Datenschutzerklärung

1. Wer Ihre Daten verarbeitet und wer wofür einsteht

Wenn Sie im Chat eines Shops schreiben, liegen Ihre Nachrichten in der Verantwortung dieses Shops: Er entscheidet, warum und wie lange sie verarbeitet werden. Rechtlich ist der Shop der Verantwortliche.

Numen di Rasman Francesco stellt die Software bereit, die den Chat betreibt, und handelt als Auftragsverarbeiter für den Shop — auf Grundlage des Vertrags nach Artikel 28 DSGVO, den jeder Shop akzeptiert.

Name und Kontaktdaten des Shops finden Sie auf der Website, auf der Sie den Chat geöffnet haben. Zur Software selbst schreiben Sie an privacy@vibblin.com.

Numen di Rasman Francesco
Via Bembo, 34, 34015 Muggia (TS)
E-Mail: privacy@vibblin.com

2. Was wir speichern, wenn Sie chatten

Nur das, was nötig ist, damit das Gespräch funktioniert und der Shopbetreiber es wiederfindet.

„Vorvertragliche Maßnahmen auf Ihre Anfrage“ bedeutet etwas Einfaches: Es dient dazu, die Anfrage zu beantworten, die Sie gestellt haben. Es ist keine Einwilligung, also gibt es nichts zu widerrufen: Wenn Sie keine Antwort vom Shop möchten, schreiben Sie ihm einfach nicht.

Wenn der Shop in einem Formular nach Name, E-Mail, Telefon oder einem Anhang fragt, geben Sie diese Daten selbst an, und sie bleiben beim Shop: Das Formular sagt immer, wofür sie dienen.

Schreiben Sie nur, was für Ihre Anfrage nötig ist. Wenn Sie im Chat Angaben zu Ihrer Gesundheit oder andere sensible Daten machen, werden sie Teil des Gesprächs: Sie werden vom Shop verarbeitet, der Verantwortlicher ist und über das Wie entscheidet, und wie der Rest des Gesprächs aufbewahrt.

3. Was wir NICHT tun

• Keine Cookies auf der Website des Shopbetreibers: Der Chat setzt nicht ein einziges.
• Kein Tracking über Websites hinweg, kein Werbeprofil, kein Verkauf von Daten.
• Ihre IP-Adresse gelangt nicht in die Daten des Gesprächs: Wenn Sie einen Kontakt hinterlassen, wird nur ein mit einem geheimen Schlüssel berechneter Fingerabdruck gespeichert, der gegen Missbrauch dient; ohne den Schlüssel, der auf unseren Servern bleibt, lässt sich die Adresse nicht zurückgewinnen. Im Klartext erscheint die Adresse nur kurz: in den Zählern, die zu häufige Anfragen begrenzen (höchstens einen Tag), und in den Serverprotokollen (14 Tage).
• Ihre Nachrichten trainieren kein Modell künstlicher Intelligenz, weder unseres noch das eines Dritten.

4. Wie lange

Das hängt vom Tarif ab, den der Shop abgeschlossen hat. Nach Ablauf der Frist werden Gespräche und Nachrichten jede Nacht automatisch gelöscht.

Der Shop kann sie auch früher löschen, jederzeit. Nutzt der Shop VIBBLIN nicht mehr, werden die Daten spätestens 30 Tage nach dem Ende seines Vertrags gelöscht. Suchstatistiken bleiben 90 Tage, technische Fehlerprotokolle 30 Tage, Serverprotokolle 14 Tage.

5. Sie sprechen mit einer künstlichen Intelligenz

Der Assistent ist ein System künstlicher Intelligenz, keine Person. Das sagen Ihnen das Kennzeichen „KI“ neben seinem Namen und die Zeile „Antworten von einer KI generiert“ oben im Fenster: Keine Einstellung des Shops kann sie entfernen. Wenn Sie fragen, muss der Assistent es Ihnen bestätigen.

Preisschätzungen, wenn es sie gibt, erfindet das Modell nicht: Die Software berechnet sie nach den Regeln und Preisen, die der Shopbetreiber hinterlegt hat. Es bleiben Schätzungen, keine verbindlichen Angebote.

