lit. f DSGVO.
Übermittlung der Shop-Adresse an das Partnerprogramm: berechtigtes Interesse an der Abrechnung der Provision mit dem Partner, der Dir den Code gegeben hat, Art. 6 Abs. 1 lit. f DSGVO.
Ereignisse und Abrechnungen aus der Shopify Partner API, Zuordnung über Google Analytics 4 und Speicherung für einem Partner zugeordnete Shops: berechtigtes Interesse an der Zuordnung und Abrechnung der Provisionen mit den Partnern, Art. 6 Abs. 1 lit. f DSGVO; Aufbewahrung der Unterlagen zu Gutschriften: rechtliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO.
Einsicht in Deinen Shop und Speicherung des Mitarbeiter-Anfragecodes: Deine Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit im Chat widerrufbar; der Widerruf wirkt für die Zukunft.
Protokoll-Einträge, Betriebsmeldungen, Sicherheitsprüfungen, Nutzungsbegrenzung des Chats: berechtigtes Interesse an sicherem und nachvollziehbarem Betrieb, Art. 6 Abs. 1 lit. f DSGVO.
Soweit Du Einzelunternehmer bist und Deine Shop-Adresse oder E-Mail auf Dich verweist, gilt das Gleiche.

Zwei Rollen, sauber getrennt: Für die Daten, die ich zur Durchführung des Vertrags mit Dir brauche (Shop-Adresse, Zugriffstoken, Protokoll, Einstellungen), ist lakör selbst Verantwortlicher. Für Bildmetadaten und Produktdaten, die ich in Deinem Auftrag auswerte, ist lakör Dein Auftragsverarbeiter. Der Vertrag dazu ist Teil der Nutzungsbedingungen, Anhang „Auftragsverarbeitung”, und kommt mit der Installation zustande.

Was Du im App Store tust (Suche, Installation, Bewertungen), verarbeitet die Shopify-Anbieterin nach ihrer eigenen Datenschutzerklärung; ich erhalte daraus nur die Installation selbst.

Wie lange ich speichere

Solange Easy AI Act Image Labels installiert ist: alles aus der Tabelle oben.
Nach der Deinstallation: Shopify macht den Zugriffstoken sofort ungültig, und ich lösche ihn im selben Moment bei mir. Shopify schickt mir 48 Stunden später den Löschbefehl (shop/redact); dann werden alle Daten Deines Shops gelöscht. Spätestens 30 Tage nach der Deinstallation sind alle Daten weg, auch wenn der Löschbefehl nicht ankommen sollte; ein täglicher Aufräumlauf prüft das.
Ausnahme: Protokoll-Einträge laufen nach 90 Tagen ab, auch wenn Du vorher deinstallierst.
Ausnahme Sperrvermerk zu einem eingelösten Code: Er enthält Deine Shop-Adresse nicht und läuft nach der Frist aus der Tabelle oben ab, unabhängig von der Deinstallation.
Ausnahme Partnerprogramm: Ereignisse und Abrechnungen aus der Shopify Partner API laufen nach eigenen Fristen ab, unabhängig von der Deinstallation (14 Tage bzw. 24 Monate ohne Partner; mit Partner solange die Zuordnung besteht, Unterlagen zu Gutschriften bis zu 10 Jahre; Absatz „Partnerprogramm“).
Support-Gespräche laufen 90 Tage nach der letzten Nachricht ab, Fehlermeldungen nach 180 Tagen, der Mitarbeiter-Anfragecode nach 14 Tagen, die Tageszähler nach 2 Tagen, jeweils auch ohne Deinstallation; mit der Deinstallation sofort.

Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit (Art. 15 bis 20 DSGVO): Mail an support@easyaiactlabels.com, Antwort innerhalb von 14 Tagen, gesetzlich spätestens innerhalb eines Monats.
Löschung selbst auslösen: App deinstallieren (Shopify-Admin, Apps, Easy AI Act Image Labels, Deinstallieren). Einzelne Support-Anfragen löschst Du direkt im Chat.
Einwilligung widerrufen (Art. 7 Abs. 3 DSGVO): Einsicht und Mitarbeiter-Anfragecode ziehst Du im Chat zurück, ohne Angabe von Gründen.
Widerspruch gegen Verarbeitung aus berechtigtem Interesse (Art. 21 DSGVO): gleiche Adresse.
Beschwerde bei einer Datenschutz-Aufsichtsbehörde. Für mich zuständig: Landesbeauftragter für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Schwerin.

