Rechtliches
Auftragsverarbeitungsvertrag (AVV)
1. Vertragsparteien und Rollen
Der Kunde, der das Hazelchat-Konto innehat, ist Verantwortlicher. Jan-Philipp Peters, Einzelunternehmer, Prenzlauer Allee 173, 10409 Berlin, Deutschland („Hazelchat“), ist Auftragsverarbeiter. Kontodaten des Kunden selbst (E-Mail-Adresse, Zugangsdaten, Einstellungen des Arbeitsbereichs) verarbeitet Hazelchat als eigenständiger Verantwortlicher; sie fallen unter die Datenschutzerklärung, nicht unter diesen Vertrag.
2. Gegenstand, Dauer, Art und Zweck
Hazelchat betreibt einen Chat, den der Verantwortliche auf seiner verifizierten Website einbindet und, wenn der Verantwortliche dies einschaltet, auf einer von Hazelchat unter chat.hazelchat.co gehosteten Seite anbietet, die diese verifizierte Website nennt. Im Auftrag des Verantwortlichen speichert Hazelchat Besuchergespräche und etwaige Anfragen, ruft Passagen aus den freigegebenen Inhalten des Verantwortlichen ab, um Fragen zu beantworten, erfasst, sofern der Verantwortliche dies nicht ausschaltet, die Herkunft jedes Gesprächs, wie der Browser des Besuchers sie übermittelt hat, damit der Verantwortliche sehen kann, welche Kampagnen, verweisenden Websites und Seiten zu Gesprächen, Anfragen und Buchungen sowie, wenn der Verantwortliche seinen Shop verbindet, zu Bestellungen führen, erfasst die Version der Datenschutzhinweise, die bei einer Anfrage angezeigt wurde, benachrichtigt den Verantwortlichen per E-Mail über eingegangene Anfragen – mit Namen, E-Mail-Adresse und Nachricht des Besuchers in dieser E-Mail, wenn der Verantwortliche dies eingeschaltet hat –, wendet die vom Verantwortlichen eingestellte Aufbewahrungsdauer an und stellt Werkzeuge für Export, Suche und Löschung bereit und beantwortet, wenn der Verantwortliche einen KI-Assistenten verbindet, dessen Anfragen nach der Übersicht, den Gesprächen und den Anfragen des Agenten des Verantwortlichen und erfasst seine Testfragen und die Antworten, die er dem Entwurf des Verantwortlichen hinzufügt. Nutzt der Verantwortliche Workshop, den Assistenten in seinem Konto, zählt Hazelchat außerdem die Besucheraktivität und die Anfragen des Verantwortlichen und sendet die Besucherfragen des Verantwortlichen (mit ersetzten E-Mail-Adressen, Webadressen, Telefonnummern und langen Zahlen), ihr Ergebnis und ihren Tag, Passagen der freigegebenen Inhalte und die Entwurfseinstellungen an den Unterauftragsverarbeiter in Anlage 1, der die KI-Verarbeitung erbringt, um die Fragen des Verantwortlichen zu seinem Agenten zu beantworten und Änderungen an seinem Entwurf vorzuschlagen. Hazelchat übernimmt eine vorgeschlagene Änderung nur, wenn der Verantwortliche sie freigibt, und veröffentlicht sie nie. Die Verarbeitung dauert so lange, wie das Konto besteht, und endet mit der in Abschnitt 11 beschriebenen Löschung.
3. Art der Daten und betroffene Personen
- Betroffene Personen: Besucher der Website des Verantwortlichen oder seiner geteilten Seite, die den Chat nutzen, und alle in ihren Nachrichten genannten Personen; Personen, in deren Auftrag ein KI-Agent den Agenten des Verantwortlichen über dessen öffentliche Agentenadresse fragt, und alle in diesen Fragen genannten Personen.