Sie können jederzeit verlangen, mit einem Menschen zu sprechen: Schreiben Sie es einfach in den Chat. Die Anfrage geht an den Shop, der Ihnen antwortet.

6. Wohin Ihre Daten gehen

Um die Antworten zu erzeugen, wird der Text des Gesprächs an den Hauptanbieter der Sprachmodelle, Anthropic, gesendet und nur dann, wenn dieser nicht antwortet, an den Ersatzanbieter, OpenAI; jede Antwort durchläuft danach die automatische Prüfung von OpenAI, die die Antwort erhält und, bei Shops mit eigenen Anweisungen, auch Ihre Nachricht, auf die sie antwortet. Vorher maskiert die Software die personenbezogenen Daten, die sie erkennt — E-Mail-Adressen, Telefonnummern, IBAN, Kartennummern, Steuernummern, Umsatzsteuer-Identifikationsnummern, Anschriften, IP-Adressen — und ersetzt sie durch Platzhalter, in jeder Nachricht, die an die Anbieter der Sprachmodelle geht: in der Nachricht, die Sie gerade geschrieben haben, in den früheren Nachrichten des Gesprächs und in der Antwort, die an die Prüfung geht. Alles andere, auch Ihr Name und Bestellnummern, geht so hinaus, wie Sie es geschrieben haben. Die echten Daten bleiben auf unseren Servern: Mit ihnen zeigen wir Ihnen die Antwort und nehmen die Angaben auf, die Sie dem Shop hinterlassen möchten.

Anthropic verarbeitet die Daten in den Vereinigten Staaten auf Grundlage der Standardvertragsklauseln der Europäischen Union (Module 2 und 3), die Teil seines Vertrags über die Auftragsverarbeitung sind. Bei OpenAI erfolgt die Übermittlung in die Vereinigten Staaten auf Grundlage der von der Europäischen Kommission genehmigten Standardvertragsklauseln oder, wo er greift, eines Angemessenheitsbeschlusses der Europäischen Kommission. Für Länder ohne Angemessenheitsbeschluss, etwa die Vereinigten Arabischen Emirate, gelten allein die Standardvertragsklauseln.

Weder Anthropic noch OpenAI verwenden Ihre Nachrichten, um ihre Modelle zu trainieren. Anthropic löscht Fragen und Antworten innerhalb von 30 Tagen, außer wenn es sie länger aufbewahren muss, um seine Nutzungsrichtlinien durchzusetzen, oder weil das Gesetz es verlangt.

Paddle, das Unternehmen, das den Shops die Abonnements verkauft, erhält keine Daten der Besucher.

7. Was in Ihrem Browser bleibt

Der Chat verwendet keine Cookies, behält aber einiges im Speicher des Browsers — sonst verlöre er bei jedem Klick den Faden.

Nichts davon verlässt Ihren Browser von selbst, und Sie können es jederzeit in den Browsereinstellungen (Website-Daten) löschen.

8. Ihre Rechte

Sie können Auskunft über Ihre Daten verlangen sowie ihre Berichtigung, ihre Löschung, die Einschränkung ihrer Verarbeitung und ihre Übertragung in einem lesbaren Format, und Sie können der Verarbeitung widersprechen.

Die Anfrage richten Sie an den Shop, der Verantwortlicher ist: Seine Kontaktdaten stehen auf seiner Website. Wir geben dem Shop die Werkzeuge zum Antworten — Export und Löschung sind zwei Schaltflächen in seinem Dashboard — und unterstützen ihn, wenn nötig.

Sie können den Shop auch bitten, ein einzelnes Gespräch zu löschen: In seinem Dashboard gibt es die Schaltfläche dafür, ohne auf die automatische Löschung zu warten.

Wenn Sie uns schreiben, leiten wir die Anfrage an den Shop weiter: Wir können nicht an seiner Stelle entscheiden.

9. Wie wir die Daten schützen

Das sind die Maßnahmen, die es wirklich gibt, keine Liste guter Absichten.

