Datenschutzerklärung Merch Bakery
Stand: 21. Oktober 2026
Diese Datenschutzerklärung informiert Sie über die Verarbeitung personenbezogener Daten beim Besuch unserer Website, bei Kontakt- und Angebotsanfragen, im Zusammenhang mit unseren Werbeanzeigen und Newslettern sowie bei der Kommunikation über WhatsApp und unseren KI-Assistenten.
1 Verantwortlicher und Kontakt
Verantwortlich für die Datenverarbeitung ist:
Carsten Kolata
handelnd unter Merch Bakery
Siemeringstraße 9
04177 Leipzig, Deutschland
E-Mail: info@merchbakery.de
Telefon: +49 179 4254 007
Website: https://www.merchbakery.de
Für Datenschutzanfragen und die Ausübung Ihrer Rechte erreichen Sie uns unter info@merchbakery.de oder unter der genannten Postanschrift.
2 Zwecke und Rechtsgrundlagen
Merch Bakery bietet individuell gestaltete Firmenkleidung, Textilveredelung und Merchandise an. Wir verarbeiten personenbezogene Daten zur Bereitstellung unserer Website, zur Beratung, zur Bearbeitung von Anfragen, zur Erstellung von Angeboten und zur Abwicklung von Aufträgen. Weitere Zwecke sind der Newsletterversand, die Durchführung von Werbemaßnahmen und die Unterstützung unserer Kommunikation durch einen KI-Assistenten.
Soweit Sie einwilligen, ist Art. 6 Abs. 1 Buchst. a DSGVO die Rechtsgrundlage. Für einen Vertrag mit Ihnen oder vorvertragliche Maßnahmen auf Ihre Anfrage gilt Art. 6 Abs. 1 Buchst. b DSGVO. Gesetzliche Pflichten erfüllen wir auf Grundlage von Art. 6 Abs. 1 Buchst. c DSGVO. Bei einer Verarbeitung auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 Buchst. f DSGVO nennen wir das jeweilige Interesse im betreffenden Abschnitt.
Für das Speichern von Informationen auf Ihrem Endgerät und das Auslesen solcher Informationen gelten zusätzlich die Voraussetzungen des § 25 TDDDG.
3 Hosting bei Hostinger
Wir betreiben eine individuell entwickelte Website und verwenden Hostinger für das Hosting. Die Erstellung des Websitecodes mit Entwicklungswerkzeugen führt für sich genommen nicht zu einer Übermittlung von Besucherdaten an deren Anbieter.
Für Kunden mit Sitz in Deutschland ist nach den allgemeinen Hostinger-Vertragsbedingungen grundsätzlich Hostinger International Limited, 61 Lordou Vironos Street, 6023 Larnaca, Zypern, zuständig.
Beim Websiteaufruf werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Seiten und Dateien, Statusmeldungen, übertragene Datenmenge sowie vom Browser übermittelte Angaben zu Browser, Betriebssystem und gegebenenfalls der zuvor besuchten Seite. Dies dient der Auslieferung der Website, dem stabilen Betrieb, der Fehleranalyse und der Abwehr von Angriffen.
Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse besteht im sicheren und zuverlässigen Betrieb unseres Internetangebots. Hostinger wird für das Hosting als Auftragsverarbeiter eingesetzt. Für technische Protokolle gelten die Löschkriterien in Abschnitt 10.
Hostinger-Datenschutzinformationen: https://www.hostinger.com/legal/privacy-policy
Vereinbarung zur Auftragsverarbeitung: https://www.hostinger.com/legal/dpa
4 Cookies und Einwilligungsverwaltung
Wir verwenden Cookies und vergleichbare Speichertechniken sowie eine in unsere Website integrierte eigene Einwilligungsverwaltung. Dort können Sie optionale Dienste auswählen oder ablehnen und Ihre Auswahl später über die Cookie-Einstellungen ändern. Ein externer Anbieter einer Einwilligungsverwaltung wird allein durch diese eigene Funktion nicht eingeschaltet.
Unbedingt erforderliche Speicherungen oder Zugriffe zur Bereitstellung eines von Ihnen ausdrücklich gewünschten Dienstes beruhen auf § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten erfolgt je nach Funktion auf Grundlage von Art. 6 Abs. 1 Buchst. b oder f DSGVO. Unser berechtigtes Interesse liegt in der Bereitstellung der gewünschten Funktion und im sicheren Betrieb der Website.
Optionale Analyse- und Marketingfunktionen werden nur mit Ihrer vorherigen Einwilligung aktiviert. Für Endgerätezugriffe gilt § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung personenbezogener Daten Art. 6 Abs. 1 Buchst. a DSGVO. Dies betrifft insbesondere die in Abschnitt 6 beschriebenen Meta-Funktionen. Eine Ablehnung darf nicht durch eine serverseitige Übermittlung derselben Marketingdaten umgangen werden.
Für die Verwaltung und den Nachweis Ihrer Auswahl verarbeiten wir die gewählten Dienste, Zeitpunkt, Version der Einwilligungsinformationen und eine zugehörige technische Kennung, soweit diese Angaben erforderlich sind. Die Auswahl wird auf Ihrem Endgerät gespeichert, soweit dies zur Beachtung Ihrer Entscheidung erforderlich ist. Die Nachweisführung beruht auf Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 7 Abs. 1 DSGVO.
Die konkreten eingesetzten Speichertechniken, Anbieter, Zwecke und Laufzeiten werden im jeweiligen Einwilligungsdialog erläutert. Meta kann bei aktiviertem Pixel insbesondere Browser- und Anzeigenklickkennungen verarbeiten; die Funktionsweise erläutert Abschnitt 6.
Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft in den Cookie-Einstellungen widerrufen. Die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt. Zusätzlich können Sie Cookies in Ihrem Browser löschen oder sperren. Das Löschen von Cookies allein widerruft keine gesonderte Newsletter-, WhatsApp- oder Kundenlisten-Einwilligung.
5 Kontaktanfragen und automatisierte Weiterleitung
Wenn Sie uns über Meta-Anzeigenformulare, unsere Website, per E-Mail, telefonisch oder über WhatsApp kontaktieren, verarbeiten wir die zur Bearbeitung erforderlichen Angaben. Dazu können Name, Unternehmensname, geschäftliche Funktion, E-Mail-Adresse, Telefonnummer, Nachrichteninhalt sowie Angaben zu Textilien, Mengen, Gestaltung und Lieferterminen gehören. Bei übersandten Logos, Bildern oder Dateien verarbeiten wir darin enthaltene personenbezogene Angaben nur im erforderlichen Umfang.
Wir verwenden diese Daten, um Ihre Anfrage zuzuordnen, Rückfragen zu beantworten, Sie zu beraten und Angebote und Aufträge zu bearbeiten. Welche Angaben benötigt werden, ergibt sich aus dem jeweiligen Formular und Ihrem Anliegen. Ohne notwendige Kontakt- und Sachangaben kann die Bearbeitung eingeschränkt sein.
Bei einem Vertrag mit Ihnen oder erforderlichen vorvertraglichen Maßnahmen auf Ihre Anfrage gilt Art. 6 Abs. 1 Buchst. b DSGVO. Für allgemeine Anfragen und die Kommunikation mit Beschäftigten unserer Geschäftskunden gilt Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse besteht in einer sachgerechten und effizienten geschäftlichen Kommunikation.
Übermittlung aus Meta Formularen an Brevo
Die von Ihnen in Facebook- oder Instagram-Anzeigenformularen übermittelten Daten werden über automatisierte Abläufe mit Make und/oder n8n an Brevo weitergeleitet. Verarbeitet werden dabei die Formularangaben, die zur Zuordnung erforderlichen Formular- und Anzeigenkennungen, Übermittlungszeitpunkte sowie vorhandene Einwilligungs- und Statusangaben. Die Weiterleitung dient der strukturierten Bearbeitung Ihrer Anfrage und, bei entsprechender Einwilligung, der Zuordnung zu Werbeabläufen.
Make ist ein Dienst der Celonis-Unternehmensgruppe. Die Datenschutzinformationen für Make nennen Celonis Inc., One World Trade Center, 87th Floor, New York, NY 10007, USA, sowie die jeweils zuständige Konzerngesellschaft. Make verarbeitet übermittelte Anfragedaten für unsere automatisierten Abläufe als Auftragsverarbeiter nach der zugehörigen Vereinbarung. Informationen: https://www.make.com/privacy-notice und https://www.make.com/data-processing-agreement.pdf
Wir verwenden n8n Cloud zur Übergabe und Verarbeitung der Formulardaten. Anbieter ist n8n GmbH, Novalisstraße 10, 10115 Berlin, Deutschland. Die für die Automatisierung erforderlichen Formular-, Kontakt-, Zuordnungs- und Statusdaten werden hierbei in der Cloud-Infrastruktur des Anbieters verarbeitet. n8n wird für diese Verarbeitung als Auftragsverarbeiter eingesetzt. Zur Ausführung und Fehleranalyse können zusätzlich Workflow-Ausführungshistorien entstehen. Hierfür gelten die zweckbezogenen Löschregeln in Abschnitt 10 und die produktbezogenen Speicherregeln des Dienstes. Die Cloud-Verarbeitung ist von unserem bei Hostinger betriebenen Hermes-Server zu unterscheiden.
n8n-Datenschutzinformationen: https://n8n.io/legal/privacy/
n8n-Auftragsverarbeitung und Unterauftragnehmer: https://n8n.io/legal/data-processing-agreement/ und https://n8n.io/legal/sub-processors/
Die rechtliche Grundlage der automatisierten Weiterleitung folgt dem jeweiligen Zweck. Die Organisation einer angefragten Beratung richtet sich nach den zuvor genannten Grundlagen. Ein automatischer Import in Brevo ersetzt keine Einwilligung in Werbung, individuelles Öffnungs- und Klicktracking oder einen Kundenlisten-Abgleich bei Meta. Die entsprechenden Verwendungen beschreiben die Abschnitte 6 bis 8.
6 Meta Werbung und Zielgruppen
Facebook und Instagram Anzeigenformulare
Wir schalten Werbung auf Facebook und Instagram und nutzen dort integrierte Kontaktformulare. Anbieter für Nutzer im Europäischen Wirtschaftsraum ist Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.
Wenn Sie ein Anzeigenformular absenden, erhalten wir die von Ihnen übermittelten Kontakt- und Projektangaben sowie die für die Zuordnung erforderlichen Anzeigen-, Formular- und Zeitangaben. Von Meta vorausgefüllte Angaben können Sie vor dem Absenden prüfen. Die anschließende Bearbeitung und Weiterleitung an Brevo richten sich nach Abschnitt 5. Eine weitergehende Werbeverwendung richtet sich nach dem Umfang Ihrer hierfür erteilten Einwilligung.