- Daten: Fragen und Antworten einschließlich der angezeigten Quellpassagen; Name, E-Mail-Adresse und Nachricht einer Anfrage; der angezeigte Hinweistext zur Anfrage und die angezeigte Version der Hinweise, mit Zeitstempel, Gesprächs- und Veröffentlichungsbezug; die Herkunft jedes Gesprächs, wie der Browser des Besuchers sie beim Start des Gesprächs übermittelt hat: Kampagnenparameter (utm_source, utm_medium, utm_campaign, utm_content) von jeweils höchstens 100 Zeichen, der Name eines Werbenetzwerks, dessen Klickkennung in der Seitenadresse stand (nicht die Kennung), der Hostname der verweisenden Website (nicht ihre Adresse), der Pfad der Seite, auf der der Chat begann (ohne Query oder Fragment), und wie der Chat geöffnet wurde; zu jeder Frage der Pfad der Seite, von der sie gesendet wurde (ohne Query oder Fragment; für die Antwort verwendet, nicht gespeichert), und das auf dieser Seite gezeigte Katalogprodukt des Verantwortlichen, gespeichert mit der Frage; ein kurzlebiger Gesprächszugang; gehashte technische Kennungen zur Missbrauchsbegrenzung; inhaltsfreie Nutzungsereignisse (Chat geöffnet, angebotenem Link gefolgt, Begrüßungsnachricht angezeigt oder angeklickt, Frage über eine Fragenleiste gesendet), erfasst nach Art und Gespräch; die Ereignisse enthalten keine Seite und keine Kennung; wenn der Verantwortliche seinen Buchungsanbieter verbindet: ein zufälliger Verweis je Gespräch, der dem Buchungslink des Verantwortlichen hinzugefügt wird, sowie Tatsache, Art (gebucht, abgesagt, verschoben) und Zeitpunkt einer Buchungsmitteilung, die von diesem Anbieter für das Gespräch eingeht, mit einem Hashwert der Buchungskennung des Anbieters; wenn der Verantwortliche seinen Shop für die Bestellverfolgung verbindet: ein zufälliger Verweis je Gespräch, der den Produkten hinzugefügt wird, die ein Besucher aus dem Chat in den Warenkorb legt, und aus den signierten Meldungen des Shops über Bestellungen, die ein solches Produkt enthalten, die Bestellnummer des Shops, ein Hashwert der internen Kennung der Bestellung, der Bestellwert nach Erstattungen, Währung, Status und Zeitpunkt sowie Produkt, Variante, Menge und Betrag jeder aus dem Chat hinzugefügten Position; wenn der Verantwortliche sein Stripe-Konto für Zahlungslinks verbindet: ein zufälliger Verweis je Gespräch, der dem vom Verantwortlichen gewählten Zahlungslink als Client Reference ID von Stripe hinzugefügt wird, und aus den signierten Mitteilungen von Stripe über Checkouts über diesen Link, die einen solchen Verweis tragen, die Checkout- und Link-Kennungen von Stripe, der Produktname, den der Verantwortliche dem Link gegeben hat, der Betrag nach Erstattungen, Währung, Status und Zeitpunkt; Käuferangaben, die Stripe in diese Mitteilungen aufnimmt, werden nicht gespeichert; wenn ein in einem Gespräch angebotener nächster Schritt von der eigenen Website des Verantwortlichen wegführt: derselbe zufällige Verweis, der diesem Link hinzugefügt wird; wenn ein Gespräch über die öffentliche Agentenadresse des Verantwortlichen begonnen wurde oder auf der Website des Verantwortlichen ohne den Origin-Header, den Browser senden, oder durch eine Anfrage, die ein bekanntes KI-Agenten-Produkt nennt: ein Vermerk, dass das Gespräch von einem KI-Agenten kam, und, wenn die Anfrage das Produkt nannte, der Name dieses Produkts (nie der vollständige User-Agent-String); Fragen über die Agentenadresse werden ohne E-Mail-Adressen und Telefonnummern gespeichert; wenn der Verantwortliche Workshop nutzt: Verweise auf Besuchernachrichten (nie deren Text) im Workshop-Verlauf des Verantwortlichen, aufbewahrt für 30 Tage oder für die Gesprächsaufbewahrungsdauer, wenn diese kürzer ist.
- Besondere Kategorien personenbezogener Daten sind nicht vorgesehen. Der Verantwortliche darf den Chat nicht so einrichten, dass er solche Daten erfragt.
4. Weisungen
Hazelchat verarbeitet Besucherdaten nur auf dokumentierte Weisung des Verantwortlichen. Die Konfiguration des Verantwortlichen im Produkt – freigegebene Inhalte, veröffentlichte Versionen, Datenschutzangaben, Aufbewahrungsfristen, Benachrichtigungs- und Erfassungseinstellungen, Lösch- und Exportaktionen – stellt seine Weisungen dar. Zusätzliche Weisungen sind in Textform an hello@hazelchat.co zu erteilen. Hazelchat informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen Datenschutzrecht verstößt, und kann die Ausführung dieser Weisung aussetzen, bis sie bestätigt wird.