• Mit TLS verschlüsselter Verkehr zwischen Ihrem Browser und unseren Servern.
• Passwörter als scrypt-Hash gespeichert, nie im Klartext; ein Passwortwechsel beendet alle offenen Sitzungen.
• Maskierung erkannter personenbezogener Daten in jeder Nachricht, die an die Anbieter von Sprachmodellen geht, auch in der gerade geschriebenen Nachricht und in der Antwort, die an die automatische Prüfung geht (Abschnitt 6).
• IP-Adressen nur als Fingerabdruck mit Schlüssel gespeichert.
• Zugriff auf die Daten eines Shops nur für diesen Shop, bei jeder Anfrage geprüft.
• Ansteigende Sperre nach fehlgeschlagenen Anmeldeversuchen und Frequenzgrenzen für öffentliche Schnittstellen.
• Sicherungen: jeden Tag eine Kopie der Datenbank, 14 Tage auf dem Server aufbewahrt, und jede Woche eine Kopie des gesamten Servers, vom Hosting-Anbieter getrennt vom Server aufbewahrt. Die Wiederherstellung aus einer Kopie wurde tatsächlich erprobt.

10. Wer der Verantwortliche ist

Für die Daten Ihres Kontos, Ihrer Registrierung und Ihrer Geschäftsbeziehung mit uns ist der Verantwortliche Numen di Rasman Francesco, Via Bembo, 34, 34015 Muggia (TS), USt-IdNr. 01452730326. Für alles, was Ihre Daten betrifft, schreiben Sie an privacy@vibblin.com.

Zwei Klarstellungen:

• für die Daten Ihrer Besucher sind Sie der Verantwortliche und wir der Auftragsverarbeiter: Die Regeln stehen im Auftragsverarbeitungsvertrag;
• für die Daten, die für den Kauf des Abonnements nötig sind, ist auch Paddle eigenständig Verantwortlicher (Abschnitt 14).

Diese Daten können Ihre eigenen sein, wenn Sie selbst das Unternehmen sind (Einzelunternehmer, Freiberufler), oder die der Person, die sich für das Unternehmen registriert.

11. Welche Daten wir verarbeiten, wofür und auf welcher Grundlage

E-Mail-Adresse, Passwort, Name des Unternehmens, Land und Sprache brauchen wir für Ihre Registrierung, und die Karte bei Paddle braucht es, um die Testphase zu starten: Ohne sie kann das Konto nicht angelegt werden. Die Neuigkeiten per E-Mail sind freiwillig.

12. Die Registrierung über die Website

Was wir speichern. Während Sie sich registrieren, speichern wir die Daten des Formulars, das Passwort nur als Hash, den Code, den wir Ihnen per E-Mail senden, nur als Fingerabdruck sowie die Fingerabdrücke mit Schlüssel Ihrer IP-Adresse und Ihres Browsers. Im Klartext erscheint die IP-Adresse nur in den Zählern, die zu häufige Registrierungen begrenzen (höchstens einen Tag), in den Serverprotokollen (14 Tage) und in der Unterschrift mit dem Code (siehe unten).

Wie lange:

• geben Sie den Code nicht innerhalb von 24 Stunden nach dem letzten, den wir Ihnen gesendet haben, ein, werden die Registrierung und ihre Daten gelöscht;
• bestätigen Sie sie, hinterlegen aber keine Karte, senden wir Ihnen nach 3 Tagen eine Erinnerung und löschen 7 Tage nach der Bestätigung alles;
• ist die Registrierung erfolgreich, bleibt sie beim Konto als Nachweis dafür, wie der Vertrag geschlossen wurde, und wird mit dem Konto gelöscht.