Meta Pixel und Conversions API
Wir verwenden das Meta Pixel und die Conversions API zur Messung von Werbeerfolgen, zur Zuordnung von Anfragen zu Anzeigen, zur Verbesserung von Kampagnen und zur Bildung von Werbezielgruppen. Über das Pixel werden Daten aus dem Browser übermittelt. Über die Conversions API werden Ereignisdaten aus unseren serverseitigen Systemen an Meta übermittelt.
Abhängig vom jeweiligen Ereignis können insbesondere die besuchte Seite und ihre URL, Ereignisart und Zeitpunkt, technische Browser- und Geräteangaben, IP-Adresse, Browser- oder Anzeigenklickkennungen sowie zugehörige Kontakt- und Zuordnungsdaten verarbeitet werden. Kontaktangaben können für einen Abgleich in gehashter Form übermittelt werden. Hashing ist eine Pseudonymisierung und macht die Angaben nicht anonym, wenn Meta sie einem Nutzerkonto zuordnen kann. Inhalte Ihrer vertraulichen Projektkommunikation sind für diese Werbemessung nicht erforderlich.
Meta kann Ereignisse einem Facebook- oder Instagram-Konto zuordnen und für die beschriebenen Werbezwecke verarbeiten. Rechtsgrundlage für unsere einwilligungsbasierten Marketingübermittlungen ist Art. 6 Abs. 1 Buchst. a DSGVO; für einwilligungspflichtige Endgerätezugriffe gilt zusätzlich § 25 Abs. 1 TDDDG. Die serverseitige Übertragung über die Conversions API ist keine Ausnahme von den datenschutzrechtlichen Anforderungen. Die Einwilligung für Websiteereignisse verwalten Sie in den Cookie-Einstellungen. Für außerhalb der Website erhobene Ereignisse ist die dort erteilte passende Einwilligung maßgeblich.
Kundenlisten und individuelle Zielgruppen
Wir verwenden Kontaktlisten für den Abgleich mit Meta, um interessierte Personen oder Kunden mit passenden Anzeigen zu erreichen und Kampagnen zu optimieren. Hierfür werden insbesondere vorhandene E-Mail-Adressen oder Telefonnummern und erforderliche Zuordnungsangaben in gehashter Form abgeglichen. Meta prüft die Übereinstimmung mit Nutzerkonten und bildet daraus Zielgruppen. Die Übereinstimmung bleibt trotz Hashing ein personenbezogener Vorgang.
Für diese Verwendung ist in unserem Verfahren eine darauf bezogene freiwillige Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO vorgesehen. Eine Einwilligung in einen E-Mail-Newsletter oder die bloße Kontaktaufnahme genügt hierfür nicht automatisch. Sie können die Einwilligung über info@merchbakery.de widerrufen. Wir beenden daraufhin weitere entsprechende Übermittlungen und veranlassen die Entfernung aus von uns verwalteten Zielgruppen, soweit die dafür erforderliche Zuordnung möglich ist. Der Widerruf im Websitebanner erfasst nicht automatisch einen unabhängig davon genehmigten Kundenlisten-Abgleich.
Verantwortlichkeiten und Ihre Rechte
Bei der gemeinsamen Festlegung von Zwecken und Mitteln des Targetings können wir und Meta gemeinsam Verantwortliche nach Art. 26 DSGVO sein. Dies betrifft die entsprechenden gemeinsam bestimmten Vorgänge der Erhebung, Übermittlung, Zuordnung, Zielgruppenwerbung und Auswertung. Wir sind insbesondere für die Information auf unseren Erhebungswegen und die rechtmäßige Bereitstellung der von uns übermittelten Daten zuständig. Meta stellt die Plattform und deren technische Verarbeitung bereit. Für von Meta anschließend allein bestimmte Zwecke ist Meta eigenständig verantwortlich.
Die einschlägigen Meta-Bedingungen und Informationen zur Aufteilung der Pflichten finden Sie unter https://www.facebook.com/legal/controller_addendum und https://www.facebook.com/legal/terms/businesstools sowie für Kundenlisten unter https://www.facebook.com/legal/terms/customaudience. Ihre Rechte können Sie gegenüber uns und, soweit die gemeinsame Verarbeitung betroffen ist, gegenüber Meta geltend machen. Wir unterstützen Sie bei der Zuordnung einer Anfrage.
Meta kann Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeiten; hierzu siehe Abschnitt 11. Die Speicherung einer Zielgruppenliste ist von der Aufbewahrung einzelner Abgleich- und Ereignisdaten bei Meta zu unterscheiden. Wir überprüfen unsere eigenen Listen und Verwendungen nach Abschnitt 10. Informationen zur weiteren Meta-Verarbeitung und deren Speicherregeln: https://www.facebook.com/privacy/policy/ und https://www.facebook.com/privacy/policies/cookies/
7 Newsletter und personalisierte Werbung mit Brevo
Wir verwenden Brevo zur Verwaltung von Kontakt- und Anfragedaten, zur Segmentierung sowie zum Versand von Newslettern und anderen freigegebenen Werbenachrichten. Anbieter für deutsche Kunden ist grundsätzlich Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland. Die Verarbeitung in unserem Auftrag richtet sich nach der zugehörigen Vereinbarung zur Auftragsverarbeitung.
Versand und Einwilligung
Unsere Werbenachrichten informieren über Firmenkleidung, Textilveredelung, Merchandise, Angebote und Neuigkeiten von Merch Bakery. Kontaktdaten können aus den in Abschnitt 5 beschriebenen Meta-Anzeigenformularen stammen. Ein Import in Brevo dient zunächst der Kontaktverwaltung. Der Versand von Werbung per E-Mail oder WhatsApp setzt in unserem hier beschriebenen Verfahren eine dafür wirksame, nachweisbare Einwilligung voraus. Die normale Bearbeitung Ihrer konkreten Anfrage ist davon unabhängig.