Verbindet der Verantwortliche einen Dienst eines Dritten oder ein eigenes System mit dem Dienst, zum Beispiel über einen Inhaber-API-Schlüssel, den Zapier oder n8n verwendet, weist der Verantwortliche Hazelchat an, die in der API-Dokumentation beschriebenen Daten an diesen Dienst oder dieses System zu übermitteln: die Anfragedaten jedes Mal, wenn eine neue Anfrage gespeichert wird oder der Dienst Anfragen nach E-Mail-Adresse sucht, und, wenn der Verantwortliche sie abonniert, Besucherfragen, die der Agent nicht beantworten konnte, ohne E-Mail-Adressen und Telefonnummern, höchstens zehn pro Stunde. Erlaubt der Verantwortliche einem Schlüssel, Antwortentwürfe hinzuzufügen, kann der Dienst dem Entwurf des Verantwortlichen Antworten hinzufügen. Hazelchat speichert sie als Inhalte des Verantwortlichen und veröffentlicht sie nicht; das tut nur der Verantwortliche. Der verbundene Dienst oder das verbundene System und alle Werkzeuge, die der Verantwortliche damit verknüpft, handeln für den Verantwortlichen nach dessen eigenem Vertrag mit ihnen. Sie sind keine Unterauftragsverarbeiter von Hazelchat. Der Verantwortliche kann die Übermittlung jederzeit beenden, indem er den Schlüssel in den Einstellungen widerruft.
Verbindet der Verantwortliche einen KI-Assistenten mit dem Dienst (zum Beispiel Claude, ChatGPT oder Claude Code, über den Zustimmungsbildschirm oder einen Assistenten-Schlüssel), weist der Verantwortliche Hazelchat an, die Anfragen dieses Assistenten im Rahmen der vom Verantwortlichen erteilten Berechtigungen zu beantworten: Zahlen zur Aktivität des Agenten des Verantwortlichen bereitzustellen; Besucherfragen, Hazels Antworten und die zitierten Passagen, wobei E-Mail-Adressen und Telefonnummern aus dem Besuchertext entfernt sind; Anfragen ohne Kontaktdaten oder mit Name, E-Mail-Adresse und Nachricht, wenn der Verantwortliche diese Berechtigung erteilt und Besucherangaben eingeschaltet hat; Testfragen an den gespeicherten Entwurf des Verantwortlichen zu beantworten; und dem Entwurf des Verantwortlichen Antworten hinzuzufügen. Hazelchat sendet dem Assistenten nichts aus eigener Initiative. Der Assistent und sein Anbieter handeln für den Verantwortlichen nach dessen eigenem Vertrag mit ihnen; sie sind keine Unterauftragsverarbeiter von Hazelchat. Der Verantwortliche ist dafür verantwortlich, diesen Vertrag zu beurteilen, einschließlich der Frage, ob sein Anbieter die Daten für eigene Zwecke nutzen darf. Der Verantwortliche kann die Übermittlung jederzeit beenden, indem er den Assistenten trennt oder den Schlüssel in den Einstellungen widerruft. Nichts, was ein Assistent hinzufügt, wird Besuchern gezeigt, bevor der Verantwortliche es im Dienst veröffentlicht.
Die Einstellung des Verantwortlichen zur Agentenadresse (Website-Einstellungen, „KI-Agenten dürfen Ihren Agenten fragen“, standardmäßig eingeschaltet, wo die Funktion verfügbar ist) ist seine Weisung, KI-Agenten über seine öffentliche Agentenadresse aus seiner veröffentlichten Version zu antworten. Das Ausschalten beendet diese Verarbeitung sofort; bereits gespeicherte Gespräche folgen der Aufbewahrungsdauer des Verantwortlichen.
Verbindet der Verantwortliche seinen Buchungsanbieter (zum Beispiel Cal.com oder Calendly) im Dienst, weist der Verantwortliche Hazelchat an, dem Buchungslink des Verantwortlichen einen zufälligen Gesprächsverweis hinzuzufügen und die Mitteilungen des Anbieters, dass für dieses Gespräch eine Buchung vorgenommen, abgesagt oder verschoben wurde, zu empfangen und zu erfassen. Hazelchat bewahrt aus diesen Mitteilungen keine Buchungsangaben auf. Der Buchungsanbieter handelt für den Verantwortlichen nach dessen eigenem Vertrag mit ihm und ist kein Unterauftragsverarbeiter von Hazelchat. Der Verantwortliche kann dies jederzeit beenden, indem er den Anbieter im Dienst trennt.