Die Unterschrift. Wenn Sie den Code eingeben — bei der Registrierung oder, wenn Sie bereits Kunde sind, auf der Zustimmungsseite —, bewahren wir mit den Zustimmungen die E-Mail-Adresse auf, an die wir ihn gesendet haben, wann Sie die Kästchen angekreuzt und wann Sie den Code eingegeben haben, seine Referenz (nicht den Code), die IP-Adresse und den Browser (User-Agent), von dem aus Sie ihn eingegeben haben, die Sprache und die Versionen der Dokumente. Sie dienen dem Nachweis, dass Sie die Klauseln selbst genehmigt haben, wie es das italienische Zivilgesetzbuch verlangt, und bleiben gespeichert, solange Ihr Konto besteht (Nutzungsbedingungen, Punkt 3.6). Den Code selbst speichern wir nur als Fingerabdruck und löschen ihn eine Woche nach seinem Ablauf. Rechtsgrundlage: Vertrag und berechtigtes Interesse an der Verteidigung unserer Rechte (Art. 6 Abs. 1 lit. b und f).

Die E-Mails. An eine Adresse senden wir höchstens 3 Registrierungs-E-Mails pro Tag. Um sie zu zählen, führen wir zwei Tage lang einen Zähler, der an einen Fingerabdruck der Adresse gebunden ist.

„Sie haben bereits ein VIBBLIN-Konto“. Registriert sich jemand mit einer Adresse, zu der es bereits ein Konto oder eine laufende Registrierung gibt, senden wir an diese Adresse statt der Bestätigung die E-Mail „Sie haben bereits ein VIBBLIN-Konto“. So erfährt der Kontoinhaber, dass es jemand versucht hat, und wer das Formular ausgefüllt hat, erfährt nicht, ob die Adresse bei uns bekannt ist. Dafür speichern wir nichts Neues, außer dem Zähler der E-Mails; diese E-Mail kann auch erhalten, wer sich nie selbst registriert hat, wenn jemand seine Adresse eingegeben hat. Rechtsgrundlage: unser berechtigtes Interesse und Ihres, das Konto zu schützen (Art. 6 Abs. 1 lit. f).

13. Eine Testphase pro E-Mail-Adresse und pro Website

Um die kostenlose Testphase nur einmal zu gewähren, speichern wir:

• einen mit einem geheimen Schlüssel berechneten Fingerabdruck der E-Mail-Adresse, nicht die Adresse selbst;
• einen Fingerabdruck der Domain jeder Website, auf der das Widget während der Testphase erscheint, mit demselben Schlüssel berechnet, nicht die Domain selbst;
• das Datum des Beginns der Testphase.

Diese Daten dienen keinem anderen Zweck. Wir bewahren sie 24 Monate ab Beginn der Testphase auf, auch wenn Sie das Konto in der Zwischenzeit löschen: Sonst würde es genügen, das Konto zu löschen, um eine neue Testphase zu bekommen. Danach löschen wir sie. Rechtsgrundlage ist unser berechtigtes Interesse, zu verhindern, dass ein kostenloses Angebot, das uns etwas kostet, mehrfach genutzt wird (Art. 6 Abs. 1 lit. f); wir haben es abgewogen, indem wir nur das Minimum behalten — einen Fingerabdruck statt der E-Mail-Adresse und der Domains — und das für begrenzte Zeit. Sie können widersprechen, indem Sie an privacy@vibblin.com schreiben.

Die Prüfung erfolgt automatisch: Stimmt der Fingerabdruck der E-Mail-Adresse überein, bietet Ihnen die Registrierung das Abonnement ohne Testphase an; wurde die Domain schon von einer anderen Testphase genutzt, startet das Widget auf dieser Website erst, wenn Sie das Abonnement aktivieren. Halten Sie das für einen Fehler, schreiben Sie uns, und ein Mensch sieht es sich an.

14. Die Zahlungen: Paddle

Wer das ist. Die Abonnements für VIBBLIN verkauft Paddle.com Market Limited, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich, unser Wiederverkäufer (Merchant of Record). Den Kauf schließen Sie mit Paddle ab.

Was Paddle erhebt. Im Checkout fragt Paddle Sie nach E-Mail-Adresse, Land, Postleitzahl (in Italien) und Zahlungsdaten und, wenn Sie sie hinzufügen möchten, nach USt-IdNr., Firmenname und Anschrift. Laut seiner Datenschutzerklärung verarbeitet Paddle auch Geräte- und IP-Adressdaten, unter anderem zur Betrugsprävention.