Rechtsgrundlage für einwilligungsbasierte Werbung ist Art. 6 Abs. 1 Buchst. a DSGVO unter Beachtung von § 7 UWG. Die Einwilligung muss den gewählten Kommunikationskanal und die beschriebenen Inhalte abdecken. Eine erteilte Einwilligung ist freiwillig und kann jederzeit für die Zukunft widerrufen werden. Für E-Mails können Sie den Abmeldelink verwenden oder an info@merchbakery.de schreiben. Hinweise zu WhatsApp finden Sie in Abschnitt 8.
Zum Nachweis einer Einwilligung speichern wir deren Inhalt, Zeitpunkt, Herkunft, Umfang und die zugehörigen technischen Nachweisdaten, soweit diese erforderlich sind. Bei einem Bestätigungsverfahren gehören dazu die entsprechenden Bestätigungsangaben. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 7 Abs. 1 DSGVO sowie erforderlichenfalls Art. 6 Abs. 1 Buchst. f DSGVO zur Rechtsverteidigung. Ein bestimmtes Bestätigungsverfahren wird nicht allein durch die Übertragung aus einem Meta-Formular ausgelöst.
Personenbezogene Öffnungs und Klickmessung
Wir verwenden Funktionen zur personenbezogenen Auswertung von Newsletteröffnungen und Linkklicks. Hierfür können Zählpixel und individuell zugeordnete Links eingesetzt werden. Verarbeitet werden insbesondere Empfänger- oder Nachrichtenkennung, Öffnungs- und Klickereignisse, Zeitpunkt, aufgerufener Link und technisch übermittelte Verbindungs- und Geräteangaben. Die Ereignisse werden mit dem Kontaktprofil in Brevo verknüpft.
Dies dient der Erfolgsmessung und dazu, Inhalte, Versandzeitpunkte und weitere Werbenachrichten auf erkennbare Interessen abzustimmen. Technische Schutzfunktionen, etwa automatisch geladene Bilder, können die Messergebnisse beeinflussen. Eine gemessene Öffnung beweist daher nicht sicher, dass Sie eine Nachricht gelesen haben.
Rechtsgrundlage für diese individuelle Erfolgsmessung und ihre Verwendung zur Personalisierung ist eine entsprechende Einwilligung nach Art. 6 Abs. 1 Buchst. a DSGVO. Soweit einwilligungspflichtige Informationen auf Ihrem Endgerät gespeichert oder ausgelesen werden, gilt zusätzlich § 25 Abs. 1 TDDDG. Die reine Versand-Einwilligung umfasst diese Verarbeitung nicht automatisch. Sie können eine entsprechende Einwilligung über info@merchbakery.de widerrufen. Die Einstellung der Erfolgsmessung und die Abmeldung von Werbung sind getrennte Entscheidungen.
Segmente und Interessenprofile
Wir teilen Kontakte anhand ihrer Angaben, angefragter Produkte und vorhandener Kundenbeziehungen in Gruppen ein. Soweit eine entsprechende Einwilligung vorliegt, beziehen wir individuelle Öffnungs- und Klickereignisse in werbliche Interessenprofile ein. Dadurch können unterschiedliche Kontakte unterschiedliche Inhalte, Reihenfolgen oder Häufigkeiten von Werbenachrichten erhalten. Diese automatisierte Bewertung von Interessen kann Profiling im Sinne von Art. 4 Nr. 4 DSGVO sein.
Die Organisation einer konkreten Anfrage in Bearbeitungsgruppen richtet sich nach Abschnitt 5. Die Verwendung von Segmenten für einwilligungsbasierte Werbung und die dazugehörige Auswertung richtet sich nach den dafür erteilten Einwilligungen. Aus der bloßen Segmentierung folgt nicht automatisch eine rechtlich erhebliche Entscheidung nach Art. 22 DSGVO.
Technische Zustellinformationen, Fehlermeldungen und Abmeldungen können unabhängig von einer werblichen Erfolgsmessung zur Durchführung und Absicherung des Versands verarbeitet werden. Die Speicherung, Abmeldung und begrenzte Aufbewahrung von Einwilligungsnachweisen richten sich nach Abschnitt 10.
Brevo-Datenschutzinformationen: https://www.brevo.com/de/legal/privacypolicy/
8 WhatsApp Business Kommunikation und Werbung
Wir verwenden die offizielle WhatsApp Business Platform beziehungsweise Business API mit direkter Anbindung an Meta/WhatsApp. Einen zusätzlichen Business Solution Provider schalten wir für diese API-Anbindung nicht ein. Für Unternehmen in der Europäischen Region werden die WhatsApp-Business-Platform-Bedingungen mit WhatsApp Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, vereinbart.
Verarbeitet werden Ihre Telefonnummer, Ihr sichtbarer Profilname, Nachrichten und erforderlicher Gesprächskontext sowie Zeit-, Zustell- und Kommunikationsangaben. Dies umfasst auch von Ihnen übermittelte Bilder, Logos, Dokumente und Sprachnachrichten und die darin enthaltenen personenbezogenen Angaben. Solche Inhalte können im Rahmen der in Abschnitt 9 beschriebenen KI-Bearbeitung ausgewertet werden. Die Verarbeitung dient der Bearbeitung Ihrer Anfrage und der geschäftlichen Kommunikation. Hierfür gelten die Rechtsgrundlagen aus Abschnitt 5. Die Wahl von WhatsApp ist freiwillig. Alternativ erreichen Sie uns unter info@merchbakery.de oder telefonisch unter +49 179 4254 007.
