1. Verantwortlicher
Sebastian Ott
theButler.network
Lichtel 36, 97993 Creglingen, Deutschland
E-Mail: privacy@thebutler.network
Datenschutzbeauftragter: Wir haben derzeit keinen Datenschutzbeauftragten bestellt. Nach § 38 Abs. 1 BDSG besteht dazu keine Verpflichtung, da nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Wir prüfen laufend, ob sich aus Art. 37 Abs. 1 lit. b DSGVO eine Bestellpflicht ergibt, und dokumentieren diese Prüfung. Für alle Datenschutzanliegen wenden Sie sich bitte an die oben genannte Adresse.
2. Grundsatz
Wir verarbeiten so wenig personenbezogene Daten wie möglich. Konkret bedeutet das:
- Sie können theButler.network ohne Konto nutzen.
- Ohne Anmeldung wird kein Chatverlauf auf unseren Servern gespeichert.
- Wir setzen keine Werbepixel und kein seitenübergreifendes Tracking ein. Für eine datensparsame Reichweitenmessung nutzen wir Vercel Web Analytics, ohne Cookies und ohne Speicherung auf Ihrem Gerät (Ziffer 3.12).
- Unsere Anwendung protokolliert keine IP-Adressen, keine Prompt-Inhalte und keine Nutzerkennungen in Anwendungslogs. Die Zugriffslogs unseres Hosters erfassen technisch bedingt IP-Adresse und Browserangaben — das ist unter Ziffer 3.1 beschrieben.
- Wir verkaufen keine Daten.
3. Übersicht der Verarbeitungen
3.1 Aufruf der Website
| Daten | IP-Adresse, Zeitpunkt, aufgerufene Seite, HTTP-Status, übertragene Datenmenge, Browsertyp, Betriebssystem |
| Zweck | Auslieferung der Website, Betriebssicherheit, Fehlerdiagnose |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Angebot; vgl. Erwägungsgrund 49) |
| Verarbeitungsort | Statische Inhalte werden über das weltweite CDN von Vercel ausgeliefert; die serverseitige Verarbeitung findet in der Region Dublin, Irland (dub1) statt. Auftragsverarbeiter ist Vercel Inc., USA |
| Speicherdauer | Laufzeitprotokolle 24 Stunden, danach automatische Löschung durch den Hoster |
3.2 Missbrauchsschutz und Anfragebegrenzung
| Daten | IP-Adresse (als Zählschlüssel), Zeitfenster, Anzahl der Anfragen |
| Zweck | Abwehr automatisierter Massenanfragen; Begrenzung der Kosten für KI-Anfragen |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO |
| Verarbeitungsort | Hetzner Online GmbH, Rechenzentrum Falkenstein (Deutschland); verschlüsselte Sicherungen in Helsinki (Finnland) |
| Speicherdauer | Maximal 24 Stunden, danach automatische Löschung |
3.3 Suche und Chat mit Edwin — ohne Anmeldung
| Daten | Ihre Anfrage (Prompt), Verlauf der aktuellen Sitzung, abgeleitete Suchbegriffe |
| Zweck | Erbringung der Empfehlung |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO (Erbringung des von Ihnen angeforderten Dienstes) bzw. Art. 6 Abs. 1 lit. f |
| Empfänger | OpenAI Ireland Ltd. als Auftragsverarbeiter |
| Verarbeitungsort | USA. Vertragspartner ist OpenAI Ireland Ltd.; die Verarbeitung selbst findet in den Vereinigten Staaten statt |
| Speicherdauer | Wir speichern Ihre Anfragen nicht dauerhaft. Für die Dauer der Verarbeitung bestehen kurzlebige Zwischenspeicher (bis 15 Minuten). Bei OpenAI können Anfragen zur Missbrauchserkennung bis zu 30 Tage gespeichert werden |
| Hinweis | Ihre Anfragen werden nicht zum Training von KI-Modellen verwendet |
3.4 Chatverlauf — mit Anmeldung
| Daten | Vollständige Konversationen (Ihre Nachrichten und die Antworten), Titel der Unterhaltung, Zuordnung zu Ihrem Konto |
| Zweck | Bereitstellung Ihres Verlaufs über Sitzungen und Geräte hinweg |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO |
| Verarbeitungsort | Supabase, Region eu-west-1 (Irland) |
| Speicherdauer | 180 Tage nach der letzten Aktivität einer Unterhaltung, danach automatische Löschung. Sie können jede Unterhaltung jederzeit selbst löschen |
Wenn Sie sich erstmals anmelden, fragen wir Sie, ob Ihre bisher nur lokal im Browser gespeicherten Unterhaltungen in Ihr Konto übernommen werden sollen. Ohne Ihre Zustimmung geschieht das nicht.