Verbindet der Verantwortliche seinen Shop (zum Beispiel WooCommerce über das Hazelchat-WordPress-Plugin) für die Bestellverfolgung im Dienst, weist der Verantwortliche Hazelchat an, den Produkten, die ein Besucher aus dem Chat in den Warenkorb legt, einen zufälligen Gesprächsverweis hinzuzufügen und die signierten Meldungen des Shops, dass eine Bestellung mit einem solchen Produkt bezahlt, storniert oder erstattet wurde, zu empfangen und zu erfassen. Hazelchat bewahrt aus diesen Meldungen keine Käuferangaben auf. Der Shop, seine Software und seine Zahlungsanbieter handeln für den Verantwortlichen nach dessen eigenen Verträgen und sind keine Unterauftragsverarbeiter von Hazelchat. Der Verantwortliche kann dies jederzeit beenden, indem er die Bestellverfolgung im Dienst ausschaltet.
5. Vertraulichkeit
Zugang zu Besucherdaten haben nur Personen, die zur Vertraulichkeit verpflichtet und im Datenschutz unterwiesen sind. Der Zugang ist auf das beschränkt, was der Betrieb des Dienstes erfordert; Hazelchat liest Gespräche oder Anfragen nicht für eigene Zwecke.
6. Sicherheit
Hazelchat setzt die technischen und organisatorischen Maßnahmen in Anlage 2 um und überprüft sie im Zuge der Weiterentwicklung des Dienstes. Maßnahmen können durch andere ersetzt werden, die mindestens dasselbe Schutzniveau bieten.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anlage 1. Hazelchat informiert den Verantwortlichen mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail. Erhebt der Verantwortliche aus begründeten datenschutzrechtlichen Gründen Einspruch und wird keine Lösung gefunden, kann der Verantwortliche das Konto schließen, bevor die Änderung wirksam wird. Hazelchat erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags gleichwertig sind, und haftet gegenüber dem Verantwortlichen für die Leistung seiner Unterauftragsverarbeiter. Brevo (Sendinblue SAS, Frankreich) erhält Namen, E-Mail-Adresse und Nachricht des Besuchers sowie die Herkunft des Gesprächs nur, wenn der Verantwortliche die Besucherangaben in der Benachrichtigungs-E-Mail einschaltet („Einstellungen → Daten & Datenschutz“); das Einschalten ist die Weisung des Verantwortlichen, sie zu senden, und das Ausschalten beendet dies.
8. Unterstützung bei Betroffenenrechten
Das Produkt ermöglicht dem Verantwortlichen, gespeicherte Anfragen und verknüpfte Gespräche nach E-Mail-Adresse zu durchsuchen, sie zu exportieren und einzelne Datensätze oder den gesamten Arbeitsbereich zu löschen. Hazelchat leitet jede Anfrage eines Besuchers, die Hazelchat direkt erreicht, unverzüglich weiter und unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei Anfragen, die er nicht über das Produkt erfüllen kann. Hazelchat kann anonyme Gespräche, zu denen keine Anfrage gehört, nicht zuordnen.
Ist die Website des Verantwortlichen ein Shopify-Shop, der über die Hazelchat-Shopify-App verbunden ist, sendet Shopify Hazelchat seine Anfragen im Namen der Kunden des Shops auf Auskunft über oder Löschung ihrer Daten. Der Verantwortliche weist Hazelchat an, nur die E-Mail-Adresse in einer solchen Anfrage zu verwenden, um nach Anfragen zu suchen, die mit dieser Adresse im Chat auf den Websites des Shops hinterlassen wurden. Bei einer Löschanfrage löscht Hazelchat diese Anfragen und die Gespräche, aus denen sie stammen. Bei einer Auskunftsanfrage erfasst Hazelchat die Anzahl der gefundenen Anfragen; der Verantwortliche kann diese Anfragen im Dienst einsehen und exportieren. Darüber hinaus beantwortet Hazelchat solche Anfragen nicht im Namen des Verantwortlichen.