Wenn Sie im Meta-Formular ausdrücklich eine Rückmeldung über WhatsApp zu einer konkreten Anfrage wünschen, verwenden wir Ihre Nummer für diese Rückmeldung. Eine darüber hinausgehende Verwendung für Angebote, Aktionen, Erinnerungen oder andere Werbung setzt eine dafür wirksame Einwilligung voraus. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. a DSGVO unter Beachtung von § 7 UWG. Die Erklärung zum Newsletterversand in Abschnitt 7 ist nur insoweit anwendbar, wie Ihre Einwilligung tatsächlich auch WhatsApp umfasst.
Sie können WhatsApp-Werbung jederzeit durch eine Nachricht wie „STOP“ oder „Keine Werbung mehr“ sowie über info@merchbakery.de abbestellen. Wir beachten auch andere eindeutig erklärte Werbewidersprüche. Zur Bearbeitung einer laufenden Anfrage erforderliche Nachrichten sind von freiwilliger Werbung zu unterscheiden.
Unser WhatsApp-Kontakt kann durch den in Abschnitt 9 beschriebenen KI-Assistenten betreut werden. Sie können jederzeit menschliche Bearbeitung verlangen, beispielsweise mit „Mensch“ oder „Bitte an einen Mitarbeiter weitergeben“. Die Weiterleitung wird dann durch unser Team bearbeitet.
WhatsApp verarbeitet außerdem Daten für eigene Zwecke, insbesondere zur Bereitstellung und Sicherheit des Dienstes. Die Verschlüsselung während der Übertragung ist von der Verarbeitung empfangener Inhalte in unseren Geschäftssystemen zu unterscheiden. Nach dem Empfang können die zuständigen Personen und eingesetzten technischen Dienste auf die für die Bearbeitung benötigten Inhalte zugreifen.
WhatsApp-Datenschutzinformationen: https://www.whatsapp.com/legal/privacy-policy-eea
WhatsApp-Business-Platform-Bedingungen: https://www.whatsapp.com/legal/WhatsApp-Terms-for-WhatsApp-Business-Platform
9 KI Assistent mit Hermes und OpenAI
Funktion und menschliche Bearbeitung
Wir verwenden einen KI-gestützten Assistenten auf Basis der Agentensoftware Hermes und angebundener OpenAI-Sprachmodelle, darunter GPT beziehungsweise Codex. Er beantwortet Fragen und bearbeitet Kontakt- und Projektanfragen. Innerhalb der von uns festgelegten Preislisten, Konditionen und Berechnungsgrenzen kann er auch ohne vorherige menschliche Einzelfallfreigabe verbindliche Angebote und Auftragsbestätigungen versenden. Über individuell auszuhandelnde Konditionen und zusätzliche, noch nicht festgelegte Rabatte entscheidet eine zuständige Person unseres Teams. Dass eine Antwort durch KI erfolgt, wird zu Beginn des Chats kenntlich gemacht. Sie können jederzeit eine menschliche Bearbeitung verlangen oder uns über die in Abschnitt 1 genannten anderen Kontaktwege erreichen.
Die technische Hermes-Instanz läuft auf einem bei Hostinger betriebenen Server in Deutschland. Hermes bezeichnet die von uns eingesetzte Agentensoftware. Die bloße Verwendung dieser Software bedeutet nicht, dass der Softwarehersteller selbst Ihre Chatnachrichten erhält. Externe Modellaufrufe sind von diesem deutschen Serverstandort zu unterscheiden.
Verarbeitete Inhalte und Erinnerungen
Zur Erzeugung einer Antwort werden Ihre Nachrichten, der erforderliche Gesprächskontext und darin enthaltene Kontakt-, Unternehmens- und Projektangaben verarbeitet. Für externe Modellaufrufe werden die benötigten Inhalte an den angebundenen KI-Dienst übermittelt. Gespeichert werden außerdem Gesprächsverläufe und daraus abgeleitete Zusammenfassungen und Agentenerinnerungen, soweit sie zur weiteren Bearbeitung benötigt werden. Eine Zusammenfassung kann weiterhin personenbezogen sein.
Bilder Dokumente und Sprachnachrichten
Der Assistent verarbeitet auch von Ihnen übermittelte Bilder, Logos, Dokumente und Sprachnachrichten. Hierbei können Bild- und Dokumentinhalte ausgelesen und Sprachinhalte in Text umgewandelt und ausgewertet werden. Für externe KI-Aufrufe können die erforderlichen Dateien, Medieninhalte oder daraus gewonnenen Angaben an OpenAI übermittelt werden. Enthält ein Logo etwa einen Personennamen oder ein Dokument Angaben über Beschäftigte, gehören auch diese Informationen zum verarbeiteten Inhalt. Die Auswertung dient der Bearbeitung Ihres Anliegens; bitte beschränken Sie Dateien und Nachrichten auf die hierfür benötigten Angaben.
Die eigentliche Bearbeitung Ihrer Anfrage richtet sich nach Abschnitt 5. Die zusätzliche KI-Unterstützung unserer normalen geschäftlichen Kommunikation stützen wir, soweit die Voraussetzungen vorliegen, auf Art. 6 Abs. 1 Buchst. f DSGVO. Unser Interesse besteht in einer zeitnahen und strukturierten Bearbeitung. Dabei sind insbesondere die Erforderlichkeit der übermittelten Daten, die berechtigten Erwartungen der betroffenen Personen, die vertragliche Einbindung der Dienste und die Möglichkeit menschlicher Bearbeitung zu berücksichtigen. Für darüber hinausgehende, nur mit Einwilligung zulässige Verwendungen ist eine gesonderte Einwilligung erforderlich. Die Offenlegung des KI-Einsatzes allein ist keine Einwilligung.