3.5 Präferenzprofil
| Daten | Bis zu vier Merkmale, die sich aus Ihren Anfragen ergeben: Haustierart, Stilpräferenz, Genrepräferenz, Stimmungspräferenz |
| Zweck | Passendere Empfehlungen ohne Wiederholung derselben Angaben |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO |
| Was wir bewusst NICHT speichern | Angaben zu Materialien und Unverträglichkeiten. Eine Aussage wie „kein Nickel“ kann auf eine Allergie hinweisen und damit ein Gesundheitsdatum nach Art. 9 Abs. 1 DSGVO sein. Dafür wäre Ihre ausdrückliche Einwilligung erforderlich; solange wir diese nicht einholen, wirkt eine solche Angabe nur innerhalb der laufenden Unterhaltung und wird nicht dauerhaft gespeichert |
| Verarbeitungsort | Supabase, Region eu-west-1 (Irland) |
| Speicherdauer | Bis zum Widerruf oder zur Löschung Ihres Kontos |
| Ihre Kontrolle | Unter Einstellungen → Was Edwin sich gemerkt hat sehen Sie alle gespeicherten Angaben im Klartext und können jede einzeln löschen. Eine gelöschte Angabe kehrt nicht zurück, auch wenn eine ältere Sitzung sie noch im Browser hält |
3.6 Konto und Anmeldung
| Daten | E-Mail-Adresse, Zeitpunkt der Registrierung und der letzten Anmeldung, Sitzungskennung |
| Zweck | Anmeldung per Magic Link (kein Passwort) |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b DSGVO |
| Empfänger | Supabase als Auftragsverarbeiter (auch für den Versand der Anmelde-E-Mail) |
| Speicherdauer | Bis zur Löschung Ihres Kontos |
3.7 Merkliste
Ihre Merkliste wird ausschließlich lokal in Ihrem Browser gespeichert und nicht an uns übertragen. Wenn Sie den lokalen Speicher Ihres Browsers löschen, ist die Merkliste verloren.
3.8 Weiterleitung zu Händlern
Wenn Sie auf ein Händlerangebot klicken, verlassen Sie theButler.network. Der Händler und das jeweilige Partnernetzwerk erhalten dabei Ihre IP-Adresse und können eigene Cookies setzen. Es gelten die Datenschutzbestimmungen des jeweiligen Anbieters.
3.9 Produktabbildungen
Produktbilder werden direkt von den Servern der Händler bzw. deren Bilddiensten geladen. Dabei erhält der jeweilige Anbieter Ihre IP-Adresse, Ihren Browsertyp und die aufgerufene Seite — auch dann, wenn Sie nicht auf das Angebot klicken. Das ist technisch nicht vermeidbar, weil einige Partner (insbesondere Amazon) das Zwischenspeichern ihrer Bilder vertraglich untersagen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Darstellung der Angebote).
