Informationen nach Art. 13 DSGVO

Datenschutzerklärung

Kurz gesagt: Diese Website ist statisch und misst nur dann etwas, wenn du im Cookie-Banner zustimmst. Ohne deine Zustimmung wird weder ein Cookie gesetzt noch ein Analyse-Dienst geladen. Deine Daten gelangen darüber hinaus nur dann zu mir, wenn du mir eine E-Mail schreibst oder eines der Formulare abschickst. Für das Path to AI Cockpit unter portal.path-to-ai.com gilt der Abschnitt Path to AI Cockpit (English version).

Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der DSGVO:

Yves Schleich
Anschrift: siehe Impressum
E-Mail: yves@path-to-ai.com

Hosting und Server-Logs

Diese Website wird auf einem Server von Hostinger International Ltd. (61 Lordou Vironos Street, 6023 Larnaca, Zypern) betrieben. Beim Aufruf der Seiten werden technische Zugriffsdaten in Server-Logs erfasst:

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb der Website und an der Missbrauchsabwehr). Die Logs werden nach spätestens 30 Tagen gelöscht.

Cookies

Ohne deine Einwilligung setzt diese Website keine Cookies. Stimmst du im Banner zu, kommen zwei Sorten dazu:

Du kannst deine Entscheidung jederzeit ändern: . Ein Widerruf wirkt ab sofort, die bereits gesetzten Analyse-Cookies werden dabei gelöscht.

Google Analytics

Diese Website nutzt Google Analytics 4, einen Webanalysedienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Ich setze das ein, um zu sehen, welche Inhalte gelesen werden und über welche Wege Besuche zustande kommen.

Nur mit Einwilligung. Der Dienst wird erst geladen, nachdem du im Banner zugestimmt hast. Ohne Zustimmung wird kein Skript von Google geladen, es geht kein Request an Google und es wird nichts gemessen. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Verarbeitet werden dabei insbesondere die gekürzte IP-Adresse, aufgerufene Seiten, Zeitpunkt und Dauer des Besuchs, Referrer, sowie Angaben zu Browser, Betriebssystem und ungefährem Standort auf Stadtebene. Die IP-Adresse wird von Google gekürzt und nicht mit anderen Daten zusammengeführt. Die Daten werden nach 14 Monaten gelöscht.

Eine Übermittlung in die USA an Google LLC lässt sich nicht ausschließen. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; Grundlage der Übermittlung ist der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, ergänzt um Standardvertragsklauseln. Mehr dazu in der Datenschutzerklärung von Google und in den Datenverarbeitungsbedingungen für Google Ads, die ich mit Google abgeschlossen habe.

Deine Einwilligung kannst du jederzeit ohne Angabe von Gründen für die Zukunft widerrufen: .

Schriftarten

Die Schriftarten dieser Website (Archivo, Inter, JetBrains Mono) liegen auf meinem eigenen Server und werden von dort geladen. Dabei geht keine Verbindung zu Google oder einem anderen Anbieter.

Kontaktaufnahme per E-Mail

Wenn du mir eine E-Mail schreibst (z. B. an yves@path-to-ai.com), werden deine Angaben aus der E-Mail (Absenderadresse, Name, Inhalt) zur Bearbeitung der Anfrage gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).

Die E-Mails werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind, spätestens nach drei Jahren, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Formulare auf dieser Website

Drei Formulare schicken deine Angaben an mich: die Anfrage für den E-Commerce-Audit unter path-to-ai.com/audit, die Anfrage für den Fake-Shop-Check unter path-to-ai.com/fake-shop-check und die Anfrage für Early Access zum Path to AI Cockpit unter path-to-ai.com/cockpit. Alle legen deine Angaben in einer Datenbank bei Supabase in Frankfurt am Main ab und benachrichtigen mich per E-Mail.