OpenAI und verwendete Zugangswege
Für die angebundenen Agenten verwenden wir sowohl einen Zugang über ein ChatGPT-Konto als auch einen API-Zugang. Als europäische Gesellschaft nennt OpenAI die OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Die tatsächlichen Vertragsrollen und Datenbedingungen richten sich nach dem jeweiligen Produkt und Vertragsweg.
Für die OpenAI API gilt nach der produktbezogenen Dokumentation grundsätzlich, dass übermittelte Inhalte nicht zum Modelltraining verwendet werden, außer bei einer gesondert aktivierten Datenfreigabe. Je nach Endpunkt und Einstellungen können Sicherheitsprotokolle und gespeicherte Anwendungsdaten entstehen. Eine allgemeine Zusicherung sofortiger Löschung oder vollständiger Speicherfreiheit ist damit nicht verbunden.
Ein Zugang über ein persönliches ChatGPT-Konto unterliegt anderen kontobezogenen Datenbedingungen. Daraus folgt insbesondere keine automatische Geltung sämtlicher API-Regelungen. Ein Plus- oder Pro-Abonnement allein belegt weder einen bestimmten Auftragsverarbeitungsvertrag noch einen Ausschluss jeder weiteren Datennutzung. Für die Verarbeitung von Gesprächsinhalten sind die für den konkret eingesetzten Zugang geltenden Bedingungen und die wirksam festgelegten Datenkontrollen maßgeblich.
Automatisierte Erklärungen und Entscheidungen
Für die Standardkalkulation verarbeitet der Assistent die von Ihnen übermittelten Auftrags- und Projektangaben anhand unserer hinterlegten festen Preislisten, bereits festgelegten Konditionen und Berechnungsgrenzen. Auf dieser Grundlage kann er einen Preis berechnen und innerhalb seines vorgegebenen Rahmens ein verbindliches Angebot oder eine Auftragsbestätigung versenden. Individuell auszuhandelnde Konditionen und zusätzliche Rabatte außerhalb der bereits hinterlegten Vorgaben werden unserem Team zur Entscheidung vorgelegt.
Ein so erstelltes Angebot oder eine Auftragsbestätigung kann je nach Inhalt Rechte und Pflichten im Zusammenhang mit einem Vertrag begründen oder beeinflussen. Die spätere Möglichkeit menschlicher Prüfung bedeutet nicht, dass jede Standardkalkulation bereits vor ihrer Übermittlung von einem Menschen geprüft wurde. Die Befugnis des Assistenten zu verbindlichen Erklärungen bedeutet ihrerseits nicht, dass jede einzelne Antwort eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO ist.
Soweit eine ausschließlich automatisierte, auf personenbezogenen Daten beruhende Entscheidung gegenüber einer natürlichen Person rechtliche Wirkung entfaltet oder sie ähnlich erheblich beeinträchtigt, gelten die zusätzlichen Voraussetzungen des Art. 22 DSGVO. Eine solche Entscheidung darf nur auf einer hierfür tragfähigen gesetzlichen Ausnahme beruhen, insbesondere einer tatsächlich erforderlichen Vertragsentscheidung oder einer vorherigen ausdrücklichen Einwilligung. Ein allgemeines berechtigtes Interesse oder ein bloßer Hinweis auf diese Datenschutzerklärung genügt hierfür nicht.
In einem solchen Fall erhalten Sie vorab die erforderlichen Informationen zur betreffenden Entscheidungslogik, ihrer Tragweite und den angestrebten Auswirkungen. Soweit Art. 22 Abs. 3 DSGVO anwendbar ist, können Sie menschliches Eingreifen verlangen, Ihren Standpunkt darlegen und die Entscheidung anfechten. Wenden Sie sich hierzu im Chat mit einer eindeutigen Bitte um menschliche Prüfung oder an info@merchbakery.de. Die Überprüfung muss eine inhaltliche Beurteilung durch eine zuständige Person ermöglichen.
Unabhängig davon können Sie für die Bearbeitung Ihres Anliegens jederzeit einen Menschen verlangen. Die Verarbeitung personenbezogener Angaben von Ansprechpartnern eines Unternehmens bleibt auch dann den übrigen Datenschutzregeln unterworfen, wenn der Vertrag mit einer juristischen Person geschlossen wird.
Ihre Möglichkeiten und Speicherbegrenzung
Bitte übermitteln Sie nur Angaben, die für Ihr Anliegen erforderlich sind, und vermeiden Sie besonders sensible Informationen. Sie können unrichtige Kontaktangaben oder Erinnerungen berichtigen und die Löschung nicht mehr benötigter Informationen verlangen. Eine Bitte um menschliche Bearbeitung beendet weitere KI-Antworten für den betreffenden Vorgang, soweit keine erneute gewünschte Nutzung erfolgt. Bereits erforderliche Geschäftsunterlagen werden dadurch nicht automatisch gelöscht.
Für unsere Chatverläufe, Zusammenfassungen, Erinnerungen und technischen Kopien gelten die Regeln in Abschnitt 10. Eine laufende Kundenbeziehung rechtfertigt nicht die unbegrenzte Verwendung aller früheren Nachrichten als KI-Kontext.