9. Verletzungen des Schutzes personenbezogener Daten
Hazelchat meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Besucherdaten betrifft, unverzüglich und spätestens 48 Stunden, nachdem Hazelchat davon Kenntnis erlangt hat. Die Meldung beschreibt, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und einen Ansprechpartner für weitere Informationen; weitere Informationen folgen, sobald sie verfügbar sind. Hazelchat sendet ohne Weisung keine Benachrichtigungen an betroffene Personen oder Behörden im Namen des Verantwortlichen.
10. Datenschutz-Folgenabschätzungen und Kontrollen
Hazelchat unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, soweit sie die Verarbeitung nach diesem Vertrag betreffen. Hazelchat stellt die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, einschließlich dieses Vertrags, der Datenschutzerklärung und der Anlagen 1 und 2. Der Verantwortliche kann die Einhaltung mit einer Frist von 30 Tagen überprüfen, höchstens einmal jährlich, sofern nicht eine Verletzung oder eine Aufsichtsbehörde mehr erfordert, während der Geschäftszeiten und ohne den Dienst zu stören oder Daten anderer Kunden offenzulegen. Angemessene Kosten von Vor-Ort-Kontrollen trägt der Verantwortliche.
11. Löschung und Rückgabe
Gespräche und Anfragen werden nach der vom Verantwortlichen eingestellten Aufbewahrungsdauer (standardmäßig 90 Tage) automatisch gelöscht. Der Verantwortliche kann einzelne Datensätze jederzeit löschen und den Arbeitsbereich vor dem Schließen des Kontos als JSON und CSV exportieren. Das Schließen des Kontos löscht den Arbeitsbereich und bricht anstehende Aufträge sofort ab. Verschlüsselte Sicherungen verfallen innerhalb von 30 Tagen; ein separater Löschdatensatz stellt sicher, dass gelöschte Daten erneut gelöscht werden, falls jemals eine ältere Sicherung wiederhergestellt wird. Bereits an den Verantwortlichen zugestellte E-Mails können nicht zurückgeholt werden, und die Löschung im Dienst erreicht keine Kopien, deren Übermittlung an einen verbundenen Dienst oder KI-Assistenten der Verantwortliche bereits veranlasst hat. Buchungsverweise und Buchungsmitteilungen werden zusammen mit ihrem Gespräch gelöscht. Die Löschung im Dienst erreicht nicht den Verweis, der bei einer Buchung beim Buchungsanbieter des Verantwortlichen gespeichert ist. Bestellverweise und Bestelldatensätze werden zusammen mit ihrem Gespräch gelöscht. Die Löschung im Dienst erreicht nicht den Verweis, der bei einer Warenkorb- oder Bestellposition im Shop des Verantwortlichen gespeichert ist. Ist die Website des Verantwortlichen ein Shopify-Shop, der über die Hazelchat-Shopify-App verbunden ist, ist die Deinstallation der App aus dem Shop die Weisung des Verantwortlichen, die auf den Websites des Shops begonnenen Gespräche und ihre Anfragen unabhängig von der eingestellten Aufbewahrungsdauer zu löschen, wenn Shopify die Löschung der Daten des Shops anfordert (etwa 48 Stunden nach der Deinstallation) oder spätestens 10 Tage nach der Deinstallation, sofern die App bis dahin nicht erneut installiert wurde. Danach werden keine Besucherdaten aufbewahrt, sofern nicht das Recht der Union oder der Mitgliedstaaten dies verlangt.
12. Internationale Übermittlungen
Besucherdaten werden in der Europäischen Union gespeichert. Zwei Unterauftragsverarbeiter befinden sich außerhalb des EWR: Backblaze, Inc. erhält nur verschlüsselte Sicherungsarchive, die es nicht entschlüsseln kann, und OpenRouter, Inc. erhält Fragetext, gefundene Passagen und, wenn der Verantwortliche einen Shop verbunden hat und Produktkarten zeigt, zur Frage passende Produktinformationen (nie Preise, Lagerbestände, Links oder Besucherkennungen) nur, wenn der Verantwortliche die KI-gestützte Passagenauswahl einschaltet, sowie bereinigte Besucherfragen mit ihrem Ergebnis, Passagen der freigegebenen Inhalte und Entwurfseinstellungen nur, wenn der Verantwortliche Workshop nutzt; beides über Routen ohne Datenspeicherung. Die Garantien sind in Anlage 1 genannt. Das Einschalten der KI-Funktion in den Einstellungen oder das Senden einer Nachricht an Workshop ist die Weisung des Verantwortlichen, diese Übermittlung zu nutzen. Daten, deren Übermittlung an einen verbundenen Dienst oder KI-Assistenten der Verantwortliche veranlasst, übermittelt der Verantwortliche nach seinem eigenen Vertrag mit diesem Empfänger; es handelt sich nicht um eine Übermittlung durch Hazelchat an einen Unterauftragsverarbeiter.