Besucher dieser Info-Seiten

Beim Aufruf dieser Seiten verarbeitet Cloudflare als Hosting-Anbieter technisch notwendige Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser-Kennung) zur Auslieferung und zur Abwehr von Angriffen. Ich werte diese Daten nicht aus und setze auf diesen Seiten keine Cookies, keine Analyse-Tools und keine externen Schriften.

Änderungen

Wenn sich ändert, was ich lese, schreibe, speichere oder an wen ich es weitergebe, wird diese Erklärung im selben Zug angepasst und die Änderung in der App angekündigt. Die jeweils aktuelle Fassung findest Du unter /datenschutz.

Diese Website

Diese Website wird über Cloudflare (Workers, Static Assets) ausgeliefert. Sie setzt keine Cookies, außer dem Anmelde-Cookie im Partner-Bereich (Abschnitt „Partnerprogramm“), lädt keine Schriften oder Skripte von Dritten (die Schriften liegen auf demselben Server) und nutzt keine Analyse-Werkzeuge, die Dich wiedererkennen. Cloudflare verarbeitet beim Abruf die technisch nötigen Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite) zur Auslieferung und Abwehr von Angriffen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wenn Du mir schreibst (support@easyaiactlabels.com), verarbeite ich Deine Angaben zur Beantwortung der Anfrage (Art. 6 Abs. 1 lit. b oder f DSGVO).

KI-Bild-Prüfer: Bilder prüfen

Bilder, die Du im KI-Bild-Prüfer auswählst, liest Dein Browser auf Deinem Gerät. Sie werden weder an mich noch an Dritte übertragen; auch der PDF-Bericht entsteht auf Deinem Gerät.

KI-Bild-Prüfer: Shop prüfen

Gibst Du eine Shop-Adresse ein, ruft mein Programm EasyAIActLabelsBot öffentliche Angaben dieses Shops ab (robots.txt, Produkt- und Kollektionslisten, Startseite, bis zu 3 Produktseiten, bis zu 30 Produktbilder jeweils teilweise; Einzelheiten auf der Seite EasyAIActLabelsBot). Das Ergebnis besteht aus Zahlen und den Adressen von bis zu 30 geprüften Produktbildern auf cdn.shopify.com, nicht aus den Bildern selbst, und bleibt 10 Minuten gespeichert, damit dieselbe Abfrage den Shop nicht erneut belastet. Die Vorschaubilder lädt Dein Browser direkt von der Shopify-CDN (cdn.shopify.com); Shopify erhält dabei wie bei jedem Bildabruf Deine IP-Adresse, aber nicht die Adresse dieser Seite. Deine IP-Adresse nutze ich nur, um die Zahl der Abfragen je Minute zu begrenzen (Schutz vor Missbrauch); sie steht in keinem Protokoll. Die Protokolle enthalten Shop-Domain, Ergebnis und Dauer und werden nach 7 Tagen gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung des Werkzeugs, Schutz vor Missbrauch).

KI-Bild-Prüfer: Inhaber bestätigen und Bericht

Möchtest Du als Inhaber einen Bericht zu Deinem Shop, lese ich die im Shop veröffentlichten Kontaktadressen (Impressum, Kontaktseite, Fußbereich) und zeige sie Dir nur maskiert; gespeichert werden sie nicht. An die Adresse, die Du auswählst oder als Adresse Deiner Shop-Domain eingibst, schicke ich eine Mail mit einem Bestätigungslink, der 24 Stunden gilt. Erst mit dem Klick lege ich den Bericht an. Dafür lese ich bis zu 1.000 Produktbilder Deines Shops (jeweils die ersten 512 KB) und speichere die Zahlen und bis zu 30 Bilder im Detail (Dateiname, Bildadresse, Produkttitel, gelesene Herkunftsangaben) für 7 Tage. Der Bericht ist nur über den Link aus meiner Mail erreichbar; Du kannst ihn vorher löschen. Die Bilder im Bericht lädt Dein Browser direkt von der Shopify-CDN (cdn.shopify.com); Shopify erhält dabei Deine IP-Adresse. Die E-Mail-Adresse speichere ich nur, bis die Mail „Bericht fertig“ verschickt ist, danach lösche ich sie (wie lange der Mail-Dienst die Mails aufbewahrt, steht im nächsten Absatz). Wie viele Bestätigungsmails je Shop und Tag verschickt wurden, zähle ich 2 Tage lang ohne Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Du forderst den Bericht an) und für die Zähler Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