OpenAI-Datenschutzinformationen: https://openai.com/policies/eu-privacy-policy/
API-Datenkontrollen: https://developers.openai.com/api/docs/guides/your-data
Informationen zu Zugangswegen: https://learn.chatgpt.com/docs/auth
10 Speicherdauer und Löschung
Wir speichern personenbezogene Daten, solange der jeweilige Zweck und eine Rechtsgrundlage bestehen. Ein Wegfall des Zwecks, ein wirksamer Widerruf oder ein berechtigtes Löschverlangen kann eine frühere Löschung erfordern. Die nachfolgenden betrieblichen Fristen sind keine Erlaubnis, nicht mehr benötigte Daten bis zum Fristende aufzubewahren.
Anfragen Chats und Agentenerinnerungen
Während einer laufenden Beratung oder Auftragsbearbeitung werden die hierfür benötigten Angaben vorgehalten. Nach Abschluss überprüfen wir, welche Daten für konkret absehbare Anschlussfragen und Folgeaufträge noch erforderlich sind. Nicht mehr erforderliche Einzelheiten werden entfernt. Für nicht aufbewahrungspflichtige Anfrage- und Gesprächsdaten sowie Zusammenfassungen und Agentenerinnerungen gilt als betriebliche Obergrenze grundsätzlich 24 Monate seit dem letzten relevanten inhaltlichen Kundenkontakt, soweit sie nicht schon vorher zu löschen sind.
Die Erforderlichkeit wird mindestens jährlich überprüft. Eine neue substanzielle Anfrage oder Bestellung kann einen fortbestehenden Bearbeitungszweck begründen. Bloße automatische Werbesendungen, technische Ereignisse oder vermeintlich gemessene E-Mail-Öffnungen verlängern diese Frist nicht. Gesetzlich aufzubewahrende Nachrichten und konkret zur Rechtsverteidigung benötigte Unterlagen werden gesondert und zweckgebunden aufbewahrt. Sie bleiben dadurch nicht automatisch im aktiven KI-Gedächtnis.
Werbung Tracking und Zielgruppen
Für einwilligungsbasierte Werbung werden die erforderlichen Kontaktdaten verarbeitet, solange die Einwilligung und ein aktueller Werbezweck bestehen. Nach Widerruf oder Widerspruch endet diese Verwendung. Wir überprüfen außerdem mindestens jährlich, ob die Fortführung bei inaktiven Kontakten noch gerechtfertigt ist. Ohne erneuten relevanten inhaltlichen Kontakt oder eine aktive Bestätigung werden inaktive Werbeprofile grundsätzlich spätestens nach 24 Monaten aus den aktiven Werbeabläufen entfernt.
Individuelle Öffnungs- und Klickdaten sowie daraus gebildete Werbeprofile werden nur im Umfang einer entsprechenden Einwilligung verwendet. Sie werden bei deren Widerruf nicht mehr für die Personalisierung genutzt und gelöscht, soweit kein gesonderter zulässiger Aufbewahrungsgrund besteht. Auch diese Auswertungsdaten werden grundsätzlich spätestens nach 24 Monaten gelöscht oder tatsächlich anonymisiert. Für von uns verwaltete Kundenlisten und Zielgruppen gilt die gleiche zweckbezogene Überprüfung. Eigenständige Speicherungen bei Meta richten sich nach dessen Verantwortlichkeit und Informationen.
Einwilligungen Werbesperren und Rechtsansprüche
Erforderliche Einwilligungsnachweise können während der legitimierten Verwendung und anschließend regelmäßig bis zum Ende des dritten Kalenderjahres nach Beendigung beziehungsweise letzter relevanter Verwendung gesondert aufbewahrt werden, soweit dies zum Nachweis und zur Rechtsverteidigung erforderlich ist. Bei konkreten Streitigkeiten kann eine längere, auf den Streitgegenstand begrenzte Sicherung erforderlich sein. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchst. c in Verbindung mit Art. 7 Abs. 1 DSGVO beziehungsweise Art. 6 Abs. 1 Buchst. f DSGVO.
Um einen Werbewiderspruch dauerhaft zu beachten, können wir eine auf das erforderliche Minimum beschränkte Sperrkennung speichern. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse liegt darin, eine versehentliche erneute werbliche Ansprache zu verhindern. Ein Sperreintrag ist kein aktives Kunden- oder Werbeprofil. Seine Erforderlichkeit wird regelmäßig überprüft.
Gesetzliche Geschäftsunterlagen
Soweit die jeweilige gesetzliche Aufbewahrungspflicht anwendbar ist, gelten insbesondere sechs Jahre für Handels- und Geschäftsbriefe, acht Jahre für Buchungsbelege und zehn Jahre für bestimmte Bücher, Aufzeichnungen und Abschlüsse. Maßgeblich sind insbesondere § 257 HGB und § 147 AO mit ihren jeweiligen Voraussetzungen, Fristbeginnen und Verlängerungstatbeständen. Die Frist beginnt regelmäßig mit Ablauf des gesetzlich maßgeblichen Kalenderjahres. Die längeren Fristen betreffen die betreffenden Unterlagen und erlauben keine entsprechende pauschale Speicherung aller Chatinhalte oder Werbeprofile.
