DSGVO: Wie Yasan Ihre Daten schützt

Der Schutz von Daten — Ihren und denen Ihrer Kunden — hat für uns oberste Priorität. Deshalb haben wir eine leicht verständliche Zusammenfassung dessen erstellt, was mit Ihren Daten in Yasan tatsächlich geschieht – im Chat, in der KI-Suche und im E-Mail-Support. Sie basiert auf unseren Nutzungsbedingungen, unserer Datenschutzerklärung und unserem Auftragsverarbeitungsvertrag (DPA), an die wir uns strikt halten. Ihre Käufer finden eigene, verständliche Hinweise unter yasan.ai/ai-assistant-privacy.

Wer für die Daten verantwortlich ist#

Aus Sicht der DSGVO sind die Rollen klar aufgeteilt:

Sie sind der Verantwortliche (data controller) — Sie entscheiden, welche Daten zu welchem Zweck verarbeitet werden.
Yasan ist der Auftragsverarbeiter (data processor) — wir verarbeiten die Daten in Ihrem Auftrag und ausschließlich nach Ihren Anweisungen.

Dieses Verhältnis wird durch den Auftragsverarbeitungsvertrag (DPA) geregelt. Er ist Bestandteil unserer Nutzungsbedingungen und gilt automatisch mit deren Annahme oder der Installation von Yasan über Ihre E-Commerce-Plattform. Er basiert direkt auf den Anforderungen von Art. 28 DSGVO.

Ihre Daten trainieren keine KI-Modelle#

Das ist verständlicherweise die häufigste Sorge. Die Antwort darauf ist jedoch eindeutig: Wir verwenden Ihre Daten unter keinen Umständen zum Training allgemeiner KI-Modelle.

Der Inhalt Ihrer Kommunikation (E-Mails, Nachrichten, Transkripte, Entwürfe) wird nicht zum Training, Fine-Tuning oder zur Verbesserung allgemeiner KI-Modelle für Dritte oder die breite Öffentlichkeit verwendet.
Daten dürfen wir ausschließlich dazu nutzen, Yasan direkt für Sie zu verbessern — zum Beispiel durch die Feinabstimmung von Prompts und ein besseres Kontextverständnis in Ihrem Arbeitsbereich.
Genau dieselben Verpflichtungen gelten auch für die KI-Modell-Anbieter, auf denen Yasan aufbaut (z. B. Anthropic, OpenAI, Google) — Daten, die über deren APIs verarbeitet werden, fließen nicht in das Training ihrer Modelle ein.

Welche Daten wir verarbeiten und warum#

Wir verarbeiten nur die Daten, die unbedingt notwendig sind, damit der Dienst ordnungsgemäß funktioniert. Den genauen Umfang finden Sie im Anhang (Schedule 1) unseres DPA:

Chat — die Konversation, die Seite und Sprache, auf der sie begann, eine E-Mail-Adresse nur, wenn der Besucher sie selbst angibt, nach Bestätigung seiner E-Mail-Adresse abgerufene Bestelldaten und der Warenkorb als Kontext.
KI-Suche — abgeschickte Suchanfragen und Folgenachrichten, angezeigte Produkte und Antworten, angewendete Filter, die Seitenadresse ohne Query-String und eine Warenkorb-Zusammenfassung (Anzahl der Artikel, Wert, Währung). Mit Einwilligung in Analysen zusätzlich eine zufällige Besucherkennung.
E-Mail-Support — E-Mails (Text, Anhänge, Header), Entwürfe und Antworten sowie Kontext aus Ihren verbundenen Systemen (Bestellungen, Rechnungen, Lieferstatus).
Ihre E-Commerce-Plattform — der Produktkatalog sowie Bestellungen mit dem Kunden der Bestellung, nur bei Bedarf abgerufen, um eine konkrete Frage zu beantworten. Eine Kopie Ihrer Kundenliste behalten wir nicht.
Autorisierte Nutzer — Name, E-Mail-Adresse, Rolle und Anmeldedaten Ihrer Kolleg:innen.

Der Zweck ist stets derselbe: Ihnen ein großartiges Werkzeug für Kundensupport, Suche und Kommunikation zur Verfügung zu stellen. Wir verkaufen Daten niemals an Dritte.

Was Ihre Käufer sehen#

Chat und KI-Suche weisen Käufer darauf hin, dass die Antworten von einer KI stammen.
Der Datenschutz-Link in beiden Widgets führt zu den Käuferhinweisen unter yasan.ai/ai-assistant-privacy, in der Sprache des Käufers.
Die Besucherkennung entsteht nur mit Einwilligung in Analysen und wird beim Widerruf gelöscht. So übergeben Sie die Einwilligung: Was auf die Website gehört.

Unterauftragsverarbeiter (Subprozessoren)#

Damit Yasan funktionieren kann, arbeiten wir mit sorgfältig ausgewählten Anbietern zusammen (z. B. für Cloud-Infrastruktur und die KI-Modelle selbst). Jeder von ihnen ist vertraglich zum gleichen Schutzniveau verpflichtet, das wir auch Ihnen garantieren.

Die aktuelle Liste unserer Subprozessoren finden Sie jederzeit unter yasan.ai/subprocessors.
Sollten wir einen neuen Subprozessor hinzufügen, informieren wir Sie mindestens 7 Tage vorab, und Sie haben das Recht, Einspruch zu erheben.
Bei einer Datenübermittlung außerhalb der EU/des EWR stützen wir uns auf das EU-U.S. Data Privacy Framework oder Standardvertragsklauseln.

Sicherheit und unabhängige Audits#

Wir schützen Daten durch technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO:

Verschlüsselung — Daten werden sowohl bei der Übertragung (TLS 1.2+) als auch bei der Speicherung (AES-256) verschlüsselt.
Zugriffskontrolle — unser Team hat nur über streng festgelegte Rollen (Role-Based Access Control) und obligatorische Zwei-Faktor-Authentifizierung (MFA) Zugriff auf die Systeme.
Minimierung — wir greifen nur dann auf Ihre Daten zu, wenn dies aus Sicherheitsgründen notwendig ist oder Sie uns im Rahmen einer Supportanfrage selbst dazu auffordern.
Unabhängige Sicherheitsaudits — für die Anbindung an Google-Konten haben wir erfolgreich das Sicherheitsaudit Google CASA (Cloud Application Security Assessment) durchlaufen.
Backups — wir erstellen verschlüsselte Backups in einer separaten Zone und führen regelmäßige Sicherheitsüberprüfungen durch.

Sie haben Ihre Daten immer unter Kontrolle#

Die Rechte Ihrer Kunden (Auskunft, Berichtigung, Löschung, Übertragbarkeit …) — wir unterstützen Sie mit unseren technischen Werkzeugen dabei, diese zu erfüllen.
Löschung von Daten — Sie können jederzeit die endgültige Löschung Ihrer Organisation und aller Daten beantragen. Wie das geht, erfahren Sie im Artikel Daten und Datenschutz.