In welcher Rolle. Paddle und wir verarbeiten diese Daten als voneinander unabhängige Verantwortliche, jeder für seine eigenen Zwecke: So steht es im Vertrag zwischen uns und Paddle. Paddle nutzt sie, um zu verkaufen, Zahlungen einzuziehen, Steuern zu berechnen, seine Buchhaltung zu führen, seine gesetzlichen Pflichten zu erfüllen (zum Beispiel die Prüfung internationaler Sanktionen) und Betrug zu verhindern, wie seine Datenschutzerklärung erläutert: paddle.com/legal/privacy. Für die Daten, die Paddle verarbeitet, wenden Sie sich an Paddle: privacy@paddle.com.

Die Karte. Die vollständige Kartennummer sehen und speichern wir nie. Von Paddle übernehmen wir Kartenmarke und letzte vier Ziffern, und das sind die einzigen Kartendaten, die wir speichern, um sie Ihnen unter „Ihr Tarif“ anzuzeigen.

Was wir sehen. Im Verwaltungsbereich von Paddle und über seine Dienste können wir die Daten Ihres Kaufs sehen: Name, E-Mail-Adresse, Rechnungsanschrift, Firmenname und USt-IdNr., wenn Sie sie angegeben haben, Käufe und Erstattungen sowie von der Karte auch Ablaufdatum und Namen des Karteninhabers. Wir nutzen sie nur für den Support bei Zahlungen, für Erstattungen und für die Buchhaltung der Auszahlungen, die wir von Paddle erhalten; in unserer Datenbank speichern wir nur, was die Tabelle in Abschnitt 11 angibt. Wir nutzen sie nicht, um Ihnen ohne Ihre Einwilligung Werbung zu senden.

15. Neuigkeiten von VIBBLIN per E-Mail

Bei der Registrierung gibt es ein separates, freiwilliges und nicht vorausgewähltes Kästchen, um Neuigkeiten von VIBBLIN per E-Mail zu erhalten. Setzen Sie das Häkchen, nutzen wir Ihre E-Mail-Adresse und die Sprache des Dashboards nur dafür und speichern das Datum der Einwilligung. Sie können sich jederzeit abmelden, über den Link in jeder E-Mail oder indem Sie uns schreiben: Ab dann schreiben wir Ihnen nicht mehr. Der Widerruf der Einwilligung ändert nichts am Dienst. Die E-Mails versendet unser E-Mail-Dienstleister (Abschnitt 17).

16. Die internen Hinweise

Wenn eine neue Registrierung eingeht oder jemand versucht, sich mit einer Adresse zu registrieren, die bei uns bereits bekannt ist, erhält der Betreiber von VIBBLIN per E-Mail einen Hinweis mit dem im Formular angegebenen Namen des Unternehmens, dem Land und der Sprache. Erscheint das Widget einer Testphase auf einer Website, die die Testphase schon hatte, nennt der Hinweis den Namen des Unternehmens und die Domain der Website. Per E-Mail kommen auch die Hinweise zum Abonnement — neuer Shop, erfolgreiche oder fehlgeschlagene Zahlung, Tarifwechsel, Kündigung, Sperrung, Schließung, Rückbuchung — mit dem Namen des Unternehmens, dem Tarif, den Beträgen und den Datumsangaben. Niemals die E-Mail-Adresse. Über Telegram kommt nur der Titel des Hinweises: Er kann Tarif, Beträge und Datumsangaben nennen, niemals den Namen des Unternehmens, die E-Mail-Adresse oder die Domain.

Die Hinweise dienen dazu, Registrierungen und Abonnements zu verfolgen und Missbrauch zu erkennen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f).