13. Schlussbestimmungen
Im Fall eines Widerspruchs geht dieser Vertrag für die Verarbeitung von Besucherdaten den AGB vor. Die Haftung richtet sich nach den AGB. Anwendbares Recht und Gerichtsstand richten sich nach Abschnitt 12 der AGB. Änderungen bedürfen der Textform; Hazelchat kann Anlage 2 aktualisieren, wenn sich die Sicherheitsmaßnahmen verbessern.
Dieser Vertrag liegt in deutscher und englischer Sprache vor. Bei Abweichungen zwischen den Fassungen ist die deutsche Fassung maßgeblich.
Anlage 1 — Unterauftragsverarbeiter
| Unterauftragsverarbeiter und Ort | Zweck und erhaltene Besucherdaten | Garantie für die Übermittlung |
|---|---|---|
| netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland | Server-Hosting. Alle gespeicherten Besucherdaten. | Nicht erforderlich (EU) |
| Backblaze, Inc., 201 Baldwin Avenue, San Mateo, CA 94401, USA. Daten gespeichert in einem Rechenzentrum in der EU (Region EU Central, Amsterdam, Niederlande). | Verschlüsselte Sicherungsspeicherung. Nur verschlüsselte Archive; den Schlüssel hält Hazelchat. | Standardvertragsklauseln im Data Processing Addendum von Backblaze; die Archive werden vor dem Hochladen mit einem Schlüssel verschlüsselt, den Backblaze nicht besitzt. |
| Brevo (Sendinblue SAS), 7 rue de Madrid, 75008 Paris, Frankreich | Transaktions-E-Mails an den Verantwortlichen. Die Anfragebenachrichtigung enthält Namen, E-Mail-Adresse und Nachricht des Besuchers, die letzte Frage des Gesprächs und ob sie beantwortet wurde sowie die Herkunft des Gesprächs, sofern sie erfasst wurde, nur wenn der Verantwortliche die Besucherangaben in der Benachrichtigungs-E-Mail einschaltet; andernfalls enthält die Benachrichtigung keine Besucherdaten. Brevo erhält außerdem die Adresse des Verantwortlichen und Zustellereignisse. | Nicht erforderlich (EU) |
| OpenRouter, Inc., 169 Madison Avenue, New York, NY 10016, USA, und der vom Verantwortlichen aus der im Produkt angebotenen Liste ausgewählte Modellanbieter – derzeit Modelle von OpenAI, Anthropic, DeepSeek, Mistral, Alibaba und Z.ai, jeweils erreicht über eine OpenRouter-Route ohne Datenspeicherung; die Modelle von Anthropic werden über Google Cloud (Vertex AI) bereitgestellt, und bei Open-Weight-Modellen wird diese Route von einem Hosting-Anbieter auf der Plattform von OpenRouter betrieben; für Workshop das von Hazelchat aus derselben Liste gewählte Modell. | KI-gestützte Passagenauswahl, nur wenn der Verantwortliche sie einschaltet: Fragetext und bis zu acht gefundene Passagen; wenn der Verantwortliche einen Shop verbunden hat und Produktkarten zeigt, außerdem die früheren Fragen des Gesprächs und die Produktinformationen des Verantwortlichen für eine Produktanfrage (die Produkttypen, Tags und Optionen des Katalogs sowie bis zu zehn passende Produkte mit Name, Typ, Tags, Optionen und bis zu 600 Zeichen Beschreibung; nie Preise, Lagerbestände, Links oder Besucherkennungen). Workshop, nur wenn der Verantwortliche ihm eine Nachricht sendet: Besucherfragen mit ersetzten E-Mail-Adressen, Webadressen, Telefonnummern und langen Zahlen, ihr Ergebnis und ihr Tag, Zahlen, Passagen der freigegebenen Inhalte und Entwurfseinstellungen. In beiden Fällen keine Kontaktdaten oder Kennungen und nie Name, E-Mail-Adresse, Telefonnummer oder Nachricht einer Anfrage. | Von der Europäischen Kommission genehmigte Standardvertragsklauseln (Art. 46 DSGVO) im Auftragsverarbeitungsvertrag von OpenRouter. |