Shopify AI Image Index

Für eine Statistik zur Kennzeichnung von KI-Bildern im Onlinehandel liest mein Programm EasyAIActLabelsBot höchstens einmal je Ausgabe öffentliche Angaben von Shopify-Shops aus einer öffentlichen Liste vielbesuchter Websites (Tranco) mit Länderendung eines EU-Staats, .eu oder .ch: dieselben Seiten und Bildanfänge wie bei der Shop-Prüfung, Einzelheiten auf der Seite EasyAIActLabelsBot. Veröffentlicht werden nur Summen über mindestens 50 Shops, nie einzelne Shops. Die Liste der gelesenen Adressen und die Einzelergebnisse bleiben intern und werden nach höchstens 15 Monaten gelöscht. Benennt eine Shop-Adresse eine Person, ist das ein personenbezogenes Datum; Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. f DSGVO (Statistik zur KI-Kennzeichnung, Art. 89 Abs. 1 DSGVO). Du kannst widersprechen: per Mail an die Adresse im Impressum oder mit einer Sperre für EasyAIActLabelsBot in der robots.txt; dann lösche ich die Angaben zu Deinem Shop und nehme ihn aus künftigen Erhebungen.

Versand der Mails

Die Mails verschicke ich über Resend (Plus Five Five, Inc., San Francisco, USA) als Auftragsverarbeiter. Resend versendet sie über Server in Irland, speichert aber Empfänger, Betreff, Inhalt und Versandprotokolle in den USA und löscht sie nach 30 Tagen, Sicherungskopien nach weiteren 7 Tagen. Resend ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023); zusätzlich gelten EU-Standardvertragsklauseln. Die Mails enthalten keine Zählpixel und keine umgeschriebenen Links; Öffnungs- und Klickverfolgung ist ausgeschaltet.

Neuigkeiten zur KI-Kennzeichnung (freiwillig)

Setzt Du bei der Bestätigung den zweiten Haken, schicke ich Dir gelegentlich Neuigkeiten zur Kennzeichnung von KI-Bildern an die bestätigte Adresse. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Du mit dem Klick auf den Bestätigungslink erteilst. Als Nachweis speichere ich Adresse, Shop-Domain, Zeitpunkt der Anfrage und der Bestätigung, Sprache und die Fassung des Einwilligungstextes. Du kannst Dich jederzeit über den Link in jeder dieser Mails abmelden; dann verschicke ich nichts mehr und bewahre den Nachweis nur noch gesperrt als Beleg für die frühere Einwilligung auf, höchstens 3 Jahre (Art. 6 Abs. 1 lit. f DSGVO, Abwehr von Ansprüchen).

Partnerprogramm

Dieser Abschnitt gilt, wenn Du Dich als Partner anmeldest oder Partner bist (Partnerbedingungen). Verantwortlich ist der Anbieter, der oben im Kopf dieser Erklärung steht. Fragen zum Partnerprogramm und zu Deinen Daten: partners@easyaiactlabels.com.

Was ich verarbeite. Bei der Anmeldung: Deine Mail-Adresse, Deine Sprache, Deine Bestätigung, dass Du als Unternehmer handelst, und die Fassung der Partnerbedingungen, der Du zustimmst, jeweils mit Zeitpunkt. Mehr brauche ich für die Anmeldung nicht. Im Konto trägst Du später ein, spätestens wenn Dein Guthaben 50 EUR erreicht: Name, Firma, Anschrift mit Land, Deinen steuerlichen Status mit USt-IdNr., Steuernummer oder Steuer- bzw. Registernummer und Deine PayPal-Adresse (Pflichtangaben für Gutschrift und Auszahlung). Freiwillig kannst Du eintragen, wo Du die App empfiehlst, und für den Community-Vorteil die Zahl der Follower oder Abonnenten eines Kanals mit dem öffentlichen Link zu diesem Kanal; schickst Du mir dazu auf meine Bitte einen Nachweis (zum Beispiel einen Auszug aus der Statistik des Kanals), verarbeite ich auch diesen. Außerdem verarbeite ich: Deinen Partner-Code und einen früheren Code, wenn Du ihn geändert hast, welche Shops Dir zugeordnet sind (je Shop Monat der ersten Zahlung, Provisionssatz und Plan-Stand), Provisionen, Gutschriften und Auszahlungen, das Datum, an dem Dein Guthaben 50 EUR erreicht hat, mit den Erinnerungen dazu, ob und wann ich Deine Community-Angabe bestätigt oder nicht bestätigt habe, Vermerke zu Stichproben Deiner Werbung, das Ergebnis der Prüfung Deiner USt-IdNr. und ein Protokoll der Änderungen an Deinen Auszahlungs- und Steuerdaten. Hast Du Dich nach einer früheren Fassung der Partnerbedingungen mit dem damaligen Formular beworben, verarbeite ich zusätzlich die Angaben daraus (Website, Art Deiner Tätigkeit, Deine Kanäle, ob Du eine Kooperation suchst, Deine Nachricht). Die Pflichtangaben brauche ich für die Gutschriften und die Auszahlung; ohne sie kann ich nicht abrechnen (Partnerbedingungen § 8 Abs. 3).