E-Commerce-Audit

Wenn du den Audit anforderst, speichere ich deine E-Mail-Adresse, die Adresse deines Shops, den Zeitpunkt der Anfrage, deine Bestätigung, dass du diese Datenschutzerklärung gelesen hast, und die IP-Adresse, von der die Anfrage kommt. Ich prüfe deinen Shop anhand seiner öffentlich erreichbaren Seiten, schicke dir eine Bestätigung an die angegebene Adresse und später den Report. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil du den Audit anforderst.

Bevor ich eine Anfrage bearbeite, prüft das Formular automatisch, ob die Adresse erreichbar ist und ob sie zum Shop gehört:

Das Ergebnis speichere ich zur Anfrage und sehe es in meiner Benachrichtigung. Ist die Adresse eine bekannte Wegwerf-Adresse oder nimmt ihre Domain keine E-Mails an, wird die Anfrage nicht bearbeitet und es geht keine E-Mail raus, weder an dich noch an mich; sie bleibt gespeichert, damit ich Fehlgriffe der Prüfung erkennen kann. Über alle anderen Anfragen entscheide ich selbst. Rechtsgrundlage für die Prüfung ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Missbrauch des kostenlosen Audits abzuwehren und Anfragen aus dem Unternehmen zu erkennen).

Fake-Shop-Check

Wenn du den Fake-Shop-Check anforderst, speichere ich deine E-Mail-Adresse, die Adresse deines Shops und den Zeitpunkt der Anfrage. Ich schicke dir eine Bestätigung an die angegebene Adresse und später den Report. Für die Suche lege ich eine Aufgabe in meinem Aufgabensystem Paperclip an, das auf einem Server von Hostinger in Frankfurt am Main läuft. Die Aufgabe enthält nur die Adresse deines Shops, nicht deine E-Mail-Adresse. Die Suche erledigt ein AI-Agent mit Claude von Anthropic: Er sucht in öffentlichen Quellen nach Domains, die mit deinem Markennamen beginnen, und ruft die Treffer auf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil du den Check anforderst.

Newsletter

Im Formular des Fake-Shop-Checks kannst du zusätzlich unseren Newsletter abonnieren: Neues zu E-Commerce und AI im E-Commerce. Das ist freiwillig, den Report bekommst du auch ohne. Mit dem Häkchen speichere ich deine Einwilligung, ihren Wortlaut und den Zeitpunkt. Du bekommst eine E-Mail mit einem Link zur Bestätigung. Erst wenn du die Anmeldung damit auf der Seite bestätigst, gilt sie, und ich speichere den Zeitpunkt der Bestätigung (Double-Opt-in). Der Link verfällt nach 30 Tagen. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Du kannst die Einwilligung jederzeit widerrufen, über den Link zur Abmeldung in jeder Mail oder mit einer kurzen Nachricht an yves@path-to-ai.com. Nach der Abmeldung speichere ich nur, dass und wann du dich abgemeldet hast, damit ich nachweisen kann, dass ich dir nicht mehr schreibe. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. f DSGVO.

Early Access zum Path to AI Cockpit

Wenn du Early Access anfragst, speichere ich deinen Namen, deine E-Mail-Adresse, die Adresse deines Shops, deine freiwillige Angabe, was du zuerst angehen willst, und den Zeitpunkt der Anfrage. Ich erhalte eine E-Mail mit diesen Angaben und antworte dir persönlich; eine automatische E-Mail an dich gibt es nicht, und deine Adresse wird nicht automatisch geprüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen vor einem Vertrag, die du anfragst).

Empfänger

Speicherdauer

Ich lösche die Anfragen aus allen Formularen, sobald sie für die Bearbeitung nicht mehr erforderlich sind, spätestens nach drei Jahren, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Für den Newsletter speichere ich deine Adresse, bis du dich abmeldest.

Externe Links

Auf der Seite how-to-claude verlinke ich auf externe Ressourcen (Anthropic, Learn Prompting, Every.to und andere). Wenn du einen dieser Links anklickst, verlasse ich nicht die Verantwortung für die Verarbeitung deiner Daten bei der verlinkten Seite. Bitte beachte die jeweiligen Datenschutzerklärungen der Anbieter.