3.10 Kontaktaufnahme
| Daten | E-Mail-Adresse, Inhalt Ihrer Nachricht, ggf. weitere von Ihnen gemachte Angaben |
| Zweck | Bearbeitung Ihres Anliegens |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO |
| Speicherdauer | 6 Monate nach Abschluss der Bearbeitung; gesetzliche Aufbewahrungsfristen bleiben unberührt |
3.11 MCP-Schnittstelle (KI-Assistenten)
Wir betreiben einen MCP-Endpunkt, über den KI-Assistenten von Drittanbietern (etwa Claude oder ChatGPT) in unserem Produktkatalog suchen können. Wenn Sie einen solchen Assistenten nutzen und dieser theButler.network abfragt, gilt Folgendes.
| Daten | Technische Angaben je Aufruf: aufgerufenes Werkzeug, Markt, Sprache, Vertical, Anzahl der Ergebnisse und Angebote, Antwortzeit, Fehler- bzw. Leergrund, ob eine Rangfolge erstellt wurde, Kennungen der zurückgegebenen Angebote, Länge Ihrer Anfrage, ein Hashwert Ihrer Anfrage sowie eine gehashte Sitzungskennung |
| Nicht gespeichert | Der Text Ihrer Anfrage und Ihre IP-Adresse. Die Anfrage wird vor der Speicherung zu einem SHA-256-Hashwert verkürzt; der Klartext wird nie geschrieben |
| Sitzungskennung | Sendet Ihr Assistent eine Sitzungs-ID, wird diese gehasht. Sendet er keine, wird die Kennung aus Verbindungsadresse, Client-Software und einem Zehn-Minuten-Zeitfenster abgeleitet und gehasht. Der Hashwert einer IP-Adresse bleibt personenbezogen (EuGH C-582/14, Breyer) — deshalb steht dieser Abschnitt hier, und deshalb gilt die Speicherfrist unten auch für ihn |
| Zweck | Bereitstellung der Produktsuche in KI-Assistenten von Drittanbietern sowie Messung, ob diese Suche funktioniert: wie oft sie nichts findet, wie oft sie fehlschlägt, wie lange sie braucht |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Betrieb und die Verbesserung einer Schnittstelle, die wir unentgeltlich bereitstellen |
| Empfänger | Den Text Ihrer Anfrage übermitteln wir für die Suche an OpenAI Ireland Ltd. als Auftragsverarbeiter (Abschnitte 5 und 6); dort kann er zur Missbrauchserkennung bis zu 30 Tage gespeichert werden und wird nicht zum Training von KI-Modellen verwendet. Die übrigen oben genannten Angaben werden nicht weitergegeben. Der von Ihnen genutzte KI-Assistent ist kein Empfänger dieser Daten — er erhält ausschließlich das Suchergebnis |
| Verarbeitungsort | Hetzner Online GmbH, Rechenzentrum Falkenstein (Deutschland); verschlüsselte Sicherungen in Helsinki (Finnland). Die Verarbeitung Ihrer Anfrage durch OpenAI findet in den USA statt |
| Speicherdauer | 90 Tage, danach automatische Löschung |
3.12 Reichweitenmessung (Vercel Web Analytics)
| Daten | Je Seitenaufruf: aufgerufene Seite (ohne Suchparameter und Anker, also ohne den Text Ihrer Suche), verweisende Seite, Zeitpunkt, Land und Region (aus der IP-Adresse abgeleitet), Gerätetyp, Betriebssystem und Browser mit Version |
| Wiedererkennung | Keine Cookies und nichts, was auf Ihrem Gerät gespeichert wird. Um Besuche zu zählen, bildet Vercel aus der Anfrage einen Hashwert, der nach 24 Stunden verworfen wird. Ihre IP-Adresse wird dafür nicht gespeichert |
| Zweck | Zusammengefasste Statistik, welche Seiten wie oft aufgerufen werden und woher Besucher kommen, um das Angebot zu verbessern |
| Rechtsgrundlage | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung). Sie können jederzeit widersprechen (Art. 21 DSGVO); ein Werbe- oder Skriptblocker in Ihrem Browser verhindert die Messung ebenfalls |
| Empfänger | Vercel Inc. als Auftragsverarbeiter |
| Verarbeitungsort | Vercel Inc., USA (Abschnitte 5 und 6) |
| Speicherdauer | Der Hashwert zur Wiedererkennung wird nach 24 Stunden verworfen. Die einzelnen Messpunkte enthalten danach keinen Bezug mehr zu Ihrer Person |
4. Speicherung auf Ihrem Endgerät
Wir speichern die folgenden Informationen in Ihrem Browser. Diese Speicherung ist für die von Ihnen angeforderten Funktionen unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei.