17. An wen wir Daten weitergeben

• An Dienstleister, die sie in unserem Auftrag verarbeiten, als Auftragsverarbeiter: das Hosting (Server, Datenbank und Sicherungen), den E-Mail-Dienstleister (Service-E-Mails und Neuigkeiten) und die Anbieter der Sprachmodelle: Anthropic, den Hauptanbieter, und OpenAI, den Ersatzanbieter, der außerdem die Antworten und die Texte prüft, bevor sie die Besucher erreichen (wenn der Assistent antwortet und wenn er Ihre Texte in die anderen Sprachen übersetzt, erhalten sie den Namen des Unternehmens und die Texte, die Sie für den Assistenten geschrieben haben; bei Shops mit eigenen Anweisungen erhält die Prüfung von OpenAI mit jeder Antwort auch die Nachricht des Besuchers, auf die sie antwortet). Es sind dieselben wie in der Liste der Unterauftragsverarbeiter.
• An Paddle, als unabhängigen Verantwortlichen, für den Kauf (Abschnitt 14).
• An Behörden, wenn das Gesetz es verlangt, und an unsere Berater (Rechtsanwälte, Steuerberater), wenn nötig, die zur Vertraulichkeit verpflichtet sind.

Wir verkaufen niemandem Daten.

18. Übermittlungen außerhalb der Europäischen Union

• Paddle hat seinen Sitz im Vereinigten Königreich, für das ein Angemessenheitsbeschluss der Europäischen Kommission besteht (Beschluss (EU) 2025/2574, gültig bis zum 27. Dezember 2031). Laut seiner Datenschutzerklärung kann Paddle die Daten auch an Gesellschaften seiner Gruppe und an seine Dienstleister in anderen Ländern übermitteln, auf Grundlage von Standardvertragsklauseln.
• Anthropic, der Hauptanbieter der Sprachmodelle (Verarbeitung in den Vereinigten Staaten): Standardvertragsklauseln der Europäischen Union (Module 2 und 3) in seinem Vertrag über die Auftragsverarbeitung. OpenAI, der Ersatzanbieter (Vereinigte Staaten): Standardvertragsklauseln oder, wo er greift, ein Angemessenheitsbeschluss der Europäischen Kommission.

19. Wie lange

Was Paddle aufbewahrt, entscheidet Paddle, gemäß seiner Datenschutzerklärung.

20. Ihre Rechte

Sie können Auskunft über Ihre Daten verlangen, ihre Berichtigung, ihre Löschung, die Einschränkung ihrer Verarbeitung und ihre Übertragung in einem lesbaren Format, und Sie können Verarbeitungen widersprechen, die auf berechtigtem Interesse beruhen; die Einwilligung zu Neuigkeiten können Sie jederzeit widerrufen, ohne dass sich etwas an dem ändert, was vorher geschehen ist.

Vieles erledigen Sie selbst unter Dashboard → Privacy & GDPR: Daten exportieren und das Konto löschen. Für alles andere schreiben Sie an privacy@vibblin.com: Wir antworten innerhalb eines Monats. Für die Daten, die Paddle verarbeitet: privacy@paddle.com.

21. Automatisierte Entscheidungen

Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten. Die einzigen automatischen Prüfungen bei der Registrierung sind die Schutzmechanismen gegen Missbrauch und die Prüfung auf eine bereits genutzte Testphase (Abschnitt 13): Glauben Sie, dass Sie dabei irrtümlich abgewiesen wurden, schreiben Sie uns, und ein Mensch sieht es sich an.

22. Minderjährige

Der Dienst richtet sich nicht an Personen unter 16 Jahren und fragt nie nach dem Alter. Meldet uns ein Shop Daten einer minderjährigen Person, löschen wir sie.

23. Änderungen dieser Datenschutzerklärung

Jede Version trägt oben auf dieser Seite eine Nummer und ein Datum. Ändert sich etwas Wesentliches, steigt die Version, und wir schreiben es den Shopbetreibern an die E-Mail-Adresse des Kontos. Dieser Erklärung stimmt man nicht zu: Man liest sie.

24. Beschwerden

Wenn Sie meinen, dass Ihre Daten nicht korrekt verarbeitet werden, können Sie sich an die Aufsichtsbehörde Ihres Landes wenden. In Italien: Garante per la protezione dei dati personali (italienische Datenschutzbehörde), Piazza Venezia 11, 00187 Rom — garanteprivacy.it.