Better Stack überwacht die öffentliche Verfügbarkeit und erhält keine Besucherdaten. Stripe verarbeitet die eigenen Abrechnungs- und Zahlungsdaten des Kunden für Hazelchat und erhält keine Gespräche oder Anfragen von Website-Besuchern. Diese beiden Anbieter sind daher keine Unterauftragsverarbeiter für die unter diesen Vertrag fallenden Besucherdaten und werden zur Transparenz in der Datenschutzerklärung aufgeführt. Brevo ist nur für die Besucherangaben Unterauftragsverarbeiter, die der Verantwortliche in seine Benachrichtigungs-E-Mails aufnehmen lässt; der Verantwortliche kann dies jederzeit ausschalten, danach ist die Benachrichtigung wieder inhaltsfrei. Shopify stellt den Shop des Verantwortlichen bereit und rechnet über die Hazelchat-Shopify-App gekaufte Tarife ab, nach dem eigenen Vertrag des Verantwortlichen mit Shopify; es erhält von Hazelchat keine Besucherdaten und ist kein Unterauftragsverarbeiter nach diesem Vertrag.
Anlage 2 — Technische und organisatorische Maßnahmen
- Zugangskontrolle: administrativer Zugang zum Server nur schlüsselbasiert; Anwendungsdienste laufen als nicht privilegierte Systembenutzer mit eingeschränkten Dateisystemen; die Weboberfläche erreicht die Anwendung nur über einen Reverse Proxy über HTTPS.
- Trennung der Mandanten: Jede Anfrage ermittelt serverseitig den eigenen Arbeitsbereich des authentifizierten Kontos; öffentliche Chat-Zugänge sind an einen verifizierten Ursprung gebunden, verfallen nach 24 Stunden und können nichts verwalten, exportieren oder löschen. Das Chatfenster bewahrt den Zugang zu einem Gespräch, in dem der Besucher geschrieben hat, in seinem eigenen Sitzungsspeicher auf, getrennt nach der Website, in die es eingebettet ist, bis der Tab geschlossen wird, der Besucher ein neues Gespräch beginnt oder der Zugang verfällt; er ist für die Website nie lesbar. Läuft der Chat direkt in der Seite der Website (die Webflow-App), akzeptiert der Dienst die Anfragen eines Gesprächs nur von dem Seitenursprung, auf dem es begonnen wurde, und die Anfragen enthalten keine Cookies. Die geteilte Seite läuft auf einem separaten Host (chat.hazelchat.co), der nur die Seite, ihre Ressourcen und ihre öffentliche Chat-Schnittstelle ausliefert; sie trägt keine Inhabersitzung und kann keine Inhaberfunktion erreichen. Eine Seite wird nur ausgeliefert, solange die Website-Verifizierung, die veröffentlichten Datenschutzangaben und die Schalter des Verantwortlichen bestehen; dies wird bei jeder Anfrage geprüft.
- Vom Besucher übermittelte Daten: Die Herkunft eines Gesprächs wird vor der Speicherung gegen feste Schlüssel, Längen und Zeichenklassen geprüft; vollständige Referrer-Adressen, Queries, Fragmente und Klickkennungen von Anzeigen werden nie angenommen.
- Website-Verifizierung: Der Chat beginnt gehostete Gespräche nur von exakten Ursprüngen, deren Inhaberschaft nachgewiesen wurde und alle sieben Tage erneut geprüft wird. Nachweis ist das installierte Hazelchat-Skript mit dem Widget-Schlüssel des Arbeitsbereichs auf der veröffentlichten Website (die Methode, die die Webflow-App verwendet), ein DNS-Eintrag, eine Verifizierungsdatei, bei einer über die Hazelchat-Wix-App verbundenen Website die veröffentlichte Adresse, die Wix für diese Installation meldet, alle sechs Stunden erneut gelesen und sofort entzogen, wenn die App entfernt wird, oder bei einem über die Hazelchat-Shopify-App verbundenen Shop die primäre Domain, die Shopify für diesen Shop meldet, wenn es mit dem eigenen Zugriffstoken des Shops gefragt wird, alle sechs Stunden sowie immer dann erneut gelesen, wenn Shopify eine Änderung des Shops oder seiner Domains mitteilt, und sofort entzogen, wenn die App deinstalliert wird, der Shop getrennt wird oder Shopify die Verbindung nicht mehr akzeptiert. Die eigene myshopify.com-Adresse des Shops wird als Teil dieser Website akzeptiert, nur für diesen Arbeitsbereich und nur, solange der Nachweis besteht. Die Verbindung einer anderen Website-Plattform, etwa Webflow, ist für sich allein kein Nachweis.