| Schlüssel | Speicherort | Zweck | Dauer |
|---|---|---|---|
sb-*-auth-token |
Cookie | Anmeldung | Sitzungsdauer |
tbn-threads |
Local Storage | Ihre Unterhaltungen (ohne Konto nur lokal) | Bis zur Löschung |
tbn-active-thread-id |
Local Storage | Zuletzt geöffnete Unterhaltung | Bis zur Löschung |
tbn-streaming-thread |
Local Storage | Wiederherstellung nach Abbruch | Kurzlebig |
tbn-chat-transfer |
Local Storage | Übernahme der Sitzung in einen neuen Tab | Kurzlebig |
tbn-chat-session |
Session Storage | Laufende Sitzung | Bis zum Schließen des Tabs |
tbn-watchlist |
Local Storage | Ihre Merkliste | Bis zur Löschung |
tbn-theme |
Local Storage | Helle oder dunkle Darstellung | Bis zur Löschung |
tbn-sidebar-collapsed |
Local Storage | Zustand der Seitenleiste | Bis zur Löschung |
tbn-pending-login-email |
Session Storage | Ihre E-Mail zwischen Anmeldeanfrage und Bestätigungsseite | Bis zum Schließen des Tabs |
tbn-synced:Konto-ID |
Local Storage | Merker, dass lokale Unterhaltungen bereits übernommen wurden | Bis zur Löschung |
tbn-sync-decision:Konto-ID |
Local Storage | Ihre Entscheidung, ob lokale Unterhaltungen übernommen werden sollen, mit Zeitpunkt | Bis zur Löschung |
Wir setzen keine Analyse-, Tracking- oder Werbe-Cookies ein. Sie können alle lokal gespeicherten Daten jederzeit über die Einstellungen Ihres Browsers löschen; nutzen Sie dazu alternativ die Funktion „Alle lokalen Daten löschen“ in unseren Einstellungen. Auch die Reichweitenmessung nach Ziffer 3.12 legt nichts auf Ihrem Gerät ab.
5. Auftragsverarbeiter und Empfänger
| Anbieter | Leistung | Sitz | Grundlage der Übermittlung |
|---|---|---|---|
| Vercel Inc. | Hosting, Auslieferung, Reichweitenmessung | Unternehmenssitz USA; serverseitige Verarbeitung in Irland (dub1), Auslieferung statischer Inhalte über ein weltweites CDN |
Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln |
| Supabase | Konto und Anmeldung, Chatverlauf, Präferenzprofil, Versand der Anmelde-E-Mail | Verarbeitung in Irland (eu-west-1), Konzernsitz Singapur |
Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln |
| Hetzner Online GmbH | Server für den Produktkatalog und die Daten aus Abschnitt 3.2 und 3.11; verschlüsselte Sicherungen | Verarbeitung in Deutschland (Rechenzentrum Falkenstein), Sicherungen in Finnland (Helsinki) | Auftragsverarbeitungsvertrag; Verarbeitung ausschließlich in der EU |
| OpenAI Ireland Ltd. | Verarbeitung Ihrer Anfragen durch Sprachmodelle | Vertragspartner Irland, Verarbeitung in den USA | Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln |
| Awin, CJ Affiliate, Rakuten Advertising, Tradedoubler, Amazon | Produkt- und Preisdaten, Provisionsabrechnung | EU / USA / UK | Es werden keine personenbezogenen Daten von uns an diese Netzwerke übermittelt. Wir fragen ausschließlich Produktdaten ab. Personenbezug entsteht erst, wenn Sie einen Händlerlink anklicken |
Die Tabelle oben ist die vollständige Liste unserer Auftragsverarbeiter. Kommt einer hinzu oder fällt einer weg, passen wir diese Erklärung an.