Path to AI Cockpit

Das Path to AI Cockpit unter portal.path-to-ai.com ist die Web-App, in der eine E-Commerce-Marke, die ich betreue, ihre Systeme verbindet und meine Audits, Reports und Maßnahmen liest. Dieser Abschnitt beschreibt, welche Daten das Cockpit dabei verarbeitet.

Rollen

Für die Daten aus den verbundenen Systemen (Shopify, Google Analytics, Google Search Console, Google Ads) handle ich im Auftrag der Marke. Grundlage ist der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, den die Marke im Cockpit akzeptiert. Für die Zugänge der Personen im Cockpit und für den Betrieb des Cockpits bin ich Verantwortlicher im Sinne der DSGVO.

Zugang zum Cockpit

Für jede Person mit Zugang speichere ich Name, E-Mail-Adresse, die Marke, zu der sie gehört, die Zeitpunkte der Anmeldung und ihre Beiträge im Cockpit mit Zeitpunkt, etwa Rückfragen, Antworten und Freigaben. Dazu kommt, wer welches System verbunden und wer den Vertrag zur Auftragsverarbeitung in welcher Fassung akzeptiert hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Anmeldung läuft ohne Passwort über einen Link per E-Mail. Diese E-Mails verschickt Resend (Plus Five Five, Inc., San Francisco, USA) aus der EU; für Konto- und Protokolldaten in den USA gilt das EU-US Data Privacy Framework, ergänzt um Standardvertragsklauseln. Die Datenbank betreibt Supabase in Frankfurt am Main; technischen Support leistet Supabase, Inc. aus den USA auf Grundlage von Standardvertragsklauseln. Nach Vertragsende lösche ich diese Daten innerhalb von 30 Tagen.

Daten aus Google

Verbindet die Marke Google-Dienste, liest das Cockpit je Zustimmung:

Diese Daten nutze ich ausschließlich für die Audits, Reports und Maßnahmen, die die Marke im Cockpit sieht. Das Cockpit liest nur. Für Google Ads bietet Google keinen reinen Lesezugang an; das Cockpit ändert dort trotzdem nichts.

Speicherung und Schutz

Die Zugänge zu Google (Refresh-Token) und zu Shopify verschlüsselt das Cockpit mit einem eigenen Schlüssel (AES-256-GCM) und speichert sie verschlüsselt in der Datenbank in Frankfurt am Main. Skripte für ein Audit erhalten nur einen Zugang, der nach etwa einer Stunde abläuft, und jeder Abruf eines Zugangs wird mit Zweck und Zeitpunkt protokolliert. Ergebnisse speichere ich als zusammengefasste Kennzahlen: im Speicher des Cockpits in Frankfurt am Main, in meiner Ablage bei Google Workspace und in einem privaten Repository bei GitHub.

Schutz sensibler Daten

Als sensibel behandle ich die Zugänge zu Google und Shopify und alle Daten, die das Cockpit über sie liest. Sie schützen diese Maßnahmen, festgehalten in Anlage 1 des Vertrags zur Auftragsverarbeitung:

Ich überprüfe diese Maßnahmen mindestens einmal im Jahr und bei jedem neu verbundenen System.

Weitergabe

Daten aus Google und Shopify gehen nur an Dienstleister, die ich für das Audit brauche: Supabase (Datenbank in Frankfurt am Main), Hostinger (Server in Frankfurt am Main), Anthropic (Auswertung mit Claude, nur zusammengefasste Kennzahlen), GitHub und Google Workspace (Ablage der Ergebnisse). Resend erhält keine Daten aus Google oder Shopify.

Ich verkaufe keine Daten, nutze sie nicht für Werbung und gebe sie nicht an Datenhändler weiter. Daten aus Google und Shopify dienen nicht dem Training von AI-Modellen, weder bei mir noch bei meinen Dienstleistern. Ich lese die Auswertungen als Teil des Audits, das die Marke beauftragt hat; darüber hinaus nur, wenn die Sicherheit oder ein Gesetz es verlangt.