- Übertragung und Speicherung: TLS für alle öffentlichen Verbindungen; Zugangsdaten als gesalzene scrypt-Hashwerte gespeichert; Sitzungs- und Link-Tokens nur als Hashwerte gespeichert; Geheimnisse und Tokens von Buchungsanbietern, Zugriffs- und Aktualisierungstokens von Shopify, Signaturgeheimnisse von Shops und die Angaben zu Bestellungen nach einem Chat im Ruhezustand verschlüsselt (AES-256-GCM); Mitteilungen von Anbietern, Benachrichtigungen und Anmelde-Weiterleitungen von Shopify sowie Bestellmeldungen von Shops werden vor dem Lesen per Signatur geprüft.
- Verarbeitung von Dokumenten: Hochgeladene Dateien werden im Arbeitsspeicher in einer isolierten Umgebung ohne Netzwerk, mit separatem Benutzer, schreibgeschütztem Wurzelverzeichnis und harten Speicher-, CPU- und Prozessgrenzen verarbeitet; Originale werden nie gespeichert oder gesichert.
- Missbrauchsgrenzen: dauerhafte Ratenbegrenzungen und Tagesbudgets je Arbeitsbereich und global; nur gehashte technische Kennungen.
- Protokollierung: Betriebsprotokolle enthalten Anfragekennungen, Routennamen, Statuscodes und Laufzeiten, nie Nachrichteninhalte, Adressen oder Tokens; Aufbewahrung 30 Tage.
- Verfügbarkeit und Wiederherstellung: tägliche verschlüsselte Sicherungen in einen EU-Speicher mit einer Höchstdauer von 30 Tagen; wöchentliche automatisierte Wiederherstellungsprüfungen; monatliche vollständige Wiederherstellungsübung; inhaltsfreie Überwachung mit Alarmierung.
- Löschung: automatische Durchsetzung der Aufbewahrungsfristen; sofortige Löschung auf Anfrage oder bei Schließung des Kontos; ein unabhängiger Löschdatensatz, der eingespielt wird, bevor wiederhergestellte Daten zugänglich sind.
- Benachrichtigungshygiene: Anfragebenachrichtigungen gehen nur an den verifizierten Kontoinhaber. Sie enthalten die Besucherangaben (Anlage 1) nur, wenn der Verantwortliche dies einschaltet; andernfalls enthalten sie einen Link zur Anfrage im Arbeitsbereich und keine Besucherinhalte. Sie werden mit der empfängerbezogenen Tracking-Einwilligung von Brevo auf „nein“ versendet, sodass Brevo nach eigenen Angaben für sie keine Öffnungen oder Klicks erfasst, auch wenn sein Zählpixel und seine Link-Weiterleitung in der Nachricht verbleiben.
- Organisation: Ein-Personen-Betrieb: Nur der Anbieter hat Zugang zu den Produktivsystemen, über schlüsselbasiertes SSH von einem verwalteten Gerät, ohne gemeinsam genutzte Konten; Zugangsdaten werden in einem Passwortmanager aufbewahrt, und Anbieterkonten verwenden Zwei-Faktor-Authentifizierung, wo angeboten; auf personenbezogene Daten wird nur zur Erbringung des Dienstes oder auf dokumentierte Anfrage eines Kunden zugegriffen; es gibt keine Beschäftigten, und Auftragnehmer arbeiten nur unter schriftlichen Vertraulichkeits- und Auftragsverarbeitungsbedingungen; Abläufe für die Reaktion auf Sicherheitsvorfälle und die Wiederherstellung sind dokumentiert, und die Wiederherstellung wird wöchentlich, die vollständige Wiederherstellung der Anwendung monatlich geübt.