6. Übermittlung in Drittländer
Einige unserer Dienstleister verarbeiten Daten in den USA. Wir haben mit allen Beteiligten die Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914) abgeschlossen und für jeden Anbieter eine Risikobewertung der Übermittlung dokumentiert.
Wo verfügbar, nutzen wir europäische Verarbeitungsregionen: Konten, Chatverlauf und Präferenzprofile liegen bei Supabase in Irland (eu-west-1), der Produktkatalog und die Daten aus Abschnitt 3.2 und 3.11 bei Hetzner in Deutschland (verschlüsselte Sicherungen in Finnland), die serverseitige Verarbeitung der Website erfolgt in Irland (dub1).
Nicht in Europa verarbeitet werden Ihre Anfragen an das Sprachmodell. Die EU-Datenresidenz von OpenAI setzt eine gesonderte, projektbezogene Konfiguration voraus, die bei uns nicht besteht; Ihre Eingaben werden daher in den USA verarbeitet. Grundlage sind die Standardvertragsklauseln nebst dokumentierter Risikobewertung. Sollten Sie das nicht wünschen, nutzen Sie die Suche ohne den Assistenten.
7. Ihre Rechte
Sie haben das Recht auf:
- Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit in einem maschinenlesbaren Format (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Die meisten dieser Rechte können Sie direkt ausüben, ohne uns zu schreiben:
- Einstellungen → Meine Daten herunterladen — vollständiger Export im JSON-Format
- Einstellungen → Was Edwin sich gemerkt hat — Einsicht und Löschung einzelner Merkmale
- Einstellungen → Konto löschen — vollständige Löschung Ihres Kontos und aller zugehörigen Daten
- Seitenleiste → Unterhaltung löschen — Löschung einzelner Unterhaltungen
Schriftliche Anfragen beantworten wir innerhalb eines Monats. Bei komplexen Anfragen kann sich diese Frist um zwei Monate verlängern; darüber informieren wir Sie.
Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg (https://www.baden-wuerttemberg.datenschutz.de/). Sie können sich auch an die Aufsichtsbehörde Ihres Wohnsitzlandes wenden.
8. Automatisierte Entscheidungen und Profilbildung
Wir setzen künstliche Intelligenz ein, um Ihre Anfrage zu verstehen und Produkte auszuwählen und zu sortieren. Dabei werden Ihre Anfrage und — sofern vorhanden — Ihr Präferenzprofil berücksichtigt.
Es findet keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO statt. Produktempfehlungen entfalten keine rechtliche Wirkung und beeinträchtigen Sie nicht in erheblicher Weise. Sie sind in jedem Fall frei, den Empfehlungen nicht zu folgen.
Welche Faktoren die Reihenfolge bestimmen, erläutern wir unter So entstehen Empfehlungen.
9. Sicherheit
Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, insbesondere: verschlüsselte Übertragung (TLS), Zugriffsbeschränkung auf Datenbankebene, Mehr-Faktor-Authentifizierung für administrative Zugänge, Begrenzung der Anfragerate, Sicherheits-Header und regelmäßige Aktualisierung eingesetzter Komponenten.
10. Minderjährige
Unser Angebot richtet sich nicht an Kinder. Wir erheben nicht wissentlich personenbezogene Daten von Personen unter 16 Jahren. Sollten Sie Kenntnis davon erlangen, dass ein Kind uns Daten übermittelt hat, informieren Sie uns bitte — wir löschen sie umgehend.
11. Änderungen
Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen informieren wir angemeldete Nutzerinnen und Nutzer per E-Mail.