Limited Use

Path to AI Cockpit's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Auf Deutsch: Die Nutzung und Weitergabe von Informationen, die das Cockpit von Google-APIs erhält, folgt der Google API Services User Data Policy einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use).

Daten aus Shopify

Die Shopify-App des Cockpits liest nur: Berichte, Produkte, Bestand, Bestellungen samt Historie, abgebrochene Checkouts, Theme, eingebundene Skripte, Sprachen und Märkte. Eine Bestellung enthält bei Shopify auch Angaben zur Kundin oder zum Kunden; diese Felder fragt das Cockpit nicht ab. Bestellungen werte ich nur zusammengefasst aus, etwa als Summen, Anzahlen und Anteile; einzelne Bestellungen, Namen, Anschriften oder E-Mail-Adressen stehen in keinem Ergebnis.

Wird die App in Shopify deinstalliert, löscht das Cockpit den Zugang sofort und alle übrigen Daten zu diesem Store innerhalb von 30 Tagen nach der Löschanfrage, die Shopify 48 Stunden später schickt. Verlangt eine Kundin oder ein Kunde über den Shop Auskunft oder Löschung, gibt es im Cockpit keine Daten zu dieser Person; ich bestätige das dem Shop auf Anfrage.

Trennen und Löschen

Trennt die Marke eine Verbindung im Cockpit, widerruft das Cockpit den Zugang beim Anbieter und löscht ihn, sobald keine andere Verbindung ihn mehr nutzt. Den Zugang zu Google kannst du außerdem jederzeit direkt bei Google widerrufen, unter myaccount.google.com/permissions. Nach Vertragsende lösche ich Verbindungen, Zugänge, Ergebnisse und Konten innerhalb von 30 Tagen, Kopien in Sicherungen spätestens nach 90 Tagen.

Rechte

Es gelten die Rechte im Abschnitt Deine Rechte. Für Daten, die ich im Auftrag einer Marke verarbeite, ist die Marke deine erste Ansprechpartnerin; ich unterstütze sie dabei.

Path to AI Cockpit (English)

Path to AI Cockpit at portal.path-to-ai.com is the web app in which an e-commerce brand that I support connects its systems and reads my audits, reports and recommended measures. This section describes which data the Cockpit processes.

Roles

For data from connected systems (Shopify, Google Analytics, Google Search Console, Google Ads) I act on behalf of the brand, based on the data processing agreement under Art. 28 GDPR that the brand accepts in the Cockpit. For the accounts of people in the Cockpit and for operating the Cockpit, I am the controller under the GDPR.

Cockpit accounts

For each person with access I store name, email address, the brand the person belongs to, sign-in times and contributions in the Cockpit with their time, such as questions, replies and approvals, as well as who connected which system and who accepted which version of the data processing agreement. The legal basis is Art. 6(1)(b) GDPR.

Sign-in works without a password through a link sent by email. These emails are sent from the EU by Resend (Plus Five Five, Inc., San Francisco, USA); account and log data in the USA is covered by the EU-US Data Privacy Framework, supplemented by Standard Contractual Clauses. The database is operated by Supabase in Frankfurt am Main; technical support is provided by Supabase, Inc. from the USA under Standard Contractual Clauses. After the end of the contract I delete this data within 30 days.

Google user data

When the brand connects Google services, the Cockpit reads, per consent:

  • Google Analytics (scope analytics.readonly): the list of properties so you can select the property of the shop, then aggregated reports such as sessions, conversions and revenue by channel, landing page, device and country. The Cockpit never queries individual users.
  • Google Search Console (webmasters.readonly): the list of sites for selection, then search queries, pages, clicks, impressions and position.
  • Google Ads (adwords, separate and optional consent): the list of Google Ads accounts for selection, then campaigns, search terms, impression share, cost and conversions.
  • The email address of the Google account, so the Cockpit can show which account is connected.

I use this data only for the audits, reports and measures the brand sees in the Cockpit. The Cockpit only reads data. Google offers no read-only access for Google Ads; the Cockpit still never changes anything there.