Wozu und auf welcher Grundlage.

Partnerschaft durchführen, Konto, Code und Link, Zuordnung, Provisionen, Gutschriften, Auszahlung, Prüfung Deiner Community-Angabe und die Mails dazu (Bestätigungs-Link der Anmeldung, Willkommen mit Code und Link, Anmelde-Link, Monatsbericht, Erinnerungen an fehlende Angaben, Endabrechnung, Kündigung): Vertrag, Art. 6 Abs. 1 lit. b DSGVO.
Gutschriften ausstellen und aufbewahren, USt-IdNr. prüfen: rechtliche Pflicht, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14, § 14a und § 14b UStG und § 147 AO.
Schutz vor Missbrauch (Begrenzung der Anmeldungen je IP-Adresse, ohne Speicherung der IP-Adresse), Sperrliste früherer Codes, Protokoll der Änderungen, interne Benachrichtigung, Stichproben der Werbung nach den Partnerbedingungen, Abwehr von Ansprüchen: berechtigtes Interesse an einem sicheren und nachvollziehbaren Partnerprogramm, Art. 6 Abs. 1 lit. f DSGVO.

Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die auf einer Bewertung Deiner Person beruht, gibt es nicht. Konto, Code und Link entstehen mit der Bestätigung Deiner Anmeldung ohne Prüfung; über den Community-Vorteil, Stichproben und Kündigungen entscheidet ein Mensch.

Anmeldung und Cookie. In Dein Partner-Konto meldest Du Dich mit einem Link an, den ich Dir per Mail schicke; er gilt 20 Minuten und nur einmal. Danach setze ich das Cookie „eal_p“, das Dich 30 Tage angemeldet hält. Es gilt nur für den Partner-Bereich, ist für Skripte nicht lesbar und technisch notwendig, damit Du das Konto nutzen kannst, das Du ausdrücklich aufrufst (§ 25 Abs. 2 Nr. 2 TDDDG). Bei mir liegt von Link und Cookie nur ein Prüfwert (Hash), aus dem sie sich nicht zurückrechnen lassen. Beim Abmelden lösche ich das Cookie. Weitere Cookies setzt der Partner-Bereich nicht; auch für den Partner-Link setze ich keines.

Zuordnung von Installationen. Installiert ein Shop die App über einen Partner-Link, meldet Shopify das Installationsereignis mit der Shop-Adresse und der Partner-Kennung (Teil des Links) an Google Analytics 4 des App-Store-Eintrags. Ich lese die Meldungen täglich aus und ordne den Shop dem Partner zu; dafür nutze ich nur die Shop-Adresse und die Kennung. Empfänger der Messdaten ist Google Ireland Limited (Irland), mit Verarbeitung auch durch Google LLC (USA) im Rahmen des EU-US Data Privacy Framework. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (Zuordnung und Abrechnung der Provisionen), für Dich als Partner zugleich lit. b (Durchführung des Vertrags).

Stand der zugeordneten Shops. Für die Abrechnung und die Anzeige im Partner-Konto lese ich aus der Shopify Partner API die Abrechnungen der App und ihre Ereignisse (Installation, Deinstallation, Buchung, Kündigung, Pause und Ablehnung einer Buchung, jeweils mit Zeitpunkt und Shop-Adresse). Für Shops, die einem Partner zugeordnet sind, leite ich daraus den Plan-Stand (Free, Testphase, zahlend, pausiert, deinstalliert) und den Monat der ersten Zahlung ab. Ereignisse von Shops, die noch keinem Partner zugeordnet sind, halte ich höchstens 14 Tage vor, damit eine spätere Zuordnung (zum Beispiel per Code) den richtigen Stand zeigt; danach lösche ich sie. Der Partner sieht keine Shop-Adresse, sondern je Shop nur eine laufende Nummer mit Monat der ersten Zahlung, Provisionssatz und Plan-Stand. Grundlage: Art. 6 Abs. 1 lit. f DSGVO (Abrechnung der Provisionen), für Dich als Partner zugleich lit. b.

Empfänger.