Technische Protokolle Automatisierungen und Sicherungen
Von uns kontrollierte technische Protokolle und inhaltsbezogene Ausführungshistorien von Automatisierungen werden grundsätzlich spätestens nach 30 Tagen gelöscht, soweit sie nicht bereits früher entbehrlich sind. Bei konkreten Störungen oder Sicherheitsvorfällen dürfen die hierfür erforderlichen Auszüge bis zur Aufklärung und gegebenenfalls zur Rechtsverfolgung gesondert gesichert werden. Eigenständige Speicherungen eines Dienstanbieters unterliegen dessen jeweiligen Produkt- und Vertragsregeln.
Löschungen erfassen im laufenden Betrieb auch personenbezogene Zusammenfassungen, Agentenerinnerungen und weitere Arbeitskopien. Soweit Daten noch in technisch getrennten Sicherungen enthalten sind, werden sie nur zur Wiederherstellung verwendet und im regulären Sicherungszyklus grundsätzlich innerhalb von spätestens 90 Tagen überschrieben. Nach einer Wiederherstellung werden bereits erfolgte Löschungen und Werbesperren erneut angewendet. Sicherungskopien dienen nicht als zusätzliche Kundendatenablage.
11 Empfänger und internationale Verarbeitung
Zugriff erhalten die mit der Bearbeitung betrauten Personen und die für den jeweiligen Zweck eingesetzten Dienstleister im erforderlichen Umfang. Die in dieser Erklärung beschriebenen Empfänger und technischen Dienste betreffen insbesondere Hostinger für Hosting und Serverbetrieb, Meta für Werbung und Zielgruppen, Make und n8n GmbH mit n8n Cloud für Automatisierungen, Brevo für Kontaktverwaltung und Versand sowie WhatsApp und OpenAI für die beschriebenen Kommunikationsfunktionen.
Soweit ein Dienstleister weisungsgebunden für uns verarbeitet, ist er nach Art. 28 DSGVO als Auftragsverarbeiter einzubinden. Anbieter können für eigene Verarbeitungen selbst verantwortlich sein. Für gemeinsam bestimmte Meta-Verarbeitungen gilt Abschnitt 6. Der Hersteller einer selbst betriebenen Software ist nicht allein wegen ihrer Verwendung Empfänger sämtlicher darin verarbeiteter Inhalte.
Bei international tätigen Anbietern können Daten auch außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, insbesondere in den USA. Dies betrifft insbesondere internationale Verarbeitungswege bei Meta, WhatsApp, Make/Celonis und OpenAI. Der deutsche Standort unserer Hermes-Instanz schließt externe Modellaufrufe oder internationale Anbieterzugriffe nicht aus.
Drittlandübermittlungen setzen eine Grundlage nach Art. 44 ff. DSGVO voraus. Für einen tatsächlich erfassten und aktuell zertifizierten US-Empfänger kann ein einschlägiger Angemessenheitsbeschluss wie das EU-US Data Privacy Framework maßgeblich sein. Soweit ein solcher Beschluss die konkrete Übermittlung nicht abdeckt, kommen insbesondere die Standardvertragsklauseln der Europäischen Kommission mit erforderlichen ergänzenden Schutzmaßnahmen in Betracht. Eine Einwilligung in Werbung oder KI-Nutzung ersetzt nicht automatisch die Prüfung dieser Voraussetzungen.
Informationen zu den für eine konkrete Übermittlung einschlägigen Garantien und gegebenenfalls eine Kopie erhalten Sie über info@merchbakery.de. Die verlinkten Anbieterinformationen enthalten ergänzende Angaben zu internationalen Verarbeitungswegen und Unterauftragnehmern.
12 Schutz personenbezogener Daten
Wir treffen dem Risiko der Verarbeitung angemessene technische und organisatorische Maßnahmen. Dazu gehören die Beschränkung von Zugriffsberechtigungen sowie Maßnahmen zur Sicherheit von Zugängen, Übertragung und Speicherung.
13 Ihre Rechte
Unter den gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft nach Art. 15 DSGVO, Berichtigung nach Art. 16 DSGVO, Löschung nach Art. 17 DSGVO, Einschränkung der Verarbeitung nach Art. 18 DSGVO sowie Datenübertragbarkeit nach Art. 20 DSGVO.
Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Zur Ausübung Ihrer Rechte wenden Sie sich an info@merchbakery.de.
Widerspruch bei berechtigten Interessen: Beruht eine Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO, können Sie aus Gründen Ihrer besonderen Situation nach Art. 21 Abs. 1 DSGVO widersprechen. Wir verarbeiten die Daten dann nicht weiter, es sei denn, zwingende schutzwürdige Gründe überwiegen Ihre Interessen, Rechte und Freiheiten oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Widerspruch gegen Direktwerbung: Sie können jederzeit ohne Angabe von Gründen gegen die Verarbeitung Ihrer Daten für Direktwerbung widersprechen. Dies umfasst das damit verbundene Profiling. Nach dem Widerspruch werden Ihre Daten nicht mehr für diese Zwecke verwendet.
Sie können sich nach Art. 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere im Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes. Für den hier genannten Unternehmenssitz ist die Sächsische Datenschutz- und Transparenzbeauftragte zuständig.
Postanschrift: Sächsische Datenschutz- und Transparenzbeauftragte, Postfach 11 01 32, 01330 Dresden, Deutschland.
Besucheranschrift: Maternistraße 17, 01067 Dresden.
E-Mail: post@sdtb.sachsen.de
Website und Beschwerdemöglichkeiten: https://www.datenschutz.sachsen.de/kontakt.html
14 Aktualisierung
Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Verarbeitungsvorgänge oder maßgebliche rechtliche Anforderungen ändern. Für neue Verarbeitungen erforderliche Einwilligungen müssen vor Beginn der jeweiligen Verarbeitung eingeholt werden.