Storage and security

The Cockpit encrypts the Google refresh token and the Shopify access token with its own key (AES-256-GCM) and stores them encrypted in the database in Frankfurt am Main. Audit scripts only receive an access token that expires after about one hour, and every read of a stored token is logged with purpose and time. Results are stored as aggregated figures: in the Cockpit's storage in Frankfurt am Main, in my Google Workspace and in a private GitHub repository.

Data protection for sensitive data

I treat the access tokens for Google and Shopify and all data the Cockpit reads with them as sensitive data. They are protected by the following measures, which are also set out in Annex 1 of the data processing agreement:

  • Encryption in transit: All traffic between the browser and the Cockpit uses HTTPS (TLS). Requests to Google and Shopify only use their encrypted APIs.
  • Encryption at rest: Every token is encrypted with AES-256-GCM, bound to brand, provider and account, and then stored in an additionally encrypted store of the database (Supabase Vault). The key is held only in the server environment and in my password manager, never by the database provider. Anyone reading the database without it obtains no usable tokens.
  • Access control: Tokens are read only on the server, never in the browser. Row-level security in the database ensures that a person only sees the data of their own brand. A person only sees a brand after I have explicitly assigned their address to it; there is no self-registration. Results are kept in private storage and only reach the browser after membership has been checked.
  • Audit log and short-lived access: Every read of a stored token is logged with purpose, reader and time. Audit scripts never receive long-lived tokens; for Google they receive an access token that expires after about one hour.
  • Data minimization: Read-only scopes, aggregated reports only, no data about individual users or customers.
  • People, devices and servers: Only I have access to the data. My work computer is fully encrypted, and secrets are kept in a password manager. Servers and database are located in Frankfurt am Main; server sign-in requires a key, and security updates are installed automatically.
  • Incidents: I notify the affected brand of any personal data breach within 24 hours at the latest, disconnect affected connections and revoke affected tokens.

I review these measures at least once a year and whenever a new system can be connected.

Sharing

Google user data and Shopify data are only shared with service providers I need for the audit: Supabase (database in Frankfurt am Main), Hostinger (servers in Frankfurt am Main), Anthropic (analysis with Claude, aggregated figures only), GitHub and Google Workspace (storage of results). Resend receives no Google user data and no Shopify data.

I do not sell data, use it for advertising or pass it to data brokers. Google user data and Shopify data are not used to train AI models, neither by me nor by my service providers. I read the analyses as part of the audit the brand has commissioned, and otherwise only where security or the law requires it.

Limited Use

Path to AI Cockpit's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Shopify data

The Cockpit's Shopify app only reads: reports, products, inventory, orders including order history, abandoned checkouts, theme, embedded scripts, languages and markets. In Shopify an order also contains details about the customer; the Cockpit does not request these fields. I only evaluate orders in aggregated form, such as totals, counts and shares; no individual order, name, address or email address appears in any result.

If the app is uninstalled in Shopify, the Cockpit deletes the access immediately and any other data about that store within 30 days of the deletion request Shopify sends 48 hours later. If a customer asks a shop for access to or deletion of their data, the Cockpit holds no data about them; I confirm this to the shop on request.

Disconnecting and deletion

When the brand disconnects a system in the Cockpit, the Cockpit revokes the access at the provider and deletes it once no other connection uses it. You can also revoke Google access at any time at myaccount.google.com/permissions. After the end of the contract I delete connections, tokens, results and accounts within 30 days, and copies in backups after 90 days at the latest.

Your rights

The rights listed under Deine Rechte apply: access, rectification, erasure, restriction, data portability, objection and complaint to a supervisory authority. For data I process on behalf of a brand, please contact the brand first; I support the brand in handling your request. Contact: yves@path-to-ai.com.

Deine Rechte

Nach der DSGVO hast du insbesondere die folgenden Rechte:

Für die Ausübung dieser Rechte genügt eine formlose E-Mail an yves@path-to-ai.com.

Stand

Diese Datenschutzerklärung hat den Stand Oktober 2026. Sie wird bei Änderungen der rechtlichen Grundlagen, der Website oder des Cockpits aktualisiert.