Cloudflare, Inc. (USA) betreibt die Plattform und die Datenbank des Partnerprogramms als mein Auftragsverarbeiter, wie unter „Wo Deine Daten liegen“ beschrieben.
Resend verschickt die Mails zum Partnerprogramm (Absender partners@easyaiactlabels.com) als mein Auftragsverarbeiter, wie unter „Versand der Mails“ beschrieben.
PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg) bekommt für jede Auszahlung Deine PayPal-Adresse, den Betrag und die Gutschrift-Nummer. Für die Zahlung ist PayPal eigener Verantwortlicher; es gilt die Datenschutzerklärung von PayPal.
Slack (Slack Technologies, LLC, USA): Bei einer neuen Anmeldung bekomme ich eine interne Nachricht mit Deiner Partner-Nummer, der Domain Deiner Mail-Adresse und Deiner Sprache, bei Deinem ersten zugeordneten Shop mit den Stellen, die Du freiwillig für Deine Werbung angegeben hast, und bei einer Community-Angabe mit Zahl und Link Deines Kanals; Steuer- und Auszahlungsdaten enthalten diese Nachrichten nicht. Bei einem Antrag nach der früheren Fassung enthielt die Nachricht Deinen Namen und Deine Firma. Meldungen zum Monatslauf enthalten nur Summen. Slack ist mein Auftragsverarbeiter.
Europäische Kommission (VIES): Hast Du Deinen Sitz in einem anderen EU-Staat, prüfe ich Deine USt-IdNr. im Bestätigungsverfahren der EU-Kommission, wenn Du sie einträgst, und vor jeder Gutschrift; die Abfrage beantwortet die Steuerverwaltung Deines Landes.
Steuerberatung und Finanzverwaltung bekommen Gutschriften und Buchungsdaten, soweit Buchhaltung und Steuer das verlangen.

Übermittlung in die USA. Cloudflare, Resend und Slack verarbeiten Daten auch in den USA. Die Übermittlung stützt sich auf die Zertifizierung dieser Anbieter nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, Art. 45 DSGVO) und, wo vereinbart, ergänzend auf EU-Standardvertragsklauseln (Art. 46 DSGVO).

Wie lange ich speichere.

Anträge nach der früheren Fassung, die ich abgelehnt habe: 6 Monate nach der Ablehnung.
Anmelde-Links: bis zur Nutzung, höchstens 20 Minuten. Sitzungen: 30 Tage oder bis zum Abmelden.
Unbestätigte Anmeldungen: 24 Stunden, danach lösche ich Mail-Adresse, Sprache und Bestätigungen.
Konten ohne zugeordneten Shop und ohne Provision, mit denen Du Dich 24 Monate lang nicht angemeldet hast: Ich lösche sie; 30 Tage vorher sage ich Dir per Mail Bescheid, und wenn Du Dich anmeldest, bleibt das Konto bestehen.
Während der Partnerschaft: alles, was ich für sie brauche. Community-Angaben und Nachweise, die Du änderst, ersetze ich durch die neuen.
Nach dem Ende der Partnerschaft: Angaben, die ich nicht für Gutschriften, Auszahlungen und deren Nachweis brauche (zum Beispiel Website, Kanäle, Art der Tätigkeit, Nachricht, Stellen Deiner Werbung, Community-Angaben), lösche ich, sobald die letzte Gutschrift ausgezahlt oder ein Guthaben unter 50 EUR verfallen ist und kein Nachlauf mehr läuft.
Ereignisse von Shops, die keinem Partner zugeordnet sind: höchstens 14 Tage.
Gutschriften (PDF und XML), Auszahlungen, die Umsatzdaten, auf denen sie beruhen, die dafür nötigen Stammdaten (Name, Anschrift, Mail-Adresse, Steuerangaben, PayPal-Adresse) und das Protokoll der Änderungen an Auszahlungs- und Steuerdaten: 8 Jahre ab dem Ende des Kalenderjahres, in dem die Gutschrift ausgestellt wurde (§ 147 Abs. 1 Nr. 4 und Abs. 3 AO, § 14b Abs. 1 UStG); länger nur, solange sie für eine noch offene Steuerfestsetzung von Bedeutung sind. Bis dahin kannst Du Dich anmelden und Deine Gutschriften laden.
Slack-Nachrichten zu Anmeldungen, Anträgen und Community-Angaben: höchstens ein Jahr.
Mails beim Versanddienst: wie unter „Versand der Mails“.

Deine Rechte. Es gelten die Rechte unter „Deine Rechte“ (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Beschwerde bei der Aufsichtsbehörde). Für das Partnerprogramm erreichst Du mich auch unter partners@easyaiactlabels.com. Name, Anschrift, Steuer-, Auszahlungs- und Community-Angaben änderst Du im Konto selbst.